提交

问题整改/本地验证P1-P9结果.md

@@ -0,0 +1,22 @@
+# 本地测试环境 P1–P9 验证记录
+
+- 验证时间：2026-09-20
+- 环境：本机 backend `:8080` + web `:80`（`/prod-api` 代理）
+- 测试库：`47.99.164.66 / hzdyjs_xg`
+
+| 编号 | 结论 | 验证证据 |
+|------|------|----------|
+| P1 | 通过 | `ruoyi:123456` → 401；`ruoyi:HzdyjsMon@Dev#9Kx7mQ2pL` → Basic 鉴权通过 |
+| P2 | 通过 | `/actuator/heapdump` 返回 `No endpoint GET /actuator/heapdump`，无堆转储文件 |
+| P3 | 通过（攻击链已断） | 依赖 P1/P2；无法再远程 dump 内存凭据 |
+| P4 | 通过 | 配置 `username: hzdyjs_app`；库账号可连；`CURRENT_USER=hzdyjs_app@%` |
+| P5 | 通过 | 注入 `tenantId` → `租户编号格式不正确`，无 XPATH/SQL 泄密 |
+| P6 | 通过 | 正常注册 → `当前系统没有开启注册功能！`；库 `registerUser=false` |
+| P7 | 本地 N/A / 生产已改 | 测试库无 `js01`；生产已执行 P7 脚本并确认哈希更新 |
+| P8 | 通过（入口已堵） | heapdump/注入入口不可再利用；历史泄露数据需事件侧收尾 |
+| P9 | 通过 | 敏感端点均不可用；仅残留空的 `/actuator` 发现页（无子端点） |
+
+## 补充说明
+
+- `/actuator` 根路径在正确监控密码下仍可能返回空 `_links`（仅 self），**不含 health/heapdump/env**，不影响安全结论。
+- 前端 `http://127.0.0.1/` 与 `GET /auth/tenant/list` 正常（HTTP 200）。