hzdyjs/问题整改/20260922-安全扫描修改.md

20260922 安全扫描修改

针对扫描报告中免登录接口暴露、敏感信息泄露及可写风险的整改记录。
扫描样例：GET /prod-api/zsjy/enrollment/info/query?examNumber=123456 可免登返回身份证、手机号等。

一、本次处理范围

优先级	项	处理结果
P0	POST /rs/init/update-menu 未授权改菜单	已整改
P0	/rs/init/menu、/clear 登录即可写删菜单	已整改（类级 system:menu:edit，见 P0-rs-init全接口权限锁死整改说明.md）
P0	SysUserController 权限注解被注释	已整改（见 P0-SysUser权限注解恢复整改说明.md）
P0	SysRole / SysTenant 权限注解被注释	已整改（见 P0-SysRole-SysTenant权限注解恢复整改说明.md）
P0	SysOss 管理越权 + 上传无白名单	已整改并复测通过（见 P0-SysOss权限与上传白名单整改说明.md；学生角色仍误授 system:oss:* 属配权问题）
P1	招生 query/myStatus IDOR + 完整 PII	已整改（见 P1-招生报名查询双因子与脱敏整改说明.md）
P1	毕业生按学号/身份证 IDOR	已整改（见 P1-毕业生信息权限恢复整改说明.md）
P1	学生信息 list/详情/导出垂直越权	已整改并复测通过（见 P1-学生信息权限恢复整改说明.md；学生角色仍误授 studentMsg:* 属配权问题）
P0	Bucket 密码重置 + OSS 配置密钥面	已整改并复测通过（见 P0-Bucket密码与OSS配置权限恢复整改说明.md）
P0	SysClient 客户端密钥面权限注释	已整改并复测通过（见 P0-SysClient权限恢复整改说明.md）
P1	贫困认定申请/审批垂直越权	已整改并复测通过（见 P1-贫困认定权限恢复整改说明.md）
P1	心理健康测评/预约垂直越权	已整改并复测通过（见 P1-心理健康权限恢复整改说明.md）
P1	奖助学金申请/配置垂直越权	已整改并复测通过（见 P1-奖助学金权限恢复整改说明.md）
P1	勤工俭学岗位/申请垂直越权	已整改并复测通过（见 P1-勤工俭学权限恢复整改说明.md；学生角色仍误授部分 workStudy* 属配权问题）
P1	出国研修/培训垂直越权	已整改并复测通过（见 P1-出国研修培训权限恢复整改说明.md）
P1	宿舍/假期留宿/操行分等垂直越权	已整改并复测通过（见 P1-宿舍假期留宿权限恢复整改说明.md；学生角色仍误授大量宿舍相关权限，属配权问题）
P1	招生就业模块（录取流程/实习等）垂直越权	已整改并一次复测通过（见 批量权限恢复与Redis清理说明.md）
P1	业务模块剩余注释权限（财务/物业/社团等）	源码已清零并一次复测通过（见 批量权限恢复与Redis清理说明.md）
运维	Redis 登录 Session 坏缓存	已清理（DB8 Authorization/online_tokens）
配权	学生角色误授管理权限	开发库已执行并复测通过（删约 99 条；见 收紧学生角色过宽权限.sql）
P0	Swagger /api-docs、/swagger-ui/**	已下线
P0	Demo /demo/mail/**、/demo/queue/delayed/**	已下线（运行包不再引入）
P0	招生 5 个免登接口（含扫描点名 query）	已整改（须登录）
P1	GET /cas/accessToken 密钥暴露与日志明文	部分整改（前端去 secret + 日志脱敏；后端 secret 外置待做）
P1	POST /rs/application/submit 匿名滥投	已整改（须登录）

---

二、已完成修改明细

1. P0：POST /rs/init/update-menu 须登录

问题：标注 @SaIgnore，未登录即可删改 sys_menu / sys_role_menu。

修改：

• 移除 @SaIgnore
• 增加 @SaCheckPermission("system:menu:edit")

文件：

• backend/ruoyi-modules/ruoyi-rs/src/main/java/org/dromara/rs/controller/RsInitController.java

验证：未带 Token → 401；无 system:menu:edit → 无权限。

---

2. P0：Swagger / api-docs 下线

问题：security.excludes 放行文档路径，且 springdoc 开启，便于枚举全量接口。

修改：

• springdoc.api-docs.enabled / swagger-ui.enabled → false
• 从 security.excludes 移除 /api-docs、/swagger-ui/**、/v3/api-docs/**、/webjars/** 等

文件：

• backend/ruoyi-admin/src/main/resources/application.yml

验证：访问 /prod-api/swagger-ui.html、/prod-api/api-docs 不可用。

---

3. P0：Demo 模块下线

问题：ruoyi-demo 打入运行包，邮件、延迟队列等接口带 @SaIgnore。

修改：注释掉运行路径上所有 ruoyi-demo 依赖（admin + 各业务模块），Controller 不再注册。

文件：

• backend/ruoyi-admin/pom.xml
• backend/ruoyi-modules/ruoyi-hq/pom.xml
• backend/ruoyi-modules/ruoyi-rs/pom.xml
• backend/ruoyi-modules/ruoyi-cw/pom.xml
• backend/ruoyi-modules/ruoyi-xg/pom.xml
• backend/ruoyi-modules/ruoyi-zsjy/pom.xml
• backend/ruoyi-modules/ruoyi-jcbt/pom.xml
• backend/ruoyi-modules/ruoyi-xskh/pom.xml
• backend/ruoyi-modules/ruoyi-bzrkh/pom.xml
• backend/ruoyi-modules/ruoyi-aqbw/pom.xml

说明：源码目录 ruoyi-modules/ruoyi-demo 仍保留，默认构建/部署不加载。

验证：/prod-api/demo/mail/**、/prod-api/demo/queue/delayed/** → 404。

---

4. P0：招生报名相关 5 个接口须登录（扫描报告点名）

问题：以下接口标注 @SaIgnore，未登录即可访问；其中 query 仅凭准考证号即可返回身份证、手机号、住址等敏感信息。

方法	路径	说明
GET	/zsjy/enrollment/info/query	按身份证/准考证查报名
POST	/zsjy/enrollment/info/submit	学生提交报名
GET	/zsjy/enrollment/info/myStatus	查本人报名状态
GET	/zsjy/enrollment/info/colleges	学院列表
GET	/zsjy/enrollment/info/majors/{collegeId}	专业列表

修改：

• 后端：移除上述 5 个方法的 @SaIgnore，走统一登录校验
• 移动端：去掉 isToken: false，请求携带 Token

文件：

• backend/ruoyi-modules/ruoyi-zsjy/src/main/java/org/dromara/zsjy/controller/ZsjyEnrollmentInfoController.java
• mobile/src/api/enrollment.js
• mobile/src/pages/enrollment/index.vue

影响：新生报名页须先登录再查询/提交；未带 Token 访问上述接口返回 401。

验证：

• 无 Token 访问 GET /prod-api/zsjy/enrollment/info/query?examNumber=123456 → 401
• 登录后携带 Token 可正常查询/提交

---

5. P1：CAS 换票 — 前端去 secret + 日志脱敏

问题：

• 前端写死 CAS_CLIENT_SECRET（虽未参与换票，但会进浏览器包）
• 后端日志打印含 secret 的完整 URL、access_token、完整 profile

修改：

• 删除前端 CAS_CLIENT_SECRET；换票仍只调 GET /cas/accessToken?code=...
• 前端控制台不再打印含 Token 的响应 body
• CasController 日志仅保留 base/client_id/长度等非敏感信息；失败响应不再回传 CAS 原始报文

文件：

• web/src/views/login.vue
• backend/ruoyi-admin/src/main/java/org/dromara/web/controller/CasController.java
• docs/开发文档/统一身份认证接入说明.md（同步说明）

对登录影响：无（前端本未使用 secret；日志脱敏不改换票逻辑）。

未做（后续建议）：

• 后端 CLIENT_SECRET 配置外置 + 向 CAS 轮换密钥
• /cas/accessToken IP 限流

---

6. P1：POST /rs/application/submit 须登录

问题：@SaIgnore + security.excludes 放行，可匿名灌简历数据。

修改：

• 移除 @SaIgnore
• 从 security.excludes 删除 /rs/application/submit
• 提交时绑定 applicantId = LoginHelper.getUserId()

文件：

• backend/ruoyi-modules/ruoyi-rs/src/main/java/org/dromara/rs/controller/RsApplicationController.java
• backend/ruoyi-admin/src/main/resources/application.yml
• docs/开发文档/API/招聘模块API.md

影响：招聘门户投递须先登录；/rs/job/public/** 公开浏览不受影响。

---

三、部署与验证清单

1. 重新编译打包后端（demo 依赖变更需完整构建），部署后重启。
2. 前端若已发布含 CAS secret 的旧包，需重新构建发布 web。
3. 移动端报名相关改动需重新发布 mobile。
4. 抽查：
   • POST /rs/init/update-menu 无 Token → 401
   • /swagger-ui.html、/api-docs 不可用
   • /demo/mail/** → 404
   • GET /zsjy/enrollment/info/query?examNumber=123456 无 Token → 401
   • 招生 submit / myStatus / colleges / majors 无 Token → 401
   • CAS 统一认证登录仍可用
   • POST /rs/application/submit 无 Token → 401；登录后可提交

---

四、相关分项说明（可作附录查阅）

文档	内容
问题整改/P0-rs-init-update-menu免登整改说明.md	菜单更新接口
问题整改/P0-Swagger与Demo下线整改说明.md	Swagger / Demo
问题整改/P1-CAS换票密钥与日志脱敏整改说明.md	CAS
问题整改/P1-rs-application-submit须登录整改说明.md	应聘提交

---

文档日期：2026-09-22
主题：安全扫描修改