diff --git a/docs/OPEN_PLATFORM_INTEGRATION.md b/docs/OPEN_PLATFORM_INTEGRATION.md index 8f6e1e6..591b838 100644 --- a/docs/OPEN_PLATFORM_INTEGRATION.md +++ b/docs/OPEN_PLATFORM_INTEGRATION.md @@ -205,7 +205,7 @@ open-platform: > `SecurityConfig` 里 GET 的 `/**` 白名单摘掉，再按真实流量补显式白名单， > 影响面较大，建议单独排期。 -### 6.1 用户密码哈希可通过免登录接口读取（未修复，优先级高） +### 6.1 用户密码哈希可通过免登录接口读取（已修复） `GET /api/system/user/getByUserId/{userId}` 在 `SecurityConfig` 的 GET 白名单里， 实测**无需任何凭证**，只带一个 `tenantId` 请求头即可取到用户实体， @@ -220,15 +220,43 @@ curl -H 'tenantId: <任意租户ID>' 'https://server.websoft.top/api/system/user 且 `UserMapper` 使用 `SELECT a.*`；同时该接口无 `@PreAuthorize` 又落在 GET 白名单里。 `GET /api/system/user/withoutAuth` 属于同一族（免登录 + 返回实体）。 -最小修复是在实体上把这两个字段设为只写： +修复方式是在实体上把这两个字段设为只写： ```java @JsonProperty(access = JsonProperty.Access.WRITE_ONLY) private String password; ``` -这样只影响序列化（不再输出），不影响任何依赖反序列化写入密码的流程。 -本次未改动，因为会变更既有内部接口的响应结构，需要你确认后单独提交。 +只影响序列化（不再输出），不影响任何依赖反序列化写入密码的流程。 +`password` 与 `payPassword` 都已加上该注解，因此所有返回 `User` 实体的接口一并收敛， +包括 `getByUserId`、`withoutAuth`、`getByPhone`、`getByUnionid`、`list`、`page` 等。 + +> **同步报文已显式保留**：`RabbitMQSyncProducer.sendUserSyncMessage` 把 User 转成 Map 时 +> 用的是同一个 ObjectMapper，实体改成只写后密码会从报文里消失。为避免悄悄改变 +> websopy 侧收到的内容，生产者在转换后显式补回 `password` / `payPassword`。 +> 是否继续在 MQ 报文里带密码哈希，需要 websopy 侧确认后另行决定。 +> `UserCredentialSerializationTest` 用三个用例锁住了「HTTP 不输出、反序列化可写入、MQ 报文不变」。 + +### 6.2 同一批免登录接口仍存在的问题（未修复，需决策） + +修掉密码后，这一族接口仍然免登录返回完整用户实体，且租户由 `tenantId` 请求头指定： + +| 接口 | 问题 | +| --- | --- | +| `GET /api/system/user/getByUserId/{userId}` | 免登录返回用户详情，含 `idCard`（完整 18 位身份证号）、手机号、邮箱、余额 | +| `GET /api/system/user/withoutAuth` | 免登录，一次返回该租户**全部**用户（不受 page/limit 限制，实测租户 5 返回 163 条 × 107 字段） | +| `GET /api/system/user/getByPhone/{phone}` | 免登录按手机号查用户，可被枚举（`mp-react-nextjs` 在用） | +| `GET /api/system/user/getByUnionid/{unionid}` | 免登录 | +| `PUT /api/system/user/updateWithoutLogin` | **完全没有校验**，任何人都能改用户资料 | +| `POST /api/system/user/batchBackUserId` | **完全没有校验**，可批量建用户（`mp-react-nextjs` 在用） | + +另有 `updateUserBalanceWithoutLogin`、`addUserBalanceWithoutLogin`、`getUserWithoutLogin`、 +`updateUserOfficeOpenidWithoutLogin` 使用硬编码常量 `authCode == "1700083"` 作为唯一凭证， +该常量对所有租户相同且写在源码里，等同于弱口令。 + +`id_card` 列存的是**完整 18 位身份证号**（库里 3173 条有值），与实体上的 +「身份证号(脱敏)」注释不符，需要单独决定是脱敏还是仅对管理员可见——会直接影响 +租户后台的实名审核页面，因此未擅自改动。 ## 7. 如何新增一个开放接口 diff --git a/pom.xml b/pom.xml index 6f34d31..1a63160 100644 --- a/pom.xml +++ b/pom.xml @@ -5,7 +5,7 @@ com.gxwebsoft server-api - 1.0 + 2.0 server-api WebSoftApi project for Spring Boot diff --git a/src/main/java/com/gxwebsoft/common/mq/producer/impl/RabbitMQSyncProducer.java b/src/main/java/com/gxwebsoft/common/mq/producer/impl/RabbitMQSyncProducer.java index 5aff9ad..deeab26 100644 --- a/src/main/java/com/gxwebsoft/common/mq/producer/impl/RabbitMQSyncProducer.java +++ b/src/main/java/com/gxwebsoft/common/mq/producer/impl/RabbitMQSyncProducer.java @@ -4,6 +4,7 @@ import com.fasterxml.jackson.databind.ObjectMapper; import com.gxwebsoft.common.mq.config.RabbitMQConfig; import com.gxwebsoft.common.mq.message.SyncMessage; import com.gxwebsoft.common.mq.producer.SyncMessageProducer; +import com.gxwebsoft.common.system.entity.User; import lombok.extern.slf4j.Slf4j; import org.springframework.amqp.core.Message; import org.springframework.amqp.core.MessageProperties; @@ -108,6 +109,19 @@ public class RabbitMQSyncProducer implements SyncMessageProducer, RabbitTemplate dataMap = objectMapper.convertValue(userData, Map.class); } + // User 实体把 password / payPassword 标记为 WRITE_ONLY（不再出现在任何 HTTP 响应里）， + // 但用户同步到 websopy 的消息历来包含这两个字段。这里显式补回，保证本次安全修复 + // 不会悄悄改变对端收到的报文；是否保留由 websopy 侧确认后另行决定。 + if (userData instanceof User) { + User user = (User) userData; + if (user.getPassword() != null) { + dataMap.put("password", user.getPassword()); + } + if (user.getPayPassword() != null) { + dataMap.put("payPassword", user.getPayPassword()); + } + } + SyncMessage message = new SyncMessage("USER_SYNC", eventType, targetSystem, dataMap); sendSyncMessage(message); } catch (Exception e) { diff --git a/src/main/java/com/gxwebsoft/common/system/entity/User.java b/src/main/java/com/gxwebsoft/common/system/entity/User.java index a1dffae..d933563 100644 --- a/src/main/java/com/gxwebsoft/common/system/entity/User.java +++ b/src/main/java/com/gxwebsoft/common/system/entity/User.java @@ -3,6 +3,7 @@ package com.gxwebsoft.common.system.entity; import cn.hutool.core.util.DesensitizedUtil; import com.baomidou.mybatisplus.annotation.*; import com.fasterxml.jackson.annotation.JsonFormat; +import com.fasterxml.jackson.annotation.JsonProperty; import io.swagger.v3.oas.annotations.media.Schema; import io.swagger.v3.oas.annotations.media.Schema; import lombok.Data; @@ -40,7 +41,14 @@ public class User implements UserDetails { @Schema(description = "账号") private String username; + /** + * 登录密码（BCrypt 哈希）。 + * + *

只写不读：序列化时永远不输出，避免任何接口把密码哈希返回给调用方； + * 反序列化不受影响，注册 / 改密 / 批量导入仍可正常写入。

+ */ @Schema(description = "密码") + @JsonProperty(access = JsonProperty.Access.WRITE_ONLY) private String password; @Schema(description = "昵称") @@ -86,7 +94,11 @@ public class User implements UserDetails { @Schema(description = "特长") private String speciality; + /** + * 支付密码（BCrypt 哈希），与登录密码同样只写不读。 + */ @Schema(description = "支付密码") + @JsonProperty(access = JsonProperty.Access.WRITE_ONLY) private String payPassword; @Schema(description = "职务") diff --git a/src/test/java/com/gxwebsoft/common/system/UserCredentialSerializationTest.java b/src/test/java/com/gxwebsoft/common/system/UserCredentialSerializationTest.java new file mode 100644 index 0000000..49a4a91 --- /dev/null +++ b/src/test/java/com/gxwebsoft/common/system/UserCredentialSerializationTest.java @@ -0,0 +1,99 @@ +package com.gxwebsoft.common.system; + +import com.fasterxml.jackson.databind.ObjectMapper; +import com.gxwebsoft.common.mq.config.RabbitMQConfig; +import com.gxwebsoft.common.mq.message.SyncMessage; +import com.gxwebsoft.common.mq.producer.impl.RabbitMQSyncProducer; +import com.gxwebsoft.common.system.entity.User; +import org.junit.jupiter.api.DisplayName; +import org.junit.jupiter.api.Test; +import org.mockito.ArgumentCaptor; +import org.springframework.amqp.rabbit.connection.CorrelationData; +import org.springframework.amqp.rabbit.core.RabbitTemplate; +import org.springframework.amqp.support.converter.MessageConverter; + +import java.util.Map; + +import static org.junit.jupiter.api.Assertions.assertEquals; +import static org.junit.jupiter.api.Assertions.assertFalse; +import static org.junit.jupiter.api.Assertions.assertTrue; +import static org.mockito.ArgumentMatchers.any; +import static org.mockito.ArgumentMatchers.anyString; +import static org.mockito.ArgumentMatchers.eq; +import static org.mockito.Mockito.mock; +import static org.mockito.Mockito.verify; + +/** + * 用户密码字段的序列化契约测试。 + * + *

背景：{@code User} 实体被十几个接口直接当响应体返回，其中 + * {@code GET /api/system/user/getByUserId/{id}}、{@code /withoutAuth} 等还免登录， + * 原先响应里带着 BCrypt 密码哈希。修复方式是把 password / payPassword 设为 WRITE_ONLY， + * 这里的三个用例分别锁住：HTTP 不再输出、反序列化仍可写入、MQ 同步报文保持原样。

+ * + * @author WebSoft + */ +class UserCredentialSerializationTest { + + private static final String PWD_HASH = "$2a$10$abcdefghijklmnopqrstuvABCDEFGHIJKLMNOPQRSTUVWXYZ012345"; + private static final String PAY_HASH = "$2a$10$zyxwvutsrqponmlkjihgfeDCBAHGFEDCBAZYXWVUTSRQPONMLKJIHG"; + + private User user() { + User user = new User(); + user.setUserId(1); + user.setUsername("zhangsan"); + user.setPhone("13800000009"); + user.setPassword(PWD_HASH); + user.setPayPassword(PAY_HASH); + return user; + } + + @Test + @DisplayName("序列化 User 时不输出任何密码字段") + void serializationHidesCredentials() throws Exception { + String json = new ObjectMapper().writeValueAsString(user()); + + assertFalse(json.contains("password"), "响应不应包含 password / payPassword 字段"); + assertFalse(json.contains("payPassword"), "响应不应包含 payPassword 字段"); + assertFalse(json.contains(PWD_HASH), "响应不应包含登录密码哈希"); + assertFalse(json.contains(PAY_HASH), "响应不应包含支付密码哈希"); + // 非敏感字段照常输出，避免误伤 + assertTrue(json.contains("zhangsan")); + assertTrue(json.contains("13800000009")); + } + + @Test + @DisplayName("反序列化仍能写入密码，注册/改密/批量导入不受影响") + void deserializationStillAcceptsCredentials() throws Exception { + String body = "{\"username\":\"lisi\",\"password\":\"" + PWD_HASH + + "\",\"payPassword\":\"" + PAY_HASH + "\"}"; + + User parsed = new ObjectMapper().readValue(body, User.class); + + assertEquals("lisi", parsed.getUsername()); + assertEquals(PWD_HASH, parsed.getPassword()); + assertEquals(PAY_HASH, parsed.getPayPassword()); + } + + @Test + @DisplayName("同步到 websopy 的 MQ 报文仍包含密码字段，行为与修复前一致") + void mqPayloadStillCarriesCredentials() { + RabbitTemplate rabbitTemplate = mock(RabbitTemplate.class); + MessageConverter messageConverter = mock(MessageConverter.class); + RabbitMQSyncProducer producer = + new RabbitMQSyncProducer(rabbitTemplate, messageConverter, new ObjectMapper()); + + producer.sendUserSyncMessage("websopy", "CREATE", user()); + + ArgumentCaptor captor = ArgumentCaptor.forClass(SyncMessage.class); + verify(rabbitTemplate).convertAndSend( + eq(RabbitMQConfig.SYNC_EXCHANGE), anyString(), captor.capture(), + any(CorrelationData.class)); + + Map data = captor.getValue().getData(); + assertEquals(PWD_HASH, data.get("password")); + assertEquals(PAY_HASH, data.get("payPassword")); + assertEquals("zhangsan", data.get("username")); + } + +}