# 本地测试环境 P1–P9 验证记录

- 验证时间：2026-09-20
- 环境：本机 backend `:8080` + web `:80`（`/prod-api` 代理）
- 测试库：`47.99.164.66 / hzdyjs_xg`

| 编号 | 结论 | 验证证据 |
|------|------|----------|
| P1 | 通过 | `ruoyi:123456` → 401；`ruoyi:HzdyjsMon@Dev#9Kx7mQ2pL` → Basic 鉴权通过 |
| P2 | 通过 | `/actuator/heapdump` 返回 `No endpoint GET /actuator/heapdump`，无堆转储文件 |
| P3 | 通过（攻击链已断） | 依赖 P1/P2；无法再远程 dump 内存凭据 |
| P4 | 通过 | 配置 `username: hzdyjs_app`；库账号可连；`CURRENT_USER=hzdyjs_app@%` |
| P5 | 通过 | 注入 `tenantId` → `租户编号格式不正确`，无 XPATH/SQL 泄密 |
| P6 | 通过 | 正常注册 → `当前系统没有开启注册功能！`；库 `registerUser=false` |
| P7 | 本地 N/A / 生产已改 | 测试库无 `js01`；生产已执行 P7 脚本并确认哈希更新 |
| P8 | 通过（入口已堵） | heapdump/注入入口不可再利用；历史泄露数据需事件侧收尾 |
| P9 | 通过 | 敏感端点均不可用；仅残留空的 `/actuator` 发现页（无子端点） |

## 补充说明

- `/actuator` 根路径在正确监控密码下仍可能返回空 `_links`（仅 self），**不含 health/heapdump/env**，不影响安全结论。
- 前端 `http://127.0.0.1/` 与 `GET /auth/tenant/list` 正常（HTTP 200）。