20260922 安全扫描修改

针对扫描报告中免登录接口暴露、敏感信息泄露及可写风险的整改记录。
扫描样例：GET /prod-api/zsjy/enrollment/info/query?examNumber=123456 可免登返回身份证、手机号等。

一、本次处理范围

优先级	项	处理结果
P0	`POST /rs/init/update-menu` 未授权改菜单	已整改
P0	Swagger `/api-docs`、`/swagger-ui/**`	已下线
P0	Demo `/demo/mail/`、`/demo/queue/delayed/`	已下线（运行包不再引入）
P0	招生 5 个免登接口（含扫描点名 `query`）	已整改（须登录）
P1	`GET /cas/accessToken` 密钥暴露与日志明文	部分整改（前端去 secret + 日志脱敏；后端 secret 外置待做）
P1	`POST /rs/application/submit` 匿名滥投	已整改（须登录）

二、已完成修改明细

1. P0：`POST /rs/init/update-menu` 须登录

问题：标注 @SaIgnore，未登录即可删改 sys_menu / sys_role_menu。

修改：

移除 @SaIgnore
增加 @SaCheckPermission("system:menu:edit")

文件：

backend/ruoyi-modules/ruoyi-rs/src/main/java/org/dromara/rs/controller/RsInitController.java

验证：未带 Token → 401；无 system:menu:edit → 无权限。

2. P0：Swagger / api-docs 下线

问题：security.excludes 放行文档路径，且 springdoc 开启，便于枚举全量接口。

修改：

springdoc.api-docs.enabled / swagger-ui.enabled → false
从 security.excludes 移除 /api-docs、/swagger-ui/**、/v3/api-docs/**、/webjars/** 等

文件：

backend/ruoyi-admin/src/main/resources/application.yml

验证：访问 /prod-api/swagger-ui.html、/prod-api/api-docs 不可用。

3. P0：Demo 模块下线

问题：ruoyi-demo 打入运行包，邮件、延迟队列等接口带 @SaIgnore。

修改：注释掉运行路径上所有 ruoyi-demo 依赖（admin + 各业务模块），Controller 不再注册。

文件：

backend/ruoyi-admin/pom.xml
backend/ruoyi-modules/ruoyi-hq/pom.xml
backend/ruoyi-modules/ruoyi-rs/pom.xml
backend/ruoyi-modules/ruoyi-cw/pom.xml
backend/ruoyi-modules/ruoyi-xg/pom.xml
backend/ruoyi-modules/ruoyi-zsjy/pom.xml
backend/ruoyi-modules/ruoyi-jcbt/pom.xml
backend/ruoyi-modules/ruoyi-xskh/pom.xml
backend/ruoyi-modules/ruoyi-bzrkh/pom.xml
backend/ruoyi-modules/ruoyi-aqbw/pom.xml

说明：源码目录 ruoyi-modules/ruoyi-demo 仍保留，默认构建/部署不加载。

验证：/prod-api/demo/mail/**、/prod-api/demo/queue/delayed/** → 404。

4. P0：招生报名相关 5 个接口须登录（扫描报告点名）

问题：以下接口标注 @SaIgnore，未登录即可访问；其中 query 仅凭准考证号即可返回身份证、手机号、住址等敏感信息。

方法	路径	说明
GET	`/zsjy/enrollment/info/query`	按身份证/准考证查报名
POST	`/zsjy/enrollment/info/submit`	学生提交报名
GET	`/zsjy/enrollment/info/myStatus`	查本人报名状态
GET	`/zsjy/enrollment/info/colleges`	学院列表
GET	`/zsjy/enrollment/info/majors/{collegeId}`	专业列表

修改：

后端：移除上述 5 个方法的 @SaIgnore，走统一登录校验
移动端：去掉 isToken: false，请求携带 Token

文件：

backend/ruoyi-modules/ruoyi-zsjy/src/main/java/org/dromara/zsjy/controller/ZsjyEnrollmentInfoController.java
mobile/src/api/enrollment.js
mobile/src/pages/enrollment/index.vue

影响：新生报名页须先登录再查询/提交；未带 Token 访问上述接口返回 401。

验证：

无 Token 访问 GET /prod-api/zsjy/enrollment/info/query?examNumber=123456 → 401
登录后携带 Token 可正常查询/提交

5. P1：CAS 换票 — 前端去 secret + 日志脱敏

问题：

前端写死 CAS_CLIENT_SECRET（虽未参与换票，但会进浏览器包）
后端日志打印含 secret 的完整 URL、access_token、完整 profile

修改：

删除前端 CAS_CLIENT_SECRET；换票仍只调 GET /cas/accessToken?code=...
前端控制台不再打印含 Token 的响应 body
CasController 日志仅保留 base/client_id/长度等非敏感信息；失败响应不再回传 CAS 原始报文

文件：

web/src/views/login.vue
backend/ruoyi-admin/src/main/java/org/dromara/web/controller/CasController.java
docs/开发文档/统一身份认证接入说明.md（同步说明）

对登录影响：无（前端本未使用 secret；日志脱敏不改换票逻辑）。

未做（后续建议）：

后端 CLIENT_SECRET 配置外置 + 向 CAS 轮换密钥
/cas/accessToken IP 限流

6. P1：`POST /rs/application/submit` 须登录

问题：@SaIgnore + security.excludes 放行，可匿名灌简历数据。

修改：

移除 @SaIgnore
从 security.excludes 删除 /rs/application/submit
提交时绑定 applicantId = LoginHelper.getUserId()

文件：

backend/ruoyi-modules/ruoyi-rs/src/main/java/org/dromara/rs/controller/RsApplicationController.java
backend/ruoyi-admin/src/main/resources/application.yml
docs/开发文档/API/招聘模块API.md

影响：招聘门户投递须先登录；/rs/job/public/** 公开浏览不受影响。

三、部署与验证清单

重新编译打包后端（demo 依赖变更需完整构建），部署后重启。
前端若已发布含 CAS secret 的旧包，需重新构建发布 web。
移动端报名相关改动需重新发布 mobile。
抽查：
- POST /rs/init/update-menu 无 Token → 401
- /swagger-ui.html、/api-docs 不可用
- /demo/mail/** → 404
- GET /zsjy/enrollment/info/query?examNumber=123456 无 Token → 401
- 招生 submit / myStatus / colleges / majors 无 Token → 401
- CAS 统一认证登录仍可用
- POST /rs/application/submit 无 Token → 401；登录后可提交

四、相关分项说明（可作附录查阅）

文档	内容
`问题整改/P0-rs-init-update-menu免登整改说明.md`	菜单更新接口
`问题整改/P0-Swagger与Demo下线整改说明.md`	Swagger / Demo
`问题整改/P1-CAS换票密钥与日志脱敏整改说明.md`	CAS
`问题整改/P1-rs-application-submit须登录整改说明.md`	应聘提交

文档日期：2026-09-22
主题：安全扫描修改

20260922-安全扫描修改.md 6.5 KB History Raw