本地验证P1-P9结果.md 1.4 KB
本地测试环境 P1–P9 验证记录
- 验证时间：2026-09-20
- 环境：本机 backend
:8080+ web:80（/prod-api代理） - 测试库：
47.99.164.66 / hzdyjs_xg
| 编号 | 结论 | 验证证据 |
|---|---|---|
| P1 | 通过 | ruoyi:123456 → 401；ruoyi:HzdyjsMon@Dev#9Kx7mQ2pL → Basic 鉴权通过 |
| P2 | 通过 | /actuator/heapdump 返回 No endpoint GET /actuator/heapdump，无堆转储文件 |
| P3 | 通过（攻击链已断） | 依赖 P1/P2；无法再远程 dump 内存凭据 |
| P4 | 通过 | 配置 username: hzdyjs_app；库账号可连；CURRENT_USER=hzdyjs_app@% |
| P5 | 通过 | 注入 tenantId → 租户编号格式不正确，无 XPATH/SQL 泄密 |
| P6 | 通过 | 正常注册 → 当前系统没有开启注册功能！；库 registerUser=false |
| P7 | 本地 N/A / 生产已改 | 测试库无 js01；生产已执行 P7 脚本并确认哈希更新 |
| P8 | 通过（入口已堵） | heapdump/注入入口不可再利用；历史泄露数据需事件侧收尾 |
| P9 | 通过 | 敏感端点均不可用；仅残留空的 /actuator 发现页（无子端点） |
补充说明
/actuator根路径在正确监控密码下仍可能返回空_links（仅 self），不含 health/heapdump/env，不影响安全结论。- 前端
http://127.0.0.1/与GET /auth/tenant/list正常（HTTP 200）。