Security Sensitive Data Hardening

status: done

背景

当前安全评估指出 5 类敏感信息与上传面风险：

/system/config/page 返回系统参数时暴露 sys.user.initPassword 明文默认密码。
/system/user/page 返回用户分页时包含 password、salt 等认证字段，并直接暴露手机号、身份证号等 PII。
/system/cache/page 与 /system/cache/getInfo 可枚举 Redis 敏感键和值，包括加密会话密钥、Sa-Token token/session 等。
/system/storage/config/default 可能返回 OSS AccessKey/SecretKey 等云存储凭据。
/api/file/upload 允许认证用户上传 HTML、JSP、PHP 等高风险文件，文件类型校验依赖存储配置且默认配置可能为空。

目标

系统配置接口不再返回密码、密钥、token、secret 等敏感配置明文。
用户分页、详情、个人资料接口不再返回密码哈希和盐；用户列表手机号、身份证号等 PII 默认脱敏。
缓存管理接口只允许超级管理员访问，并对敏感缓存键做列表过滤、详情拒绝、删除保护。
文件存储配置普通上传场景只返回安全元数据，管理接口返回的 AK/SK 默认脱敏。
上传接口强制执行安全文件类型策略：限制扩展名、拒绝脚本/网页可执行类文件、校验 MIME 与扩展名基本一致。
增加用户级强制改密标记，支持“初始密码/管理员重置后首次登录必须修改密码”。
迁移脚本清空默认密码配置、为存量用户标记强制改密、补齐默认上传白名单。

非目标

不在代码中提交新的固定默认密码。
不在代码中硬编码本次泄露的真实密码、AK/SK。
不直接替生产环境吊销云厂商密钥；该动作必须由运维在云平台完成。
不静默生成用户新密码并通知用户；生产批量密码重置需要配套短信、邮件或人工通知流程。

设计

1. 系统配置敏感值处理

新增统一敏感键判断工具，识别包含 password、secret、token、key、credential、ak、sk 等关键字的配置键。
SysConfigController 对 page/list/detail 返回对象做脱敏拷贝，敏感 configValue 返回 ******。
/system/config/configKey/{configKey} 对敏感配置键拒绝返回明文。
SysConfigServiceImpl.updateConfig 对敏感配置支持“脱敏占位值不更新原值”，避免前端保存 ****** 覆盖真实值。
sys.user.initPassword 作为高危默认密码配置，通过迁移脚本清空并停用。

2. 用户数据返回面收口

SysUser.password、SysUser.salt 使用 @JsonIgnore，从所有 JSON 响应中排除。
新增 forcePasswordChange 字段，用于登录态强制改密。
/system/user/page 返回前对 phone、idCard、email 做脱敏；详情接口只清空认证字段，不脱敏需要编辑的字段。
/auth/userInfo、/system/user/profile 返回前清空认证字段，并保留 forcePasswordChange 供前端判断。

3. 强制改密

sys_user 新增 force_password_change，默认 0。
新增用户、管理员重置密码时设置为 1。
用户通过 /auth/changePassword 修改成功后设置为 0。
登录构建 LoginUser 时带出 forcePasswordChange。
ApiPermissionInterceptor 在 API 权限判断前检查登录用户强制改密状态；若为 true，只允许访问 /auth/userInfo、/auth/changePassword、/auth/logout 和必要密钥交换接口。
前端登录后如发现 forcePasswordChange=true，跳转 /profile 并提示必须改密；路由守卫阻止访问其他页面。

4. 缓存敏感键保护

SysCacheController 定义敏感缓存键前缀/模式：
- crypto:session:*
- Authorization:login:token:*
- Authorization:login:token-session:*
- Authorization:login:last-active:*
- satoken:*
- auth:sso:*
分页列表默认过滤敏感键，不返回 key 和 valuePreview。
精确查询、删除、批量删除、按模式清理遇到敏感键时拒绝操作。
保留超级管理员访问控制；敏感键仍不能通过缓存接口读取值。

5. 文件存储配置凭据保护

/system/storage/config/default 继续返回上传组件所需安全字段，不含 endpoint/accessKey/secretKey/bucket/domain/basePath。
管理类 page/detail 返回的 accessKey、secretKey 脱敏显示。
新增/编辑保存时，若前端提交脱敏占位值，不覆盖原凭据。
/system/storage/config/options 保持只返回 id、configName、storageType、isDefault、enabled。

6. 上传安全校验

FileManager 对所有 MultipartFile 和流式上传统一执行：
- 文件名非空、扩展名非空。
- 高风险扩展名拒绝：jsp,jspx,php,asp,aspx,html,htm,js,mjs,ts,vue,sh,bat,cmd,exe,dll,jar,war,ear,sql 等。
- 若存储配置未配置 allowedTypes，使用默认安全白名单：jpg,jpeg,png,gif,webp,pdf,doc,docx,xls,xlsx,txt,csv,zip,rar,mp4,mp3。
- MIME 与扩展名做基础匹配，高风险脚本 MIME 拒绝。
- 最大文件大小无配置时使用安全默认值。
分片上传初始化也校验文件名扩展名；分片内容无法完整 MIME 扫描，保留完成后元数据保存前的文件名策略。

数据库迁移

新增 V1.0.67__harden_sensitive_data_and_upload_controls.sql：

sys_user 增加 force_password_change tinyint(1) NOT NULL DEFAULT 0。
存量用户 force_password_change=1，用于强制所有已存在账号下次登录先改密。
sys_config 中 sys.user.initPassword 清空 config_value 并设置为停用或非系统内置。
sys_file_storage_config.allowed_types 为空时回填默认安全白名单，并移除 svg、md 等容易承载主动内容的默认公共上传类型。

验收标准

/system/config/page 和 /system/config/getById 不返回 sys.user.initPassword 明文。
/system/user/page 响应不含 password、salt，手机号/身份证号已脱敏。
/system/cache/page 不出现 crypto:session、Authorization:login、satoken 等敏感缓存键；getInfo/remove/clear 不能操作这些键。
/system/storage/config/default 不含 AK/SK；管理页只显示脱敏值。
/api/file/upload 上传 .jsp、.php、.html、.js 等文件失败。
被标记 forcePasswordChange=true 的用户登录后只能访问改密相关接口，改密成功后恢复正常访问。

生产处置要求

立即吊销评估报告中已泄露的 OSS AccessKey/SecretKey，并替换为最小权限新密钥。
批量重置所有仍使用泄露默认密码的账号密码；如无法立即通知用户，至少临时禁用或锁定风险账号。
开启 OSS 访问日志、异常告警和必要的 IP 白名单。
对用户枚举、批量登录失败、缓存管理、文件上传增加审计关注。

归档记录（HARD-GATE）

状态：done
归档时间：2026-06-27
归档人：yaomd（批量归档）
归档路径：code-copilot/changes/archive/2026-06-27-security-sensitive-data-hardening/
判定依据：任务清单全部完成，execution-log 验证通过（编译/构建/lint 闭环）。