修复系统越权访问漏洞

puzhibing

2026-08-28 f103c8c1e09e2475dc4ac4d3ddc1598146e4da38

 ruoyi-auth/src/main/java/com/ruoyi/auth/controller/TokenController.java

@@ -3,10 +3,11 @@
import javax.annotation.Resource;
import javax.servlet.http.HttpServletRequest;

import com.ruoyi.chargingPile.api.feignClient.PartnerClient;
import com.ruoyi.chargingPile.api.model.Partner;
import com.ruoyi.system.api.domain.SysRole;
import com.ruoyi.system.api.domain.SysUser;
import com.ruoyi.system.api.feignClient.SysUserClient;
import io.seata.spring.annotation.GlobalTransactional;
import lombok.extern.slf4j.Slf4j;
import org.springframework.beans.factory.annotation.Autowired;
import org.springframework.util.CollectionUtils;
@@ -40,9 +41,14 @@
   @Resource
   private SysUserClient userClient;
   
   @Resource
   private PartnerClient partnerClient;
	
	
	
	
   
   @PostMapping("login")
   @GlobalTransactional(rollbackFor = Exception.class)//分布式事务
   public R<?> login(@RequestBody LoginBody form, HttpServletRequest request) {
      // 用户登录
      LoginUser userInfo = sysLoginService.login(form.getUsername(), form.getPassword(), request);
@@ -54,7 +60,19 @@
        }

        map.put("roleName",roles.get(0).getRoleName());
      // 登录响应脱敏，禁止返回密码哈希
      userInfo.getSysUser().setPassword(null);
      map.put("info", userInfo);
      if(userInfo.getSysUser().getRoleType() == 2){
         Partner partner = partnerClient.getPartnerById(userInfo.getSysUser().getObjectId()).getData();
         map.put("partnerName", partner.getName());
      }
      long time = userInfo.getSysUser().getPassWordUpdate().getTime();
      map.put("password", false);
      //30天提示修改密码
      if(System.currentTimeMillis() >= (time + 2592000000L)){
         map.put("password", true);
      }
      // 修改用户最后登录时间
      SysUser sysUser = new SysUser();
      sysUser.setUserId(userInfo.getSysUser().getUserId());