明星电力充电桩
parent: fecc50 | 补丁 | 提交对比
puzhibing
2026-08-28 67da53ba6c1992b1ec6ec93a489b186ee375b57c
refs
用户 puzhibing <393733352@qq.com>
星期五, 八月 28, 2026 15:55 +0800
提交者 puzhibing <393733352@qq.com>
星期五, 八月 28, 2026 16:19 +0800
提交67da53ba6c1992b1ec6ec93a489b186ee375b57c
目录 e523f623268dae02b1b6502d28b4d65885533187 目录 | zip | gz
parent fecc505ff55fcfcb3a46063e62982ebc254f6558 查看 | 对比 
修复系统越权访问漏洞

1. 用户接口响应脱敏：SysUserController 返回数据将 password/operationPassword 置空，防止密码哈希泄露
2. 网关鉴权隔离：AuthFilter 拦截 applet 类型 token 访问 /system 管理接口，防止小程序 token 越权访问管理后台接口
3. 修复空权限集合放行缺陷：AuthLogic 校验接口权限时权限集合为空不再放行，未配置权限的接口默认拒绝
4. 内部接口增加 @InnerAuth 校验：TAppUserController/TChargingGunController/TChargingOrderController 仅允许服务间调用
5. 用户角色管理接口增加权限校验：SysUserController/SysUserRoleController 的 authRole 等接口增加 @RequiresPermissions 权限控制

(cherry picked from commit f103c8c1e09e2475dc4ac4d3ddc1598146e4da38)
9个文件已修改
106 ■■■■■ 已修改文件
ruoyi-auth/src/main/java/com/ruoyi/auth/controller/TokenController.java 2 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史
ruoyi-common/ruoyi-common-core/src/main/java/com/ruoyi/common/core/constant/TokenConstants.java 4 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史
ruoyi-common/ruoyi-common-security/src/main/java/com/ruoyi/common/security/auth/AuthLogic.java 2 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史
ruoyi-gateway/src/main/java/com/ruoyi/gateway/filter/AuthFilter.java 25 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史
ruoyi-modules/ruoyi-system/src/main/java/com/ruoyi/system/controller/SysUserController.java 33 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史
ruoyi-modules/ruoyi-system/src/main/java/com/ruoyi/system/controller/SysUserRoleController.java 9 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史
ruoyi-service/ruoyi-account/src/main/java/com/ruoyi/account/controller/TAppUserController.java 14 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史
ruoyi-service/ruoyi-chargingPile/src/main/java/com/ruoyi/chargingPile/controller/TChargingGunController.java 13 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史
ruoyi-service/ruoyi-order/src/main/java/com/ruoyi/order/controller/TChargingOrderController.java 4 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史