明星电力充电桩
parent: 215b30 | 补丁 | 提交对比
puzhibing
2026-08-28 f103c8c1e09e2475dc4ac4d3ddc1598146e4da38
refs
用户 puzhibing <393733352@qq.com>
星期五, 八月 28, 2026 15:55 +0800
提交者 puzhibing <393733352@qq.com>
星期五, 八月 28, 2026 15:55 +0800
提交f103c8c1e09e2475dc4ac4d3ddc1598146e4da38
目录 05bb16016464932a13e6543675b1d68994156651 目录 | zip | gz
parent 215b30272f42e2b7d219c7b59ee3aa2b4ce85b09 查看 | 对比 
修复系统越权访问漏洞

1. 用户接口响应脱敏：SysUserController 返回数据将 password/operationPassword 置空，防止密码哈希泄露
2. 网关鉴权隔离：AuthFilter 拦截 applet 类型 token 访问 /system 管理接口，防止小程序 token 越权访问管理后台接口
3. 修复空权限集合放行缺陷：AuthLogic 校验接口权限时权限集合为空不再放行，未配置权限的接口默认拒绝
4. 内部接口增加 @InnerAuth 校验：TAppUserController/TChargingGunController/TChargingOrderController 仅允许服务间调用
5. 用户角色管理接口增加权限校验：SysUserController/SysUserRoleController 的 authRole 等接口增加 @RequiresPermissions 权限控制
9个文件已修改
105 ■■■■■ 已修改文件
ruoyi-auth/src/main/java/com/ruoyi/auth/controller/TokenController.java 2 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史
ruoyi-common/ruoyi-common-core/src/main/java/com/ruoyi/common/core/constant/TokenConstants.java 4 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史
ruoyi-common/ruoyi-common-security/src/main/java/com/ruoyi/common/security/auth/AuthLogic.java 2 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史
ruoyi-gateway/src/main/java/com/ruoyi/gateway/filter/AuthFilter.java 25 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史
ruoyi-modules/ruoyi-system/src/main/java/com/ruoyi/system/controller/SysUserController.java 33 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史
ruoyi-modules/ruoyi-system/src/main/java/com/ruoyi/system/controller/SysUserRoleController.java 9 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史
ruoyi-service/ruoyi-account/src/main/java/com/ruoyi/account/controller/TAppUserController.java 14 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史
ruoyi-service/ruoyi-chargingPile/src/main/java/com/ruoyi/chargingPile/controller/TChargingGunController.java 12 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史
ruoyi-service/ruoyi-order/src/main/java/com/ruoyi/order/controller/TChargingOrderController.java 4 ●●●●● 对比 | 查看 | 原始文档 | blame | 历史