wikiboss/shanghaipeiwan
1
0
派生 0
代码 工单 合并请求 Actions 软件包 项目 版本发布 百科 动态

security: 危险兜底默认关闭(secure by default)——修复 NODE_ENV 未设导致的身份伪造/沙箱支付/隐私泄露

浏览代码 
根因：线上 NODE_ENV 未设为 production 时，以下"开发兜底"全部自动生效：
- resolveSecureUserId 信任客户端声明的 userId → 任意用户身份伪造
- ALLOW_SANDBOX_PAY = ... || !IS_PRODUCTION → 无真实收款即可推进订单（资损）
- GET /api/users/:id 按"本人"返回余额/佣金/手机号 → 隐私泄露

修复（兜底改为必须显式开启）：
- 新增 ALLOW_INSECURE_DEV_AUTH（默认 false）；resolveSecureUserId 改为 `if (IS_PRODUCTION || !ALLOW_INSECURE_DEV_AUTH) 401`
- ALLOW_SANDBOX_PAY 改为仅 `process.env.ALLOW_SANDBOX_PAY === '1'`
- assertCompanionActor 与用户资料"本人视角"兜底加 ALLOW_INSECURE_DEV_AUTH 限制
- /api/health 新增 mode 与 sandboxPayAllowed；启动自检打印两个危险开关并告警
- 文档补充危险开关说明（生产禁止开启）

验证：本地模拟 NODE_ENV 未设 → 通知/订单/下单 均 401、用户资料不泄露隐私、沙箱支付关闭；
开启 ALLOW_INSECURE_DEV_AUTH=1 后联调能力保留；production 模式行为一致。（冒烟 13/13）
新增 secure-default-auth.spec.ts（103 套件/696 用例全绿）
这个提交包含在：
xcbyy
2026-10-20 16:35:04 +08:00
父节点 e09f072f55
当前提交 d06bf11740
共有 5 个文件被更改，包括 71 次插入 和 11 次删除
下载 Patch 文件 下载 Diff 文件 展开所有文件 折叠所有文件

30
server/src/index.ts
查看文件

@@ -407,7 +407,9 @@ function resolveSecureUserId(req: Request, claimedUserId: number, action = '操
}
return tokenUid;
}
if (IS_PRODUCTION) {
// 身份兜底（信任客户端声明的 userId）默认关闭：必须显式设置 ALLOW_INSECURE_DEV_AUTH=1，
// 且生产环境永不开放。避免"NODE_ENV 忘记设成 production"导致线上可任意伪造身份。
if (IS_PRODUCTION || !ALLOW_INSECURE_DEV_AUTH) {
const err: any = new Error(`请先登录后再${action}`);
err.status = 401;
err.code = 40100;
@@ -458,8 +460,8 @@ function assertCompanionActor(
if (own && own.ownerUserId != null && callerId === own.ownerUserId) {
return callerId;
}
if (!IS_PRODUCTION) {
// 本地联调：兼容未绑定 user_id 的历史大神数据
if (!IS_PRODUCTION && ALLOW_INSECURE_DEV_AUTH) {
// 本地联调：兼容未绑定 user_id 的历史大神数据（需显式开启 ALLOW_INSECURE_DEV_AUTH=1）
if (own && own.companionId != null && callerId === own.companionId) return callerId;
return callerId;
}
@@ -2201,7 +2203,11 @@ async function resolveWechatPayRuntimeConfig(overrideCfg?: any) {
// 生产环境支付沙箱开关：生产环境默认关闭「沙箱直接入账」，可显式设置 ALLOW_SANDBOX_PAY=1 放行
const IS_PRODUCTION = process.env.NODE_ENV === 'production';
const ALLOW_SANDBOX_PAY = process.env.ALLOW_SANDBOX_PAY === '1' || !IS_PRODUCTION;
// 危险兜底必须显式开启：
// - ALLOW_INSECURE_DEV_AUTH=1：仅在本地联调时允许"信任客户端声明 userId"
// - ALLOW_SANDBOX_PAY=1：仅在联调时允许沙箱支付（无真实收款推进订单）
const ALLOW_INSECURE_DEV_AUTH = process.env.ALLOW_INSECURE_DEV_AUTH === '1';
const ALLOW_SANDBOX_PAY = process.env.ALLOW_SANDBOX_PAY === '1';
/**
* 确认某笔微信支付已成功：优先读本地意图，其次主动向微信支付查单（含短暂重试），
@@ -3650,8 +3656,8 @@ app.get('/api/users/:id', async (req: Request, res: Response) => {
const isAdmin = isVerifiedAdminRequest(req);
let isSelf = false;
if (!isAdmin) {
if (!IS_PRODUCTION) {
// 本地联调兼容：非生产默认按本人视角返回
if (!IS_PRODUCTION && ALLOW_INSECURE_DEV_AUTH) {
// 本地联调兼容：仅在显式开启 ALLOW_INSECURE_DEV_AUTH=1 时按本人视角返回
isSelf = true;
} else {
try {
@@ -4854,7 +4860,7 @@ app.post('/api/distribution/bind', async (req: Request, res: Response) => {
async function logStartupConfigSelfCheck(): Promise<void> {
try {
const isProd = process.env.NODE_ENV === 'production';
console.log(`[Peiwan Config] 运行模式=${isProd ? 'production' : 'development'} ALLOW_SANDBOX_PAY=${ALLOW_SANDBOX_PAY}`);
console.log(`[Peiwan Config] 运行模式=${isProd ? 'production' : 'development'} ALLOW_SANDBOX_PAY=${ALLOW_SANDBOX_PAY} ALLOW_INSECURE_DEV_AUTH=${ALLOW_INSECURE_DEV_AUTH}`);
const adminSecretSet = Boolean(String(process.env.ADMIN_TOKEN_SECRET || '').trim());
const userSecretSet = Boolean(String(process.env.USER_TOKEN_SECRET || '').trim());
@@ -4869,9 +4875,15 @@ async function logStartupConfigSelfCheck(): Promise<void> {
console.warn('[Peiwan Config][WARN] 未设置有效的 ADMIN_PASSWORD（不得为 admin/admin123）：生产环境后台登录已被禁用，请尽快设置后重启。');
}
// 非生产环境身份校验放宽（允许客户端声明身份），禁止用于公网部署
// 危险兜底自检：仅在显式开启时提示（默认全部关闭 = fail-closed）
if (ALLOW_INSECURE_DEV_AUTH) {
console.warn('[Peiwan Config][WARN] 已开启 ALLOW_INSECURE_DEV_AUTH=1：未登录请求将采用客户端声明的 userId，仅限本地联调，切勿用于公网部署！');
}
if (ALLOW_SANDBOX_PAY) {
console.warn('[Peiwan Config][WARN] 已开启 ALLOW_SANDBOX_PAY=1：允许沙箱支付（无真实收款推进订单），仅限联调环境！');
}
if (!isProd) {
console.warn('[Peiwan Config][WARN] 当前非 production：用户身份校验已放宽（未登录请求将采用客户端声明的 userId），仅限本地联调，切勿用于公网部署。');
console.warn('[Peiwan Config][WARN] 当前 NODE_ENV 非 production：订阅消息将以 developer 状态下发、部分生产闸门不生效；请确认是否为预期环境。');
}
const cfg: any = await resolveWechatPayRuntimeConfig();