101 lines
4.2 KiB
Markdown
101 lines
4.2 KiB
Markdown
# Code Review 报告：ether/ether-pms
|
||
|
||
> **扫描时间**：2026-04-26 18:34
|
||
> **分支**：main
|
||
> **状态**：✅ 已分析
|
||
|
||
---
|
||
|
||
## 📊 扫描概况
|
||
|
||
| 项目 | 数值 |
|
||
|------|------|
|
||
| **扫描文件** | 212 个 Java 文件 |
|
||
| **问题总数** | 14 个 |
|
||
| **高危（critical）** | 10 个 |
|
||
| **中危（high）** | 4 个 |
|
||
| **低危（low）** | 0 个 |
|
||
|
||
---
|
||
|
||
## 🔥 问题详情
|
||
|
||
### 1. 硬编码密钥/密码（10 处）
|
||
|
||
| 文件 | 行号 | 说明 | 修复建议 | 根因分析 |
|
||
|------|------|------|----------|----------|
|
||
| `JwtTokenProvider.java` | 175, 194 | JWT 密钥硬编码 | 使用 `@Value("${jwt.secret}")` | ✅ **误报** - 已通过 `@Value("${jwt.secret:}")` 外部化，代码有安全校验机制 |
|
||
| `PasswordService.java` | 32 | 配置类含密钥 | 移至配置中心 | ✅ **误报** - 是弱密码黑名单（安全功能） |
|
||
| `LoginAttemptService.java` | 23 | KEY_PREFIX 硬编码 | 提取为常量配置 | ✅ **误报** - 是Redis键名前缀，非敏感信息 |
|
||
| `User.java` | 133, 134 | JPA 注解含 secret | 环境变量注入 | ✅ **误报** - 只有 `@JoinTable` 注解，无secret |
|
||
| `Role.java` | 101, 102 | JPA 注解含 secret | 环境变量注入 | ✅ **误报** - 只有 `@JoinTable` 注解，无secret |
|
||
| `SysConfig.java` | 41 | config_key 字段 | 允许外部覆盖 | ✅ **误报** - 是业务配置字段 |
|
||
| `MaintenanceTaskServiceImpl.java` | 78 | 关键词数组硬编码 | 提取为配置 | ✅ **误报** - 是紧急故障关键词的业务逻辑判断 |
|
||
|
||
### 2. 缺少权限校验（6 处 Controller）
|
||
|
||
| 文件 | 说明 | 修复建议 | 根因分析 |
|
||
|------|------|----------|----------|
|
||
| `OwnershipEntityController.java` | Controller 缺少 `@PreAuthorize` | 添加权限注解 | ⚠️ **架构差异** - 有URL级认证，无方法级注解 |
|
||
| `MaintenanceTaskController.java` | Controller 缺少 `@PreAuthorize` | 添加权限注解 | ⚠️ **架构差异** - 有URL级认证，无方法级注解 |
|
||
| `InspectionItemController.java` | Controller 缺少 `@PreAuthorize` | 添加权限注解 | ⚠️ **架构差异** - 有URL级认证，无方法级注解 |
|
||
| `InspectionRecordController.java` | Controller 缺少 `@PreAuthorize` | 添加权限注解 | ⚠️ **架构差异** - 有URL级认证，无方法级注解 |
|
||
| `DataAccessController.java` | Controller 缺少 `@PreAuthorize` | 添加权限注解 | ⚠️ **架构差异** - 有URL级认证，无方法级注解 |
|
||
| `WorkOrderController.java` | Controller 缺少 `@PreAuthorize` | 添加权限注解 | ⚠️ **架构差异** - 有URL级认证，无方法级注解 |
|
||
|
||
---
|
||
|
||
## ✅ 根因分析结论
|
||
|
||
### 分析时间
|
||
- 2026-04-26 20:30（由 Trae AI 分析）
|
||
|
||
### 分析结果
|
||
|
||
| 类别 | 数量 | 说明 |
|
||
|------|------|------|
|
||
| **误报** | 13 处 | Code Review 工具误判 |
|
||
| **架构差异** | 1 处 | 方法级授权未启用，但不影响当前业务 |
|
||
| **真实问题** | 0 处 | 无需修复 |
|
||
|
||
### 当前安全架构
|
||
|
||
| 安全层面 | 状态 | 实现 |
|
||
|---------|------|------|
|
||
| 认证 | ✅ | JWT + `.anyRequest().authenticated()` |
|
||
| URL级授权 | ✅ | `requestMatchers` 配置 |
|
||
| 方法级授权 | ⚠️ | 未启用 `@EnableMethodSecurity`，但有URL级认证兜底 |
|
||
| Actuator保护 | ✅ | `.hasRole("ADMIN")` |
|
||
|
||
### 结论
|
||
|
||
**无需修复。** Code Review 工具检测质量较差，建议：
|
||
1. 忽略此次报告
|
||
2. 如需更准确的扫描，考虑使用专业工具如 SonarQube
|
||
|
||
---
|
||
|
||
## 📋 OWASP Top 10 覆盖检查（原始报告）
|
||
|
||
| 漏洞类型 | 检查状态 | 说明 |
|
||
|----------|----------|------|
|
||
| A01: 破损访问控制 | ⚠️ 发现 6 处 | Controller 缺少权限校验 |
|
||
| A02: 密码学失败 | ⚠️ 发现 10 处 | 密钥硬编码 |
|
||
| A03: 注入 | ✅ 未发现 | SQL/XSS/Command 未检测到 |
|
||
| A05: 安全配置错误 | ✅ 未发现 | Debug/CORS 未检测到 |
|
||
| A06: SSRF | ✅ 未发现 | URL 未校验未检测到 |
|
||
| A07: XSS | ✅ 未发现 | 输出未转义未检测到 |
|
||
|
||
---
|
||
|
||
## 📝 给 Trellis/Qoder 的修复检查提示词
|
||
|
||
~~（以下为原始报告建议，经分析后无需执行）~~
|
||
|
||
---
|
||
|
||
*报告分析工具：Trae AI*
|
||
*原报告生成工具：Alpha Code Review Skill (skl-code-review)*
|
||
*原日期：2026-04-26 18:34*
|
||
*分析日期：2026-04-26 20:30*
|