 Simon
|
0042519f66
|
fix(security): P0-NEW12 调试端点代码层根因（debug.py 集中 + app_env 优先）
【触发】
2026-08-12 09:00 早班巡检：jumpserver-V2 容器内 `python urllib` 绕开 nginx 直测
FastAPI（backend:8000）：
- /test-ping 200 pong
- /test-error 200 "服务器内部错误"
- /version 200 1.1.0（含 git hash）
- /openapi.json 404（P0-NEW11 已闭环）
真实风险：公网 404 全部依赖 nginx 边缘层兜底；若 nginx 配置被误改 /
失效 / 容器间网络可达 backend:8000，攻击者可拿到 3 个调试端点。
【修复（v1.0 + v1.1 二次修复）】
1. 新建 src/backend/app/api/debug.py 集中 3 个调试端点（/api/debug/ping
/error /version），加双重门控：
- 模块级：main.py `if _is_dev_mode():` 块内 include_router(debug_router)
- 端点级：每个端点内部 _is_dev_mode() 二次校验（防 fail-open）
2. 删除 main.py 散落的 /test-ping /test-error /version
3. debug.py 的 _is_dev_mode() 委托 main.py:48 单一真源（避免三处定义漂移）
4. 【v1.1 二次修复】_is_dev_mode() / _dev_mode_enabled() 改为 app_env 优先：
- 优先级 1: app_env=="production" → 永远 False（即使 DEV_MODE=true）
- 优先级 2: 非 production → 看 DEV_MODE / settings.dev_mode
同步修复 main.py + dev_auth.py（两个独立实现不能漏一处）
5. tests/conftest.py enable_dev_mode fixture 同步设 APP_ENV=development
（避免 dev 测试 case 因 app_env 默认 production 而 fail）
【验证（公网 + 容器内）】
- 公网 12 端点：3 旧端点 404 + 3 新端点 404 + 3 dev 403（nginx IP 白名单）+
1 health 200 + 3 P0-NEW11 404 ✅
- 容器内直连 backend:8000 6 端点：100% 4xx ✅（用户原话真实风险场景）
- 回归测试 10 passed + 1 skipped（psutil 缺包）
【部署】
jumpserver-V2 PSFTP + sudo cp + chown admin:admin + 清理 __pycache__ +
docker restart wecom_it_backend
v1 部署：10:48
v2 部署：10:55（app_env 优先修复后）
【关联】
- 缺陷单：docs/03-测试文档/05-缺陷单/BUG-安全-005-调试端点无门控-001.md
- 看板：项目状态看板 v1.9.7-DRAFT P0-NEW12 ✅ 已修复
- 工作日志：.workbuddy/memory/2026-08-12.md
- MEMORY 铁律：.workbuddy/memory/MEMORY.md「调试端点铁律」5 条
|
2026-08-12 11:01:14 +08:00 |
|