admin/danyang-match
1
0
Fork 0
Code Issues Pull Requests Actions 1 Packages Projects Releases Wiki Activity

fix(safety): Phase 10 复验 —— 修复图片上传魔数校验死代码（生产故障）/ 高风险词写入日志

Browse Source 
对 Phase 10（Image & Chat Safety）执行 KEEP-VERIFY 复验：不采信历史 ✅，逐条核对
图片私有访问、类型/大小/魔数校验、审核与水印、风险识别/举报/违规处理、日志脱敏。
Gate 判定通过，发现并修复 2 处缺陷，并推翻旧报告 2 项安全声明。

D1（Critical，生产故障）图片上传的类型与魔数校验整条是死代码
  - PhotoService.uploadAndSave 用 `header = new byte[Math.min(12, stream.available())]`
    仅分配零值缓冲，从不调用 stream.read(...) → validateMagicNumber 对任何文件都收到
    12 个 0x00 → 恒返回 false → 恒抛"无效的图片文件头"。
  - 影响链（已确认线上触发）：小程序 local-eligibility-supplement.ts 以
    photoType='local_eligibility' 调 POST /photos/upload → 本地资格佐证上传 100% 失败。
  - 次生问题：isAllowedMimeType（image-only 白名单）在 local_eligibility 分支之后
    无条件执行，即使魔数修好，application/pdf 仍被挡，而 FeatureFlagConfig
    的 localEvidenceAllowedTypes 明确允许 pdf；另有未 mark 的 stream.reset() 无效调用。
  - 测试为何没发现：PhotoServiceTest 只对 validateMagicNumber 传手写字节做单测，
    从不经过 uploadAndSave，该路径缺陷完全无覆盖。
  - 修复：改用 try(InputStream){ header = s.readNBytes(12); } 真正读取；
    MIME 校验按 photoType 分流（local_eligibility 走自己的白名单含 pdf）；
    魔数校验仅对图片执行、PDF 跳过；移除死 reset()；上传用全新流与校验流隔离；
    generateFileKey 重载按 Content-Type 推断扩展名，PDF 不再拿到误导性 .jpg key。

D2（Low）高风险词写入普通日志
  - ChatSafetyService.scanContent 把命中的高风险词原样写入 log.warn，
    与同文件 CONTACT 分支"只记 pattern 不记内容"矛盾，且违反本阶段 Gate。
  - 修复：改为 log.warn("Chat content matched HIGH_RISK keyword (blocked)")。

推翻的旧声明（docs/Phase-10-Completion-Report.md）
  - 「伪装恶意图片被拒（Magic Number校验）」不成立：该校验运行时恒失败，
    连合法图片也一律被拒（fail-closed 到不可用），安全属性并非由它提供。
  - 「EXIF清理预留（PhotoService.stripExif占位）」不存在：全仓库无该符号。
    且 getUploadToken 客户端直传路径服务端无法介入清理 EXIF。
  - 已在旧报告顶部加状态注记，指向本次复验报告。

测试
  - 新增 PhotoUploadValidationTest（6 用例），用 MockMultipartFile 真正走一遍
    uploadAndSave：合法 JPEG/PNG 通过且确实调用 putObject、伪造 Content-Type 被魔数挡、
    PDF 佐证不被 image-only 挡且 key 以 .pdf 结尾、非法 MIME 被拒、超大被拒。
  - 负向验证：临时把魔数守卫改为 if(false && ...) → 恰好 spoofedContentTypeRejectedByMagic
    一个用例变红，其余 5 个仍绿；随后还原并 grep 确认无 NEGATIVE-CHECK-TEMP 残留。
  - 全量回归（离线容器 danyang-match-backend-test，mvn -o test）：
    334 tests / 0 failures / 0 errors / 3 skipped / BUILD SUCCESS（基线 328，+6）。

登记 gap（不自动实现，待产品确认）
  - 图片水印：全仓库无实现；主计划未列硬需求，仅"开发执行计划修订版"提"高级动态水印"。
  - EXIF 清理：旧声明不存在；客户端直传路径服务端无法介入，需改为接收侧重编码。
  - 直传凭证路径（getUploadToken）无服务端内容校验且不落 DB 记录 → 后续 getSignedUrl
    归属校验会查不到 UserPhoto 行，属契约层缺口，超出本阶段安全 Gate 范围。
  - 违规自动升级：ChatSafetyService 注释明确属 Phase 17 范围，当前 high 仅拦截不落库。

文档：新增 Phase-10-V11-Recovery-Completion-Report-2026-09-16.md；
旧报告加状态注记；主计划 Phase 10 复选框置 ✅；STATUS / JIRA_BACKLOG 同步（334 tests）。

Phase 11 未启动，按计划每阶段出报告后停止等待确认。
This commit is contained in:
WorkBuddy
2026-09-16 21:00:52 +08:00
parent 03a03c7c11
commit fd7195ecb0
8 changed files with 378 additions and 40 deletions
Download Patch File Download Diff File Expand all files Collapse all files
docs/JIRA_BACKLOG.md
+9 -1
View File
@@ -5,9 +5,16 @@
> **2026-09-16 状态校正：** Phase 07 UI 已按 2026-09-13 规格重新实现，**首批 11 页于 2026-09-16 通过用户验收（结论：基本达标）**，本文件此前"视觉否决/REOPENED"口径随之关闭。
>
> **2026-09-16 Phase 10 复验关闭：** EPIC-P10-V11 已完成。复验中发现并修复 2 处缺陷——
> **D1（Critical，生产故障）** `PhotoService.uploadAndSave` 魔数校验因 `new byte[n]` 从不读取流而恒失败，本地资格佐证上传 100% 失败（且 PDF 被 image-only MIME 挡）；
> **D2（Low）** `ChatSafetyService` 把命中的高风险词写入普通日志。
> 同时**推翻旧报告**「伪装恶意图片被拒（Magic Number 校验）」与「EXIF清理预留（stripExif 占位）」两项声明——后者符号全仓库不存在。
> 新增 `PhotoUploadValidationTest`（6 用例，`MockMultipartFile` 真走校验链路）并做负向验证。后端全量 **334 tests / 0 failures / 0 errors**。
> 证据：`docs/Phase-10-V11-Recovery-Completion-Report-2026-09-16.md`。**Phase 11 需用户确认后启动。**
>
> **2026-09-16 Phase 09 复验关闭：** EPIC-P09-V11 已完成。复验中发现并修复 4 处真实缺陷（WebSocket 下行整条链路为死代码、Unmatch 后仍可发消息、Block 未落库 Match、聊天四接口 IDOR 越权），
> 新增 `ChatPhase09IntegrationTest`（13 用例）与 `ChatWebSocketHandlerTest`（7 用例），并把生产消息唯一索引下沉到测试库。后端全量 **328 tests / 0 failures / 0 errors**。
> 证据：`docs/Phase-09-V11-Recovery-Completion-Report-2026-09-16.md`。**Phase 10 需用户确认后启动。**
> 证据：`docs/Phase-09-V11-Recovery-Completion-Report-2026-09-16.md`。
>
> **2026-09-16 Phase 08 复验关闭：** EPIC-P08-V11 已完成。复验中发现并修复 3 处真实缺陷（搜索绕过 Block / 详情无 Block 检查 / `matches.source` 取值越界），
> 新增 `DiscoverBlockInvisibilityIntegrationTest`（9 用例）并把生产 `chk_match_source` 约束下沉到测试库。
@@ -26,6 +33,7 @@
| Phase 07 V1.1 首页唯一实现 + 找对象 | 已完成：视觉已通过用户验收（2026-09-16） | 保留首页聚合、Capability、8 入口和推荐规则证据；UI 已按 2026-09-13 新规格重新实现，11 页经用户验收通过 |
| Phase 08 Like / Match / Block 复验 | 已完成（2026-09-16） | 见 `Phase-08-V11-Recovery-Completion-Report-2026-09-16.md`；修复 3 处真实缺陷（搜索绕过 Block、详情无 Block 检查、`matches.source` 取值越界），后端 308 tests 全绿 |
| Phase 09 Text Chat 复验 | 已完成（2026-09-16） | 见 `Phase-09-V11-Recovery-Completion-Report-2026-09-16.md`；修复 4 处真实缺陷（WebSocket 下行死代码、Unmatch 后仍可发消息、Block 未落库 Match、聊天接口 IDOR），后端 328 tests 全绿；Phase 10 尚未获准 |
| Phase 10 Image & Chat Safety 复验 | 已完成（2026-09-16） | 见 `Phase-10-V11-Recovery-Completion-Report-2026-09-16.md`；修复 2 处缺陷（图片上传魔数校验死代码致本地资格佐证上传 100% 失败、高风险词写入日志），推翻旧报告 2 项安全声明，后端 334 tests 全绿；Phase 11 尚未获准 |
| UI-CLEANUP-20260913 | 已完成 | 废弃 UI 代码、冲突规范、旧计划和无效验收证据已清理；`ui-document-baseline-contracts` 锁定唯一视觉入口 |
| UI-ADMIN-20260913 | 已完成（待桌面端目视复验） | 管理端全局框架与工作台已按规格交付；18 modules + 22 routes，vue-tsc 与 vite build 全绿 |
| UI-MINIAPP-20260913 | 已完成 | 小程序 11 个核心页面已重构；11/11 页 TS-only，2026-09-16 通过用户验收 |