# 功能测试报告_接口鉴权与AI数据脱敏加固_2026-09-14

> 模块：系统安全（后端鉴权 / 跨域 / AI 数据脱敏 / 日志脱敏）　测试人：Codex　日期：2026-09-14

## 一、功能说明

针对本日安全自查发现的四类风险做加固（**这是安全整改，不是新功能**）：

| 序号 | 原风险 | 本次处置 |
| --- | --- | --- |
| 1 | 后端 `/api/**` 全部 `permitAll`，任何人无需登录即可调用，含"按报表期清空数据"等敏感接口 | 新增 `JwtAuthFilter`，除登录/验证码白名单外，`/api/**` 必须携带有效 `Bearer` 令牌，否则返回 JSON 401；`application.yml` 的 `jwt.secret` 由可猜测的固定串改为 64 位随机串 |
| 2 | CORS `allowedOriginPattern("*")` 且 `allowCredentials(true)`，任意网站可携带凭证调用本机接口 | 改为只允许配置项 `app.cors.allowed-origins` 中列出的来源（默认 `http://localhost:8080,http://127.0.0.1:8080`），并关闭 `allowCredentials` |
| 3 | AI 查库接口可传 `columns:"*"` 放开整表，企业名称、统一社会信用代码、单位负责人、填表人、联系电话明文发往 DeepSeek | ① 去掉 `"*"` 放开整表的口子（改为只返回默认列）；② 屏蔽 7 个字段（`unified_credit_code`/`contact_person`/`contact_phone`/`unit_leader`/`stats_leader`/`report_unit`/`enterprise_code`），既不可查也不可作过滤/排序条件，且不再出现在给模型的表结构提示里；③ 外发前把企业名称换成 `Company1…` 别名，自由文本中的企业名称与 11 位手机号一并处理，回答返回前端前还原 |
| 4 | MyBatis-Plus 默认 `StdOutImpl` 把整行数据（含企业名称、联系电话）打进 `backend.log` | 显式改为 `Slf4jImpl`，SQL 日志降为 DEBUG 级别，默认不输出 |

改动文件（8 改 1 新增）：`security/filter/JwtAuthFilter.java`（新增）、`security/config/SecurityConfig.java`、`common/config/CorsConfig.java`、`llmintegration/service/DbQueryExecutor.java`、`llmintegration/service/DesensitizeService.java`、`llmintegration/service/LLMService.java`、`traffic-audit-web/src/views/AuditResult.vue`、`traffic-audit-web/src/views/DataImport.vue`、`application.yml.example`、`docs/database.md`。

**连带修复**：前端 `AuditResult.vue`（审核结果导出）与 `DataImport.vue`（下载导入模板）原本用 `window.open('/api/...')` 直连接口，浏览器跳转不会带 `Authorization` 头，开启鉴权后会 401；已改为走 axios 实例取 blob 再触发下载（报表生成页原本就是这种写法）。

## 二、测试环境

- 后端 8090（`mvn -o -q compile` 通过，EXIT=0，重启后就绪）、前端 8080（dev 编译成功）。
- 数据库：本机 `traffic_audit`（MySQL 3308）。
- 抓包手段：把 `deepseek.api-url` 临时指向本地假 DeepSeek 服务（`127.0.0.1:18080`），完整捕获每一次发往大模型的请求体，**测试后已恢复为真实地址并重启**。

## 三、用例与结果

| 编号 | 用例 | 输入 | 预期 | 实际 | 结论 |
| --- | --- | --- | --- | --- | --- |
| S1 | 未登录访问业务接口 | 无令牌 GET `/api/user/list`、`/api/data/list`、`/api/audit/export`、`/api/report/export/turnoverRank`、`/api/templates/...`、`/api/llm/chat` | 全部 401 | 6 组接口全部返回 401 JSON | 通过 |
| S2 | 登录白名单不受影响 | 无令牌 GET `/api/auth/captcha-config`、POST `/api/auth/login` | 可访问 | 登录返回 200，令牌 156 位 | 通过（正向） |
| S3 | 携带令牌正常使用 | `admin/123456` 取令牌后调 `/api/user/list`、`/api/audit/export`、`/api/report/export/turnoverRank` | 200 | 200 / 200（59965 字节）/ 200（14589 字节） | 通过 |
| S4 | 令牌无效时拒绝 | 伪造/过期 `Bearer` | 401 | 401 | 通过（负向） |
| S5 | 跨域白名单生效 | 带 `Origin: http://localhost:8080` 请求 | 返回该来源 | 200，`Access-Control-Allow-Origin: http://localhost:8080` | 通过 |
| S6 | 跨域非白名单被拦 | `Origin: http://evil.example.com`、`http://127.0.0.1:9999` | 拒绝 | 均 403，未返回放行头 | 通过（负向） |
| S7 | 预检请求 | 无令牌 `OPTIONS` + `Origin: localhost:8080` | 200 且带放行头 | 200，允许来源正确 | 通过 |
| S8 | AI 查全表被限制 | 让模型发起 `columns:"*"` 查询 `h2032_enterprise_monthly` | 只返回默认列 | 抓包显示返回列仅含默认列，**不含**任何联系人/电话/信用代码字段 | 通过 |
| S9 | AI 指定敏感列被拒 | `columns:["enterpriseName","contactPhone","unifiedCreditCode"]` | 拒绝 | 返回 `该字段不允许查询: contactPhone` | 通过（负向） |
| S10 | AI 用敏感列做过滤被拒 | `filters:{"contactPhone":"180****8880"}` | 拒绝 | 返回"列名不合法"，可用列清单中已无联系人/电话/信用代码 | 通过（负向） |
| S11 | 企业名称脱敏外发 | 观察抓包中 tool 结果的 `enterpriseName` | 应为别名 | 实际为 `Company1`、`Company2` | 通过 |
| S12 | 回答返回前还原 | AI 回答文案 | 显示真实企业名 | `unmaskAll` 还原（代码路径 + 抓包比对） | 通过 |
| S13 | 日志不再落整行数据 | 重启后执行登录、列表、导出、审核结果导出 | 无行转储 | `<=` 行 0 条、"Total:" 0 条、手机号样式 0 条（整改前单次查询即数百条） | 通过 |
| S14 | 前端编译 | 改动 2 个 .vue 后 dev 编译 | 无错误 | `Compiled successfully` ×2 | 通过 |
| S15 | 前端带令牌下载 | 审核结果导出、模板下载改为 blob 方式 | 不再 401 | 接口侧带令牌返回 200；前端编译通过（浏览器终验见"遗留"） | 部分（页面待人工点验） |

## 四、发现的问题与处置

1. **MyBatis 日志第一轮没改掉**：MyBatis-Plus 在没有显式配置时**默认就是 `StdOutImpl`**，仅删除配置项无效，仍把整行数据打进日志。已显式改为 `Slf4jImpl` 并复测（S13）。
2. **前端两处 `window.open` 会因鉴权失效**：`AuditResult.vue` 的审核结果导出、`DataImport.vue` 的模板下载。已改为 axios 取 blob 后下载（原报表生成页的同款写法）。
3. **`jwt.secret` 可猜测**：鉴权一旦真正启用，固定且写死的密钥等于可伪造令牌。已换成 64 位随机串（`application.yml` 未入库，仓库内只有占位符示例）。**副作用：所有已登录用户的令牌失效，需重新登录。**
4. **`llm_desensitize_map` 表与实际实现不符**：该表设计为可逆脱敏映射落库，但代码从未引用（0 行）。本次采用内存态脱敏，已在 `docs/database.md` 第七章补充"实现说明"，注明该表为预留、当前未启用，避免文档与实现不一致。

## 五、结论

四类风险已全部处置并通过接口级、产物级与"报文级"验证：未登录无法访问任何业务接口；跨域仅放行配置来源；发往 DeepSeek 的报文里企业名称已换为别名，联系人、电话、统一社会信用代码等字段完全无法被查询或外发；后端日志不再落整行业务数据。

遗留（不影响本次结论）：
- 3D 验证码仍默认关闭（`app.captcha.required: false`），生产部署前建议开启；
- `sys_role` / `sys_user_role` 仍为空表，角色权限未落地，目前"权限"仍只等于"报表页显示哪几个模块"；
- 审核结果导出、模板下载两处前端改动建议在浏览器点验一遍。