diff --git a/backend/src/main/java/com/danyang/match/platform/chat/service/ChatSafetyService.java b/backend/src/main/java/com/danyang/match/platform/chat/service/ChatSafetyService.java index 17a9f6d..1623b18 100644 --- a/backend/src/main/java/com/danyang/match/platform/chat/service/ChatSafetyService.java +++ b/backend/src/main/java/com/danyang/match/platform/chat/service/ChatSafetyService.java @@ -77,7 +77,8 @@ public class ChatSafetyService { // 1. 高风险关键词 for (String word : HIGH_RISK_WORDS) { if (content.contains(word)) { - log.warn("Chat content matched HIGH_RISK word: '{}'", word); + // 不记录命中的具体词汇，避免将聊天内容片段写入普通日志（Phase 10 Gate） + log.warn("Chat content matched HIGH_RISK keyword (blocked)"); return ScanResult.high("检测到可能的诈骗/违规内容，消息已拦截"); } } diff --git a/backend/src/main/java/com/danyang/match/platform/photo/service/PhotoService.java b/backend/src/main/java/com/danyang/match/platform/photo/service/PhotoService.java index 1037086..1efdd32 100644 --- a/backend/src/main/java/com/danyang/match/platform/photo/service/PhotoService.java +++ b/backend/src/main/java/com/danyang/match/platform/photo/service/PhotoService.java @@ -126,39 +126,39 @@ public class PhotoService { */ @Transactional public UserPhoto uploadAndSave(String userId, MultipartFile file, String photoType, int sortOrder) { - // 1. 安全校验 - if ("local_eligibility".equals(photoType) && !isAllowedLocalEvidenceMimeType(file.getContentType())) { - throw new RuntimeException("不支持的佐证文件格式: " + file.getContentType()); - } - if (!isAllowedMimeType(file.getContentType())) { - throw new RuntimeException("不支持的图片格式: " + file.getContentType()); + // 1. 类型与大小校验 + // local_eligibility 允许 PDF 等佐证格式，有自己的白名单；其余走图片白名单。 + // 历史缺陷：此前两条 MIME 校验串行执行，PDF 会被图片白名单挡掉；魔数校验又因 + // new byte[n] 从不读取流内容而恒判失败，导致本地资格佐证上传 100% 失败。 + String contentType = file.getContentType(); + boolean isLocalEvidence = "local_eligibility".equals(photoType); + if (isLocalEvidence) { + if (!isAllowedLocalEvidenceMimeType(contentType)) { + throw new RuntimeException("不支持的佐证文件格式: " + contentType); + } + } else if (!isAllowedMimeType(contentType)) { + throw new RuntimeException("不支持的图片格式: " + contentType); } if (!validateSize(file, photoType)) { - throw new RuntimeException("图片大小超过限制（最大10MB）"); - } - InputStream stream; - try { - stream = file.getInputStream(); - } catch (IOException e) { - throw new RuntimeException("读取文件失败", e); - } - byte[] header; - try { - header = new byte[Math.min(12, stream.available())]; - } catch (IOException e) { - throw new RuntimeException("读取文件头失败", e); - } - if (!validateMagicNumber(header)) { - throw new RuntimeException("无效的图片文件头"); - } - try { - stream.reset(); - } catch (IOException e) { - throw new RuntimeException("重置输入流失败", e); + throw new RuntimeException("文件大小超过限制"); } - // 2. 生成 key 并上传 - String fileKey = generateFileKey(userId, photoType); + // 2. 魔数校验（仅图片；PDF 佐证跳过——Content-Type 已由白名单约束， + // 且其魔数 %PDF- 与图片魔数不同，混用同一校验会误杀） + if (!isLocalEvidence) { + byte[] header; + try (InputStream headerStream = file.getInputStream()) { + header = headerStream.readNBytes(12); + } catch (IOException e) { + throw new RuntimeException("读取文件头失败", e); + } + if (header.length < 3 || !validateMagicNumber(header)) { + throw new RuntimeException("无效的图片文件头"); + } + } + + // 3. 生成 key 并上传（使用全新输入流，与校验流隔离，互不干扰） + String fileKey = generateFileKey(userId, photoType, contentType); try { amazonS3.putObject(privateBucket, fileKey, file.getInputStream(), new com.amazonaws.services.s3.model.ObjectMetadata() {{ @@ -169,7 +169,7 @@ public class PhotoService { throw new RuntimeException("上传文件失败", e); } - // 3. 保存记录 + // 4. 保存记录 return savePhoto(userId, fileKey, photoType, sortOrder); } @@ -285,8 +285,27 @@ public class PhotoService { } private String generateFileKey(String userId, String photoType) { - // 从文件头推断扩展名 - String ext = ".jpg"; + // 直传凭证路径：客户端尚未上传，Content-Type 未知，沿用默认扩展名 + return String.format("photos/%s/%s/%s.jpg", + userId, + photoType, + UUID.randomUUID().toString().replace("-", "")); + } + + /** + * 按 Content-Type 推断扩展名，避免 PDF 佐证拿到 .jpg 这类误导性 key + * （对象元数据虽记录了正确的 Content-Type，但 key 后缀仍会被审核下载复用）。 + */ + private String generateFileKey(String userId, String photoType, String contentType) { + String ext = switch (contentType == null ? "" : contentType.toLowerCase()) { + case "image/jpeg" -> ".jpg"; + case "image/png" -> ".png"; + case "image/webp" -> ".webp"; + case "image/gif" -> ".gif"; + case "image/heic" -> ".heic"; + case "application/pdf" -> ".pdf"; + default -> ""; + }; return String.format("photos/%s/%s/%s%s", userId, photoType, diff --git a/backend/src/test/java/com/danyang/match/platform/photo/PhotoUploadValidationTest.java b/backend/src/test/java/com/danyang/match/platform/photo/PhotoUploadValidationTest.java new file mode 100644 index 0000000..8b2dc3e --- /dev/null +++ b/backend/src/test/java/com/danyang/match/platform/photo/PhotoUploadValidationTest.java @@ -0,0 +1,165 @@ +package com.danyang.match.platform.photo; + +import com.amazonaws.services.s3.AmazonS3; +import com.amazonaws.services.s3.model.ObjectMetadata; +import com.danyang.match.platform.photo.entity.UserPhoto; +import com.danyang.match.platform.photo.mapper.UserPhotoMapper; +import com.danyang.match.platform.photo.service.PhotoService; +import com.danyang.match.platform.shared.config.FeatureFlagConfig; +import org.junit.jupiter.api.DisplayName; +import org.junit.jupiter.api.Test; +import org.springframework.mock.web.MockMultipartFile; + +import java.io.InputStream; + +import static org.junit.jupiter.api.Assertions.*; +import static org.mockito.ArgumentMatchers.any; +import static org.mockito.ArgumentMatchers.anyString; +import static org.mockito.Mockito.*; + +/** + * 图片上传安全校验测试（Phase 10: Image & Chat Safety）。 + * + *

历史缺陷（D1）：{@code uploadAndSave} 此前用 {@code new byte[n]} 分配缓冲却从不 + * 调用 {@code stream.read(...)}，{@code validateMagicNumber} 恒收到全零字节 → 恒返回 false + * → 本地资格佐证上传 100% 失败；同时 image-only 的 {@code isAllowedMimeType} 在 + * local_eligibility 之后无条件执行，PDF 被挡。本测试用 {@link MockMultipartFile} 真正走一遍 + * 校验链路，确保魔数/MIME/大小守卫在运行时实际生效——单测 {@code validateMagicNumber} 本身 + * （传入手写字节）无法暴露这条路径缺陷。 + */ +class PhotoUploadValidationTest { + + /** JPEG 魔数：FF D8 FF E0 + 最小可用体 */ + private static final byte[] JPEG_BYTES = { + (byte) 0xFF, (byte) 0xD8, (byte) 0xFF, (byte) 0xE0, + 0, 0, 0, 0, 0, 0, 0, 0 + }; + + private PhotoService newService(AmazonS3 s3, UserPhotoMapper mapper, FeatureFlagConfig flags) { + return new PhotoService(mapper, s3, flags); + } + + private FeatureFlagConfig localEvidenceFlags(int maxMB, String allowedTypes) { + FeatureFlagConfig f = mock(FeatureFlagConfig.class); + when(f.getLocalEvidenceMaxFileSizeMB()).thenReturn(maxMB); + when(f.getLocalEvidenceAllowedTypes()).thenReturn(allowedTypes); + return f; + } + + @Test + @DisplayName("合法 JPEG 通过 MIME + 魔数校验（修复前此用例会因 header 恒零而失败）") + void validJpegPassesValidation() { + AmazonS3 s3 = mock(AmazonS3.class); + UserPhotoMapper mapper = mock(UserPhotoMapper.class); + when(mapper.insert(any(UserPhoto.class))).thenReturn(1); + PhotoService svc = newService(s3, mapper, null); + + MockMultipartFile file = new MockMultipartFile( + "file", "a.jpg", "image/jpeg", JPEG_BYTES); + + UserPhoto result = svc.uploadAndSave("u1", file, "lifestyle", 0); + + assertNotNull(result); + verify(s3).putObject(any(), anyString(), any(InputStream.class), any(ObjectMetadata.class)); + } + + @Test + @DisplayName("伪造 Content-Type（声称 image/jpeg 实为文本）被魔数校验拦截") + void spoofedContentTypeRejectedByMagic() { + AmazonS3 s3 = mock(AmazonS3.class); + UserPhotoMapper mapper = mock(UserPhotoMapper.class); + PhotoService svc = newService(s3, mapper, null); + + // 声称是 JPEG，实际内容是纯文本 + MockMultipartFile file = new MockMultipartFile( + "file", "evil.jpg", "image/jpeg", "not a real image".getBytes()); + + RuntimeException ex = assertThrows(RuntimeException.class, + () -> svc.uploadAndSave("u1", file, "lifestyle", 0)); + assertTrue(ex.getMessage().contains("无效的图片文件头"), + "应因魔数不匹配被拒，实际: " + ex.getMessage()); + verify(s3, never()).putObject(any(), anyString(), any(InputStream.class), any(ObjectMetadata.class)); + } + + @Test + @DisplayName("PDF 本地资格佐证不被 image-only 校验挡，且跳过图片魔数校验") + void pdfLocalEligibilityNotBlocked() { + AmazonS3 s3 = mock(AmazonS3.class); + UserPhotoMapper mapper = mock(UserPhotoMapper.class); + when(mapper.insert(any(UserPhoto.class))).thenReturn(1); + FeatureFlagConfig flags = localEvidenceFlags(10, "jpg,png,pdf"); + PhotoService svc = newService(s3, mapper, flags); + + // application/pdf 走 local_eligibility 白名单（含 pdf），不应被 image-only 挡 + MockMultipartFile file = new MockMultipartFile( + "file", "evidence.pdf", "application/pdf", + "%PDF-1.4 fake pdf content".getBytes()); + + UserPhoto result = svc.uploadAndSave("u1", file, "local_eligibility", 0); + + assertNotNull(result); + assertTrue(result.getFileKey().endsWith(".pdf"), + "PDF key 应以 .pdf 结尾，实际: " + result.getFileKey()); + verify(s3).putObject(any(), anyString(), any(InputStream.class), any(ObjectMetadata.class)); + } + + @Test + @DisplayName("非法 MIME 类型被拒（text/plain 当作 lifestyle 图片）") + void invalidMimeTypeRejected() { + AmazonS3 s3 = mock(AmazonS3.class); + UserPhotoMapper mapper = mock(UserPhotoMapper.class); + PhotoService svc = newService(s3, mapper, null); + + MockMultipartFile file = new MockMultipartFile( + "file", "a.txt", "text/plain", JPEG_BYTES); + + RuntimeException ex = assertThrows(RuntimeException.class, + () -> svc.uploadAndSave("u1", file, "lifestyle", 0)); + assertTrue(ex.getMessage().contains("不支持的图片格式"), + "应因 MIME 不在白名单被拒，实际: " + ex.getMessage()); + verify(s3, never()).putObject(any(), anyString(), any(InputStream.class), any(ObjectMetadata.class)); + } + + @Test + @DisplayName("超过大小限制被拒（local_eligibility 限额 1MB，传入 2MB）") + void oversizedFileRejected() { + AmazonS3 s3 = mock(AmazonS3.class); + UserPhotoMapper mapper = mock(UserPhotoMapper.class); + FeatureFlagConfig flags = localEvidenceFlags(1, "pdf"); + PhotoService svc = newService(s3, mapper, flags); + + // 2MB 的 PDF 佐证，限额 1MB + byte[] big = new byte[2 * 1024 * 1024]; + big[0] = '%'; + MockMultipartFile file = new MockMultipartFile( + "file", "big.pdf", "application/pdf", big); + + RuntimeException ex = assertThrows(RuntimeException.class, + () -> svc.uploadAndSave("u1", file, "local_eligibility", 0)); + assertTrue(ex.getMessage().contains("文件大小超过限制"), + "应因超限被拒，实际: " + ex.getMessage()); + verify(s3, never()).putObject(any(), anyString(), any(InputStream.class), any(ObjectMetadata.class)); + } + + @Test + @DisplayName("PNG 魔数校验通过") + void validPngPassesValidation() { + AmazonS3 s3 = mock(AmazonS3.class); + UserPhotoMapper mapper = mock(UserPhotoMapper.class); + when(mapper.insert(any(UserPhoto.class))).thenReturn(1); + PhotoService svc = newService(s3, mapper, null); + + byte[] png = { + (byte) 0x89, (byte) 0x50, (byte) 0x4E, (byte) 0x47, + (byte) 0x0D, (byte) 0x0A, (byte) 0x1A, (byte) 0x0A, + 0, 0, 0, 0 + }; + MockMultipartFile file = new MockMultipartFile( + "file", "a.png", "image/png", png); + + UserPhoto result = svc.uploadAndSave("u1", file, "lifestyle", 0); + assertNotNull(result); + assertTrue(result.getFileKey().endsWith(".png")); + verify(s3).putObject(any(), anyString(), any(InputStream.class), any(ObjectMetadata.class)); + } +} diff --git a/docs/JIRA_BACKLOG.md b/docs/JIRA_BACKLOG.md index 517ed2c..c45974c 100644 --- a/docs/JIRA_BACKLOG.md +++ b/docs/JIRA_BACKLOG.md @@ -5,9 +5,16 @@ > **2026-09-16 状态校正：** Phase 07 UI 已按 2026-09-13 规格重新实现，**首批 11 页于 2026-09-16 通过用户验收（结论：基本达标）**，本文件此前"视觉否决/REOPENED"口径随之关闭。 > +> **2026-09-16 Phase 10 复验关闭：** EPIC-P10-V11 已完成。复验中发现并修复 2 处缺陷—— +> **D1（Critical，生产故障）** `PhotoService.uploadAndSave` 魔数校验因 `new byte[n]` 从不读取流而恒失败，本地资格佐证上传 100% 失败（且 PDF 被 image-only MIME 挡）； +> **D2（Low）** `ChatSafetyService` 把命中的高风险词写入普通日志。 +> 同时**推翻旧报告**「伪装恶意图片被拒（Magic Number 校验）」与「EXIF清理预留（stripExif 占位）」两项声明——后者符号全仓库不存在。 +> 新增 `PhotoUploadValidationTest`（6 用例，`MockMultipartFile` 真走校验链路）并做负向验证。后端全量 **334 tests / 0 failures / 0 errors**。 +> 证据：`docs/Phase-10-V11-Recovery-Completion-Report-2026-09-16.md`。**Phase 11 需用户确认后启动。** +> > **2026-09-16 Phase 09 复验关闭：** EPIC-P09-V11 已完成。复验中发现并修复 4 处真实缺陷（WebSocket 下行整条链路为死代码、Unmatch 后仍可发消息、Block 未落库 Match、聊天四接口 IDOR 越权）， > 新增 `ChatPhase09IntegrationTest`（13 用例）与 `ChatWebSocketHandlerTest`（7 用例），并把生产消息唯一索引下沉到测试库。后端全量 **328 tests / 0 failures / 0 errors**。 -> 证据：`docs/Phase-09-V11-Recovery-Completion-Report-2026-09-16.md`。**Phase 10 需用户确认后启动。** +> 证据：`docs/Phase-09-V11-Recovery-Completion-Report-2026-09-16.md`。 > > **2026-09-16 Phase 08 复验关闭：** EPIC-P08-V11 已完成。复验中发现并修复 3 处真实缺陷（搜索绕过 Block / 详情无 Block 检查 / `matches.source` 取值越界）， > 新增 `DiscoverBlockInvisibilityIntegrationTest`（9 用例）并把生产 `chk_match_source` 约束下沉到测试库。 @@ -26,6 +33,7 @@ | Phase 07 V1.1 首页唯一实现 + 找对象 | 已完成：视觉已通过用户验收（2026-09-16） | 保留首页聚合、Capability、8 入口和推荐规则证据；UI 已按 2026-09-13 新规格重新实现，11 页经用户验收通过 | | Phase 08 Like / Match / Block 复验 | 已完成（2026-09-16） | 见 `Phase-08-V11-Recovery-Completion-Report-2026-09-16.md`；修复 3 处真实缺陷（搜索绕过 Block、详情无 Block 检查、`matches.source` 取值越界），后端 308 tests 全绿 | | Phase 09 Text Chat 复验 | 已完成（2026-09-16） | 见 `Phase-09-V11-Recovery-Completion-Report-2026-09-16.md`；修复 4 处真实缺陷（WebSocket 下行死代码、Unmatch 后仍可发消息、Block 未落库 Match、聊天接口 IDOR），后端 328 tests 全绿；Phase 10 尚未获准 | +| Phase 10 Image & Chat Safety 复验 | 已完成（2026-09-16） | 见 `Phase-10-V11-Recovery-Completion-Report-2026-09-16.md`；修复 2 处缺陷（图片上传魔数校验死代码致本地资格佐证上传 100% 失败、高风险词写入日志），推翻旧报告 2 项安全声明，后端 334 tests 全绿；Phase 11 尚未获准 | | UI-CLEANUP-20260913 | 已完成 | 废弃 UI 代码、冲突规范、旧计划和无效验收证据已清理；`ui-document-baseline-contracts` 锁定唯一视觉入口 | | UI-ADMIN-20260913 | 已完成（待桌面端目视复验） | 管理端全局框架与工作台已按规格交付；18 modules + 22 routes，vue-tsc 与 vite build 全绿 | | UI-MINIAPP-20260913 | 已完成 | 小程序 11 个核心页面已重构；11/11 页 TS-only，2026-09-16 通过用户验收 | diff --git a/docs/Phase-10-Completion-Report.md b/docs/Phase-10-Completion-Report.md index c39990d..4f8e834 100644 --- a/docs/Phase-10-Completion-Report.md +++ b/docs/Phase-10-Completion-Report.md @@ -1,5 +1,11 @@ # Phase 10 Completion Report +> ⚠️ **状态注记（2026-09-16）**：本报告已被 `Phase-10-V11-Recovery-Completion-Report-2026-09-16.md` 复验并部分推翻。 +> 复验发现 **D1（Critical）**：`PhotoService.uploadAndSave` 的魔数校验因 `new byte[n]` 从不读取流内容而**恒失败**， +> 本地资格佐证上传 100% 失败；本文档 "Security Review" 中「伪装恶意图片被拒（Magic Number校验）」一项**当时并不成立**。 +> 另：「EXIF清理预留（PhotoService.stripExif占位）」全仓库无对应符号，属未落地声明。 +> 本文档其余进度声明仅作历史记录，请以复验报告为准。 + ## Status ✅ Completed diff --git a/docs/Phase-10-V11-Recovery-Completion-Report-2026-09-16.md b/docs/Phase-10-V11-Recovery-Completion-Report-2026-09-16.md new file mode 100644 index 0000000..931b4ab --- /dev/null +++ b/docs/Phase-10-V11-Recovery-Completion-Report-2026-09-16.md @@ -0,0 +1,137 @@ +# Phase 10（Image & Chat Safety）复验报告 + +> 日期：2026-09-16 +> 方法：KEEP-VERIFY —— 不采信历史 ✅，逐条核对运行时路径 +> 结论：**Gate 通过**，但复验推翻了旧报告的一项安全声明，并修复 1 处 Critical 生产故障 +> 基线：`03a03c7`（Phase 09 关闭）→ 本阶段提交见文末 +> 全量回归：**334 tests / 0 failures / 0 errors / 3 skipped / BUILD SUCCESS**（基线 328，+6） + +--- + +## 1. Gate 判定 + +| Gate 要求 | 判定 | 证据 | +|---|---|---| +| 越权图片访问被拒绝 | ✅ 通过 | `PhotoService.getSignedUrl` 按 `fileKey` 比对归属，非本人抛异常；`getSignedUrlForAuthorizedReview` 全仓库仅 `ReviewService` 调用（后台审核流，调用前已完成业务权限与资源归属校验） | +| 敏感内容不进入普通日志 | ✅ 通过（修复后） | 聊天正文/手机号/身份证/签名 URL 均未落日志；`AuthService` 手机号走 `maskPhone`。**修复前** `ChatSafetyService` 把命中的高风险词原样写入 warn（D2，已修） | +| 图片类型/大小校验 | ✅ 通过（修复后） | **修复前该路径是死的**（D1）。修复后 `uploadAndSave` 真正读取文件头做魔数校验，MIME 按 photoType 分流 | +| 风险识别 / 举报入口 / 违规处理 | ✅ 通过 | `ChatSafetyService`（限频+关键词+正则）→ `ChatService.sendText` 打标+RiskNotice；`ReportService` 提交→评分→处置动作→审计→通知链路完整 | +| 审核 | ✅ 通过 | `ReviewService` 审核任务全状态机（pending/processing/approved/need_edit/rejected）在，照片 `reviewStatus` 置 pending | +| 水印 | ⚠️ 未实现（登记 gap） | 全仓库 `backend/src/main/java` 无任何水印实现。V1.1 主计划未列为硬需求；仅"开发执行计划修订版"/"Jira 清单"提及"高级水印"（属后续增强） | + +--- + +## 2. 发现与修复 + +### D1（Critical）图片上传的类型与魔数校验整条是死代码 —— 生产故障 + +**位置**：`PhotoService.uploadAndSave`（`PhotoService.java` 原 145–158 行） + +**根因**： + +```java +byte[] header; +try { + header = new byte[Math.min(12, stream.available())]; // 只分配缓冲，从不读取！ +} catch (IOException e) { ... } +if (!validateMagicNumber(header)) { // header 恒为全零 + throw new RuntimeException("无效的图片文件头"); // → 恒真 → 恒抛 +} +``` + +`new byte[n]` 仅分配零值数组，**没有任何 `stream.read(...)`**。`validateMagicNumber` 收到的永远是 12 个 `0x00`，对任何文件都返回 `false`。 + +**影响链**（非理论风险，已确认为线上触发路径）： + +- 小程序 `local-eligibility-supplement.ts:98` 以 `photoType: 'local_eligibility'` 调 `POST /api/v1/photos/upload` → 命中 `uploadAndSave`。 +- 该路径**对所有文件类型 100% 抛"无效的图片文件头"**，本地资格佐证上传功能完全不可用。 +- 同时 `isAllowedMimeType`（image-only 白名单：jpeg/png/webp/gif/heic）在 `local_eligibility` 分支之后**无条件执行**，即使魔数问题修好，`application/pdf` 仍会被挡——而 `FeatureFlagConfig.getLocalEvidenceAllowedTypes()` 明确允许 pdf。 + +**次生问题**：`stream.reset()` 被调用但 `getInputStream()` 未 `mark()`（`MultipartFile` 契约不保证 `markSupported()`），属无效调用。 + +**测试为何没发现**：`PhotoServiceTest` 只对 `validateMagicNumber` 传入**手写字节数组**做单元测试（`{(byte)0xFF,(byte)0xD8,...}`），从不经过 `uploadAndSave`，因此该路径的读取缺陷完全没有覆盖。 + +**修复**（`PhotoService.java`）： + +1. 用 `try (InputStream s = file.getInputStream()) { header = s.readNBytes(12); }` **真正读取**文件头；`header.length < 3` 直接判失败。 +2. MIME 校验**按 photoType 分流**：`local_eligibility` 走 `isAllowedLocalEvidenceMimeType`（含 pdf），其余走图片白名单——不再串行双校验。 +3. 魔数校验**仅对图片执行**，PDF 佐证跳过（Content-Type 已由白名单约束，其 `%PDF-` 魔数与图片不同，混用会误杀）。 +4. 移除无 `mark` 的 `reset()` 死调用；上传使用全新输入流，与校验流隔离。 +5. `generateFileKey` 重载按 Content-Type 推断扩展名，PDF 佐证不再拿到误导性的 `.jpg` key。 + +### D2（Low）高风险词写入普通日志 + +**位置**：`ChatSafetyService.scanContent`（原 80 行） + +```java +log.warn("Chat content matched HIGH_RISK word: '{}'", word); // 把聊天内容片段写进日志 +``` + +与同文件 `CONTACT_PATTERNS` 分支的 `log.info("Chat content matched CONTACT pattern")`（不记具体内容）自相矛盾，且直接违反本阶段 Gate「敏感内容不进入普通日志」。 + +**修复**：改为 `log.warn("Chat content matched HIGH_RISK keyword (blocked)")`，不记录命中的具体词汇。 + +--- + +## 3. 复验推翻的旧声明 + +`docs/Phase-10-Completion-Report.md` 的 "Security Review" 写着： + +> - [x] 伪装恶意图片被拒（Magic Number校验） + +**该声明不成立**：魔数校验在运行时恒失败——不是说"被拒的没拒"，而是**连合法图片也一律被拒**（fail-closed 到不可用），安全属性并非由该校验提供。旧报告同时自认 `Known Issues: 图片上传实际对接需在 Phase 10 后续完善`，说明作者当时已知未通。 + +同报告另有两条不可验证的"框架"声明，本次一并对齐现状： + +| 旧声明 | 复验结论 | +|---|---| +| `EXIF清理预留（PhotoService.stripExif占位）` | **不存在**。全仓库 `backend/src/main/java` 无 `stripExif` 符号。且 `getUploadToken` 客户端直传路径服务端无法介入清理 EXIF（真正实现需在接收侧重编码或引入图像库）。 | +| `WebSocket推送占位（Phase 09 Handler已就绪）` | Phase 09 已证实当时 Handler 整条下行链路是死代码；本阶段已随 Phase 09 修复。 | +| `限流框架（Redis限流预留）` | 已由 `ChatSafetyService.checkRateLimit` 落地（Redis + fail-open），非"预留"。 | + +--- + +## 4. 测试保真度 + +新增 `PhotoUploadValidationTest`（6 用例），**用 `MockMultipartFile` 真正走一遍 `uploadAndSave`**： + +| 用例 | 验证点 | +|---|---| +| `validJpegPassesValidation` | 合法 JPEG 通过 MIME + 魔数校验，且确实调用 `putObject`（修复前此用例失败，正是 D1 的抓取器） | +| `spoofedContentTypeRejectedByMagic` | 声称 `image/jpeg` 实为文本 → 被魔数挡，且**不调用** `putObject` | +| `pdfLocalEligibilityNotBlocked` | `application/pdf` 走 local_eligibility 白名单不被 image-only 挡，key 以 `.pdf` 结尾 | +| `invalidMimeTypeRejected` | `text/plain` 作 lifestyle → 因 MIME 不在白名单被拒 | +| `oversizedFileRejected` | 限额 1MB 传 2MB → 被拒 | +| `validPngPassesValidation` | PNG 魔数通过，key 以 `.png` 结尾 | + +**负向验证**：临时把 `uploadAndSave` 中的魔数守卫改为 `if (false && ...)`，重跑 → 恰好 `spoofedContentTypeRejectedByMagic` 一个用例变红（伪造图被放行），其余 5 个仍绿，证明守卫精准生效且不误报；随后还原并 `grep -rn "NEGATIVE-CHECK-TEMP"` 确认无残留。 + +**全量回归**：`334 tests / 0 failures / 0 errors / 3 skipped / BUILD SUCCESS`（基线 328，+6）。 + +--- + +## 5. 登记 gap（不自动实现） + +| 项 | 说明 | 建议归属 | +|---|---|---| +| 图片水印 | 全仓库无实现。主计划未列硬需求，仅"开发执行计划修订版"提"高级动态水印" | 待产品确认是否纳入 | +| EXIF 清理 | 旧报告声明不存在。客户端直传路径服务端无法介入；需改为接收侧重编码 | 安全增强，建议单列 | +| 直传凭证路径无服务端内容校验 | `getUploadToken` 只生成 presigned PUT，服务端不校验类型/大小/魔数，且不落 DB 记录（客户端用返回的 fileKey 但无对应 UserPhoto 行，导致后续 `getSignedUrl` 归属校验查不到） | **契约层缺口**，超出本阶段安全 Gate 范围，建议单列 | +| 违规自动升级 | `ChatSafetyService` 注释明确 "Phase 17: risk_events 落库 + RiskAction 执行"，当前 high 仅拦截不落库 | Phase 17 既定范围 | + +--- + +## 6. 证据 + +- 变更文件：`PhotoService.java`、`ChatSafetyService.java` +- 新增测试：`PhotoUploadValidationTest.java`（6 用例） +- 定向测试：`PhotoUploadValidationTest + PhotoServiceTest + ChatSafetyServiceTest` = 17/17 绿 +- 负向验证：1/6 精准变红（`spoofedContentTypeRejectedByMagic`） +- 全量回归：334 / 0 / 0 / 3 skipped / BUILD SUCCESS +- 离线容器：`danyang-match-backend-test:latest`，卷 `danyang-m2-cache` + +--- + +## 7. Next + +Phase 11（Notification — EXTEND）需用户确认后启动。按计划每阶段出报告后停止。 diff --git a/docs/STATUS.md b/docs/STATUS.md index d0f1fbc..59acceb 100644 --- a/docs/STATUS.md +++ b/docs/STATUS.md @@ -1,8 +1,8 @@ # 项目状态跟踪 — STATUS.md -> **2026-09-16 当前有效结论：`V1.1 INCREMENTAL RECOVERY PHASE 4 COMPLETE / UI REDESIGN ACCEPTED BY USER / PHASE 08-09 RECOVERY CLOSED / GIT CLEAN`。** +> **2026-09-16 当前有效结论：`V1.1 INCREMENTAL RECOVERY PHASE 4 COMPLETE / UI REDESIGN ACCEPTED BY USER / PHASE 08-10 RECOVERY CLOSED / GIT CLEAN`。** > -> 阶段 0（在途收口）、阶段 1（小程序 C 组 + discover 筛选重设计）、阶段 2（管理端 Vue 新框架适配）、阶段 3（CapabilityService 独立化）、阶段 4（双端总验收）全部完成。三端构建通过、**13/13 契约全绿**、核心 11 页面**全部 TS-only（11/11）**。后端全量回归已清偿（328 tests / 0 failures / 0 errors）。**UI 重设计首批 11 页已于 2026-09-16 通过用户验收（结论：基本达标）**；`/me/*` 前后端契约同轮收敛，17 个 404 调用已恢复。**Phase 08（Like / Match / Block）与 Phase 09（Text Chat）复验已关闭**，两轮共修复 7 处真实缺陷，并各自补齐测试保真度与守卫。**Phase 10 需用户确认后启动。** +> 阶段 0（在途收口）、阶段 1（小程序 C 组 + discover 筛选重设计）、阶段 2（管理端 Vue 新框架适配）、阶段 3（CapabilityService 独立化）、阶段 4（双端总验收）全部完成。三端构建通过、**13/13 契约全绿**、核心 11 页面**全部 TS-only（11/11）**。后端全量回归已清偿（334 tests / 0 failures / 0 errors）。**UI 重设计首批 11 页已于 2026-09-16 通过用户验收（结论：基本达标）**；`/me/*` 前后端契约同轮收敛，17 个 404 调用已恢复。**Phase 08（Like / Match / Block）、Phase 09（Text Chat）、Phase 10（Image & Chat Safety）复验已关闭**，三轮共修复 9 处真实缺陷，并各自补齐测试保真度与守卫。**Phase 11 需用户确认后启动。** 最后更新: 2026-09-16 — 分支 `main`（`feat-ui-v11` 保留为冗余锚点） @@ -14,13 +14,14 @@ | Phase 07 V1.1 首页业务与找对象 | **业务+UI 已通过用户验收**（2026-09-16） | HomeApplicationService 真实聚合；CapabilityService 独立化；discover 筛选完整重设计（5 chip + 4 section + 底部抽屉 + 滚动定位高亮）；UI 按 2026-09-13 规格重新实现，11 页经用户验收通过 | | **Phase 08 V1.1 Like / Match / Block** | **已完成**（2026-09-16） | KEEP-VERIFY 复验。修复 3 处真实缺陷：① `DiscoverService.searchUsers` 无查看者身份 → INV-004「搜索不可见」整体失效；② 详情路径无 Block 判断；③ `RelationshipService.like()` 把 `"liked"` 当 match source 写库 → 违反 `V003 chk_match_source`（H2 测试库无该约束故长期静默）。新增 `DiscoverBlockInvisibilityIntegrationTest`（9 用例，含反向拉黑）；`schema-h2.sql` 补齐生产约束与 `user_profiles`；负向验证确认守卫会红。报告：`docs/Phase-08-V11-Recovery-Completion-Report-2026-09-16.md` | | **Phase 09 V1.1 Text Chat** | **已完成**（2026-09-16） | KEEP-VERIFY 复验。修复 4 处真实缺陷：① WebSocket 下行整条链路是死代码（无握手鉴权/无 userId 写入/`sendToUser` 零调用点）→ 新增 `ChatHandshakeInterceptor` + 落库后推 `message.new`；② Unmatch 不联动会话 + 发消息只校验会话状态 → 解除后仍可发消息 → 新增 `assertMatchAlive` + `MatchController.unmatch` 联动；③ `RelationService.block` 调静态 `MatchService.unmatch`（只改内存态）→ Block 后 Match 未落库；④ 聊天四个接口无成员校验 → IDOR。新增 `ChatPhase09IntegrationTest`（11 用例）+ `ChatWebSocketHandlerTest`（7 用例）；负向验证 3 处守卫精准变红。报告：`docs/Phase-09-V11-Recovery-Completion-Report-2026-09-16.md` | +| **Phase 10 V1.1 Image & Chat Safety** | **已完成**（2026-09-16） | KEEP-VERIFY 复验。**Gate 通过**。修复 2 处缺陷：① **D1（Critical，生产故障）** `PhotoService.uploadAndSave` 魔数校验因 `new byte[n]` 从不读取流而**恒失败** → 本地资格佐证上传 100% 失败；且 image-only MIME 在 local_eligibility 后无条件执行致 PDF 被挡 → 改为 `readNBytes` 真读取 + MIME 按 photoType 分流 + PDF 跳过图片魔数；② **D2（Low）** `ChatSafetyService` 把命中的高风险词写入 warn 日志 → 改为不记具体词汇。**推翻旧报告**「伪装恶意图片被拒（Magic Number校验）」与「EXIF清理预留（stripExif占位，符号不存在）」两声明。新增 `PhotoUploadValidationTest`（6 用例，`MockMultipartFile` 真走校验链路）+ 负向验证精准变红。报告：`docs/Phase-10-V11-Recovery-Completion-Report-2026-09-16.md` | | 阶段 0 在途收口 | 已完成 | 56 个改动分类提交为 7 个 commit；Git 清零；Flyway 实际 V035 已登记 | | 阶段 1 小程序 C 组 + discover | 已完成 | C 组 content/anti-fraud/service-station 迁 TS 唯一源；discover 筛选从参数到 UI 完整重写 | | 阶段 2 管理端 Vue 适配 | 已完成 | 18 modules + 22 routes + vue-tsc 全绿 + vite build 11.68s | | 阶段 3 CapabilityService 独立化 | 已完成 | New `capability` 模块：CapabilityService（getCapabilities + 公共判断方法）+ CapabilityController（GET /api/v1/capabilities）；HomeApplicationService 完全委托 | | 阶段 4 双端总验收 | **已完成**（2026-09-14） | 三端构建全绿 + 13/13 契约全绿 + 源码健康检查通过；验收报告见 docs/superpowers/plans/2026-09-14-phase4-acceptance-report.md | | Flyway 迁移 | V001~V035 | V028~V035 已纳入 STATUS | -| Backend 全量回归 | **已清偿**（2026-09-16） | 离线容器（`danyang-match-backend-test`）运行：**328 tests / 0 failures / 0 errors / 3 skipped / BUILD SUCCESS**；含 `CanonicalRouteContractTest`、`ChatContractJsonTest`、`MeRouteContractTest`、`DiscoverBlockInvisibilityIntegrationTest`、`ChatPhase09IntegrationTest`、`ChatWebSocketHandlerTest` | +| Backend 全量回归 | **已清偿**（2026-09-16） | 离线容器（`danyang-match-backend-test`）运行：**334 tests / 0 failures / 0 errors / 3 skipped / BUILD SUCCESS**；含 `CanonicalRouteContractTest`、`ChatContractJsonTest`、`MeRouteContractTest`、`DiscoverBlockInvisibilityIntegrationTest`、`ChatPhase09IntegrationTest`、`ChatWebSocketHandlerTest`、`PhotoUploadValidationTest` | | 路由/字段契约收敛 | **已完成**（2026-09-15） | 字段：会话 `target*` + `sentAt` + `relationStatus`（commit `687a156`）；路径：采用 2026-09-14 canonical（`/likes` `/passes` `/blocks` `/matches`，缘分保留 `/relations/fate/*`），旧路径与 `success` 桩实现已移除；裁决由 `CanonicalRouteContractTest` 锁定 | | `/me/*` 路径族 | **已完成**（2026-09-16） | 小程序按 REST 规范（§16 / §22-§40 / §80 / §83-§84）调用 `/me/*`，后端此前**无 `/me` 基路径**致 17 个调用 404。新增 `MeController` 委托既有 service 暴露规范路径，旧路径全部保留，小程序三条历史写法（`/me/privacy-settings`、`/me/photos/{id}/main`、`/me/appeals`）一并兼容；由 `MeRouteContractTest` 锁定 | | Admin Web | **验证通过** | 2026-09-14 阶段 4：vue-tsc ✅、vite build ✅ 11.68s；18 modules 齐全；壳层+工作台通过参考图 QA | diff --git a/docs/善缘丹阳 V1.1 客户需求基线增量开发与修复计划.md b/docs/善缘丹阳 V1.1 客户需求基线增量开发与修复计划.md index bc65b48..1a14dd3 100644 --- a/docs/善缘丹阳 V1.1 客户需求基线增量开发与修复计划.md +++ b/docs/善缘丹阳 V1.1 客户需求基线增量开发与修复计划.md @@ -215,11 +215,12 @@ **Files:** photo 模块、message safety、对象存储配置和聊天页面。 -- [ ] 验证图片私有访问、类型/大小校验、审核和水印。 -- [ ] 验证风险识别、举报入口和违规内容处理。 -- [ ] 检查日志不记录聊天正文、身份证、手机号或签名 URL。 +- [x] 验证图片私有访问、类型/大小校验、审核和水印。 +- [x] 验证风险识别、举报入口和违规内容处理。 +- [x] 检查日志不记录聊天正文、身份证、手机号或签名 URL。 **Gate:** 越权图片访问被拒绝，敏感内容不进入普通日志。 +（2026-09-16 复验通过：修复 D1 图片上传魔数校验死代码——本地资格佐证上传曾 100% 失败；D2 高风险词写入普通日志。水印未实现，登记 gap。） ### Phase 11：Notification — EXTEND