fix(security): harden deployment configuration boundaries

2026-08-15 17:28:12 +08:00
parent f3737c80be
commit 0a91cafc4e
10 changed files with 125 additions and 5 deletions
@@ -304,3 +304,11 @@
 - 证书公开标识和证书编号均不可预测，且不提供无需登录的证书核验接口；本人证书详情执行资源归属校验，防止 IDOR/BOLA。
 - 证书模板是服务端校验并转义展示的纯文本，仅允许批准占位符，不执行 HTML；每张证书保存不可变快照，避免模板修改篡改历史凭证。
 - 规则激活、自动签发、补发、撤销、积分获得和人工校正均审计；积分账户使用行锁/revision，流水只追加，余额不得为负。
+
+## 发布前配置与入口加固（2026-08-15）
+
+- 后台 Cookie 继续使用 HttpOnly 与 SameSite=Strict；仅在启用 HTTPS Secure Cookie 时附加 Partitioned 属性，避免本地非 HTTPS 开发环境丢失会话。
+- 后台写请求优先精确校验 Origin；仅在请求没有 Origin 时解析 Referer 并比较其完整 origin，不允许前缀匹配或通配来源。
+- 审计写入前防御性剥离会话原始 token；台账导出审计保留查询关键词，但不记录导出内容、联系人或地址。
+- 私有对象上传签名有效期缩短为 120 秒；数据库启动日志只报告已完成 migration，待部署检查仍由发布流程中的 `prisma migrate deploy` 负责。
+- 小程序开发版允许连接 `localhost/127.0.0.1` 回环 API；体验版和正式版拒绝回环、`0.0.0.0` 与非 HTTPS 地址。提审前仍须替换为微信合法 HTTPS 域名。