audit-backend-security

后端安全审查

在评估安全性之前，先检查实际技术栈和信任边界。梳理入口点、身份验证、授权、敏感数据、数据库、上传、支付、第三方集成、后台任务、管理路径和部署配置。将客户端可控值和公共端点视为不可信。

工作流程

1. 确定资产、参与方、入口点、信任边界和权限变更。
2. 跟踪敏感操作从请求或事件来源，经由验证、授权、业务逻辑、数据访问，到响应或副作用的完整流程。
3. 检查机密、身份验证、令牌或会话生命周期、对象级和功能级授权、验证、注入、错误处理、日志记录、速率限制、上传、Webhook、支付、任务、CORS、标头和响应过滤。
4. 根据可访问代码和现有控制措施验证候选发现。不要将理论问题报告为已确认的漏洞。
5. 按可利用性和影响对发现进行排序。注明受影响的路径、攻击场景、证据和最小安全修复方案。
6. 仅在用户要求修改时实施修复，然后运行有针对性的测试和相关项目检查。

防护原则

• 切勿暴露机密、令牌、密码、敏感配置或用户私密字段。
• 切勿信任客户端提供的身份、角色、价格、额度、所有权或权限。
• 在需要时，根据完全一致的原始载荷验证 Webhook 签名，并确保处理程序具备幂等性。
• 在服务端操作和对象级别实施授权，而不只是依赖 UI 或路由分组。
• 限制高开销操作和上传；验证类型、大小、存储路径和处理行为。
• 确保生产环境错误和日志不包含凭据、令牌、个人数据和内部堆栈详情。
• 执行破坏性操作或更改线上生产环境之前，先取得明确确认。

详细指南

阅读 references/security-guide.md，查看完整的逐文件夹检查清单，以及有关身份验证、令牌、Cookie、支付、额度、上传、集成、任务、日志记录、CORS、数据库、滥用防护和报告的专项指南。按标题搜索，只加载相关章节。

输出

优先列出已验证的发现，并按严重程度排序。每项发现都应包含受影响的代码、攻击路径、影响、现有缓解措施、修复方案和验证测试。如果证据不足以支持任何可操作的发现，请明确说明。