mirror of
https://ghfast.top/https://github.com/aeroxw/tick-stock-panel.git
synced 2026-09-12 16:44:15 +08:00
shy3130
a4e580e314
Issue #150 报告了 ext_columns 功能的 DuckDB SQL 注入, 经核查属实: field_name 经裸双引号拼进 SQL, 攻击者可借 COPY TO 写文件 (RCE) 或 UNION 读数据。已修复, 详见 PR。 根因: 3 个 SQL sink 用未转义的 f"{field_name}", 仅 screener:147 一处 用 _quote_ident 转义; 且 parser 校验不一致 (screener 校验 config_id, kline/watchlist 零校验)。 修复方案: 1. 新增 backend/app/db_safe.py 集中定义 quote_ident (双引号转义, 对任意 字符安全) + is_valid_ext_ident (config_id 白名单), 消除不一致根因 2. 3 个 sink 统一改用 quote_ident: - screener.py:785 (limit_ladder) - kline.py:376 (_attach_ext, GET /api/kline/daily) - watchlist.py:279 (watchlist_enriched) 3. kline + watchlist parser 加 config_id 白名单 (screener 已有) 4. screener 复用共享原语, 删除私有 _quote_ident/_EXT_IDENT_RE 关键约束: - field_name 不能加白名单: FieldDef.name 无校验 + infer_fields_from_df 直接采用原始 CSV/Parquet 列名, 合法可含中文/点。故只在 sink 转义。 - 不关闭 enable_external_access: 实测会同时禁用 read_parquet (项目核心 数据访问方式), 不可行。 对 Issue #150 报告的澄清: - sink #2/#3/#4 (field_name 注入) 属实, 已修 - sink #1 (screener.py:343 conditions[]/order_by) 不存在, 为误报 (screener.py 无 conditions/order_by/execute 调用) 验证: 后端全量 527 passed (含新增 24 个安全测试, 含 2 个端到端注入 测试: COPY TO 不产生文件 / UNION 不泄漏数据 + 合法特殊字段名回归)