shy3130 a4e580e314 fix(security): 修复 ext_columns DuckDB SQL 注入 (closes #150) ...

Issue #150 报告了 ext_columns 功能的 DuckDB SQL 注入, 经核查属实:
field_name 经裸双引号拼进 SQL, 攻击者可借 COPY TO 写文件 (RCE) 或
UNION 读数据。已修复, 详见 PR。

根因: 3 个 SQL sink 用未转义的 f"{field_name}", 仅 screener:147 一处
用 _quote_ident 转义; 且 parser 校验不一致 (screener 校验 config_id,
kline/watchlist 零校验)。

修复方案:
1. 新增 backend/app/db_safe.py 集中定义 quote_ident (双引号转义, 对任意
   字符安全) + is_valid_ext_ident (config_id 白名单), 消除不一致根因
2. 3 个 sink 统一改用 quote_ident:
   - screener.py:785 (limit_ladder)
   - kline.py:376 (_attach_ext, GET /api/kline/daily)
   - watchlist.py:279 (watchlist_enriched)
3. kline + watchlist parser 加 config_id 白名单 (screener 已有)
4. screener 复用共享原语, 删除私有 _quote_ident/_EXT_IDENT_RE

关键约束:
- field_name 不能加白名单: FieldDef.name 无校验 + infer_fields_from_df
  直接采用原始 CSV/Parquet 列名, 合法可含中文/点。故只在 sink 转义。
- 不关闭 enable_external_access: 实测会同时禁用 read_parquet (项目核心
  数据访问方式), 不可行。

对 Issue #150 报告的澄清:
- sink #2/#3/#4 (field_name 注入) 属实, 已修
- sink #1 (screener.py:343 conditions[]/order_by) 不存在, 为误报
  (screener.py 无 conditions/order_by/execute 调用)

验证: 后端全量 527 passed (含新增 24 个安全测试, 含 2 个端到端注入
测试: COPY TO 不产生文件 / UNION 不泄漏数据 + 合法特殊字段名回归)

2026-07-31 19:56:33 +08:00

..

backtest

fix: 串行化 Numba parallel 内核，避免策略页并发崩溃

2026-07-26 11:56:10 +08:00

test_ai_generator_prompt.py

fix: align AI strategy prompt constraints

2026-07-18 18:31:02 +08:00

test_ai_provider.py

修复：适配 Docker Codex 本地访问服务

2026-07-14 11:51:35 +08:00

test_ai_strategy_meta_normalize.py

feat: improve strategy scoring and backtest execution

2026-07-18 16:59:53 +08:00

test_backtest_etf.py

test(panelcache): 子代理审查加固 — 去 flaky + 补遥测差值覆盖

2026-07-12 13:52:49 +08:00

test_custom_minute_config.py

fix(data-source): harden custom source testing

2026-07-25 22:51:27 +08:00

test_daily_batch_asset.py

feat: 指数(asset_type=index)后端接入 — 数据路由/自选enriched/监控指数轮/隔离防污染

2026-07-26 18:35:31 +08:00

test_depth_continuous_trading.py

fix(depth): 午间休市停止 sealed 轮询, 修复集合竞价盘口覆盖致涨停误判 (#73)

2026-07-08 13:42:53 +08:00

test_enriched_full_rebuild.py

fix(data): avoid destructive enriched rebuild cleanup

2026-07-15 21:34:44 +08:00

test_ext_data_dimension_members.py

feat: release v0.1.86

2026-07-18 00:49:28 +08:00

test_ext_preset_dimension_values.py

fix: restore strategy and data compatibility

2026-07-16 14:34:07 +08:00

test_ext_sql_safety.py

fix(security): 修复 ext_columns DuckDB SQL 注入 (closes #150)

2026-07-31 19:56:33 +08:00

test_financial_shares.py

feat: 完善历史换手率重算入口

2026-07-19 16:42:03 +08:00

test_high_turnover_strategy.py

feat: complete matrix-native backtest engine

2026-07-16 12:17:27 +08:00

test_indicator_needed.py

feat: complete matrix-native backtest engine

2026-07-16 12:17:27 +08:00

test_instrument_search.py

feat(search): 标的搜索支持拼音首字母 + 创业/科创/北交所徽标

2026-07-31 19:38:36 +08:00

test_intraday_monitor_signals.py

fix(index): 后端分钟K隔离加固与规则资产类型纠正

2026-07-26 19:59:10 +08:00

test_limit_ladder_one_word.py

feat: release v0.1.86

2026-07-18 00:49:28 +08:00

test_live_enriched_metadata.py

fix(test): replace hardcoded dates with cn_today() in test_live_enriched_metadata

2026-07-28 09:46:51 +08:00

test_minute_routing.py

fix(index): 后端分钟K隔离加固与规则资产类型纠正

2026-07-26 19:59:10 +08:00

test_monitor_etf.py

feat: ETF 支持(选股 / 回测 / 监控) (#61)

2026-07-08 12:12:29 +08:00

test_monitor_index.py

fix(index): 修复 PR #46 四个阻断项

2026-07-28 21:13:10 +08:00

test_parquet_schema_compat.py

fix(storage): 兼容 parquet 分区 schema 演进

2026-07-09 17:38:44 +08:00

test_pipeline_and_monitor_fixes.py

feat: improve strategy scoring and backtest execution

2026-07-18 16:59:53 +08:00

test_price_limits.py

修复监控中心涨跌停信号误报

2026-07-20 10:33:06 +08:00

test_probe_tickflow_pro_gate.py

feat: add TickFlow Pro Phase 1 probe scaffold with off-peak gate

2026-07-19 09:36:55 +08:00

test_probe_tickflow_pro_live.py

fix: align Phase 1 probe with TickFlow SDK namespaces

2026-07-19 10:06:26 +08:00

test_quote_index_merge.py

fix(index): 修复 PR #46 四个阻断项

2026-07-28 21:13:10 +08:00

test_rate_limit_safety_budget.py

fix: align Phase 1 probe with TickFlow SDK namespaces

2026-07-19 10:06:26 +08:00

test_realtime_enriched_resume.py

修复停复牌股票实时涨跌停漏算

2026-07-30 13:09:07 +08:00

test_realtime_turnover_rate.py

fix(realtime): unify turnover rate units (#93)

2026-07-09 19:14:50 +08:00

test_repository_index.py

feat: 指数(asset_type=index)后端接入 — 数据路由/自选enriched/监控指数轮/隔离防污染

2026-07-26 18:35:31 +08:00

test_resolve_universe_index.py

feat: 指数(asset_type=index)后端接入 — 数据路由/自选enriched/监控指数轮/隔离防污染

2026-07-26 18:35:31 +08:00

test_screener_builtin_params.py

优化策略卡片结果加载性能

2026-07-20 13:01:03 +08:00

test_screener_cache_api.py

优化策略卡片结果加载性能

2026-07-20 13:01:03 +08:00

test_screener_etf.py

feat: complete matrix-native backtest engine

2026-07-16 12:17:27 +08:00

test_st_limit_and_sharpe.py

feat: support historical price limits and share capital

2026-07-18 23:37:54 +08:00

test_stock_analyzer_index.py

feat: 指数(asset_type=index)后端接入 — 数据路由/自选enriched/监控指数轮/隔离防污染

2026-07-26 18:35:31 +08:00

test_stocksdk_provider.py

fix: allow stock-sdk plugin on Windows (#75)

2026-07-08 14:19:52 +08:00

test_strategy_build_stream.py

fix: restore strategy and data compatibility

2026-07-16 14:34:07 +08:00

test_strategy_cache.py

优化策略卡片结果加载性能

2026-07-20 13:01:03 +08:00

test_strategy_code_save.py

feat: improve strategy scoring and backtest execution

2026-07-18 16:59:53 +08:00

test_strategy_delete.py

修复策略文件无法删除问题

2026-07-22 11:21:13 +08:00

test_strategy_detail_signals.py

fix(strategy): 策略详情合并触发器 override, 修复买卖信号 tag 保存后回显丢失 (#71)

2026-07-08 11:27:59 +08:00

test_strategy_monitor_events.py

feat(monitor): add strategy signal event controls

2026-07-26 16:08:42 +08:00

test_strategy_param_normalize.py

fix(strategy): 加载边界归一化 META params, 修复非标准格式导致 /api/strategies 500 (fixes #68) (#72)

2026-07-08 12:34:08 +08:00

test_strategy_realtime_refresh.py

feat: complete matrix-native backtest engine

2026-07-16 12:17:27 +08:00

test_strategy_registry.py

feat: complete matrix-native backtest engine

2026-07-16 12:17:27 +08:00

test_strategy_saved_params.py

feat: complete matrix-native backtest engine

2026-07-16 12:17:27 +08:00

test_strategy_scoring.py

feat: improve strategy scoring and backtest execution

2026-07-18 16:59:53 +08:00

test_watchlist_batch.py

fix(index): 修复 PR #46 四个阻断项

2026-07-28 21:13:10 +08:00

test_watchlist_enriched_join.py

feat: 指数(asset_type=index)后端接入 — 数据路由/自选enriched/监控指数轮/隔离防污染

2026-07-26 18:35:31 +08:00

test_watchlist_ocr.py

fix(ocr): 完善截图导入的安全限制与交互状态

2026-07-26 12:19:55 +08:00

test_watchlist_realtime_split.py

feat: 指数(asset_type=index)后端接入 — 数据路由/自选enriched/监控指数轮/隔离防污染

2026-07-26 18:35:31 +08:00