feat：update 3 4

2026-07-02 10:04:32 +08:00
parent 604e7e68d7
commit 2fd8fc1f66
224 changed files with 12369 additions and 9 deletions
@@ -0,0 +1,33 @@
+# 权限遗漏反例
+
+## 场景
+
+工单删除按钮在前端按权限隐藏，但后端删除接口没有权限校验。
+
+## 问题代码表现
+
+| 层级 | 表现 |
+| --- | --- |
+| 前端 | 普通研发账号看不到删除按钮 |
+| 后端 | 直接请求 `/workOrder/delete` 仍可删除 |
+| 审计 | 删除记录可能缺失 |
+
+## 风险
+
+攻击者或误操作用户可以绕过前端直接调用接口删除工单。
+
+## 修复要求
+
+1. 后端删除接口增加权限校验。
+2. 删除前校验数据范围。
+3. 删除成功写审计日志。
+4. 无权限账号直接请求接口返回 403 或业务拒绝。
+
+## 验收
+
+| 账号 | 操作 | 预期 |
+| --- | --- | --- |
+| 管理员 | 删除允许删除的工单 | 成功并写审计 |
+| 普通研发 | 直接请求删除接口 | 失败 |
+| 只读用户 | 前端访问删除按钮 | 不可见 |
+