Files

T

smart 67837df8d0 docs: 更新TRA编程培训课程材料、课件与AI技能交付包

- 新增全套考试卷、评估卷、参考答案与考试培训包模板
- 修正slidev培训课件：调整模块标题、链路图缩放，替换工单示例为通用业务对象
- 修正课堂红线表述为证据红线，将小组作业调整为个人作业要求
- 新增权限、状态流转、审计日志、看板指标四类可复用业务规则块
- 整理AI工程技能交付包，迁移旧资产至客户专属交付包并统一术语
- 新增考试输出模板与TRAE使用记录文档

2026-08-08 11:00:36 +08:00

4.3 KiB

Raw Blame History

模块 5：若依安全规则重点

账号密码 · Token · 接口权限注解 · 菜单与按钮权限 · 数据权限 · 操作日志 · 敏感配置 · 日志脱敏 · 导入导出

安全规则写法

规则组成	写法	示例
触发场景	哪类文件/功能/接口触发	用户、角色、菜单、部门、岗位
必须动作	AI 必须检查或执行什么	检查 Controller 权限注解
禁止动作	AI 不能偷懒或绕过什么	不能只做前端按钮隐藏
验收方式	怎么确认规则被遵守	文件路径、注解、无权限测试

安全规则示例

前端按钮权限只能作为交互控制，不能作为安全边界

涉及用户、角色、菜单、部门、岗位等敏感接口时，必须检查后端 Controller 是否存在权限控制

涉及新增、修改、删除、导出等操作时，必须检查是否记录操作日志

权限与日志 rules 片段

## 权限与审计规则

- 涉及用户、角色、菜单、部门、岗位的新增、修改、删除、导出接口时，
  必须检查后端 Controller 是否有权限控制，不能只依赖前端按钮权限。
- 涉及新增、修改、删除、导入、导出等敏感操作时，
  必须检查是否记录操作日志，并说明日志注解或 AOP 依据。
- 如果当前上下文无法确认权限或日志实现，必须标注“不确定”，
  并请求补充 Controller、Service、权限配置或日志切面相关文件。

敏感配置规则

禁止在源码中硬编码数据库密码、Redis 密码、JWT 密钥、第三方密钥
不得提交真实 application-dev.yml、.env、本地配置文件
示例配置必须使用占位符

安全规则验证

个人任务	产出
选择一个敏感动作	删除用户、导出用户、重置密码任选一个
用上下文包提问	要求 TRAE 先收集证据，不改代码
抽取安全规则	写出 3 条可执行 rules
设计验证步骤	正常账号、无权限账号、日志检查各 1 条

验收：规则必须能回答“什么时候触发、检查哪里、怎么证明、证据不足怎么办”。

4.3 KiB Raw Blame History