网监反馈安全问题-log user

Blade 未结 1 26

一、该问题的重现步骤是什么?

通报了2个截图:

a62c2fa76d7f91eb68b28502edefe76c.png52d91b892d0193ea38b39c5212398a72.png

排查:/api/blade-log/api/list

545e13f60805429cc9a0cd2f77acc2fe.png


二、你期待的结果是什么?实际看到的又是什么?


实际就是用管理员帐户登录的,肯定是能看到的。那问一下以上2个接口返回的password和tenantId租户字段 ,我们能不能去掉?会不会有影响引起多处报错? 


三、你正在使用的是什么产品,什么版本?在什么操作系统上?

bladex boot     2.9.1.RELEASE

四、请提供详细的错误堆栈信息,这很重要。


五、若有更多详细信息,请在下面提供。

1条回答
  • 不影响,返回的params字段你们可以直接不序列化。但是呢既然已经是管理员登录了,看到这些数据不是正常的么,如果管理员账号都泄露了,系统还有哪里是安全的,还有哪里不能操作,还有什么数据不能看?

    这个接口只要不对外泄露sign-key,是不可能被看到数据的。但他们既然提出来了,就把这个字段返回过滤掉吧,不影响系统运行的。

    0 讨论(0)
提交回复