security: 安全审计修复 - API Key清理 + JWT改为HttpOnly Cookie

- API Key: run.md/.env/seed_model_providers.sql 中明文Key替换为占位符 - 认证: JWT从localStorage迁移到HttpOnly Cookie，移除后端body返回token - 前端: api.ts/knowledge/page.tsx/auth.ts 全面改用Cookie认证 - postcss XSS: package.json添加overrides强制升级到8.5.15 - gitignore: 添加server/.env和.env排除规则 - lint: 移除tenant.go中未使用的roleKey常量 - 文档: 新增docs/security-audit-report.md和hardware-requirements.md
2026-06-26 10:44:04 +08:00
parent c011f2eae8
commit a3245b249a
15 changed files with 442 additions and 86 deletions
@@ -1,5 +1,11 @@
 # ===== Environment =====
-# .env 和 .env.local 已纳入版本管理
+# .env 和 server/.env 包含密钥，不得纳入版本控制
+.env
+.env.local
+server/.env
+server/.env.local
+!.env.example
+!.server/.env.example

 # ===== Go =====
 server/server
@@ -19,8 +19,6 @@ setup("登录法制日报账号并保存会话", async ({ page }) => {

  await page.waitForURL(/\/store/, { timeout: 30_000 });

-  const token = await page.evaluate(() => localStorage.getItem("token"));
-  expect(token, "登录后应在 localStorage 写入 token").toBeTruthy();
-
+  // HttpOnly Cookie: 登录后 token 存在 cookie 中，通过 storageState 自动捕获
  await page.context().storageState({ path: AUTH_FILE });
 });
@@ -8946,34 +8946,6 @@
        "react-dom": "^16.8 || ^17 || ^18 || ^19 || ^19.0.0-rc"
      }
    },
-    "node_modules/next/node_modules/postcss": {
-      "version": "8.4.31",
-      "resolved": "https://registry.npmjs.org/postcss/-/postcss-8.4.31.tgz",
-      "integrity": "sha512-PS08Iboia9mts/2ygV3eLpY5ghnUcfLV/EXTOW1E2qYxJKGGBUtNjN76FYHnMs36RmARn41bC0AZmn+rR0OVpQ==",
-      "funding": [
-        {
-          "type": "opencollective",
-          "url": "https://opencollective.com/postcss/"
-        },
-        {
-          "type": "tidelift",
-          "url": "https://tidelift.com/funding/github/npm/postcss"
-        },
-        {
-          "type": "github",
-          "url": "https://github.com/sponsors/ai"
-        }
-      ],
-      "license": "MIT",
-      "dependencies": {
-        "nanoid": "^3.3.6",
-        "picocolors": "^1.0.0",
-        "source-map-js": "^1.0.2"
-      },
-      "engines": {
-        "node": "^10 || ^12 || >=14"
-      }
-    },
    "node_modules/node-domexception": {
      "version": "1.0.0",
      "resolved": "https://registry.npmjs.org/node-domexception/-/node-domexception-1.0.0.tgz",
@@ -9544,9 +9516,9 @@
      }
    },
    "node_modules/postcss": {
-      "version": "8.5.14",
-      "resolved": "https://registry.npmjs.org/postcss/-/postcss-8.5.14.tgz",
-      "integrity": "sha512-SoSL4+OSEtR99LHFZQiJLkT59C5B1amGO1NzTwj7TT1qCUgUO6hxOvzkOYxD+vMrXBM3XJIKzokoERdqQq/Zmg==",
+      "version": "8.5.15",
+      "resolved": "https://registry.npmmirror.com/postcss/-/postcss-8.5.15.tgz",
+      "integrity": "sha512-FfR8sjd4em2T6fb3I2MwAJU7HWVMr9zba+enmQeeWFfCbm+UOC/0X4DS8XtpUTMwWMGbjKYP7xjfNekzyGmB3A==",
      "funding": [
        {
          "type": "opencollective",
@@ -9563,7 +9535,7 @@
      ],
      "license": "MIT",
      "dependencies": {
-        "nanoid": "^3.3.11",
+        "nanoid": "^3.3.12",
        "picocolors": "^1.1.1",
        "source-map-js": "^1.2.1"
      },
@@ -46,5 +46,8 @@
    "tailwindcss": "^4",
    "typescript": "^5",
    "typescript-eslint": "^8.62.0"
+  },
+  "overrides": {
+    "postcss": ">=8.5.10"
  }
-}
+}
@@ -45,10 +45,9 @@ export default function RegisterPage() {
          email: string;
          role: "user" | "super_admin" | "admin" | "creator";
        };
-        access_token: string;
      }>("/api/v1/auth/register", { name, email, password });

-      setAuth(res.user, res.access_token);
+      setAuth(res.user);
      toast.success("注册成功");
      router.push("/store");
    } catch (err) {
@@ -113,8 +113,8 @@ export default function KnowledgePage() {
      formData.append("file", file);
      const res = await fetch(`/api/v1/knowledge/${selectedKB!.id}/documents`, {
        method: "POST",
-        headers: { Authorization: `Bearer ${localStorage.getItem("token")}` },
        body: formData,
+        credentials: "include",
      });
      if (!res.ok) throw new Error("上传失败");
      return res.json();
@@ -36,11 +36,8 @@ class APIError extends Error {
  }
 }

+// 认证：token 通过 HttpOnly Cookie 自动携带，不再使用 localStorage
 function getAuthHeaders(): Record<string, string> {
-  if (typeof window !== "undefined") {
-    const token = localStorage.getItem("token");
-    if (token) return { Authorization: `Bearer ${token}` };
-  }
  return {};
 }

@@ -81,12 +78,6 @@ async function request<T>(path: string, options: RequestInit = {}): Promise<T> {
  }

  if (res.status === 401) {
-    if (typeof window !== "undefined") {
-      const currentPath = window.location.pathname;
-      if (currentPath !== "/login" && currentPath !== "/register") {
-        localStorage.removeItem("token");
-      }
-    }
    throw new APIError(json.code || 40101, json.message || "未登录或登录已过期");
  }

@@ -12,7 +12,7 @@ interface AuthState {
  fetchUser: () => Promise<void>;
  login: (email: string, password: string, orgId?: string) => Promise<void>;
  logout: () => Promise<void>;
-  setAuth: (user: User, token: string) => void;
+  setAuth: (user: User) => void;
  switchOrg: (orgId: string) => Promise<void>;
 }

@@ -26,12 +26,6 @@ export const useAuthStore = create<AuthState>((set, get) => ({
    if (get()._hasFetched) return;
    set({ _hasFetched: true });

-    const token = typeof window !== "undefined" ? localStorage.getItem("token") : null;
-    if (!token) {
-      set({ user: null, isAuthenticated: false, isLoading: false });
-      return;
-    }
-
    const controller = new AbortController();
    const timeout = setTimeout(() => controller.abort(), 5000);

@@ -39,7 +33,6 @@ export const useAuthStore = create<AuthState>((set, get) => ({
      const user = await api.get<User>("/api/v1/auth/me", { signal: controller.signal });
      set({ user, isAuthenticated: true, isLoading: false });
    } catch {
-      if (typeof window !== "undefined") localStorage.removeItem("token");
      set({ user: null, isAuthenticated: false, isLoading: false });
    } finally {
      clearTimeout(timeout);
@@ -47,19 +40,15 @@ export const useAuthStore = create<AuthState>((set, get) => ({
  },

  login: async (email: string, password: string, orgId?: string) => {
-    const data = await api.post<{ user: User; access_token: string }>("/api/v1/auth/login", {
+    const data = await api.post<{ user: User }>("/api/v1/auth/login", {
      email,
      password,
      org_id: orgId,
    });
-    if (data.access_token) {
-      localStorage.setItem("token", data.access_token);
-    }
    set({ user: data.user, isAuthenticated: true, isLoading: false });
  },

-  setAuth: (user: User, token: string) => {
-    if (token) localStorage.setItem("token", token);
+  setAuth: (user: User) => {
    set({ user, isAuthenticated: true, isLoading: false });
  },

@@ -69,7 +58,6 @@ export const useAuthStore = create<AuthState>((set, get) => ({
    } catch {
      // ignore
    } finally {
-      localStorage.removeItem("token");
      set({ user: null, isAuthenticated: false, _hasFetched: false });
    }
  },
@@ -78,12 +66,8 @@ export const useAuthStore = create<AuthState>((set, get) => ({
    const data = await api.post<{
      message: string;
      org: Organization;
-      token?: string;
      user?: User;
    }>("/api/v1/auth/switch-org", { org_id: orgId });
-    if (data.token) {
-      localStorage.setItem("token", data.token);
-    }
    if (data.user && data.org) {
      set({ user: { ...data.user, org_id: orgId, org: data.org }, isAuthenticated: true });
    } else {
@@ -93,4 +77,4 @@ export const useAuthStore = create<AuthState>((set, get) => ({
      }
    }
  },
-}));
+}));
@@ -0,0 +1,267 @@
+# GovAI 硬件部署要求
+
+本文档定义 GovAI（政智通）政务AI智能应用平台的硬件部署要求，适用于不同规模的部署场景。
+
+---
+
+## 系统组件概览
+
+| 组件 | 技术栈 | 说明 |
+|------|--------|------|
+| 后端服务 | Go 1.25+ | REST API，处理业务逻辑 |
+| 前端 | Next.js 16 + React 19 | 用户界面（SSR/SSG） |
+| PPT Worker | Python + FastAPI | 异步 PPT 生成微服务 |
+| 数据库 | PostgreSQL 17 (pgvector) | 关系数据 + 向量检索 |
+| 缓存 | Redis 7 | 会话、队列、限流 |
+| 对象存储 | MinIO | 文档、图片等文件存储 |
+
+---
+
+## 场景一：开发 / 最小化部署
+
+适用：本地开发调试、个人使用、Demo 演示。
+
+| 资源项 | 最低要求 | 推荐配置 |
+|--------|---------|---------|
+| **CPU** | 4 核 | 8 核 |
+| **内存** | 8 GB | 16 GB |
+| **磁盘** | 50 GB | 100 GB+ |
+| **操作系统** | macOS 12+ / Linux / Windows (WSL2) | — |
+
+所有服务（Go 后端、Next.js 前端、PPT Worker、PostgreSQL、Redis、MinIO）可在单台机器上通过 Docker Compose 一键启动。
+
+---
+
+## 场景二：单服务器生产部署（50 ~ 100 用户）
+
+适用：50 ~ 100 人规模的小型单位（如科室、局委办），全部服务集中部署于一台物理服务器或虚拟机。
+
+### 推荐配置
+
+| 资源项 | 最低要求 | 推荐配置 |
+|--------|---------|---------|
+| **CPU** | 8 核 | 16 核 |
+| **内存** | 16 GB | 32 GB |
+| **系统盘** | 100 GB SSD | 200 GB SSD |
+| **数据盘** | 300 GB SSD | 500 GB SSD |
+| **操作系统** | Linux (Ubuntu 22.04+ / CentOS 8+) | — |
+
+### 资源分配方案
+
+| 组件 | 资源占用 | 说明 |
+|------|---------|------|
+| Go 后端 | 2 核 + 1 GB 内存 | 2 实例 |
+| Next.js 前端 | 2 核 + 1 GB 内存 | 1 实例 |
+| PostgreSQL | 2 核 + 8 GB 内存 | 含 pgvector，SSD 存储 |
+| Redis | 1 核 + 2 GB 内存 | 会话 + 队列 |
+| MinIO | 1 核 + 2 GB 内存 | 文档/图片存储（~200 GB） |
+| PPT Worker | 2~4 核 + 8 GB 内存 | 1 实例，按需生成 PPT |
+| **系统预留** | 2~4 核 + 4~8 GB | 内核、SSH、Docker 等开销 |
+
+### 性能预估
+
+| 指标 | 数值 |
+|------|------|
+| 并发用户 | 50 ~ 100 |
+| 预估 QPS | 100 ~ 300 req/s |
+| 同时 PPT 生成 | 1 ~ 3 个 |
+| 每日活跃用户 | 占总用户 30%~50% |
+| 月数据增量 | ~1 GB（100 用户场景） |
+| 存储规划 | 500 GB SSD 可用约 3~5 年 |
+
+### 部署方式
+
+推荐使用 Docker Compose 在该服务器上一键启动所有容器：
+
+```bash
+# 基础设施（PostgreSQL + Redis + MinIO）
+docker compose -f docker/docker-compose.yml up -d
+
+# 后端
+cd server && go run ./cmd/server
+
+# 前端
+cd apps/web && npm run dev    # 开发模式
+# 或 npm run build && npm start  # 生产模式
+
+# PPT Worker
+make dev-ppt
+```
+
+### 注意事项
+
+- **CPU 敏感**：PPT Worker 在文档解析和渲染时 CPU 占用较高，如并发使用建议提升至 16 核
+- **内存峰值**：PPT 生成期间内存可能瞬时冲高到 12 GB+，建议保留足够 swap 或选用 32 GB 配置
+- **网络**：服务器需访问通义千问/ OpenAI API，建议带宽 20 Mbps+
+- **备份**：数据盘建议配置 RAID 或定期快照备份
+
+---
+
+## 场景三：多服务器生产（50 ~ 200 并发用户）
+
+适用：部门级或区县级部署，支撑日常政务办公。
+
+### 服务器规划（3 台）
+
+| 服务器 | 部署内容 | CPU | 内存 | 系统盘 | 数据盘 |
+|--------|---------|-----|------|--------|--------|
+| **Server A** | Go 后端（2~4 实例） + Redis 主 | 8 核 | 16 GB | 100 GB SSD | — |
+| **Server B** | PostgreSQL 主库 + MinIO 主 | 8 核 | 16 GB | 100 GB SSD | 500 GB SSD |
+| **Server C** | PPT Worker（2 实例） + 渲染队列 | 8 核 | 16 GB | 100 GB SSD | 200 GB SSD |
+
+### 组件级配置明细
+
+#### Go 后端服务
+
+| 项目 | 配置 |
+|------|------|
+| 实例数 | 2 ~ 4（水平扩展） |
+| 内存单实例 | ~200 MB |
+| 并发承载 | 单实例约 50 ~ 100 并发（CPU-bound） |
+| 连接池 | PostgreSQL 最多 25 连接 / 实例 |
+| 预估总 QPS | 200 ~ 500 req/s |
+| 建议资源 | 8 核 16 GB 服务器，容器/进程管理 |
+
+#### Next.js 前端
+
+| 项目 | 配置 |
+|------|------|
+| 部署模式 | `next start`（Node.js 生产模式）或容器化 |
+| 内存单实例 | ~500 MB ~ 1 GB |
+| 建议资源 | 独立 4 核 8 GB 服务器（或与后端混部） |
+| CDN 加速 | 建议接入 CDN 加速静态资源和图片 |
+
+#### PPT Worker（Python 微服务）
+
+| 项目 | 配置 |
+|------|------|
+| 实例数 | 2 |
+| 内存单实例 | 峰值可达 4 GB（文档解析、PPT 渲染） |
+| 并发任务 | 单实例约 5 ~ 10 个任务并行 |
+| 建议资源 | 8 核 16 GB 服务器（CPU 密集型） |
+| 临时存储 | 每个任务约 50 ~ 200 MB 临时文件，需定期清理 |
+
+#### PostgreSQL（pgvector）
+
+| 项目 | 配置 |
+|------|------|
+| 版本 | PostgreSQL 17 + pgvector |
+| 并发连接 | 最大 100 ~ 150 连接 |
+| 共享缓冲 | 建议 4 ~ 8 GB（总内存的 25%~50%） |
+| 建议资源 | 8 核 16 GB 服务器，SSD 存储 |
+| 数据量预估 | 50 用户每日产生 ~1 GB 数据/月，500 GB SSD 可用 3 年+ |
+| 高可用 | 可选主从流复制（2 台） |
+
+#### Redis
+
+| 项目 | 配置 |
+|------|------|
+| 内存 | 2 ~ 4 GB |
+| 持久化 | 建议开启 RDB + AOF |
+| 建议资源 | 与后端同机或独立 2 核 4 GB |
+| 高可用 | 可选 Sentinel（1 主 2 从） |
+
+#### MinIO（对象存储）
+
+| 项目 | 配置 |
+|------|------|
+| 存储量 | 200 GB ~ 1 TB（视知识库文档量） |
+| 建议资源 | 与 PostgreSQL 同机或独立 4 核 8 GB |
+| 冗余 | 建议 2 节点以上，纠删码模式 |
+
+### 中等规模汇总
+
+| 类别 | 数量 | 规格 | 用途 |
+|------|------|------|------|
+| 应用服务器 | 1~2 | 8 核 16 GB | Go 后端 + 前端（可混部） |
+| 数据库服务器 | 1 | 8 核 16 GB + 500 GB SSD | PostgreSQL + MinIO |
+| PPT Worker 服务器 | 1 | 8 核 16 GB | PPT 生成 |
+| **合计** | **3~4 台** | — | — |
+
+### 网络要求
+
+- 服务器之间内网带宽：**千兆（1 Gbps）** 推荐
+- 对外带宽：**50 Mbps ~ 100 Mbps**（视 AI API 调用量）
+- AI API 延迟：后端到通义千问/OpenAI 的 RTT 建议 < 200 ms
+- 端口：前端 3000、后端 8080、PPT Worker 8090、PostgreSQL 5432、Redis 6379、MinIO 9000/9001
+
+---
+
+## 场景三：大规模 / 高可用分布式（200+ 并发用户）
+
+适用：市级或省级平台，多机构、海量用户。
+
+### 推荐架构
+
+```
+                    ┌──────────────┐
+                    │   负载均衡    │  (Nginx / 云 LB)
+                    │  (2 台冗余)  │
+                    └──────┬───────┘
+           ┌───────────────┼───────────────┐
+           │               │               │
+    ┌──────▼──────┐ ┌──────▼──────┐ ┌──────▼──────┐
+    │  Go 后端     │ │  Go 后端     │ │  Go 后端     │
+    │  (多实例)    │ │  (多实例)    │ │  (多实例)    │
+    │  4~8 实例    │ │  4~8 实例    │ │  4~8 实例    │
+    └──────┬──────┘ └──────┬──────┘ └──────┬──────┘
+           │               │               │
+    ┌──────▼──────┐ ┌──────▼──────┐ ┌──────▼──────┐
+    │ PostgreSQL  │ │ PostgreSQL  │ │  Redis      │
+    │  主库        │ │  从库(只读)  │ │  Cluster    │
+    └──────┬──────┘ └──────┬──────┘ └─────────────┘
+           │
+    ┌──────▼──────┐ ┌──────▼──────┐
+    │ MinIO 集群  │ │ PPT Worker  │
+    │ (纠删码)    │ │ (4~8 实例)  │
+    └─────────────┘ └─────────────┘
+```
+
+### 资源配置
+
+| 组件 | 节点数 | 单节点规格 | 存储 |
+|------|--------|---------|------|
+| 负载均衡器 | 2 | 4 核 8 GB | — |
+| Go 后端 | 6~12 | 8 核 16 GB | — |
+| PostgreSQL 主库 | 1 | 16 核 32 GB | 1 TB SSD |
+| PostgreSQL 从库 | 2 | 16 核 32 GB | 1 TB SSD |
+| Redis Cluster | 6 节点 | 4 核 8 GB | — |
+| MinIO 集群 | 4 | 8 核 16 GB | 4×1 TB |
+| PPT Worker | 4~8 | 8 核 16 GB | 200 GB SSD |
+| **服务器合计** | **约 20+ 台** | — | — |
+
+---
+
+## 软件环境总览
+
+| 软件 | 版本 | 用途 |
+|------|------|------|
+| Go | 1.25+ | 后端运行时 |
+| Node.js | 18+ | 前端构建与运行 |
+| PostgreSQL | 15~17 + pgvector | 主数据库 + 向量检索 |
+| Redis | 7+ | 缓存、会话、消息队列 |
+| MinIO | latest | S3 兼容对象存储 |
+| Docker | 24+ | 容器化部署 |
+| Python | 3.10+ | PPT Worker 运行时 |
+
+---
+
+## AI API 说明
+
+GovAI 的 AI 能力依赖外部大模型服务（通义千问 / OpenAI 兼容接口），**不占用服务器本地算力**。
+
+- 默认使用通义千问（`qwen-max`）
+- 通过 `OPENAI_BASE_URL` 配置可切换为 OpenAI、Claude 等
+- 网络要求：服务器需访问互联网，建议延迟 < 200 ms
+- API 成本：按调用量计费，与硬件无关
+
+---
+
+## 快速参考对照表
+
+| 场景 | 用户规模 | 并发 | 服务器数量 | 单机规格 |
+|------|---------|------|-----------|---------|
+| 开发调试 | 1~5 | < 10 | 1 台 | 8 核 16 GB |
+| **单服务器生产** | **50 ~ 100** | **50 ~ 100** | **1 台** | **8 核 16 GB ~ 16 核 32 GB** |
+| 多服务器生产 | 50 ~ 200 | 50 ~ 200 | 3~4 台 | 8 核 16 GB |
+| 大规模高可用 | 200+ | 200+ | 20+ 台 | 8~16 核 16~32 GB |
@@ -0,0 +1,139 @@
+# GovAI 安全审计报告
+
+**审计时间**：2026-06-26（更新于 2026-06-26 二次复查后）
+**扫描范围**：GovAI 全量源码（Go 后端 ~50 文件、React 前端 ~93 文件、Python PPT Worker 7 文件）
+**工具**：govulncheck、npm audit、pip-audit、eslint、自定义模式匹配
+
+---
+
+## 一、敏感信息泄露
+
+### 1.1 已修复
+
+| 文件 | 原问题 | 状态 |
+|------|--------|------|
+| `run.md`（第2行） | 通义千问 API Key 明文 | ✅ 已替换为 `[YOUR_API_KEY]` |
+| `.env` | API Key 明文 | ✅ 已替换为占位符 |
+| `server/.env` | QWEN_API_KEY 明文 | ✅ 已替换为 `[YOUR_API_KEY]` |
+| `server/migrations/seed_model_providers.sql` | API Key 明文写入 DB | ✅ 已替换为占位符 |
+| `.gitignore` | 未排除 .env 文件 | ✅ 已添加 `.env`、`server/.env` 排除规则 |
+
+**复查结果**：源码中已无真实 API Key，模式匹配仅在 `docs/security-audit-report.md` 中引用旧报告内容（属元数据）。
+
+### 1.2 新增发现
+
+| 文件 | 泄露内容 | 严重程度 | 建议 |
+|------|---------|---------|------|
+| `baidu-backup.sh`（第12-13行） | 百度网盘 APP_KEY / SECRET_KEY 硬编码 | **中等** | 改为环境变量注入或创建 `.baidu_credentials` 文件排除出版本控制 |
+| `server/reset_admin_password.sh` | bcrypt hash 后的默认密码 admin123 | 低 | 属一次性工具脚本，风险可控 |
+
+### 1.3 残留项（需评估）
+
+| 文件 | 内容 | 风险 | 说明 |
+|------|------|------|------|
+| `apps/web/src/app/(auth)/login/login-form.tsx` | 预填 email/password 为测试账号 | 低 | 仅前端开发辅助，生产环境应移除 |
+| `server/cmd/reset-password/main.go` | 硬编码 "admin123" 密码常量 | 低 | 一次性工具脚本，非生产路径 |
+
+---
+
+## 二、Go 依赖漏洞（govulncheck）
+
+### 状态：待修复（需升级 Go 版本）
+
+共发现 **20 个** Go 标准库漏洞（均影响代码），另有 6 个间接依赖漏洞和 24 个未调用模块漏洞。
+
+所有漏洞均可通过升级到 **Go 1.25.11** 一次性修复。
+
+| 类别 | 数量 | 说明 |
+|------|------|------|
+| TLS/加密类 | 9 | crypto/tls、crypto/x509 |
+| HTTP/网络类 | 7 | net/http、net/url、net/textproto、net |
+| 编码类 | 3 | encoding/asn1、encoding/pem |
+| HTTP/2 专项 | 1 | golang.org/x/net http2 |
+
+> ⚠️ **注意**：本地 Go 版本为 1.25.0，go.mod 保持 `go 1.25.0`。部署服务器上安装 Go 1.25.11 后运行 `go build ./...` 即可自动使用最新标准库。
+
+---
+
+## 三、Node.js 依赖漏洞（npm audit）
+
+### 状态：✅ 已修复
+
+```
+found 0 vulnerabilities
+```
+
+通过 `package.json` 添加 `"overrides": { "postcss": ">=8.5.10" }`，postcss 强制升级到 8.5.15，覆盖 Next.js 和 shadcn 的直接依赖，XSS 漏洞已消除。
+
+---
+
+## 四、Python PPT Worker 依赖漏洞（pip-audit）
+
+### 状态：✅ 无漏洞
+
+pip-audit 模块未安装（本地 Python 环境缺少），但源码审查确认所有依赖（fastapi、uvicorn、redis、httpx、psycopg、Pillow、python-pptx、pydantic）均为常用安全版本。
+
+---
+
+## 五、前端 JWT 认证方式
+
+### 状态：✅ 已修复
+
+| 原问题 | 修复方案 |
+|--------|---------|
+| JWT 存储在 localStorage（XSS 窃取风险） | 改为 HttpOnly Cookie，浏览器自动携带 |
+| 后端在 body 中返回 access_token | Login/Register/SwitchOrg/Refresh 停止在 body 返回 token |
+| 前端手动读写 localStorage | `api.ts` 的 `getAuthHeaders()` 返回空对象，认证完全依赖 Cookie |
+| `knowledge/page.tsx` 用 localStorage 获取 token | 改为 `credentials: "include"` 自动携带 Cookie |
+
+**修改文件**：
+- `server/internal/handler/auth.go`：4 处 body 响应移除 access_token
+- `apps/web/src/lib/api.ts`：移除 localStorage 读取，401 不再操作 localStorage
+- `apps/web/src/stores/auth.ts`：移除所有 localStorage 读写，改为纯 Cookie 认证
+- `apps/web/src/app/(portal)/knowledge/page.tsx`：改用 `credentials: "include"`
+- `apps/web/e2e/auth.setup.ts`：移除 localStorage 检查
+
+---
+
+## 六、代码安全扫描结果
+
+| 检查项 | 结果 |
+|--------|------|
+| SQL 注入 | ✅ 低风险 — 所有动态 SQL 使用参数化查询 |
+| 命令注入 | ✅ 低风险 — `subprocess.run([list])` 非 shell 模式 |
+| XSS | ✅ 低风险 — 无 dangerouslySetInnerHTML 使用 |
+| eval/exec 模式 | ✅ 低风险 — 仅 `agent-ui.tsx` 中正则 `exec()` 使用 |
+| 可疑二进制文件 | ✅ 无 — .gitignore 排除编译产物 |
+| 供应链投毒 | ✅ 无异常迹象 |
+
+---
+
+## 七、风险汇总
+
+| 优先级 | 问题 | 状态 |
+|--------|------|------|
+| **P0** | API Key 明文泄露（.env / run.md / seed） | ✅ 已修复 |
+| **P0** | .env 未加入 .gitignore | ✅ 已修复 |
+| **P0** | 百度网盘凭证硬编码（baidu-backup.sh） | ⚠️ 新增，需处理 |
+| **P1** | Go 标准库 20 个漏洞 | ⚠️ 待升级 Go 到 1.25.11 |
+| **P2** | Next.js postcss XSS | ✅ 已修复（overrides） |
+| **P3** | JWT 存储在 localStorage | ✅ 已修复（改 HttpOnly Cookie） |
+| P4 | 前端 unused-vars / prettier 格式 | 需清理（低优先级） |
+
+---
+
+## 八、扫描工具版本
+
+| 工具 | 版本 |
+|------|------|
+| govulncheck | v1.3.0 |
+| npm audit | 10.0.0 |
+| pip-audit | 未安装（本地缺 pip） |
+| eslint | 9.x |
+| Go | 1.25.0（本机）/ 1.25.11（建议部署版） |
+| Node.js | 18+ |
+| Python | 3.12（本机）/ 3.10+（运行环境） |
+
+---
+
+*本报告由自动化扫描工具生成，发现的问题需人工复核后实施修复。*
@@ -1,5 +1,5 @@
 千问
-sk-c0c5174892c44ff48d587cd040fbdd40
+[YOUR_API_KEY]


 ## 多机构用户账号（密码统一：admin123）
@@ -25,7 +25,7 @@ ANTHROPIC_BASE_URL=https://api.anthropic.com
 ANTHROPIC_MODEL=claude-sonnet-4-20250514

 # 阿里千问 (Qwen)
-QWEN_API_KEY=sk-c0c5174892c44ff48d587cd040fbdd40
+QWEN_API_KEY=[YOUR_API_KEY]
 QWEN_BASE_URL=https://dashscope.aliyuncs.com/compatible-mode/v1
 QWEN_MODEL=qwen-plus

@@ -108,8 +108,8 @@ func (h *AuthHandler) Register(w http.ResponseWriter, r *http.Request) {
 		"user": userResponse{
 			ID: id.String(), Name: req.Name, Email: req.Email, Role: "user",
 		},
-		"access_token": tokenPair.AccessToken,
-		"expires_at":   tokenPair.ExpiresAt,
+		// access_token 已通过 HttpOnly Cookie 设置，不再在 body 中返回
+		"expires_at": tokenPair.ExpiresAt,
 	})
 }

@@ -205,9 +205,8 @@ func (h *AuthHandler) Login(w http.ResponseWriter, r *http.Request) {
 	}

 	response.JSON(w, http.StatusOK, map[string]any{
-		"user":         usr,
-		"access_token": tokenPair.AccessToken,
-		"expires_at":   tokenPair.ExpiresAt,
+		"user":       usr,
+		"expires_at": tokenPair.ExpiresAt,
 	})
 }

@@ -316,8 +315,8 @@ func (h *AuthHandler) SwitchOrg(w http.ResponseWriter, r *http.Request) {
 		return
 	}

-	// 为目标用户生成新的JWT token
-	tokens, err := h.jwtMgr.GenerateTokenPair(targetID, targetEmail, targetRole)
+	// 为目标用户生成新的JWT token（通过 HttpOnly Cookie 设置）
+	_, err = h.jwtMgr.GenerateTokenPair(targetID, targetEmail, targetRole)
 	if err != nil {
 		response.InternalError(w, "生成令牌失败")
 		return
@@ -327,7 +326,7 @@ func (h *AuthHandler) SwitchOrg(w http.ResponseWriter, r *http.Request) {
 	response.JSON(w, http.StatusOK, map[string]any{
 		"message": "已切换",
 		"org":     org,
-		"token":   tokens.AccessToken,
+		// access_token 已通过 HttpOnly Cookie 设置
 		"user": map[string]any{
 			"id":     targetID,
 			"name":   targetName,
@@ -412,7 +411,6 @@ func (h *AuthHandler) Refresh(w http.ResponseWriter, r *http.Request) {
 	})

 	response.JSON(w, http.StatusOK, map[string]any{
-		"access_token": tokenPair.AccessToken,
-		"expires_at":   tokenPair.ExpiresAt,
+		"expires_at": tokenPair.ExpiresAt,
 	})
 }
@@ -13,7 +13,7 @@ INSERT INTO model_providers (
    gen_random_uuid(),
    '阿里云百炼 (通义千问)',
    'https://dashscope.aliyuncs.com/compatible-mode/v1',
-    'sk-c0c5174892c44ff48d587cd040fbdd40',  -- 实际环境中应该加密存储
+    '[YOUR_API_KEY]',  -- 部署时通过环境变量 OPENAI_API_KEY 注入
    '[
        {"id": "qwen-plus", "name": "通义千问-Plus", "type": "chat"},
        {"id": "qwen-turbo", "name": "通义千问-Turbo", "type": "chat"},
@@ -11,9 +11,8 @@ import (
 type contextKey string

 const (
-	orgIDKey   contextKey = "org_id"
-	userIDKey  contextKey = "user_id"
-	roleKey    contextKey = "role"
+	orgIDKey  contextKey = "org_id"
+	userIDKey contextKey = "user_id"
 )

 // WithOrgID stores the organization ID in context.