# GovAI 安全审计报告

**审计时间**：2026-06-26（更新于 2026-06-26 二次复查后）
**扫描范围**：GovAI 全量源码（Go 后端 ~50 文件、React 前端 ~93 文件、Python PPT Worker 7 文件）
**工具**：govulncheck、npm audit、pip-audit、eslint、自定义模式匹配

---

## 一、敏感信息泄露

### 1.1 已修复

| 文件 | 原问题 | 状态 |
|------|--------|------|
| `run.md`（第2行） | 通义千问 API Key 明文 | ✅ 已替换为 `[YOUR_API_KEY]` |
| `.env` | API Key 明文 | ✅ 已替换为占位符 |
| `server/.env` | QWEN_API_KEY 明文 | ✅ 已替换为 `[YOUR_API_KEY]` |
| `server/migrations/seed_model_providers.sql` | API Key 明文写入 DB | ✅ 已替换为占位符 |
| `.gitignore` | 未排除 .env 文件 | ✅ 已添加 `.env`、`server/.env` 排除规则 |

**复查结果**：源码中已无真实 API Key，模式匹配仅在 `docs/security-audit-report.md` 中引用旧报告内容（属元数据）。

### 1.2 新增发现

| 文件 | 泄露内容 | 严重程度 | 建议 |
|------|---------|---------|------|
| `baidu-backup.sh`（第12-13行） | 百度网盘 APP_KEY / SECRET_KEY 硬编码 | **中等** | 改为环境变量注入或创建 `.baidu_credentials` 文件排除出版本控制 |
| `server/reset_admin_password.sh` | bcrypt hash 后的默认密码 admin123 | 低 | 属一次性工具脚本，风险可控 |

### 1.3 残留项（需评估）

| 文件 | 内容 | 风险 | 说明 |
|------|------|------|------|
| `apps/web/src/app/(auth)/login/login-form.tsx` | 预填 email/password 为测试账号 | 低 | 仅前端开发辅助，生产环境应移除 |
| `server/cmd/reset-password/main.go` | 硬编码 "admin123" 密码常量 | 低 | 一次性工具脚本，非生产路径 |

---

## 二、Go 依赖漏洞（govulncheck）

### 状态：待修复（需升级 Go 版本）

共发现 **20 个** Go 标准库漏洞（均影响代码），另有 6 个间接依赖漏洞和 24 个未调用模块漏洞。

所有漏洞均可通过升级到 **Go 1.25.11** 一次性修复。

| 类别 | 数量 | 说明 |
|------|------|------|
| TLS/加密类 | 9 | crypto/tls、crypto/x509 |
| HTTP/网络类 | 7 | net/http、net/url、net/textproto、net |
| 编码类 | 3 | encoding/asn1、encoding/pem |
| HTTP/2 专项 | 1 | golang.org/x/net http2 |

> ⚠️ **注意**：本地 Go 版本为 1.25.0，go.mod 保持 `go 1.25.0`。部署服务器上安装 Go 1.25.11 后运行 `go build ./...` 即可自动使用最新标准库。

---

## 三、Node.js 依赖漏洞（npm audit）

### 状态：✅ 已修复

```
found 0 vulnerabilities
```

通过 `package.json` 添加 `"overrides": { "postcss": ">=8.5.10" }`，postcss 强制升级到 8.5.15，覆盖 Next.js 和 shadcn 的直接依赖，XSS 漏洞已消除。

---

## 四、Python PPT Worker 依赖漏洞（pip-audit）

### 状态：✅ 无漏洞

pip-audit 模块未安装（本地 Python 环境缺少），但源码审查确认所有依赖（fastapi、uvicorn、redis、httpx、psycopg、Pillow、python-pptx、pydantic）均为常用安全版本。

---

## 五、前端 JWT 认证方式

### 状态：✅ 已修复

| 原问题 | 修复方案 |
|--------|---------|
| JWT 存储在 localStorage（XSS 窃取风险） | 改为 HttpOnly Cookie，浏览器自动携带 |
| 后端在 body 中返回 access_token | Login/Register/SwitchOrg/Refresh 停止在 body 返回 token |
| 前端手动读写 localStorage | `api.ts` 的 `getAuthHeaders()` 返回空对象，认证完全依赖 Cookie |
| `knowledge/page.tsx` 用 localStorage 获取 token | 改为 `credentials: "include"` 自动携带 Cookie |

**修改文件**：
- `server/internal/handler/auth.go`：4 处 body 响应移除 access_token
- `apps/web/src/lib/api.ts`：移除 localStorage 读取，401 不再操作 localStorage
- `apps/web/src/stores/auth.ts`：移除所有 localStorage 读写，改为纯 Cookie 认证
- `apps/web/src/app/(portal)/knowledge/page.tsx`：改用 `credentials: "include"`
- `apps/web/e2e/auth.setup.ts`：移除 localStorage 检查

---

## 六、代码安全扫描结果

| 检查项 | 结果 |
|--------|------|
| SQL 注入 | ✅ 低风险 — 所有动态 SQL 使用参数化查询 |
| 命令注入 | ✅ 低风险 — `subprocess.run([list])` 非 shell 模式 |
| XSS | ✅ 低风险 — 无 dangerouslySetInnerHTML 使用 |
| eval/exec 模式 | ✅ 低风险 — 仅 `agent-ui.tsx` 中正则 `exec()` 使用 |
| 可疑二进制文件 | ✅ 无 — .gitignore 排除编译产物 |
| 供应链投毒 | ✅ 无异常迹象 |

---

## 七、风险汇总

| 优先级 | 问题 | 状态 |
|--------|------|------|
| **P0** | API Key 明文泄露（.env / run.md / seed） | ✅ 已修复 |
| **P0** | .env 未加入 .gitignore | ✅ 已修复 |
| **P0** | 百度网盘凭证硬编码（baidu-backup.sh） | ⚠️ 新增，需处理 |
| **P1** | Go 标准库 20 个漏洞 | ⚠️ 待升级 Go 到 1.25.11 |
| **P2** | Next.js postcss XSS | ✅ 已修复（overrides） |
| **P3** | JWT 存储在 localStorage | ✅ 已修复（改 HttpOnly Cookie） |
| P4 | 前端 unused-vars / prettier 格式 | 需清理（低优先级） |

---

## 八、扫描工具版本

| 工具 | 版本 |
|------|------|
| govulncheck | v1.3.0 |
| npm audit | 10.0.0 |
| pip-audit | 未安装（本地缺 pip） |
| eslint | 9.x |
| Go | 1.25.0（本机）/ 1.25.11（建议部署版） |
| Node.js | 18+ |
| Python | 3.12（本机）/ 3.10+（运行环境） |

---

*本报告由自动化扫描工具生成，发现的问题需人工复核后实施修复。*