17 KiB
17 KiB
多维系统审查唯一 Finding 台账
台账口径
- 本文件是当前任务唯一的分级与生命周期事实源。分域报告保留发现证据，但不再各自决定当前严重度或状态。
- 发现基线为
bbb5c89；当前本地增量目标为8f8606c。发现时严重度不因后续修复而改写，收敛校准会在单元格中显式注明。 - 发现状态、当前修复状态、部署状态、外部验证状态彼此独立。
NO_FIX_TO_DEPLOY表示尚无修复产物，不等于待部署；NOT_APPLICABLE仅用于非运行时代码/纯测试合同。ACTIVE_TASK_OPEN表示该项仍开放但已由现有活动 task 承载；本轮只做去重，不另建 task。FOLLOW_UP_RECOMMENDED表示持续治理建议，不是已修复。- 证据和验证只保留防御性结论。安全工程细节由聚焦测试和已归档修复任务承载。
唯一台账
| ID | 维度 | 发现时严重度 | 置信度 | 发现状态 | 当前修复状态 | 部署状态 | 外部验证状态 | 证据引用 | 业务影响 | 控制目标 | 无害验证 | 后续工作包 |
|---|---|---|---|---|---|---|---|---|---|---|---|---|
SEC-AUTH-001 |
认证 / 代理信任 | P0 | 高 | CONFIRMED |
LOCAL_FIX_VERIFIED |
DEPLOYMENT_PENDING |
EXTERNAL_BEHAVIOR_PENDING |
business-security-review.md#bsr-sec-001；归档任务 07-17-auth-challenge-trusted-proxy-hardening |
认证边界不足可能导致账号被未授权控制。 | 挑战单次有效、并发一致、来源可信且可审计。 | 当前 HEAD 聚焦负路径、完整服务端与隔离并发验证通过。 | 另行授权：部署与公网复核 |
SEC-ATT-001 |
业务附件 / 浏览器隔离 | P0 | 高 | CONFIRMED |
LOCAL_FIX_VERIFIED |
DEPLOYMENT_PENDING |
EXTERNAL_BEHAVIOR_PENDING |
business-security-review.md#bsr-sec-002；归档任务 07-17-purchase-attachment-xss-hardening |
主动内容可能破坏 OA 同源会话与业务数据边界。 | 实际内容验证、重新授权/审计、非执行下载。 | 当前 HEAD 策略/路由、完整服务端与聚焦浏览器验证通过。 | 另行授权：部署与公网复核 |
DATA-EMP-001 |
员工敏感数据授权 | P1 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
EXTERNAL_BEHAVIOR_PENDING |
business-security-review.md#bsr-authz-001 |
广泛能力可能读取超出岗位需要的员工敏感字段。 | 字段级授权与人员范围同时最小化。 | 只读跨层检查确认权限粒度不足，未读取真实资料。 | WP-1 员工敏感数据范围授权 |
PAY-STATE-001 |
付款状态机 / 并发 | P1 | 高 | LIKELY |
OPEN |
NO_FIX_TO_DEPLOY |
EXTERNAL_BEHAVIOR_PENDING |
business-security-review.md#bsr-data-001 |
并发状态变化可能造成重复结果或证据覆盖。 | 条件更新/锁、幂等和不可覆盖审计保证单一结果。 | 静态事务检查发现保护证据不足，未连接数据库或执行付款。 | WP-2 付款状态一致性与审计 |
DATA-HR-ATT-001 |
员工合同附件 | P1 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
EXTERNAL_BEHAVIOR_PENDING |
business-security-review.md#bsr-priv-001 |
高敏合同资料可能受过宽权限控制且缺访问用途审计。 | 独立最小权限、对象级授权、安全 DTO 和下载审计。 | 只读路由/测试合同确认缺口，未读取真实合同。 | WP-3 员工合同附件权限与访问审计 |
DATA-EXPORT-001 |
统一导出 | P1 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
business-security-review.md#bsr-sec-003 |
导出内容可能在表格软件中形成非预期活动行为。 | 全部 CSV/表格出口统一安全编码并有合成负例。 | 静态检查确认缺少统一中和合同，未使用真实导出。 | WP-5 客户端数据生命周期与统一导出 |
PRIV-OFFLINE-001 |
客户端数据生命周期 | P1 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
EXTERNAL_BEHAVIOR_PENDING |
business-security-review.md#bsr-priv-002 |
退出或换账号后残留身份、审批或草稿可能被后续使用者读取。 | 先确认离线必要性，再按账号隔离、最小缓存并可靠清除。 | 静态检查确认持久化和清理未闭合，未检查真实设备。 | WP-5 客户端数据生命周期与统一导出 |
DATA-DOWNLOAD-001 |
下载凭证 / 日志面 | P2 | 中高 | LIKELY |
OPEN |
NO_FIX_TO_DEPLOY |
EXTERNAL_GATED |
business-security-review.md#bsr-sec-004 |
短期访问凭据可能进入常规浏览器或边缘记录面。 | 使用当前认证上下文下载并最小化 URL、日志和缓存暴露。 | 代码存在风险可能性；真实边缘日志未获授权检查。 | WP-5 客户端数据生命周期与统一导出 |
DATA-ACL-001 |
受限资料规则 | P2 | 中高 | LIKELY |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
business-security-review.md#bsr-authz-002 |
已保存但未执行的规则会造成受限资料边界误判。 | 产品明确其为 ACL 或废弃元数据；保留则由后端强制执行。 | 静态检查确认规则与执行证据不一致。 | WP-5 客户端数据生命周期与统一导出 |
PAY-AUDIT-001 |
付款取消审计 | P2 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
business-security-review.md#bsr-data-002 |
取消责任与前后状态难以完整还原。 | 记录原因、操作者、前后状态与并发条件。 | 静态路由/模型检查确认缺口，未执行真实状态变化。 | WP-2 付款状态一致性与审计 |
WEB-DEFENSE-001 |
浏览器防御纵深 | P2 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
EXTERNAL_BEHAVIOR_PENDING |
business-security-review.md#bsr-sec-005 |
缺少内容执行限制会降低未知缺陷的纵深保护。 | 基于资源清单分阶段收紧 CSP 并保持附件独立沙箱。 | 本地配置确认当前未启用全站策略；未推断具体利用路径。 | WP-5 客户端数据生命周期与统一导出 |
UI-PERM-001 |
PC 写动作显隐 | P2（收敛校准；原分域报告 P1/P2 不一） | 高 | CONFIRMED |
ACTIVE_TASK_OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#既有-finding-复核与去重；BSR-UX-001；活动任务 05-31-unified-page-header-actions |
后端虽拒绝写入，PC 用户仍可能进入最终失败的流程。 | PC 显隐与后端拒绝共享同一能力合同，后端保持权威。 | 付款、合同、票据三处既有 PC finding 完成只读去重；移动导航由 MOB-PERM-001 单列。 |
WP-6 页面权限显隐及旧标题任务收口 |
PAY-UX-001 |
付款业务可用性 | P1 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p1-001 |
财务人员难以凭业务信息选择待付对象，可能错选或无法创建。 | 以待付池和业务编号/人员/金额选择对象，内部标识仅由系统传递。 | 静态页面与 E2E 合同确认普通流程依赖内部标识。 | WP-2 付款状态一致性与审计 |
UX-SAFE-001 |
不可逆证据 / 资金动作 | P1（收敛后边界） | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p1-002 |
误触可能删除不可逆证据或改变资金结果。 | 强确认展示对象、后果、可逆性与必要理由。 | 静态检查确认代表性高影响动作在 mutation 前缺少强确认。 | WP-6 页面权限显隐及旧标题任务收口 |
UX-SAFE-002 |
可恢复管理动作 | P2（由原 PAGE-P1-002 拆分校准） | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p1-002 |
普通启停等可恢复动作存在误触和反馈不清。 | 使用轻确认或可撤销反馈，按可逆性分级。 | 只读检查确认部分可恢复动作仍直接执行。 | WP-6 页面权限显隐及旧标题任务收口 |
UX-FORM-001 |
核心长表单可靠性 | P1 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p1-003 |
采购、报销、合同、资产等长输入可能因离开页面丢失。 | 共享 dirty-state 合同覆盖路由离开、刷新和记录切换。 | 静态检查未找到未保存保护实现。 | WP-6 页面权限显隐及旧标题任务收口 |
MOB-ATTEND-001 |
移动考勤入口 | P1（由原 PAGE-P1-004 拆分） | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
EXTERNAL_BEHAVIOR_PENDING |
page-static-review.md#page-p1-004 |
企业微信/触控小屏考勤入口会回到原移动首页。 | 提供明确移动镜像或允许只读响应式页，不形成自循环。 | 静态路由解析确认自循环；真机点击待另行授权。 | WP-6 页面权限显隐及旧标题任务收口 |
MOB-TARGET-001 |
移动通知定位 | P2（由原 PAGE-P1-004 拆分校准） | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
EXTERNAL_BEHAVIOR_PENDING |
page-static-review.md#page-p1-004 |
部分通知不能定位原业务对象，用户需重新查找。 | 每种通知保留稳定对象标识并验证最终 URL/内容。 | 静态链接映射确认目标参数不完整；真实通知待授权。 | WP-6 页面权限显隐及旧标题任务收口 |
SEARCH-NAV-001 |
全局搜索导航 | P2（收敛校准；原报告 P1） | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p1-005 |
点击部分搜索结果只到列表，不能确认命中对象。 | 对象型结果提供稳定详情或定位/高亮合同。 | 静态 href 与现有单实体 E2E 确认覆盖不完整。 | WP-6 页面权限显隐及旧标题任务收口 |
RESP-TABLE-001 |
中间断点表格 | P1 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p1-006；browser-review.md |
共享表格隐藏超出宽度，多个核心列表的右侧操作不可达。 | 操作列可见或容器可控横滚，页面本身不溢出。 | 768 下容器缺 58px、1024 下缺 106px 且 overflow-x:hidden；代表页面操作命中失败。 |
WP-6 页面权限显隐及旧标题任务收口 |
A11Y-FORM-001 |
表单可访问性 | P2（收敛校准；原报告 P1） | 高 | CONFIRMED |
FOLLOW_UP_RECOMMENDED |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p1-007 |
辅助技术用户较难识别字段和动态错误。 | 共享字段/错误组件提供名称、关联、错误状态和 live feedback。 | 静态样例确认语义缺口；无行为证据证明核心流程完全不可完成。 | WP-6 页面权限显隐及旧标题任务收口 |
NAV-META-001 |
路由 / 标题元数据 | P2 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p2-001 |
标题、最近访问和浏览器 tab 语义漂移。 | 统一 typed route manifest 与页面可控覆写。 | 静态映射确认缺失、误匹配与固定浏览器标题。 | WP-6 页面权限显隐及旧标题任务收口 |
ERR-RECOVERY-001 |
错误恢复 | P2 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p2-002 |
403/404/渲染错误可能把用户带向隐藏旧入口。 | 所有恢复动作回到稳定工作台或安全上一页。 | 静态链接确认仍指向旧路径。 | WP-6 页面权限显隐及旧标题任务收口 |
SCOPE-TRAVEL-001 |
冻结能力范围 | P2 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p2-003 |
冻结差旅仍占用付款、通知与审批认知空间。 | 用户可见入口按启用状态显式隐藏或标为只读兼容。 | 静态入口清单确认非差旅页面仍暴露选项。 | WP-6 页面权限显隐及旧标题任务收口 |
UX-ERROR-001 |
普通页面错误文案 | P2 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p2-004 |
用户先看到内部码/枚举，难以理解原因与下一步。 | 普通界面展示自然语言和恢复动作，诊断码仅进受控区域。 | 静态样例确认普通页面直接组合技术信息。 | WP-6 页面权限显隐及旧标题任务收口 |
A11Y-TABLE-001 |
表格键盘可达 | P2 | 高 | CONFIRMED |
FOLLOW_UP_RECOMMENDED |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p2-005 |
键盘用户无法等价选择部分表格记录。 | 使用真实按钮/链接和明确选中状态。 | 静态样例确认行点击缺少键盘等价入口。 | WP-6 页面权限显隐及旧标题任务收口 |
A11Y-VISUAL-001 |
对比度 / 减弱动效 | P2 | 高 | CONFIRMED |
FOLLOW_UP_RECOMMENDED |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p2-006 |
低视力与减弱动效用户体验下降。 | 共享 token 达到既定对比度并尊重 reduced motion。 | 静态 token/样式检查确认当前合同不足。 | WP-6 页面权限显隐及旧标题任务收口 |
QA-VISUAL-001 |
视觉证据可信度 | P2 | 高 | CONFIRMED |
OPEN |
NOT_APPLICABLE |
NOT_REQUIRED |
page-static-review.md#page-p2-007 |
报告可能遗漏真实路由/中间断点却给出过强信心。 | 显式路由计划、最终 URL/标题/错误页断言和代表断点。 | 静态矩阵确认通配、旧路由和断点缺口。 | WP-4 发布门禁可信化 |
MOB-PERM-001 |
移动导航权限 | P2 | 中高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p2-008 |
最小权限角色看到无效入口或进入 403。 | 移动入口统一复用能力谓词，未授权默认隐藏。 | 静态导航与守卫对照确认不一致。 | WP-6 页面权限显隐及旧标题任务收口 |
QA-ASSET-001 |
资产 E2E 漂移 | P2 | 高 | DUPLICATE |
ACTIVE_TASK_OPEN |
NOT_APPLICABLE |
NOT_REQUIRED |
page-static-review.md#page-dup-p2-001；活动任务 05-31-unified-page-header-actions |
自动化仍按旧交互执行，不能证明当前页面。 | 测试跟随当前“更多”菜单交互，不为旧测试恢复旧按钮。 | 只读测试/页面对照确认重复项。 | WP-6 页面权限显隐及旧标题任务收口 |
QA-HEADER-001 |
标题动作合同 / 视觉覆盖 | P2 | 高 | DUPLICATE |
ACTIVE_TASK_OPEN |
NOT_APPLICABLE |
NOT_REQUIRED |
page-static-review.md#page-dup-p2-002；活动任务 05-31-unified-page-header-actions |
标题区可能继续堆叠动作且现有回归不报警。 | 可测试的主操作/更多槽位及项目、资产代表性视觉断言。 | 静态组件与测试矩阵确认重复项。 | WP-6 页面权限显隐及旧标题任务收口 |
QA-COVERAGE-001 |
风险型测试覆盖 | P2 | 高 | CONFIRMED |
OPEN |
NOT_APPLICABLE |
NOT_REQUIRED |
engineering-review.md#测试资产与实测覆盖率 |
全量用例通过仍不能防止关键 worker/脚本覆盖退化。 | 对认证、资金、worker、迁移/恢复入口设置分层防回退门禁。 | 旧基线 coverage 与入口清单确认关键运行面无阈值。 | WP-4 发布门禁可信化 |
REL-GATE-001 |
发布门禁可信度 | P1 | 高 | CONFIRMED |
OPEN |
NOT_APPLICABLE |
NOT_REQUIRED |
engineering-review.md#流程覆盖扫描可信度、#项目级发布门禁可执行性；current-head-delta.md |
标准门禁不可移植且会把大量未映射路由报告成无高风险缺口。 | 仓库内可执行、显式映射/豁免、排除 manual/live、缺口非零退出并自测反例。 | 当前 HEAD 扫描 68 路由仍有 39 未映射却无 gap；标准 runner 依赖失效外部前置。 | WP-4 发布门禁可信化 |
MOB-ARCHIVE-001 |
移动归档详情响应式 | P2 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
EXTERNAL_BEHAVIOR_PENDING |
baseline.md#移动路由静态合同；browser-review.md |
长标识使详情内部内容被隐藏，用户无法横向找回。 | 保持路由/卡片/底栏基线并让详情长字段安全换行或可控滚动。 | 375×812 的 URL、H1、空态、列表和底栏通过；长详情 panel 351/457，约 105px 被 overflow-x:hidden 裁切。 |
WP-6 页面权限显隐及旧标题任务收口 |
不进入 Finding 的观察与外部补证
- 构建体积、通知轮询、工具链弃用提示目前没有行为故障证据，保留为观察项，不进入台账。
- 依赖在线审计、数据库迁移状态、备份恢复演练、公网来源、真实角色矩阵、企业微信真机、真实 OCR、真实付款和连续试运行属于外部补证边界，不伪装成产品 finding。
- 外部补证不阻塞本只读审查任务归档，但会阻塞“已部署”“可公网测试”或“真实业务通过”的对外结论。
推荐工作包顺序
Gate 0：两个已本地修复 P0 的部署与外部行为复核必须另行授权，并在获准后优先完成；它不被下面六个“本地开放问题”工作包的顺序替代。
- WP-1 员工敏感数据范围授权。
- WP-2 付款状态一致性与审计。
- WP-3 员工合同附件权限与访问审计。
- WP-4 发布门禁可信化。
- WP-5 客户端数据生命周期与统一导出。
- WP-6 核心页面可靠性、权限显隐及旧标题任务收口。它只是管理伞，不应一次形成 19 项巨型实施任务：先处理
UX-SAFE-001、UX-FORM-001、MOB-ATTEND-001、RESP-TABLE-001四条 P1，再收口页面权限显隐和现有05-31任务；其余 P2 按触达持续治理。
本任务只登记顺序，不创建下游 Trellis task。部署、公网角色、企微真机和新 Day 1 试运行必须另行授权。