 huangkeandAtomCode
|
ac2dd6adc5
|
fix(security): 修复 /api 路径绕过访问密码校验的未授权访问漏洞
middleware matcher 原先豁免所有 /api 开头路径，而 Vercel 部署下
/api 无对应 serverless 函数，请求会命中 SPA 兜底 rewrite 返回完整
前端应用，导致攻击者无需密码即可通过 /api#/basic/system 进入系统。
现将豁免范围收窄为仅 /api/auth（登录/登出接口），其余 /api/* 路径
全部纳入访问密码校验。
Co-Authored-By: AtomCode (glm5.3-flash) <noreply@atomgit.com>
|
2026-09-10 12:50:29 +08:00 |
|