20 KiB
20 KiB
多维系统审查唯一 Finding 台账
台账口径
- 本文件是当前任务唯一的分级与生命周期事实源。分域报告保留发现证据，但不再各自决定当前严重度或状态。
- 发现基线为
bbb5c89；原审查收口增量目标为8f8606c。后续修复任务07-18-small-team-internal-readiness的规划基线为58c8dec，其本地验证以该任务evidence.md所在工作提交为准。发现时严重度不因后续修复而改写，收敛校准会在单元格中显式注明。 - 发现状态、当前修复状态、部署状态、外部验证状态彼此独立。
NO_FIX_TO_DEPLOY表示尚无修复产物，不等于待部署；NOT_APPLICABLE仅用于非运行时代码/纯测试合同。ACTIVE_TASK_OPEN表示该项仍开放但已由现有活动 task 承载；本轮只做去重，不另建 task。FOLLOW_UP_RECOMMENDED表示持续治理建议，不是已修复。- 证据和验证只保留防御性结论。安全工程细节由聚焦测试和已归档修复任务承载。
唯一台账
| ID | 维度 | 发现时严重度 | 置信度 | 发现状态 | 当前修复状态 | 部署状态 | 外部验证状态 | 证据引用 | 业务影响 | 控制目标 | 无害验证 | 后续工作包 |
|---|---|---|---|---|---|---|---|---|---|---|---|---|
SEC-AUTH-001 |
认证 / 代理信任 | P0 | 高 | CONFIRMED |
LOCAL_FIX_VERIFIED |
DEPLOYMENT_PENDING |
EXTERNAL_BEHAVIOR_PENDING |
business-security-review.md#bsr-sec-001；归档任务 07-17-auth-challenge-trusted-proxy-hardening |
认证边界不足可能导致账号被未授权控制。 | 挑战单次有效、并发一致、来源可信且可审计。 | 当前 HEAD 聚焦负路径、完整服务端与隔离并发验证通过。 | 另行授权：部署与公网复核 |
SEC-ATT-001 |
业务附件 / 浏览器隔离 | P0 | 高 | CONFIRMED |
LOCAL_FIX_VERIFIED |
DEPLOYMENT_PENDING |
EXTERNAL_BEHAVIOR_PENDING |
business-security-review.md#bsr-sec-002；归档任务 07-17-purchase-attachment-xss-hardening |
主动内容可能破坏 OA 同源会话与业务数据边界。 | 实际内容验证、重新授权/审计、非执行下载。 | 当前 HEAD 策略/路由、完整服务端与聚焦浏览器验证通过。 | 另行授权：部署与公网复核 |
DATA-EMP-001 |
员工敏感数据授权 | P1 | 高 | CONFIRMED |
LOCAL_FIX_VERIFIED |
DEPLOYMENT_PENDING |
EXTERNAL_BEHAVIOR_PENDING |
business-security-review.md#bsr-authz-001；任务 07-18-small-team-internal-readiness/evidence.md |
广泛能力可能读取超出岗位需要的员工敏感字段。 | 字段级授权与人员范围同时最小化。 | 当前工作提交的窄目录 DTO、字段/对象权限、员工统计敏感汇总独立授权、零敏感副作用矩阵与全量服务端门禁通过；未读取真实资料。 | WP-1 员工敏感数据范围授权 |
PAY-STATE-001 |
付款状态机 / 并发 | P1 | 高 | LIKELY |
LOCAL_FIX_VERIFIED |
DEPLOYMENT_PENDING |
EXTERNAL_BEHAVIOR_PENDING |
business-security-review.md#bsr-data-001；任务 07-18-small-team-internal-readiness/evidence.md |
并发状态变化可能造成重复结果或证据覆盖。 | 条件更新/锁、幂等和不可覆盖审计保证单一结果。 | 空隔离 PostgreSQL 应用 61 项 migration，五组竞态、审计/通知唯一性和临时库零残留通过；未执行真实付款。 | WP-2 付款状态一致性与审计 |
DATA-HR-ATT-001 |
员工合同附件 | P1 | 高 | CONFIRMED |
LOCAL_FIX_VERIFIED |
DEPLOYMENT_PENDING |
EXTERNAL_BEHAVIOR_PENDING |
business-security-review.md#bsr-priv-001；任务 07-18-small-team-internal-readiness/evidence.md |
高敏合同资料可能受过宽权限控制且缺访问用途审计。 | 独立最小权限、对象级授权、安全 DTO 和下载审计。 | 当前工作提交的独立权限、无内部路径 DTO、内容复验、审计先于响应及拒绝零文件读取测试通过；未读取真实合同。 | WP-3 员工合同附件权限与访问审计 |
DATA-EXPORT-001 |
统一导出 | P1 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
business-security-review.md#bsr-sec-003 |
导出内容可能在表格软件中形成非预期活动行为。 | 全部 CSV/表格出口统一安全编码并有合成负例。 | 静态检查确认缺少统一中和合同，未使用真实导出。 | WP-5 客户端数据生命周期与统一导出 |
PRIV-OFFLINE-001 |
客户端数据生命周期 | P1 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
EXTERNAL_BEHAVIOR_PENDING |
business-security-review.md#bsr-priv-002 |
退出或换账号后残留身份、审批或草稿可能被后续使用者读取。 | 先确认离线必要性，再按账号隔离、最小缓存并可靠清除。 | 静态检查确认持久化和清理未闭合，未检查真实设备。 | WP-5 客户端数据生命周期与统一导出 |
DATA-DOWNLOAD-001 |
下载凭证 / 日志面 | P2 | 中高 | LIKELY |
OPEN |
NO_FIX_TO_DEPLOY |
EXTERNAL_GATED |
business-security-review.md#bsr-sec-004 |
短期访问凭据可能进入常规浏览器或边缘记录面。 | 使用当前认证上下文下载并最小化 URL、日志和缓存暴露。 | 代码存在风险可能性；真实边缘日志未获授权检查。 | WP-5 客户端数据生命周期与统一导出 |
DATA-ACL-001 |
受限资料规则 | P2 | 中高 | LIKELY |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
business-security-review.md#bsr-authz-002 |
已保存但未执行的规则会造成受限资料边界误判。 | 产品明确其为 ACL 或废弃元数据；保留则由后端强制执行。 | 静态检查确认规则与执行证据不一致。 | WP-5 客户端数据生命周期与统一导出 |
PAY-AUDIT-001 |
付款取消审计 | P2 | 高 | CONFIRMED |
LOCAL_FIX_VERIFIED |
DEPLOYMENT_PENDING |
NOT_REQUIRED |
business-security-review.md#bsr-data-002；任务 07-18-small-team-internal-readiness/evidence.md |
取消责任与前后状态难以完整还原。 | 记录原因、操作者、前后状态与并发条件。 | 可空取消原因 migration、2–500 字原因、保留已执行项、回单留痕作废及 before/after 审计回归通过。 | WP-2 付款状态一致性与审计 |
WEB-DEFENSE-001 |
浏览器防御纵深 | P2 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
EXTERNAL_BEHAVIOR_PENDING |
business-security-review.md#bsr-sec-005 |
缺少内容执行限制会降低未知缺陷的纵深保护。 | 基于资源清单分阶段收紧 CSP 并保持附件独立沙箱。 | 本地配置确认当前未启用全站策略；未推断具体利用路径。 | WP-5 客户端数据生命周期与统一导出 |
UI-PERM-001 |
PC 写动作显隐 | P2（收敛校准；原分域报告 P1/P2 不一） | 高 | CONFIRMED |
LOCAL_FIX_VERIFIED |
DEPLOYMENT_PENDING |
NOT_REQUIRED |
page-static-review.md#既有-finding-复核与去重；BSR-UX-001；归档任务 05-31-unified-page-header-actions；任务 07-18-small-team-internal-readiness/evidence.md |
后端虽拒绝写入，PC 用户仍可能进入最终失败的流程。 | PC 显隐与后端拒绝共享同一能力合同，后端保持权威。 | 付款、合同、票据正负显隐合成 Playwright 5/5 与后端拒绝测试通过；旧标题任务已完成本地验收并归档。 | WP-6 页面权限显隐及旧标题任务收口 |
PAY-UX-001 |
付款业务可用性 | P1 | 高 | CONFIRMED |
LOCAL_FIX_VERIFIED |
DEPLOYMENT_PENDING |
NOT_REQUIRED |
page-static-review.md#page-p1-001；任务 07-18-small-team-internal-readiness/evidence.md |
财务人员难以凭业务信息选择待付对象，可能错选或无法创建。 | 以待付池和业务编号/人员/金额选择对象，内部标识仅由系统传递。 | 当前工作提交的候选接口权威复查及合成浏览器业务选择器通过，普通页面不要求粘贴内部 UUID。 | WP-2 付款状态一致性与审计 |
UX-SAFE-001 |
不可逆证据 / 资金动作 | P1（收敛后边界） | 高 | CONFIRMED |
LOCAL_FIX_VERIFIED |
DEPLOYMENT_PENDING |
NOT_REQUIRED |
page-static-review.md#page-p1-002；任务 07-18-small-team-internal-readiness/evidence.md |
误触可能删除不可逆证据或改变资金结果。 | 强确认展示对象、后果、可逆性与必要理由。 | 合成浏览器证明高敏附件删除与回单作废展示对象、后果和理由；取消或理由不足时零 mutation。 | WP-6 页面权限显隐及旧标题任务收口 |
UX-SAFE-002 |
可恢复管理动作 | P2（由原 PAGE-P1-002 拆分校准） | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p1-002 |
普通启停等可恢复动作存在误触和反馈不清。 | 使用轻确认或可撤销反馈，按可逆性分级。 | 只读检查确认部分可恢复动作仍直接执行。 | WP-6 页面权限显隐及旧标题任务收口 |
UX-FORM-001 |
核心长表单可靠性 | P1 | 高 | CONFIRMED |
LOCAL_FIX_VERIFIED |
DEPLOYMENT_PENDING |
NOT_REQUIRED |
page-static-review.md#page-p1-003；任务 07-18-small-team-internal-readiness/evidence.md |
采购、报销、合同、资产等长输入可能因离开页面丢失。 | 共享 dirty-state 合同覆盖路由离开、刷新和记录切换。 | data router / useBlocker 共享保护在报销、采购、合同、资产中覆盖站内离开、返回/刷新和记录切换，合成浏览器通过。 |
WP-6 页面权限显隐及旧标题任务收口 |
MOB-ATTEND-001 |
移动考勤入口 | P1（由原 PAGE-P1-004 拆分） | 高 | CONFIRMED |
LOCAL_FIX_VERIFIED |
DEPLOYMENT_PENDING |
EXTERNAL_BEHAVIOR_PENDING |
page-static-review.md#page-p1-004；任务 07-18-small-team-internal-readiness/evidence.md |
企业微信/触控小屏考勤入口会回到原移动首页。 | 提供明确移动镜像或允许只读响应式页，不形成自循环。 | /mobile/attendance 的 375×812 最终 URL、H1、角色、动作、错误和溢出断言通过；真机点击待另行授权。 |
WP-6 页面权限显隐及旧标题任务收口 |
MOB-TARGET-001 |
移动通知定位 | P2（由原 PAGE-P1-004 拆分校准） | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
EXTERNAL_BEHAVIOR_PENDING |
page-static-review.md#page-p1-004；任务 07-18-small-team-internal-readiness/evidence.md |
部分通知不能定位原业务对象，用户需重新查找。 | 每种通知保留稳定对象标识并验证最终 URL/内容。 | 考勤目标增量已实现并验证；资产/盘点等其他对象定位未在本任务闭合，整体保持开放，真实通知待授权。 | WP-6 页面权限显隐及旧标题任务收口 |
SEARCH-NAV-001 |
全局搜索导航 | P2（收敛校准；原报告 P1） | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p1-005 |
点击部分搜索结果只到列表，不能确认命中对象。 | 对象型结果提供稳定详情或定位/高亮合同。 | 静态 href 与现有单实体 E2E 确认覆盖不完整。 | WP-6 页面权限显隐及旧标题任务收口 |
RESP-TABLE-001 |
中间断点表格 | P1 | 高 | CONFIRMED |
LOCAL_FIX_VERIFIED |
DEPLOYMENT_PENDING |
NOT_REQUIRED |
page-static-review.md#page-p1-006；browser-review.md；任务 07-18-small-team-internal-readiness/evidence.md |
共享表格隐藏超出宽度，多个核心列表的右侧操作不可达。 | 操作列可见或容器可控横滚，页面本身不溢出。 | 项目、资产、合同、付款、报销在 768×1024 与 1024×768 下局部横滚、右侧操作命中、document 无横溢断言与脱敏截图通过。 | WP-6 页面权限显隐及旧标题任务收口 |
A11Y-FORM-001 |
表单可访问性 | P2（收敛校准；原报告 P1） | 高 | CONFIRMED |
FOLLOW_UP_RECOMMENDED |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p1-007 |
辅助技术用户较难识别字段和动态错误。 | 共享字段/错误组件提供名称、关联、错误状态和 live feedback。 | 静态样例确认语义缺口；无行为证据证明核心流程完全不可完成。 | WP-6 页面权限显隐及旧标题任务收口 |
NAV-META-001 |
路由 / 标题元数据 | P2 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p2-001 |
标题、最近访问和浏览器 tab 语义漂移。 | 统一 typed route manifest 与页面可控覆写。 | 静态映射确认缺失、误匹配与固定浏览器标题。 | WP-6 页面权限显隐及旧标题任务收口 |
ERR-RECOVERY-001 |
错误恢复 | P2 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p2-002 |
403/404/渲染错误可能把用户带向隐藏旧入口。 | 所有恢复动作回到稳定工作台或安全上一页。 | 静态链接确认仍指向旧路径。 | WP-6 页面权限显隐及旧标题任务收口 |
SCOPE-TRAVEL-001 |
冻结能力范围 | P2 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p2-003 |
冻结差旅仍占用付款、通知与审批认知空间。 | 用户可见入口按启用状态显式隐藏或标为只读兼容。 | 静态入口清单确认非差旅页面仍暴露选项。 | WP-6 页面权限显隐及旧标题任务收口 |
UX-ERROR-001 |
普通页面错误文案 | P2 | 高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p2-004 |
用户先看到内部码/枚举，难以理解原因与下一步。 | 普通界面展示自然语言和恢复动作，诊断码仅进受控区域。 | 静态样例确认普通页面直接组合技术信息。 | WP-6 页面权限显隐及旧标题任务收口 |
A11Y-TABLE-001 |
表格键盘可达 | P2 | 高 | CONFIRMED |
FOLLOW_UP_RECOMMENDED |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p2-005 |
键盘用户无法等价选择部分表格记录。 | 使用真实按钮/链接和明确选中状态。 | 静态样例确认行点击缺少键盘等价入口。 | WP-6 页面权限显隐及旧标题任务收口 |
A11Y-VISUAL-001 |
对比度 / 减弱动效 | P2 | 高 | CONFIRMED |
FOLLOW_UP_RECOMMENDED |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p2-006 |
低视力与减弱动效用户体验下降。 | 共享 token 达到既定对比度并尊重 reduced motion。 | 静态 token/样式检查确认当前合同不足。 | WP-6 页面权限显隐及旧标题任务收口 |
QA-VISUAL-001 |
视觉证据可信度 | P2 | 高 | CONFIRMED |
LOCAL_FIX_VERIFIED |
NOT_APPLICABLE |
NOT_REQUIRED |
page-static-review.md#page-p2-007；任务 07-18-small-team-internal-readiness/evidence.md |
报告可能遗漏真实路由/中间断点却给出过强信心。 | 显式路由计划、最终 URL/标题/错误页断言和代表断点。 | 71 条路由分类、10 个 source-bound witness、7 个 acceptance spec、代表断点和结果 parser 反例均通过。 | WP-4 发布门禁可信化 |
MOB-PERM-001 |
移动导航权限 | P2 | 中高 | CONFIRMED |
OPEN |
NO_FIX_TO_DEPLOY |
NOT_REQUIRED |
page-static-review.md#page-p2-008 |
最小权限角色看到无效入口或进入 403。 | 移动入口统一复用能力谓词，未授权默认隐藏。 | 静态导航与守卫对照确认不一致。 | WP-6 页面权限显隐及旧标题任务收口 |
QA-ASSET-001 |
资产 E2E 漂移 | P2 | 高 | DUPLICATE |
LOCAL_FIX_VERIFIED |
NOT_APPLICABLE |
NOT_REQUIRED |
page-static-review.md#page-dup-p2-001；归档任务 05-31-unified-page-header-actions；任务 07-18-small-team-internal-readiness/evidence.md |
自动化仍按旧交互执行，不能证明当前页面。 | 测试跟随当前“更多”菜单交互，不为旧测试恢复旧按钮。 | 资产 E2E 已改为“更多→资产分类”，spec 可解析且实际菜单行为/代表视觉由候选浏览器回归通过。 | WP-6 页面权限显隐及旧标题任务收口 |
QA-HEADER-001 |
标题动作合同 / 视觉覆盖 | P2 | 高 | DUPLICATE |
LOCAL_FIX_VERIFIED |
NOT_APPLICABLE |
NOT_REQUIRED |
page-static-review.md#page-dup-p2-002；归档任务 05-31-unified-page-header-actions；任务 07-18-small-team-internal-readiness/evidence.md |
标题区可能继续堆叠动作且现有回归不报警。 | 可测试的主操作/更多槽位及项目、资产代表性视觉断言。 | 七页面“一主操作+最多一个更多”合同、项目/资产代表视觉和资产菜单行为纳入 44/44 候选回归。 | WP-6 页面权限显隐及旧标题任务收口 |
QA-COVERAGE-001 |
风险型测试覆盖 | P2 | 高 | CONFIRMED |
OPEN |
NOT_APPLICABLE |
NOT_REQUIRED |
engineering-review.md#测试资产与实测覆盖率 |
全量用例通过仍不能防止关键 worker/脚本覆盖退化。 | 对认证、资金、worker、迁移/恢复入口设置分层防回退门禁。 | 旧基线 coverage 与入口清单确认关键运行面无阈值。 | WP-4 发布门禁可信化 |
REL-GATE-001 |
发布门禁可信度 | P1 | 高 | CONFIRMED |
LOCAL_FIX_VERIFIED |
NOT_APPLICABLE |
NOT_REQUIRED |
engineering-review.md#流程覆盖扫描可信度、#项目级发布门禁可执行性；current-head-delta.md；任务 07-18-small-team-internal-readiness/evidence.md |
标准门禁不可移植且会把大量未映射路由报告成无高风险缺口。 | 仓库内可执行、显式映射/豁免、排除 manual/live、缺口非零退出并自测反例。 | full 门禁在仓库内 exit 0；71 路由、10/10 witness、7/7 acceptance、52 个反例与 44/44 浏览器结果通过，且 full/focused/list 标签分离。 |
WP-4 发布门禁可信化 |
MOB-ARCHIVE-001 |
移动归档详情响应式 | P2 | 高 | CONFIRMED |
LOCAL_FIX_VERIFIED |
DEPLOYMENT_PENDING |
EXTERNAL_BEHAVIOR_PENDING |
baseline.md#移动路由静态合同；browser-review.md；任务 07-18-small-team-internal-readiness/evidence.md |
长标识使详情内部内容被隐藏，用户无法横向找回。 | 保持路由/卡片/底栏基线并让详情长字段安全换行或可控滚动。 | 375×812 的空态、记录、长详情、底栏与 document 横溢断言及脱敏截图通过；企业微信真机仍待授权。 | WP-6 页面权限显隐及旧标题任务收口 |
不进入 Finding 的观察与外部补证
- 构建体积、通知轮询、工具链弃用提示目前没有行为故障证据，保留为观察项，不进入台账。
- 依赖在线审计、数据库迁移状态、备份恢复演练、公网来源、真实角色矩阵、企业微信真机、真实 OCR、真实付款和连续试运行属于外部补证边界，不伪装成产品 finding。
- 外部补证不阻塞本只读审查任务归档，但会阻塞“已部署”“可公网测试”或“真实业务通过”的对外结论。
推荐工作包顺序
Gate 0：两个已本地修复 P0 的部署与外部行为复核必须另行授权，并在获准后优先完成；它不被下面六个“本地开放问题”工作包的顺序替代。
- WP-1 员工敏感数据范围授权。
- WP-2 付款状态一致性与审计。
- WP-3 员工合同附件权限与访问审计。
- WP-4 发布门禁可信化。
- WP-5 客户端数据生命周期与统一导出。
- WP-6 核心页面可靠性、权限显隐及旧标题任务收口。它只是管理伞，不应一次形成 19 项巨型实施任务：先处理
UX-SAFE-001、UX-FORM-001、MOB-ATTEND-001、RESP-TABLE-001四条 P1，再收口页面权限显隐和现有05-31任务；其余 P2 按触达持续治理。
本任务只登记顺序，不创建下游 Trellis task。部署、公网角色、企微真机和新 Day 1 试运行必须另行授权。