ruoyi-security

name	ruoyi-security
description	对芋道 RuoYi-Vue-Pro 项目进行安全审计，检查权限、注入、敏感信息泄露等安全问题
trigger	当用户提到安全审计、安全检查、SQL注入、XSS、CSRF、权限绕过、敏感信息、安全漏洞

RuoYi Security — 安全审计

对芋道 (Yudao) RuoYi-Vue-Pro 项目进行安全扫描和审计。

共享规范: 阅读 CLAUDE.md 获取项目级安全约束。

TRIGGER

• 代码审查时发现安全问题
• 用户明确要求安全审计
• 新增模块/接口后做安全检查

检查清单

权限控制

• 每个 Controller 接口都有 @PreAuthorize 注解
• 权限标识符合 模块:资源:操作 格式
• 不存在越权（普通用户访问管理员接口）
• 数据权限：是否限制了用户只能看自己的数据

输入校验

• 所有 @RequestBody 参数用 @Valid 校验
• 所有 VO 字段有校验注解（@NotBlank, @NotNull, @Size 等）
• SQL 参数化（不使用字符串拼接）
• XSS 防护（用户输入输出时转义）

认证与会话

• Token 传输安全（HTTPS）
• 密码使用 BCrypt 加密
• 不返回敏感字段（密码、token）给前端
• 验证码/短信验证码有防暴力和过期机制

数据安全

• 日志中不输出敏感信息（密码、token、身份证号）
• 数据库连接信息不硬编码（用配置项）
• API 密钥/密钥文件加密存储（Jasypt）
• 文件上传有类型/大小限制

API 防护

• 敏感接口有防刷/限流机制
• 分页查询限制最大 pageSize
• 批量操作限制数量上限

输出格式

## 安全审计报告

### 高危问题
1. **[高危]** 问题描述
   - 位置：文件:行号
   - 风险：...
   - 修复：...

### 中危问题
...

### 低危问题
...

### 建议
...