安全漏洞修复: 支付越权/密码存储/CORS/事务保护/参数校验

[phpmac]

概述

对 newbee-mall-api-go 进行安全审计后发现的漏洞修复, 涉及 Critical/High/Medium 三个级别共 7 个问题.

关联 Issue: #24

---

修复内容

C3 [Critical] 支付接口越权操作

• service/mall/mall_order.go PaySuccess/FinishOrder/CancelOrder/GetOrderDetail 方法添加 userId 归属校验
• api/v1/mall/mall_order.go 从请求头获取 token 传入 service 层
• 修复前: 只要知道 orderNo 就能操作任何人的订单(包括标记已支付)

H1 [High] 密码无盐MD5存储

• utils/md5.go 注册时使用 bcrypt 哈希存储密码
• 登录时先 MD5 再 bcrypt 对比, 兼容前端 MD5 传输方式
• 已有用户密码保持兼容, 新注册用户使用 bcrypt

H2 [High] CORS 反射任意 Origin

• middleware/cors.go 改为配置化白名单
• 新增 config/cors.go 和 config.yaml 中的 cors.allow-origins 配置项
• 默认允许 localhost 前端开发地址

H4 [High] 订单创建无事务保护

• service/mall/mall_order.go SaveOrder 使用 GORM Transaction 包裹全部操作
• 购物车软删除添加 AND is_deleted = 0 条件防止并发重复消费
• 库存扣减使用原子 SQL stock_num = stock_num - ? WHERE stock_num >= ?

M1 [Medium] 参数验证失败后缺少 return

• api/v1/mall/mall_order.go Verify 失败后添加 return, 防止代码继续执行

M2 [Medium] ShouldBindJSON 错误被忽略

• api/v1/mall/mall_order.go 不再使用 _ = 忽略绑定错误

C1/C2 管理后台接口权限

• 商品管理和配置管理路由添加 JWT 认证中间件

---

测试

包含自动化测试验证所有修复:

• test/c1_c2_auth_fixed_test.go - 验证管理接口需要认证
• test/c3_pay_fixed_test.go - 验证支付操作需要订单归属
• test/h1_h2_h4_m1_m2_fixed_test.go - 验证 bcrypt/CORS/事务/参数校验

测试计划

• 启动服务, 注册新用户, 验证 bcrypt 密码存储
• 用其他用户 token 调用 PaySuccess, 验证返回权限错误
• 发送恶意 Origin 请求, 验证 CORS 不反射
• 并发下单同一商品, 验证只有一个成功
• 发送非法 JSON 请求, 验证返回错误