# 项目问题改进报告

## 一、安全问题（Critical / High）

### 1. 多租户隔离完全失效 [CRITICAL]
- **文件:** `yubb-framework/src/main/java/com/yubb/framework/handler/YubbTenantLineHandler.java`
- **问题:** 整个 TenantLineHandler 实现被注释掉，多租户查询不过滤 `tenant_id`，租户间数据互通
- **修复:** 取消注释并实现 TenantLineHandler

### 2. SQL 注入风险 [CRITICAL]
- **文件:** `yubb-system/src/main/java/com/yubb/platform/mapper/DynamicSqlProvider.java`
- **问题:** 多处直接拼接用户输入到 SQL 字符串（`insertDynamic`、`updateDynamic`、`insertdevices`、`updatedevicesshuju` 等方法）
- **修复:** 改用参数化查询，禁止字符串拼接 SQL

### 3. 硬编码密钥 [HIGH]
- **文件:** `yubb-admin/src/main/resources/application.yml`
  - MinIO 账号密码（第 44-45 行）
  - 阿里云 OSS AK/SK（第 107-109 行）
  - 微信 appId/secret（第 121-122 行）
- **文件:** `yubb-admin/src/main/java/com/yubb/web/controller/config/MqttConfig.java`（第 26 行）
- **文件:** `yubb-system/src/main/java/com/yubb/platform/service/impl/TDengineMysqlconnect.java`（多处）
- **修复:** 所有密钥移至环境变量或 Vault，代码中禁止明文存储

### 4. Shiro Cookie 未设置 HttpOnly [HIGH]
- **文件:** `yubb-admin/src/main/resources/application.yml`（第 92 行）
- **问题:** `HttpOnly: false` 导致 session cookie 可被 JS 窃取
- **修复:** 改为 `true`

### 5. XSS 防护关闭 [HIGH]
- **文件:** `yubb-admin/src/main/resources/application.yml`（第 99 行）
- **问题:** `xss.enabled: false`
- **修复:** 生产环境开启

---

## 二、代码质量问题

### 6. 硬编码管理后台绕过 [CRITICAL]
- **文件:** `yubb-admin/src/main/java/com/yubb/web/controller/platform/SysPowerController.java`（第 82 行）
- **问题:** `if (stationId.equals("54634575686785679498"))` 硬编码 admin ID，可跳过权限
- **修复:** 移除 hardcoded bypass，改为基于角色的权限校验

### 7. 大量 System.out.println [MEDIUM]
- **问题:** 30+ 处 `System.out.println`，分布在 DynamicSqlProvider 等生产路径
- **修复:** 替换为日志框架（logback/slf4j）

### 8. NullPointerException 风险 [MEDIUM]
- **文件:** `SysPowerController.java`（第 79-82 行）
- **问题:** `stationId` 可能为 null 时仍调用 `.equals()`
- **修复:** 使用 `Objects.equals()` 或先判空

### 9. 控制器职责过大（God Class） [MEDIUM]
- **文件:** `yubb-admin/src/main/java/com/yubb/web/controller/platform/SysSingleController.java`
- **问题:** 超过 750 行，混杂 Web 层、业务逻辑、数据格式化
- **修复:** 拆分为 Controller + Service 层

### 10. 控制器间直接 Autowire [LOW]
- **问题:** `SysSingleController` 直接 Autowire `shujuController`，违反分层原则
- **修复:** 通过 Service 层间接调用

---

## 三、技术债

### 11. Spring Boot 2.5.6 已 EOL [MEDIUM]
- **文件:** `pom.xml`（第 45 行）
- **问题:** 2021 年 7 月发布，已无安全补丁，建议升级至 2.7.x 或 3.x

### 12. pom.xml 版本不一致 [MEDIUM]
- mybatis-plus：`dependencyManagement` 声明 3.5.3，实际使用 3.4.3.4（第 236、266 行）
- druid：properties 声明 1.2.4，实际使用 1.1.17（第 23、322 行）
- **修复:** 统一版本

### 13. 无单元测试 [MEDIUM]
- **问题:** 零测试文件，生产 SaaS 系统无任何保障
- **修复:** 补充 Controller、Service 层测试

### 14. Maven 仓库使用 HTTP [LOW]
- **文件:** `pom.xml`（第 426-428、436-438 行）
- **问题:** `http://maven.aliyun.com` 非 HTTPS，存在中间人攻击风险
- **修复:** 改为 HTTPS

---

## 四、数据库问题

### 15. tenant_id 列无索引 [HIGH]
- **文件:** `sql/yb-20210820.sql`
- **问题:** `tenant_id` 列未建索引，JOIN 和 WHERE 过滤时全表扫描
- **修复:** 对所有租户表的 `tenant_id` 建索引

### 16. 租户过滤配置重复 [LOW]
- **文件:** `yubb-admin/src/main/resources/application.yml`（第 150-151 行）
- **问题:** `platform_role_menu` 和 `platform_user_role` 重复列出
- **修复:** 去重

---

## 五、优先级汇总

| 优先级 | 问题 | 估计工时 |
|--------|------|----------|
| P0 | 多租户隔离失效 | 中 |
| P0 | SQL 注入（DynamicSqlProvider） | 中 |
| P0 | 硬编码密钥移除 | 小 |
| P1 | 管理后台绕过漏洞 | 小 |
| P1 | XSS 防护开启 | 小 |
| P1 | HttpOnly Cookie 开启 | 小 |
| P1 | tenant_id 建索引 | 中 |
| P2 | Spring Boot 升级 | 大 |
| P2 | 版本统一 | 小 |
| P2 | 单元测试覆盖 | 大 |
| P3 | System.out.println 替换 | 中 |
| P3 | SysSingleController 重构 | 中 |
| P3 | Maven HTTP → HTTPS | 小 |