qubiaobiao 4f78995f1c fix(auth): 默认口令守卫改为哈希值判据（双通道 + 下沉单源） ...

R112-㉒：原守卫是「口令字面」判据（DEFAULT_ADMIN_PASSWORDS.includes），任何未枚举的默认口令均绕过。改为双通道并下沉单源：① 哈希通道 isDefaultAdminHash(admin.password) —— 与输入无关，字面比对已发布默认哈希（SHA256('admin') + 固定盐 bcrypt）并以 bcrypt.compareSync 遍历候选口令，覆盖「同口令、不同盐」的重新播种；② 口令通道沿用原逻辑。清单与哈希集下沉至 lib/passwordPolicy.js 成为唯一真相源（controller 删本地声明）。bcrypt 延迟加载 + try/catch ⇒ 无 bcrypt 时降级为仅字面比对且不抛异常。

验证：node --check x2；单测 34/34；变异 3/3 红；仓外判别力自证 45/45 + 4 变异全红；verify_no_secrets HIGH 0/CAND 2（零新增）；verify_tautology_guard PASS；verify_constant_shape_guard PASS；6 文件 CR=0。连带失真同步：守卫行 387->394 ⇒ schema.sql:218 + docs/modules.md:581。

2026-10-14 11:06:23 +08:00

26 KiB

Raw Blame History

View Raw