Nexus 系统安全审计报告

签名密钥以明文写死在 .env,而 .env 直接被打进了 zip。任何拿到包的人都知道你的密钥。依赖里已装 python-jose,一旦上线做 JWT,攻击者可自行签发任意用户的合法 token——等于门锁配了把公开的钥匙。config.py 里还有一份默认弱密钥兜底,更易被忽略。

密钥运行时从环境注入,绝不入库/入包;.env 加入 .gitignore 且不进制品;用 secrets.token_urlsafe(48) 生成高熵值;移除代码里的默认密钥,缺失时直接启动失败而非退回弱值。

# 生成
python -c "import secrets;print(secrets.token_urlsafe(48))"
# config.py — 无默认值,缺失即报错
SECRET_KEY: str  # 不给默认;Settings 缺失时抛错

配置、数据库(sqlite:////root/…)、上传目录全部落在 /root 下,表明服务以 root 运行。Web 进程一旦被攻破(尤其后续要加文件上传),攻击者直接拿到 root,危害从"应用沦陷"升级为"整机沦陷"。

建专用低权用户(如 nexus),代码与数据迁到 /opt/nexus 或 /srv/nexus;systemd 单元里设 User=nexus、ProtectSystem=strict、NoNewPrivileges=true;上传目录挂 noexec。

DEBUG 在 .env 和 config.py 默认值双重开启。它会把 create_async_engine(echo=DEBUG) 打开——所有 SQL(含参数)全量写日志,并使框架吐出详细报错堆栈,泄露表结构、路径与内部实现,为进一步攻击提供地图。

默认改为 DEBUG=False,仅本地开发显式开启;echo 与 DEBUG 解耦,生产恒关;错误响应统一走脱敏处理,不外泄堆栈。

extra = "allow" 让任何环境变量都能悄悄注入 Settings 对象。配置面失控:拼写错误不报错、非预期变量被静默吸收,也扩大了通过环境注入影响行为的面。

改为 extra = "forbid",所有配置项显式声明并带类型;需要的字段一个个列出来,让未知项在启动时暴露。

当前 get_db 在每次请求结束都 commit(),即使是只读请求也提交。接入写操作后,容易在未预期的位置产生隐式提交,难以精确控制事务边界。

依赖只负责给 session 与回滚兜底,提交交给业务层显式 await db.commit();只读路径完全不提交。事务边界清晰、可控。

依赖清单显示计划做密码哈希 + JWT 认证 + 文件上传,但代码里一行都还没有。这三块恰是管理系统最易出安全事故的地方(弱哈希、token 校验绕过、上传越权/RCE)。现在无代码可审,属"待建的高风险区"。

补齐真实代码后重点审:bcrypt work factor、JWT 过期/签名/算法固定(防 alg=none)、上传白名单+改名+落盘 noexec 目录、越权(IDOR)与 RBAC 权限校验。