ny-exam-platform/docs/security/index.md

安全总览

平台内建了多层防护，但部署方式决定了大部分安全性——请务必同时阅读 部署加固清单。

认证

• 采用 PHP Session 鉴权，未登录访问任意页面会被重定向到 login.php；
• 会话 Cookie 为 NYSESS，HttpOnly + SameSite=Lax；
• 登录凭据就是卷王后台账密：平台用它向卷王换取令牌，不维护独立账号体系；
• 卷王令牌缓存在 data/cache/token.json；令牌失效时平台会自动重新登录； 若卷王侧也认证失败，前端会先调用 logout.php 清会话再跳转登录页，避免出现跳转死循环。

登录失败处理

登录失败（卷王账号/密码错、地址不可达等）只会在登录页即时提示原因，不做失败次数限流—— 单机内网工具场景下，限流常因配置写错或测试串味把正常用户挡在门外，且无实际防爆破价值。 若怀疑连接配置被测试污染导致连不上真实卷王，用 php tools/fix-config.php 一键修正连接地址。

CSRF 防护

• 会话绑定 CSRF 令牌：ny_csrf_token() 生成，ny_csrf_ok() 校验；
• 令牌通过 config_get 接口下发给前端，前端在写请求的 JSON 体 _csrf 字段与 X-CSRF-Token 头中自动携带；
• 后端对写操作维护白名单 $WRITE_ACTIONS，命中白名单的请求一律校验： config_save / roster_save / roster_import / roster_clear / unmatched_map / project_config_save。

文件上传

::: danger 历史风险（已修复） 早期版本中上传文件按 roster_YYYYMMDD_HHMMSS.<原始扩展名> 保存在 data/uploads/， 存在两个问题：

1. 扩展名未校验——上传 .php 会被存成 roster_20260910_180400.php；
2. 文件名可枚举——按时间 1 秒粒度即可遍历。

在 nginx + PHP-FPM 下（.htaccess 无效），这构成任意文件上传 → 远程代码执行（RCE）。 :::

当前实现（四层防护）：

层	措施
1	扩展名白名单：仅允许 .xlsx / .xlsm / .csv / .txt，其余直接拒绝
2	随机文件名：bin2hex(random_bytes(16))，无法枚举
3	解析后立即删除：@unlink($dest)，Web 目录下不留存任何上传文件
4	大小限制：单个文件 ≤ 20 MB；同时建议 nginx 配置 client_max_body_size 20m

另外，上传接口属于写操作，同样受 CSRF 保护。

XSS / 注入

• 所有输出到 HTML 的值均经过 htmlspecialchars()；
• 导出 XLSX 时单元格统一写入共享字符串并施加 numFmtId=49 文本样式， 天然防止 CSV / Excel 公式注入，也避免长学号被转成科学计数法；
• 数据访问全部使用 PDO 预处理语句 / 参数绑定。

目录保护

程序启动时会在 data/、data/cache/、data/uploads/ 自动生成 .htaccess（Deny from all）与 index.html 占位。

nginx 不读取 .htaccess，必须显式配置。见 部署加固清单。

建议的额外措施

措施	说明
全站 HTTPS	登录密码经 RSA 加密，但仍建议全站 TLS
IP 白名单	内网使用时在 nginx 层限制来源 IP
隐藏版本号	关闭 expose_php、隐藏 nginx 版本号
定期备份	备份 data/（配置、名单、每卷配置、SQLite 库）
最小权限	PHP-FPM 进程只对 data/ 可写，其它目录只读
改默认密码	卷王后台默认 admin/123456 务必修改

相关

• 部署加固清单
• 环境要求与部署