0f8e2d0934
Account.Credentials 是 JSONB map，混合存放可编辑的非敏感配置（base_url、 model_mapping、project_id 等）与敏感秘钥（OAuth access/refresh/id token、 API key、AWS secret、Vertex private key 等）。当前所有 admin 账号接口直接 透传该 map，token 经由浏览器 DevTools、抓包、日志等途径泄漏。 - service 包新增 SensitiveCredentialKeys 清单与 MergePreservingSensitiveCreds 作为单一权威定义。 - dto 层 RedactCredentials 在响应里剥离敏感子键，输出 credentials_status （has_<key> 布尔标识）告知前端存在性，不暴露原值。 - AccountFromServiceShallow 接入脱敏，覆盖 list、get、create、update、 refresh、batch、bulk-update、OAuth 创建等 9 个 handler。 - service.UpdateAccount 改为合并语义：incoming 没传敏感键则保留 existing， 让前端"全对象 PUT"流程在脱敏后无感工作；显式提供新 token 仍会覆盖。 - 前端 EditAccountModal 修复脱敏后会崩的两处兜底：apikey 必填检查和 Vertex SA JSON 存在性校验改读 credentials_status.has_*。 - 导出端点 /admin/accounts/data 走独立的 DataAccount 结构，按设计保留 完整 credentials 作为管理员备份路径。 测试：RedactCredentials 单元测试、mapper 端到端 JSON 断言（确认序列化 后无 token 子串）、UpdateAccount 合并语义三种场景（保留 / 覆盖 / 空 map 跳过）。 Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>
51 lines
1.9 KiB
Go
51 lines
1.9 KiB
Go
package service
|
||
|
||
// SensitiveCredentialKeys 列出 Account.Credentials JSON map 中绝不允许返回到前端的子键。
|
||
// dto 层做响应脱敏、service 层做更新合并都引用此清单——新增凭证类型时务必同步。
|
||
var SensitiveCredentialKeys = []string{
|
||
// OAuth
|
||
"access_token", "refresh_token", "id_token",
|
||
// API Key 类
|
||
"api_key", "session_key", "cookie",
|
||
// 云服务凭据
|
||
"aws_secret_access_key", "aws_session_token",
|
||
"service_account_json", "service_account", "private_key",
|
||
}
|
||
|
||
var sensitiveCredentialKeySet = func() map[string]struct{} {
|
||
m := make(map[string]struct{}, len(SensitiveCredentialKeys))
|
||
for _, k := range SensitiveCredentialKeys {
|
||
m[k] = struct{}{}
|
||
}
|
||
return m
|
||
}()
|
||
|
||
// IsSensitiveCredentialKey 判断指定键是否为敏感凭证子键。
|
||
func IsSensitiveCredentialKey(key string) bool {
|
||
_, ok := sensitiveCredentialKeySet[key]
|
||
return ok
|
||
}
|
||
|
||
// MergePreservingSensitiveCreds 把 incoming 写入 existing 之上，但敏感子键采用"incoming 没提供就保留 existing"
|
||
// 的语义。返回新的 map，不修改入参。
|
||
//
|
||
// 用途：前端编辑账号通常采用"全对象 PUT"模式；脱敏后前端 spread 旧 credentials 时不会带上敏感键，
|
||
// 直接覆盖会清空已有 token。此函数保证：
|
||
// - 非敏感键：完全由 incoming 决定（用户可以编辑、删除非敏感字段）。
|
||
// - 敏感键：incoming 显式提供则覆盖（用户主动旋转 token），否则保留 existing。
|
||
func MergePreservingSensitiveCreds(existing, incoming map[string]any) map[string]any {
|
||
out := make(map[string]any, len(incoming)+len(SensitiveCredentialKeys))
|
||
for k, v := range incoming {
|
||
out[k] = v
|
||
}
|
||
for _, key := range SensitiveCredentialKeys {
|
||
if _, hasIncoming := incoming[key]; hasIncoming {
|
||
continue
|
||
}
|
||
if existingVal, ok := existing[key]; ok {
|
||
out[key] = existingVal
|
||
}
|
||
}
|
||
return out
|
||
}
|