WuYongJie/CaiWuXiTong
1
0
Fork 0
Code Issues Pull Requests 2 Packages Projects Releases Wiki Activity

fix(存量报价): 修复批量保存被安全检查误拦截 #347

Merged
limeng merged 1 commits from fix/limeng-stock-quote-structured-review into main 2026-10-16 16:28:19 +08:00
Conversation 0 Commits 1 Files Changed 3 +92 -9
limeng commented 2026-10-16 16:27:40 +08:00
Collaborator
Copy Link

批量录入存量报价时，整批配置被序列化到一个文本字段，XSS 检查可能把不同字段的正常内容串联误判，导致“保存并提交审核”跳到 firewall::responses.block.message。改为结构化 JSON 请求，让现有防护逐字段检查；不关闭防火墙、不豁免页面或用户输入。

保存失败时在当前页面显示原因并保留选择、日期和计费规则，支持修正重试；网络中断不误报保存成功。保留旧表单的服务端兼容。公司隔离、页面权限、CSRF、原件存档、审核和重试去重沿用原流程，不修改报价金额或生产业务数据，不涉及数据库迁移或生产配置。

验证：开启真实 XSS 中间件，覆盖正常内容误拦截复现、逐字段保存、校验失败后重试、重复请求和恶意脚本拦截；包含 120 张工作表的 JSON 保存测试。实际浏览器完成 3 张含图片工作表的提交审核，并验证 403 和业务错误留在原页、填写内容保留。

批量录入存量报价时，整批配置被序列化到一个文本字段，XSS 检查可能把不同字段的正常内容串联误判，导致“保存并提交审核”跳到 `firewall::responses.block.message`。改为结构化 JSON 请求，让现有防护逐字段检查；不关闭防火墙、不豁免页面或用户输入。 保存失败时在当前页面显示原因并保留选择、日期和计费规则，支持修正重试；网络中断不误报保存成功。保留旧表单的服务端兼容。公司隔离、页面权限、CSRF、原件存档、审核和重试去重沿用原流程，不修改报价金额或生产业务数据，不涉及数据库迁移或生产配置。 验证：开启真实 XSS 中间件，覆盖正常内容误拦截复现、逐字段保存、校验失败后重试、重复请求和恶意脚本拦截；包含 120 张工作表的 JSON 保存测试。实际浏览器完成 3 张含图片工作表的提交审核，并验证 403 和业务错误留在原页、填写内容保留。
limeng added 1 commit 2026-10-16 16:27:40 +08:00
limeng merged commit f3df42f46b into main 2026-10-16 16:28:19 +08:00
limeng deleted branch fix/limeng-stock-quote-structured-review 2026-10-16 16:28:20 +08:00
Sign in to join this conversation.
Reviewers
No Reviewers
Labels
No items
No Label
Milestone
No items
No Milestone
Projects
Clear projects
No project
Assignees
Clear assignees
aaron chenxi DoDo jj404877757 limeng qiuxiang renshen shanshi sumu wangshu yueyang yutu zhoushengchen WuYongJie
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: WuYongJie/CaiWuXiTong#347
No description provided.
Delete Branch "fix/limeng-stock-quote-structured-review"

Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?