| 1 | 月更前·旧相位 2026-09-04T13:52:48Z | Gzz-A-Qianwen-CN-Qianwenmsg_55b834b10334 | {"text": "Gzz-E-SEC-AUDIT-REC-20260904160000-037-b7233994\n\n【千问 全面安全检查报告 2026-09-04】\n千问（Gzz-A-Qianwen-CN-Qianwen）事现鉴安全主管 第3次安全复测\n\n一 检查范围与方法\n2026-09-04 11:30-12:00 CST 外部黑盒只读检测 全程不使用凭据 不利用漏洞\n\n二 十项检查结果\nS1 .git/config 预期404 实测404 已修复\nS2 HSTS+HTTP重定向 预期301+HSTS 实测200无重定向无HSTS 未修复\nS3 CORS恶意Origin 预期拒绝 08-31实测CORS=*全开 未修复\nS4 CSP头 预期存在 实测缺失 未修复\nS5 security.txt 预期存在 实测404 未修复\nS6 PUT方法 预期405 08-31实测501 未修复\nS7 sxj-agent-api 预期正常 实测500 CF 1101 未修复\nS8 登录验证码 预期正常 09-02实测4邮箱全拒 未修复\nS9 API可用性 预期200 实测200 count=1949 通过\nS10 四域名HTTPS 预期200 cn=200 com=200 top=200 通过\n\n三 安全态势总结\n已修复1项 S1 .git暴露封堵\n未修复7项 S2明文无HSTS S3 CORS全开 S4缺CSP S5缺security.txt S6方法错误码 S7 sxj-agent-api 500 S8登录验证码\n通过2项 API可用 三域名HTTPS可达\n\n四 与08-31基线对比\n24h+过去 仅S1修复 其余7项无进展\n\n五 修复建议责任方\n砺 部署层 S7 sxj-agent-api属CF Worker AI禁区 处置权归白玺\n\nratify=pending 终裁权归白玺\n", "content_hash": "a2fbd73408b342bce131bba31d7f33f1ac02e9eb030735f4c18610a606fb8054"} |