hms/plans/audit-report-2026-04-26.md

HMS 全系统前端审计报告

日期: 2026-04-26 | 审计范围: 全系统（基础模块 + 健康模块 + 插件 + 小程序） 方法: 代码扫描 + 浏览器操作测试 + 后端日志分析 审计人: Claude Code 自动化审计

---

执行摘要

指标	值
审计覆盖模块	12 个（auth/config/workflow/message/plugin/health/ai/settings/小程序）
浏览器验证页面	18 个 Web 页面 + 通知面板
代码级审计模块	10 个（4 个后台 agent + 6 个手动/浏览器）
总问题数	72 个
P0 阻断	9 个
P1 严重	20 个
P2 中等	22 个
P3 轻微	15 个
P4 优化	6 个

风险矩阵

风险域	状态	关键发现
安全	🔴 高风险	2 个 P0（文件无认证访问 + SQL 注入）
数据完整性	🔴 高风险	级联删除缺失 × 3，并行网关死锁
功能完整性	🟡 中等	多个模块 CRUD 不完整（模板/偏好/组织）
实时性	🟡 中等	消息 60 秒轮询，无 WebSocket
代码质量	🟢 良好	动态表 SQL 注入防护好，租户隔离一致

---

P0 阻断问题（8 个）

P0-1: 上传文件无认证访问

• 模块: erp-server 静态文件服务
• 类型: 安全漏洞
• 复现步骤: 直接访问 http://localhost:3000/uploads/{任意文件名}
• 预期行为: 需 JWT 认证才能访问医疗文档
• 实际行为: 所有上传文件公开可访问，包括医疗文档
• 影响: 医疗隐私数据泄露，违反 HIPAA 合规
• 相关文件: crates/erp-server/src/main.rs:545-546
• 建议修复: 在 ServeDir 前添加 JWT 认证中间件，或使用签名 URL

P0-2: analytics/batch 端点公开

• 模块: erp-server API
• 类型: 安全漏洞
• 复现步骤: 无需认证 POST /api/v1/analytics/batch
• 影响: 任意 JSON 事件注入，可伪造分析数据
• 相关文件: crates/erp-server/src/main.rs 路由注册
• 建议修复: 添加 JWT 认证守卫

P0-3: load_plugin_config SQL 注入

• 模块: erp-plugin 引擎
• 类型: 安全漏洞
• 复现步骤: 恶意 WASM 插件 manifest 中 craft plugin_id 包含 SQL 注入 payload
• 影响: 通过 format!() 拼接 SQL，plugin_id 仅用 replace('\'', "''") 转义，不安全
• 相关文件: crates/erp-plugin/src/engine.rs:630-637
• 建议修复: 改用参数化查询 $N 占位符

P0-4: 组织删除无级联检查

• 模块: erp-auth 组织管理
• 类型: 数据完整性
• 复现步骤: 删除包含子部门/岗位/用户关联的组织
• 影响: 软删除组织后，子部门、岗位、用户关联成为孤儿数据
• 建议修复: 删除前检查并阻止存在子记录的删除操作

P0-5: 部门删除无级联检查

• 模块: erp-auth 部门管理
• 类型: 数据完整性
• 复现步骤: 删除包含子部门或关联用户的部门
• 影响: 同 P0-4，部门树结构断裂
• 建议修复: 递归检查子部门和用户关联

P0-6: 岗位删除无级联检查

• 模块: erp-auth 岗位管理
• 类型: 数据完整性
• 影响: 删除岗位后用户-岗位关联悬空
• 建议修复: 检查用户关联后阻止或级联更新

P0-7: 并行网关 Join 逻辑可能导致死锁

• 模块: erp-workflow 执行引擎
• 类型: 功能缺陷
• 相关文件: crates/erp-workflow/src/engine/executor.rs:369-425
• 影响: 并行分支汇聚时，token 查询可能匹配到历史迭代的 stale token，导致提前/错误完成或永久等待
• 建议修复: 添加 token lineage/correlation 机制，区分不同 fork 产生的 token

P0-8: workflow on_tenant_deleted 是空操作

• 模块: erp-workflow 租户清理
• 类型: 数据完整性
• 相关文件: crates/erp-workflow/src/module.rs:149-154
• 影响: 删除租户后，流程定义/实例/任务/Token 残留，跨租户数据泄漏风险
• 建议修复: 实现级联软删除所有租户相关数据

---

P1 严重问题（18 个）

P1-1: health-data 统计端点 500 错误

• 模块: erp-health 统计
• 类型: 功能缺陷
• 根因: PostgreSQL AVG() 返回 NUMERIC 类型，Rust 代码期望 f64（FLOAT8）
• 相关文件: crates/erp-health/src/service/stats_service.rs
• 浏览器验证: 统计报表页面显示"加载统计数据失败 500"
• 建议修复: 使用 Decimal 类型或 SQL 中显式 CAST(AVG(...) AS FLOAT8)

P1-2: 行级数据权限未生效

• 模块: erp-auth 权限
• 类型: 功能缺陷
• 影响: department_ids 已填充但未用于数据过滤查询
• 建议修复: 在查询构建器中加入 department_ids 过滤条件

P1-3: 消息无实时推送

• 模块: erp-message
• 类型: 功能缺失
• 影响: 医疗告警最多延迟 60 秒才能到达医护人员，临床不可接受
• 建议修复: 实现 WebSocket 或 SSE 推送

P1-4: 消息模板 CRUD 不完整

• 模块: erp-message
• 类型: 功能缺失
• 影响: 模板只能创建和列表，无法编辑、删除，且 render() 方法未接入发送管道
• 相关文件: crates/erp-message/src/template_service.rs

P1-5: 通知偏好设置无法加载已有配置

• 模块: erp-message + 前端
• 类型: 功能缺陷
• 影响: 后端无 GET /message-subscriptions 端点，前端无法加载用户已保存的偏好；第二次保存因缺少 version 字段必然失败
• 相关文件: crates/erp-message/src/module.rs, NotificationPreferences.tsx

P1-6: 工作流 ServiceTask 是空操作

• 模块: erp-workflow
• 类型: 功能缺失
• 相关文件: crates/erp-workflow/src/engine/executor.rs:277
• 影响: 所有 ServiceTask 被自动跳过，service_type 字段无效

P1-7: 工作流未注册任何事件处理器

• 模块: erp-workflow
• 类型: 功能缺失
• 影响: register_event_handlers 为空函数，工作流模块不响应任何外部事件
• 相关文件: crates/erp-workflow/src/module.rs:137

P1-8: candidate_groups（角色/部门分配）存储但未使用

• 模块: erp-workflow
• 类型: 功能缺失
• 影响: 配置了 candidate_groups 但无 assignee 的 UserTask 对所有用户不可见，任务成为孤儿
• 相关文件: crates/erp-workflow/src/service/task_service.rs:25-36

P1-9: 工作流超时检查仅记录日志

• 模块: erp-workflow
• 类型: 功能缺失
• 影响: 超时任务无升级/自动完成/通知，永久停留在 pending 状态
• 相关文件: crates/erp-workflow/src/engine/timeout.rs

P1-10: 工作流 deprecated 状态不可达

• 模块: erp-workflow + 前端
• 类型: 功能缺陷
• 影响: 前端定义了 deprecated 状态样式，但后端无转换路径
• 相关文件: ProcessDefinitions.tsx:19

P1-11: 工作流定义更新跳过校验

• 模块: erp-workflow
• 类型: 功能缺陷
• 影响: 只更新 nodes 而不提供 edges 时，不做图结构验证
• 相关文件: crates/erp-workflow/src/service/definition_service.rs:174-181

P1-12: 编号序列表名未充分消毒

• 模块: erp-plugin
• 类型: 安全隐患
• 影响: plugin_id 格式化到 DDL/DML 语句时仅 replace('-', "_")，不处理引号/分号
• 相关文件: crates/erp-plugin/src/host.rs:339

P1-13 ~ P1-18: 组织模块 P1 问题

• P1-13: 组织/部门/岗位缺少列表 API 中的树形结构返回
• P1-14: 部门树重组操作（拖拽移动父节点）未实现
• P1-15: 组织/部门名称唯一性校验缺失
• P1-16: 部门详情 GET 端点缺失
• P1-17: 岗位分配/取消分配 API 缺失
• P1-18: 消息群发（角色/部门/全员）fan-out 未实现

---

P2 中等问题（20 个）

ID	模块	问题	文件
P2-1	health	随访任务患者名显示为 UUID 片段	FollowUpTaskList.tsx
P2-2	health	前端测试覆盖率极低（3 个文件）	apps/web/src/
P2-3	health	深色模式样式重复 ~19 页内联 isDark	各健康页面
P2-4	health	useDarkMode 和 useThemeMode 重叠	hooks/
P2-5	health	AppointmentList 冗余 404 请求	AppointmentList.tsx
P2-6	message	未读计数不即时刷新（等 60s 轮询）	stores/message.ts
P2-7	message	markAsRead 失败不回滚乐观更新	stores/message.ts:57-69
P2-8	message	mark_all_read 不更新 version 字段	message_service.rs:298-326
P2-9	message	通知面板点击不导航到详情	NotificationPanel.tsx:81-85
P2-10	message	轮询间隔 60s 对医疗告警不可接受	NotificationPanel.tsx:28-31
P2-11	workflow	N+1 查询问题（实例/任务列表）	instance_service.rs, task_service.rs
P2-12	workflow	排他网关表达式错误被静默吞掉	executor.rs:176
P2-13	workflow	ProcessDesigner 不支持边条件配置	ProcessDesigner.tsx
P2-14	workflow	委派 API 要求手动输入 UUID	PendingTasks.tsx:207-210
P2-15	workflow	前端 UpdateDefinitionRequest 缺少 version	workflowDefinitions.ts:45-51
P2-16	plugin	reconcile_references 表名注入模式	data_service.rs:1204-1206
P2-17	plugin	PluginMarket installed 判断字段不匹配	PluginMarket.tsx:68
P2-18	plugin	模板渲染未接入发送管道	template_service.rs:92-99
P2-19	plugin	偏好设置 version 字段未发送导致更新失败	NotificationPreferences.tsx:26-37
P2-20	plugin	偏好设置仅暴露 DND，channel_preferences 隐藏	NotificationPreferences.tsx:60

---

P3 轻微问题（14 个）

ID	模块	问题
P3-1	health	已完成任务仍显示操作按钮
P3-2	health	ArticleEditor 图片上传未实现 (TODO)
P3-3	health	PatientDetail 头部标题显示"页面"
P3-4	health	4 处 any 类型使用
P3-5	health	登录硬编码默认 tenant_id
P3-6	settings	审计日志操作用户列显示原始 UUID
P3-7	settings	审计日志资源类型过滤列表硬编码
P3-8	settings	系统参数无列表 API，需手动输入 key
P3-9	plugin	Kanban 拖拽 version 硬编码 0 导致锁冲突
P3-10	plugin	CRUD 排序使用 JSONB 文本提取导致字典序
P3-11	workflow	ProcessDesigner 用 destroyOnHidden 而非 destroyOnClose
P3-12	workflow	InstanceMonitor 显示 raw node_id 而非名称
P3-13	workflow	待办任务状态 Tag 不适配深色模式
P3-14	message	偏好设置 DND 启用但未填时间范围时无效

---

P4 优化建议（6 个）

ID	模块	建议
P4-1	plugin	PluginAdmin purge 按钮状态与后端不一致
P4-2	plugin	WASM init() 使用 nil UUID
P4-3	plugin	recover_plugins 不按 tenant_id 过滤
P4-4	settings	LanguageManager 编辑弹窗无可编辑字段
P4-5	settings	ChangePassword 最小长度仅前端校验
P4-6	settings	Settings API delete/update URL 编码不一致

---

模块审计摘要

基础模块

模块	页面数	浏览器验证	代码审计	关键发现
用户/权限 (B1)	2	✅	✅	email 验证宽松
组织架构 (B2)	1	❌	✅	3×P0 级联删除缺失
工作流 (B3)	6	✅ 3 页	✅	3×P0 + 6×P1 功能大量缺失
消息 (B4)	3+面板	✅ 面板	✅	5×P1 无实时推送

健康模块

模块	页面数	浏览器验证	关键发现
患者管理 (B5)	2	✅	标题"页面"bug
医生/排班/预约 (B6)	3	✅	冗余 404 请求
随访/咨询 (B7)	4	✅ 部分	患者 UUID 片段
积分/文章/AI (B8)	9	✅ 部分	统计报表 500

系统/插件

模块	页面数	浏览器验证	代码审计	关键发现
插件 (B9)	8	❌	✅	P1 SQL 注入
统计/仪表盘 (B9)	2	✅	✅	500 错误
系统设置 (B10)	8 标签	✅ 3 标签	✅	审计日志 UUID

小程序（B11-B14）

模块	审计方式	关键发现
登录/首页 (B11)	代码审计	P0 .env 泄露风险
健康管理 (B12)	代码审计	P2 错误处理缺失
医患交互 (B13)	代码审计	P1 咨询消息轮询无错误恢复
内容/商城 (B14)	代码审计	P2 空状态处理缺失

小程序专项发现

P0-9: .env 未加入 .gitignore

• 模块: miniprogram 配置
• 类型: 安全漏洞
• 相关文件: apps/miniprogram/.gitignore（仅含 node_modules/ 和 dist/）
• 影响: .env 文件含 TARO_APP_ENCRYPTION_KEY=hms_miniprogram_encryption_key_2026，可能意外提交到 git
• 当前状态: 未被 git 追踪（git ls-files 为空），但风险存在
• 建议修复: 在 .gitignore 中添加 .env 和 .env.*

P1-19: 小程序加密密钥为弱密钥

• 模块: miniprogram secure-storage
• 类型: 安全隐患
• 相关文件: apps/miniprogram/.env:2, apps/miniprogram/src/utils/secure-storage.ts
• 影响: hms_miniprogram_encryption_key_2026 为可预测字符串，AES 加密形同虚设
• 建议修复: 使用 python -c "import secrets; print(secrets.token_hex(32))" 生成强密钥

P1-20: project.config.json urlCheck: false

• 模块: miniprogram 配置
• 类型: 安全隐患
• 相关文件: apps/miniprogram/project.config.json:6
• 影响: 生产环境允许请求任意域名，应限制为后端 API 域名
• 建议修复: 生产版本设为 true 并配置合法域名白名单

P2-21: secure-storage 未设密钥时明文存储

• 模块: miniprogram secure-storage
• 类型: 安全隐患
• 相关文件: apps/miniprogram/src/utils/secure-storage.ts:12
• 影响: ENCRYPTION_KEY 为空时 encrypt() 直接返回明文，token 和敏感数据不加密存储
• 建议修复: 强制要求密钥，未设置时阻止存储敏感数据

P2-22: 小程序各页面缺少统一错误边界

• 模块: miniprogram 全局
• 类型: 功能缺陷
• 影响: API 请求失败时页面无友好错误提示，可能白屏
• 建议修复: 添加全局错误边界组件和网络错误拦截器

P3-15: 小程序部分页面缺少空状态处理

• 模块: miniprogram 健康管理
• 类型: UX 问题
• 影响: 健康数据为空时无引导提示

---

浏览器验证发现汇总

以下问题通过实际浏览器操作验证：

页面	操作	结果	问题
Users	创建用户（无效邮箱）	成功	email 验证宽松
Users	删除用户	成功	—
Users	分配角色	成功	—
Patient List	搜索	成功	—
Patient Detail	切换标签	成功	标题显示"页面"
Statistics	加载	失败 500	SQL 类型不匹配
Settings-字典	新建/添加项/删除	全部成功	—
Settings-密码	错误旧密码	正确提示	—
Settings-审计日志	查看	成功	UUID 而非用户名
Settings-菜单	查看	成功	—
Workflow-定义	列表	成功	—
Workflow-设计器	编辑草稿	成功	缺节点属性编辑器
Workflow-待办	查看	成功	—
通知面板	打开	成功	60s 轮询延迟

---

优先修复建议

第一优先级（P0，必须立即修复）

1. 上传文件认证（P0-1）— 医疗隐私合规要求
2. SQL 注入修复（P0-3）— 安全风险，改用参数化查询
3. analytics/batch 认证（P0-2）— 防止数据伪造
4. 级联删除检查（P0-4/5/6）— 防止数据完整性破坏
5. 并行网关修复（P0-7）— 核心工作流引擎可靠性
6. 租户清理实现（P0-8）— 多租户数据隔离

第二优先级（P1，2 周内修复）

1. 统计报表 SQL 类型修复（P1-1）— 面向用户的功能
2. 行级数据权限实现（P1-2）— 安全要求
3. 消息实时推送（P1-3）— 医疗告警时效性
4. 工作流功能补全（P1-6~11）— 模块可用性
5. 消息模板/偏好完善（P1-4/5）— 功能闭环

第三优先级（P2，1 月内修复）

1. 前端测试覆盖率提升（P2-2）
2. 工作流 N+1 查询优化（P2-11）
3. 各模块 UX 修复（UUID 显示、标题、按钮状态等）

---

附录：审计方法

• 代码扫描: Explore agent 深度遍历源码，逐模块检查功能完整性
• 浏览器测试: Chrome DevTools MCP 实际操作 18 个页面，验证 CRUD 链路
• 后端日志分析: 解析 Axum tracing 日志定位 500 错误根因
• 网络面板: 监控 API 请求/响应，发现冗余调用和错误响应