test(p3-1): 第十波 - url_security 安全模块单测 72个 #714

Merged

auto-approve-bot merged 2 commits from test/p3-1-wave10-url-security-tests into develop 2026-07-22 15:43:21 +08:00

Conversation 5 Commits 2 Files Changed 1

+553 -252

xiaoxia commented 2026-07-22 14:25:04 +08:00

Owner

Copy Link

Copy Source

变更内容

url_security 核心安全模块全面单元测试，72个测试用例。

覆盖范围：

• 基础校验 (18个): scheme白名单/端口白名单/URL长度/空URL/主机名校验
• SSRF防护 (12个): 内网IP/回环/链路本地/组播/未指定/保留地址/云元数据IP/IPv6
• 内网主机名防护 (7个): localhost/.local/.internal/metadata
• 可信域名白名单 (4个): 精确匹配/子域名/非白名单拦截
• is_url_safe 便捷函数 (4个)
• 文件魔数校验 (14个): PNG/JPEG/GIF/WEBP/BMP/WAV/MP3/OGG/FLAC + 异常场景
• 安全下载 (8个): 成功下载/MIME校验/大小限制/Content-Length预检/内网拦截
• 常量验证 (3个)

测试结果

• 72 passed in 4.19s
• 全量 3280 passed, 8 skipped in 75s

### 变更内容 url_security 核心安全模块全面单元测试，72个测试用例。 **覆盖范围：** - **基础校验** (18个): scheme白名单/端口白名单/URL长度/空URL/主机名校验 - **SSRF防护** (12个): 内网IP/回环/链路本地/组播/未指定/保留地址/云元数据IP/IPv6 - **内网主机名防护** (7个): localhost/.local/.internal/metadata - **可信域名白名单** (4个): 精确匹配/子域名/非白名单拦截 - **is_url_safe 便捷函数** (4个) - **文件魔数校验** (14个): PNG/JPEG/GIF/WEBP/BMP/WAV/MP3/OGG/FLAC + 异常场景 - **安全下载** (8个): 成功下载/MIME校验/大小限制/Content-Length预检/内网拦截 - **常量验证** (3个) ### 测试结果 - 72 passed in 4.19s - 全量 3280 passed, 8 skipped in 75s

xiaoxia added 1 commit 2026-07-22 14:25:04 +08:00

test(p3-1): 第十波 - url_security 安全模块单测 72个 ... 911478495a

覆盖 url_security.py 核心安全逻辑：
- validate_url_safety: scheme/端口/主机名/URL长度 等基础校验
- SSRF防护: 内网IP/回环/链路本地/组播/未指定/保留地址
- 内网主机名防护: localhost/.local/.internal/metadata
- 可信域名白名单: 精确匹配+子域名匹配
- is_url_safe 便捷函数
- 文件魔数校验: PNG/JPEG/GIF/WEBP/BMP/WAV/MP3/OGG/FLAC
- safe_download_file / safe_download_bytes (mock网络)
- 大小限制 / MIME类型白名单 / Content-Length预检

gitea-actions bot commented 2026-07-22 14:41:00 +08:00

Copy Link

Copy Source

🚀 预览环境已部署

项目	详情
PR号	#714
预览链接	https://pr-714.preview.xiaoxiajianji.com
API环境	staging

💡 预览环境使用 staging API 数据，请勿在预览环境中操作重要数据。

🔄 每次提交新代码后预览环境会自动更新。

🗑️ PR 关闭或合并后，预览环境会自动清理。

🚀 **预览环境已部署** | 项目 | 详情 | |------|------| | PR号 | #714 | | 预览链接 | [https://pr-714.preview.xiaoxiajianji.com](https://pr-714.preview.xiaoxiajianji.com) | | API环境 | staging | > 💡 预览环境使用 staging API 数据，请勿在预览环境中操作重要数据。 > > 🔄 每次提交新代码后预览环境会自动更新。 > > 🗑️ PR 关闭或合并后，预览环境会自动清理。

xiaoxia added 1 commit 2026-07-22 14:51:02 +08:00

fix(ci): auto-fix lint/format issues 976f01a7c3

auto-approve-bot approved these changes 2026-07-22 15:20:47 +08:00

auto-approve-bot left a comment

Collaborator

Copy Link

Copy Source

CI全绿，自动审批通过。

CI全绿，自动审批通过。

auto-approve-bot approved these changes 2026-07-22 15:20:47 +08:00

auto-approve-bot left a comment

Collaborator

Copy Link

Copy Source

CI全绿，自动审批通过。

CI全绿，自动审批通过。

auto-approve-bot commented 2026-07-22 15:28:20 +08:00

Collaborator

Copy Link

Copy Source

代码审查结果 - PR #714

⚠️ 问题（1个需要修改）

1. tests/unit/test_url_security.py (TestTrustedDomains 类)：在测试中直接修改模块全局变量 TRUSTED_DOMAINS 并使用 try...finally 手动还原。
   • 问题描述：直接修改 mod.TRUSTED_DOMAINS 会改变模块的全局状态。虽然使用了 try...finally 进行还原，但在 Pytest 环境下（特别是使用 pytest-xdist 并行执行时）这种方式是不安全的，容易导致测试状态污染和不可复现的测试失败。此外，这不是 Pytest 的推荐做法。
   • 修改建议：使用 Pytest 提供的 monkeypatch fixture 来安全地修改属性或环境变量，它会自动处理作用域和还原。例如：monkeypatch.setattr("packages.shared.url_security.TRUSTED_DOMAINS", {"example.com"})。

💡 建议（2个可选）

1. tests/unit/test_url_security.py (TestValidateUrlSafetyBasics 类)：test_uppercase_scheme_normalized 测试用例的断言可能存在风险。
   • 具体内容：测试用例断言 assert result == url，假设输入 HTTPS://... 会被原样返回。然而，URL 解析库（如 urllib.parse）在处理或规范化 URL 时，通常会自动将 scheme 转换为小写。如果 validate_url_safety 内部使用了此类库并返回了处理后的对象，该测试将会失败。建议确认被测函数的实现行为，如果它会规范化 URL，测试断言应相应调整（例如断言 result 为小写）。
2. tests/unit/test_url_security.py (TestInternalHostnameProtection 类)：test_public_ip_ok 依赖隐式的全局配置。
   • 具体内容：该测试断言公网 IP（8.8.8.8）会被拦截，这依赖于 url_security 模块中 ALLOW_DIRECT_IP 的默认配置为 False。如果源代码的默认配置变更或受环境变量影响，此测试会变得不稳定。建议在测试中显式 mock 或设置该配置项，以确保测试的独立性和明确性。

---

✅ 格式检查通过 | ❌ 逻辑审查需修改 | ✅ 性能良好

---

_{🤖 由 AI 代码审查机器人自动生成 | 2026-07-22 15:28:19 | 模型:}

## 代码审查结果 - PR #714 ### ⚠️ 问题（1个需要修改） 1. **tests/unit/test_url_security.py (TestTrustedDomains 类)**：在测试中直接修改模块全局变量 `TRUSTED_DOMAINS` 并使用 `try...finally` 手动还原。 - **问题描述**：直接修改 `mod.TRUSTED_DOMAINS` 会改变模块的全局状态。虽然使用了 `try...finally` 进行还原，但在 Pytest 环境下（特别是使用 `pytest-xdist` 并行执行时）这种方式是不安全的，容易导致测试状态污染和不可复现的测试失败。此外，这不是 Pytest 的推荐做法。 - **修改建议**：使用 Pytest 提供的 `monkeypatch` fixture 来安全地修改属性或环境变量，它会自动处理作用域和还原。例如：`monkeypatch.setattr("packages.shared.url_security.TRUSTED_DOMAINS", {"example.com"})`。 ### 💡 建议（2个可选） 1. **tests/unit/test_url_security.py (TestValidateUrlSafetyBasics 类)**：`test_uppercase_scheme_normalized` 测试用例的断言可能存在风险。 - **具体内容**：测试用例断言 `assert result == url`，假设输入 `HTTPS://...` 会被原样返回。然而，URL 解析库（如 `urllib.parse`）在处理或规范化 URL 时，通常会自动将 scheme 转换为小写。如果 `validate_url_safety` 内部使用了此类库并返回了处理后的对象，该测试将会失败。建议确认被测函数的实现行为，如果它会规范化 URL，测试断言应相应调整（例如断言 result 为小写）。 2. **tests/unit/test_url_security.py (TestInternalHostnameProtection 类)**：`test_public_ip_ok` 依赖隐式的全局配置。 - **具体内容**：该测试断言公网 IP（8.8.8.8）会被拦截，这依赖于 `url_security` 模块中 `ALLOW_DIRECT_IP` 的默认配置为 `False`。如果源代码的默认配置变更或受环境变量影响，此测试会变得不稳定。建议在测试中显式 mock 或设置该配置项，以确保测试的独立性和明确性。 --- ✅ 格式检查通过 | ❌ 逻辑审查需修改 | ✅ 性能良好 --- _{🤖 由 AI 代码审查机器人自动生成 | 2026-07-22 15:28:19 | 模型:} <!-- AI_CODE_REVIEW_AUTO_COMMENT -->

auto-approve-bot merged commit a7a1a6395b into develop 2026-07-22 15:43:21 +08:00

auto-approve-bot deleted branch test/p3-1-wave10-url-security-tests 2026-07-22 15:43:21 +08:00

gitea-actions bot commented 2026-07-22 15:54:36 +08:00

Copy Link

Copy Source

🗑️ 预览环境已清理

PR #714 已关闭或合并，对应的预览环境已被清理。

如有需要，可以重新打开 PR 来重新生成预览环境。

🗑️ **预览环境已清理** PR #714 已关闭或合并，对应的预览环境已被清理。 > 如有需要，可以重新打开 PR 来重新生成预览环境。

Sign in to join this conversation.

Reviewers

No Reviewers

auto-approve-bot

Labels

Clear labels

P0

阻塞性，必须立即处理

P1

高优先级

P2

中优先级

P3

低优先级/后考虑

architecture

架构设计

backend

后端相关

blocked

阻塞中

bug

Bug修复

ci-bug

CI本身的bug

ci-optimization

CI优化类任务

ci-pipeline

CI流水线/workflow相关

cleanup

代码清理

devops

运维/部署/CI

documentation

文档相关

feature

新功能

frontend

前端相关

question

需要讨论确认

ready

PR CI通过，可合并

refactor

代码重构

No Label

Milestone

No items

No Milestone

Projects

Clear projects

No project

Assignees

Clear assignees

auto-approve-bot xiaoxia

No Assignees

3 Participants

Notifications

Subscribe

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: xiaoxia/xiaoxia-saas#714