fix: PR#312安全债务 4个P1修复（路径安全+数量上限） #322

Merged

xiaoxia merged 7 commits from fix/pr312-security-debt-p1 into develop 2026-07-14 17:43:57 +08:00

Conversation 3 Commits 7 Files Changed 7

+1415 -5

xiaoxia commented 2026-07-14 16:29:48 +08:00

Owner

Copy Link

Copy Source

背景

PR #312（多轨道混音+字幕渲染+视频拼接）已合并到develop，但审计发现4个P1安全债务，需尽快修复。

修复内容

P1-1 多轨道混音 audio_path 路径安全

• 新增 _validate_audio_path() 路径白名单校验
• 支持 local:// / 相对路径 / 绝对路径三种场景
• 绝对路径额外检查 ASSET_ALLOWED_DIRS 白名单
• 扩展名白名单：.mp3/.wav/.aac/.ogg/.flac/.m4a/.wma
• 路径不安全的轨道自动跳过，不阻断主流程

P1-2 混音轨道数量上限

• 新增 MAX_AUDIO_TRACKS = 8 轨道数上限
• 超出上限自动截断，防止资源耗尽攻击

P1-3 视频拼接 video_path 路径安全

• 新增 _validate_video_path() 路径白名单校验
• 路径不安全的片段自动跳过
• 扩展名白名单：.mp4/.mov/.avi/.mkv/.webm/.flv/.wmv

P1-4 拼接段数上限

• 新增 MAX_CONCAT_SEGMENTS = 50 段数上限
• 超出直接报错，防止OOM攻击

P1-5 字幕文件路径安全

• build_subtitle_filter() 新增路径安全校验
• 禁止远程URL字幕（subtitles滤镜不支持远程加载，且有SSRF风险）
• 扩展名白名单：.srt/.ass/.vtt/.sub
• 新增可选 work_dir 参数，向后兼容

基础设施

• 复用 path_security.py 统一路径安全校验模块
• 模块迁移自 PR #317，作为单一来源

测试

• ✅ 新增21个安全单元测试，全部通过
• ✅ 原有52个多轨道+字幕+拼接测试，零回归

降级策略

• 路径不安全：跳过无效路径，不阻断主流程
• 降级策略：跳过非法轨道/片段，继续处理合法输入

## 背景 PR #312（多轨道混音+字幕渲染+视频拼接）已合并到develop，但审计发现4个P1安全债务，需尽快修复。 ## 修复内容 ### P1-1 多轨道混音 audio_path 路径安全 - 新增 `_validate_audio_path()` 路径白名单校验 - 支持 local:// / 相对路径 / 绝对路径三种场景 - 绝对路径额外检查 ASSET_ALLOWED_DIRS 白名单 - 扩展名白名单：.mp3/.wav/.aac/.ogg/.flac/.m4a/.wma - 路径不安全的轨道自动跳过，不阻断主流程 ### P1-2 混音轨道数量上限 - 新增 `MAX_AUDIO_TRACKS = 8` 轨道数上限 - 超出上限自动截断，防止资源耗尽攻击 ### P1-3 视频拼接 video_path 路径安全 - 新增 `_validate_video_path()` 路径白名单校验 - 路径不安全的片段自动跳过 - 扩展名白名单：.mp4/.mov/.avi/.mkv/.webm/.flv/.wmv ### P1-4 拼接段数上限 - 新增 `MAX_CONCAT_SEGMENTS = 50` 段数上限 - 超出直接报错，防止OOM攻击 ### P1-5 字幕文件路径安全 - `build_subtitle_filter()` 新增路径安全校验 - 禁止远程URL字幕（subtitles滤镜不支持远程加载，且有SSRF风险） - 扩展名白名单：.srt/.ass/.vtt/.sub - 新增可选 `work_dir` 参数，向后兼容 ## 基础设施 - 复用 `path_security.py` 统一路径安全校验模块 - 模块迁移自 PR #317，作为单一来源 ## 测试 - ✅ 新增21个安全单元测试，全部通过 - ✅ 原有52个多轨道+字幕+拼接测试，零回归 ## 降级策略 - 路径不安全：跳过无效路径，不阻断主流程 - 降级策略：跳过非法轨道/片段，继续处理合法输入

xiaoxia added 1 commit 2026-07-14 16:29:48 +08:00

fix: PR#312安全债务 4个P1修复 ... 63bd21c2c4

- 多轨道混音: 轨道数量上限8轨 + audio_path路径白名单校验
- 视频拼接: 段数上限50段 + video_path路径白名单校验
- 字幕渲染: subtitles滤镜路径白名单校验 + 禁止远程URL字幕
- 复用path_security.py统一安全校验模块
- 新增21个安全单元测试，52个原有测试零回归

xiaoxia added 1 commit 2026-07-14 16:40:59 +08:00

style: black + isort format 4792acb5d9

xiaoxia added 1 commit 2026-07-14 16:40:59 +08:00

style: black + isort format 439420d44c

xiaoxia added 1 commit 2026-07-14 16:41:00 +08:00

style: black + isort format 7e9bcbc3ae

xiaoxia commented 2026-07-14 16:44:07 +08:00

Author

Owner

Copy Link

Copy Source

安全复审结果：⚠️ 有条件通过

4 个 P1 修复进度：2 项已修复 ✅，2 项需修复 ⚠️

---

✅ 已修复（2项）

P1-2 混音轨道数量上限（8轨）

• MAX_AUDIO_TRACKS = 8 在 mix_multi_track 入口校验
• 超出自动截断，降级策略合理
• 单测覆盖边界情况

P1-3 拼接段数上限（50段）

• MAX_CONCAT_SEGMENTS = 50 在 concat_videos 入口校验
• 超出直接报错，保守策略符合 OOM 风险预期
• 单测覆盖边界情况

---

⚠️ 需修复（2项 - 合并前必须解决）

P1-1 audio_path / video_path 路径安全 — 存在绕过漏洞

_validate_audio_path / _validate_video_path / _validate_subtitle_path 中，绝对路径以 work_dir 字符串开头时，同时跳过了 safe_resolve_path 的 containment 检查（allow_outside=True）和 is_in_allowed_dirs 检查（因为 startswith(work_dir) 为真）。

绕过方式：{work_dir}/../../../etc/passwd

根因：用原始路径的 startswith 判断而非解析后的真实路径 containment 判断。

修复建议：对解析后的路径（Path.resolve() 结果）做 containment 判断，而不是对原始路径做字符串前缀匹配。

P1-4 字幕文件路径安全 — 默认参数导致安全旁路

build_subtitle_filter(ass_path, work_dir=None) 中，work_dir 默认为 None 时取 Path(ass_path).parent 作为 base_dir。对于绝对路径，安全校验完全失效（路径永远在自己的父目录内）。

影响：所有未显式传入 work_dir 的调用方均无有效路径安全保障。

修复建议：将 work_dir 改为必填参数（secure by default），或在 work_dir=None 时对绝对路径强制走 is_in_allowed_dirs 检查。

---

📝 新增发现（非阻塞，建议优化）

1. P2 重复代码：三处 _validate_*_path 函数逻辑几乎完全一致，建议抽取到 path_security.py 作为通用函数
2. P2 范围外代码：packages/shared/url_security.py（413行）未在 PR 描述中说明，建议确认是否应随本 PR 合入
3. P2 策略不一致：音频轨道超限自动截断 vs 拼接段数超限直接报错，建议统一或文档说明

---

详细报告已上传，修复以上 2 个 P1 绕过漏洞后可通过复审。

## 安全复审结果：⚠️ 有条件通过 **4 个 P1 修复进度：2 项已修复 ✅，2 项需修复 ⚠️** --- ### ✅ 已修复（2项） **P1-2 混音轨道数量上限（8轨）** - `MAX_AUDIO_TRACKS = 8` 在 `mix_multi_track` 入口校验 - 超出自动截断，降级策略合理 - 单测覆盖边界情况 **P1-3 拼接段数上限（50段）** - `MAX_CONCAT_SEGMENTS = 50` 在 `concat_videos` 入口校验 - 超出直接报错，保守策略符合 OOM 风险预期 - 单测覆盖边界情况 --- ### ⚠️ 需修复（2项 - 合并前必须解决） **P1-1 audio_path / video_path 路径安全 — 存在绕过漏洞** `_validate_audio_path` / `_validate_video_path` / `_validate_subtitle_path` 中，绝对路径以 `work_dir` 字符串开头时，同时跳过了 `safe_resolve_path` 的 containment 检查（`allow_outside=True`）和 `is_in_allowed_dirs` 检查（因为 `startswith(work_dir)` 为真）。 **绕过方式**：`{work_dir}/../../../etc/passwd` **根因**：用原始路径的 `startswith` 判断而非解析后的真实路径 containment 判断。 **修复建议**：对解析后的路径（`Path.resolve()` 结果）做 containment 判断，而不是对原始路径做字符串前缀匹配。 **P1-4 字幕文件路径安全 — 默认参数导致安全旁路** `build_subtitle_filter(ass_path, work_dir=None)` 中，`work_dir` 默认为 `None` 时取 `Path(ass_path).parent` 作为 base_dir。对于绝对路径，安全校验完全失效（路径永远在自己的父目录内）。 **影响**：所有未显式传入 `work_dir` 的调用方均无有效路径安全保障。 **修复建议**：将 `work_dir` 改为必填参数（secure by default），或在 `work_dir=None` 时对绝对路径强制走 `is_in_allowed_dirs` 检查。 --- ### 📝 新增发现（非阻塞，建议优化） 1. **P2 重复代码**：三处 `_validate_*_path` 函数逻辑几乎完全一致，建议抽取到 `path_security.py` 作为通用函数 2. **P2 范围外代码**：`packages/shared/url_security.py`（413行）未在 PR 描述中说明，建议确认是否应随本 PR 合入 3. **P2 策略不一致**：音频轨道超限自动截断 vs 拼接段数超限直接报错，建议统一或文档说明 --- 详细报告已上传，修复以上 2 个 P1 绕过漏洞后可通过复审。

xiaoxia referenced this issue from a commit 2026-07-14 16:55:52 +08:00

fix(security): #322 修复2个P1绕过漏洞 - 路径校验realpath规范化 + work_dir必填

xiaoxia added 1 commit 2026-07-14 16:55:52 +08:00

fix(security): #322 修复2个P1绕过漏洞 - 路径校验realpath规范化 + work_dir必填 ... 47bf6bfa5f

P1-1: 路径校验startswith绕过
- multi_track_mixer: 改用resolved_path.relative_to()替代原始字符串startswith
- concat_engine: 同上
- subtitle_render_engine: 同上
- 原因: /tmp/work/../../opt/secret.aac 原始字符串以work_dir开头，
  旧代码误判为在目录内从而跳过白名单校验

P1-2: build_subtitle_filter work_dir默认值绕过
- work_dir=None时不再用ass_path父目录自证清白
- 不传/None/空字符串一律抛PathSecurityError
- 调用方必须显式传入可信的work_dir

新增4个单测验证绕过漏洞已修复，24个测试全绿

xiaoxia commented 2026-07-14 17:07:05 +08:00

Author

Owner

Copy Link

Copy Source

二轮复审结果（commit 47bf6bfa）

结论：⚠️ 有条件通过（2个P1绕过漏洞核心已修复，需修复2个测试回归后合并）

P1-1 路径校验 realpath 规范化 ✅ 已修复

三处 _validate_*_path（audio / video / subtitle）均已修复，统一改用 resolved_path.relative_to(resolved_work_dir) 比较：

• ✅ work_dir 和输入路径两端均经过 resolve() 规范化
• ✅ {work_dir}/../../../etc/passwd 伪前缀遍历已被拦截
• ✅ 符号链接指向 /etc/hostname 等外部文件也被拦截（realpath 解析符号链接）
• ✅ 三个新增绕过场景单测（test_*_path_traversal_bypass_startswith）全部通过

P1-2 build_subtitle_filter work_dir 必填 ⚠️ 基本修复

已添加运行时校验：work_dir is None or not str(work_dir).strip() 时抛出 PathSecurityError

• ✅ 不传 work_dir / 传 None / 传空字符串 均报错
• ✅ 新增 test_build_filter_work_dir_required 单测覆盖三种场景
• ⚠️ 函数签名仍有默认值 = None：不是严格意义上的必填参数，类型检查器无法发现遗漏（建议移除默认值）
• ❌ 2个旧测试回归：test_multi_track_subtitle_concat.py::TestSubtitleFilter 下的 2 个测试用例调用 build_subtitle_filter 时未传 work_dir，导致失败

回归验证

• ✅ 轨道上限 8 轨：仍有效
• ✅ 拼接上限 50 段：仍有效
• ✅ url_security.py 变更仅为代码格式化，无功能影响

合并前置条件（必须修复）

1. 修复 TestSubtitleFilter 两个旧测试，传入 work_dir 参数
2. （建议）移除 build_subtitle_filter 中 work_dir 的默认值 None，改为真正必填

修复测试回归后可合并。

## 二轮复审结果（commit 47bf6bfa） **结论：⚠️ 有条件通过（2个P1绕过漏洞核心已修复，需修复2个测试回归后合并）** ### P1-1 路径校验 realpath 规范化 ✅ 已修复 三处 `_validate_*_path`（audio / video / subtitle）均已修复，统一改用 `resolved_path.relative_to(resolved_work_dir)` 比较： - ✅ work_dir 和输入路径两端均经过 `resolve()` 规范化 - ✅ `{work_dir}/../../../etc/passwd` 伪前缀遍历已被拦截 - ✅ 符号链接指向 `/etc/hostname` 等外部文件也被拦截（realpath 解析符号链接） - ✅ 三个新增绕过场景单测（`test_*_path_traversal_bypass_startswith`）全部通过 ### P1-2 build_subtitle_filter work_dir 必填 ⚠️ 基本修复 已添加运行时校验：`work_dir is None or not str(work_dir).strip()` 时抛出 `PathSecurityError` - ✅ 不传 work_dir / 传 None / 传空字符串 均报错 - ✅ 新增 `test_build_filter_work_dir_required` 单测覆盖三种场景 - ⚠️ **函数签名仍有默认值 `= None`**：不是严格意义上的必填参数，类型检查器无法发现遗漏（建议移除默认值） - ❌ **2个旧测试回归**：`test_multi_track_subtitle_concat.py::TestSubtitleFilter` 下的 2 个测试用例调用 `build_subtitle_filter` 时未传 `work_dir`，导致失败 ### 回归验证 - ✅ 轨道上限 8 轨：仍有效 - ✅ 拼接上限 50 段：仍有效 - ✅ url_security.py 变更仅为代码格式化，无功能影响 ### 合并前置条件（必须修复） 1. 修复 `TestSubtitleFilter` 两个旧测试，传入 `work_dir` 参数 2. （建议）移除 `build_subtitle_filter` 中 `work_dir` 的默认值 `None`，改为真正必填 修复测试回归后可合并。

xiaoxia added 1 commit 2026-07-14 17:19:46 +08:00

style: black + isort format 73f3334f85

xiaoxia added 1 commit 2026-07-14 17:23:49 +08:00

fix: TestSubtitleFilter补work_dir参数适配新安全校验 d7b37ce59a

xiaoxia commented 2026-07-14 17:29:26 +08:00

Author

Owner

Copy Link

Copy Source

三轮复审 ✅ 通过（commit d7b37ce5）

测试适配验证完成：

• 2个 TestSubtitleFilter 用例均已正确传入 work_dir 参数
• 全量 52 个测试全部通过，零回归
• 路径 realpath 校验、work_dir 运行时必填等安全修复保持完好

结论：可合并

## 三轮复审 ✅ 通过（commit d7b37ce5） 测试适配验证完成： - 2个 TestSubtitleFilter 用例均已正确传入 work_dir 参数 - 全量 52 个测试全部通过，零回归 - 路径 realpath 校验、work_dir 运行时必填等安全修复保持完好 **结论：可合并**

xiaoxia merged commit 7e172c0907 into develop 2026-07-14 17:43:57 +08:00

Sign in to join this conversation.

Reviewers

No Reviewers

Labels

Clear labels

P0

阻塞性，必须立即处理

P1

高优先级

P2

中优先级

P3

低优先级/后考虑

architecture

架构设计

backend

后端相关

blocked

阻塞中

bug

Bug修复

ci-bug

CI本身的bug

ci-optimization

CI优化类任务

ci-pipeline

CI流水线/workflow相关

cleanup

代码清理

devops

运维/部署/CI

documentation

文档相关

feature

新功能

frontend

前端相关

question

需要讨论确认

ready

PR CI通过，可合并

refactor

代码重构

No Label

Milestone

No items

No Milestone

Projects

Clear projects

No project

Assignees

Clear assignees

auto-approve-bot xiaoxia

No Assignees

1 Participants

Notifications

Subscribe

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: xiaoxia/xiaoxia-saas#322