feat: manage epay settings securely
Deploy staging to test server / deploy (push) Failing after 5m31s
Deploy staging to test server / deploy (push) Failing after 5m31s
This commit is contained in:
linmeng
+5
-5
@@ -1617,13 +1617,13 @@
|
||||
- 状态：resolved
|
||||
- 首次发现：2026-07-29
|
||||
- 最近更新：2026-07-29
|
||||
- 影响面：后台 Refine 侧栏、`/admin/payments`、`/admin/packages` 与后台退出区域；支付 API 数据合同不受影响。
|
||||
- 用户现象：支付记录与支付配置占用两个导航项，页面仍使用主站 `standalone-page/admin-header/admin-section` 样式；套餐新增表单常驻页面，后台默认退出入口还会触发登出，管理员难以直接返回对话。
|
||||
- 影响面：后台 Refine 侧栏、`/admin/payments`、`/admin/packages`、易支付配置与对话页充值入口。
|
||||
- 用户现象：支付记录与支付配置占用两个导航项，页面仍使用主站 `standalone-page/admin-header/admin-section` 样式；套餐新增表单常驻页面，后台默认退出入口还会触发登出，管理员难以直接返回对话；对话页支付入口缺少安全默认关闭和服务端创建订单硬门禁。
|
||||
- 触发条件：进入同域 `/admin` 后管理支付记录或套餐，或点击 Refine 侧栏底部默认 Logout。
|
||||
- 根因：BUG-093 首轮只补齐了两个缺失资源，没有收敛同一支付领域的信息架构；支付与套餐页沿用 Refine 接入前的原生页面，默认 `ThemedSider` logout 也未按后台工作流定制。
|
||||
- 修复：后台只注册一个“支付管理”资源；`/admin/payments` 使用统一的 Ant Design + Refine `List/Card/Table/Form/Tag/Alert/Statistic` 页面，同时读取支付记录与套餐，保留筛选、统计、分页和订单字段。套餐新增/编辑收进可重置 Modal，保存和停用通过 message 反馈并刷新列表；旧 `/admin/packages` 服务端重定向。自定义 `ThemedSider` 保留资源 items、忽略默认 logout，并追加折叠态可访问的“返回对话”链接到 `/`。
|
||||
- 验证：`frontend/tests/admin-contracts.test.ts` 锁定单一支付资源、自定义 Sider 不调用 logout 和返回对话链接；`frontend/tests/admin-payments-contract.test.ts` 锁定统一页面组件、两类 fetch、套餐 Modal、POST/PATCH/DELETE、旧路由重定向以及 `requireAdminSession`。相关测试、Next.js build 与 `git diff --check` 结果记录在本次交付报告。
|
||||
- 防复发：同一后台领域默认收敛为单一资源和统一 Refine 页面；套餐创建只能出现在 Modal；旧深链接必须显式重定向；后台侧栏返回主站不得调用 `authProvider.logout`，主站账户菜单退出行为不随之修改。
|
||||
- 修复：后台只注册一个“支付管理”资源；`/admin/payments` 使用统一的 Ant Design + Refine `List/Card/Table/Form/Tag/Alert/Statistic` 页面，同时读取支付记录与套餐，保留筛选、统计、分页和订单字段。套餐新增/编辑收进可重置 Modal，保存和停用通过 message 反馈并刷新列表；旧 `/admin/packages` 服务端重定向。自定义 `ThemedSider` 保留资源 items、忽略默认 logout，并追加折叠态可访问的“返回对话”链接到 `/`。本轮继续在同一支付页补齐“易支付系统配置” Card：管理员可修改完整配置，商户密钥使用独立 32-byte 主密钥和 AES-256-GCM 加密保存且永不回显；数据库配置优先、旧 `EPAY_*` 环境变量仅作无数据库行时的兼容回退；保存配置与包含 `chatEnabled`、且只含 `keyConfigured/keyChanged` 密钥状态的脱敏审计在数据库 RPC 内原子完成。`chat_enabled` 默认关闭，公共套餐接口故障时 fail closed，创建订单在套餐查询、订单写入和网关请求前执行同一硬门禁；对话页仅在接口明确返回 `enabled=true` 时展示整块充值 UI。后台可对当前已保存配置执行无副作用 HEAD/GET 可达性测试，探测使用 8 秒超时、手动重定向与公网 HTTP(S) SSRF 门禁，不发送商户参数或请求体。
|
||||
- 验证：`frontend/tests/admin-contracts.test.ts` 锁定单一支付资源、自定义 Sider 不调用 logout 和返回对话链接；`frontend/tests/admin-payments-contract.test.ts` 锁定统一页面组件、两类 fetch、套餐 Modal、POST/PATCH/DELETE、旧路由重定向以及 `requireAdminSession`。`frontend/tests/epay-settings.test.ts` 锁定加密往返/篡改/错误主密钥、数据库优先级、API 不回显、异步调用点、Password 表单、单行 RLS 权限与审计脱敏合同。相关测试、Next.js build、ESLint 与 `git diff --check` 结果记录在本次交付报告。
|
||||
- 防复发：同一后台领域默认收敛为单一资源和统一 Refine 页面；易支付密钥不得进入 API 响应、表单初值、日志或审计 JSON；数据库配置变更必须通过原子审计 RPC。对话支付默认关闭，UI 与创建订单 API 必须共享服务端开关；任何服务端网关 fetch 必须先执行共享 SSRF guard，可用性测试不得提交伪订单或返回 URL、PID、密钥、headers/body。
|
||||
- 相关记录：BUG-087、BUG-092
|
||||
- 复发自：BUG-093
|
||||
- 修复版本：待提交（本地可测）
|
||||
|
||||
Reference in New Issue
Block a user