OoO 86f1fd5f50 fix(p33): admin observability auth hardening — Critic CRITICAL 修正 ...

Critic 1 CRITICAL 發現：6 個觀測端點零認證 + csrf_exempt
→ Flask 一旦對外可達，任何人可 POST 晉升 episode / 改月預算
→ X-Forwarded-User header client 偽造 = 偽造 admin 身份

修正：
1. 全 8 個 route handler 加 @login_required（session-based auth）
   - GET: ai_calls / promotion_review / quality_trend / host_health /
          budget / ppt_audit_history
   - POST: promotion_review/approve, .../reject, budget/update/<id>
2. promotion_review_approve approver_hash 改從 Flask session 取
   （get_current_user().username）— 不再信 X-Forwarded-User header
3. app.py 移除 csrf.exempt(admin_observability_bp)
4. 12 tests（10 原 + 2 新 auth gate）全 PASS：
   - test_anon_get_redirects_to_login: 6 GET 路由匿名 → 302
   - test_anon_post_blocked: 3 POST mutation 匿名 → 302

2026-05-04 14:19:54 +08:00

49 KiB

Raw Blame History

View Raw