xuyue/OJ2 - OJ2 - Gitea: Git with a cup of tea

xuyue/OJ2

Fork 0

Commit Graph

Author	SHA1	Message	Date
yuetsh	0f94e7ecbd	fix(阶段4): 两份独立安全评审的 Critical/Important 全部修掉 ## 权限边界评审（后台 86 个 handler）守卫本身一个没漏，问题全在对象级归属校验： - C1 跨题单删奖章：先按 (id, problemsetId) 校验奖章归属再删，否则拿自己的题单 id + 别人的奖章 id 就能把别人的 user_badge 删掉 - C2 make-public 无归属校验：补 canEdit，越权者拿不到题面 - I1 两个分析端点被 `/problems/:id` 遮蔽 —— Hono 按注册顺序匹配，不是静态优先。挪到 `/problem-analytics/*` - I2 from-public 只校验目标比赛归属：源题也必须是公开题库题 - I3 克隆比赛回传原比赛明文密码：克隆一律 password: null - I4 upload-image 守卫比旧后端严，教师写题面会 403：收回 requireAdmin 两个互不可见的教师账号实跑复验，六条全部拦住。 ## SQL 判题沙箱评审 - I-1 查询题只读被一句 `PRAGMA query_only=0` 关掉，实测 DML 拿到 AC。 query_only 自己就是个 PRAGMA，旧实现靠 authorizer 把 SQLITE_PRAGMA 一律拒了才没这个洞。现在 runStudent 逐语句拦 PRAGMA（用 sqlite3_normalized_sql 判关键字，注释和大小写由 SQLite 抹平），并在每条语句前重放 query_only 和 max_page_count 兜底。顺带修掉 M-1 里 max_page_count 学生可自行调大的部分。 - I-2 单条语句进了 step() 就打断不了，只能等父进程 SIGKILL，而兜底时限是整个作业一口价 25s —— 1s 限的题要 26s 才判 TLE，判题池只有 2 个槽，几发死循环就能把所有人堵住。改成分阶段：子进程用 stderr 报 prepare/student/display，父进程边读边换表，一进学生 SQL 就把兜底收到「题目时限 + 2s」。实测 26s → 3.06s。归因也跟着修了：卡在受信脚本（出题人的初始化脚本、标准答案）现在报 SYSTEM_ERROR，不再当成学生超时甩 TLE。 engine.ts 头部那张防护对照表按实测重写 —— 原来那版把 query_only 写成等价于 authorizer 白名单，是不成立的。另记一笔：stock sql.js 的 wasm 没导出 progress_handler / interrupt / set_authorizer / limit，想要得自己编，别再去翻了。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-07 21:59:42 -06:00
yuetsh	e3faa689e7	feat(阶段2补课): SQL 判题链路 + 最后两个后台端点新后端此前完全没有 SQL 判题（旧 judge/sql_runner.py 378 行 + sql_dispatcher.py 113 行无对应实现），阶段 2 纵切时漏了这条与沙箱完全不同的路径。 judge/sql/engine.ts 判题核心，移植自 sql_runner.py，判定口径逐条对齐 judge/sql/child.ts 子进程入口 judge/sql/index.ts 父进程：spawn + 硬超时 judge/run.ts language === "SQL" 时分流，不经判题沙箱 POST admin/sql-test-cases/preview 题目页展示数据预览 POST admin/sql-test-cases/generate AI 按标准答案倒推初始化脚本题目保存时重新生成 sqlDisplay（对齐旧 generate_sql_display）：取测试点 1 的初始化脚本 + 标准答案跑一遍，失败一律拦下不让保存 —— 展示数据直接决定学生看到的表结构与期望结果，宁可不保存也不能存错的。 ## 防护换了实现，逐条实测 bun:sqlite 没有 authorizer / progress_handler / setlimit，且实测 Worker.terminate() 杀不掉跑飞的查询（原生代码占着线程）。改用「WASM 引擎 + 独立子进程」： ATTACH → WASM 无宿主文件系统绑定，结构上够不到（比旧的 authorizer 更强）查询题只读 → PRAGMA query_only=1 超时 → 子进程外部 SIGKILL 单值内存 → 子进程 ulimit -d 八条提交实测：正确→Accepted；列少一个/漏过滤→Wrong Answer；语法错误→Compile Error；查询题里 INSERT→运行错误并说明；递归 CTE 死循环→CPU 超时；hex(zeroblob(2e8))→内存超限； attach '/etc/passwd'→打不开。 ## 踩到的两个坑（已写进 docs/specs/phase3-coverage.md） 1. ulimit 必须用 -d 不能用 -v。-v 限虚拟地址空间而 JS 引擎预留巨量地址，实测 -v 之下 Bun 退出时有概率 panic（SIGILL），结果早已写出但进程异常终止，父进程读到空串误判成超时 —— 6 次里坏 2 次。换 -d 后 12/12 稳定。 2. 子进程写完结果直接 SIGKILL 自己，不走 process.exit()——后者仍有清理会撞限额。至此 admin/api.ts 已无任何指向旧后端的调用。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-07 17:03:41 -06:00

Author

SHA1

Message

Date

yuetsh

0f94e7ecbd

fix(阶段4): 两份独立安全评审的 Critical/Important 全部修掉

## 权限边界评审（后台 86 个 handler）

守卫本身一个没漏，问题全在对象级归属校验：

- C1 跨题单删奖章：先按 (id, problemsetId) 校验奖章归属再删，
  否则拿自己的题单 id + 别人的奖章 id 就能把别人的 user_badge 删掉
- C2 make-public 无归属校验：补 canEdit，越权者拿不到题面
- I1 两个分析端点被 `/problems/:id` 遮蔽 —— Hono 按注册顺序匹配，
  不是静态优先。挪到 `/problem-analytics/*`
- I2 from-public 只校验目标比赛归属：源题也必须是公开题库题
- I3 克隆比赛回传原比赛明文密码：克隆一律 password: null
- I4 upload-image 守卫比旧后端严，教师写题面会 403：收回 requireAdmin

两个互不可见的教师账号实跑复验，六条全部拦住。

## SQL 判题沙箱评审

- I-1 查询题只读被一句 `PRAGMA query_only=0` 关掉，实测 DML 拿到 AC。
  query_only 自己就是个 PRAGMA，旧实现靠 authorizer 把 SQLITE_PRAGMA
  一律拒了才没这个洞。现在 runStudent 逐语句拦 PRAGMA（用
  sqlite3_normalized_sql 判关键字，注释和大小写由 SQLite 抹平），
  并在每条语句前重放 query_only 和 max_page_count 兜底。
  顺带修掉 M-1 里 max_page_count 学生可自行调大的部分。

- I-2 单条语句进了 step() 就打断不了，只能等父进程 SIGKILL，
  而兜底时限是整个作业一口价 25s —— 1s 限的题要 26s 才判 TLE，
  判题池只有 2 个槽，几发死循环就能把所有人堵住。
  改成分阶段：子进程用 stderr 报 prepare/student/display，
  父进程边读边换表，一进学生 SQL 就把兜底收到「题目时限 + 2s」。
  实测 26s → 3.06s。

  归因也跟着修了：卡在受信脚本（出题人的初始化脚本、标准答案）
  现在报 SYSTEM_ERROR，不再当成学生超时甩 TLE。

engine.ts 头部那张防护对照表按实测重写 —— 原来那版把 query_only
写成等价于 authorizer 白名单，是不成立的。另记一笔：stock sql.js 的
wasm 没导出 progress_handler / interrupt / set_authorizer / limit，
想要得自己编，别再去翻了。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-07 21:59:42 -06:00

yuetsh

e3faa689e7

feat(阶段2补课): SQL 判题链路 + 最后两个后台端点

新后端此前完全没有 SQL 判题（旧 judge/sql_runner.py 378 行 + sql_dispatcher.py
113 行无对应实现），阶段 2 纵切时漏了这条与沙箱完全不同的路径。

  judge/sql/engine.ts   判题核心，移植自 sql_runner.py，判定口径逐条对齐
  judge/sql/child.ts    子进程入口
  judge/sql/index.ts    父进程：spawn + 硬超时
  judge/run.ts          language === "SQL" 时分流，不经判题沙箱
  POST admin/sql-test-cases/preview    题目页展示数据预览
  POST admin/sql-test-cases/generate   AI 按标准答案倒推初始化脚本

题目保存时重新生成 sqlDisplay（对齐旧 generate_sql_display）：取测试点 1 的初始化
脚本 + 标准答案跑一遍，失败一律拦下不让保存 —— 展示数据直接决定学生看到的表结构
与期望结果，宁可不保存也不能存错的。

## 防护换了实现，逐条实测

bun:sqlite 没有 authorizer / progress_handler / setlimit，且实测 Worker.terminate()
杀不掉跑飞的查询（原生代码占着线程）。改用「WASM 引擎 + 独立子进程」：

  ATTACH  → WASM 无宿主文件系统绑定，结构上够不到（比旧的 authorizer 更强）
  查询题只读 → PRAGMA query_only=1
  超时    → 子进程外部 SIGKILL
  单值内存 → 子进程 ulimit -d

八条提交实测：正确→Accepted；列少一个/漏过滤→Wrong Answer；语法错误→Compile Error；
查询题里 INSERT→运行错误并说明；递归 CTE 死循环→CPU 超时；hex(zeroblob(2e8))→内存超限；
attach '/etc/passwd'→打不开。

## 踩到的两个坑（已写进 docs/specs/phase3-coverage.md）

1. ulimit 必须用 -d 不能用 -v。-v 限虚拟地址空间而 JS 引擎预留巨量地址，实测 -v 之下
   Bun 退出时有概率 panic（SIGILL），结果早已写出但进程异常终止，父进程读到空串
   误判成超时 —— 6 次里坏 2 次。换 -d 后 12/12 稳定。
2. 子进程写完结果直接 SIGKILL 自己，不走 process.exit()——后者仍有清理会撞限额。

至此 admin/api.ts 已无任何指向旧后端的调用。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-07 17:03:41 -06:00

2 Commits