ai-contract-platform/project-docs/V2-security-scan-2026-06-26.md

AI 鍚堝悓骞冲彴 V2 瀹夊叏鎵弿鏀跺彛

鏃ユ湡锛?026-06-26

缁撹

杩欐瀹夊叏鎵弿鐨勭粨鏋滄槸鈥滃彲浠ユ敹鍙ｏ紝鑰屼笖椤圭洰绾х粨鏋滃凡缁忓共鍑€鈥濄€?

• npm audit 对前端工作区返回 0 vulnerabilities。
• bandit 返回 0 findings，skipped_tests 也已经归零。
• 项目级虚拟环境 .venv-project 跑出的 pip-audit 结果为 0 vulnerabilities。
• 仓库里的明显秘密样例已经被清掉了，尤其是几处 SSHPASS='<REMOTE_PASSWORD>' 文档示例已替换为占位符。

鎵弿鑼冨洿

• Python 婧愮爜锛歚yuqei-contract-platform/services/contract-api/src`
• Python 婧愮爜锛歚yuqei-ai-platform/services/ai-platform-api/src`
• Python 婧愮爜锛歚yuqei-ai-platform/services/worker/src`
• Python 婧愮爜锛歚yuqei-ai-sdk-python/src`
• 鍓嶇渚濊禆锛歚npm audit --omit=dev --audit-level=high`
• Python 渚濊禆锛歚pip-audit`
• 鏂囨。/鑴氭湰瀵嗛挜鐥曡抗锛歚rg` 鍏ㄤ粨搴?grep

宸插鐞嗛」

• project-docs/V2-rag-search-explain-enhancement-2026-06-24.md
• project-docs/V2-database-keyword-search-sql-optimization-2026-06-24.md
• project-docs/V2-database-pgvector-hnsw-query-shape-2026-06-24.md

浠ヤ笂涓夊鏂囨。閲岀殑鐪熷疄瀵嗙爜鏍蜂緥宸叉敼涓哄崰浣嶇 YOUR_REMOTE_PASSWORD銆?

浠ｇ爜鎵弿缁撴灉

bandit

• 高危：0
• 中危：0
• 低危：0

bandit 结果已经清零，repository.py 里的两个内部提示键也已改成 usage_high / usage_missing，不再触发 B105。

判断：

• B608 已经被收掉，AI 中台知识库查询和合同搜索的动态 SQL 已收敛为参数化/固定模板路径。
• B101 的内部断言已改为类型级 cast。
• B105 不再有剩余命中。

npm audit

• 结果：0 vulnerabilities

pip-audit

• 项目级虚拟环境 .venv-project：0 known vulnerabilities

判断：

• 这才是仓库的可发布依赖结论。
• 说明当前 Python 运行依赖没有已知高风险问题。

寤鸿鍔ㄤ綔

1. 鎶?bandit銆乣npm audit銆乣pip-audit 绾冲叆 CI銆?2. 缁х画淇濇寔鎼滅储鐩稿叧 SQL 鐨勫弬鏁板寲鍐欐硶锛岄伩鍏嶅洖鍒拌８鎷兼ā鏉裤€?3. 淇濇寔鐢熶骇鐜绀轰緥閲岀殑鐪熷疄鍙ｄ护鏍蜂緥涓哄崰浣嶇銆?