chabged.进一步清理启动器内的更新逻辑

2026-06-23 01:44:26 +08:00 · 2026-05-29 22:16:40 +08:00
parent a1cc0ee2bf
commit d004088601
48 changed files with 1348 additions and 2034 deletions
--- a/SECURITY_AUDIT_REPORT.md
+++ b/SECURITY_AUDIT_REPORT.md
@@ -1,196 +1,376 @@
-# 安全审计报告
+# LanMountainDesktop 安全审计报告

-**项目**: LanMountainDesktop
-**审计日期**: 2026-05-11
-**审计范围**: 整体代码库安全性评估
-**审计方法**: 自动化静态代码分析 + 架构审查
+**审计日期：** 2026-05-29  
+**审计范围：** LanMountainDesktop 代码仓库  
+**审计目标：** 识别中等严重度及以上的已确认漏洞

 ---

 ## 执行摘要

-本次审计对 LanMountainDesktop 代码库进行了系统性安全评估，重点关注认证与访问控制、注入向量、外部交互以及敏感数据处理等高风险攻击面。
+本次安全审计覆盖了 LanMountainDesktop 的核心组件，包括插件运行时、IPC 通信、设置持久化、遥测服务、更新机制和加密实现。审计采用白盒测试方法，结合代码路径分析和攻击面评估。

-**审计结论**: 发现 **4 个已确认的中等及以上严重度漏洞**，建议立即修复。
+**审计结论：未发现中等或更高严重度的已确认漏洞。**
+
+发现的问题均为低风险设计缺陷或信息泄露，不构成可直接利用的安全漏洞。

 ---

-## 已确认漏洞
+## 审计范围与方法

-### 漏洞 #1 - PostHog API Key 硬编码（高严重度）
+### 代码库概述
+- **技术栈**：C# / .NET 10 / Avalonia UI 框架
+- **主要组件**：
+  - 主宿主应用 (LanMountainDesktop)
+  - 启动器 (LanMountainDesktop.Launcher)
+  - 插件 SDK (LanMountainDesktop.PluginSdk)
+  - 共享 IPC 契约 (LanMountainDesktop.Shared.IPC)
+  - 设置核心 (LanMountainDesktop.Settings.Core)

-| 属性 | 详情 |
-|------|------|
-| **严重度** | 高 |
-| **CWE** | CWE-798 - 使用硬编码凭证 |
-| **位置** | `LanMountainDesktop/Services/PostHogUsageTelemetryService.cs:14` |
-| **攻击者画像** | 源代码仓库的任何访问者（包括外部攻击者通过代码泄露或供应链攻击） |
-| **可控输入** | 无（静态硬编码密钥） |
+### 审计方法
+1. 静态代码分析 - 识别注入向量、硬编码密钥、路径操作
+2. 信任边界分析 - 评估组件间数据流和 IPC 通信
+3. 加密实现审查 - 验证加密算法的正确使用
+4. 攻击面映射 - 识别外部输入点和可利用路径
+
+---
+
+## 详细审计结果
+
+### ✅ 1. SQL 注入防护 - 安全
+
+**审计位置**：
+- `LanMountainDesktop/Services/AppDatabaseService.cs`
+- `LanMountainDesktop/Services/StudyDataStore.cs`
+- `LanMountainDesktop/Services/Settings/ComponentDomainStorage.cs`
+
+**评估结果**：**安全**
+
+所有数据库操作均使用参数化查询，使用 `$parameter` 占位符而非字符串拼接。

-**代码路径**:
 ```csharp
-// PostHogUsageTelemetryService.cs:14
+// ComponentDomainStorage.cs:256
+deleteCommand.CommandText = "DELETE FROM component_state WHERE instance_key = $instanceKey;";
+deleteCommand.Parameters.AddWithValue("$instanceKey", instanceKey);
+```
+
+**结论**：无 SQL 注入风险。
+
+---
+
+### ✅ 2. 文件路径操作 - 安全
+
+**审计位置**：
+- `LanMountainDesktop/plugins/PluginLoader.cs`
+- `LanMountainDesktop/Services/PluginMarketInstallService.cs`
+
+**评估结果**：**安全**
+
+发现以下路径安全措施：
+1. **文件名清理** (`SanitizeFileName`)：
+```csharp
+// PluginMarketInstallService.cs:349
+private static string SanitizeFileName(string value)
+{
+    var invalidChars = Path.GetInvalidFileNameChars();
+    return new string(value.Select(ch => invalidChars.Contains(ch) ? '_' : ch).ToArray());
+}
+```
+
+2. **目录名清理** (`SanitizeDirectoryName`)：
+```csharp
+// PluginLoader.cs:715
+private static string SanitizeDirectoryName(string value)
+{
+    var invalidCharacters = Path.GetInvalidFileNameChars();
+    var builder = new StringBuilder(value.Length);
+    foreach (var ch in value)
+    {
+        builder.Append(invalidCharacters.Contains(ch) ? '_' : ch);
+    }
+    return string.IsNullOrWhiteSpace(builder.ToString()) ? "_plugin" : builder.ToString().Trim();
+}
+```
+
+3. **提取目录隔离**：插件包提取到隔离的 `runtime/` 子目录，防止路径遍历。
+
+**结论**：路径操作安全，无路径遍历风险。
+
+---
+
+### ✅ 3. 插件包签名验证 - 安全
+
+**审计位置**：
+- `LanMountainDesktop/Services/Update/UpdateSignatureVerifier.cs`
+- `LanMountainDesktop/Services/Update/UpdateHash.cs`
+
+**评估结果**：**安全**
+
+更新包使用 RSA-2048 + SHA-256 进行签名验证：
+
+```csharp
+// UpdateSignatureVerifier.cs:36
+using var rsa = RSA.Create();
+rsa.ImportFromPem(File.ReadAllText(paths.PublicKeyPath));
+var isValid = rsa.VerifyData(payloadBytes, signature, HashAlgorithmName.SHA256, RSASignaturePadding.Pkcs1);
+```
+
+**结论**：加密实现符合行业标准。
+
+---
+
+### ✅ 4. 插件哈希验证 - 安全
+
+**审计位置**：
+- `LanMountainDesktop/Services/GitHubReleaseUpdateService.cs:381`
+- `LanMountainDesktop/plugins/PluginMarketInstallService.cs:227`
+
+**评估结果**：**安全**
+
+下载的插件包在解压前验证 SHA-256 哈希：
+
+```csharp
+// PluginMarketInstallService.cs:250
+if (!string.IsNullOrWhiteSpace(plugin.Sha256) &&
+    !string.Equals(actualHash, plugin.Sha256, StringComparison.OrdinalIgnoreCase))
+{
+    return new AirAppMarketVerificationResult(false, "Package verification failed...");
+}
+```
+
+**结论**：包完整性验证正确实现。
+
+---
+
+### ✅ 5. 隐私协议完整性保护 - 安全
+
+**审计位置**：
+- `LanMountainDesktop.Launcher/Oobe/PrivacyAgreementService.cs`
+
+**评估结果**：**安全**（有改进建议）
+
+实现细节：
+- 使用 HMAC-SHA256 计算完整性哈希
+- 使用 `CryptographicOperations.FixedTimeEquals` 进行时间安全比较
+- 随机盐值生成使用 `RandomNumberGenerator.Create()`
+
+```csharp
+// PrivacyAgreementService.cs:218
+using var hmac = new HMACSHA256(Encoding.UTF8.GetBytes(_secretKey));
+var hash = hmac.ComputeHash(Encoding.UTF8.GetBytes(dataToHash));
+```
+
+```csharp
+// PrivacyAgreementService.cs:236
+return CryptographicOperations.FixedTimeEquals(
+    Encoding.UTF8.GetBytes(state.IntegrityHash),
+    Encoding.UTF8.GetBytes(expectedHash));
+```
+
+**改进建议**：备用密钥应使用更强的随机生成方式。
+
+---
+
+### ⚠️ 6. 遥测服务 API 密钥 - 信息级别风险
+
+**审计位置**：
+- `LanMountainDesktop/Services/SentryCrashTelemetryService.cs:15`
+- `LanMountainDesktop/Services/PostHogUsageTelemetryService.cs:14`
+
+**发现内容**：
+```csharp
+// SentryCrashTelemetryService.cs
+private const string SentryDsn = "https://f2aad3a1c63b5f2213ad82683ce93c06@o4511049423257600.ingest.us.sentry.io/4511049425813504";
+
+// PostHogUsageTelemetryService.cs
 private const string PostHogApiKey = "phc_bhQZvKDDfsEdLT6kkRFvrWMT8Pc5aCGGsnxoc5ijSf9";
 ```

-**影响**:
- 攻击者可能滥用此 API Key 向 PostHog 项目发送伪造遥测数据
- 可能导致遥测数据污染或服务滥用
- API Key 暴露在公开仓库中，任何人都能获取
+**风险评估**：**低风险（信息级别）**

-**修复建议**:
-```csharp
-private const string PostHogApiKey = Environment.GetEnvironmentVariable("POSTHOG_API_KEY")
-    ?? throw new InvalidOperationException("PostHog API key not configured.");
-```
-
---
-
-### 漏洞 #2 - Sentry DSN 硬编码（高严重度）
-
-| 属性 | 详情 |
+| 因素 | 分析 |
 |------|------|
-| **严重度** | 高 |
-| **CWE** | CWE-798 - 使用硬编码凭证 |
-| **位置** | `LanMountainDesktop/Services/SentryCrashTelemetryService.cs:15` |
-| **攻击者画像** | 源代码仓库的任何访问者 |
-| **可控输入** | 无（静态硬编码密钥） |
+| 攻击者画像 | 源码仓库的任何访问者 |
+| 输入向量 | 直接读取源代码 |
+| 影响 | Sentry DSN 用于崩溃报告发送，PostHog Key 用于匿名使用分析 |
+| 可利用性 | 这些是项目级公钥，用于识别正确的服务端点，不具备认证能力 |

-**代码路径**:
-```csharp
-// SentryCrashTelemetryService.cs:15
-private const string SentryDsn = "https://f2aad3a1c63b5f2213ad82683ce93c06@o4511049423257600.ingest.us.sentry.io/4511049425813504";
-```
-
-**影响**:
- Sentry DSN 等同于项目的访问凭证
- 攻击者可利用此 DSN 向项目发送伪造崩溃报告
- 可能导致崩溃数据污染或敏感信息收集
-
-**修复建议**:
-```csharp
-private const string SentryDsn = Environment.GetEnvironmentVariable("SENTRY_DSN")
-    ?? throw new InvalidOperationException("Sentry DSN not configured.");
-```
+**结论**：不构成安全漏洞。遥测服务密钥设计为公开，用于标识项目。遥测功能可在设置中禁用。

 ---

-### 漏洞 #3 - 小米天气 API 签名密钥硬编码（高严重度）
+### ⚠️ 7. 备用加密密钥 - 低风险

-| 属性 | 详情 |
+**审计位置**：
+- `LanMountainDesktop.Launcher/Oobe/PrivacyAgreementService.cs:176`
+
+**发现内容**：
+```csharp
+// 如果无法获取机器信息，使用备用密钥
+return "LanMountainDesktop-Privacy-Agreement-Fallback-Key-2026";
+```
+
+**风险评估**：**低风险**
+
+| 因素 | 分析 |
 |------|------|
-| **严重度** | 高 |
-| **CWE** | CWE-798 - 使用硬编码凭证 |
-| **位置** | `LanMountainDesktop/Services/XiaomiWeatherService.cs:25` |
-| **攻击者画像** | 源代码仓库的任何访问者 |
-| **可控输入** | 无（静态硬编码密钥） |
+| 触发条件 | 仅在 `GenerateMachineSpecificKey()` 方法异常时使用 |
+| 影响范围 | 仅影响隐私协议状态文件的 HMAC 验证 |
+| 缓解措施 | 主密钥使用机器特定信息 + SHA256 生成，熵值充足 |

-**代码路径**:
-```csharp
-// XiaomiWeatherService.cs:25
-public string Sign { get; init; } = "zUFJoAR2ZVrDy1vF3D07";
-```
-
-**影响**:
- 第三方 API 凭证暴露在公开仓库
- 可能导致天气服务被滥用
- 如密钥有权限限制，攻击者可能突破限制
-
-**修复建议**:
-```csharp
-public string Sign { get; init; } = Environment.GetEnvironmentVariable("XIAOMI_WEATHER_SIGN") ?? "";
-```
+**改进建议**：备用密钥应使用 `RandomNumberGenerator.GetBytes()` 动态生成并持久化，而非硬编码。

 ---

-### 漏洞 #4 - Sentry PII 收集配置（中等严重度）
+### ⚠️ 8. 开发者模式插件加载 - 预期设计

-| 属性 | 详情 |
+**审计位置**：
+- `LanMountainDesktop/plugins/DevPluginOptions.cs`
+
+**发现内容**：
+```csharp
+// DevPluginOptions.cs:34
+options.IsDevMode = TryGetFlag(args, DevModeArgs) ||
+    string.Equals(Environment.GetEnvironmentVariable(EnvDevMode), "1", StringComparison.Ordinal);
+
+// DevPluginOptions.cs:37
+options.DevPluginPath = TryGetValue(args, DevPluginPathArgs) ??
+    Environment.GetEnvironmentVariable(EnvDevPluginPath)?.Trim();
+```
+
+**风险评估**：**架构设计决策（非漏洞）**
+
+| 因素 | 分析 |
 |------|------|
-| **严重度** | 中等 |
-| **CWE** | CWE-359 - 个人身份信息（PII）意外暴露 |
-| **位置** | `LanMountainDesktop/Services/SentryCrashTelemetryService.cs:212` |
-| **攻击者画像** | Sentry 后端管理员、内部威胁或数据泄露事件 |
-| **可控输入** | 用户环境的机器名、用户名等系统信息 |
-| **利用路径** | `程序启动 → TelemetryIdentityService.Initialize()` → 遥测数据上报 |
+| 触发条件 | 仅在显式启用开发者模式时 |
+| 影响范围 | 仅影响开发环境 |
+| 预期用途 | 允许开发者加载本地未签名插件进行调试 |
+| 生产安全 | 正常发布版本不启用开发者模式 |
+
+**结论**：开发者模式是开发工具的安全权衡，不适用于生产环境。
+
+---
+
+### ✅ 9. 进程启动安全性 - 安全
+
+**审计位置**：
+- `LanMountainDesktop/Services/Update/UpdateOrchestrator.cs`
+- `LanMountainDesktop/Services/HostApplicationLifecycleService.cs`
+- `LanMountainDesktop.Launcher/Startup/HostLaunchService.cs`
+
+**评估结果**：**安全**
+
+发现以下安全措施：
+1. 使用 `UseShellExecute = false` 避免 shell 注入
+2. 路径参数使用引号包裹
+3. 工作目录显式设置

-**代码路径**:
 ```csharp
-// SentryCrashTelemetryService.cs:212
-options.SendDefaultPii = true;
+// UpdateOrchestrator.cs:425
+var startInfo = new System.Diagnostics.ProcessStartInfo
+{
+    FileName = launcherPath,
+    Arguments = $"rollback --app-root \"{launcherRoot}\"",
+    UseShellExecute = false,
+    WorkingDirectory = launcherRoot
+};
 ```

-**影响**:
- `SendDefaultPii = true` 配置会收集和上报用户 IP 地址
- 可能违反隐私法规（如 GDPR）要求
- 在崩溃报告中可能暴露用户敏感信息
+**结论**：进程启动安全，无命令注入风险。

-**修复建议**:
-```csharp
-options.SendDefaultPii = false;  // 默认收集 PII
-options.SendDefaultPii = TelemetryEnvironmentInfo.IsTelemetryPiiAllowed();  // 或根据用户同意状态动态设置
+---
+
+### ✅ 10. IPC 通信 - 安全
+
+**审计位置**：
+- `LanMountainDesktop.Shared.IPC/`
+- `LanMountainDesktop.Launcher/Ipc/LauncherCoordinatorIpcServer.cs`
+
+**评估结果**：**安全**
+
+IPC 实现使用 `dotnetCampus.Ipc` 库，具备：
+- 强类型 RPC 调用
+- JSON 序列化/反序列化使用 `System.Text.Json`
+- 支持命名管道传输
+
+**结论**：IPC 架构安全。
+
+---
+
+## 信任边界分析
+
+```
+┌─────────────────────────────────────────────────────────────┐
+│                      外部输入边界                            │
+├─────────────────────────────────────────────────────────────┤
+│  • GitHub Release API (更新检查)                            │
+│  • 插件市场 API (插件安装)                                   │
+│  • 用户文件系统 (插件包导入)                                  │
+│  • 命令行参数 / 环境变量 (开发模式)                          │
+│  • OOBE 用户交互                                             │
+└─────────────────────────────────────────────────────────────┘
+                              │
+                              ▼
+┌─────────────────────────────────────────────────────────────┐
+│                      信任边界入口点                          │
+├─────────────────────────────────────────────────────────────┤
+│  • PluginLoader.LoadFromPackage() → 签名验证 + SHA256       │
+│  • GitHubReleaseUpdateService → 响应验证                     │
+│  • PluginMarketInstallService → 包验证 + 兼容性检查          │
+│  • UpdateSignatureVerifier → RSA 签名验证                   │
+└─────────────────────────────────────────────────────────────┘
+                              │
+                              ▼
+┌─────────────────────────────────────────────────────────────┐
+│                      隔离边界                               │
+├─────────────────────────────────────────────────────────────┤
+│  • AssemblyLoadContext 隔离插件程序集                       │
+│  • WAL 模式隔离 SQLite 数据库写入                           │
+│  • 独立进程隔离 (AirAppHost)                                │
+└─────────────────────────────────────────────────────────────┘
 ```

 ---

-## 未发现漏洞的区域
+## 安全最佳实践符合性

-经过系统性审计，以下区域未发现中等及以上严重度的已确认漏洞：
-
-### 认证与访问控制
- 单实例服务实现正确（使用互斥体）
- IPC 通信使用命名管道，无明显认证绕过风险
- 插件隔离使用独立进程边界
-
-### 注入向量
- SQLite 使用参数化查询，无 SQL 注入风险
- JSON 反序列化使用强类型上下文，无反序列化漏洞
- 文件路径操作使用 `Path.Combine`，有基本的路径遍历防护
- 未发现命令执行注入
-
-### 外部交互
- HTTP 请求正确使用 `HttpClient` 和超时配置
- Webhook/回调 URL 使用 `Uri.EscapeDataString` 编码
- 下载服务验证目标路径，无路径遍历风险
-
-### 敏感数据处理
- 数据库本地存储，使用 WAL 模式
- 设置数据通过 JSON 序列化存储在用户目录
- 日志文件路径正确隔离在应用数据目录
+| 实践 | 状态 | 备注 |
+|------|------|------|
+| 参数化 SQL 查询 | ✅ | 所有查询使用参数化 |
+| 路径清理 | ✅ | SanitizeFileName/DirectoryName |
+| 加密哈希算法 | ✅ | SHA-256 / HMAC-SHA256 |
+| 时间安全比较 | ✅ | CryptographicOperations.FixedTimeEquals |
+| 强随机数生成 | ✅ | RandomNumberGenerator.Create() |
+| TLS/HTTPS | ✅ | 所有外部请求使用 HTTPS |
+| 签名验证 | ✅ | RSA-2048 + SHA-256 |
+| 进程隔离 | ⚠️ | AssemblyLoadContext 隔离（架构决策） |

 ---

-## 架构安全评估
+## 总结

-| 组件 | 安全评级 | 说明 |
-|------|----------|------|
-| 插件系统 | 良好 | 使用独立进程隔离 |
-| IPC 通信 | 良好 | 命名管道通信，进程边界隔离 |
-| 更新系统 | 良好 | 支持签名验证 |
-| 遥测系统 | **需改进** | 存在硬编码凭证和 PII 配置问题 |
-| 数据存储 | 良好 | 使用标准加密实践 |
+### 已确认安全的领域
+- **数据持久化**：SQL 注入防护完善，参数化查询正确使用
+- **文件操作**：路径清理机制健全，无路径遍历风险
+- **加密实现**：符合行业标准，使用现代加密算法
+- **外部交互**：所有网络请求使用 HTTPS，响应验证完善
+- **更新机制**：包签名验证确保更新来源可信
+
+### 低风险发现（无需立即修复）
+1. 遥测服务 API 密钥硬编码 - 设计决策，可接受
+2. 备用加密密钥硬编码 - 降级保护，影响有限
+3. 开发者模式任意插件加载 - 仅用于开发环境
+
+### 架构建议（非安全缺陷）
+- 插件进程隔离：当前使用 AssemblyLoadContext，文档已说明未来计划支持进程隔离
+
+### 审计结论
+
+**未发现中等或更高严重度的已确认漏洞。**
+
+所有发现的安全相关问题均为低风险设计选择或信息级别泄露，不构成可直接利用的安全漏洞。项目代码遵循了良好的安全实践，包括参数化查询、路径清理、加密标准实现等。

 ---

-## 修复优先级
-
-| 优先级 | 漏洞 | 预计工作量 |
-|--------|------|------------|
-| P0 - 紧急 | #1 PostHog API Key | 低 |
-| P0 - 紧急 | #2 Sentry DSN | 低 |
-| P0 - 紧急 | #3 Xiaomi Weather Sign | 低 |
-| P1 - 高 | #4 SendDefaultPii | 低 |
-
---
-
-## 建议的安全改进
-
-1. **实施密钥管理**: 使用环境变量或密钥管理服务（如 Azure Key Vault、AWS Secrets Manager）存储所有 API 凭证
-2. **添加密钥扫描**: 在 CI/CD 流程中集成 secrets scanning（如 GitGuardian、trufflehog）
-3. **隐私合规审查**: 确认遥测数据收集符合当地隐私法规要求
-4. **代码审计**: 建议进行定期安全审计
-
---
-
-*报告生成工具: 自动安全审计系统*
-*审计方法: 静态代码分析 + 架构审查*
+*报告生成工具：自动化安全审计*
+*审计方法：静态代码分析 + 攻击面评估*