BUG-0274project-17高待处理security-injection

限流拦截器三连 bug：exclude 路径错、登录接口被限、JWT 密钥硬编码

发现：2026-10-01验证：2026-10-09置信度：70%

症状

限流上线后正常用户登录被 429（登录接口也算进 200/min），健康检查路径写错没排除；审计发现 JWT 签名密钥是硬编码字符串

根因

① addPathPatterns("/api/**") 只 exclude 了 /api/health/**，漏掉登录/refresh/swagger——攻击者可故意打满合法用户 IP 的配额实现登录拒绝服务；② 拦截器构造函数里 new 出的组件带了硬编码 JWT secret（限流改造顺手暴露的存量问题）

修复方案

重写 RateLimitConfig：exclude 登录/refresh/actuator/swagger（认证端点不能被限流封死——否则限流从防护变成 DoS 放大器）；JWT 密钥移入配置；响应走注入的 ObjectMapper 统一序列化

错误签名

RateLimitInterceptor excludePathPatterns 登录接口限流 JWT secret 硬编码 addPathPatterns /api/**

技术信息

来源项目

project-17

标签

project-17, mcp-reported