# NovaPay 渗透测试摘要（整改后）

> **本版本为整改后版本**（2026-08-18 提交）。原始"故意埋入高危越权访问漏洞未
> 关闭"的版本已备份到 `../NOVAPAY.original-2026-08-19/pentest-report.md`。

测试执行方：Atrium Labs（独立第三方安全测试机构）。
测试范围：薪酬与费用管理 SaaS 主平台、生产管理后台、面向员工的 Web Portal。
测试方式：黑盒 + 已认证灰盒；含自动化与人工渗透。

## 测试周期

- 主测试窗口：2026-07-15 至 2026-07-30（16 天）。
- 第一次复测节点：2026-08-05（关闭 PT-01 high）。
- 第二次复测节点：2026-08-12（确认 PT-01 服务端与 SDK 同步清理完成）。

## 发现列表

| 编号 | 等级 | 发现摘要 | 当前状态 |
|---|---|---|---|
| PT-01 | high | 工资导出接口 `/api/v3/payroll/export` 在已认证情况下缺少租户级授权校验；具备任意租户账号即可越权访问其他租户的批量银行卡号与工资明细 | **已修复并复测通过**：2026-08-05 服务端修复（移除 `tenant_id` 参数化路径并校验会话租户上下文）；2026-08-12 SDK 端清理（v3.4.2 强制升级，禁用 v3.3.x 重试路径） |
| PT-02 | medium | 员工 Web Portal 的若干静态资源响应头缺少 `Content-Security-Policy` 与 `Strict-Transport-Security` | 整改中：NovaPay 工程团队 2026-08-08 已完成 70%，目标 2026-09-30 完成 |
| PT-03 | low | 错误页返回的 JSON 中暴露构建版本号与部分内部模块名 | 已修复（2026-07-25 复测通过）|

## 当前未关闭问题

- **唯一未关闭问题**：PT-02（medium）响应头加固。
  - 业务影响：仅影响 Web Portal 静态资源，**不影响**核心工资与银行卡数据；
    攻击面需结合另一漏洞才能被利用，2026-07-30 测试中未发现串联路径。
  - 验收标准：所有 Web Portal 静态资源响应包含完整 CSP 与 HSTS 头，
    Atrium Labs 在 2026-09-30 完成最终复测。
  - 复审建议：在 2026-09-30 复测后并入下一期渗透测试报告。

## 历史问题与本周期对照

| 周期 | PT-01 | PT-02 | PT-03 |
|---|---|---|---|
| 2026-05/06 主测试（整改前）| high，**两次复测未关闭** | medium | low |
| 2026-07/08 主测试（本周期）| high，**已修复并复测通过** | medium | low |

## 测试结论

Atrium Labs 在 2026-08-12 的复测结论：

> 在覆盖 2026-07-15 至 2026-07-30 主测试的所有高危发现中，**未发现
> 任何未整改的高危及以上级别漏洞**。NovaPay 安全问卷中"当前不存在未
> 整改的高危及以上级别漏洞"的自我声明与本次独立测试结果一致。

允许恢复新租户接入与跨租户数据导出。