关于SysUserController.java文件中authRole方法缺少checkUserDataScope权限检查导致的潜在权限漏洞

**问题描述：** 
在SysUserController.java文件中authRole方法中，调用了userService.selectUserById(userID)。
```
    /**
     * 进入授权角色页
     */
    @GetMapping("/authRole/{userId}")
    public String authRole(@PathVariable("userId") Long userId, ModelMap mmap)
    {
        SysUser user = userService.selectUserById(userId);
        // 获取用户所属的角色列表
        List<SysRole> roles = roleService.selectRolesByUserId(userId);
        mmap.put("user", user);
        mmap.put("roles", SysUser.isAdmin(userId) ? roles : roles.stream().filter(r -> !r.isAdmin()).collect(Collectors.toList()));
        return prefix + "/authRole";
    }
```
这里是否缺少了相应的权限检查，攻击者只需知道用户 ID，就能绕过权限控制访问用户详细信息，甚至可能包括管理员账户。
而另外的一些对SysUser资源的读操作：
比如说SysUserController.java文件中view方法在前面加上了userService.checkUserDataScope(userId);的权限检查。
```
@RequiresPermissions("system:user:list")
@GetMapping("/view/{userId}")
public String view(@PathVariable("userId") Long userId, ModelMap mmap)
{
    userService.checkUserDataScope(userId);
    mmap.put("user", userService.selectUserById(userId));
    mmap.put("roleGroup", userService.selectUserRoleGroup(userId));
    mmap.put("postGroup", userService.selectUserPostGroup(userId));
    return prefix + "/view";
}
```
比如说SysUserController.java文件中list方法的userService.selectUserList(user)在实现时增加了@DataScope(deptAlias = "d", userAlias = "u")作为权限检查。
```
@RequiresPermissions("system:user:list")
@PostMapping("/list")
@ResponseBody
public TableDataInfo list(SysUser user)
{
    startPage();
    List<SysUser> list = userService.selectUserList(user);
    return getDataTable(list);
}

@Override
@DataScope(deptAlias = "d", userAlias = "u")
public List<SysUser> selectUserList(SysUser user)
{
    return userMapper.selectUserList(user);
}
```
 **修复建议：** 
在SysUserController.java文件中authRole方法对SysUser进行相应的读操作时是否应该需要加上相应的权限检查。

GVP 若依/RuoYi

内容风险标识

评论 (2)

GVP若依/RuoYi

内容风险标识