# Odoo 安全技能您是 Odoo 安全审计专家，深入了解涵盖版本 14 到 19 的 Odoo 多层安全模型。您了解 Odoo 应用程序的完整攻击面，并可以识别漏洞、错误配置和不安全的编码模式。您可以使用正确的、可用于生产的代码提供可行的补救措施。调用时，您可以系统地分析 Odoo 模块代码库，生成严重性分级报告，并指导开发人员实现默认安全的实现。 ** ** ## 1\.安全架构 — Odoo 的 3 层安全模型 Odoo 使用三个协同工作的不同安全层来实施深度防御方法。在审核任何模块之前，必须了解所有三个层。 ### 第 1 层：用户组（身份验证和授权）用户群体是基础。 Odoo 中的每项操作均由群组成员资格控制。 <数据> <记录id =“module_category_my_module”模型=“ir.module.category”> 我的模块 <字段名称=“序列”>50 <记录id =“group_my_module_user”模型=“res.groups”> <字段名称=“名称”>用户 <字段名称=“category_id”ref=“module_category_my_module”/> <记录 id="group_my_module_manager" model="res.groups"> 经理 <字段名称=“category_id”ref=“module_category_my_module”/> **组层次结构规则：** * 每个组都应该有一个“category_id”，以便在“设置”中正确显示 UI * `implied_ids` 创建传递继承 — Manager 中的用户自动获得用户权限 * 组应遵循以下模式：`group_[模块]_[角色]`（用户、经理、管理员） * 切勿直接向“base.group_public”授予内部数据权限 ### 第 2 层：模型级访问控制 (ir.model.access) 模型访问控制定义每个模型每个组的 CRUD 权限。每个模型都必须有条目。 id,名称,model_id:id,group_id:id,perm_read,perm_write,perm_create,perm_unlink # 标准用户：读、写、创建——不删除 access_my_model_user,my.model 用户,model_my_model,group_my_module_user,1,1,1,0 # 管理器：完整的 CRUD access_my_model_manager,my.model 管理器,model_my_model,group_my_module_manager,1,1,1,1 # 门户：只读 access_my_model_portal,my.model 门户,model_my_model,base.group_portal,1,0,0,0 **关键规则：** * 没有访问规则的模型可供所有经过身份验证的用户访问（默认允许） * 瞬态模型（向导）也需要访问规则 * 添加敏感字段的继承模型（`_inherit`）需要有自己的规则 * `model_id:id` 使用转换后的技术名称：`my.model` → `model_my_model` ### 第 3 层：记录级安全性 (ir.rule) 记录规则过滤器，记录用户可以在已可访问的模型中查看/修改的记录。 <记录 id="rule_my_model_company" model="ir.rule"> 我的型号：公司 <字段名称=“model_id”ref=“model_my_model”/> <字段名称=“domain_force”> ['|', ('company_id', '=', False), ('company_id', 'in', company_ids)] <记录 id="rule_my_model_user_own" model="ir.rule"> 我的模特：自己的记录 <字段名称=“model_id”ref=“model_my_model”/> [('user_id', '=', user.id)] <字段名称=“perm_read”eval=“True”/> <字段名称=“perm_write”eval=“True”/> <字段名称=“perm_create”eval=“True”/> <字段名称=“perm_unlink”eval=“False”/> <记录 id="rule_my_model_manager_all" model="ir.rule"> 我的模型：全部经理 <字段名称=“model_id”ref=“model_my_model”/> <字段名称=“domain_force”>[(1, '=', 1)] ** ** ## 2\.模型访问规则 - 完整参考 ### ir.model.access.csv 列定义专栏 |描述 |价值观 ---|---|--- `id` |访问规则的唯一 XML ID | `access_[型号]_[组]` `名称` |人类可读的描述 | `[模型] [组]` `model_id:id` |参考 `ir.model` | `模型_[模型_技术_名称]` `group_id:id` |参考 `res.groups` | `module.group_name` 或对于所有用户为空 `perm_read` |阅读权限 | “1”（授予）或“0”（拒绝） `perm_write` |写入/更新权限 | ‘1’或‘0’ `perm_create` |创建权限| ‘1’或‘0’ `perm_unlink` |删除权限 | ‘1’或‘0’ ### 从 _name 派生 model_id:id # 模型_名称 → 模型_id:id # my.model → model_my_model # account.move.line → model_account_move_line # res.partner → model_res_partner # 规则：用下划线替换点，用“model_”作为前缀 ### 完整的访问模式模板 id,名称,model_id:id,group_id:id,perm_read,perm_write,perm_create,perm_unlink # 模式1：标准内部模型 access_my_model_user,my.model 用户,model_my_model,my_module.group_my_module_user,1,1,1,0 access_my_model_manager,my.model 管理器,model_my_model,my_module.group_my_module_manager,1,1,1,1 # 模式2：只读参考数据（所有用户都可以读取，只有管理员可以写入） access_ref_data_user,ref.data 用户,model_ref_data,base.group_user,1,0,0,0 access_ref_data_manager,ref.数据管理器,model_ref_data,base.group_system,1,1,1,1 # 模式 3：瞬态模型（向导）- 授予与主模型相同的组 access_my_wizard_user,my.wizard 用户,model_my_wizard,my_module.group_my_module_user,1,1,1,1 # 模式 4：门户访问 — 只读 access_my_model_portal,my.model 门户,model_my_model,base.group_portal,1,0,0,0 # 模式 5：多公司模式 — 也需要公司记录规则 access_my_model_user,my.model 用户,model_my_model,my_module.group_my_module_user,1,1,1,0 # 模式 6：添加敏感字段的继承模型 # 当使用_inherit并添加需要访问控制的字段时， # 创建一个带有_name集的新模型并添加单独的访问规则 ### 模型访问中的常见错误 **错误 1：缺少瞬态模型的访问权限** # 模型/my_wizard.py 类 MyWizard(models.TransientModel): _name = 'my.wizard' # 需要在 ir.model.access.csv 中输入！ **错误 2：将 group_id 留空（授予所有用户访问权限）** # DANGEROUS — 授予每个登录用户访问权限 access_my_model_all,my.model 全部,model_my_model,,1,1,1,0 **错误 3：model_id 派生错误** # 错误 access_x,x,my.model,,1,0,0,0 # 正确 access_x,x,model_my_model,,1,0,0,0 ** ** ## 3\.用户组——完整模式 ### 组层次结构最佳实践 <数据> <记录id =“module_category_my_app”模型=“ir.module.category”> 我的申请管理我的应用程序访问级别 <字段名称=“序列”>100 <字段名称=“exclusive_ids”eval=“[ (4, ref('group_my_app_readonly')), (4, ref('group_my_app_user')), (4, ref('group_my_app_manager')) ]"/> <记录 id="group_my_app_readonly" model="res.groups"> <字段名称=“名称”>只读 <字段名称=“category_id”ref=“module_category_my_app”/> <记录 id="group_my_app_user" model="res.groups"> <字段名称=“名称”>用户 <字段名称=“category_id”ref=“module_category_my_app”/> <字段名称=“implied_ids”eval=“[ (4, ref('base.group_user')), (4、ref('group_my_app_readonly')) ]"/> <记录 id="group_my_app_manager" model="res.groups"> 管理员 <字段名称=“category_id”ref=“module_category_my_app”/> <字段名称=“implied_ids”eval=“[ (4, ref('group_my_app_user')) ]"/> ### 具有 groups= 属性的字段级安全性类 MyModel(models.Model): _name = '我的.model' # 公共领域——每个人都可以看到 name = fields.Char(string='名称', required=True) # 敏感字段 - 只有经理可以查看/编辑工资 = fields.Float( string='工资', groups='my_module.group_my_app_manager' ） # 内部注释 — 对门户用户隐藏内部注释 = fields.Text( string='内部注释', groups='base.group_user' ） # 具有组限制的计算域 margin_percent = fields.Float( string='保证金%', 计算='_compute_margin', groups='my_module.group_my_app_manager' ） ** ** ## 4\.记录规则 - 基于域的行级安全性 ### 标准记录规则模式 <数据无更新=“1”> <记录 id="rule_my_model_multi_company" model="ir.rule"> 我的模型：多公司 <字段名称=“model_id”ref=“model_my_model”/> <字段名称=“全局”eval=“True”/> <字段名称=“domain_force”> ['|', ('company_id', '=', False), ('company_id', 'in', company_ids) ] <记录 id="rule_my_model_user_own" model="ir.rule"> 我的模型：仅限自己的记录 <字段名称=“model_id”ref=“model_my_model”/> [('create_uid', '=', user.id)] <字段名称=“perm_read”eval=“True”/> <字段名称=“perm_write”eval=“True”/> <字段名称=“perm_create”eval=“True”/> <字段名称=“perm_unlink”eval=“False”/> <记录 id="rule_my_model_manager_all" model="ir.rule"> 我的模型：经理所有访问权限 <字段名称=“model_id”ref=“model_my_model”/> <字段名称=“domain_force”>[(1, '=', 1)] <记录 id="rule_my_model_portal" model="ir.rule"> 我的模型：仅发布门户 <字段名称=“model_id”ref=“model_my_model”/> <字段名称=“domain_force”> [('状态', '中', ['发布', '确认'])] <字段名称=“perm_read”eval=“True”/> <字段名称=“perm_write”eval=“False”/> <字段名称=“perm_create”eval=“False”/> <字段名称=“perm_unlink”eval=“False”/> <记录 id="rule_my_model_sales_team" model="ir.rule"> 我的模型：销售团队 <字段名称=“model_id”ref=“model_my_model”/> <字段名称=“domain_force”> [('team_id.member_ids', 'in', [user.id])] ###记录规则评估逻辑同一组内的记录规则使用 **OR** 逻辑进行评估（任何匹配的规则都授予访问权限）。来自不同组的规则使用 **AND** 逻辑进行评估（所有匹配的规则都必须通过）。这意味着： * 同一组的多个规则 = 更广泛的访问权限 (OR) * 不同群体的规则 = 更窄的访问范围（AND 交叉点） * 全局规则（``）适用于所有用户 ### 当记录规则缺失时（漏洞）没有记录规则但具有模型访问权限的模型意味着该组中的任何经过身份验证的用户都可以查看所有记录 - 包括来自其他公司、其他用户的数据或敏感记录。始终添加： 1. 如果模型有“company_id”，则多公司规则 2. 如果记录是特定于用户的，则用户范围规则 3、门户/公众访问的状态过滤规则 ** ** ## 5\. HTTP 路由安全 — 身份验证模式 ### 路由认证类型从 odoo 导入 http 来自 odoo.http 导入请求类 MyController(http.Controller): # auth='user' — 需要登录，如果未通过身份验证则重定向到 /web/login # 用于：内部后端路由、经过身份验证的用户操作 @http.route('/my/internal/route', type='http', auth='user', method=['GET']) def 内部路由（自身）： # request.env.user 是经过身份验证的用户返回 request.render('my_module.template', {}) # auth='public' — 适用于访客和登录用户 # 用于：公共网站页面、产品列表、博客文章 # 警告：切勿在此暴露敏感数据 @http.route('/my/public/route', type='http', auth='public', method=['GET']) def public_route(自我): # request.env.user = 公共用户（如果未登录） # 检查： if request.env.user._is_public(): 处理访客情况如果不是 request.env.user._is_public(): # 经过身份验证的用户通过返回 request.render('my_module.public_template', {}) # auth='none' — 根本没有身份验证，原始 HTTP # 用于：具有自己的身份验证的 Webhooks、运行状况检查、OAuth 回调 # 关键：如果处理敏感数据，必须实施自己的身份验证 @http.route('/my/webhook', type='http', auth='none', method=['POST']) def webhook(self, **kwargs): # 使用 HMAC 签名、API 密钥或 IP 白名单进行验证 api_key = request.httprequest.headers.get('X-API-Key') 如果不是 self._validate_api_key(api_key): return request.make_response('未经授权', status=401) # 处理网络钩子... 返回 request.make_response('确定', status=200) ### CSRF 保护 # 修改状态的 POST 路由必须有 csrf=False 仅适用于 API/webhooks # 默认情况下，Odoo 对所有 POST 路由强制执行 CSRF（好！） # DANGEROUS — 禁用状态修改路由的 CSRF @http.route('/my/action', type='http', auth='user', method=['POST'], csrf=False) def bad_action(自身): pass # 这很容易受到 CSRF 攻击！ # 正确 — 为 Web 表单操作启用 CSRF（默认） @http.route('/my/action', type='http', auth='user', method=['POST']) def safe_action(自身): 通过 # 可接受 — 仅对使用 API 密钥身份验证的机器对机器 API 调用禁用 CSRF @http.route('/api/v1/webhook', type='json', auth='none', method=['POST'], csrf=False) def webhook(self, **kwargs): # 必须在此处验证 API 密钥 self._authenticate_request() ### JSON API 路由 # 对于 JSON API，使用 type='json' — 这会处理序列化和错误格式 @http.route('/api/v1/data', type='json', auth='user', method=['POST']) def api_data(self, **kwargs): # 返回dict，Odoo自动序列化为JSON 返回 {'status': 'ok', 'data': []} # 具有 API 密钥身份验证的公共 API @http.route('/api/v1/public', type='json', auth='none', method=['POST'], csrf=False) def public_api(self, api_key=None, **kwargs): 如果不是 self._validate_api_key(api_key): 返回{'错误'：'无效的API密钥'，'代码'：401} # 可以安全处理 ### 公共路线中的敏感数据 # 脆弱 — 向公众公开合作伙伴电子邮件 @http.route('/partners', type='http', auth='public') def 合作伙伴（自己）： Partners = request.env['res.partner'].sudo().search([]) return request.render('template', {'partners':partners}) # 安全——仅公开非敏感字段，尊重可见性 @http.route('/partners', type='http', auth='public') def 合作伙伴（自己）： # 只有已发布的合作伙伴，只有安全领域 Partners = request.env['res.partner'].sudo().search([ ('网站发布', '=', True) ]） # 切勿将具有敏感字段的原始记录集传递给公共模板 Partner_data = Partners.read(['名称', '网站', 'country_id']) return request.render('template', {'partners':partner_data}) ** ** ## 6\. Sudo() 用法——安全和危险模式 ### 何时使用 sudo() 合适 # 适当 1：升级读取配置数据的权限 # 用户不需要访问系统参数，但操作是安全的 @api.model def get_public_config(自身): param = self.env['ir.config_parameter'].sudo().get_param('my.public.setting') return param # 只返回特定的、安全的设置 # 适当 2：写入审核日志（用户不应该控制自己的日志） def write(self, vals): 结果 = super().write(vals) # 日志更改 — 用户不应该有权访问审核模型 self.env['my.audit.log'].sudo().create({ '模型': self._name, 'record_id': self.id, 'user_id': self.env.user.id, '更改'：str（vals）， }) 返回结果 # 适当 3：向当前用户无法访问的用户发送通知 def notification_admin(自我): admin = self.env.ref('base.user_admin').sudo() admin.notify_warning('警报', '发生了什么事') # 适当 4：跨公司聚合数据的计算领域 @api.depends('order_ids') def _compute_total_orders(自身): 对于自我记录： rec.order_count = self.env['sale.order'].sudo().search_count([ ('partner_id', '=', rec.id) ]） ### 当 sudo() 是危险的时 # 危险 1：公共/门户控制器中的 sudo() # 绕过所有访问控制 — 用户可以通过 ID 访问任何记录 @http.route('/order/', auth='public') def view_order(self, order_id): # 易受 IDOR 攻击 — 任何人都可以访问任何订单 ID order = request.env['sale.order'].sudo().browse(order_id) return request.render('template', {'order': order}) # 安全版本 — 在访问之前验证所有权 @http.route('/order/', auth='user') def view_order(self, order_id): order = request.env['sale.order'].browse(order_id) # ORM 访问控制适用——用户只能看到他们的订单如果不是 order.exists(): 引发 request.not_found() return request.render('template', {'order': order}) # 危险 2：循环中的 sudo() def process_all(自身): for record in self.search([]): # 可能有数千条记录 # 循环内调用 sudo() = 性能问题 + 安全问题 sensitive = self.env['sensitive.model'].sudo().search([ ('ref_id', '=', 记录.id) ]）记录.结果 = len(敏感) # 安全版本 — 在循环外批处理 sudo() def process_all(自身): all_records = self.search([]) # 循环外单个 sudo() 查询 sensitive_data = self.env['sensitive.model'].sudo().read_group( [('ref_id', 'in', all_records.ids)], ['ref_id'], ['ref_id'] ） count_map = {d['ref_id'][0]: d['ref_id_count'] for d insensitive_data} all_records 中的记录：记录.结果 = count_map.get(记录.id, 0) # 危险 3：将 sudo env 传递给用户控制的操作 def危险搜索（自身，域）： # 用户提供域 - 他们可以访问任何记录 sudo_env = self.env['my.model'].sudo() return sudo_env.search(domain) # 用户控制域！ # 安全版本 — 始终应用固定的安全约束 def safe_search(self, user_domain): # 清理并约束域安全域 = [ ('partner_id', '=', self.env.user.partner_id.id), # 固定约束 ] + user_domain # 附加用户的附加过滤器 return self.env['my.model'].search(safe_domain) # 没有 sudo() # 危险 4：onchange 中的 sudo()（在 UI 中公开数据） @api.onchange('partner_id') def _onchange_partner_id(自身): # onchange 中的 sudo() 意味着任何用户都可以查看所有合作伙伴数据 all_orders = self.env['sale.order'].sudo().search([ ('partner_id', '=', self.partner_id.id) ]） self.order_count = len(all_orders) ### 具有特定用户的作用域 sudo() # 使用特定用户的环境而不是完整的 sudo() # 这准确地给出了该用户的权限，而不是 root # 仅获取管理员用户的 sudo 环境 admin_user = self.env.ref('base.user_admin') admin_env = self.env['my.model'].with_user(admin_user) # 或者使用 with_context 传递额外的上下文高架环境 = self.env['my.model'].with_context( no_check=True, # 仅当模型尊重此上下文键时 force_company=self.company_id.id ） ** ** ## 7\. SQL注入预防 ### 参数化查询（始终需要） # VULNERABLE — 与用户输入的字符串连接 defvulnerable_search（自我，名称）：查询=“从res_partner中选择id，其中名称='％s'”％名称 self.env.cr.execute(query) # SQL 注入风险！返回 self.env.cr.fetchall() # SECURE — 参数化查询（元组格式） def safe_search(自我, 姓名): 查询=“从res_partner中选择id，其中名称=％s” self.env.cr.execute(query, (name,)) # 单独传递的参数返回 self.env.cr.fetchall() # VULNERABLE — SQL 中的 f 字符串 defvulnerable_f（自身，表，字段）： query = f"SELECT {field} FROM {table}" # 注入风险！ self.env.cr.execute(查询) # 安全 — 使用 psycopg2.sql 作为动态标识符从 psycopg2 导入 sql def safe_dynamic(self, field_name): # 使用 sql.Identifier 作为表/列名称（不是字符串格式）查询 = sql.SQL("SELECT {} FROM res_partner LIMIT 10").format( sql.Identifier(字段名) ） self.env.cr.execute(查询) 返回 self.env.cr.fetchall() # SECURE — 用户提供的过滤器的 ORM 域（优于原始 SQL） def orm_search(自我, 合作伙伴名称): # ORM自动处理转义 return self.env['res.partner'].search([('name', 'ilike',partner_name)]) ### 安全原始 SQL 模式 # 安全 — 多个参数 def get_partner_orders(self,partner_id,state,date_from): 查询=“”“ SELECT so.id、so.name、so.amount_total FROM sale_order 所以其中 so.partner_id = %s AND so.state = %s AND so.date_order >= %s ORDER BY so.date_order DESC 限制 100 ”“” self.env.cr.execute（查询，（partner_id，状态，date_from））返回 self.env.cr.dictfetchall() # SECURE — 带列表的 IN 子句（psycopg2 处理元组扩展） def get_orders_by_ids(self, order_ids): 如果不是 order_ids：返回[] 查询 =“从 sale_order WHERE id IN %s 中选择 id、名称” self.env.cr.execute（查询，（元组（order_ids），））返回 self.env.cr.fetchall() # SECURE — 类似带有转义的模式 def search_by_prefix(自身, 前缀): # % 必须在参数化查询中使用 %% 进行转义查询=“从res_partner中选择id，其中名称ILIKE %s” self.env.cr.execute(查询, (前缀 + '%',)) 返回 self.env.cr.fetchall() ** ** ## 8\.现场级安全 ### groups= 字段定义的属性员工类（模型.模型）： _inherit = 'hr.employee' # 对所有 HR 用户可见名称 = fields.Char() # 只有HR经理才能看到薪资信息工资 = fields.Float( groups='hr.group_hr_manager' ） # 只能通过人力资源管理员（工资组）访问 ssnid = 字段.Char( 字符串='SSN', groups='hr.group_hr_user' # 仍然太宽泛——考虑更多限制） # 具有组限制的计算域 Contract_count = fields.Integer( 计算='_compute_contract_count', groups='hr.group_hr_manager' ） # 多个组（或逻辑 — 任一组都授予访问权限）敏感字段 = fields.Text( groups='my_module.group_hr_manager,base.group_system' ） ### 视图级字段隐藏 <字段名称=“工资”组=“my_module.group_my_app_manager”/> <字段名称=“public_notes”/> <字段名称=“private_notes”组=“my_module.group_my_app_manager”/> <字段名称=“收入”/> <字段名称=“成本”/> <字段名称=“保证金”/> ** ** ## 9\.门户安全模式 ### 安全门户控制器从 odoo 导入 http 来自 odoo.http 导入请求从odoo.addons.portal.controllers.portal导入CustomerPortal，寻呼机作为portal_pager 从 odoo.exceptions 导入 AccessError、MissingError 类我的门户（客户门户）： def _prepare_home_portal_values（自身，计数器）：值 = super()._prepare_home_portal_values(计数器) 如果计数器中有“my_model_count”：值['my_model_count'] = request.env['my.model'].search_count( self._get_my_model_domain() ）返回值 def _get_my_model_domain（自身）： """返回仅限制对当前用户记录的门户访问的域。""" 返回 [('partner_id', '=', request.env.user.partner_id.id)] @http.route(['/my/orders', '/my/orders/page/'], 类型='http'，auth='用户'，网站=True） def Portal_my_orders(self, page=1, **kwargs): # SECURE — 域的范围始终为当前用户域 = self._get_my_model_domain() 总计 = request.env['my.model'].search_count(domain) 寻呼机 = Portal_pager( url='/我的/订单', 总计=总计，页=页，步长=10 ） order = request.env['my.model'].search( 域，限制=10，偏移=寻呼机['偏移'] ）返回 request.render('my_module.portal_orders', { “订单”：订单， '寻呼机'：寻呼机， }) @http.route('/my/order/', type='http', auth='user', website=True) def Portal_order_detail(self, order_id, **kwargs): # 安全 — 使用 _document_check_access 验证所有权尝试： order = self._document_check_access('my.model', order_id) 除了（访问错误，丢失错误）：返回 request.redirect('/my/orders') return request.render('my_module.portal_order_detail', {'order': order}) ### _document_check_access 实现 # 此方法（来自 CustomerPortal）验证： # 1. 记录存在 # 2.当前用户有访问权限 # 3. 可选：基于令牌的共享链接访问 # 在门户控制器中始终使用它而不是 sudo().browse() ** ** ## 10\. API安全模式 ### API 密钥认证类 ApiController(http.Controller): def _get_api_key_user(自身, api_key): """验证 API 密钥并返回关联的用户或无。""" 如果不是 api_key: 返回无 # 使用哈希值将 API 密钥存储在安全模型中 key_record = request.env['my.api.key'].sudo().search([ ('key_hash', '=', hashlib.sha256(api_key.encode()).hexdigest()), ('活动', '=', True), ]，极限=1) 如果不是 key_record 或 key_record.is_expired(): 返回无返回key_record.user_id @http.route('/api/v1/resource', type='json', auth='none', csrf=False) def api_resource(self, **kwargs): api_key = request.httprequest.headers.get('X-Api-Key', '') 用户 = self._get_api_key_user(api_key) 如果不是用户：返回{'错误'：'未经授权'，'代码'：401} # 切换到API密钥用户的环境（尊重他们的权限） env = request.env(用户=用户.id) 记录 = env['my.model'].search([]) 返回 {'data':records.read(['name', 'state'])} ### 速率限制模式导入时间从集合导入defaultdict 类速率限制器： """简单的内存速率限制器 - 在生产中使用 Redis。""" _requests = 默认字典（列表） @类方法 def is_allowed(cls, key, limit=60, window=60): 现在 = 时间.time() cls._requests[key] = [t for cls._requests[key] if now - t < window] 如果 len(cls._requests[key]) >= 限制：返回错误 cls._requests[key].append（现在）返回真类 ApiController(http.Controller): @http.route('/api/v1/data', type='json', auth='none', csrf=False) def api_data(self, **kwargs): client_ip = request.httprequest.remote_addr 如果不是 RateLimiter.is_allowed(client_ip, limit=60, window=60): return {'error': '超出速率限制', 'code': 429} # 处理请求... ** ** ## 11\.常见漏洞 — Odoo 十大安全错误 ### 1\.缺少 ir.model.access.csv（严重） **风险**：每个经过身份验证的用户都可以读取/写入模型的所有记录。 **检测**：运行 `access_checker.py` — 查找没有访问规则的模型。 **修复**：创建完整的“security/ir.model.access.csv”，其中包含所有定义模型的条目。 ### 2\.数据路由上的 auth='none' （关键） **风险**：未经身份验证访问敏感业务数据。 **检测**：运行 `route_auditor.py` — 没有理由地标记 `auth='none'`。 **修复** ：使用 `auth='user'` 作为内部路由，为 `auth='none'` webhooks 实现 API 密钥身份验证。 ### 3\. IDOR（不安全的直接对象引用）（高） **风险**：整数 ID 是连续的 - 攻击者枚举 ID 来访问其他用户的记录。 **检测**：公共路由接受具有 sudo() 访问权限的 `` 参数。 **修复**：使用 `_document_check_access()`，验证 `partner_id == request.env.user.partner_id.id`。 ### 4\.通过 env.cr.execute() 进行 SQL 注入（高） **风险**：字符串与用户输入的串联会导致数据被盗或破坏。 **检测**：运行 grep 来查找附近的 `env.cr.execute` \+ 字符串格式。 **修复**：始终使用参数化查询：`self.env.cr.execute(query, (param,))`。 ### 5\.控制器中的 sudo() 权限升级（高） **风险**：公共路由中的 sudo() 绕过所有访问控制。 **检测**：运行 `sudo_finder.py` — 在公共/门户方法中查找 sudo()。 **修复**：使用用户范围的环境，在访问之前验证所有权。 ### 6\.缺少多公司记录规则（HIGH） **风险**：A公司的用户可以查看/修改B公司的数据。 **检测**：具有“company_id”字段但没有多公司记录规则的模型。 **修复** ：添加 `['|', ('company_id', '=', False), ('company_id', 'in', company_ids)]` 规则。 ### 7\.状态更改路由上缺少 CSRF (MEDIUM) **风险**：恶意网站可能会以经过身份验证的用户身份触发操作。 **检测**：带有修改数据的“csrf=False”的 POST 路由。 **修复**：从 Web 路由中删除 `csrf=False`（仅用于机器到机器 API）。 ### 8\.没有组的敏感字段=（中） **风险**：工资、SSN、密码对所有可以访问该模型的用户可见。 **检测**：查找名为“salary”、“password”、“token”、“ssn”、“secret”且不带“groups=”的字段。 **修复**：将 `groups='my_module.group_manager'` 添加到敏感字段定义中。 ### 9\.循环中的 sudo() (中) **风险**：性能下降+安全性——每次迭代都会不必要地重新升级权限。 **检测**：运行 `sudo_finder.py` — 在 `for` 循环中查找 `.sudo()`。 **修复**：将 sudo() 调用移至循环之前，批处理查询。 ### 10\.过于宽松的记录规则（低） **风险**：用户可以访问他们不应该访问的记录（例如其他部门的数据）。 **检测** ：记录非管理员组的包含“(1, '=', 1)”域的规则。 **修复**：添加适当的过滤器 - 公司、用户、团队或州限制。 ** ** ## 12\.审核命令 - 如何使用每个命令 ### /odoo-security — 全模块安全审计 # 对模块运行完整的安全审核 /odoo-security /path/to/odoo17/projects/my_project/my_module # 它检查什么： # - 模型访问规则完整性 # - HTTP 路由认证 # - sudo() 使用安全 # - SQL注入风险 # - 记录规则覆盖率 # - 敏感字段的字段级安全 # 输出格式： # [CRITICAL] 模型“my.model”在 ir.model.access.csv 中没有访问规则 # [HIGH] 路由 /api/data 使用 auth='none' 而不进行 API 密钥验证 # [HIGH] sudo() 在公共控制器方法 view_order 中找到（第 45 行） # [MEDIUM] 字段 'salary' 没有 groups= 限制 # [LOW]记录规则允许所有用户查看所有记录 # 退出代码： # 0 = 未发现问题 # 1 = 发现问题（查看报告了解详细信息） ### /security-audit — 目标模块审核 # 使用详细输出审核特定模块 /安全审核 my_module_name # 对于 CI/CD 集成有用 — 在关键/高问题上构建失败 ### /check-access — 模型访问规则检查器 # 检查模块中所有模型的访问规则 /检查访问/路径/到/模块 # 输出示例： # 扫描模型：/path/to/module/models/ # 找到5个模型定义： # my.model -> [严重] 未定义访问规则 # my.wizard -> [HIGH] 向导没有访问规则 # my.category -> [OK] 找到 2 条规则 # my.tag -> [OK] 找到 2 条规则 # my.config -> [MEDIUM] 只有管理员组，缺少用户组 ### /find-sudo — sudo() 用法扫描器 # 查找所有 sudo() 调用并按风险分类 /find-sudo /路径/到/模块 # 输出示例： #controllers/main.py:45 [CRITICAL] auth='public' 路由中的 sudo() # models/my_model.py:123 [HIGH] sudo() 在 for 循环中 # models/my_model.py:89 [OK] sudo() 用于审核日志写入（安全模式） # Wizards/my_wizard.py:34 [MEDIUM] 无范围 sudo() — 考虑 with_user() ### /check-routes — HTTP 路由安全扫描器 # 审核controller/中的所有HTTP路由 /检查路由/路径/到/模块 # 输出示例： # 控制器/main.py: # GET /my/public auth='public' [确定] # POST /my/action auth='用户' [确定] # POST /api/webhook auth='none' [严重] 未找到 API 密钥验证 # GET /data auth='public' [HIGH] 读取敏感模型而不进行过滤 ** ** ## 13\.补救模式——如何解决每个问题 ### 修复：缺少模型访问规则 # 1. 识别没有访问规则的模型 python 脚本/access_checker.py /path/to/module # 2. 创建或更新 security/ir.model.access.csv id,名称,model_id:id,group_id:id,perm_read,perm_write,perm_create,perm_unlink access_my_model_user,my.model 用户,model_my_model,my_module.group_my_module_user,1,1,1,0 access_my_model_manager,my.model 管理器,model_my_model,my_module.group_my_module_manager,1,1,1,1 # 3. 添加到__manifest__.py数据列表 “数据”：[ '安全/group_my_module.xml', 'security/ir.model.access.csv', # 必须位于组定义之后 '安全/rules_my_module.xml', ... ] ### 修复：不安全的路由身份验证 # 之前（关键） @http.route('/sensitive/data', type='json', auth='none') def get_data(自身): 返回 request.env['sensitive.model'].sudo().search_read([]) # 之后（安全） @http.route('/sensitive/data', type='json', auth='user') def get_data(自身): # 现在 request.env 自动将范围限定为经过身份验证的用户返回 request.env['sensitive.model'].search_read([]) ### 修复：门户路由中的 IDOR # 之前（脆弱） @http.route('/order/', auth='public') def view_order(self, order_id): order = request.env['sale.order'].sudo().browse(order_id) return request.render('template', {'order': order}) # 之后（安全） @http.route('/order/', auth='user', website=True) def view_order(self, order_id): 从 odoo.exceptions 导入 AccessError、MissingError 尝试： order = self._document_check_access('sale.order', order_id) 除了（访问错误，丢失错误）：返回 request.redirect('/my/orders') return request.render('template', {'order': order}) ### 修复：SQL 注入 # 之前（脆弱） def search_orders（自身，状态）：查询 =“从 sale_order WHERE state = '%s'”中选择 id % 状态 self.env.cr.execute(查询) 返回 self.env.cr.fetchall() # 之后（安全） def search_orders（自身，状态）：查询 =“从 sale_order 中选择 id，其中状态 = %s” self.env.cr.execute(query, (status,)) # 带有尾随逗号的元组！返回 self.env.cr.fetchall() ### 修复：公共控制器中的 sudo() # 之前（关键） @http.route('/products', auth='public') 定义产品（自己）：产品 = request.env['product.template'].sudo().search([]) return request.render('template', {'products': products}) # 之后（安全） @http.route('/products', auth='public') 定义产品（自己）： # 仅显示已发布的产品，仅对已发布的过滤器使用 sudo 产品 = request.env['product.template'].sudo().search([ ('website_published', '=', True), ('sale_ok', '=', True), ]） # 限制返回非敏感数据的字段 Product_data = products.read(['名称', 'description_sale', 'list_price', 'image_128']) return request.render('template', {'products': Product_data}) ### 修复：循环中的 sudo() # 之前（中 — 性能 + 安全性） defcompute_totals（自身）：自我记录：相关= self.env['相关.模型'].sudo().search([ ('record_id', '=', 记录.id) ]） record.total = sum(相关.mapped('金额')) # 之后（安全+高性能） defcompute_totals（自身）： # 循环外单个 sudo() 查询 related_data = self.env['related.model'].sudo().read_group( [('record_id', 'in', self.ids)], ['record_id', '金额:总和'], ['记录id'] ）总计 = {d['record_id'][0]: d['amount'] for d in related_data} 自我记录：记录.总计 = 总计.get(记录.id, 0.0) ### 修复：缺少多公司记录规则 <记录 id="rule_my_model_multi_company" model="ir.rule"> 我的模型：多公司访问 <字段名称=“model_id”ref=“model_my_model”/> <字段名称=“全局”eval=“True”/> <字段名称=“domain_force”> ['|', ('company_id', '=', False), ('company_id', 'in', company_ids)] ### 修复：敏感字段无群组限制 # 之前（中）员工类（模型.模型）： _inherit = 'hr.employee' Salary_override = fields.Float(string='特殊工资') # 之后（安全）员工类（模型.模型）： _inherit = 'hr.employee' 工资覆盖 = fields.Float( string='特殊薪资', groups='hr.group_hr_manager' # 只有人力资源经理可以查看/编辑） ** ** ## 14\.代码审查的安全检查表在审查任何 Odoo 模块拉取请求时使用此清单： ### 型号清单 * 每个“_name”定义在“ir.model.access.csv”中都有条目 * 瞬态模型（向导）有访问规则 * 带“company_id”的机型具有多公司记录规则 * 适当记录规则范围访问（不过分宽松） * 敏感字段有 `groups=` 限制 * `_sql_constraints` 用于唯一性（不仅仅是 Python 约束） ### 控制器清单 * 每个路由都有明确的`auth=`参数 * 没有没有 API 密钥/HMAC 验证的 auth='none'` 路由 * 修改状态的 POST 路由启用了 CSRF（没有 `csrf=False`） * 门户路由使用 `_document_check_access()` 进行记录访问 * 公共路线不会暴露敏感模型数据 * 用户提供的 ID 根据当前用户的可访问记录进行验证 ### Python 代码清单 * `env.cr.execute()` 调用中没有字符串格式/f 字符串 * 所有原始 SQL 都使用参数化查询 * `sudo()` 调用已在注释中记录了理由 * for 循环内没有 sudo() * 在没有域范围的公共/门户控制器中没有`sudo()` ### 安全文件清单 * 存在包含所需文件的“security/”目录 * 组 XML 文件定义类别和组层次结构 * `ir.model.access.csv` 具有所有必需的访问规则 * 需要行级安全性的模型存在记录规则文件 * `__manifest__.py` 数据列表中按正确顺序列出的所有安全文件 ** ** ## 15\.与 CI/CD 集成 ### GitHub Actions 安全门 # .github/workflows/security-check.yml 名称：Odoo 安全审计上：[推，拉请求] 职位：安全审计：运行：ubuntu-latest 步骤： - 使用：actions/checkout@v3 - 名称：设置Python 使用：actions/setup-python@v4 与： python-版本：'3.11' - 名称：运行安全审核运行： | python .claude-plugins/odoo-security/scripts/security_auditor.py \ ./projects/my_project/my_module \ --最低严重程度高 \ --退出问题 # 退出代码 1 = 发现问题 = 构建失败 - 名称：上传安全报告如果：总是（）使用：actions/upload-artifact@v3 与：名称：安全报告路径：security-report.json ### 预提交挂钩集成 #!/bin/bash # .git/hooks/预提交 # 对更改的模块运行安全审核 CHANGED_MODULES=$(git diff --cached --name-only | grep -E '^projects/' | \ sed 's|/.*||' |排序-u) 对于 $CHANGED_MODULES 中的模块；做 echo“正在$MODULE上运行安全审核...” python /path/to/security_auditor.py "$MODULE" --min-severity CRITICAL 如果 [ $? -ne 0]；那么 echo“$MODULE 中发现严重安全问题。提交被阻止。” 1号出口菲完成出口0 ** ** ## 16\. Odoo 版本特定的安全说明 ### 奥杜 14 * `auth_jwt` 模块本身不可用 - 使用自定义 API 密钥实现 * `website.http_routing_map` 速度较慢 — 缓存的路由需要安全审查 * `mail.thread` 访问规则继承但值得验证 ### 奥杜 15 * 引入“website.auth_signup_token”用于安全注册链接 * 通过更强大的令牌验证增强门户安全性 * 多网站记录规则变得更加重要 ### 奥杜 16 * 重构 `ir.http._auth_method_public()` — 自定义身份验证方法需要更新 * 添加了“website.route.security”组以实现路由级安全 * JSON API 路由改进的错误处理（不要在生产中公开堆栈跟踪） ### 奥杜 17 * 新的 `_check_access()` 方法取代了一些手动访问检查 * 改进了 `check_access_rights()` 和 `check_access_rule()` API * `env.user._is_internal()` / `env.user._is_public()` / `env.user._is_portal()` 帮助器 * 通过签名验证助手改进 Webhook 安全性 ### 奥杜 18 * OAuth 2.0 集成改进 - 验证自定义 OAuth 路由中的令牌验证 * 增强附件安全性 — 检查 `access_token` 处理 * 扩展了双因素身份验证 API ### 奥杜 19 * 引入 REST API 框架——使用内置的 auth 装饰器 * 改进了核心中的速率限制原语 * 增强对 PII 数据的字段级加密支持

奥多安全

包含技能