mirror of
https://github.com/fastapiadmin/FastapiAdmin.git
synced 2026-10-14 13:06:51 +00:00
本批为 t10 → t13 → t15 三轮实现 + 一轮复核驳回整改的最终形态(pytest 83 passed / ruff clean,
已部署并线上验证)。
异常语义
- CustomException 默认状态码 500 → 400(约 433 处裸调用不再被计为服务端故障),
且「包装底层异常」的 130 处显式恢复 500;get_or_404 → 404;响应体结构不变
代码生成注入面(复核 blocker F1,二次修复)
- column_type 不再做字符串拼接:改为常量白名单派生(类型名 ∈ DB_TO_SQLALCHEMY ∪ {Boolean},
长度仅取数字/正则捕获),彻底移除 split("(")[1]
- 列类型加形状白名单;字符串/注释/文档字符串用 \uXXXX,标识符过 safe_ident(含 Python/JS 关键字),
.vue 文本与静态属性改 HTML 实体
- 落盘闸门由 ast.parse 升级为 assert_python_structure(语法 + 顶层语句白名单 + 与哨兵骨架逐节点比对)
与 assert_text_structure(.vue/.ts/.toml 行结构);U+2028/2029 与 C1 控制符纳入转义
安全默认值
- 生产 CORS 不再回落 ["*"](未配置即拒绝跨域,可选 CORS_STRICT_STARTUP 直接启动失败)
- OAUTH_ALLOWED_HOSTS 不再默认 "*";新增 ALLOW_LOCALHOST_HOSTS 控制 Host 校验范围
- ALLOWED_HOSTS 收窄为按配置派生;健康检查暴露 code_exec_enabled / cors_origins_configured
定时任务
- SCHEDULER_ALLOW_CODE_EXEC 默认 False;新增 builtin:<模块名>[.<函数名>] 内置处理器路线(不经 exec)
- 判定收敛到 describe_schedulability;列表返回 schedulable / unschedulable_reason;
启动 reconcile 与状态查询对「已启用但不可调度」打 WARN(去重、恢复后清除)
- 加固:内置处理器必须在本模块内定义或经 HANDLERS 声明,拒绝模块内导入的外部对象(复核 R1)
- 顺带修复:_WARNED_UNSCHEDULABLE 的 set.pop TypeError、job.next_run_time 缺失导致的列表 500
测试:新增 tests/test_generator_template_safety.py、test_security_defaults.py、
test_scheduler_schedulability.py(含恶意载荷、闸门红绿、静态护栏)
209 lines
7.1 KiB
Python
209 lines
7.1 KiB
Python
import importlib
|
|
import inspect
|
|
import os
|
|
from functools import lru_cache
|
|
from pathlib import Path
|
|
from typing import Any
|
|
|
|
from sqlalchemy import inspect as sa_inspect
|
|
|
|
from app.config.path_conf import BASE_DIR
|
|
from app.core.exceptions import CustomException
|
|
|
|
|
|
class ImportUtil:
|
|
"""扫描工程中的 ORM 模型文件并做有效性校验的辅助类。
|
|
"""
|
|
|
|
@classmethod
|
|
def find_project_root(cls) -> Path:
|
|
"""返回项目根目录(与配置中的 `BASE_DIR` 一致)。
|
|
|
|
返回:
|
|
- Path: 项目根路径。
|
|
"""
|
|
return BASE_DIR
|
|
|
|
@classmethod
|
|
def is_valid_model(cls, obj: Any, base_class: type) -> bool:
|
|
"""判断是否为可映射的 SQLAlchemy 模型类(含表名与非空列)。
|
|
|
|
参数:
|
|
- obj (Any): 待验证对象(一般为类)。
|
|
- base_class (type): ORM 声明基类。
|
|
|
|
返回:
|
|
- bool: 是否为有效模型类。
|
|
"""
|
|
# 必须继承自base_class且不是base_class本身
|
|
if not (inspect.isclass(obj) and issubclass(obj, base_class) and obj is not base_class):
|
|
return False
|
|
|
|
# 必须有表名定义(排除抽象基类)
|
|
if not hasattr(obj, "__tablename__") or getattr(obj, "__tablename__", None) is None:
|
|
return False
|
|
|
|
# 必须有至少一个列定义
|
|
try:
|
|
inspected = sa_inspect(obj)
|
|
return inspected is not None and len(inspected.columns) > 0
|
|
except Exception:
|
|
return False
|
|
|
|
@classmethod
|
|
@lru_cache(maxsize=256)
|
|
def find_models(cls, base_class: type) -> list[Any]:
|
|
"""遍历工程内 `model.py` / `models.py`,收集去重后的有效模型类。
|
|
|
|
参数:
|
|
- base_class (type): SQLAlchemy 声明基类。
|
|
|
|
返回:
|
|
- list[Any]: 模型类列表。
|
|
|
|
异常:
|
|
- ImportError: 模块导入失败(非「无法从某名导入」类警告)。
|
|
- CustomException: 处理模块时发生未预期错误。
|
|
"""
|
|
models = []
|
|
# 按类对象去重
|
|
seen_models = set()
|
|
# 按表名去重(防止同表名冲突)
|
|
seen_tables = set()
|
|
# 记录已经处理过的model.py文件路径
|
|
processed_model_files = set()
|
|
|
|
project_root = cls.find_project_root()
|
|
|
|
# 排除目录扩展
|
|
exclude_dirs = {
|
|
"venv",
|
|
".env",
|
|
".git",
|
|
"__pycache__",
|
|
"migrations",
|
|
"alembic",
|
|
"tests",
|
|
"test",
|
|
"docs",
|
|
"examples",
|
|
"scripts",
|
|
".venv",
|
|
"static",
|
|
"templates",
|
|
"sql",
|
|
"env",
|
|
}
|
|
|
|
# 定义要搜索的模型目录模式
|
|
model_dir_patterns = ["model.py", "models.py"]
|
|
|
|
# 使用一个更高效的方法来查找所有model.py文件
|
|
model_files = []
|
|
for root, dirs, files in os.walk(project_root):
|
|
# 过滤排除目录
|
|
dirs[:] = [d for d in dirs if d not in exclude_dirs]
|
|
|
|
for file in files:
|
|
if file in model_dir_patterns:
|
|
file_path = Path(root) / file
|
|
# 构建相对于项目根的模块路径
|
|
relative_path = file_path.relative_to(project_root)
|
|
model_files.append((file_path, relative_path))
|
|
|
|
# 按模块路径排序,确保先导入基础模块
|
|
model_files.sort(key=lambda x: str(x[1]))
|
|
|
|
for file_path, relative_path in model_files:
|
|
# 确保文件路径没有被处理过
|
|
if str(file_path) in processed_model_files:
|
|
continue
|
|
|
|
processed_model_files.add(str(file_path))
|
|
|
|
# 构建模块名(将路径分隔符转换为点)
|
|
module_parts = (*relative_path.parts[:-1], relative_path.stem)
|
|
module_name = ".".join(module_parts)
|
|
|
|
try:
|
|
# 导入模块
|
|
module = importlib.import_module(module_name)
|
|
|
|
# 获取模块中的所有类
|
|
for _name, obj in inspect.getmembers(module, inspect.isclass):
|
|
# 验证模型有效性
|
|
if not cls.is_valid_model(obj, base_class):
|
|
continue
|
|
|
|
# 检查类对象重复
|
|
if obj in seen_models:
|
|
continue
|
|
|
|
# 检查表名重复
|
|
table_name = getattr(obj, "__tablename__", None)
|
|
if table_name is None:
|
|
continue
|
|
if table_name in seen_tables:
|
|
continue
|
|
|
|
# 添加到已处理集合
|
|
seen_models.add(obj)
|
|
seen_tables.add(table_name)
|
|
models.append(obj)
|
|
except ImportError as e:
|
|
if "cannot import name" not in str(e):
|
|
raise ImportError(f"❗️ 警告: 无法导入模块 {module_name}: {e}")
|
|
except Exception as e:
|
|
raise CustomException(f"❌️ 处理模块 {module_name} 时出错: {e}", status_code=500)
|
|
|
|
# 查找apscheduler_jobs表的模型(如果存在)
|
|
cls._find_apscheduler_model(base_class, models, seen_models, seen_tables)
|
|
|
|
return models
|
|
|
|
@classmethod
|
|
def _find_apscheduler_model(
|
|
cls,
|
|
base_class: type,
|
|
models: list[Any],
|
|
seen_models: set[Any],
|
|
seen_tables: set[str],
|
|
) -> None:
|
|
"""尝试从调度相关模块补充 `apscheduler_jobs` 表对应模型。
|
|
|
|
参数:
|
|
- base_class (type): ORM 声明基类。
|
|
- models (list[Any]): 已收集模型列表(就地追加)。
|
|
- seen_models (set[Any]): 已见模型对象集合。
|
|
- seen_tables (set[str]): 已见表名集合。
|
|
|
|
返回:
|
|
- None
|
|
|
|
异常:
|
|
- CustomException: 扫描过程出现未预期错误。
|
|
"""
|
|
# 尝试从apscheduler相关模块导入
|
|
try:
|
|
# 检查是否有自定义的apscheduler模型
|
|
for module_name in [
|
|
"app.core.ap_scheduler",
|
|
"app.modules.task.scheduler_test",
|
|
]:
|
|
try:
|
|
module = importlib.import_module(module_name)
|
|
for _name, obj in inspect.getmembers(module, inspect.isclass):
|
|
if (cls.is_valid_model(obj, base_class)
|
|
and getattr(obj, "__tablename__", None) == "apscheduler_jobs"
|
|
and obj not in seen_models
|
|
and "apscheduler_jobs" not in seen_tables
|
|
):
|
|
seen_models.add(obj)
|
|
seen_tables.add("apscheduler_jobs")
|
|
models.append(obj)
|
|
print(f"✅️ 找到有效模型: {obj.__module__}.{obj.__name__} (表: apscheduler_jobs)")
|
|
except ImportError:
|
|
pass
|
|
except Exception as e:
|
|
raise CustomException(f"❗️ 查找APScheduler模型时出错: {e}", status_code=500)
|