fix(security): Copilot CR 反馈 6 处

PR #26 Copilot review 7 条评论里 6 条本 commit 处理，第 7 条（chat
saveTurn 的 TOCTOU window）单独跟踪 follow-up，本 PR scope 不修。

修复点：

1. SECURITY.md INV-004 引用的测试方法名跟实际代码对不上——文档本来写
   `user_follows表存在且follow_unfollow能闭环`，实际是 `user_follows表存
   在且字段可读写`，按 Copilot 反馈对齐文档。

2. test-schema.sql 之前只建了 user_follows 表但没建 idx_user_follows_followee
   索引，跟生产 schema.sql 漂移；补上 CREATE INDEX 让"索引被误删"也能被 CI
   抓到（即便表本身仍存在）。

3. INV-005a compose 端口扫描原来只盯 "5432:5432" / "0.0.0.0:5432:5432"
   两种带引号写法，漏过无引号 5432:5432、IPv6 [::]:5432、host port 改成
   15432 但容器仍 5432 等其它形式。改成扫描所有 host:5432 mapping，凡是
   host part 不以 127.0.0.1: 起头的全算违规。

4. AuthService lazy upgrade 失败的 log.warn 之前只传 e.getMessage()，丢
   stack trace；改成把异常对象作为最后一个参数，保留完整堆栈用于排查
   死锁/连接池/权限根因，"不阻断登录"行为不变。

5. UserCenterService.updateAuthorization 之前只检查 RESTRICTED_ROLES，
   没拒 null/blank 元素——roles 里塞 null 会让 repository 的 String.join
   抛 NPE 走 500 兜底。增加 null/blank 校验返回 400，permissions 同样补齐。

6. 新增 3 条 AuthServiceTests 覆盖 INV-003 lazy upgrade 路径：
   - legacy hash 匹配后触发 updatePasswordHash 写回
   - updatePasswordHash 抛异常时不阻断登录
   - bcrypt hash 路径不触发 lazy upgrade

测试：./mvnw test 全套 215 / 215（之前 212 + 新增 3 条）。

未在本 PR 修：

- ChatHistoryController#save 的 lookupOwner + saveTurn 两步 TOCTOU window：
  利用窗口需要 victim/attacker 毫秒级并发写同一 UUID chatId，最坏后果
  一条 message 错挂到 victim chat。完整修法是把逻辑下沉到 service 层
  @transactional + 改 saveTurn SQL 加 owner WHERE，工作量超出本 hotfix
  scope，单独 follow-up 跟踪。

Author: longsizhuo

SECURITY.md

@@ -86,12 +86,15 @@
   - `docker/init-db/init.sql`（同步 DDL）
   - `src/test/resources/test-schema.sql`（测试同步）
   - `usercenter/follows/FollowService`（SQL 调用方）
-- **测试**：`SecurityInvariantsTests#user_follows表存在且follow_unfollow能闭环`
+- **测试**：`SecurityInvariantsTests#user_follows表存在且字段可读写`
+  （不直接调 FollowService.follow() 端到端，因 FollowService 用 PG 专属
+  `ON CONFLICT (cols) DO NOTHING`，H2 PostgreSQL MODE 当前版本不识别——
+  改打 JdbcTemplate 直读直写表，验证 schema drift 这一根因）
 - **为什么**：FollowService 引用的 `user_follows(follower_id, followee_id, created_at)`
   之前在 schema.sql 与 init.sql 中都未定义，全新部署或新 Neon 数据库一访问
   `/api/user-center/follows/...` 就 `relation does not exist` 报 500。
-  这是 issue #25 之外的额外 schema drift。CI 测试存在表 + follow/unfollow 闭环
-  作为长期回归探测器。
+  这是 issue #25 之外的额外 schema drift。CI 测试存在表 + 字段可读写作为
+  长期回归探测器。
 - **历史**：2026-05-07 三方 CR 发现的 schema drift（与 issue #25 类同）。
 
 ---

src/main/java/com/involutionhell/backend/usercenter/service/AuthService.java

@@ -60,8 +60,10 @@ public LoginResponse login(LoginRequest request) {
                         passwordService.hash(request.password()));
                 log.info("已就地升级用户 {} 的密码哈希（legacy → bcrypt）", userAccount.username());
             } catch (Exception e) {
-                // lazy upgrade 失败不阻断登录——记日志即可，下次登录会再次尝试
-                log.warn("用户 {} 密码哈希升级失败：{}", userAccount.username(), e.getMessage());
+                // lazy upgrade 失败不阻断登录——记日志即可，下次登录会再次尝试。
+                // 必须把异常对象作为最后一个参数传给 SLF4J 才能打完整堆栈，
+                // 仅传 e.getMessage() 会丢失死锁/连接池/权限等根因排查线索。
+                log.warn("用户 {} 密码哈希升级失败", userAccount.username(), e);
             }
         }
 

src/main/java/com/involutionhell/backend/usercenter/service/UserCenterService.java

@@ -114,16 +114,29 @@ public UserView getUser(Long userId) {
      */
     public UserView updateAuthorization(Long userId, UserAuthorizationUpdateRequest request) {
         Set<String> requestedRoles = request.roles() == null ? Set.of() : request.roles();
+        // 顺序校验：先拒非法元素（null / 空白），再拒受限角色。
+        // 不修这层：requestedRoles 里有 null 元素会让 repository 的 String.join 抛 NPE
+        // 走 Exception.class 兜底 500，而不是 400，并丢失"哪个字段错了"信息。
         for (String role : requestedRoles) {
+            if (role == null || role.isBlank()) {
+                throw new IllegalArgumentException("角色名不允许为空或仅含空白字符");
+            }
             if (RESTRICTED_ROLES.contains(role)) {
                 throw new IllegalArgumentException("不允许通过本接口授予角色: " + role);
             }
         }
+        // permissions 同理校验，避免 String.join 触发 NPE
+        Set<String> requestedPermissions = request.permissions() == null ? Set.of() : request.permissions();
+        for (String permission : requestedPermissions) {
+            if (permission == null || permission.isBlank()) {
+                throw new IllegalArgumentException("权限名不允许为空或仅含空白字符");
+            }
+        }
 
         UserAccount updatedAccount = userAccountRepository.updateAuthorization(
                 userId,
                 requestedRoles,
-                request.permissions()
+                requestedPermissions
         );
         return UserView.from(updatedAccount);
     }

src/test/java/com/involutionhell/backend/security/SecurityInvariantsTests.java

@@ -290,23 +290,41 @@ class SecurityInvariantsTests extends AbstractWebIntegrationTest {
     // ============================================================
 
     /**
-     * INV-005a：docker-compose.yml 里 postgres 服务的 ports 段必须以 127.0.0.1 起头
-     *           或不存在（容器间走 docker network 即可）。
+     * INV-005a：docker-compose.yml 里 postgres 容器端口 5432 必须只绑 127.0.0.1。
      *
-     * 防止有人为了"本地连数据库方便"把端口改成 5432:5432 或 0.0.0.0:5432:5432
-     * —— 一旦上线就直接对外暴露 PostgreSQL 主端口，等同于公网开 5432 蜜罐。
+     * 攻击场景：把端口写成 "5432:5432" / "0.0.0.0:5432:5432" / "15432:5432"
+     * 等任何"非 127.0.0.1: 开头"的形式，宿主机就把容器 5432 暴露给公网。
+     *
+     * 检测策略：扫描所有 ports 段 mapping 行，凡是 host port 段不以 127.0.0.1:
+     * 起头且 container port 段为 5432 的，全判违规。覆盖：
+     *   - 引号 / 无引号
+     *   - host 改非 5432（如 15432）映射到容器 5432 仍暴露
+     *   - 0.0.0.0 / ::（IPv6 全绑）等显式绑全网
      */
     @Test
     void docker_compose里postgres端口必须绑127_0_0_1() throws Exception {
         Path composeFile = locateComposeFile();
         String content = Files.readString(composeFile);
 
-        // 简化版扫描：postgres ports 段后面紧跟的 mapping 行必须 127.0.0.1: 开头
-        Pattern unsafePattern = Pattern.compile(
-                "(?m)^\\s*-\\s*\"(0\\.0\\.0\\.0:|\\d+:)5432:5432\"");
-        Assertions.assertThat(unsafePattern.matcher(content).find())
-                .as("docker-compose.yml 检测到 postgres 端口暴露公网形式（如 \"5432:5432\" 或 \"0.0.0.0:5432:5432\"）")
-                .isFalse();
+        // (?m) 行模式；匹配所有 "- <hostpart>:5432" 形式的 ports mapping。
+        // 捕获组 1 是 hostpart（可能是 "127.0.0.1:5432"、"5432"、"0.0.0.0:5432" 等）。
+        Pattern portMapping = Pattern.compile(
+                "(?m)^\\s*-\\s*\"?([^\"\\s#]+):5432\"?\\s*(?:#.*)?$");
+        java.util.regex.Matcher m = portMapping.matcher(content);
+        java.util.List<String> violations = new java.util.ArrayList<>();
+        while (m.find()) {
+            String hostPart = m.group(1);
+            // 合规形式：以 "127.0.0.1:" 起头（如 "127.0.0.1:5432"）。
+            // 任何其他形式都不允许：纯端口号 "5432"、"0.0.0.0:..."、IPv6 "[::]:..."、
+            // "15432" 这种 host port 改了但容器仍是 5432 也算（仍暴露公网）。
+            if (!hostPart.startsWith("127.0.0.1:")) {
+                violations.add(m.group(0).trim());
+            }
+        }
+        Assertions.assertThat(violations)
+                .as("docker-compose.yml postgres 容器 5432 端口必须只绑 127.0.0.1；"
+                        + "检测到非 loopback 映射: %s", violations)
+                .isEmpty();
     }
 
     /**

src/test/java/com/involutionhell/backend/usercenter/service/AuthServiceTests.java

@@ -128,6 +128,79 @@ void loginThrowsWhenPasswordIsWrong() {
                 .hasMessage("用户名或密码错误");
     }
 
+    /**
+     * INV-003 lazy upgrade：legacy SHA-256 hash 用户登录成功后，应被就地升级为 bcrypt。
+     */
+    @Test
+    void loginUpgradesLegacyHashAfterSuccessfulMatch() {
+        String legacyHash = "ad89b64d66caa8e30e5d5ce4a9763f4ecc205814c412175f3e2c50027471426d";
+        String newBcryptHash = "$2b$10$newbcryptsaltsaltsaltsaltsaltsaltsaltsaltsaltsaltsalts";
+        UserAccount account = enabledUser(1L, "alice", legacyHash);
+        when(userCenterService.findByUsername("alice")).thenReturn(Optional.of(account));
+        when(passwordService.matches("Alice@123", legacyHash)).thenReturn(true);
+        when(passwordService.isLegacyHash(legacyHash)).thenReturn(true);
+        when(passwordService.hash("Alice@123")).thenReturn(newBcryptHash);
+
+        try (MockedStatic<StpUtil> stpUtil = mockStatic(StpUtil.class)) {
+            stpUtil.when(StpUtil::getTokenName).thenReturn("satoken");
+            stpUtil.when(StpUtil::getTokenValue).thenReturn("token-abc");
+
+            authService.login(new LoginRequest("alice", "Alice@123"));
+
+            // 关键：登录成功路径必须触发 lazy upgrade 写回
+            verify(userAccountRepository).updatePasswordHash(1L, newBcryptHash);
+        }
+    }
+
+    /**
+     * INV-003 lazy upgrade 容错：repository 写失败时不能阻断登录。
+     */
+    @Test
+    void loginStillSucceedsWhenLazyUpgradeWriteFails() {
+        String legacyHash = "ad89b64d66caa8e30e5d5ce4a9763f4ecc205814c412175f3e2c50027471426d";
+        UserAccount account = enabledUser(1L, "alice", legacyHash);
+        when(userCenterService.findByUsername("alice")).thenReturn(Optional.of(account));
+        when(passwordService.matches("Alice@123", legacyHash)).thenReturn(true);
+        when(passwordService.isLegacyHash(legacyHash)).thenReturn(true);
+        when(passwordService.hash("Alice@123")).thenReturn("$2b$10$newhash");
+        // 模拟 DB 抖动：updatePasswordHash 抛异常
+        org.mockito.Mockito.doThrow(new RuntimeException("simulated DB hiccup"))
+                .when(userAccountRepository).updatePasswordHash(any(), any());
+
+        try (MockedStatic<StpUtil> stpUtil = mockStatic(StpUtil.class)) {
+            stpUtil.when(StpUtil::getTokenName).thenReturn("satoken");
+            stpUtil.when(StpUtil::getTokenValue).thenReturn("token-abc");
+
+            // 不阻断登录：仍返回有效 LoginResponse
+            LoginResponse response = authService.login(new LoginRequest("alice", "Alice@123"));
+            assertThat(response.tokenValue()).isEqualTo("token-abc");
+        }
+    }
+
+    /**
+     * INV-003 反向：bcrypt 用户登录路径不应该触发 lazy upgrade（已经是 bcrypt 了）。
+     */
+    @Test
+    void loginDoesNotUpgradeWhenHashIsAlreadyBcrypt() {
+        String bcryptHash = "$2b$10$alreadybcrypt$alreadybcrypt$alreadybcrypt$alreadybcryptxx";
+        UserAccount account = enabledUser(1L, "alice", bcryptHash);
+        when(userCenterService.findByUsername("alice")).thenReturn(Optional.of(account));
+        when(passwordService.matches("Alice@123", bcryptHash)).thenReturn(true);
+        when(passwordService.isLegacyHash(bcryptHash)).thenReturn(false);
+
+        try (MockedStatic<StpUtil> stpUtil = mockStatic(StpUtil.class)) {
+            stpUtil.when(StpUtil::getTokenName).thenReturn("satoken");
+            stpUtil.when(StpUtil::getTokenValue).thenReturn("token-abc");
+
+            authService.login(new LoginRequest("alice", "Alice@123"));
+
+            // 不应该调 hash() 也不应该调 updatePasswordHash()
+            verify(passwordService, org.mockito.Mockito.never()).hash(any());
+            verify(userAccountRepository, org.mockito.Mockito.never())
+                    .updatePasswordHash(any(), any());
+        }
+    }
+
     // =============================================
     // loginByGithub() - GitHub OAuth 登录
     // =============================================

src/test/resources/test-schema.sql

@@ -52,6 +52,10 @@ CREATE TABLE IF NOT EXISTS user_follows (
     FOREIGN KEY (follower_id) REFERENCES user_accounts(id) ON DELETE CASCADE,
     FOREIGN KEY (followee_id) REFERENCES user_accounts(id) ON DELETE CASCADE
 );
+-- 与生产 schema 一致的"粉丝列表"二级索引；测试 schema 缺这个索引会让
+-- "索引被误删"这种 drift 逃过 CI（即便表本身存在）
+CREATE INDEX IF NOT EXISTS idx_user_follows_followee
+    ON user_follows(followee_id, created_at DESC);
 
 CREATE TABLE IF NOT EXISTS event_interests (
     event_id   BIGINT      NOT NULL,