security: 遗留清零——aiModel密钥永不下发/搜索正则注入转义/排行榜limit封顶且去openid/删除重复shop-items路由/登录入参强转防对象注入/sessionKey默认不返回

2026-09-19 11:48:27 +08:00
parent 5e525b3b7c
commit 1e972291d9
8 changed files with 186 additions and 177 deletions
@@ -160,7 +160,7 @@ const UserSchema = new Schema({
    default: Date.now 
  },
  // vpay 用户态签名必需（code2Session 返回，有过期时间，过期后重登录刷新）
-  sessionKey: { type: String, default: '' },
+  sessionKey: { type: String, default: '', select: false },  // [安全] 默认查询不返回（支付签名凭据）
  vpayCoins: { type: Number, default: 0 },
  lastLoginAt: { 
    type: Date,