Define Windows path hardening task (T-605)

2026-07-16 23:36:39 +08:00
parent 7efcab5dfe
commit f7a803d944
5 changed files with 317 additions and 6 deletions
@@ -40,6 +40,14 @@
 | T-102 | ZIP 安全解压原型 | T-002 | 表驱动攻击样例全部被拒:绝对路径、`../`、符号链接、zip bomb(数量/体积/压缩比上限)、entrypoint 外逃 |
 | T-103 | staging/backup 原子切换与回滚原型 | T-102 | 切换成功、切换中断(模拟崩溃)、回滚三条路径测试通过;状态可从磁盘恢复 |

+#### Phase 1 交叉审核加固
+
+Phase 1 安全整改按 `docs/review/phase1-security-review.md` 的交叉复核定稿顺序串行落成。T-605 关闭前不恢复 T-302;后续中央目录、断电耐久和签名向量任务在前一整改完成并提交后再正式编号。
+
+| ID | 任务 | 依赖 | 验收要点 |
+| --- | --- | --- | --- |
+| T-605 | 统一 Windows 安全路径校验并封堵 ZIP 逃逸 | T-102, T-201, T-202, T-604 | Catalog/ZIP/installed-app 共用逐段 Windows 安全相对路径策略;拒绝尾随空格/点与 DOS 设备名;输出路径增加 destination 包含性兜底;原生 Windows 用例证明不写出 staging |
+
 ### Phase 2 · 清单与软件列表

 | ID | 任务 | 依赖 | 验收要点 |