R20 Quantum Trader v6.6.0 (Enterprise Security & Micro-Cache Release)
⚡ R20 Quantum Trader v6.6.0 (Enterprise Security & Micro-Cache Release)
深度安全漏洞审计与加固 · 敏感财务台账鉴权隔离 · 恒定时间防枚举对比 · 全景系统架构说明上线
R20 Quantum Trader v6.6.0 是一次重大的企业级安全加固与全栈架构规范化里程碑更新。本次更新针对接口鉴权覆盖度、越权访问风险、敏感凭证脱敏、静态路径穿越防御及侧信道时序攻击进行了全面深度审计与代码级物理修复，并上线了全景级系统开源架构说明（README.md）。
🛡️ v6.6.0 核心安全加固与技术特性
1. 🔒 敏感财务台账强制鉴权与数据隔离
- 修复历史台账匿名读取漏洞：经审计发现
/api/v1/cache/ledger此前对外无条件暴露底层私密成交数据；现已强制挂载require_admin_header鉴权门禁，严格禁止未经授权调取用户的历史交易流水、持仓价格与收益台账。
2. ⏱️ 恒定时间密码验证与防账号枚举攻击
- 消除登录时序侧信道风险：在管理员认证模块（
admin_auth.py）中，当针对不存在的用户名发起登录时，自动执行等长虚拟 Dummy PBKDF2 哈希运算，使得存在与不存在用户的接口响应耗时严格恒定，彻底杜绝黑客利用网络耗时枚举管理员账号。
3. 🛡️ 物理拦截插件与 SPA 深链绝对防路径穿越
- 强化路径沙箱隔离：在物理拦截插件管理中（
interceptor_manager.py）的读取、保存、创建、删除全套接口，以及前端深链路由解析中，全面重构为基于标准库Path.resolve().is_relative_to()的严格边界校验，彻底封杀任何包含../的跨目录文件探测。
4. 🔑 敏感凭证与 Webhook URL 自动脱敏掩码
- 引入智能 URL 掩码机制 (
mask_url)：针对配置接口输出的企业微信、通用 Webhook、Telegram 等带密钥的完整调用链接，对 Query 参数中的 Token/Key 自动实施截断脱敏（如key=********15fa6），杜绝前端在读取通知配置时泄露凭据。
5. 📖 全新全景架构级 README.md
- 全方位呈现量化系统底座：系统架构图、数据因果动力学流、多模型参谋决策委员会（Council Pro）、Python 物理拦截管线（Fail-Closed）、动态标的池全链原子同步、暗黑/亮色双模量化终端与企业级安全架构全量详尽公开。
🧪 自动化测试与工程验证
- 全栈单元测试：166/166 项后端、网关与安全回归自动化测试 100% 通过（Ran 166 tests in 29s, OK）；
- 前端生产编译：Vite 生产构建 991ms 完成打包，零警告；
- 线上服务热重启：Uvicorn 与网关运行时已平滑升级至 v6.6.0，探针实时返回 HTTP 200 OK。