DrHider — ревью Opus'а и исправления (2026-06-29)
Контекст
DrHider — сервис обфускации документов. Изначально впихнут в convert_server.py (общий сервер сверки договоров). Сервер падал из-за отсутствия БД → 502. Вынесен в standalone drhider_server.py на порту 8767.
Найденные баги (Opus)
CRITICAL
| # |
Что |
Где |
Исправлено |
| C1 |
Path traversal: /static/../etc/passwd читает любой файл на ВМ |
convert_server.py:_handle_app_js |
✅ os.path.realpath + проверка startswith(base) + whitelist .js/.svg |
HIGH
| # |
Что |
Где |
Исправлено |
| H1 |
Нет лимита размера тела → memory DoS → OOM-kill |
drhider_server.py:_handle_drhider |
✅ MAX_BODY = 200MB, 413 при превышении |
| H2 |
DrHider дублирован в convert_server.py (БД-зависимом) |
convert_server.py |
✅ Удалён роут /api/drhider и метод _handle_drhider |
MEDIUM
| # |
Что |
Где |
Исправлено |
| M1 |
generate_passport: re.match().group(0) → AttributeError если LLM вернёт не «паспорт» |
drhider.py |
✅ m.group(0) if m else "" |
| M2 |
Замена по подстроке без границ слова |
drhider.py |
⬜ отложено |
| M3 |
Три разных версии: 1.0, 1.2, v1.3 |
все файлы |
✅ везде 1.3 |
LOW
| # |
Что |
Где |
Исправлено |
| L1 |
Мусорные импорты: io as io_mod, hashlib, дубль import cgi |
все файлы |
✅ удалены |
| L2 |
sorted_keys пересчитывается на каждый абзац docx |
drhider.py |
⬜ отложено |
| L3 |
CORS * на эндпоинте обфускации |
оба сервера |
⬜ отложено |
| L4 |
Утечка временных файлов в _handle_convert_doc |
convert_server.py |
⬜ отложено |
Версии после исправлений
DRHIDER_VERSION = "1.3" (drhider.py)DRHIDER_SERVER_VERSION = "1.3" (drhider_server.py)v1.3 (drhider.html)
Архитектура (после исправлений)
:8766 — convert_server.py (сверка договоров, с БД или без):8767 — drhider_server.py (только обфускация, БД не нужна)- nginx:
/api/drhider → :8767, остальные /api/* → :8766
- systemd:
contracts.service + contracts-drhider.service
