From c9f428dee6c3d6d174dbb1dcbe98662f776f9c09 Mon Sep 17 00:00:00 2001
From: API Changelog Bot <changelog@hulalv.com>
Date: Wed, 17 Jun 2026 11:46:21 +0800
Subject: [PATCH] =?UTF-8?q?docs(changelog):=20=E7=9B=B8=E5=86=8C=E6=8E=A5?=
 =?UTF-8?q?=E5=8F=A3=E6=A8=AA=E5=90=91=E8=B6=8A=E6=9D=83(IDOR)=E5=AE=89?=
 =?UTF-8?q?=E5=85=A8=E7=83=AD=E4=BF=AE=20(PR=20#3911)?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

---
 ...11_相册接口横向越权安全热修-IDOR-小程序.md | 33 +++++++++++++++++++
 1 file changed, 33 insertions(+)
 create mode 100644 changelogs-v2/2026-06/17_3911_相册接口横向越权安全热修-IDOR-小程序.md

diff --git a/changelogs-v2/2026-06/17_3911_相册接口横向越权安全热修-IDOR-小程序.md b/changelogs-v2/2026-06/17_3911_相册接口横向越权安全热修-IDOR-小程序.md
new file mode 100644
index 0000000..9245364
--- /dev/null
+++ b/changelogs-v2/2026-06/17_3911_相册接口横向越权安全热修-IDOR-小程序.md
@@ -0,0 +1,33 @@
+# 🔴 安全热修：小程序相册接口横向越权(IDOR)修复 — 小程序
+
+> 变更类型：安全修复（后端归属校验加固，**正常使用无影响**，无契约变更）
+> 端类型：小程序（相册）
+> 日期：2026-06-17
+> 服务：hl-order-service-v2（相册域）
+> PR：https://git.1814.love:8443/wx/HL/pulls/3911
+
+---
+
+## 说明
+
+`api-contract-audit` 审计小程序 BFF 时发现：相册的 4 个接口存在**横向越权(IDOR)**——后端收到当前用户 userId 后未做归属校验，任意登录用户改 URL 里的 orderId/folderId/albumFileId 即可读取/操作他人订单的相册。本次已修复：后端强制校验"相册所属订单归属当前登录用户"，越权一律返回"不存在"。
+
+涉及接口（小程序相册）：
+- 订单文件夹列表、文件夹文件列表、文件下载地址获取、文件夹公开授权（写）。
+
+## 前端影响：无需改动
+
+- **正常使用完全不受影响**：用户访问自己订单的相册照常工作。
+- 仅"访问他人订单相册"这种越权请求会被拒（返回资源不存在）——前端正常逻辑不会触发。
+- 接口路径、入参、返回结构均未变。
+
+> 如果前端有任何调试/测试代码用了非当前用户的 orderId/folderId 访问相册，请改为只访问当前用户自己的资源（之前能拿到是 bug，现已封堵）。
+
+## 校验
+
+| 项目 | 信息 |
+|---|---|
+| PR | https://git.1814.love:8443/wx/HL/pulls/3911（squash 合并 dev-v3，via api-contract-audit workflow） |
+| 部署 | 已部署测试服，order-v2 双实例健康（滚动重启 uptime 刷新） |
+| 测试 | 相册模块单测全绿（新增越权拒绝反例：非本人订单/null-userId/订单缺失 + happy path + 防穿透 verify） |
+| 后端负责人 | wx |