Memos API中评论可见性问题的分析与修复

在开源项目Memos中，近期发现了一个关于API接口返回评论数据时存在的权限控制问题。本文将深入分析该问题的技术背景、产生原因以及解决方案。

问题背景

Memos作为一个轻量级的备忘录服务，提供了完善的权限控制系统，包括对备忘录(memo)和评论(comment)的可见性管理。在正常情况下，私有评论(private comment)应该只对评论创建者可见，其他用户无法查看。

然而，在v0.24.3版本中，当通过API接口获取某个备忘录的评论列表时，系统错误地返回了所有评论数据，包括那些标记为私有的评论，这明显违反了权限控制的基本原则。

技术分析

该问题的核心在于API接口层缺少了必要的权限校验逻辑。具体表现为：

1. 当用户A创建了一个公共备忘录并添加了私有评论
2. 用户B登录后，在Web界面确实无法看到该私有评论（前端过滤正确）
3. 但当用户B通过API请求获取该备忘录的评论列表时，服务端却返回了包含私有评论的完整数据

这表明权限校验在前端界面得到了正确实现，但在API接口层出现了疏漏。这种不一致性可能导致敏感信息泄露的安全风险。

解决方案

开发团队通过提交的修复代码解决了这个问题。修复方案主要包含以下关键点：

1. 在API处理评论列表请求时，增加了用户权限校验
2. 确保只返回当前用户有权限查看的评论数据
3. 对于私有评论，严格限制只有评论创建者才能获取

这种修复方式既保持了系统的安全性，又不影响正常的功能使用。它遵循了"默认拒绝"的安全原则，即除非明确允许，否则默认情况下拒绝访问。

安全建议

基于这个案例，我们可以总结出一些API开发中的安全最佳实践：

1. 权限校验应该在服务端完成，不能依赖前端过滤
2. 对于敏感数据的API接口，应该实施多层权限检查
3. 定期进行安全审计，特别是检查数据返回的完整性
4. 实现单元测试来验证权限控制逻辑的正确性

这个问题的修复体现了Memos项目对安全性的重视，也提醒开发者在实现API接口时需要特别注意权限控制的完整性。