产品安全加固指导手册

1.1 版本

1.2 应用场景

为了提升产品的安全性，本文整理了正式工程中应当开启的相关安全设置，请参照本文对工程进行安全加固。

注1：如无法完成产品升级和加固，请至少参考文档完成：限制IP访问工程

注2：参照本文进行安全配置后，部分功能会有影响，主要面向安全诉求更高的客户。

不同版本产品升级说明

FineReport11.*升级步骤

操作目的：当前处于高危版本「JAR包在 2025-04 之前版本」的工程，请升级至最新安全版本。

操作内容：换工程JAR包、删netty JAR包、清空impl文件夹，重启即可。

面向对象：本节升级步骤仅面向非运维平台部署的工程。运维平台部署的工程，请直接联系帆软技术支持协助升级。

升级步骤：本节简单描述了服务器工程升级的操作步骤，更详细升级指南请参考：小版本升级指南

FineBI6.1.*升级步骤

操作目的：当前处于高危版本「JAR包在 2025-04 之前版本」的工程，请升级至最新安全版本。

升级步骤：FineBI6.1.*系列，仅支持运维平台部署，请直接联系帆软技术支持协助升级。请勿下载本文FineBI6.0.*JAR包进行替换。

FineBI6.0.*升级步骤

操作目的：当前处于高危版本「JAR包在 2025-04 之前版本」的工程，请升级至最新安全版本。

操作内容：换工程JAR包、删netty JAR包、清空impl文件夹，重启即可。

面向对象：本节升级步骤仅面向非运维平台部署的工程。运维平台部署的工程，请直接联系帆软技术支持协助升级。

注意事项：请在升级前认真查看升级注意事项，确保了解各个版本的兼容问题：FineBI6.0.x小版本升级注意事项

升级步骤：本节简单描述了服务器工程升级的操作步骤，更详细升级指南请参考：小版本升级指南

FineDataLink4.2.*升级步骤

操作目的：当前处于高危版本「JAR包在 2025-06 之前版本」的工程，请升级至最新安全版本。

操作内容：换工程JAR包、删netty JAR包、清空impl文件夹，重启即可。

面向对象：本节升级步骤仅面向非运维平台部署的工程。运维平台部署的工程，请直接在FineDataLink服务群联系相关客户成功协助升级。

升级步骤：

其他老版本升级步骤

帆软 FineReport 10.* & 9.* & 8.*、FineBI5.* & 4.*、FineDataLink4.1.* & 4.0.* 系列及更早版本目前已经停止维护。

此类版本安全系数极低，请联系帆软技术支持进行大版本升级。技术支持联系方式：服务平台>在线支持。

3.1 密码强度限制

作用：增加密码破解的难度。

1）检查用户认证方式

管理员登录数据决策系统，点击「管理系统>用户管理>全局设置」。

• 若系统使用「平台内置认证」，则需进行下文的密码策略限制。

• 若系统使用「LDAP认证」或「HTTP认证」，则无需进行密码策略设置，密码安全性由客户自己的认证系统保证。

2）进行密码策略设置

注意：设置了自定义登录页的工程，请勿执行本节操作，「系统管理>登录」相关配置项与自定义登录页不兼容。

          基于安全考虑，建议更换为默认登录页。

操作：管理员登录数据决策系统，点击「管理系统>系统管理>登录」，在「密码策略设置」处建议勾选以下配置：

• 设置密码强度策略（推荐密码长度8位，包含数字、大小写字母、符号）

• 设置定期修改密码

• 设置修改密码验证方式

• 开启初始密码强制修改

• 开启历史密码重复校验

3.2 登录锁定设置

作用：主要用于防暴力破解。

建议：开启登录锁定。必选，最简单有效的攻击方式就是弱密码暴力破解进入工程，再提权或通过其他手段入侵服务器。

注意：设置了自定义登录页的工程，请勿执行本节操作，「系统管理>登录」相关配置项与自定义登录页不兼容。

          基于安全考虑，建议更换为默认登录页。

操作：管理员登录数据决策系统，点击「管理系统>系统管理>登录」，开启「登录锁定」。

3.3 开启模板认证

作用：防止无鉴权查看模板

建议：开启模板认证，选择全量模板进行认证。选择合适的认证方式，优先推荐「角色权限认证」

操作：管理员登录数据决策系统，点击「管理系统>模板认证>全局设置」，开启「模板认证」，选择合适的认证方式。

具体操作请参考：模板认证

4.1 升级插件

工程上所有的插件，建议全部更新至最新版本。

建议仅保留工程中实际使用的插件，对于未使用/已禁用的插件，建议全部卸载。

建议至少确保以下插件升级到安全版本（若未安装相应插件可忽略）：

4.2 安装插件

5.1 安装插件

点击下载插件：fine_conf_entity可视化配置插件

• 设计器插件安装方法参照 设计器插件管理 

• 服务器安装插件方法参照 服务器插件管理

5.2 配置参数

插件安装成功后，超级管理员登录数据决策系统，点击「管理系统」，新增「系统工具」设置。如下图所示：

注：由于 FineDB 的修改非常重要，影响较大，因此仅支持超管进行操作，不支持次级管理员操作。

配置方法支持以下两种方式：

• 选择参数配置：系统参数名（key）下拉框中罗列了支持配置的 fine_conf_entity 参数，用户可直接在下拉框中选择参数，配置参数值（value）。

• 自定义参数配置：用户可自行输入支持配置的 fine_conf_entity 参数名（key），并自动跳出参数值（value），用户可修改并保存参数值。

两种配置方式支持配置的参数完全相同，建议修改的 fine_conf_entity 中的配置参数和参数值如下表所示：

以下参数无法通过「fine_conf_entity可视化配置插件」进行修改，需手动修改或通过联系数据库管理员修改配置库的方式进行修改。

如果 fine_conf_entity 表中不存在以下配置项，请手动添加。

操作方法请参考：填报修改fine_conf_entity 。

5.3 删除插件

参数配置完成后，需删除「fine_conf_entity可视化配置插件」。

设计器插件删除方法参照 设计器插件管理 

服务器安装删除方法参照 服务器插件管理

在工程加密算法中，密钥是保护数据安全的关键元素。某些公司企业要求定期更换密钥，以确保系统的长期安全和数据的保密性。

1）使用前提

1、仅 FineBI6.1.2 & FineReport11.0.28 & FineDataLink4.1.10.4 及以上版本支持本功能。

2、更新密钥文件前将备份，可能需要较长时间，请确保系统不在使用状态。

3、使用「默认算法」的工程支持更新密钥文件，「国密算法」不支持。

4、帆软应用所使用的配置库，必须是「外接配置库」，使用「内置数据库」的系统不支持更新密钥文件。所使用的配置库用户，必须有该数据库的读写执行权限。

5、集群环境下更新密钥文件后，其他节点无法连接配置库，节点间无法通信，无法做到节点之间密钥文件同步更新。

• 因此如需更新集群环境下的密钥文件，请先关闭其他节点，仅在单节点环境下进行切换操作。

• 成功更新后，请手动拷贝该节点/webroot/WEB-INF/config目录下的db.properties、encryption.properties、default_alpha、default_beta、default_gamma文件至其他节点，再启动其他节点，方可成功更新密钥文件。

2）更新密钥

• 管理员登录帆软应用，点击「管理系统>安全管理>安全防护」，点击加密算法处的「一键更新」按钮。

• 请耐心等待，直到出现提示「密钥文件已更新成功」即可

本节操作仅面向Tomcat独立部署的工程。

1）以管理员身份进入%TOMCAT_HOME%/conf文件夹，使用文本编辑器打开web.xml文件。

2）在web.xml文件中，新增以下配置块，并保存文件。

<security-constraint>
    <web-resource-collection>
        <web-resource-name>Disable JSP</web-resource-name>
        <url-pattern>*.jsp</url-pattern>
    </web-resource-collection>
    <auth-constraint>
    </auth-constraint>
</security-constraint>

3）配置成功后，将禁止直接通过URL访问JSP文件。

例如，用户访问 http://example.com/test.jsp 会返回 403 Forbidden 错误。