Windmill 后端威胁模型深度解析任意代码执行引擎与凭证保险库的安全边界【免费下载链接】windmillOpen-source developer platform to power your entire infra and turn scripts into webhooks, workflows and UIs. Fastest workflow engine (13x vs Airflow). Open-source alternative to Retool and Temporal.项目地址: https://gitcode.com/GitHub_Trending/wi/windmill导读本文以 Windmill 仓库内的 backend/THREAT_MODEL.md 威胁模型文档为主体结合后端 Rust 工作区源码系统梳理 Windmill 作为执行任意用户代码的引擎 存储所有连接系统凭证的保险库这一双重身份下的资产清单、17 类入口点与信任边界、22 项具体威胁及其缓解状态。读完本文你将掌握 Windmill 默认部署下的真实隔离强度nsjail 默认关闭、仅 PID 命名空间 unshare、数据库读取即可获得的明文全局凭据问题以及官方给出的 14 条高优先级加固建议可用于自托管部署前的安全评审与风险决策。1. 系统上下文双重身份决定了威胁模型的基调Windmill 是 AGPLv3 协议的开源开发者平台面向内部工具、工作流、后台任务、API 集成与 UI 构建是可自托管的 Retool / Pipedream / Airplane 替代品。其后端是一个 Rust 工作区约 60 个 cratewindmill-api、windmill-worker、windmill-queue、windmill-common、一系列windmill-trigger-*、windmill-mcp、windmill-sandbox等前置 PostgreSQL 数据库Svelte 5 前端由同一实例托管不在本文范围但在存储型 XSS 威胁中会被引用。产品分为社区版 CE公开 Docker 镜像与企业版 EE*_ee.rs文件由enterprise/private/licensecargo feature 门控。威胁建模的定义性特征在于两点Windmill 在工作器上执行任意用户提供的代码——Python、TypeScript经 Bun/Deno、Go、Bash、SQL、GraphQL、PowerShell、Rust 等Windmill 存储了用户所连接所有系统的凭证——数据库、云账号、SaaS API、OAuth 令牌。因此 Windmill 同时是任意代码执行引擎和凭证保险库攻陷一个实例即可横向渗透整个组织的连接资产。更关键的是文档作者Windmill 核心开发者 Ruben Fiszel确认nsjail 在所有环境中默认关闭ENABLE_NSJAIL为 opt-in网络隔离clone_newnet被单独门控默认安装下唯一的作业隔离是 PID 命名空间的unshare。文件系统与出站网络隔离在运维人员主动启用前完全不存在——因此用默认隔离偏弱weak-by-default isolation来概括典型部署比沙箱逃逸sandbox escape更准确。跨租户隔离在软件层实现工作区 ID、令牌作用域、文件夹 ACL、Postgres 行级安全RLS。托管服务中敏感客户可选专用 DB/worker/命名空间基础设施但共享层完全依赖上述软件边界。管理员被强烈建议启用 nsjail 沙箱并被告知如果不用其安全模型就等同于信任在 Windmill 上写代码的开发者不会在工作器上做太恶意的事。两个必须牢记的默认事实默认数据库密钥后端下只有按工作区隔离的 secret 变量在静态加密实例级的global_settingsOAuth client 密钥、SMTP、对象存储密钥、license以明文存储——一次数据库读取即可拿到实例级全部凭据。面向公网的实例通常直接暴露没有内建速率限制或 WAF。部署形态包括自托管Docker Compose、Kubernetes/Helm、裸机、云厂商、以及 Windmill Labs 管理的多租户服务。API 服务器在多数部署中面向公网工作器从 Postgres 队列拉取作业。庞大的公开攻击面庞大的认证 HTTP API、未认证的公开应用与 webhook/触发器端点、来自用户代码与代理的出站 HTTP叠加高价值资产使得授权执行缺陷、SSRF、SQL 注入、沙箱逃逸成为主导风险类别——这一判断被项目公开的漏洞公告历史强烈印证累计 73 条 GHSA 公告多条评级为 9.9 critical。2. 资产清单攻击者的目标清单威胁模型将资产按敏感度分级全部 17 项中 14 项达到 critical/high资产描述敏感度工作区加密密钥每工作区密钥workspace_key用于加密 secret 变量MagicCrypt256可解密工作区内全部密钥criticalSecret 变量用户密钥加密存储在variable表is_secretcritical资源凭据DB 密码、云凭据、API 密钥、连接串存于resource表 JSONBcriticalOAuth / 外部账号令牌account与 MCP OAuth 表中的 refresh/access 令牌critical用户密码哈希password表中的 Argon2 哈希criticalAPI 令牌与会话 Cookietoken表中的 Bearer 令牌/Cookie含 superadmin 与作用域令牌critical实例全局设置global_settings中的 license key、JWT 密钥、SUPERADMIN_SECRET、SMTP、对象存储与密钥后端Vault/KMS/SM凭据critical工作器主机与进程完整性运行不可信用户代码的主机critical跨租户/跨工作区隔离分隔工作区、文件夹、租户的软件边界critical下游连接系统Windmill 是凭证保险库存储的凭据可触达外部 DB、云账号、SaaScritical脚本/流程/应用源码script、flow、app、raw_app中的客户 IP 与业务逻辑high作业参数、结果与日志queue/completed_job的 argsresult、job_logs常含密钥high对象存储 / S3 数据作业上传/产出的文件high审计日志audit/audit_partitioned操作轨迹high服务可用性API 服务器与工作器集群的可用性highPII用户邮箱、组成员关系medium3. 入口点与信任边界攻击从哪里进来17 类入口点EP1–EP17覆盖了认证 API、未认证公网端点、消息队列、AI 代理、出站 HTTP、SQL 构建、沙箱、部署配置、供应链等全链路入口点描述信任边界可达资产EP1 认证作业执行 APIjobs/run/preview、run/h/{hash}、run_flow/run_script——在工作器上运行用户代码认证用户 → 工作器上的任意代码工作器主机、下游系统、隔离、作业 args/结果/日志EP2 未认证公网端点apps_u/*、jobs_u/getupdate*、scripts_u、settings_u、resources_upublic_app_layer.rs未认证 HTTP → 应用逻辑与作业数据作业结果、脚本、密钥、PIIEP3 HTTP 触发器与 webhook 摄取/api/r/*、GCP/Azure push、Slack 回调、capture_u/*不可信 webhook → 作业队列作业执行完整性、工作器主机EP4 消息队列/原生触发器kafka、postgres、mqtt、websocket、nats、sqs、email 触发器外部 broker/消息 → 作业队列作业执行完整性、可用性EP5 HTTP API 授权层所有 workspaced 路由上的令牌/作用域/RLS/文件夹 ACL 执行windmill-api-auth作用域令牌/低权限用户 → 其他用户与工作区数据脚本、作业数据、密钥、隔离EP6 AI 代理与 MCP 端点ai/proxy/*、mcp——解析$var:/资源、代理到 LLM API、X-Resource-Path认证用户 → 出站 HTTP 密钥解析密钥、资源凭据、内网、下游EP7 执行器/资源的出站 HTTPGraphQL/HTTP/Postgres 执行器、webhook 投递、test_object_storage_config、git clone、npm tarball 拉取用户控制 URL → 服务器端请求云元数据、内网、下游凭据EP8 SQL 查询构建与上下文变量替换应用 DB 查询构建器whereClause/tags、Postgres 触发器where_clause、%%WM_*%%插值、WM_INTERNAL_DB用户输入 → 原始 SQL数据库、连接的 DBEP9 工作器沙箱nsjail / unshare / dind / rootless podman 隔离用户代码用户代码 → 主机与跨租户文件系统/网络工作器主机、隔离、下游EP10 工作器代码生成/包装器入口点覆盖、环境变量名、工作区 env 插值进生成的包装器代码用户控制的标识符 → 可执行代码工作器主机、隔离EP11 OAuth / OIDC / SAML / MCP-OAuth / logout登录回调、MCP OAuth 客户端注册、logoutrd重定向不可信 IdP/重定向输入 → 会话会话令牌、账号EP12 存储内容渲染应用构建器 HTML 组件、markdown、S3 下载响应头、脚本控制的wm_content_type/wm_headers作用于run_wait_result与同步 HTTP 路由响应存储的用户内容 → 管理员浏览器同源管理员会话、账号接管EP13 日志/文件读取与导出端点service_logs、jobs_u/getupdate日志文件读取含符号链接、工作区/tarball 导出认证/未认证请求 → 任意文件或仅管理员可见配置任意文件、全局设置EP14 密钥值与资源值缓存windmill-store中的内存缓存历史上无 key按 path 键控缓存查找跨越身份/文件夹边界Secret 变量、资源凭据EP15 部署与运行时配置docker-compose 默认值dind、调试器REQUIRE_SIGNED_DEBUG_REQUESTS现默认true仍可覆盖为false、CORSAny、默认 admin/changeme、暴露的 Postgres、SUPERADMIN_SECRET、ENABLE_NSJAILfalse、特权容器运维/基础设施默认值 → 全实例沦陷全部资产EP16 供应链缓存的 hub 脚本、GitHub workflow actions、vendored 依赖、Docker 基础镜像构建/更新期输入 → 主机与构建完整性工作器主机、构建完整性EP17 令牌生命周期令牌创建/重设作用域/刷新、脚本签发的 JWT受限调用方 → 更大权限令牌、账号、隔离4. 威胁清单22 项风险的现状、证据与控制这是威胁模型的核心。每一项都标注了攻击者类型远程认证/远程未认证/相邻网络/供应链、受影响入口点、影响资产、可能性、缓解状态与对应 GHSA 公告证据。以下按严重度与可能性分组合并解读完整证据编号保留原文档。4.1 关键级Critical威胁T1–T9T1 SQL 注入应用/内部查询构建器与触发器子句——remote_authEP8影响数据库与下游连接系统可能性almost_certainpartially_mitigated。控件其余处 sqlx 参数化查询查询构建器安全评审。证据GHSA-225c-j3xq-g6x6、GHSA-78p7-jc72-gv66、GHSA-hvc7-f67h-jx3g、GHSA-wrrg-f89m-f84q、GHSA-79vf-3qwm-2w64、GHSA-55p6-fxj4-v983、GHSA-5g4v-49rj-r52r、GHSA-x6cq-7xr8-53x3、2cf4bb180b。T2 SSRF代理/执行器触达云元数据、内网与下游凭据——remote_authEP6/EP7almost_certainpartially_mitigated。控件是逐项打补丁式的SSRF URL 校验 禁用重定向跟随MCP 私有 URL 访问需实例级ALLOW_PRIVATE_MCP_SERVER_URLSopt-inWebSocket 触发器 URL存储、测试、可运行解析三类在连接时做 SSRF 校验受ALLOW_PRIVATE_WEBSOCKET_URLSopt-in 门控且触发器测试路由现要求:write作用域SAML IdP 元数据 URL 在加载时做 SSRF 校验受ALLOW_PRIVATE_SAML_METADATA_URLSopt-in 门控出站网络隔离clone_newnet为 opt-in 且默认关闭。证据含 11 条GHSA-3ggp-h37f-5qfw、GHSA-98qq-g8rh-xhff、GHSA-hfw8-27mx-63jm、GHSA-3r59-qvvc-774j、GHSA-4pj9-w5jc-g8w7、GHSA-8hh3-jf25-78j5、GHSA-3pjm-4w7f-3r2w、GHSA-f44c-x9hq-h68r、GHSA-j4h4-f8fj-3m3c、4b06881918、96a8eb63d4、dbd3942ef3。T3 授权破坏/IDOR作用域令牌或低权限成员跨文件夹/工作区读取脚本、作业数据与密钥——remote_authEP5/EP2/EP1almost_certainpartially_mitigated。控件RLS、令牌作用域、文件夹 ACL、view-token HMAC逐步补充托管敏感租户可选专用 DB/worker/命名空间但共享层本身就是软件边界。证据GHSA-qfg7-x243-5hg4 等 11 条 GHSA 加 4 条 commit hash7edf3f0212、89a7a37776、ab11c7747a、664edcdfb7。T4 注入攻击者控制标识符进生成的工作器包装代码导致 RCE——remote_authEP10likelypartially_mitigated入口点/env 变量名校验已补充。证据GHSA-wxjq-w5pj-jqhx、GHSA-5f5q-2vg2-r2x4、GHSA-8q8j-mm3g-5c2qCVE-2026-33881、bf93657fee、bd05bcadde、22ec4da5f0。T5 默认隔离偏弱导致的工作器沦陷与跨租户访问启用 nsjail/dind/podman 时的沙箱逃逸——remote_authEP9/EP15likely状态unmitigated唯一一个未缓解的关键威胁。控件现状nsjail 在所有环境默认关闭DISABLE_NSJAILtrue官方 compose 仅提供 PID-nsunshareFAVOR_UNSHARE_PIDtrue裸机安装完全无隔离启用 nsjail 处有只读重挂载、拒绝 jail-tmp、podman socket 门控。证据GHSA-6qr8-xhg4-453q、GHSA-3vpp-vf62-wqp6、f8467f38c8、df5aec0f5d、f1b6746e0e。T6 密钥/资源凭据/工作区加密密钥跨越授权边界泄露数据库读取额外获得明文的实例级global_settings密钥——remote_authEP6/EP14/EP13likelypartially_mitigated。控件$var:上的 RLS、按调用方作用域划分缓存、导出上的管理员检查按工作区隔离的 secret 变量静态加密但默认 DB 密钥后端下global_settings为明文。证据GHSA-jwg4-v3cj-rvfm、GHSA-8m2p-2crh-9h3w、GHSA-6635-6fch-v8px、GHSA-437f-725p-7w84、GHSA-f27g-j463-q85wCVE-2026-26964、GHSA-j679-v6vj-jfxc、GHSA-6vrr-fq33-qpfp、0ba128afe7、7836a4e733、ff8e39c69b。T7 不安全的部署默认值导致全实例沦陷——remote_unauthEP15likelypartially_mitigated。问题点dind 控制、默认 admin/changeme、暴露的 Postgres、公开可读的 SUPERADMIN_SECRET。控件首次设置时对默认 admin 的警告文档建议加固。证据GHSA-3vpp-vf62-wqp6、GHSA-24fr-44f8-fqwgCVE-2026-29059、GHSA-6q36-5p3h-766j。T8 调试器 WebSocket 导致的未认证 RCE——remote_unauthEP15possiblepartially_mitigated。这是修复后残余风险较小的典型/ws_debug/*由网关/入口暴露调试器服务充当认证边界签名门控此前可被program模式启动绕过读取并执行任意服务器端文件路径、永无签名且 WS 握手无 Origin 检查CSWSH。修复REQUIRE_SIGNED_DEBUG_REQUESTS开启时拒绝program模式启动签名覆盖每次启动而非仅内联code官方docker-compose默认REQUIRE_SIGNED_DEBUG_REQUESTStrueopt-in 的DEBUG_ALLOWED_ORIGINS白名单拒绝跨源握手。残余代码默认安全但运维仍可设falseOrigin 白名单是 opt-in。证据GHSA-725h-99vx-9xr4。T9 供应链沦陷缓存 hub 脚本、GitHub workflow 命令注入、基础镜像依赖漏洞——supply_chainEP16possiblepartially_mitigated。控件hub 脚本重新固定到已修复版本HUB_BASE_URL覆盖发布镜像v*标签用 cosign 做 keyless 签名构建时嵌入按平台的 SPDX SBOM由签名索引摘要覆盖 SLSA 出处GitHub artifact attestations。证据GHSA-w2m9-q5f7-3gpq、edf340c4d4、GHSA-8rq7-w7g6-8wvr、GHSA-vch9-39v5-4wg7CVE-2024-37371。4.2 高危High威胁T10–T16T10 未认证披露作业结果/参数/日志与管理员配置——remote_unauthEP2/EP13likelypartially_mitigated匿名作业检查、日志端点授权加固。证据GHSA-qfg7-x243-5hg4、GHSA-v448-fmm4-52fp、108a88a180、bb90f4ce83。T11 存储型 XSS 导致管理员/账号接管——remote_authEP12likelypartially_mitigated。攻击向量应用 HTML 组件、markdown、S3 下载 content-type、脚本在run_wait_result/同步 HTTP 路由响应上选择的text/htmlcontent typeGET 可达 SameSiteLax会话 Cookie。控件DOMPurify markdown 消毒下载与每个result_to_response复合结果上附加X-Content-Type-Options: nosniff CSP sandbox插在wm_headers之后Connection等 hop-by-hop 头被拒绝代理无法剥离。证据GHSA-9c5c-hh3c-r9mc、GHSA-qxj7-hpx3-r892、GHSA-cf2x-rg8c-v63v、bb78b1c06d、625b67dff0、WIN-2471。T12 webhook 认证绕过/签名重放伪造触发器调用与审批——remote_unauthEP3likelypartially_mitigated部分触发器 HMAC 校验签名预言机修复。证据GHSA-jw8c-h45c-xpjw、GHSA-hh9x-rcf8-xjr2、GHSA-q9g3-q6fj-hc2x、GHSA-8jc4-wj2p-2vmp、ab2a15b2a8。T13 路径遍历/任意文件读取日志读取与 MCP 路径端点含符号链接跟随——remote_authEP13likelypartially_mitigated遍历检查 不跟随符号链接。证据GHSA-4hrf-mgvv-xp9x、bb90f4ce83、df451aa64f、ad5ec293b5、5f2d3e6812。T14 令牌 rescope/refresh、脚本签发 JWT、操作员权限缺口导致的提权——remote_authEP17/EP5likelypartially_mitigated令牌生命周期单调权限执行SECURITY DEFINER 触发器。证据GHSA-p62p-67xp-v775、GHSA-vv9w-wx3c-q3x2、2ddf93de96、865ab70c89、33fb08cf3d。T15 工作器/proc环境与作业日志中未掩码密钥导致的凭据泄露——remote_authEP9/EP1likelypartially_mitigated日志中 Aho-Corasick 密钥掩码。证据GHSA-pmp9-9924-f9cx、0885d8c986。T16 资源耗尽型 DoS无界上传、失控作业、队列洪泛、触发器消息风暴——remote_authEP1/EP3/EP4likely状态risk_accepted。说明单作业 rlimits/超时存在共享自托管上认证租户发起的实例级 DoS 基本被接受全局配额是运维职责仅托管多租户为硬性要求。4.3 中危Medium威胁T17–T22T17 未认证 MCP-OAuth 客户端注册 logout 开放重定向导致账号/凭据窃取——remote_unauthEP11possiblepartially_mitigated重定向 URI 处理/注册加固。证据GHSA-q9xg-f2v2-695g、GHSA-53xj-pvqf-wpm9、GHSA-rr8j-ffc4-pf7h、GHSA-6c5w-777m-8rv5。T18 缺少速率限制/暴力破解导致的账号接管——remote_unauthEP11likely状态unmitigated。无内建任何速率限制/WAF实例通常直接暴露。T19 企业版 license 绕过与账号冒充——remote_authEP5possibleunmitigatedlicense 校验由licensefeature 门控。证据GHSA-48j5-p323-4mpx、GHSA-pv35-65rq-w29h、GHSA-2qx7-634r-qj6r。T20 触发器伪造有 broker/队列访问权的角色注入消息执行作业——adjacent_networkEP4possiblerisk_accepted。信任委托给 broker ACL 是设计使然无应用层消息真实性校验任何能向订阅 topic/队列发布消息的人都能触发作业执行。T21 TLS 禁用默认值导致传输数据拦截/篡改DBsslmodedisable、仅 HTTP 的 Caddy——adjacent_networkEP15possibleunmitigated文档建议 TLS非默认。T22 敏感操作审计覆盖缺口导致否认/事件盲区——remote_authEP5possiblepartially_mitigatedwindmill-audit记录大量动作。5. 代码级验证两条最重要的默认不安全事实文档的开放问题章节记录了访谈期间的代码验证结论这两条直接决定 T2/T5/T6/T7/T8 的评级值得在源码层面展开5.1 nsjail 在所有配置下默认关闭在 backend/windmill-worker/src/worker.rs 中DISABLE_NSJAIL静态变量解析环境变量并unwrap_or(true)worker.rs#L370-L374即未显式设置即视为禁用is_sandboxing_enabled()仅在DISABLE_NSJAILfalse或全局设置job_isolation为nsjail_sandboxing时返回 trueworker.rs#L998-L1006PID 命名空间 unshare 在代码层同样默认关闭is_unshare_enabled()要求ENABLE_UNSHARE_PIDtrue、全局设置为Unshare或全局设置未定义时回退到FAVOR_UNSHARE_PIDworker.rs#L1011-L1019官方 docker-compose.yml 第 85 行设置FAVOR_UNSHARE_PIDtrue、第 197 行设置ENABLE_NSJAILfalse # Set to true for nsjail sandboxing (requires privileged: true)——即官方 compose 仅提供 PID-ns unshare、nsjail 关闭而裸机安装则完全无隔离。同时不存在独立的clone_newnet标志网络隔离是 nsjail 的功能特性因此默认情况下用户代码的出站网络完全不受限制。这一事实直接决定了 T2SSRF 的横向扩展面、T5unmitigated 状态与 T8 的评级。5.2 默认 DB 密钥后端下global_settings明文存储backend/windmill-common/src/global_settings.rs 的set_value_in_global_settings直接INSERT INTO global_settings ... ON CONFLICT DO UPDATE写入原始 JSON 值无任何加密global_settings.rs#L874-L887加密密钥后端 backend/windmill-common/src/secret_backend/database.rs 仅对variable表中is_secret true的行做处理读取时经build_crypt构造基于workspace_key的 MagicCrypt256 后decryptdatabase.rs#L40-L64写入时encrypt后UPDATE variabledatabase.rs#L66-L79工作区密钥本身来自workspace_key表的kind cloud行backend/windmill-common/src/variables.rs#L263-L265。结论实例级 SMTP/OAuth/AI/对象存储密钥均为明文一次数据库读取即可获得实例级完整凭据集影响 T6 impact/controls 与 T7。这正是 T6 缓解建议在默认 DB 密钥后端下也用工作区/实例密钥加密global_settings的由来。5.3 其余开放问题Owner-states待验证面向公网实例通常直接暴露、无内建速率限制/WAF影响 T16、T18 可能性验证方式检查 backend/windmill-api/src/lib.rs 中间件栈中是否存在速率限制层托管服务为敏感租户提供可选专用 DB/worker/命名空间层共享层仅依赖软件授权边界影响 T3 控件部署拓扑不在本仓库需 out-of-tree 验证单作业 rlimits/超时存在共享自托管上认证租户的实例级 DoS 为风险接受影响 T16 状态验证方式定位工作器执行路径中的 rlimit/超时执行并确认无全局队列/并发上限消息队列触发器真实性仅委托 broker ACL影响 T20 状态验证方式审查windmill-trigger-{kafka,sqs,nats,mqtt,postgres}消费路径有无任何 payload 认证。6. 风险接受与去优先级项威胁模型明确列出 7 项有意不去深究的威胁及理由其中两条为所有者风险接受risk acceptedT16 共享自托管上认证租户的实例级 DoS单作业 rlimits/超时已就位全局并发/队列配额在自托管上是运维职责。托管多租户集群中仍是硬性要求。T20 有合法 broker/队列发布权限的角色触发作业执行触发器真实性按设计委托给 broker ACL消费已配置源的消息并据其行动本就是预期行为。其余去优先级项包括主机物理访问/冷启动密钥提取部署环境职责、Rust 后端自身的内存安全 RCEunsafeFFIduckdb是窄例外已并入供应链 T9、无安全影响的纯客户端缺陷、拥有合法 superadmin/DB-root 权限的内部人员可信角色、已沦陷的完全可信上游 IdP 冒充Windmill 按设计信任配置的 IdP。7. 建议缓解措施14 条加固路线图威胁模型以是否闭环该类威胁closes_class与工作量S/M/L两个维度给出 14 条建议是自托管运维与开发者修复优先级的第一手参考缓解措施关联威胁闭环该类工作量集中一个经审计的查询构建器禁止字符串插值 SQL用 lint/CI 禁止format!构建的查询T1是M所有出站请求统一走 SSRF 防护的 HTTP 客户端私网元数据段 allowlist/denylist、禁用重定向、逐跳重新校验T2是M授权集中在中间件scope RLS 文件夹 ACL强制deny-by-default 加逐路由覆盖测试替代逐个 handler 检查T3, T10, T14, T22是L所有用户提供的标识符一律按数据处理经 argv/env/结构化参数传入绝不拼进生成的包装器源码边界处用严格 allowlist 校验T4是M让 nsjail 网络命名空间隔离默认开启/失败即关闭翻转ENABLE_NSJAIL与clone_newnet默认值从官方 compose 移除特权/dind 默认调试器默认拒绝T2, T5, T7, T8部分L即使默认 DB 密钥后端也用工作区/实例密钥对global_settings静态加密使数据库读取不再直接获得明文实例级凭据T6, T7部分M加固默认值每次安装随机密钥、无默认 admin 密码、Postgres 不暴露、CORS 锁定到配置的 origin、TLS 开启T7, T18, T21部分M仅以调用方身份与作用域解析密钥/资源每个缓存条目按 (caller, scope) 隔离统一应用于 AI 代理、MCP 与导出T6是M所有存储内容渲染时输出编码/消毒每个用户内容响应强制nosniff 严格 CSPT11是M在共享触发器认证助手中统一校验 webhook 真实性常量时间 HMAC 时间戳/nonce 防重放T12是S所有文件路径输入规范化为基准目录内并禁止符号链接跟随日志/文件读取器T13是S在日志汇处掩码密钥密钥不进入工作器进程 env/proc——经文件/管道传递并在用后清除T15部分M边缘添加全局速率限制与每租户资源/队列配额T16, T18部分M固定并完整性校验 hub 脚本与 CI actions发布做 SBOM 基础镜像 CVE 自动扫描——发布镜像现已 cosign 签名 SBOM SLSA 出处剩余CI action SHA 固定、hub 脚本完整性、rhel/rpi 镜像T9部分M8. 来源与工作方式威胁模型采用 bootstrap-then-interview先自动生成再访谈模式日期2026-06-05目标/home/rfiszel/windmill/backend commit819ba5e150输入git-log 挖掘 GitHub 安全公告gh api73 条公告 CHANGELOG以 THREAT_MODEL.md 作为 bootstrap 种子访谈对象Windmill 核心开发者 Ruben Fiszel。这意味着文档中的每条威胁都有双重证据链历史漏洞公告GHSA/commit hash与所有者访谈确认其中两条最关键的默认配置事实已在本仓库源码中直接复核见第 5 节其余标注[Owner-states]的陈述有待逐项核查。结语Windmill 威胁模型的核心启示是——它的安全边界不在沙箱而在信任。默认部署下用户代码仅受 PID 命名空间 unshare 约束出站网络与文件系统不受限默认 DB 后端下实例级凭据明文存储。对自托管者而言T5隔离、T7默认值、T18速率限制三项未缓解/风险接受项应在部署前逐条对照 docker-compose.yml 与第 7 节缓解路线图决策对开发者而言T1–T4、T6、T11–T14 的修复方向已经由威胁模型给出闭环路径。安全评审时建议直接从本仓库重新验证文档中的代码行号与配置默认值再落到自身部署形态。【免费下载链接】windmillOpen-source developer platform to power your entire infra and turn scripts into webhooks, workflows and UIs. Fastest workflow engine (13x vs Airflow). Open-source alternative to Retool and Temporal.项目地址: https://gitcode.com/GitHub_Trending/wi/windmill创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
