项目信息填报"导出"功能可导出全网数据，未做权限控制（Excel第5行）

类型：数据导出问题 　严重性：严重 　状态：5.1.已关闭（复测通过）

基本信息

问题截图

旧代码涉及的项目文件及行数（backup730/730backup）

修复代码涉及的项目文件及行数

修复方案

导出接口与列表查询接口（row3）共享同一个"客户端传了范围参数才过滤，不传就是全网"的设计缺陷，导出场景风险更高——因为导出结果是完整 Excel 文件，一旦泄露影响面更大。修复思路与 row3 一致，但导出接口必须强制启用该收口，不能像列表查询那样只是"建议式"参数：

public IPage<NePjImplVO> selectAll(GetProjectAdjustQueryParam param) {
    ...
    // 修复：导出场景强制启用用户数据范围收口，不依赖 projectApply 是否传入
    UserUtils.User user = UserUtils.getUser();
    if (!isAdminOrScienceInstitute(user)) {
        param.setProjectApply("1"); // 强制置为需要按用户范围过滤
    }
    //判断是否场站人员标识
    if (StringUtils.isNotBlank(param.getProjectApply())) {
        List<String> allPlanIdList = new ArrayList<>();
        String userId = UserUtils.getUser().getUserId();
        ...
    }
    ...
}

另外，导出接口 exportProject() 目前使用字符串拼接方式构造 type in ('...') SQL（ProjectImplAppService.java 约第268-283行），存在与本条无直接关系但同一方法内可顺带修复的 SQL 注入风险，建议改为 MyBatis <foreach> 参数化写法。