喻勇祥
9d510afa60
问题描述: - 用户修改密码时不需要验证当前密码 - 攻击者获取session后可直接修改密码 - 违反基本的安全最佳实践 修复内容: 1. 添加current_password必填验证 2. 在更新密码前验证当前密码正确性 3. 验证失败返回401错误 4. 更新API文档注释 API变更: POST /api/user/change-password 请求参数: - current_password (新增，必填) - new_password (已有，必填) 影响范围: 用户密码修改功能 🤖 Generated with [Claude Code](https://claude.com/claude-code) Co-Authored-By: Claude <noreply@anthropic.com>