修复任意账户越权问题

RuoYi

2021-07-27 913d88c11d6b5a6239bc0671d1923a7514e47ef1

 src/main/java/com/ruoyi/project/system/controller/SysProfileController.java

@@ -10,8 +10,10 @@
import org.springframework.web.bind.annotation.RequestParam;

import org.springframework.web.bind.annotation.RestController;

import org.springframework.web.multipart.MultipartFile;

import com.ruoyi.common.constant.UserConstants;

import com.ruoyi.common.utils.SecurityUtils;

import com.ruoyi.common.utils.ServletUtils;

import com.ruoyi.common.utils.StringUtils;

import com.ruoyi.common.utils.file.FileUploadUtils;

import com.ruoyi.framework.aspectj.lang.annotation.Log;

import com.ruoyi.framework.aspectj.lang.enums.BusinessType;

@@ -59,9 +61,22 @@
    @PutMapping

    public AjaxResult updateProfile(@RequestBody SysUser user)

    {

        if (StringUtils.isNotEmpty(user.getPhonenumber())

                && UserConstants.NOT_UNIQUE.equals(userService.checkPhoneUnique(user)))

        {

            return AjaxResult.error("修改用户'" + user.getUserName() + "'失败，手机号码已存在");

        }

        else if (StringUtils.isNotEmpty(user.getEmail())

                && UserConstants.NOT_UNIQUE.equals(userService.checkEmailUnique(user)))

        {

            return AjaxResult.error("修改用户'" + user.getUserName() + "'失败，邮箱账号已存在");

        }

        LoginUser loginUser = tokenService.getLoginUser(ServletUtils.getRequest());

        SysUser sysUser = loginUser.getUser();

        user.setUserId(sysUser.getUserId());

        user.setPassword(null);

        if (userService.updateUserProfile(user) > 0)

        {

            LoginUser loginUser = tokenService.getLoginUser(ServletUtils.getRequest());

            // 更新缓存用户信息

            loginUser.getUser().setNickName(user.getNickName());

            loginUser.getUser().setPhonenumber(user.getPhonenumber());