源码里翻出管理员钥匙：国产.NET框架ApeVol

国产 .NET 后台框架 ApeVolo Admin，爆了个认证绕过漏洞。CVSS 3.1 评分高达 9.8 分，公网裸奔的系统直接门户大开。

根子就一个低级失误：JWT 签名密钥被原样写死在开源仓库里。谁下载源码谁就能看到这把钥匙。攻击者连登录接口都不用碰，直接离线伪造管理员令牌。建号、删号、导出所有用户数据，畅通无阻。

作者收到报告后 8 天发了修复版 V3.6.1，反应挺快。但旧服务不会自动愈合，密钥必须手工轮换。自查就两步：先看配置文件里的 SecurityKey 是不是默认串 5ixKD0BkJxYYroZTvdPs3w9NWRoiUacN。再看版本低于 3.6.1 没。中招的赶紧生成新密钥重启，顺便排查下有没有陌生 IP 偷偷建过后门账号。

别以为密码设得复杂或者开了内网就没事。这漏洞根本不走登录入口，内网照样能被横向移动打穿。也别指望一键升级能搞定——V3.6.1 是一次破坏性重构，路径和路由全变了，生产环境得先在测试环境演练。而且升级不等于换密钥，要是新配置还抄着旧默认值，等于白修。