企业低代码开发平台默认安全配置核查报告.docVIP

企业低代码开发平台默认安全配置核查报告

一、身份认证与访问控制配置核查

（一）默认账号与密码

在本次核查的12款主流低代码开发平台中，有7款平台存在默认账号未强制禁用的情况。例如，某知名平台默认保留了“admin”“test”等账号，且初始密码多为“123456”“admin”等弱口令，部分平台甚至未在首次登录时强制要求修改默认密码。这种配置极易导致未授权人员通过暴力破解或社工手段获取系统权限，进而窃取敏感数据或篡改业务流程。

（二）多因素认证（MFA）启用情况

仅3款平台在管理员账号层面默认启用了多因素认证，其余平台均需用户手动配置。在普通用户层面，所有平台均未默认开启MFA功能，用户需自行在个人设置中开启。这意味着一旦用户账号密码泄露，攻击者可直接登录系统，无需经过额外验证步骤，大大增加了系统被入侵的风险。

（三）权限分级与最小权限原则落实

8款平台默认采用了较为粗放的权限分级模式，仅将用户分为管理员、普通用户和访客三个层级，未根据业务需求细分权限。例如，普通用户默认拥有对大部分应用的编辑权限，而无需管理员额外授权。此外，有5款平台在创建新用户时，默认赋予了过多的权限，未遵循最小权限原则，导致用户权限范围超出其实际工作需求，增加了内部数据泄露的风险。

二、数据安全配置核查

（一）数据加密机制

在数据传输方面，所有平台均默认支持HTTPS协议，但有4款平台未强制启用HTTPS，用