在最近的一次 SRC 项目里，笔者遇到了一个基于若依（RuoYi）二次开发的高校能源管控平台。通过 JimuReport 组件的未授权配置漏洞，我们不仅获取了核心业务数据，顺藤摸瓜获得了数据库访问权限，还发现了一个能直接下发物理设备指令的未授权接口。 在复盘该漏洞时，笔者遇到了一个技术分歧：目前业界有较多文章声称该模块存在参数注入漏洞，可导致远程代码执行（RCE）。然而，在实战评估中，准确界定漏洞的真实危害边界比盲目相信网传 PoC 更为重要。本文将分为两部分：第一部分记录真实靶标上的业务级降维打击；第二部分则是笔者针对底层字节码的逆向分析，还原那个被高估的“RCE 幻象”被拦截的真实原因。 第一部分：真实靶标的降维打击（未授权与业务沦陷） 一、突破：被 Shiro 放行的报表引擎 目标系统的 /prod-api/ 路径下暴露了大量积木报表（JimuReport）的接口。按若依常见的配置，