用友NC存在SQL注入漏洞，攻击者可利用 mtapptimeline/doApply该接口，获取敏感信息。

应用使用的数据库账号 只授予必要权限（SELECT/INSERT/UPDATE/DELETE），禁止 DROP、ALTER 等。 生产环境不要把数据库错误栈直接返回给前端（比如 “You have an error in your SQL syntax…”）。