'
+ '
uid ' + s.uid + ''
+ '
' + (esc(s.name) || "uid " + s.uid) + ''
- + '
'
- + '
'
+ + '
'
+ + '
'
+ '
'
+ '
' + badges + ''
+ '
' + title + ''
@@ -398,7 +583,7 @@ async function refresh(){
// 数据没变化不重建；正在列表里输入时也跳过，避免把没提交的输入清掉
if(sig !== stSig && !list.contains(document.activeElement)){
stSig = sig;
- list.innerHTML = rows || '
列表为空，请在上方添加 uid
';
+ list.innerHTML = rows || '
列表为空，在上面填 uid 添加
';
}
var lr = await api("/api/log?since=" + logOffset);
if(lr.status === 401){ showLogin("管理口令已失效，请重新输入"); return; }
@@ -415,10 +600,20 @@ async function refresh(){
}
}catch(e){}
}
+// 右下角弹一条提示，成功 2.6 秒、失败 6 秒
function showMsg(ok, text){
- var m = document.getElementById("msg");
- m.textContent = text; m.style.color = ok ? "#1d7a46" : "#d63046";
- setTimeout(function(){ m.textContent = ""; }, 3000);
+ var w = document.getElementById("toast");
+ if(!w){ return; }
+ var d = document.createElement("div");
+ d.className = "toast" + (ok ? "" : " bad");
+ d.textContent = text;
+ w.appendChild(d);
+ while(w.children.length > 4){ w.removeChild(w.firstChild); }
+ var life = ok ? 2600 : 6000;
+ setTimeout(function(){
+ d.classList.add("out");
+ setTimeout(function(){ if(d.parentNode) d.parentNode.removeChild(d); }, 220);
+ }, life);
}
async function post(url, body){
saving = true;
@@ -590,7 +785,7 @@ function setMergeState(){
go.disabled = mrgBusy;
go.textContent = mrgBusy ? "合并中…" : "开始合并";
document.getElementById("mrgCheck").disabled = mrgBusy;
- document.getElementById("mrgState").textContent = mrgBusy ? "正在合并，进度见下方运行日志" : "";
+ document.getElementById("mrgState").textContent = mrgBusy ? "正在合并，进度见「监控」页的运行日志" : "";
}
async function checkMerge(){
var body = mrgPayload();
@@ -619,7 +814,7 @@ async function startMerge(){
var body = mrgPayload();
if(!body) return;
if(!body.videos.length || !body.danmu){ showMsg(false, "请先填写视频和弹幕文件"); return; }
- if(!confirm("开始合并？合成期间可以在下方运行日志里看进度。")) return;
+ if(!confirm("开始合并？合成期间可以在「监控」页的运行日志里看进度。")) return;
var b = document.getElementById("mrgGo");
b.disabled = true;
var r = null;
@@ -644,7 +839,7 @@ function syncMergeState(st){
if(busy) return;
loadFiles();
if(st.mergeErr) showMsg(false, "合并失败：" + st.mergeErr);
- else showMsg(true, "手动合并结束，结果见运行日志");
+ else showMsg(true, "手动合并结束，结果见「监控」页的运行日志");
}
async function testNotify(b, channel){
if(b) b.disabled = true;
@@ -695,15 +890,17 @@ document.addEventListener("change", function(e){
post("/api/streamer", {uid: uid, danmu: danmu, record: record, bitrate: bitrate});
}
if(t.matches('input.br')){
- var uid = parseInt(t.dataset.uid, 10);
- var row = t.closest(".row");
+ var uid2 = parseInt(t.dataset.uid, 10);
+ var row2 = t.closest(".row");
var v = parseInt(t.value.trim(), 10);
if(isNaN(v) || v < 0){ showMsg(false, "码率必须是大于等于 0 的数字"); refresh(); return; }
- var danmu = row.querySelector('input[data-k=danmu]').checked;
- var record = row.querySelector('input[data-k=record]').checked;
- post("/api/streamer", {uid: uid, danmu: danmu, record: record, bitrate: v});
+ var danmu2 = row2.querySelector('input[data-k=danmu]').checked;
+ var record2 = row2.querySelector('input[data-k=record]').checked;
+ post("/api/streamer", {uid: uid2, danmu: danmu2, record: record2, bitrate: v});
}
});
+// 回到地址栏或上次看的那个分区
+showTab(location.hash.slice(1) || localStorage.getItem("acfunlive_tab") || "mon");
// 先试一次（用本地保存的口令），失败会自动弹出输入框并停止轮询
authed = true;
refresh();
@@ -1351,17 +1548,32 @@ func webUIAddr() string {
return "127.0.0.1:" + itoa(config.WebPort)
}
-// 从请求里取管理口令：优先 Authorization: Bearer，其次 X-Auth-Token，最后 ?token=
-func authTokenFromRequest(r *http.Request) string {
+// 从请求里取管理口令的所有可能写法，按优先级排：Authorization: Bearer、X-Auth-Token、?token=。
+// 浏览器不允许把非 ISO-8859-1 的字符放进请求头（中文口令会直接抛 TypeError，请求根本发不出去），
+// 所以页面会先把口令百分号编码再放进头里；这里把原样和解码后的都当候选，
+// 这样中文口令能用，手写 curl / 脚本用原样口令也照样能用。
+func authTokenCandidates(r *http.Request) []string {
+ var raw []string
if h := strings.TrimSpace(r.Header.Get("Authorization")); h != "" {
if len(h) > 7 && strings.EqualFold(h[:7], "Bearer ") {
- return strings.TrimSpace(h[7:])
+ raw = append(raw, strings.TrimSpace(h[7:]))
}
}
if t := strings.TrimSpace(r.Header.Get("X-Auth-Token")); t != "" {
- return t
+ raw = append(raw, t)
}
- return strings.TrimSpace(r.URL.Query().Get("token"))
+ if t := strings.TrimSpace(r.URL.Query().Get("token")); t != "" {
+ raw = append(raw, t)
+ }
+
+ out := make([]string, 0, len(raw)*2)
+ for _, v := range raw {
+ out = append(out, v)
+ if d, err := url.QueryUnescape(v); err == nil && d != v {
+ out = append(out, d)
+ }
+ }
+ return out
}
// 校验请求里的管理口令，用固定时间比较避免通过响应时间猜口令
@@ -1370,11 +1582,14 @@ func checkAuthToken(r *http.Request) bool {
if want == "" {
return false
}
- got := authTokenFromRequest(r)
- if got == "" {
- return false
+ // 逐个候选都比完再出结果，不提前返回，免得响应时间泄露是哪一种写法对上了
+ ok := false
+ for _, got := range authTokenCandidates(r) {
+ if subtle.ConstantTimeCompare([]byte(got), []byte(want)) == 1 {
+ ok = true
+ }
}
- return subtle.ConstantTimeCompare([]byte(got), []byte(want)) == 1
+ return ok
}
// 口令错误次数的记录，给反复尝试的请求加一点延迟
diff --git a/webui_test.go b/webui_test.go
new file mode 100644
index 0000000..3c7ba32
--- /dev/null
+++ b/webui_test.go
@@ -0,0 +1,157 @@
+// web UI 相关
+package main
+
+import (
+ "net/http"
+ "net/http/httptest"
+ "net/url"
+ "testing"
+)
+
+// 测试期间换一个管理口令
+func withAuthToken(t *testing.T, token string) {
+ t.Helper()
+ streamers.Lock()
+ old := config.AuthToken
+ config.AuthToken = token
+ streamers.Unlock()
+ t.Cleanup(func() {
+ streamers.Lock()
+ config.AuthToken = old
+ streamers.Unlock()
+ })
+}
+
+// 页面上发给服务端的 X-Auth-Token 是 encodeURIComponent 过的口令，
+// 这里用 url.QueryEscape 造出同样的形状（对中文而言两者产出一致）
+func pageHeader(r *http.Request, token string) *http.Request {
+ r.Header.Set("X-Auth-Token", url.QueryEscape(token))
+ return r
+}
+
+func TestCheckAuthTokenPlainASCII(t *testing.T) {
+ withAuthToken(t, "a1b2c3d4e5f6")
+
+ r := httptest.NewRequest(http.MethodGet, "/api/status", nil)
+ r.Header.Set("X-Auth-Token", "a1b2c3d4e5f6")
+ if !checkAuthToken(r) {
+ t.Fatal("ASCII 口令应该通过")
+ }
+
+ // 带 % 的口令：页面会编码成 %25，服务端解码后要能对上
+ withAuthToken(t, "ab%20cd")
+ r = pageHeader(httptest.NewRequest(http.MethodGet, "/api/status", nil), "ab%20cd")
+ if r.Header.Get("X-Auth-Token") != "ab%2520cd" {
+ t.Fatalf("编码结果不对：%q", r.Header.Get("X-Auth-Token"))
+ }
+ if !checkAuthToken(r) {
+ t.Fatal("含 % 的口令应该通过")
+ }
+}
+
+func TestCheckAuthTokenNonASCII(t *testing.T) {
+ // 中文口令是最容易踩的：原先直接把中文塞进请求头，浏览器会抛
+ // TypeError（Failed to read the 'headers' property…），请求根本发不出去，
+ // 页面上只显示「无法连接到服务器」，用户被彻底锁在门外
+ withAuthToken(t, "我的口令abc123")
+
+ r := pageHeader(httptest.NewRequest(http.MethodGet, "/api/status", nil), "我的口令abc123")
+ if r.Header.Get("X-Auth-Token") == "我的口令abc123" {
+ t.Fatal("测试前提不成立：头里不该是原文")
+ }
+ if !checkAuthToken(r) {
+ t.Fatal("编码后的中文口令应该通过")
+ }
+
+ // 手写 curl 按文档原样发中文口令，也要能通过
+ r = httptest.NewRequest(http.MethodGet, "/api/status", nil)
+ r.Header.Set("X-Auth-Token", "我的口令abc123")
+ if !checkAuthToken(r) {
+ t.Fatal("原样的中文口令也应该通过")
+ }
+}
+
+func TestCheckAuthTokenAllSources(t *testing.T) {
+ withAuthToken(t, "口令abc123")
+
+ // Authorization: Bearer
+ r := httptest.NewRequest(http.MethodGet, "/api/status", nil)
+ r.Header.Set("Authorization", "Bearer "+url.QueryEscape("口令abc123"))
+ if !checkAuthToken(r) {
+ t.Fatal("Bearer 写法应该通过")
+ }
+
+ // ?token=（net/http 已经把查询串解码好了）
+ r = httptest.NewRequest(http.MethodGet, "/api/status?token="+url.QueryEscape("口令abc123"), nil)
+ if !checkAuthToken(r) {
+ t.Fatal("查询参数写法应该通过")
+ }
+
+ // 下载链接里的 ?token= 也是这个路径，混着 % 的口令同样要对上
+ withAuthToken(t, "口令%20abc")
+ r = httptest.NewRequest(http.MethodGet, "/api/file?token="+url.QueryEscape("口令%20abc"), nil)
+ if !checkAuthToken(r) {
+ t.Fatal("查询参数里的混合口令应该通过")
+ }
+}
+
+func TestCheckAuthTokenRejects(t *testing.T) {
+ withAuthToken(t, "正确的口令")
+
+ cases := map[string]*http.Request{
+ "口令错了": func() *http.Request {
+ return pageHeader(httptest.NewRequest(http.MethodGet, "/api/status", nil), "错误的口令")
+ }(),
+ "没带口令": httptest.NewRequest(http.MethodGet, "/api/status", nil),
+ "空口令头": func() *http.Request {
+ r := httptest.NewRequest(http.MethodGet, "/api/status", nil)
+ r.Header.Set("X-Auth-Token", "")
+ return r
+ }(),
+ "编码了但不是口令": func() *http.Request {
+ r := httptest.NewRequest(http.MethodGet, "/api/status", nil)
+ r.Header.Set("X-Auth-Token", "%E5%8F%A3%E4%BB%A4")
+ return r
+ }(),
+ }
+ for name, r := range cases {
+ if checkAuthToken(r) {
+ t.Fatalf("%s：不该通过", name)
+ }
+ }
+
+ // 口令没配时一律拒绝，不能因为「都是空」就放行
+ withAuthToken(t, "")
+ r := httptest.NewRequest(http.MethodGet, "/api/status", nil)
+ r.Header.Set("X-Auth-Token", "")
+ if checkAuthToken(r) {
+ t.Fatal("口令为空时不该通过")
+ }
+}
+
+func TestAuthTokenCandidatesOrder(t *testing.T) {
+ // 三种写法同时出现时按 Bearer → X-Auth-Token → ?token= 的顺序给候选，
+ // 顺序本身不影响结果，但别写出重复项（重复比较纯属浪费）
+ r := httptest.NewRequest(http.MethodGet, "/api/status?token=qqq", nil)
+ r.Header.Set("Authorization", "Bearer aaa")
+ r.Header.Set("X-Auth-Token", "bbb")
+ got := authTokenCandidates(r)
+ want := []string{"aaa", "bbb", "qqq"}
+ if len(got) != len(want) {
+ t.Fatalf("候选数量不对：%q", got)
+ }
+ for i := range want {
+ if got[i] != want[i] {
+ t.Fatalf("候选顺序不对：%q，想要 %q", got, want)
+ }
+ }
+
+ // Authorization 不是 Bearer 前缀时不算数
+ r = httptest.NewRequest(http.MethodGet, "/api/status", nil)
+ r.Header.Set("Authorization", "Basic zzz")
+ r.Header.Set("X-Auth-Token", "bbb")
+ got = authTokenCandidates(r)
+ if len(got) != 1 || got[0] != "bbb" {
+ t.Fatalf("非 Bearer 的 Authorization 不该当候选：%q", got)
+ }
+}