tamakyi
b4c2a8452f
audit-2026-09-21.md 里的后端条目落地。每条都配了回归守卫，并逐条做过变异验证 （注入原 bug → 确认按正确理由变红 → 还原 → 变绿）。 安全 - CSRF 只加同源 Origin/Referer 守卫（csrf.go），不动模板 - 会话 cookie 的 Secure 按请求判断；两步验证两闸（loginGuard + 验证码一次性） - 跳转收口到 safeInternalPath；clientIP 只认 XFF 最后一段 - GPX 按属主圈定且查 RowsAffected；下载名走 downloadDisposition - 上传口统一 MaxBytesReader；落盘后的失败路径清掉半成品 数据一致性 - 区域判定两端各过一遍再 AND（apiTrack 与 movementsWhere 对齐） - Filter.Verdict 全域一致（下推到 visitsWhere）；聚合刷新必须返回 error - 附属数据改挂坐标键，Go 与 SQL 两套表达式逐位一致 - 脏备份的伪时间/越界坐标不再进领域模型；rows 循环统一 drainRows - 合并与导出：writeRawRow 上抛错误、悬空引用清理、原生列补全 性能 - placeCols 相关子查询带 dataset_id 前导列；findSourceArchive 先按大小筛 - 批量勾选改 ANY($3::bigint[])；fillupCache 加上限；同一查询不再查两遍 另：新增「全新库」冒烟测试 —— 空库跑完 Migrate 再用应用侧读查询真打一遍， 迁移块排到依赖表之前这种错只有新库会炸，老库毫无症状。
66 lines
2.8 KiB
Go
66 lines
2.8 KiB
Go
package web
|
|
|
|
import (
|
|
"net/http"
|
|
"net/http/httptest"
|
|
"testing"
|
|
)
|
|
|
|
// S6 回归：X-Forwarded-For 只有**最后一段**可信。
|
|
//
|
|
// 反代（nginx 的 `$proxy_add_x_forwarded_for`）是把客户端发来的值原样接在前面、
|
|
// 再把真实对端补在后面。所以取第一段等于「谁想冒充谁自己填」——访客随手改个请求头
|
|
// 就能换一个投票身份。取最后一段才是反代自己写、客户端改不动的那一个。
|
|
func TestClientIPTrustsOnlyProxyWrittenSegment(t *testing.T) {
|
|
cases := []struct {
|
|
name string
|
|
remote string
|
|
xff []string
|
|
want string
|
|
}{
|
|
{"没有 XFF 时用 RemoteAddr", "203.0.113.7:51234", nil, "203.0.113.7"},
|
|
{"RemoteAddr 不带端口", "203.0.113.7", nil, "203.0.113.7"},
|
|
{"单段 XFF（反代覆盖式写入）", "10.0.0.1:80", []string{"203.0.113.7"}, "203.0.113.7"},
|
|
{"多段 XFF 取最后一段", "10.0.0.1:80", []string{"198.51.100.9, 203.0.113.7"}, "203.0.113.7"},
|
|
{"最后一段两边有空格", "10.0.0.1:80", []string{"198.51.100.9 , 203.0.113.7 "}, "203.0.113.7"},
|
|
{"多行 XFF 拼接后取最后", "10.0.0.1:80", []string{"198.51.100.9", "203.0.113.7"}, "203.0.113.7"},
|
|
{"最后一段带端口", "10.0.0.1:80", []string{"198.51.100.9, 203.0.113.7:51234"}, "203.0.113.7"},
|
|
{"IPv6", "10.0.0.1:80", []string{"198.51.100.9, 2001:db8::1"}, "2001:db8::1"},
|
|
{"IPv4-mapped IPv6 归一", "10.0.0.1:80", []string{"::ffff:203.0.113.7"}, "203.0.113.7"},
|
|
// 最后一段不是 IP ⇒ 整个头作废，别把垃圾当身份
|
|
{"最后一段是垃圾", "203.0.113.7:51234", []string{"198.51.100.9, not-an-ip"}, "203.0.113.7"},
|
|
{"XFF 只有垃圾", "203.0.113.7:51234", []string{"whatever"}, "203.0.113.7"},
|
|
{"XFF 为空串", "203.0.113.7:51234", []string{""}, "203.0.113.7"},
|
|
}
|
|
for _, c := range cases {
|
|
t.Run(c.name, func(t *testing.T) {
|
|
r := httptest.NewRequest("POST", "/api/vote", nil)
|
|
r.RemoteAddr = c.remote
|
|
for _, v := range c.xff {
|
|
r.Header.Add("X-Forwarded-For", v)
|
|
}
|
|
if got := clientIP(r); got != c.want {
|
|
t.Errorf("clientIP = %q，期望 %q", got, c.want)
|
|
}
|
|
})
|
|
}
|
|
}
|
|
|
|
// 真正要守的性质：只改伪造的前缀，不该改变访客身份。
|
|
// 这条比上面任何单点断言都硬——它直接对应「换个请求头就换一票」这个攻击。
|
|
func TestClientIPIgnoresForgedPrefix(t *testing.T) {
|
|
mk := func(forged string) *http.Request {
|
|
r := httptest.NewRequest("POST", "/api/vote", nil)
|
|
r.RemoteAddr = "10.0.0.1:80"
|
|
r.Header.Set("X-Forwarded-For", forged+", 203.0.113.7")
|
|
return r
|
|
}
|
|
base := clientIP(mk(""))
|
|
for _, forged := range []string{"1.2.3.4", "9.9.9.9", "::1", "198.51.100.9"} {
|
|
got := clientIP(mk(forged))
|
|
if got != base {
|
|
t.Errorf("伪造前缀 %q 让身份变成了 %q（基线 %q）——换个头就能换一票", forged, got, base)
|
|
}
|
|
}
|
|
}
|