tamakyi
b4c2a8452f
audit-2026-09-21.md 里的后端条目落地。每条都配了回归守卫，并逐条做过变异验证 （注入原 bug → 确认按正确理由变红 → 还原 → 变绿）。 安全 - CSRF 只加同源 Origin/Referer 守卫（csrf.go），不动模板 - 会话 cookie 的 Secure 按请求判断；两步验证两闸（loginGuard + 验证码一次性） - 跳转收口到 safeInternalPath；clientIP 只认 XFF 最后一段 - GPX 按属主圈定且查 RowsAffected；下载名走 downloadDisposition - 上传口统一 MaxBytesReader；落盘后的失败路径清掉半成品 数据一致性 - 区域判定两端各过一遍再 AND（apiTrack 与 movementsWhere 对齐） - Filter.Verdict 全域一致（下推到 visitsWhere）；聚合刷新必须返回 error - 附属数据改挂坐标键，Go 与 SQL 两套表达式逐位一致 - 脏备份的伪时间/越界坐标不再进领域模型；rows 循环统一 drainRows - 合并与导出：writeRawRow 上抛错误、悬空引用清理、原生列补全 性能 - placeCols 相关子查询带 dataset_id 前导列；findSourceArchive 先按大小筛 - 批量勾选改 ANY($3::bigint[])；fillupCache 加上限；同一查询不再查两遍 另：新增「全新库」冒烟测试 —— 空库跑完 Migrate 再用应用侧读查询真打一遍， 迁移块排到依赖表之前这种错只有新库会炸，老库毫无症状。
76 lines
2.1 KiB
Go
76 lines
2.1 KiB
Go
package web
|
||
|
||
import (
|
||
"crypto/tls"
|
||
"net/http"
|
||
"net/http/httptest"
|
||
"net/url"
|
||
"strings"
|
||
"testing"
|
||
)
|
||
|
||
// S4 回归：https 下会话 cookie 必须带 Secure；http 下不能带 ——
|
||
// 无条件打 Secure 会让本机 http 调试和本仓库的 CDP 验证流程直接登不进去。
|
||
func TestSessionCookieSecureFlag(t *testing.T) {
|
||
f := newLoginFixture(t)
|
||
|
||
login := func(https bool, xfp string) *http.Cookie {
|
||
t.Helper()
|
||
f.srv.loginGuard.Reset()
|
||
id, _, err := f.srv.captcha.Issue()
|
||
if err != nil {
|
||
t.Fatalf("签发验证码失败: %v", err)
|
||
}
|
||
code, ok := f.srv.captcha.Answer(id)
|
||
if !ok {
|
||
t.Fatal("刚签发的验证码取不到答案")
|
||
}
|
||
form := url.Values{"username": {f.user}, "password": {f.pass}, "captcha": {code}}
|
||
r := httptest.NewRequest("POST", "/admin/login", strings.NewReader(form.Encode()))
|
||
r.Header.Set("Content-Type", "application/x-www-form-urlencoded")
|
||
if xfp != "" {
|
||
r.Header.Set("X-Forwarded-Proto", xfp)
|
||
}
|
||
if https {
|
||
r.TLS = &tls.ConnectionState{}
|
||
}
|
||
r.AddCookie(&http.Cookie{Name: captchaCookie, Value: id})
|
||
w := httptest.NewRecorder()
|
||
f.srv.loginSubmit(w, r)
|
||
if w.Code != http.StatusSeeOther {
|
||
t.Fatalf("登录应 303，实际 %d：%s", w.Code, firstLine(w.Body.String()))
|
||
}
|
||
for _, c := range w.Result().Cookies() {
|
||
if c.Name == f.srv.cookie {
|
||
return c
|
||
}
|
||
}
|
||
t.Fatal("登录成功却没有下发会话 cookie")
|
||
return nil
|
||
}
|
||
|
||
cases := []struct {
|
||
name string
|
||
https bool
|
||
xfp string
|
||
want bool
|
||
}{
|
||
{"直连 http", false, "", false},
|
||
{"直连 https", true, "", true},
|
||
{"反代 https", false, "https", true},
|
||
{"反代多段取首段", false, "https, http", true},
|
||
{"反代 http", false, "http", false},
|
||
}
|
||
for _, c := range cases {
|
||
got := login(c.https, c.xfp)
|
||
if got.Secure != c.want {
|
||
t.Errorf("%s: Secure=%v，期望 %v", c.name, got.Secure, c.want)
|
||
}
|
||
// 其余属性不能被顺手改掉
|
||
if !got.HttpOnly || got.Path != "/" || got.SameSite != http.SameSiteLaxMode {
|
||
t.Errorf("%s: cookie 其它属性有变: HttpOnly=%v Path=%q SameSite=%v",
|
||
c.name, got.HttpOnly, got.Path, got.SameSite)
|
||
}
|
||
}
|
||
}
|