fix: 管理入口改为「填链接」而非绑定特定隧道方案，并修掉配置接口的密钥泄露
用户反馈：「你不需要帮我处理 tunnel 这部分，也许我不是通过 tunnel 开放内网呢？ 你只需要给我一个填写开放的管理端链接的地方。」 之前把「Cloudflare Tunnel」当成既定方案写进了配置与文档，这是替用户做了假设。 现在改为：项目只提供一个填地址的地方，怎么暴露完全由使用者决定。 - 删除 edge/cloudflare/tunnel.yml 与全部 tunnel 相关文档 - 新增 settings.adminUrl：管理界面里填一个地址，公开面板页脚出现「管理」按钮 指向它；留空则完全不显示（默认，避免在公网面板暴露管理面位置） - 只接受 http/https，javascript: 等协议被服务端拒绝（会被渲染成 <a href>） - 设置落在 local.monitors.json（私有层），只有自己的面板会出现该按钮 - 面板启动时额外拉 /api/monitors 合并 settings：原先只读静态 monitors.json （公开层），导致私有层的设置面板看不到；纯静态部署无该接口时沿用公开配置 顺带修掉一个既存漏洞（与本轮改动无关，是引入私有层叠加机制时埋下的）： /api/monitors 无鉴权却回吐合并后的完整配置，包含私有层的 UptimeRobot API Key —— 只要配了 key，任何访客 curl /api/monitors 就能拿到。现在两侧（Node 与 Worker） 都对对外响应剥离 uptimeRobot.apiKey，保留 enabled 等非敏感字段供面板读取； 探针内部同步仍用完整配置，剥离只作用于 HTTP 出口。 测试：verify-worker 36→40 项（新增 [E] 配置接口密钥泄露 4 条）、 verify-security 20→25 项（新增 [D2] 密钥泄露 5 条）。全项目 8 套 314 项通过。
This commit is contained in:
tamakyi
+11
-16
@@ -167,26 +167,21 @@ EdgeOne Pages 当前以静态托管为主，采用与方案二相同的「静态
|
||||
|
||||
---
|
||||
|
||||
## 远程访问管理端（Cloudflare Tunnel）
|
||||
## 远程访问管理端
|
||||
|
||||
探针在内网/家用主机上时，若要在外网打开 `/admin`，用 Cloudflare Tunnel 让内网**主动出网**建隧道（不需要公网 IP、不需要开放入站端口）。
|
||||
探针**默认只监听 `127.0.0.1`**，外部访问不到。需要时用 `settings.admin.allowRemote` 打开：
|
||||
|
||||
前提与步骤：
|
||||
```jsonc
|
||||
// local.monitors.json
|
||||
{ "settings": { "admin": { "allowRemote": true } } }
|
||||
```
|
||||
|
||||
1. **确认管理端已绑定 2FA**。Tunnel 只负责把端口暴露出去，真正拦住未授权访问的是管理端的 TOTP + 会话 + 失败限流。
|
||||
2. 打开探针的远程管理开关（**默认关闭**，此时探针只监听 `127.0.0.1`）：
|
||||
打开后探针监听 `0.0.0.0`，启动日志会明确警告 —— 提醒你该端口同时伺服公开面板，前置层必须启用 HTTPS。
|
||||
|
||||
```jsonc
|
||||
// local.monitors.json
|
||||
{ "settings": { "admin": { "allowRemote": true } } }
|
||||
```
|
||||
**怎么把流量送到这个端口由你决定**：反向代理、隧道、VPN、直连公网 IP 都行，本项目不做任何假设，也不会替你生成某种特定的部署配置。
|
||||
|
||||
3. 建命名隧道并只回源管理路径，参考 [`edge/cloudflare/tunnel.yml`](../edge/cloudflare/tunnel.yml)：
|
||||
### 让面板知道管理端在哪
|
||||
|
||||
```bash
|
||||
cloudflared tunnel --no-autoupdate run --token <你的 token>
|
||||
```
|
||||
管理界面里有一项「**面板上的管理入口链接**」：填上管理端的实际地址后，公开面板页脚会出现一个「管理」按钮指向它；留空则不显示（默认，避免在公网面板上暴露管理面的位置）。地址只接受 `http` / `https`。
|
||||
|
||||
该配置只放行 `^/(admin|api/admin/.*|assets/.*)$`，其余路径一律 404 —— 不要把公开面板与 `/api/status` 一起挂到公网。
|
||||
|
||||
开启 `allowRemote` 后启动日志会明确警告探针正在监听 `0.0.0.0`，提醒你该端口同时伺服公开面板，前置代理必须启用 HTTPS。
|
||||
这样部署形态与面板展示就解耦了：面板部署在 Cloudflare、管理端在别处、访客从面板点进去 —— 中间怎么连通由你的网络决定。
|
||||
|
||||
+13
-11
@@ -165,33 +165,35 @@ v0.12.0 起，所有会改配置的操作都放在 `/admin`，**必须绑定并
|
||||
|
||||
这不是「没做」，而是这些能力依赖本地状态：2FA 档案与会话存在 `data/` 目录与进程内存中，而 Workers 无文件系统、isolate 之间不共享内存（KV 又是最终一致，无法承载「恢复码一次性使用」这类语义）。
|
||||
|
||||
### 远程访问（Cloudflare Tunnel）
|
||||
### 远程访问
|
||||
|
||||
探针在内网时若需从外网访问 `/admin`，用 Cloudflare Tunnel 让内网主动出网建隧道。
|
||||
|
||||
**探针默认只监听 `127.0.0.1`**，必须显式打开才能被隧道访问：
|
||||
探针在内网时若需从外网访问 `/admin`，用 `settings.admin.allowRemote` 打开远程访问（**默认关闭**，此时只监听 `127.0.0.1`）：
|
||||
|
||||
```jsonc
|
||||
// local.monitors.json
|
||||
{ "settings": { "admin": { "allowRemote": true } } }
|
||||
```
|
||||
|
||||
开启后启动日志会警告「正在监听 0.0.0.0」。**请注意该端口同时伺服公开面板** —— 也就是说一旦打开这个开关，`/` 与 `/api/status` 也会跟着对外可达，这两项本身是只读的，但你的目标名称、地址与可用率会一并暴露。隧道配置（`edge/cloudflare/tunnel.yml`）默认只放行 `^/(admin|api/admin/.*|assets/.*)$`，其余路径 404，就是为了不把公开面板一起挂出去。
|
||||
**怎么把流量送到这个端口由你决定**（反向代理 / 隧道 / VPN / 直连公网 IP），本项目不做任何假设。唯一要提醒的是：打开后该端口同时伺服公开面板，也就是说 `/` 与 `/api/status` 也会跟着对外可达 —— 这两项本身只读，但目标名称、地址与可用率会一并暴露。若不希望如此，请在你自己的那层按路径收窄。
|
||||
|
||||
### 配置接口不得泄露密钥
|
||||
|
||||
`/api/monitors` 与 Worker 上的同名接口都**无鉴权**，因此对外响应一律剥离 `uptimeRobot.apiKey`（保留 `enabled` 等非敏感字段供面板读取）。探针内部同步 UptimeRobot 仍使用完整配置，剥离只作用于 HTTP 出口。`/api/status` 与静态 `monitors.json` 同样不含私有层内容。
|
||||
|
||||
### 威胁模型与对应措施
|
||||
|
||||
| 威胁 | 措施 |
|
||||
| --- | --- |
|
||||
| 未绑定就被抢先接管管理端 | 绑定需 `SHIROKO_ADMIN_SETUP_KEY`；未绑定时 `/api/admin/*` 除绑定流程外**一律 403**；未设置该环境变量时绑定入口直接关闭（503） |
|
||||
| 未授权者经隧道访问 | 隧道暴露的是同一端口，防护完全依赖 2FA：TOTP 校验 + 会话哈希 + 失败限流三重 |
|
||||
| 隧道配置过宽导致面板外泄 | 示例配置只放行管理路径，并注释说明不要把 `/` 与 `/api/status` 一起暴露 |
|
||||
| 忘记关`allowRemote` | 启动日志显式警告监听地址；默认值为关闭 |
|
||||
| 暴力枚举 6 位码（100 万种） | 按 IP 计数，连续 5 次失败后指数退避锁定（1m → 2m → 4m …上限 30m）；锁定期间即使验证码正确也拒绝 |
|
||||
| 未授权者经外部网络访问管理端 | 打开 `allowRemote` 后，防护完全依赖管理端的 TOTP 校验 + 会话哈希 + 失败限流三重；默认不监听外部地址 |
|
||||
| 配置接口泄露 UptimeRobot Key | 对外响应剥离 `uptimeRobot.apiKey`；内部同步仍用完整配置（有断言覆盖两侧） |
|
||||
| 面板成为探测他人管理面的跳板 | 管理入口链接只接受 `http`/`https`，`javascript:` 等协议被服务端拒绝；不配置则不渲染入口 |
|
||||
| 恶意枚举 6 位码（100 万种） | 按 IP 计数，连续 5 次失败后指数退避锁定（1m → 2m → 4m …上限 30m）；锁定期间即使验证码正确也拒绝 |
|
||||
| 会话 id 被窃取 | id 为 32 字节随机数，**服务端只存 SHA-256 哈希**；cookie 为 `HttpOnly`（JS 读不到）+ `SameSite=Strict`；30 分钟空闲失效、最长 2 小时；进程重启清空全部会话 |
|
||||
| 截图复用验证码 | 记录最近使用的 TOTP counter，**同一时间步的码用过即作废** |
|
||||
| 恢复码泄露 | 只存 SHA-256 哈希（带随机盐），一次性使用，用后立刻从档案中移除 |
|
||||
| 伪造来源 IP 绕过限流 | **只信任 socket 对端地址，不解析 `X-Forwarded-For`**（可被任意伪造）—— 经隧道访问时对端地址是 Cloudflare 边缘节点，因此限流是按边缘 IP 而非真实客户端统计的，这是隧道形态下已知的粒度损失 |
|
||||
| 篡改请求 | `Path=/` + `HttpOnly` + `SameSite=Strict`；请求体上限 64KB，超出返回 413；参数逐项白名单校验（如 `probeScope` 只接受三个枚举值） |
|
||||
| 伪造来源 IP 绕过限流 | **只信任 socket 对端地址，不解析 `X-Forwarded-For`**（可被任意伪造）。若前面挂了反向代理/隧道，对端地址是代理节点，因此限流是按代理 IP 而非真实客户端统计的 —— 这是有代理层时的已知粒度损失 |
|
||||
| 篡改请求 | `Path=/` + `HttpOnly` + `SameSite=Strict`；请求体上限 64KB，超出返回 413；参数逐项白名单校验（如 `probeScope` 只接受三个枚举值、`adminUrl` 只接受 http/https） |
|
||||
| 通过管理端把密钥写进仓库 | **所有写操作只落 `local.monitors.json`**（私有、已 gitignore），绝不改 `public/monitors.json` |
|
||||
|
||||
### 已知限制（请按需叠加外部措施）
|
||||
|
||||
Reference in New Issue
Block a user