 tamakyi
|
6b0a23c38e
|
feat: v0.12.2 —— 跨域只读支持（面板可部署在别处）
用户诉求：管理端与前端完全分离，本地探针只跑 /admin，前端部署到 GitHub Pages
并硬编码管理地址，探测仍在本地常驻。用户自己搭隧道给本地套 HTTPS。
硬限制（务必先看）：GitHub Pages 强制 HTTPS，而浏览器「混合内容」策略禁止
HTTPS 页面 fetch HTTP 资源 —— 这与 CORS 无关，改设置也没用。
因此 settings.dataUrl 必须与面板页面同为 HTTPS。
服务端
- 只读接口（/api/status、/api/monitors、/api/events、/api/v2/getMonitors、
/api/refresh）按 settings.corsOrigins 白名单回显 Access-Control-Allow-Origin
- /api/admin/* 一律不放行跨域，预检直接 403 —— 外部页面既读不到也改不了
- 绝不使用 '*'：白名单里写 '*' 不放行任何来源
前端
- settings.dataUrl 存在时，所有 api/ 相对路径自动改写到该地址
- 数据源标记为「远程探针（跨域）」，页脚可区分
- 管理界面新增两项配置：跨域数据源地址、允许跨域的页面地址（改完立即生效）
关键设计：origin 匹配必须考虑端口
origin 是「协议 + 主机 + 端口」的完整组合。最初白名单存 http://localhost（无端口），
导致本地前端跑在 localhost:5173 时被拒 —— 浏览器实测 Failed to fetch 而 curl 能过。
修法：回环主机（localhost / 127.0.0.1）忽略端口放行，其余要求完整 origin 精确匹配。
测试：verify-security 25→40 项，新增 [D3] CORS 白名单 14 条 + [D4] '*' 写法 1 条。
全项目 8 套 334 项通过。
附记一个测试上的教训：跨域 fetch 时 JS 读不到 Access-Control-Allow-Origin
（CORS 规范规定只有同源能读），所以断言「是否放行」要看 fetch 有没有拿到数据，
不能看响应头 —— 我一开始用 headers.get() 判断，拿到 null 误以为失败。
|
2026-10-14 16:19:31 +08:00 |
|
|
tamakyi
|
f345626840
|
fix: 管理入口改为「填链接」而非绑定特定隧道方案，并修掉配置接口的密钥泄露
用户反馈：「你不需要帮我处理 tunnel 这部分，也许我不是通过 tunnel 开放内网呢？
你只需要给我一个填写开放的管理端链接的地方。」
之前把「Cloudflare Tunnel」当成既定方案写进了配置与文档，这是替用户做了假设。
现在改为：项目只提供一个填地址的地方，怎么暴露完全由使用者决定。
- 删除 edge/cloudflare/tunnel.yml 与全部 tunnel 相关文档
- 新增 settings.adminUrl：管理界面里填一个地址，公开面板页脚出现「管理」按钮
指向它；留空则完全不显示（默认，避免在公网面板暴露管理面位置）
- 只接受 http/https，javascript: 等协议被服务端拒绝（会被渲染成 <a href>）
- 设置落在 local.monitors.json（私有层），只有自己的面板会出现该按钮
- 面板启动时额外拉 /api/monitors 合并 settings：原先只读静态 monitors.json
（公开层），导致私有层的设置面板看不到；纯静态部署无该接口时沿用公开配置
顺带修掉一个既存漏洞（与本轮改动无关，是引入私有层叠加机制时埋下的）：
/api/monitors 无鉴权却回吐合并后的完整配置，包含私有层的 UptimeRobot API Key ——
只要配了 key，任何访客 curl /api/monitors 就能拿到。现在两侧（Node 与 Worker）
都对对外响应剥离 uptimeRobot.apiKey，保留 enabled 等非敏感字段供面板读取；
探针内部同步仍用完整配置，剥离只作用于 HTTP 出口。
测试：verify-worker 36→40 项（新增 [E] 配置接口密钥泄露 4 条）、
verify-security 20→25 项（新增 [D2] 密钥泄露 5 条）。全项目 8 套 314 项通过。
|
2026-10-14 15:23:22 +08:00 |
|
|
tamakyi
|
752fad412b
|
feat: v0.12.0 —— 表格每行绝对等高 + 管理 WebUI（2FA 绑定才能进入）
① 每行绝对等高
- 行高与内容长度彻底解耦：新增 --row-h: 72px 作为唯一基准
- 名称列改为「文本区限两行 + 徽标区固定单行」两段式；文本区用 .clamp2
- 关键点：必须用 height 而非 max-height —— 后者会让短内容缩成一行、
长内容撑到两行，反而产生 66px/71px 两种行高（实测踩过）
- 分组标题行用 :not(.group-row) 排除在数据行规则之外
- 事件表与监控表格共用同一个 --row-h，两张表视觉上也严格对齐
- 完整值仍可通过悬停 title 查看（已加断言强制所有截断单元格带 title）
- 卡片视图同样等高（13 视口 × 250px 全一致）
② 管理 WebUI + 2FA
- 新增 /admin 与 /api/admin/*；未绑定 2FA 时除绑定流程外一律 403
- 零依赖实现 TOTP（RFC 6238），用 RFC 4226/6238 官方测试向量验证（16 个向量）
- 内置 QR 码生成器（byte 模式 / ECC L / 版本 1-10，GF(256) RS 纠错 + 掩码评分），
用独立解码器实测：版本 1 与版本 6 均能读出逐字节一致的内容
- 绑定流程：口令 → 生成密钥（扫码/手输/otpauth 链接）→ 验证 6 位码 → 10 枚恢复码；
完成后凭本次验证码直接换取会话
- 安全：会话 id 32 字节随机数且服务端只存哈希；HttpOnly+SameSite=Strict；
30 分钟空闲/2 小时最长；同时间步的码防重放；恢复码一次性；
登录失败按 IP 指数退避锁定；不解析 X-Forwarded-For
- 管理功能：运行状态、探测范围、展示口径、维护窗口增删、立即重探、通知自检、
目标只读列表、最近事件
- 所有写操作只落 local.monitors.json（私有不入库），绝不改 public/monitors.json
过程中修掉三个真 bug：
1. 会话 cookie 的 Path=/admin 覆盖不到 /api/admin/*，登录 200 但后续全部 401
2. 恢复码登录被 verifyTotp 的 invalid-format 提前挡掉（恢复码非 6 位数字）
3. 超大请求体用 req.destroy() 硬断连接，客户端只看到 fetch failed 拿不到状态码
测试：新增 scripts/verify-admin.cjs（102 项），全项目共 7 套 274 项全部通过
|
2026-10-14 12:37:07 +08:00 |
|