 tamakyi
|
20b499c350
|
fix: 零配置克隆可直接看到数据 + 新增本地运行文档
实测「全新克隆 → node prober/node/index.js」时发现两个问题：
1. **面板是空的**（新手陷阱）
public/monitors.json 默认 dataFilter=uptimerobot，但 uptimeRobot.enabled=false
（API Key 放在不入库的 local.monitors.json 里）。新克隆的用户没有私有配置，
于是日志显示「探测范围: uptimerobot —— 仅 UptimeRobot（0 个）」，面板永远空白。
改默认为 dataFilter=both：零配置时探测 8 个示例目标，配了 UR 再自行切换口径。
2. DEPLOY-PAGES.md 里写了 `cp local.monitors.json.example` —— 该文件根本不存在。
改成直接启动 + 用 <details> 折叠说明可选的私有配置写法。
另外：
- package.json 版本号从 0.1.0 同步到 0.12.3（此前一直漏更）
- 新增 docs/DEPLOY-LOCAL.md：最短路径（3 条命令）、三种运行模式、常用参数、
配置示例（http/tcp/banner）、配置分层说明、UptimeRobot 接入、
管理端 2FA 绑定四步、通知配置、开机自启（systemd + NSSM）、八条常见问题
- README 加「本地运行」入口，指向两份部署文档
实测验证：干净克隆 + 默认配置 → 8 个目标、5 在线 3 离线，心率图与事件区块均有数据。
|
2026-10-14 17:01:46 +08:00 |
|
|
tamakyi
|
6b0a23c38e
|
feat: v0.12.2 —— 跨域只读支持（面板可部署在别处）
用户诉求：管理端与前端完全分离，本地探针只跑 /admin，前端部署到 GitHub Pages
并硬编码管理地址，探测仍在本地常驻。用户自己搭隧道给本地套 HTTPS。
硬限制（务必先看）：GitHub Pages 强制 HTTPS，而浏览器「混合内容」策略禁止
HTTPS 页面 fetch HTTP 资源 —— 这与 CORS 无关，改设置也没用。
因此 settings.dataUrl 必须与面板页面同为 HTTPS。
服务端
- 只读接口（/api/status、/api/monitors、/api/events、/api/v2/getMonitors、
/api/refresh）按 settings.corsOrigins 白名单回显 Access-Control-Allow-Origin
- /api/admin/* 一律不放行跨域，预检直接 403 —— 外部页面既读不到也改不了
- 绝不使用 '*'：白名单里写 '*' 不放行任何来源
前端
- settings.dataUrl 存在时，所有 api/ 相对路径自动改写到该地址
- 数据源标记为「远程探针（跨域）」，页脚可区分
- 管理界面新增两项配置：跨域数据源地址、允许跨域的页面地址（改完立即生效）
关键设计：origin 匹配必须考虑端口
origin 是「协议 + 主机 + 端口」的完整组合。最初白名单存 http://localhost（无端口），
导致本地前端跑在 localhost:5173 时被拒 —— 浏览器实测 Failed to fetch 而 curl 能过。
修法：回环主机（localhost / 127.0.0.1）忽略端口放行，其余要求完整 origin 精确匹配。
测试：verify-security 25→40 项，新增 [D3] CORS 白名单 14 条 + [D4] '*' 写法 1 条。
全项目 8 套 334 项通过。
附记一个测试上的教训：跨域 fetch 时 JS 读不到 Access-Control-Allow-Origin
（CORS 规范规定只有同源能读），所以断言「是否放行」要看 fetch 有没有拿到数据，
不能看响应头 —— 我一开始用 headers.get() 判断，拿到 null 误以为失败。
|
2026-10-14 16:19:31 +08:00 |
|
|
tamakyi
|
f345626840
|
fix: 管理入口改为「填链接」而非绑定特定隧道方案，并修掉配置接口的密钥泄露
用户反馈：「你不需要帮我处理 tunnel 这部分，也许我不是通过 tunnel 开放内网呢？
你只需要给我一个填写开放的管理端链接的地方。」
之前把「Cloudflare Tunnel」当成既定方案写进了配置与文档，这是替用户做了假设。
现在改为：项目只提供一个填地址的地方，怎么暴露完全由使用者决定。
- 删除 edge/cloudflare/tunnel.yml 与全部 tunnel 相关文档
- 新增 settings.adminUrl：管理界面里填一个地址，公开面板页脚出现「管理」按钮
指向它；留空则完全不显示（默认，避免在公网面板暴露管理面位置）
- 只接受 http/https，javascript: 等协议被服务端拒绝（会被渲染成 <a href>）
- 设置落在 local.monitors.json（私有层），只有自己的面板会出现该按钮
- 面板启动时额外拉 /api/monitors 合并 settings：原先只读静态 monitors.json
（公开层），导致私有层的设置面板看不到；纯静态部署无该接口时沿用公开配置
顺带修掉一个既存漏洞（与本轮改动无关，是引入私有层叠加机制时埋下的）：
/api/monitors 无鉴权却回吐合并后的完整配置，包含私有层的 UptimeRobot API Key ——
只要配了 key，任何访客 curl /api/monitors 就能拿到。现在两侧（Node 与 Worker）
都对对外响应剥离 uptimeRobot.apiKey，保留 enabled 等非敏感字段供面板读取；
探针内部同步仍用完整配置，剥离只作用于 HTTP 出口。
测试：verify-worker 36→40 项（新增 [E] 配置接口密钥泄露 4 条）、
verify-security 20→25 项（新增 [D2] 密钥泄露 5 条）。全项目 8 套 314 项通过。
|
2026-10-14 15:23:22 +08:00 |
|
|
tamakyi
|
a7408e2bb5
|
feat(theme): 全局装饰遮罩 + 尺寸统一；全局审阅修复对比度/暗色/平板布局
用户反馈的两点：
1. 遮罩看不出效果 → 人物与单车统一全局半透明 settings.decoOpacity（默认 .78）
（此前 0.92/0.80 不一致且几乎无感），各自保留边缘渐隐
2. 切视图时人物比例变化 → 删掉卡片视图专用的 300px 高度，两种视图尺寸一致
3. 保留原始素材 → 原图归档 assets-src/，处理流程固化为 scripts/prepare-artwork.py
全局审阅发现并修复：
- 无障碍对比度：两套主题的状态色当文字用时远低于 AA（最低 2.56:1）→ 双色体系
（填充色 ≥3:1 保持鲜亮 / 文字色 ≥4.5:1 同色系加深），暗色模式同步
- 暗色模式主题失效：顶栏/卡片/表头/分组行是硬编码白色 → 改为随模式切换的变量
- 平板竖屏 768px 表格需内部横滚 242px → 自动切卡片阈值 700 → 1024
- Cloudflare Worker 快照补齐 dataUpdatedAt/updateIntervalSec/dataFilter
- 清理失效 CSS（.logo .halo）
测试脚本修掉两个自身 bug（均为误报）：color(srgb/…) 与半透明底的解析、
渐变背景被误判为透明。verify-views 新增对比度断言 8 条，四套合计 89 项全通过。
|
2026-10-13 21:55:44 +08:00 |
|
|
tamakyi
|
5b417c84f4
|
fix(theme): 修横向拖动 + 立绘遮光环，形象换成简约风插画
问题与修复：
1. 桌面端表格/列表需要横向拖动 —— 上一版为避让立绘给 .grid/.footer 加了
240px 右内边距，而 .grid 是 max-width:1200px，内边距吃在 1200 内部，
1200px 以上的屏幕也必然溢出。改为立绘收窄 + 置于内容之下（z-index 低于面板）
2. 立绘遮挡光环水印 —— 光环水印移到页脚下方空带，与左下公路车、右下立绘形成
一条互不遮挡的装饰带
3. 形象换成简约风插画（AI 生成后抠底）：右下角全身立绘 + 同款半身像做 logo/favicon；
官方立绘/头像（SchaleDB 素材）已从仓库移除
验证：
- 1280/1440/1920 三种宽度下页面与表格均 0 溢出
- verify-views 新增 4 条断言（两视图无横向溢出、立绘不影响阅读），15/15 通过
- 四套脚本合计 74 项全通过
|
2026-10-13 19:56:46 +08:00 |
|
|
tamakyi
|
d88ba56156
|
feat(theme): 砂狼白子主题 —— 真实立绘/头像 + 自绘装饰
素材（第三方，仅个人自用）：
- 立绘/头像来自 SchaleDB（schaledb.com），学生 Id 10010 = 砂狼白子
- 版权归 NEXON Games / Yostar（蔚蓝档案），来源与公开部署提示见 README「主题」章节
自绘装饰（SVG/CSS，按公开设定还原）：
- 天蓝围巾飘带（顶栏底边）、公路车（左下角 + 加载车轮）
- 光环水印：倾斜椭圆环 + 四方位带圆头短杆（对齐官方造型，此前误画为正圆+三角）
- 倒十字发饰分组标识、迷你光环状态点
其他：主题切换（settings.theme / ?theme= / 顶栏按钮）、立绘位 settings.artwork
修复：dataFilter=uptimerobot 时平均延迟恒为「–」（改为纯外部来源时以其为唯一口径）
|
2026-10-13 19:29:07 +08:00 |
|
|
tamakyi
|
3db3ce570a
|
chore: v0.6.0 baseline — 主题美化前存档
已实现：HTTP/TCP/Banner 探测、90 天可用率、表格/卡片视图、
数据源过滤、UptimeRobot 双向兼容、服务端驱动的刷新节奏、
刷新接口滥用防护与信息泄露控制。
|
2026-10-13 18:31:58 +08:00 |
|