fix(security): 修复安全审计的 P1/P2/P3 项，含全局复查新发现的两处越权与外跳
P1： - 外链图片：markdown 渲染层只放行站内与自有 CDN 图片。配置里的 image_bucket_cdn_host 常写成 host/path，统一归一化后再比对，避免把自家图一起剥掉 - 密码：页面/提问密码最小 6 位；密码比对挪到验证码之后；页面密码失败锁定 5 次/10 分钟 - 客户端 IP：CF-Connecting-IP / EO-Client-IP 只在 TCP 对端可信（回环或 trusted_proxies） 时采信，公网对端带来的权威头一律忽略 P2/P3： - 跳转参数收敛到 shared.SafeRedirectTarget：拒反斜杠与控制字符（url.Parse 会把 %0d%0a 解成 CRLF，伪造 Location），最后再用 path.Clean 验一次前缀 - 注册不再暴露「邮箱已注册 / 已停用」：与全新注册共用同一个成功出口，只在日志留痕 - CSP：默认 enforce，白名单由配置派生，覆盖 umami（运行时注入）、Turnstile 与 按 sentry_dsn 条件放行的 Sentry CDN - /user 与 /_ 下发 no-store；补 X-XSS-Protection、Permissions-Policy，并把安全头前移到 静态资源中间件之前（原先静态文件拿不到 nosniff/HSTS） - 封禁事实落库 ban_records；429 统一带 Retry-After 与本地化文案 - token 比较改常量时间；探索页页码上限；JSON 响应显式 Content-Type 全局复查补的两处： - 私聊 SendMessage 的 POST 缺 conv.OwnerID 校验，被拉黑者可换 domain 继续发消息 - 页面密码 next 与登录 to 同源的反斜杠外跳 验收：verify_p1_fixes 4/4、verify_round2 19/19、verify_page_next 6/6、 verify_chat_owner 3/3（含变异对照）；单测与 go build ./... 全通过。
This commit is contained in:
tamakyi
+54
-12
@@ -66,19 +66,61 @@ trust_proxy = false
|
||||
;
|
||||
; —— 双 CDN（境内腾讯 EdgeOne + 境外 Cloudflare）场景 ——
|
||||
; EdgeOne 回源会用 EO-Client-IP 携带客户端真实 IP（等效 CF-Connecting-IP），
|
||||
; 本程序在 trust_proxy=true 时已同时信任这两个权威头。
|
||||
; 两家 CDN 并存时必须：① 防火墙仅放行两家回源网段；② 在各家 CDN 的规则引擎中
|
||||
; 删除回源请求里「对方 CDN」的权威头（经 EdgeOne 回源删 CF-Connecting-IP、
|
||||
; 经 Cloudflare 回源删 EO-Client-IP），否则攻击者可借道另一家伪造客户端身份，
|
||||
; 绕过限流 / 自动封禁 / 单 IP 投票限制。详细步骤见 outputs/edgeone-cloudflare-dual-cdn-guide.md。
|
||||
; 本程序在 trust_proxy = true 时同时支持这两个权威头。
|
||||
; ⚠️ 权威头只在「TCP 对端可信」时才被采信（回环地址，或命中 trusted_proxies）。
|
||||
; 这条是代码里的硬约束，不再依赖运维纪律 —— EdgeOne 不剥离客户端自带的 CF-Connecting-IP，
|
||||
; 旧实现无条件优先读它，导致经 EdgeOne 进来的请求客户端 IP 完全可控：
|
||||
; 限流 / IP 黑名单失效，且 autoban 按假 IP 记账可被用来栽赃任意正常用户。
|
||||
; 双 CDN 并存时：① 两家回源网段都登记到 trusted_proxies；② 防火墙仅放行两家回源网段；
|
||||
; ③ 仍建议在各家规则引擎里删掉「对方 CDN」的权威头（纵深防御）。
|
||||
; 仅用 cloudflared Tunnel 回本机时对端是 127.0.0.1，无需任何额外配置。
|
||||
; 重新启用 EdgeOne 前请先按本节核对，步骤见 outputs/edgeone-cloudflare-dual-cdn-guide.md。
|
||||
|
||||
trusted_proxies =
|
||||
; 逗号分隔的「你自己的」反向代理/负载均衡 IP 或 CIDR（如 127.0.0.1、
|
||||
; 10.0.0.0/8）。仅当 TCP 对端落在该清单内时才解析 X-Forwarded-For / X-Real-IP。
|
||||
; 留空（默认）则这两个头永不被信任，仅采用 CDN 权威头 CF-Connecting-IP /
|
||||
; EO-Client-IP（需源站已锁定）。
|
||||
; 注意：此清单用于你自己的基础设施，不是 CDN 的全量 CIDR 清单。
|
||||
; 自动封禁（fail2ban 风格）：检测到批量扫描/探测后临时封禁来源 IP
|
||||
; 逗号分隔的「你自己的」反向代理/负载均衡 IP 或 CIDR（如 10.0.0.0/8），
|
||||
; 或「CDN 直连回源」形态下该 CDN 的回源网段。
|
||||
; 回环地址（127.0.0.1 / ::1）无需登记即视为可信对端：cloudflared / 本机 nginx
|
||||
; 回源的连接必然由本机进程发起，外部无法伪造。
|
||||
; 除回环以外，CDN 权威头也必须对端命中本清单才会被采信 —— 公网对端带来的
|
||||
; CF-Connecting-IP / EO-Client-IP 一律忽略，改用 TCP 对端地址。
|
||||
; 仅当 TCP 对端命中本清单时才解析 X-Forwarded-For / X-Real-IP。
|
||||
; 注意：此清单用于你自己的基础设施（含你选定 CDN 的回源网段），
|
||||
; 不是 CDN 的全量 CIDR 清单。
|
||||
; 内容安全策略（CSP）模式：off / report / enforce，留空等同 report。
|
||||
csp = enforce
|
||||
; enforce（默认）：真正拦截。脚本白名单由代码从 [upload] 的图片 CDN 域名与
|
||||
; [recaptcha] 的域名自动派生，另内置模板实际引用的 cdnjs.snrat.com
|
||||
; （UIkit/Alpine/dayjs/vConsole）、challenges.cloudflare.com 与 umami 统计域；
|
||||
; 配了 sentry_dsn 时自动放行 browser.sentry-cdn.com。
|
||||
; ⚠️ 日后新增第三方脚本 / 字体 / 接口域名，必须同步加进 internal/route/csp.go，
|
||||
; 否则控制台会刷 "Refused to load ..." 且对应功能静默失效。
|
||||
; report：只下发 Content-Security-Policy-Report-Only，页面照常加载，违规只进浏览器
|
||||
; 控制台（配了 csp_report_uri 才上报）。不给上报地址时它等于没装，
|
||||
; 所以只在「怀疑误伤、想先看证据」时临时用。
|
||||
; off：完全不下发（排障逃生口）。
|
||||
; 默认值的前提是白名单已用真浏览器逐页巡检过：
|
||||
; outputs/sec-audit-2026-10-25/csp_sweep.py（20 个页面零违规）。
|
||||
; 上线后发现误伤：把这里改成 report 或 off 再重启，不用改代码。
|
||||
; 图片 / 样式 / 字体 / 连接放宽到 https:（箱主上传图与主题背景可能落在任意 CDN），
|
||||
; 真正收紧的是 script-src、object-src、base-uri、form-action、frame-ancestors。
|
||||
; report：只下发 Content-Security-Policy-Report-Only，页面照常加载，违规只进浏览器
|
||||
; 控制台（配了 csp_report_uri 才上报）—— 用于上线前观察一周再切 enforce。
|
||||
; enforce：真正拦截。脚本白名单由代码从 [upload] 的图片 CDN 域名与 [recaptcha] 的域名
|
||||
; 自动派生，另内置模板实际引用的 cdnjs.snrat.com（UIkit/Alpine/dayjs/vConsole）
|
||||
; 与 challenges.cloudflare.com。
|
||||
; ⚠️ 日后新增第三方脚本 / 字体 / 接口域名，必须同步加进 internal/route/csp.go，
|
||||
; 否则控制台会刷 "Refused to load ..." 且对应功能静默失效。
|
||||
; off：完全不下发（排障逃生口）。
|
||||
; 图片 / 样式 / 字体 / 连接放宽到 https:（箱主上传图与主题背景可能落在任意 CDN），
|
||||
; 真正收紧的是 script-src、object-src、base-uri、form-action、frame-ancestors。
|
||||
; CSP 违规上报地址（可选）。留空时违规只进浏览器控制台，不上报。
|
||||
csp_report_uri =
|
||||
; ⚠️ 限流与自动封禁的计数器都在进程内存里（internal/route/ratelimit.go、
|
||||
; internal/security/autoban）。单副本部署（当前形态：cloudflared Tunnel 回一台机器）
|
||||
; 下工作正常；一旦改成多副本 / 多机，每个副本各有一份计数（实际额度 × 副本数），
|
||||
; 进程重启即清零。多副本前必须先把计数迁到 Redis。
|
||||
; 封禁「事实」已落库（ban_records 表：键 / 原因 / 时长 / 到期时间），
|
||||
; 重启丢的只是生效状态，账本还在。
|
||||
enable_auto_ban = true
|
||||
; 是否把「未注册路径的 404」计入封禁统计（默认 false）。正常业务
|
||||
ban_track_notfound = false
|
||||
@@ -313,4 +355,4 @@ timezone = Asia/Shanghai
|
||||
default = default
|
||||
available = default,sakura,shiroko,new-sakura
|
||||
; ⚠️ 没登记在 available 里的主题，即使 css 已随二进制发布也不会出现在设置页；
|
||||
; 启动日志会打出「[theme] available 未登记以下主题」提醒。,shiroko
|
||||
; 启动日志会打出「[theme] available 未登记以下主题」提醒。
|
||||
|
||||
Reference in New Issue
Block a user