diff --git a/.workbuddy/memory/2026-10-23.md b/.workbuddy/memory/2026-10-23.md index 0475083..6375e2a 100644 --- a/.workbuddy/memory/2026-10-23.md +++ b/.workbuddy/memory/2026-10-23.md @@ -179,3 +179,29 @@ Tomcat 的 skin 忘了 css（按钮白字无底色）、WP 登录页底部挂着 - 换图方式：覆盖同目录 403.webp → 重新编译，无配置项。 - 体积代价：每封禁请求 8.6 KB（原 13 字节）。被封来源重试频繁时要留意带宽， 已压到 256×256；别塞几百 KB 原图。 + +### 关于「403 图放 R2 是否更好」的结论 + +结论：**保持 embed**。关键事实是「服务端代理/重定向并不省我们带宽」—— +字节最终还是从本机发给被封客户端；想真省只能让客户端自己去 R2 取， +那就要放弃「403 直接是图片」，改成 403 + 一个 `` 的 HTML。 +而本项目 R2 目前只有预签名 URL（7 天过期），长期用必须开 r2.dev 或绑自定义域 +（docs/theme-new-sakura.md 已记：直连 `*.r2.cloudflarestorage.com` 会 403）。 +8.6 KB 的单张图不值得引入外部依赖；被 ban 的多是脚本，根本不会加载图片。 +若动机只是「换图不想重编译」，加 `[security] ban_image_path` 磁盘覆盖更划算。 + +### 改为 ban_image_path（配置驱动，默认纯文字） + +按用户要求撤掉 embed：`internal/route/assets/`（含 403.webp）已删除， +行为改为「配了合法图 → 回图；留空 / 读不到 / 不是图 / >2MB → 纯文字 403」。 +- `[security] ban_image_path`（相对路径以进程工作目录为基准）； +- `loadBanImage()` 在 `route.New()` 里启动时读一次 → `atomic.Pointer[banResponse]`， + 热路径零磁盘 IO；任何失败只 Warn 不改启动（封禁响应是最后一道兜底，不能变 500）； +- **只认内容不认扩展名**（`http.DetectContentType` 必须是 `image/*`）：配成 + app.ini/.env 会被拒绝，否则等于把配置文件吐给攻击者（变异验证过这条）； +- 上限 2 MB（被封来源反复重试，大图放大出网带宽）；`Content-Length` 显式给； + HEAD 不写 body；`no-store`。 +- 实测 sniff：真 webp → `image/webp`；`app.sample.ini` → `text/plain`（被拒）。 + +**教训**：同一功能改了两版（先 embed 后配置化），第二版要把上一版的资源一起清掉， +否则留一个没人引用的 `assets` 包。`go vet ./...` 不报、测试也不报（该包仍被旧测试引用时）。 diff --git a/conf/app.sample.ini b/conf/app.sample.ini index 3bf0e70..c8cca5b 100644 --- a/conf/app.sample.ini +++ b/conf/app.sample.ini @@ -153,6 +153,14 @@ honeypot_ban_minutes = 1440 ; 建议单独挂一个卷，并让它不参与备份。 honeypot_cred_dir = data/honeypot-creds +; 被封禁（自动封禁 / 蜜罐封禁）时返回的图片路径，相对路径以进程工作目录为基准。 +; 留空、文件读不到、或内容不是图片 → 一律回退为纯文字 "403 Forbidden"。 +; 只接受 image/* 的内容（png / jpeg / gif / webp）：指向 app.ini 之类会被拒绝， +; 否则等于把配置文件当响应体吐给攻击者。 +; 建议用 256×256 左右的图并压到 20 KB 以内 —— 被封的来源会反复重试， +; 每张图都会照常占用出网带宽。 +ban_image_path = + ; 站点默认「内容审核严格度」：lax（宽松）/ standard（标准）/ strict（严格）。 default_moderation_strictness = ; 仅对未单独设置档位的账号生效（账号在设置页选择后以账号设置为准）。 diff --git a/docs/honeypot.md b/docs/honeypot.md index f232726..d4823d0 100644 --- a/docs/honeypot.md +++ b/docs/honeypot.md @@ -112,19 +112,35 @@ honeypot_cred_dir = data/honeypot-creds ### 被封之后会看到什么 -状态码 `403`，body 是一张 256×256 的 webp（约 8.6 KB，画面写着 403 Forbidden），不再是那行 13 字节的明文： +状态码永远 `403`，body 由 `[security] ban_image_path` 决定： + +```ini +[security] +ban_image_path = data/403.webp +``` + +| 情况 | 响应体 | +|---|---| +| 配了合法图片 | 图片本身（`Content-Type` 按内容嗅探，png/jpeg/gif/webp 都行） | +| 留空 | 纯文字 `403 Forbidden`（改造前的老行为） | +| 文件读不到 / 是目录 / 不是图片 / 超过 2 MB | 纯文字 `403 Forbidden` + 启动日志 Warn | ``` -$ curl -si https://你的站点/anything | head -4 +$ curl -si https://你的站点/anything | head -5 HTTP/2 403 content-type: image/webp content-length: 8608 cache-control: no-store, no-cache, must-revalidate ``` -这样做有两个目的：爆破脚本常靠读响应体里的 `403 Forbidden` 确认自己已被拦，换掉 body 让这类判断失效；人肉访问（尤其是被共享出口连累的误封）时，看到一张明确的图比白屏好判断。 +为什么要能换成图：爆破脚本常靠读响应体里的 `403 Forbidden` 确认自己已被拦，换掉 body 让这类判断失效；人肉访问（尤其是被共享出口连累的误封）时，看到一张明确的图比白屏好判断。但这是**可选**的——配错了不会影响封禁本身，只是回到纯文字。 -图片用 `go:embed` 编进二进制（`internal/route/assets/403.webp`），不占任何可公开访问的 URL。想换成自己的图：覆盖同目录文件后重新编译、重启即可。注意体积——被封的来源会反复重试，8.6 KB 是刻意压过的（原图别直接塞几百 KB 的）。 +几个约束，都是刻意的： + +- **只认内容，不认扩展名**（`http.DetectContentType`）。把 `ban_image_path` 配成 `app.ini` / `.env` 会被拒绝并告警——否则等于把配置文件原样吐给每一个被封的攻击者。 +- **上限 2 MB**。被封来源会反复重试，每张图都照常占用出网带宽；建议 256×256、20 KB 以内。 +- **启动时读一次**，之后每个请求只读内存，不在热路径上做磁盘 IO。换图 = 换文件 + 重启进程。 +- `no-store`：中间层缓存一张 403 没有意义，还会让解封后的响应继续命中缓存。 ### 封的是一把「键」，不是一个人 diff --git a/internal/conf/static.go b/internal/conf/static.go index 044ba04..19694f4 100644 --- a/internal/conf/static.go +++ b/internal/conf/static.go @@ -125,7 +125,15 @@ var ( // 就会跟着进备份、主从复制和任何能连库的报表工具，事后无法彻底清除。 // 目录会被强制为 0700、文件 0600；留空使用默认 data/honeypot-creds。 // 目录不可写时只降级为「不保存凭据」，不会影响站点启动。 - HoneypotCredDir string `ini:"honeypot_cred_dir"` + HoneypotCredDir string `ini:"honeypot_cred_dir"` + // BanImagePath 被封禁时返回的图片路径（本地文件，相对路径以进程工作目录为基准）。 + // + // 留空、文件读不到、或内容不是图片时，一律回退为纯文字 "403 Forbidden" —— + // 这条路径绝不能因为一张图把「拒绝」响应弄坏，更不能让缺失的资源变成 500。 + // + // 只接受 image/* 的内容：如果配成 app.ini 之类的文件会被拒绝并告警， + // 否则等于把配置文件当响应体吐给每一个被封的攻击者。 + BanImagePath string `ini:"ban_image_path"` SecurityAlertEmail string `ini:"security_alert_email"` // 触发封禁时告警收件人（留空不发送） } diff --git a/internal/route/assets/403.webp b/internal/route/assets/403.webp deleted file mode 100644 index 9982548..0000000 Binary files a/internal/route/assets/403.webp and /dev/null differ diff --git a/internal/route/assets/assets.go b/internal/route/assets/assets.go deleted file mode 100644 index 5eaaa7e..0000000 --- a/internal/route/assets/assets.go +++ /dev/null @@ -1,20 +0,0 @@ -// Package assets 存放「必须由服务端直接吐出」的二进制资源。 -// -// 为什么不放 static/：static 下的东西由静态文件中间件按 URL 提供， -// 而这里的图片只该出现在 403 响应体里 —— 不该有一个能直接访问的公开路径 -// （否则被 ban 的人可以先抓一张「解禁图」，也等于多一个指纹入口）。 -package assets - -import _ "embed" - -// BannedImage 是被封禁来源访问任何路径时返回的图（256×256 webp，约 8.6 KB）。 -// -// 换成图片的动机：被封之后每次请求都只拿到 13 字节的 "403 Forbidden"， -// 既没有信息量，也让人误以为是站点挂了。这张图明确写着 403 Forbidden， -// 人一看就懂，而状态码仍然是 403 —— 语义没变，只换了 body。 -// -// 想替换：直接覆盖同目录的 403.webp 后重新编译（go:embed 是编译期打包的， -// 不需要重启之外的操作）。 -// -//go:embed 403.webp -var BannedImage []byte diff --git a/internal/route/banned.go b/internal/route/banned.go index d374c35..e7c0f2f 100644 --- a/internal/route/banned.go +++ b/internal/route/banned.go @@ -2,33 +2,123 @@ package route import ( "net/http" + "os" "strconv" + "strings" + "sync/atomic" - "github.com/tamakyi/TamaBox/internal/route/assets" + "github.com/sirupsen/logrus" ) +// banText 是没有任何封禁图时的响应体 —— 改造前的老行为。 +const banText = "403 Forbidden" + +// maxBanImageBytes 限制封禁图的大小。 +// +// 不是为了防攻击者（路径来自运维配置），而是防手滑：被封的来源会反复重试， +// 每张图都会照常占用出网带宽，几百 KB 的原图能把这条路径变成放大器。 +const maxBanImageBytes = 2 << 20 + +// banResponse 是装载好的封禁响应（图片体 + 内容类型）。 +type banResponse struct { + body []byte + contentType string +} + +// bannedImage 在启动时装载一次，之后每个被封请求只读。 +// nil 表示没有可用的图，回退纯文字。 +var bannedImage atomic.Pointer[banResponse] + +// loadBanImage 读取 [security] ban_image_path 指向的图片。 +// +// 任何失败都不返回 error、不影响启动：封禁响应是最后一道兜底， +// 不能因为一张图缺失就变成 500，更不能把站点拦在启动阶段。 +// 失败时 bannedImage 保持 nil，writeBanned 会回退成纯文字 "403 Forbidden"。 +func loadBanImage(path string) bool { + // 先清空：重复调用（测试、将来的热替换）时不至于留着上一次的图。 + bannedImage.Store(nil) + + path = strings.TrimSpace(path) + if path == "" { + return false + } + + info, err := os.Stat(path) + if err != nil { + logrus.WithError(err).WithField("path", path). + Warn("ban_image_path 不可读，封禁响应回退为纯文字 403") + return false + } + if info.IsDir() { + logrus.WithField("path", path). + Warn("ban_image_path 是个目录，封禁响应回退为纯文字 403") + return false + } + if info.Size() > maxBanImageBytes { + logrus.WithFields(logrus.Fields{"path": path, "size": info.Size(), "max": maxBanImageBytes}). + Warn("ban_image_path 超过 2 MB（被封来源会反复重试，大图等于放大出网带宽），已回退为纯文字 403") + return false + } + + body, err := os.ReadFile(path) + if err != nil { + logrus.WithError(err).WithField("path", path). + Warn("ban_image_path 读取失败，封禁响应回退为纯文字 403") + return false + } + + // 按内容嗅探而不是按扩展名：配成 app.ini / .env 这类文件时必须拒绝， + // 否则等于把配置文件原样吐给每一个被封的攻击者。 + // DetectContentType 只看前 512 字节，对常见图片格式足够。 + ct := http.DetectContentType(body) + if !strings.HasPrefix(ct, "image/") { + logrus.WithFields(logrus.Fields{"path": path, "detected": ct}). + Warn("ban_image_path 不是图片（只接受 image/*：png/jpeg/gif/webp），已回退为纯文字 403") + return false + } + + bannedImage.Store(&banResponse{body: body, contentType: ct}) + logrus.WithFields(logrus.Fields{"path": path, "type": ct, "size": len(body)}). + Info("封禁响应图已装载") + return true +} + // writeBanned 写出「来源已被封禁」的响应。 // -// 状态码仍然是 403 —— 语义不变，只把 body 从 13 字节的 "403 Forbidden" -// 换成一张 256×256 的 webp（约 8.6 KB）： -// - 顶掉明文：爆破/扫描脚本不少会读响应体里的 "403 Forbidden" 来确认自己 -// 已被拦，换掉 body 至少让这类判断失效（状态码本身还是照常返回）； -// - 给人看：误封（比如共享出口、代理）时打开浏览器看到一张写着 403 的图， -// 比一个没有任何样式的白屏好判断得多。 +// 状态码始终是 403，只决定 body 是什么： +// - 配了合法图片 → 直接回图片（顶掉明文，爆破脚本靠读 "403 Forbidden" +// 确认自己被拦的那套判断会失效；人肉访问时也能看懂发生了什么）； +// - 没配 / 配错 → 纯文字 "403 Forbidden"，即改造前的老行为。 // -// 图片是编译期 embed 的，不走磁盘 IO，也不占一个可公开访问的 URL。 -// 被封住的来源往往反复重试，所以这里显式给 Content-Length（否则 8 KB 会退回 -// chunked），并标 no-store：中间层缓存一张 403 图没有意义，还会让解封后 -// 的响应继续命中缓存。 +// 两条分支都显式给 Content-Length：图片动辄几十 KB，超过 Go 的 2 KB 写缓冲， +// 不设就会退回 chunked。no-store 是因为中间层缓存一张 403 没有意义， +// 还会让解封后的响应继续命中缓存。 func writeBanned(w http.ResponseWriter, method string) { + img := bannedImage.Load() + if img == nil { + writeBannedText(w, method) + return + } + h := w.Header() - h.Set("Content-Type", "image/webp") - h.Set("Content-Length", strconv.Itoa(len(assets.BannedImage))) + h.Set("Content-Type", img.contentType) + h.Set("Content-Length", strconv.Itoa(len(img.body))) h.Set("Cache-Control", "no-store, no-cache, must-revalidate") h.Set("X-Robots-Tag", "noindex, nofollow") w.WriteHeader(http.StatusForbidden) // HEAD 不写 body（net/http 也会丢弃，这里省掉一次无意义的拷贝）。 if method != http.MethodHead { - _, _ = w.Write(assets.BannedImage) + _, _ = w.Write(img.body) + } +} + +func writeBannedText(w http.ResponseWriter, method string) { + h := w.Header() + h.Set("Content-Type", "text/plain; charset=utf-8") + h.Set("Content-Length", strconv.Itoa(len(banText))) + h.Set("Cache-Control", "no-store, no-cache, must-revalidate") + w.WriteHeader(http.StatusForbidden) + if method != http.MethodHead { + _, _ = w.Write([]byte(banText)) } } diff --git a/internal/route/banned_test.go b/internal/route/banned_test.go index 00cd4fd..455f225 100644 --- a/internal/route/banned_test.go +++ b/internal/route/banned_test.go @@ -1,55 +1,149 @@ package route import ( + "encoding/base64" "net/http" "net/http/httptest" + "os" + "path/filepath" "strconv" "strings" "testing" - - "github.com/tamakyi/TamaBox/internal/route/assets" ) -// TestWriteBanned 守住「被封禁后的响应是一张图」。 -func TestWriteBanned(t *testing.T) { +// tinyPNG 是 1×1 的合法 PNG，用来验证「配了图就回图」这条分支。 +const tinyPNG = "iVBORw0KGgoAAAANSUhEUgAAAAEAAAABCAYAAAAfFcSJAAAADUlEQVR42mP8z8BQDwAEhQGAhKmMIQAAAABJRU5ErkJggg==" + +func writeTempImage(t *testing.T, data []byte) string { + t.Helper() + p := filepath.Join(t.TempDir(), "ban.png") + if err := os.WriteFile(p, data, 0o600); err != nil { + t.Fatal(err) + } + return p +} + +func decodeTinyPNG(t *testing.T) []byte { + t.Helper() + b, err := base64.StdEncoding.DecodeString(tinyPNG) + if err != nil { + t.Fatal(err) + } + return b +} + +// TestWriteBannedTextFallback 守住默认行为：没配图时就是改造前的纯文字 403。 +func TestWriteBannedTextFallback(t *testing.T) { + if loadBanImage("") { + t.Fatal("空路径不应装载出图") + } rec := httptest.NewRecorder() writeBanned(rec, http.MethodGet) if rec.Code != http.StatusForbidden { - t.Fatalf("status = %d, want 403（换成图片不改变状态码语义）", rec.Code) + t.Fatalf("status = %d, want 403", rec.Code) } - if ct := rec.Header().Get("Content-Type"); ct != "image/webp" { - t.Errorf("Content-Type = %q, want image/webp", ct) + if ct := rec.Header().Get("Content-Type"); !strings.HasPrefix(ct, "text/plain") { + t.Errorf("Content-Type = %q, want text/plain（没配图时回退纯文字）", ct) } - if cl := rec.Header().Get("Content-Length"); cl != strconv.Itoa(len(assets.BannedImage)) { - t.Errorf("Content-Length = %q, want %d", cl, len(assets.BannedImage)) + if body := rec.Body.String(); body != banText { + t.Errorf("body = %q, want %q", body, banText) + } + if cl := rec.Header().Get("Content-Length"); cl != strconv.Itoa(len(banText)) { + t.Errorf("Content-Length = %q, want %d", cl, len(banText)) + } +} + +// TestWriteBannedServesConfiguredImage 守住「配了图就回图」。 +func TestWriteBannedServesConfiguredImage(t *testing.T) { + data := decodeTinyPNG(t) + if !loadBanImage(writeTempImage(t, data)) { + t.Fatal("合法的 PNG 应装载成功") + } + t.Cleanup(func() { loadBanImage("") }) + + rec := httptest.NewRecorder() + writeBanned(rec, http.MethodGet) + + if rec.Code != http.StatusForbidden { + t.Fatalf("status = %d, want 403（换 body 不改变状态码语义）", rec.Code) + } + if ct := rec.Header().Get("Content-Type"); ct != "image/png" { + t.Errorf("Content-Type = %q, want image/png（按内容嗅探，不看扩展名）", ct) + } + if cl := rec.Header().Get("Content-Length"); cl != strconv.Itoa(len(data)) { + t.Errorf("Content-Length = %q, want %d", cl, len(data)) + } + if body := rec.Body.Bytes(); string(body) != string(data) { + t.Errorf("body 与文件内容不一致（%d vs %d 字节）", len(body), len(data)) } if cc := rec.Header().Get("Cache-Control"); !strings.Contains(cc, "no-store") { - t.Errorf("Cache-Control = %q, want 含 no-store（中间层缓存 403 无意义）", cc) + t.Errorf("Cache-Control = %q, want 含 no-store", cc) } +} - body := rec.Body.Bytes() - // webp 的容器头：RIFF....WEBP。写成字节判断，避免「图片被换成 HTML」这类回归。 - if len(body) < 12 || string(body[0:4]) != "RIFF" || string(body[8:12]) != "WEBP" { - t.Errorf("body 不是 webp（前 12 字节 %q）", body[:min(12, len(body))]) +// TestLoadBanImageRejectsBadInput 覆盖各种配置错误：都必须降级为纯文字， +// 而不是报错、更不是把文件内容原样吐出去。 +func TestLoadBanImageRejectsBadInput(t *testing.T) { + t.Cleanup(func() { loadBanImage("") }) + + cases := []struct { + name string + path string + }{ + {"不存在的文件", filepath.Join(t.TempDir(), "nope.png")}, + {"是个目录", t.TempDir()}, + {"不是图片", writeTempImage(t, []byte("[server]\nsalt = secret\n"))}, + {"空文件", writeTempImage(t, nil)}, } - if strings.Contains(string(body), "403 Forbidden") && len(body) < 512 { - t.Error("body 仍是明文文案，没换成图片") + for _, c := range cases { + if loadBanImage(c.path) { + t.Errorf("%s: 不应装载成功", c.name) + } + rec := httptest.NewRecorder() + writeBanned(rec, http.MethodGet) + if ct := rec.Header().Get("Content-Type"); !strings.HasPrefix(ct, "text/plain") { + t.Errorf("%s: 应回退纯文字，实际 Content-Type = %q", c.name, ct) + } + if body := rec.Body.String(); strings.Contains(body, "salt") { + t.Errorf("%s: 把文件内容当响应体吐了出去：%q", c.name, body) + } } } +// TestLoadBanImageTooLarge 守住体积上限：被封来源反复重试，大图等于放大出网带宽。 +func TestLoadBanImageTooLarge(t *testing.T) { + big := make([]byte, maxBanImageBytes+1) + copy(big, []byte("\x89PNG\r\n\x1a\n")) + if loadBanImage(writeTempImage(t, big)) { + t.Error("超过 2 MB 的文件不应被装载") + } + loadBanImage("") +} + // TestWriteBannedHead 覆盖 HEAD：头照给（含 Content-Length），body 不发。 func TestWriteBannedHead(t *testing.T) { - rec := httptest.NewRecorder() - writeBanned(rec, http.MethodHead) + for _, withImage := range []bool{false, true} { + if withImage { + data := decodeTinyPNG(t) + if !loadBanImage(writeTempImage(t, data)) { + t.Fatal("装载失败") + } + } else { + loadBanImage("") + } - if rec.Code != http.StatusForbidden { - t.Fatalf("status = %d, want 403", rec.Code) - } - if rec.Body.Len() != 0 { - t.Errorf("HEAD 不应有 body，实际 %d 字节", rec.Body.Len()) - } - if cl := rec.Header().Get("Content-Length"); cl != strconv.Itoa(len(assets.BannedImage)) { - t.Errorf("Content-Length = %q, want %d", cl, len(assets.BannedImage)) + rec := httptest.NewRecorder() + writeBanned(rec, http.MethodHead) + if rec.Code != http.StatusForbidden { + t.Errorf("withImage=%v: status = %d, want 403", withImage, rec.Code) + } + if rec.Body.Len() != 0 { + t.Errorf("withImage=%v: HEAD 不应有 body，实际 %d 字节", withImage, rec.Body.Len()) + } + if rec.Header().Get("Content-Length") == "" { + t.Errorf("withImage=%v: HEAD 也应给出 Content-Length", withImage) + } } + loadBanImage("") } diff --git a/internal/route/honeypot_test.go b/internal/route/honeypot_test.go index 0b90b0b..8907b7a 100644 --- a/internal/route/honeypot_test.go +++ b/internal/route/honeypot_test.go @@ -297,12 +297,13 @@ func TestHoneypotBansEvenWhenAutoBanDisabled(t *testing.T) { if resp2.StatusCode != http.StatusForbidden { t.Errorf("status = %d, want 403（蜜罐封禁不得被 enable_auto_ban 连坐）", resp2.StatusCode) } - // body 是一张 403 图（见 writeBanned），不再是那行明文。 - if ct := resp2.Header.Get("Content-Type"); ct != "image/webp" { - t.Errorf("Content-Type = %q, want image/webp", ct) + // 没配 ban_image_path 时，封禁响应就是纯文字（见 writeBanned）。 + // 配了图的分支由 banned_test.go 覆盖。 + if ct := resp2.Header.Get("Content-Type"); !strings.HasPrefix(ct, "text/plain") { + t.Errorf("Content-Type = %q, want text/plain", ct) } - if len(body) < 1024 { - t.Errorf("body 只有 %d 字节，want 一张图片", len(body)) + if !strings.Contains(string(body), banText) { + t.Errorf("body = %q, want 含 %q", truncate(string(body), 80), banText) } } diff --git a/internal/route/route.go b/internal/route/route.go index 77748c1..eb026de 100644 --- a/internal/route/route.go +++ b/internal/route/route.go @@ -136,6 +136,11 @@ func New() *flamego.Flame { // 装配细节见 newBanner（集中一处，便于回归测试断言配置真的传进去了）。 ab := newBanner() + // 封禁响应图：启动时读一次，之后每个被封请求只读内存。 + // 留空 / 读不到 / 不是图片 → 回退纯文字 403（见 loadBanImage）， + // 绝不因为一张图把站点拦在启动阶段。 + loadBanImage(conf.Security.BanImagePath) + // 蜜罐（虚假后台登录界面）：默认关闭，需在 [security] 段显式 enable_honeypot = true。 // 命中即返回假登录页 + 记录破解凭据 + 复用上面的 autoban 封禁/告警链路。 hp := honeypot.New(honeypot.Options{