 tamakyi
|
430c6ef6d8
|
docs(memory): 记录审计结论（CSP 默认 enforce、分享卡字体限制、复查新发现）
- topics/sec.md：两轮修复的结论、全局复查新发现（私聊 POST 越权、页面密码 next）、
CSP 白名单口径、字体只能用 glyf 轮廓这条硬限制，以及复现脚本的两种「假红」
- MEMORY.md：安全小节补跳转白名单、GET/POST 校验不对称、CSP/umami、注册防枚举
- 2026-10-27.md / topics/build.md：本地 WSL 部署与验收的具体跑法
|
2026-10-27 12:37:55 +08:00 |
|
|
tamakyi
|
29ddee07db
|
docs(memory): 记录封禁键/取证地址分离的根因、测试与变异验证经验
|
2026-10-23 10:53:13 +08:00 |
|
|
tamakyi
|
a215c2ba2b
|
docs(memory): dev 分享卡 500 的根因（字体从未入库）与二维码模块对齐
|
2026-10-22 22:33:53 +08:00 |
|
|
tamakyi
|
74312fba58
|
fix(honeypot): cleanPath 处理零宽字符，并在清洗生效时打诊断日志
上一版只用 strings.TrimSpace，实测漏掉「看不见但不算 White_Space」的字符：
cleanPath("\u200b/wp-login.php") = "/\u200b/wp-login.php"
（零宽没被删，还因为首字符不是 '/' 多补了一个斜杠，拼出更怪的路径）
改为 TrimFunc 同时匹配 unicode.IsSpace 与 U+200B/200C/200D/FEFF，且只处理首尾
—— 中间的零宽字符可能是攻击 payload，取证要保留原样。
另加诊断日志：清洗前后不一致时 WARN，用 %q 打出原始值。
测试环境出现过「记录里 path 带前导空白、本地链路却复现不出来」的情况，
不可见字符必须转义输出才定位得到。
测试：TestCleanPath 补零宽空格 / BOM / 中间零宽字符保留三个用例。
|
2026-10-21 16:18:25 +08:00 |
|
|
tamakyi
|
79051acae8
|
miguan v1
|
2026-10-21 12:09:28 +08:00 |
|