 tamakyi
|
7ffab24025
|
安全: 修复页面密码零值绕过，导出不再泄露投票者 IP
页面密码（P0，2026-11-05 复核发现）
- 旧实现 `ver, _ := Session.Get(key).(uint); if ver != user.PagePasswordVer`
把「session 里没有授权记录」（断言失败得 0）与「新增列默认值 0」判成相等，
升级瞬间所有存量页面密码静默失效：匿名访客不带 cookie 即可读箱主页。
- 收口为 pagePasswordAuthorized：缺 key 一律视为未授权，
key 名由 pagePassKey 统一生成，Pager / ListAPI / AskStatusAPI 三处共用。
- 新增迁移 v6 回填 page_password_ver / ask_password_ver（仅仍为 0 且已设密码的行，
幂等），让模型语义与「改过一次密码」一致，并作废升级前的布尔授权。
- AskStatusAPI 的 L4 查询补日志（保持与 Pager 一致的 fail-open 口径）。
导出（P1）
- JSON 导出的投票提交不再输出 voter_ip。库里照常保留，
防刷、取证与站方 CLI 处置不受影响，只是不进箱主的自助导出文件。
测试
- route/question/page_password_test.go：8 个用例钉住零值/类型不符/轮换失效等边界。
- internal/db/page_password_migration_test.go：回填只碰该碰的行且幂等。
验证：WSL2 Debian + PostgreSQL 全量测试通过；隔离实例实测
ver=0 匿名访问返回密码页、API 401，输对密码后放行、改密后旧会话立即失效，
删除迁移账本后重启可正确回填。
|
2026-11-05 16:31:54 +08:00 |
|
|
tamakyi
|
25aee35030
|
安全与可靠性: 修复配额并发、投票事务、密码授权与导出完整性
|
2026-11-05 12:17:05 +08:00 |
|
|
tamakyi
|
693b1102c2
|
fix: 封堵 ask-status domain 枚举、私聊写路径 fail-open、压缩兜底重复提交
三处小修 + 两个格式清理，均来自全盘复查：
1. ask-status domain 枚举：ErrUserNotExists 分支原返回空数组、正常分支返回带元素
数组，凭空/非空可枚举 domain 是否存在（含被 L1 隐藏或设了页面密码的半公开箱）。
改为箱主不存在时也回显 ok:false，四种失败响应完全同形。
2. 私聊 SendMessage 写路径用 FeatureStateOf（fail-open 变体）：读配置失败会回退默认值，
与「写路径必须 FeatureStateOfStrict（失败即拒）」的约定不符。此前靠 chat 默认关闭
的巧合侥幸安全，现统一改 Strict。
3. 图片压缩 submit 兜底可重复提交：capture 监听器里 tbBeginSubmit 从 Promise 回调提前
到 preventDefault 同步栈，物理阻止压缩窗口内双击重复提交。
顺带：box_views.go / message_image.go / insights 两个文件补末尾换行与 struct 字段对齐
（gofmt 干净）。
|
2026-10-29 18:52:38 +08:00 |
|
|
tamakyi
|
5a05a61647
|
docs(api): 说明 ask-status 的 Method 检查是防御而非主路径
路由只注册了 POST（token 不能进 URL），所以 GET 会落到 NotFound 返回 404，
handler 里的 405 分支实际走不到。留着是为了将来路由若改成 f.Any 时仍然安全，
加上说明避免被当成死代码删掉。
|
2026-10-29 17:19:26 +08:00 |
|
|
tamakyi
|
5def41d0f8
|
feat(ux): 真 404 / HTML 500 页，以及「提问者找回自己的提问」
一、错误页
原来未知路径一律 302 到首页：用户点了个失效链接，地址栏莫名跳到首页却什么
提示都没有，分不清是链接坏了还是自己点错了；对搜索引擎是软 404，失效链接会
被当成有效页面一直占抓取预算。500 则是 flamego.Recovery() 的纯文本
"Internal Server Error"，白底黑字两行英文，没有返回入口，也没法报编号。
现在是 internal/route/errorpage.go 里的 writeErrorPage：
- 404 保留状态码 + 一页能看懂的说明 + 返回首页按钮 + noindex
- panic 由自写的 recoveryMiddleware 兜住，渲染同样的 HTML 500 页，
并带上 trace id（用户反馈时报这个号就能定位日志），日志里也带完整栈
- 响应已写出时不再写头（否则 net/http 会忽略状态码并打 superfluous 警告）
为什么不套模板：f.NotFound 不经过组级中间件 —— template.Templater 与
Contexter（连同 session、CSRF）都挂在 f.Group 上，在 NotFound 里注入
template.Data 会直接 panic（实测："value not found for type template.Data"）。
而 recovery 是最外层，那时模板还没装配。错误页恰恰最不该依赖可能出错的链路，
所以用内联 HTML + i18n.T，语言从 Accept-Language 猜（拿不到 session）。
蜜罐分流仍在 NotFound 最前面：临时打开 enable_honeypot 实测 /wp-admin
仍返回假 WordPress 登录页（200），普通未知路径返回 404。
二、提问者找回自己的提问
不填邮箱时，唯一能追踪这条提问的东西是提问成功页上那条链接 —— 关掉页面、
链接冲掉了就永久失联。箱主认真答了，提问者永远不知道。这是这类产品最核心的
体验断点，而它不需要账号体系就能解决：
- 成功页把 {domain, id, token} 写进本机 localStorage（最多 30 条，按 domain+id 去重）
- 再访该箱时显示一条不打扰的横条：「这台设备上有 N 条提问记录，其中 M 条已有回答」，
点「查看」展开列表，每条可直接打开
- 新增 POST /api/v1/ask-status 批量回答「哪些已被回答」：一次 IN 查询，不逐条 N+1
它不能用来枚举：必须同时给出正确 token 才返回 ok=true，而「token 错」「id 不存在」
「不属于该箱主」三种情况的响应完全相同（ok=false / answered=false / excerpt 为空），
无法区分。token 比较走常数时间，单次最多 20 条，限流 30/分钟。用 POST 不用 GET，
因为 token 不能进 URL（会留在浏览器历史、代理日志、Referer 里）。
列表摘要先过 MarkdownPlainText 再按 rune 截断：直接截原文会露出 
这种噪音，一条带图的提问几乎只剩链接。
验证：
- verify_ask_history.py 12/12（含「错误 token / 不存在的 id / 别人的提问」三者
响应完全一致、缺 CSRF 被拒、超 20 条截断）
- verify_ask_history_ui.mjs 用 CDP 在真实 Chrome 里跑：无记录时提示条隐藏；
注入记录后显示「1 条，其中 1 条已有回答」；列表渲染、链接带 token、点击展开正常
- 错误页单测 6 项（HTML/不泄露 panic 内容/已写出时不重复写头/语言选择/状态码/转义）
|
2026-10-29 17:18:39 +08:00 |
|