tamakyi
7802bb2078
fix(security): 修复安全审计的 P1/P2/P3 项，含全局复查新发现的两处越权与外跳
...
P1：
- 外链图片：markdown 渲染层只放行站内与自有 CDN 图片。配置里的
image_bucket_cdn_host 常写成 host/path，统一归一化后再比对，避免把自家图一起剥掉
- 密码：页面/提问密码最小 6 位；密码比对挪到验证码之后；页面密码失败锁定 5 次/10 分钟
- 客户端 IP：CF-Connecting-IP / EO-Client-IP 只在 TCP 对端可信（回环或 trusted_proxies）
时采信，公网对端带来的权威头一律忽略
P2/P3：
- 跳转参数收敛到 shared.SafeRedirectTarget：拒反斜杠与控制字符（url.Parse 会把 %0d%0a
解成 CRLF，伪造 Location），最后再用 path.Clean 验一次前缀
- 注册不再暴露「邮箱已注册 / 已停用」：与全新注册共用同一个成功出口，只在日志留痕
- CSP：默认 enforce，白名单由配置派生，覆盖 umami（运行时注入）、Turnstile 与
按 sentry_dsn 条件放行的 Sentry CDN
- /user 与 /_ 下发 no-store；补 X-XSS-Protection、Permissions-Policy，并把安全头前移到
静态资源中间件之前（原先静态文件拿不到 nosniff/HSTS）
- 封禁事实落库 ban_records；429 统一带 Retry-After 与本地化文案
- token 比较改常量时间；探索页页码上限；JSON 响应显式 Content-Type
全局复查补的两处：
- 私聊 SendMessage 的 POST 缺 conv.OwnerID 校验，被拉黑者可换 domain 继续发消息
- 页面密码 next 与登录 to 同源的反斜杠外跳
验收：verify_p1_fixes 4/4、verify_round2 19/19、verify_page_next 6/6、
verify_chat_owner 3/3（含变异对照）；单测与 go build ./... 全通过。
2026-10-27 12:37:40 +08:00
tamakyi
001306d940
模板样式令牌化：字号落到 5 档阶梯、圆角改走 --tb-radius
...
11 个模板里的硬编码字号/圆角换成令牌，为之后的深色与主题一致性打底。
字号（base.css 的 --tb-fs-xs/md/lg/xl/hero = 12/14/16/24/28）：
- 0.70~0.88rem、0.72rem 等五六档零碎值 → --tb-fs-xs(标签/meta) / --tb-fs-md(正文、列表、按钮)
- 0.95~1rem → --tb-fs-lg；1.5rem 大数字 → --tb-fs-xl；1.75rem 首页主标题 → --tb-fs-hero
- 以下几处**故意改变了观感**（不是等价替换，先记下来免得以后当 regression 查）：
explore 的 .explore-name 1.2rem → 1rem；.hot-vote-title 0.98 → 0.875；
首页 .tb-stat-num 手机端 1.25 → 1rem；.hot-vote-action 0.82 → 0.875（变大）。
圆角：
- 8/9/10px → --tb-radius-sm(8) / --tb-radius(12，对话框与气泡)；3/4/5/6px → --tb-radius-xs(6)
- 头像 50%、胶囊 999px 保留原样（语义值，不是视觉随意值）
其它：header 验证码输入框边框 #ccc → var(--tb-border)；chat 气泡与图片的圆角走内联 var()。
仍未令牌化（留给下一轮）：templates/user/profile.html 还有 16 处 font-size、base.css 自身 11 处
（0.78/0.82/0.88/0.95/1.1），邮件模板 mail/* 保持 px 不动（邮件客户端不保证 var()）。
2026-10-21 18:28:26 +08:00
tamakyi
86dc8384bc
全局美化 v5
2026-10-19 12:44:32 +08:00
tamakyi
d7c1782bb6
全局美化 v4
2026-10-19 12:07:21 +08:00
tamakyi
d47329d505
全局美化 v1
2026-10-19 11:08:30 +08:00
tamakyi
e3e59e7c69
chore: baseline snapshot before moderation-strictness feature
...
Repo .git was damaged (refs/ missing, index truncated, object store near-empty).
Repaired via git init (rebuilt refs), stale index preserved as .git/index.corrupt-20260910.bak,
then full worktree committed as a rollback baseline.
2026-09-10 10:56:27 +08:00
tamakyi