2 Commits

Include renames

Author	SHA1	Message	Date
tamakyi	86ea96e5ca	feat(autoban): 封禁响应图改为 ban_image_path 配置，默认仍是纯文字 ... 上一版把 403 图 //go:embed 进了二进制。实际部署里图会集中放在 R2 统一管理、 由运维分发到各机器，进仓库反而成了负担：换一张图就要重新编译。 改为配置驱动： - 新增 [security] ban_image_path（相对路径以进程工作目录为基准）； - 留空 / 文件读不到 / 是目录 / 不是图片 / 超过 2 MB → 一律回退为纯文字 "403 Forbidden"，即改造前的老行为。封禁响应是最后一道兜底，不能因为 一张图缺失就变成 500，更不能把站点拦在启动阶段（失败只 Warn）； - 启动时读一次装进 atomic.Pointer，热路径零磁盘 IO；换图 = 换文件 + 重启。 安全细节：按内容嗅探（http.DetectContentType）而不是扩展名，必须是 image/*。 把 ban_image_path 配成 app.ini / .env 会被拒绝并告警 —— 否则等于把配置文件 原样吐给每一个被封的攻击者。这条有专门的用例与变异验证。 顺带删掉 internal/route/assets（webp + embed），已无引用。 测试： - TestWriteBannedTextFallback：未配图 → 403 + text/plain + 13 字节明文； - TestWriteBannedServesConfiguredImage：配了 1×1 PNG → image/png（按内容嗅探）、 Content-Length 与文件一致、body 与文件逐字节相同； - TestLoadBanImageRejectsBadInput：不存在 / 是目录 / 非图片 / 空文件四种配置错误 都不得装载，且**不得把文件内容当响应体吐出去**； - TestLoadBanImageTooLarge：超 2 MB 拒绝； - TestWriteBannedHead：两条分支的 HEAD 都只回头不给 body。 变异验证：去掉 image/* 校验 → 用例报「把文件内容当响应体吐了出去： "[server]\nsalt = secret"」；强制走纯文字分支 → 配图用例按预期变红。 实测：真 webp 嗅探为 image/webp；app.sample.ini 嗅探为 text/plain 被拒。	2026-10-23 15:25:07 +08:00
tamakyi	0318ba81b4	feat(autoban): 封禁响应体改成一张 403 图片 ... 被封禁来源访问任何路径时，原来只回 13 字节的 "403 Forbidden"：既没有信息量， 人肉访问（尤其是共享出口被连累的误封）时看着像站点挂了；扫描/爆破脚本也常靠 读这行明文确认「自己已被拦」。 改为返回一张 256×256 的 webp（约 8.6 KB，画面写着 403 Forbidden），状态码不变： - 图片用 //go:embed 编进二进制，不依赖外部 URL、不占公开路径； - 显式给 Content-Length（8 KB 超过 Go 的 2 KB 写缓冲，不设会退回 chunked）； - Cache-Control: no-store —— 中间层缓存 403 没有意义，还会让解封后的响应继续命中； - HEAD 只回头不写 body； - 放在 internal/route/assets/ 而不是 static/：static 下的东西有可公开访问的 URL， 等于多一个指纹入口。 注意链接：给的 R2 预签名地址 X-Amz-Expires=604800（7 天），热链到期就会挂， 所以是把字节取回来打包，而不是重定向或代理。 测试： - TestWriteBanned：状态码 403、image/webp、Content-Length 与内嵌字节数一致、 body 前 12 字节是 RIFF/WEBP（防止被换成 HTML 或明文这类回归）； - TestWriteBannedHead：HEAD 无 body 但有 Content-Length； - 原 TestHoneypotBansEvenWhenAutoBanDisabled 里断言 "403 Forbidden" 明文的用例 改为断言 image/webp 与体积。 变异验证：把 writeBanned 改回写明文 + text/plain，两条用例均按预期变红。	2026-10-23 15:04:13 +08:00