# 2026-10-25

## /stats 文案清理：把「写给运营者看」的话删掉

用户指出「数据速览」下面那句「下面几句是从上面的数字直接读出来的，没有推测」怪 ——
那是对他自己说的（作者视角的免责），不是对访客说的。顺着扫了页面全部 40 余条文案。

改动：

- **删 `stats.insight.note`**（四语言 + 模板那行 `<p class="tb-card-note">`）。
  卡片留「数据速览」+ 列表即可；`stats.insight.empty` 保留。
  删掉说明行后标题与列表之间只剩 4px，给 `.tb-insights` 补 `margin: 8px 0 0`。
- **`stats.foot.cacheNote` 去掉实现细节**：「当天重算一次的快照（当天第一次访问时算，
  服务重启也会重算）」→「累计数字与图表每天更新一次」。访客不需要知道缓存是懒重算、
  也不需要知道重启会触发重算；准确的新鲜度由「快照时间」那行给出。
- 顺手修了 `templates/stats.html` 里一条过期注释（还写着「四条时间」「基准日」，
  上一轮已改成三行「快照时间」）。

保留未动（判断过，不属于这个问题）：

- `stats.foot.privacy` 与顶部 `stats.lead` 的后半句近乎同义（隐私声明重复一次）——
  页脚隐私声明是惯例，重复不算噪音，故保留。
- `stats.today.tag` 的「（实时）」在 60s TTL 下仍成立，不改。

## 约定（已写进 topics/stats.md）

页面文案一律以**访客**为第二人称对象：不写实现细节（缓存、重启、索引），
不写作者视角的免责（「没有推测」「这里只有」「本文」这类把读者当审稿人的话）。
数据来源/隐私/新鲜度这些确实要对访客交代的事，放 `stats.lead` 与页脚注。

## 环比句改成「点明月份 + 条数」

用户问「上月提问量环比 -75.0%」是不是「上月同期比本月同期」。**不是**——实际比的是
两个**完整自然月**（9 月 vs 8 月）。但这个问题本身就是证据：句子里「上月」和「环比」
两个相对词叠着，读者得先做两次翻译，很容易读成「同期对比」。

- 新句：`9 月收到 5,620 条提问，比 8 月的 4,890 条多了 14.9%。`
  EN：`September had 5,620 questions; August had 4,890, up 14.9%.`
- 口径没变（仍是上月 vs 上上月，本月没过完不参与），只换表达。
- `page.go` 新增 `monthText`：CJK 一律「9 月」，英文用 `time.Month().String()`
  （"month 9" 不是英语），不带年份——相比的两个月相邻。
- 三个词条 `momUp/momDown/momFlat` 取代 `mom`：方向词没法塞进同一个模板，
  四种语言语序不同。参数顺序统一（本月份名/条数、对比月名/条数、|pct|）。
- `|pct| < 0.05` 走持平，避免「多了 0.0%」。
- 测试：`TestInsightMoMNamesBothMonths`（上升/下降/持平三分支，断言两个月份名 +
  两个条数都在句子里）、`TestMonthText`。
- 顺手修预览测试：`GrowthMoM` 原来写死 12.3，与 `monthly` 造的数据对不上，
  而新句会同时印出两个月的条数 → 截图会显示「5620 比 4890 多了 12.3%」这种假证据。
  改成从 `monthly[10]/monthly[9]` 算。

## 安全评估（AI 挖洞背景下的一次全量自检）

报告：`outputs/security-audit-2026-10-25.md`，脚本在 `outputs/sec-audit-2026-10-25/`。
结论：无 getshell / SQLi / 未授权读数据；但 2 个 P1 直击「匿名」承诺。

### P1-1 匿名提问可植入远程图片（去匿名化）
- `markdown.go` 的 `safeURL` 只校验协议，`<img src=https://任意域>` 能原样输出。
- 唯一挡住它的是审核「广告_引流类」维度，而该维度**只在 strict 档生效**
  （`censor/policy.go`：standard 只有 Abuse/Contraband，lax 为空）。
- 实测：账号切 standard → `<img src="https://tb871870.example.org/standard.png">` 直接入库并渲染；
  切回 strict 才被拒。→ 修法必须在 `markdown.go` 层限制 img src 为站内/白名单，不能依赖档位。
- 同时确认 8 种混淆（实体编码、`java\tscript:`、协议相对 `//`、反斜杠）都被审核识别。

### P1-2 访问密码可爆破 + 提问密码校验早于验证码
- `UpdatePagePassword`/`UpdateAskPassword` 只有 `maxlen:30`，**无 minlen**，可设 1 位。
- `page.go` 的 `New()` 第一件事就比对 AskPassword，验证码要到后面才校验 →
  实测「错误提问密码 + `deadbeef:999999`」返回「提问密码错误」而不是验证码错误 →
  **猜密码完全不消耗验证码**。限额 30/min（ask）、10/min（page）。

### 其余P2/P3
- 登录开放重定向：`to=/\evil.example` → `Location: /\evil.example`，浏览器按 WHATWG
  把 `\` 当 `/` → `https://evil.example/`。`path.Clean` 不处理反斜杠。
- 注册接口枚举邮箱（返回「已注册」），与 forgot-password 的防枚举口径不一致。
- 无 CSP；`X-XSS-Protection: 1` 过时；`/user` 无 `Cache-Control: no-store`。
- 限流/自动封禁是进程内存态（多副本叠加、重启清零）。
- 匿名投票身份 = `vote_fp` cookie，清 cookie 即换身份，仅 200/min/IP 兜底。
- 登录 `to` 兜底是死代码：`path.Clean("/"+to)` 恒非空 → 登录后永远落 `/` 而非箱主页。
- JSON 响应无 `Content-Type`（实测 text/plain）；429 无 `Retry-After`。

### 无法从外网确认的一项
`trust_proxy` 真实值。三种伪造头（XFF / X-Real-IP / EO-Client-IP）各 22 次都不被采信
（好的方向：无法伪造绕限流），但这既可能是 `trust_proxy=false`（→ 按 CF 边缘 IP 聚合，
限流与封禁会误伤整片区域），也可能是 true 且在 CF 侧删了 EO-Client-IP。需登服务器看 app.ini。

### 已验证没事（别重复怀疑）
CSRF 绑 uid（无 token POST → 400）；18 条 XSS 载荷全灭；跨箱题目/投票越权全 302；
页面密码对主页/整箱分享图/单题分享图/API 四个出口都生效；pixel/service/ShareCard 无 SSRF；
`exec cwebp` 不接用户输入；SMTP 默认校验证书；`RegenerateID` + `pwd_ver`；TLS1.0/1.1 拒绝；
无 CORS 头；测试站蜜罐已开（`/.git/HEAD`、`/.env` 返回假后台）。

### 测试卫生
- 测试站账号 `tbunread1022181904`，脚本已把严格度恢复 strict、清空 page/ask 密码、
  删除本轮 15 条测试提问（115–129）。下次复用前先确认这三项是干净的。
- 隔离 venv 里装了 `requests`（`~/.workbuddy/binaries/python/envs/default`），
  比 urllib 顺手；`/api/captcha/generate` 限流 20/min，批量提交脚本必须带 429 重试。

## 安全评估（续）：trust_proxy=true 引出的 P1-3

用户确认两套环境 `trust_proxy = true`。据此重做了 IP 采信那一块，发现比原来的推断严重：

### P1-3 双 CDN 下权威头优先次序反了
- `internal/shared/ip.go` 的 `ResolveClientIP` **无条件**先读 `CF-Connecting-IP`，再读 `EO-Client-IP`。
- 前提「权威头只能由 CDN 写入」只对 Cloudflare 成立：
  - CF：强制覆盖 `CF-Connecting-IP`，客户端伪造直接 **403**（生产/测试站实测一致）。
  - **EdgeOne：不剥离客户端传入的 `CF-Connecting-IP`**，`share.shiroko.one` 实测带该头返回 200
    （响应头 `Server: edgeone makers` / `EO-LOG-UUID`）。
- 代码优先读 CF 那个头 → 走 EO 线路时客户端 IP 完全可控。后果：限流/IP 黑名单全失效，
  且 `autoban.Record` 可被用来**栽赃任意 IP**（填别人的 IP 连打 10 次敏感路径 → 对方被封）。
- **今天打不通**：`box.shiroko.one` 境内递归（AliDNS DoH）只解析到 `cloudflare.182682.xyz` → 104.18.x/172.64.x，
  文档里写的境内 `eo.dnse4.com` 线路已不在；`box.tama.guru` 301 跳新域名也走 CF。差一条 DNS 记录。
- 修法：权威头也套 `isTrustedProxy(remote)`（回环可用 cloudflared 本机场景），fail-closed；
  EO 侧删 `CF-Connecting-IP`；日志同时记 `remote_addr` 与解析后 IP。

### 源站定位（外网已尽力，未找到）
- `box.shiroko.one` CNAME `cloudflare.182682.xyz`（第三方 CF SaaS 优选，zone 不在我们手里，
  其 Transform/WAF 规则无法自查）。
- certspotter 枚举 `*.shiroko.one` 11 个、`*.337845818.best` 19 个子域，逐个解析全部落
  Cloudflare / 腾讯 EdgeOne / Vercel（216.198.79.x、64.29.17.x），**无一条直连记录**。
- `status.shiroko.one`、`share.shiroko.one` → 43.174.246.43/247.43，用 box 的 SNI 访问回 418 Teapot
  → 是 EO 边缘不是源站。
- 结论：源站隐藏目前成功，但「找不到」≠「不可达」，仍需服务器侧 `security-selfcheck.sh local` 确认
  `listen = 127.0.0.1:5877`。

### 顺带修正
上一版报告曾把「三种伪造头都不生效」推断为 `trust_proxy` 可能为 false —— 那是错的解读：
无论 true/false，限流键都落在我自己的真实 IP 上，外部不可分辨。已在报告第四节改正。