77 lines
3.4 KiB
Markdown
77 lines
3.4 KiB
Markdown
# 共享出口匿名投票防刷修改与测试报告
|
||
|
||
- **时间**：2026-08-26
|
||
- **目标**：解决 Cloudflare + `trust_proxy=true` 场景下，局域网用户共享公网 IP 导致同一投票只能一人提交的问题。
|
||
- **策略**：签名 `vote_fp` 负责设备级一人一票；IP 仅用于高阈值突发风控，不再承担同一投票的一票封顶。
|
||
|
||
## 修改内容
|
||
|
||
### 1. 删除匿名投票的 IP 一票封顶
|
||
|
||
`route/vote/vote.go`：
|
||
|
||
- 移除提交处理器内 `CountByIP(... 24h)` 且 `count >= 1` 即拒绝的逻辑。
|
||
- 匿名用户继续通过有效 HMAC `vote_fp` 与数据库唯一索引防止同一浏览器/设备重复投票。
|
||
- 无效或缺失 Cookie 仍会被重新签发，不会成为可信身份。
|
||
|
||
### 2. 新增投票提交专用的身份优先限流
|
||
|
||
`internal/route/ratelimit.go`：
|
||
|
||
新增 `voteSubmitRateLimitMiddleware`，投票提交同时经过两层限制：
|
||
|
||
- 登录用户：按 `user:<uid>` 独立限流，额度为常规参数的 3 倍。
|
||
- 匿名用户：按有效 `token:<vote_fp>` 独立限流。
|
||
- 所有匿名请求：同时经过 `ip:<client-ip>` 高阈值兜底限流，默认是传入基础额度的 10 倍。
|
||
- 无效/缺失 Cookie 不会获得独立 token 限流身份，只能使用 IP 兜底。
|
||
- 触发限制时返回 HTTP 429，不进入实际投票提交处理器。
|
||
|
||
`internal/route/route.go` 已将 `/vote/{token}/submit` 从普通 IP 限流切换到该专用中间件。
|
||
|
||
### 3. 校准 Cloudflare 客户端 IP 解析
|
||
|
||
`internal/shared/ip.go`：
|
||
|
||
- `TrustProxy=true` 时优先读取 Cloudflare 官方 `CF-Connecting-IP`。
|
||
- 若该头不存在或非法，再回退到 `X-Real-IP`、`X-Forwarded-For`，最后使用 `RemoteAddr`。
|
||
- `TrustProxy=false` 时仍完全忽略这些请求头，只使用 `RemoteAddr`。
|
||
- 新增 Cloudflare 头优先级和不信任代理时忽略头部的测试。
|
||
|
||
### 4. 更新设计文档
|
||
|
||
`anonymous-vote-design.md` 已同步新的防刷矩阵、token 流程和共享出口说明。
|
||
|
||
## 验证结果
|
||
|
||
通过：
|
||
|
||
```text
|
||
gofmt -d internal/route/ratelimit.go internal/route/route.go \
|
||
internal/shared/ip.go route/vote/vote.go
|
||
# 无输出
|
||
|
||
go test -count=1 ./internal/shared ./route/vote ./internal/template \
|
||
./templates ./internal/i18n ./internal/cache ./internal/security/autoban
|
||
# 全部 PASS
|
||
|
||
go vet ./route/vote ./internal/shared ./internal/template ./templates ./internal/i18n
|
||
# 无输出
|
||
```
|
||
|
||
补充测试覆盖：
|
||
|
||
- 同一共享 IP 下多个不同 token 彼此独立；
|
||
- 同一 token 仍受独立限流；
|
||
- IP 兜底允许多次正常请求，但能阻断异常突发；
|
||
- Cloudflare `CF-Connecting-IP` 优先于其他代理头；
|
||
- 未启用可信代理时伪造的代理头不会生效。
|
||
|
||
`go test ./internal/route` 当前仍无法编译完成，原因是项目既有的 `github.com/chai2010/[email protected]` 在本机缺少 CGO/WebP 编译符号，并非本次限流逻辑测试失败。
|
||
|
||
## Cloudflare 部署注意事项
|
||
|
||
1. 源站防火墙应只允许 Cloudflare 官方 IP 段访问源站端口，否则攻击者可能直接访问源站并伪造 `CF-Connecting-IP`。
|
||
2. 保持 `trust_proxy=true` 的前提是源站确实位于可信反向代理之后。
|
||
3. 重要投票建议开启 Turnstile 或要求登录；匿名签名 Cookie 只能保证设备级防重，无法阻止清 Cookie、换浏览器或自动化客户端。
|
||
4. 当前共享 IP 兜底阈值为 200 次/分钟（投票路由传入基础值 20），可根据真实并发量调整。
|