tamakyi
d690355cdc
以周/月为单位汇总蜜罐命中，把来源 IP 通过公共服务查地理位置，画到地图上，
生成 HTML 报告并发邮件。同时补齐 ipinfo 无法回答「这个 IP 在哪儿」的问题。
新增 IP 地理定位层 internal/security/geoip：
- 与 internal/security/ipinfo 正交。ipinfo 走 cdncheck 离线指纹，只认云厂商/CDN/WAF，
答的是「是不是代理」；肉鸡（家宽、企业宽带、移动网络）必然被判为
「未识别（普通网络）」，所以「在哪儿」必须另建一套。
- ip-api.com 批量打底（100 个/请求、1.4s 节流）+ 腾讯位置服务精修国内
（一 IP 一请求，只精修命中数最高的前 N 个，受 ip_geo_tencent_key 控制）。
- Result{Geo, Unresolved, Requests, Failures} 三态。服务明确回答「没有这个地址」
才允许写失败缓存；请求超时/限流/5xx 一律不写 —— 否则一次抖动会把整批 IP
钉成「查不到」三天，此后每份报告的定位覆盖率都莫名变成 0。
- addrs 按调用方给的顺序构建（不是 map 遍历）：腾讯精修只取前 N 个，乱序会让
每次运行精修到不同 IP，配额花在长尾上。
报告生成 internal/security/report：
- period：PreviousWeek / PreviousMonth，窗口一律 [start, end) 左闭右开，
相邻两期不重叠也不漏边界整点；period_key（week:2026-W44）做幂等。
- aggregate：按 shared.LimitKey 合并（IPv4 精确 / IPv6 折 /64）；国家、城市、
路径、每日趋势；显式统计未定位命中数（覆盖率 60% 的图看起来和 100% 一样）。
- mapdraw：自绘等距圆柱投影气泡图。零海岸线零国界 —— 国界/台湾/南海诸岛绘制
必须符合国家标准，自绘极易画错，真实底图交给腾讯。经纬网 + 度数刻度 +
标签防重叠（同一都市圈两城市坐标差 0.01°，曾把「AU 55」和「AU 30」叠成
看起来像 AU 305 的假数字）。
- html：自包含报告页，内嵌 SVG + 腾讯交互地图（无 key 时给申请指引，
代码里不预置任何 key）。
- countryname：港澳台统一显示「中国香港/中国澳门/中国台湾」，常见国家用中文名。
存储与调度：
- ip_geo_cache（主键 = LimitKey，成功 TTL 90 天 / 明确无数据 TTL 3 天）
- security_report_logs（period_key 唯一索引 → 重启、错过时间窗都能正确补发，
失败重试上限 5 次后停止）
- honeypot report --period week|month [--to] [--dir] [--no-email]
- web 启动时按配置挂 30 分钟一轮的调度器（与保留期清理共用停止信号，
defer 移出 if 外，避免「清理关掉、报告开着」时 goroutine 泄漏）
配置（[security]）：ip_geo_provider=auto|ipapi|tencent|none、ip_geo_tencent_key、
honeypot_report_enabled / _weekly / _monthly / _email / _dir。
顺带修复：
- route/honeypot_test.go 的 captureStore 缺 AggregateSources/AggregatePaths/
TimestampsBetween，整个 route 包编译不过。
- templates/render_test.go 的 mockLoggedUser 缺 TelegramChatID，3 个渲染测试失败。
3.5 KiB
3.5 KiB
2026-10-30
蜜罐周期安全汇总（周报/月报 + 地图 + 邮件）
用户需求：以周/月为单位汇总安全状况，把嗅探 IP 通过公共服务查地理位置，汇总到地图， 发到邮箱。起因是他发现线上有人隔一段时间换不同 IP 探测蜜罐。
关键认知：ipinfo 与 geoip 是两个维度（用户亲自纠正）
用户反馈「ipinfo 只能查机房，肉鸡全显示『未识别（普通网络）』」。原因是
internal/security/ipinfo 走 projectdiscovery/cdncheck 的离线 ASN 指纹，只认云厂商/CDN/WAF。
它答的是「是不是代理」，不是「在哪儿」。肉鸡（家宽、企业宽带、移动网络）必然是后者，
所以安全汇总必须另建一套真正的 IP 地理库 → 新包 internal/security/geoip。
新增文件
internal/security/geoip/geoip.go— ip-api 批量打底（100/批、1.4s 节流）+ 腾讯精修国内 （只精修前 200 个，一 IP 一请求）。Result{Geo, Unresolved, Requests, Failures}三态。internal/security/report/{period,aggregate,mapdraw,html,geo,countryname}.gointernal/db/{ipgeo,security_report}.go—ip_geo_cache（主键 =LimitKey）、security_report_logs（period_key唯一索引保证幂等）internal/cmd/report.go—honeypot report --period week|month+ 30 分钟一轮的调度器templates/mail/security-report.html
踩过的坑（都要记住）
- ip-api 免费版很慢：22 个 IP 实测 4–10 秒，且同一批重复请求更慢。最初设 15s 超时 →
第一次真实数据就整批超时、定位率 0%。现在
defaultTimeout = 45s+ 重试一次。 - 缓存毒化：早先把所有 miss 都写缓存并
Failed=true（TTL 3 天）→ 一次网络抖动 等于把整批 IP 钉成「查不到」三天，报告定位率莫名变 0 且无任何线索。 现在只有服务明确回答没数据才允许写失败缓存；请求失败绝不写。 addrs不能从 map 取顺序：腾讯精修只取前 N 个，若按 map 迭代（随机）取， 每次运行精修到的 IP 都不同，配额花在长尾上。必须按keys原始顺序（= 命中数降序）建。- 地图标签会叠出假数字：同一都市圈两个城市坐标只差 0.01°，标签精确重叠，
「AU 55」+「AU 30」叠成了看起来像 AU 305 的字符串 —— 读图的人会当结论。
已加
labelPacker（不重叠才画，右侧放不下换左侧）。 - 不能无脑把腾讯结果的国家码写成 CN：
provider=tencent时海外 IP 也走这条路。 现在从ad_info.nation精确判「中国」才给 CN。
合规（地图）
自绘底图零国界，只画经纬网 + 气泡 + 度数刻度；真实底图交给腾讯地图（配 key 才有，
未配给申请指引）。代码里不预置任何 key，测试里有禁词断言（googleapis/mapbox/osm/bing）。
报告里 HK/MO/TW 统一显示为「中国香港 / 中国澳门 / 中国台湾」（countryname.go），
且常见国家改用中文名（报告是给中文读者看的）。
端到端验证（WSL Debian + PG 17.11）
854 条仿真数据 / 22 个来源：首跑 36s（真实 ip-api）、次跑 1.3s（缓存命中）， 定位覆盖 22/22、14 个国家/地区、未能定位 0 次。
顺手修的（别人改动留下的）
internal/route/honeypot_test.go的captureStore缺 3 个新方法 → 整个 route 包编译不过templates/render_test.go的mockLoggedUser缺TelegramChatID→ 3 个渲染测试失败