 miaomiao
|
040f9bf2ed
|
fix: 安全加固（M1 导入注入 + L1-L9 响应头/限流/时序/附件/密码箱）+ 博客分享按钮 + 论坛游客可见开关
|
2026-08-12 16:20:38 +08:00 |
|
|
miaomiao
|
f6407a84f7
|
fix: 审查修复 - setup 死锁/验证码前后端对接/SPA 侧 XSS
- setup /complete 改 setup_complete 门禁（修复新装死锁），新密码禁止等于默认
- 验证码 proof 全链路贯通：前端 captcha.js/api/login/register/forum 传 captcha_proof；consumeProof 一次性消费 + jti 防同秒碰撞；删除死端点与死代码
- render.js 引入 DOMPurify 净化 markdown（SPA 侧存储型 XSS）
- email.js SMTP 检查提前；avatar 强正则白名单；register 验证码 crypto.randomInt
|
2026-08-06 22:11:43 +08:00 |
|
|
miaomiao
|
2ac286a4f8
|
P1: 后端安全加固 - 上传白名单/SSR净化/限流/密码箱/鉴权收敛/数据层统一
- 上传扩展名白名单 + MIME 校验；/uploads 加 nosniff + CSP sandbox 防护头
- ssr.js 全插值转义 + DOMPurify 净化 + JSON-LD JSON.stringify 序列化（消除存储型 XSS）
- 登录/发帖限流（express-rate-limit）；验证码 proof token 体系（5 分钟 JWT + 防重放）
- 密码箱：PBKDF2 600k（pin_iter 列兼容旧密文）、解锁 3 次/5 分钟锁定、滑动过期会话、PIN >= 6 位
- adminOnly 查库复查；草稿仅 admin/作者可见；错误信息收敛；avatar 站内路径白名单；验证码 crypto.randomInt
- cli.js 删除重复 sql.js 封装统一到 db.js（data/rainweb.db 单路径）；db.js 新增 migrateSchema 迁移框架
|
2026-08-06 21:32:06 +08:00 |
|
 shanshuilala
|
73e145df07
|
v1.1.1: captcha refactor, Turnstile support, SEO, forum boards, icon fixes
|
2026-06-21 18:05:05 +08:00 |
|
|
shanshuilala
|
6ffbf19aff
|
Refactor forum.js for improved post and category handling; add sub-category support and enhance captcha verification in login and registration; implement update check and run functionality in server.js; improve captcha generation with noise and difficulty adjustments.
|
2026-06-21 00:54:49 +08:00 |
|
|
shanshuilala
|
2fd2cd01e9
|
优化验证码生成和验证逻辑，增加错误处理和状态反馈
|
2026-06-19 21:44:33 +08:00 |
|
|
shanshuilala
|
38689b36f8
|
first commit
|
2026-06-19 19:34:04 +08:00 |
|