3 Commits

Include renames

Author	SHA1	Message	Date
miaomiao	f6407a84f7	fix: 审查修复 - setup 死锁/验证码前后端对接/SPA 侧 XSS ... - setup /complete 改 setup_complete 门禁（修复新装死锁），新密码禁止等于默认 - 验证码 proof 全链路贯通：前端 captcha.js/api/login/register/forum 传 captcha_proof；consumeProof 一次性消费 + jti 防同秒碰撞；删除死端点与死代码 - render.js 引入 DOMPurify 净化 markdown（SPA 侧存储型 XSS） - email.js SMTP 检查提前；avatar 强正则白名单；register 验证码 crypto.randomInt	2026-08-06 22:11:43 +08:00
miaomiao	91cd009899	P0: 删除 Web 更新链路，修复 setup/proxy/email 安全漏洞 ... - 删除 /api/update/check 与 /api/update/run（无鉴权 RCE 面 + .git 覆盖风险） - cli.js upgrade 仅保留 git pull 分支，删除 GitHub zip 下载分支 - admin 前端移除更新按钮与 checkUpdate/runUpdate - JWT_SECRET 启动时随机生成写入 .env.json，删除硬编码回退 - /api/setup/complete 加 adminOnly；/setup/status 移除 default_password 泄露 - /api/proxy/fetch 加 adminOnly + 内网地址拦截（SSRF） - send-verify 验证码不再回显，改 crypto.randomInt，修复 pending 重建 bug	2026-08-06 21:22:04 +08:00
shanshuilala	38689b36f8	first commit	2026-06-19 19:34:04 +08:00