 miaomiao
|
c8707cf704
|
feat: 公开个人主页（/u/:id 名片+统计+帖子/回复内容流，全站头像可点跳转，bio 签名+最后活跃）
|
2026-08-13 02:12:14 +08:00 |
|
|
miaomiao
|
2ac286a4f8
|
P1: 后端安全加固 - 上传白名单/SSR净化/限流/密码箱/鉴权收敛/数据层统一
- 上传扩展名白名单 + MIME 校验；/uploads 加 nosniff + CSP sandbox 防护头
- ssr.js 全插值转义 + DOMPurify 净化 + JSON-LD JSON.stringify 序列化（消除存储型 XSS）
- 登录/发帖限流（express-rate-limit）；验证码 proof token 体系（5 分钟 JWT + 防重放）
- 密码箱：PBKDF2 600k（pin_iter 列兼容旧密文）、解锁 3 次/5 分钟锁定、滑动过期会话、PIN >= 6 位
- adminOnly 查库复查；草稿仅 admin/作者可见；错误信息收敛；avatar 站内路径白名单；验证码 crypto.randomInt
- cli.js 删除重复 sql.js 封装统一到 db.js（data/rainweb.db 单路径）；db.js 新增 migrateSchema 迁移框架
|
2026-08-06 21:32:06 +08:00 |
|
|
miaomiao
|
91cd009899
|
P0: 删除 Web 更新链路，修复 setup/proxy/email 安全漏洞
- 删除 /api/update/check 与 /api/update/run（无鉴权 RCE 面 + .git 覆盖风险）
- cli.js upgrade 仅保留 git pull 分支，删除 GitHub zip 下载分支
- admin 前端移除更新按钮与 checkUpdate/runUpdate
- JWT_SECRET 启动时随机生成写入 .env.json，删除硬编码回退
- /api/setup/complete 加 adminOnly；/setup/status 移除 default_password 泄露
- /api/proxy/fetch 加 adminOnly + 内网地址拦截（SSRF）
- send-verify 验证码不再回显，改 crypto.randomInt，修复 pending 重建 bug
|
2026-08-06 21:22:04 +08:00 |
|
 shanshuilala
|
38689b36f8
|
first commit
|
2026-06-19 19:34:04 +08:00 |
|