 JunoZ-DEVandClaude Fable 5.1
|
c9766d5495
|
feat(security): 处理审查中的中低风险项，CI 支持按用例手动触发
- /oauth/reg 动态注册按来源 IP 限流；未产生授权的 Client 记录 24 小时后由
现有维护任务清理
- 限流键哈希、本地存储 URL 签名、分页游标签名改用 HKDF 从 JWT_SECRET 派生的
用途隔离密钥
- 新增 POST /api/auth/logout-all 与账户中心"退出所有设备"
- 密码上限 32 位放宽到 128 位；生产构建缺少 publicCompliance.local.json 时警告
- SECURITY.md 补充裸机 HOST 绑定与支付回调来源白名单说明
- CI 增加 workflow_dispatch 参数：只跑指定 e2e 用例、可包含被隔离用例以拿 trace
Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
|
2026-10-16 04:47:16 +08:00 |
|
|
Juno ChowandClaude Fable 5.1
|
9e54555009
|
fix(security): 修复开源前审查的三项高风险
- 升级含已知漏洞的间接依赖（fast-jwt、tar、nanoid、postcss 等），npm audit 清零，
CI 增加 npm audit --audit-level=high 门禁
- TRUST_PROXY 支持跳数与 IP/CIDR 列表，不再只能信任全部上游；docker-compose 的
API 端口默认只绑定 127.0.0.1
- API 镜像以非 root 用户 node 运行，存储目录预先授权
- Node 版本声明改为 >=22，与生产镜像一致
Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
|
2026-10-16 02:33:29 +08:00 |
|
|
Juno ChowandClaude Fable 5.1
|
f665082dad
|
chore: 建立产品仓库，完成开源前的敏感信息清理
前端（Vite + React）、API/worker（Fastify + BullMQ）、api-contracts 契约包、
迁移脚本、测试与自托管 docker-compose 示例。
开源准备：运维脚本与机器信息已拆到私有仓库；公司名、备案号、隐私邮箱改读
publicCompliance.local.json（仓库只保留占位模板）；站点地址与客服二维码改为
VITE_ 环境变量；fixtures 中的真实用户标识已匿名化；三个 package.json 标注
Apache-2.0。
Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
|
2026-10-16 02:10:46 +08:00 |
|