 mole404
|
d77ba67d5c
|
fix(security,deps): 认证端点节流 + 镜像信息收敛 + 两条依赖公告
认证（src/routes/auth.php）：
- login / register / confirm-password 加 throttle:5,1，forgot-password 加 throttle:6,1。
实测发现登录原本并非零防护 —— Breeze 的 LoginRequest 有按（邮箱|IP）的 5 次/60 秒
RateLimiter（CACHE_DRIVER=file，真生效），它挡单账号撞库；路由级节流补的是
『换邮箱撒网 / 换 IP 轮换』这个口，两者互补。
- verification.verify(6,1) 与 verification.send(3,1) 原样未动。
- 已知取舍（未改，已登记）：TrustProxies 配的是 $proxies='*'，节流键取自 X-Forwarded-For
且外层 nginx 用 $proxy_add_x_forwarded_for 追加 → 客户端自带的假 XFF 会排在前面并被采信，
即限流键可伪造。修法是把信任代理收窄到 nginx 的地址/网段。
镜像信息收敛（Dockerfile）：
- 新增 /usr/local/etc/php/conf.d/zz-lsky-hardening.ini（expose_php=0 / display_errors=0），
zz- 前缀保证不被别的 ini 覆盖；构建期用 php -r 真读回 ini_get 断言。
- 新增 /etc/apache2/conf-enabled/zz-lsky-hardening.conf（ServerTokens Prod /
ServerSignature Off）。放 conf-enabled 而不是 vhost 模板：ServerTokens 是全局指令，
写进 VirtualHost 会被 Apache 拒绝加载。
- 自证从 8 条加到 9 条（新增 routes/auth.php 钉住），本地实算 9/9 通过。
依赖公告（OSV 扫描到 11 条，本次清掉两条有修复版本的）：
- psy/psysh v0.11.12 → v0.11.23（它在生产依赖树里、随镜像发布；Dockerfile 的
composer.lock md5 自证同步为新值），并从 osv-scanner.toml 删掉那条白名单。
- sweetalert2 11.4.6 → 11.22.4（前端依赖，会打进浏览器包）。升级后新版默认样式
div:where(.swal2-container) .swal2-input 与我们的皮肤权重打平并靠注入顺序取胜，
实测把输入框高度从 38px 压成 36.75px → 把皮肤前缀从 html 提到 html:root 修掉，
并同步 3 条断言；jsdom 290/290 全绿。
- OSV 门禁复跑：exit 0，已过滤清单里只剩 laravel 9.x 那 4 条（上游无修复版本）
与 debugbar / phpunit 等 dev-only 项。
|
2026-09-30 08:00:46 +08:00 |
|