fix: 修掉十路审查发现的 9 个 P0 与一批 P1（数据正确性 / 越权 / 现场可用性）
P0（9 条全修）： - 多通道项目奖牌重复计数：domain 层按 (EventID,CategoryID,EntryID/Subject) 去重， 通道优先级 athlete→team→id - 「只排名不计分」项目（scored:false）不再进奖牌榜，REST/WS/导出口径统一 - aggregate 流水 entry_id 恒 NULL 导致重算后分数翻倍：作废范围改按 event+category 定位 - 已发布成绩仍可被「存草稿」覆盖并清空 rank：服务端 409 STATE_INVALID + 前端禁编辑 - voidResult / 规则导入重算后名次不回写：接住 Ranked 调 applyComputedRanks - 赛事包覆盖导入可能「旧项目已删、新项目没成」：先改名成功再清理，失败回滚 - 导入赛事包可覆盖正在运行的赛事目录：name==当前项目直接 400 - Console spawn 失败后守护器永久卡死：清 child/pid + 调度重启 + stop 超时兜底 - /ws 快照向非 admin 下发 admin-only 配置：按角色裁剪 settings P1（计分口径 / 契约 / 现场）： - standings.tieBreak 三处接线；profiles[].recordBonusMode 生效；破纪录校验 RecordEligible 与 entry 归属；破纪录登记校验已发布成绩 - export.loadRanked 与主路径对齐；ListBackups reason 解析；CLI backup 前缀修正 （原来只增不减会撑爆磁盘）；单位积分明细/导出统一权重折算；停用单位展示 - 规则导入原子化（重算并入同一事务）+ 返回 compatible/affectedEventCount/ recalculatedLedgerRows；登录审计 user_id 修正 - WS 策略性断开用 Close(code,reason)；HelloMessage 补 page/instanceId； 实例注册表清理；settings/单位/项目写操作补 change_log 触发大屏刷新 - 大屏：全量快照不再被版本守卫丢弃；个人积分榜刷新；公告返回页/轮播；行数截断； REST 竞态；1008 停止重连；握手超时；时区补 Z；401 仅 AUTH_REQUIRED 才登出 - 管理端：published 行禁编辑；saveDraft 补 unit（1:06.33 显示）；前端预览改用服务端 points；空成绩行不再恒「已修改」；修订详情按 id 拉取；切项目请求序号与 dirty 保护； 发布后刷新项目状态；NAV/路由按角色过滤；recorder 不再打 admin-only 接口 - Console：大屏窗口销毁后重建；大屏 URL 复用 host 归一化；backup.bat 改纯 ASCII （已在 Meowhome 实跑验证） 自检：服务端 gofmt/build/vet 通过、12 包测试全绿；前端 vue-tsc + build 通过、 node --test 24/24；console check-syntax 12 文件通过。
This commit is contained in:
AskaEth committed
1 parent
96cf181ae3
commit
13f1f03cd0
124 files changed
+5658
-1820
No files matched your search
@@ -16,8 +16,10 @@ type AuditEntry struct {
|
||||
Action string
|
||||
EntityType string
|
||||
EntityID int64
|
||||
Before any
|
||||
After any
|
||||
// ActorID 非 0 时优先作为审计主体，用于登录等「身份刚建立、请求 ctx 里仍是 guest」的动作。
|
||||
ActorID int64
|
||||
Before any
|
||||
After any
|
||||
}
|
||||
|
||||
type auditCollector struct {
|
||||
@@ -73,10 +75,15 @@ func (a *Auditor) flush(ctx context.Context, r *http.Request, entries []AuditEnt
|
||||
if e.EntityID != 0 {
|
||||
entityID = e.EntityID
|
||||
}
|
||||
// 登录等动作在请求 ctx 里还没有登录身份，改由条目自带的 ActorID 补上。
|
||||
actor := nullableID(u)
|
||||
if e.ActorID != 0 {
|
||||
actor = e.ActorID
|
||||
}
|
||||
_, err := a.db.ExecContext(ctx,
|
||||
`INSERT INTO audit_logs (user_id, action, entity_type, entity_id, before_json, after_json, ip, request_id)
|
||||
VALUES (?, ?, ?, ?, ?, ?, ?, ?)`,
|
||||
nullableID(u), e.Action, e.EntityType, entityID,
|
||||
actor, e.Action, e.EntityType, entityID,
|
||||
marshalOrNil(e.Before), marshalOrNil(e.After), ip, requestID)
|
||||
if err != nil {
|
||||
// 审计失败不能吞掉业务结果，但必须留下痕迹。
|
||||
|
||||
@@ -6,10 +6,13 @@ import (
|
||||
"crypto/rand"
|
||||
"encoding/hex"
|
||||
"encoding/json"
|
||||
"errors"
|
||||
"log/slog"
|
||||
"net"
|
||||
"net/http"
|
||||
"net/url"
|
||||
"runtime/debug"
|
||||
"strings"
|
||||
"time"
|
||||
|
||||
"git.yeij.top/AskaEth/Scoreboard/server/internal/auth"
|
||||
@@ -18,10 +21,16 @@ import (
|
||||
// HeaderRequestID 是客户端可复用的幂等/追踪请求头。
|
||||
const HeaderRequestID = "X-Request-Id"
|
||||
|
||||
// RequestID 复用客户端传入的 request_id，没有则生成一个并写回响应头。
|
||||
// maxRequestIDLen 限制客户端 request_id 长度：它会被下游当作幂等缓存键，超长会撑内存。
|
||||
const maxRequestIDLen = 128
|
||||
|
||||
// RequestID 复用客户端传入的 request_id，没有或过长则生成一个并写回响应头。
|
||||
func RequestID(next http.Handler) http.Handler {
|
||||
return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
|
||||
id := r.Header.Get(HeaderRequestID)
|
||||
if len(id) > maxRequestIDLen {
|
||||
id = ""
|
||||
}
|
||||
if id == "" {
|
||||
buf := make([]byte, 8)
|
||||
if _, err := rand.Read(buf); err == nil {
|
||||
@@ -30,6 +39,8 @@ func RequestID(next http.Handler) http.Handler {
|
||||
id = time.Now().UTC().Format("20060102150405.000000")
|
||||
}
|
||||
}
|
||||
// 回写请求头，让下游（幂等缓存）读到同一个受控 id。
|
||||
r.Header.Set(HeaderRequestID, id)
|
||||
w.Header().Set(HeaderRequestID, id)
|
||||
next.ServeHTTP(w, r.WithContext(contextWithRequestID(r.Context(), id)))
|
||||
})
|
||||
@@ -85,13 +96,24 @@ func Log(logger *slog.Logger) func(http.Handler) http.Handler {
|
||||
}
|
||||
|
||||
// Authenticate 解析会话 Cookie；没有或无效时按 guest 放行（只读默认身份）。
|
||||
func Authenticate(svc *auth.Service) func(http.Handler) http.Handler {
|
||||
// 会话查询失败必须留痕：否则系统库故障会静默把所有人降级成 guest。
|
||||
func Authenticate(svc *auth.Service, logger *slog.Logger) func(http.Handler) http.Handler {
|
||||
if logger == nil {
|
||||
logger = slog.Default()
|
||||
}
|
||||
return func(next http.Handler) http.Handler {
|
||||
return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
|
||||
u := &auth.User{Role: auth.RoleGuest}
|
||||
if c, err := r.Cookie(auth.CookieSession); err == nil && c.Value != "" {
|
||||
if found, _, err := svc.Lookup(r.Context(), c.Value); err == nil {
|
||||
found, _, err := svc.Lookup(r.Context(), c.Value)
|
||||
switch {
|
||||
case err == nil:
|
||||
u = found
|
||||
case errors.Is(err, auth.ErrSessionNotFound):
|
||||
// 会话缺失/过期是正常情况，静默按 guest 放行。
|
||||
default:
|
||||
logger.Error("会话查询失败",
|
||||
"err", err, "path", r.URL.Path, "requestId", GetRequestID(r.Context()))
|
||||
}
|
||||
}
|
||||
next.ServeHTTP(w, r.WithContext(WithUser(r.Context(), u)))
|
||||
@@ -162,6 +184,12 @@ func CSRF(next http.Handler) http.Handler {
|
||||
next.ServeHTTP(w, r)
|
||||
return
|
||||
}
|
||||
// 登录是 guest 请求，拿不到 CSRF Token；跨站表单仍能把受害者登进攻击者的账号，
|
||||
// 因此对带 Origin/Referer 的登录请求单独做同源校验。
|
||||
if r.Method == http.MethodPost && r.URL.Path == "/api/auth/login" && !sameOrigin(r) {
|
||||
writeError(w, http.StatusForbidden, "FORBIDDEN", "登录请求来源校验失败", nil)
|
||||
return
|
||||
}
|
||||
if User(r.Context()).Role == auth.RoleGuest {
|
||||
// 未登录请求由 RequireWrite 处理，无需 CSRF。
|
||||
next.ServeHTTP(w, r)
|
||||
@@ -179,6 +207,23 @@ func CSRF(next http.Handler) http.Handler {
|
||||
})
|
||||
}
|
||||
|
||||
// sameOrigin 判断请求是否来自本站。浏览器跨站 POST 一定带 Origin（或 Referer），
|
||||
// 两个头都没有时（curl、非浏览器客户端）放行，避免误伤脚本调用。
|
||||
func sameOrigin(r *http.Request) bool {
|
||||
raw := r.Header.Get("Origin")
|
||||
if raw == "" {
|
||||
raw = r.Header.Get("Referer")
|
||||
}
|
||||
if raw == "" {
|
||||
return true
|
||||
}
|
||||
parsed, err := url.Parse(raw)
|
||||
if err != nil || parsed.Host == "" {
|
||||
return false
|
||||
}
|
||||
return strings.EqualFold(parsed.Host, r.Host)
|
||||
}
|
||||
|
||||
// RateLimitWrite 对已登录用户的写操作限流（默认 30 次/分钟/用户）。
|
||||
func RateLimitWrite(svc *auth.Service) func(http.Handler) http.Handler {
|
||||
return func(next http.Handler) http.Handler {
|
||||
|
||||
@@ -0,0 +1,105 @@
|
||||
package middleware
|
||||
|
||||
import (
|
||||
"net/http"
|
||||
"net/http/httptest"
|
||||
"strings"
|
||||
"testing"
|
||||
)
|
||||
|
||||
// 客户端超长 request_id 会被下游当作幂等键缓存，必须作废并换成服务端生成的 id（P2-6）。
|
||||
func TestRequestIDClampsOversizedHeader(t *testing.T) {
|
||||
var (
|
||||
ctxID string
|
||||
handlerID string
|
||||
)
|
||||
h := RequestID(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
|
||||
ctxID = GetRequestID(r.Context())
|
||||
handlerID = r.Header.Get(HeaderRequestID)
|
||||
}))
|
||||
req := httptest.NewRequest(http.MethodPost, "/api/teams", nil)
|
||||
req.Header.Set(HeaderRequestID, strings.Repeat("x", maxRequestIDLen+1))
|
||||
rec := httptest.NewRecorder()
|
||||
h.ServeHTTP(rec, req)
|
||||
|
||||
if ctxID == "" || len(ctxID) > maxRequestIDLen {
|
||||
t.Fatalf("超长 id 应换成服务端生成的短 id，得到 %q", ctxID)
|
||||
}
|
||||
if handlerID != ctxID {
|
||||
t.Fatalf("下游读到的 request_id 应与 ctx 一致，ctx=%q header=%q", ctxID, handlerID)
|
||||
}
|
||||
if got := rec.Header().Get(HeaderRequestID); got != ctxID {
|
||||
t.Fatalf("响应头 request_id 应为 %q，得到 %q", ctxID, got)
|
||||
}
|
||||
}
|
||||
|
||||
// 合理长度的客户端 id 仍应原样复用，保证幂等回放。
|
||||
func TestRequestIDKeepsNormalHeader(t *testing.T) {
|
||||
var ctxID string
|
||||
h := RequestID(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
|
||||
ctxID = GetRequestID(r.Context())
|
||||
}))
|
||||
req := httptest.NewRequest(http.MethodPost, "/api/teams", nil)
|
||||
req.Header.Set(HeaderRequestID, "abc-123")
|
||||
h.ServeHTTP(httptest.NewRecorder(), req)
|
||||
|
||||
if ctxID != "abc-123" {
|
||||
t.Fatalf("正常 id 应原样复用，得到 %q", ctxID)
|
||||
}
|
||||
}
|
||||
|
||||
// 登录是 guest 请求，CSRF Token 校验被跳过，靠同源校验挡住 login CSRF（P2-6）。
|
||||
func TestCSRFBlocksCrossOriginLogin(t *testing.T) {
|
||||
next := http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
|
||||
h := CSRF(next)
|
||||
|
||||
req := httptest.NewRequest(http.MethodPost, "/api/auth/login", nil)
|
||||
req.Host = "scoreboard.local"
|
||||
req.Header.Set("Origin", "http://evil.example")
|
||||
rec := httptest.NewRecorder()
|
||||
h.ServeHTTP(rec, req)
|
||||
if rec.Code != http.StatusForbidden {
|
||||
t.Fatalf("跨站登录应 403，得到 %d", rec.Code)
|
||||
}
|
||||
|
||||
req = httptest.NewRequest(http.MethodPost, "/api/auth/login", nil)
|
||||
req.Host = "scoreboard.local"
|
||||
req.Header.Set("Origin", "http://scoreboard.local")
|
||||
rec = httptest.NewRecorder()
|
||||
h.ServeHTTP(rec, req)
|
||||
if rec.Code != http.StatusOK {
|
||||
t.Fatalf("同源登录应放行，得到 %d", rec.Code)
|
||||
}
|
||||
}
|
||||
|
||||
// 同源判断：两个头都没有时放行脚本调用，Origin: null 与解析失败一律拒绝。
|
||||
func TestSameOrigin(t *testing.T) {
|
||||
cases := []struct {
|
||||
name string
|
||||
origin string
|
||||
referer string
|
||||
want bool
|
||||
}{
|
||||
{"无来源头", "", "", true},
|
||||
{"同源 Origin", "http://scoreboard.local", "", true},
|
||||
{"跨站 Origin", "http://evil.example", "", false},
|
||||
{"Origin 为 null", "null", "", false},
|
||||
{"同源 Referer", "", "http://scoreboard.local/admin", true},
|
||||
{"跨站 Referer", "", "http://evil.example/x", false},
|
||||
}
|
||||
for _, tc := range cases {
|
||||
t.Run(tc.name, func(t *testing.T) {
|
||||
req := httptest.NewRequest(http.MethodPost, "/api/auth/login", nil)
|
||||
req.Host = "scoreboard.local"
|
||||
if tc.origin != "" {
|
||||
req.Header.Set("Origin", tc.origin)
|
||||
}
|
||||
if tc.referer != "" {
|
||||
req.Header.Set("Referer", tc.referer)
|
||||
}
|
||||
if got := sameOrigin(req); got != tc.want {
|
||||
t.Fatalf("sameOrigin = %v，期望 %v", got, tc.want)
|
||||
}
|
||||
})
|
||||
}
|
||||
}
|
||||
Reference in new issue
Block a user