fix: 审查修复波次（P0x4 + P1x30+）
- domain/rules: 计分与排名解耦、破纪录按组别、tieBreak 生效、调整分不丢、移除 aggregate 假能力 - realtime: 新建 internal/dto，快照三项契约对齐，/ws 只认会话身份 - httpapi: 流水幂等、standings 整表载荷、广播接线、强制改密、XFF 防伪造、records 写入、审计、赛事包内容、发布前备份、result.points、实例列表 - web: FormData 上传、YAML 解析、快照归一化、大屏解析层、bootstrap 降级、访客判定、主题切换 - console: 优雅关闭握手、中文化、免验证改管理员账号、选屏与日志轮转修复 - docs: 用户文档三份 + README - 主代理: 破纪录加分接线（levels 未加载导致恒 0）
This commit is contained in:
AskaEth committed
1 parent
8dae63ee70
commit
7f9701c465
61 files changed
+3844
-333
No files matched your search
@@ -3,9 +3,11 @@ package middleware
|
||||
|
||||
import (
|
||||
"context"
|
||||
"fmt"
|
||||
"net"
|
||||
"net/http"
|
||||
"strings"
|
||||
"sync/atomic"
|
||||
|
||||
"git.yeij.top/AskaEth/Scoreboard/server/internal/auth"
|
||||
)
|
||||
@@ -39,19 +41,86 @@ func GetRequestID(ctx context.Context) string {
|
||||
return ""
|
||||
}
|
||||
|
||||
// ClientIP 从代理头或连接地址解析客户端 IP。
|
||||
func ClientIP(r *http.Request) string {
|
||||
if xff := r.Header.Get("X-Forwarded-For"); xff != "" {
|
||||
if first := strings.TrimSpace(strings.Split(xff, ",")[0]); first != "" {
|
||||
return first
|
||||
// trustedProxies 是可信代理网段白名单；默认空，表示任何代理头都不可信。
|
||||
var trustedProxies atomic.Pointer[[]*net.IPNet]
|
||||
|
||||
// SetTrustedProxies 配置可信代理（IP 或 CIDR 列表）；传空表示不信任任何代理头。
|
||||
func SetTrustedProxies(entries []string) error {
|
||||
nets := make([]*net.IPNet, 0, len(entries))
|
||||
for _, raw := range entries {
|
||||
entry := strings.TrimSpace(raw)
|
||||
if entry == "" {
|
||||
continue
|
||||
}
|
||||
if strings.Contains(entry, "/") {
|
||||
_, n, err := net.ParseCIDR(entry)
|
||||
if err != nil {
|
||||
return fmt.Errorf("middleware: 非法可信代理 %q: %w", entry, err)
|
||||
}
|
||||
nets = append(nets, n)
|
||||
continue
|
||||
}
|
||||
ip := net.ParseIP(entry)
|
||||
if ip == nil {
|
||||
return fmt.Errorf("middleware: 非法可信代理 %q", entry)
|
||||
}
|
||||
bits := 128
|
||||
if ip.To4() != nil {
|
||||
bits = 32
|
||||
}
|
||||
nets = append(nets, &net.IPNet{IP: ip, Mask: net.CIDRMask(bits, bits)})
|
||||
}
|
||||
trustedProxies.Store(&nets)
|
||||
return nil
|
||||
}
|
||||
|
||||
func isTrustedProxy(ip net.IP) bool {
|
||||
nets := trustedProxies.Load()
|
||||
if nets == nil || ip == nil {
|
||||
return false
|
||||
}
|
||||
for _, n := range *nets {
|
||||
if n.Contains(ip) {
|
||||
return true
|
||||
}
|
||||
}
|
||||
if rip := strings.TrimSpace(r.Header.Get("X-Real-IP")); rip != "" {
|
||||
return rip
|
||||
}
|
||||
host, _, err := net.SplitHostPort(r.RemoteAddr)
|
||||
return false
|
||||
}
|
||||
|
||||
func remoteHost(addr string) string {
|
||||
host, _, err := net.SplitHostPort(addr)
|
||||
if err != nil {
|
||||
return r.RemoteAddr
|
||||
return addr
|
||||
}
|
||||
return host
|
||||
}
|
||||
|
||||
// ClientIP 解析客户端 IP。
|
||||
// 只有当直连对端（RemoteAddr）属于可信代理白名单时才采信 X-Forwarded-For / X-Real-IP，
|
||||
// 否则一律用 RemoteAddr——代理头是客户端可伪造的，据此限流等于没有限流。
|
||||
func ClientIP(r *http.Request) string {
|
||||
remote := net.ParseIP(remoteHost(r.RemoteAddr))
|
||||
if remote == nil || !isTrustedProxy(remote) {
|
||||
return remoteHost(r.RemoteAddr)
|
||||
}
|
||||
|
||||
if xff := r.Header.Get("X-Forwarded-For"); xff != "" {
|
||||
parts := strings.Split(xff, ",")
|
||||
// 从右往左取第一个非代理地址：这是可信代理链上离服务端最近的真实客户端。
|
||||
for i := len(parts) - 1; i >= 0; i-- {
|
||||
ip := net.ParseIP(strings.TrimSpace(parts[i]))
|
||||
if ip == nil || isTrustedProxy(ip) {
|
||||
continue
|
||||
}
|
||||
return ip.String()
|
||||
}
|
||||
// 整条链路都是可信代理时，最左侧即原始客户端。
|
||||
if ip := net.ParseIP(strings.TrimSpace(parts[0])); ip != nil {
|
||||
return ip.String()
|
||||
}
|
||||
}
|
||||
if ip := net.ParseIP(strings.TrimSpace(r.Header.Get("X-Real-IP"))); ip != nil {
|
||||
return ip.String()
|
||||
}
|
||||
return remoteHost(r.RemoteAddr)
|
||||
}
|
||||
@@ -0,0 +1,45 @@
|
||||
package middleware
|
||||
|
||||
import (
|
||||
"net/http/httptest"
|
||||
"testing"
|
||||
)
|
||||
|
||||
// 默认不信任任何代理头：X-Forwarded-For 不能改变客户端 IP，否则登录限流可被绕过。
|
||||
func TestClientIPIgnoresForwardedHeadersByDefault(t *testing.T) {
|
||||
t.Cleanup(func() { _ = SetTrustedProxies(nil) })
|
||||
if err := SetTrustedProxies(nil); err != nil {
|
||||
t.Fatalf("清空可信代理: %v", err)
|
||||
}
|
||||
|
||||
r := httptest.NewRequest("POST", "/api/auth/login", nil)
|
||||
r.RemoteAddr = "127.0.0.1:54321"
|
||||
r.Header.Set("X-Forwarded-For", "203.0.113.9")
|
||||
r.Header.Set("X-Real-IP", "203.0.113.10")
|
||||
|
||||
if got := ClientIP(r); got != "127.0.0.1" {
|
||||
t.Fatalf("默认应使用 RemoteAddr，得到 %q", got)
|
||||
}
|
||||
}
|
||||
|
||||
// 仅当直连对端在可信代理白名单内时才采信代理头，并从右往左取第一个非代理地址。
|
||||
func TestClientIPTrustsForwardedHeadersOnlyFromProxies(t *testing.T) {
|
||||
t.Cleanup(func() { _ = SetTrustedProxies(nil) })
|
||||
if err := SetTrustedProxies([]string{"10.0.0.0/8"}); err != nil {
|
||||
t.Fatalf("设置可信代理: %v", err)
|
||||
}
|
||||
|
||||
r := httptest.NewRequest("POST", "/api/auth/login", nil)
|
||||
r.RemoteAddr = "10.0.0.5:12345"
|
||||
r.Header.Set("X-Forwarded-For", "198.51.100.7, 10.0.0.6")
|
||||
|
||||
if got := ClientIP(r); got != "198.51.100.7" {
|
||||
t.Fatalf("可信代理应解析出真实客户端，得到 %q", got)
|
||||
}
|
||||
|
||||
// 直连对端不可信时，即便伪造代理头也以 RemoteAddr 为准。
|
||||
r.RemoteAddr = "203.0.113.1:12345"
|
||||
if got := ClientIP(r); got != "203.0.113.1" {
|
||||
t.Fatalf("不可信对端应使用 RemoteAddr，得到 %q", got)
|
||||
}
|
||||
}
|
||||
@@ -131,6 +131,29 @@ func RequireWrite(need auth.Role) func(http.Handler) http.Handler {
|
||||
}
|
||||
}
|
||||
|
||||
// MustChangePassword 阻止「必须修改密码」的账号执行写操作。
|
||||
// 只放行改密与登出：否则用户会被永久锁在无法改密的死循环里（见 devdocs/08 第 1 节）。
|
||||
func MustChangePassword(next http.Handler) http.Handler {
|
||||
return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
|
||||
u := User(r.Context())
|
||||
if u.Role == auth.RoleGuest || !u.MustChangePassword {
|
||||
next.ServeHTTP(w, r)
|
||||
return
|
||||
}
|
||||
switch r.Method {
|
||||
case http.MethodGet, http.MethodHead, http.MethodOptions:
|
||||
next.ServeHTTP(w, r)
|
||||
return
|
||||
}
|
||||
switch r.URL.Path {
|
||||
case "/api/auth/password", "/api/auth/logout":
|
||||
next.ServeHTTP(w, r)
|
||||
return
|
||||
}
|
||||
writeError(w, http.StatusForbidden, "AUTH_REQUIRED", "请先修改初始密码", nil)
|
||||
})
|
||||
}
|
||||
|
||||
// CSRF 校验双提交 Cookie：已登录的写请求必须带 X-CSRF-Token 且与 csrf_token Cookie 一致。
|
||||
func CSRF(next http.Handler) http.Handler {
|
||||
return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
|
||||
|
||||
Reference in new issue
Block a user