AskaEth
7f9701c465
- domain/rules: 计分与排名解耦、破纪录按组别、tieBreak 生效、调整分不丢、移除 aggregate 假能力 - realtime: 新建 internal/dto，快照三项契约对齐，/ws 只认会话身份 - httpapi: 流水幂等、standings 整表载荷、广播接线、强制改密、XFF 防伪造、records 写入、审计、赛事包内容、发布前备份、result.points、实例列表 - web: FormData 上传、YAML 解析、快照归一化、大屏解析层、bootstrap 降级、访客判定、主题切换 - console: 优雅关闭握手、中文化、免验证改管理员账号、选屏与日志轮转修复 - docs: 用户文档三份 + README - 主代理: 破纪录加分接线（levels 未加载导致恒 0）
46 lines
1.5 KiB
Go
46 lines
1.5 KiB
Go
package middleware
|
|
|
|
import (
|
|
"net/http/httptest"
|
|
"testing"
|
|
)
|
|
|
|
// 默认不信任任何代理头：X-Forwarded-For 不能改变客户端 IP，否则登录限流可被绕过。
|
|
func TestClientIPIgnoresForwardedHeadersByDefault(t *testing.T) {
|
|
t.Cleanup(func() { _ = SetTrustedProxies(nil) })
|
|
if err := SetTrustedProxies(nil); err != nil {
|
|
t.Fatalf("清空可信代理: %v", err)
|
|
}
|
|
|
|
r := httptest.NewRequest("POST", "/api/auth/login", nil)
|
|
r.RemoteAddr = "127.0.0.1:54321"
|
|
r.Header.Set("X-Forwarded-For", "203.0.113.9")
|
|
r.Header.Set("X-Real-IP", "203.0.113.10")
|
|
|
|
if got := ClientIP(r); got != "127.0.0.1" {
|
|
t.Fatalf("默认应使用 RemoteAddr，得到 %q", got)
|
|
}
|
|
}
|
|
|
|
// 仅当直连对端在可信代理白名单内时才采信代理头，并从右往左取第一个非代理地址。
|
|
func TestClientIPTrustsForwardedHeadersOnlyFromProxies(t *testing.T) {
|
|
t.Cleanup(func() { _ = SetTrustedProxies(nil) })
|
|
if err := SetTrustedProxies([]string{"10.0.0.0/8"}); err != nil {
|
|
t.Fatalf("设置可信代理: %v", err)
|
|
}
|
|
|
|
r := httptest.NewRequest("POST", "/api/auth/login", nil)
|
|
r.RemoteAddr = "10.0.0.5:12345"
|
|
r.Header.Set("X-Forwarded-For", "198.51.100.7, 10.0.0.6")
|
|
|
|
if got := ClientIP(r); got != "198.51.100.7" {
|
|
t.Fatalf("可信代理应解析出真实客户端，得到 %q", got)
|
|
}
|
|
|
|
// 直连对端不可信时，即便伪造代理头也以 RemoteAddr 为准。
|
|
r.RemoteAddr = "203.0.113.1:12345"
|
|
if got := ClientIP(r); got != "203.0.113.1" {
|
|
t.Fatalf("不可信对端应使用 RemoteAddr，得到 %q", got)
|
|
}
|
|
}
|