oudecheng
|
f2fc5e97ac
|
feat(security): 部署安全加固（排除 token 项）
- 安全响应头中间件：nosniff / X-Frame-Options DENY / Referrer-Policy / CSP / Permissions-Policy，最外层覆盖所有响应
- loopback CORS 由 mirror_request 改为 loopback origin 白名单（原实现会回显任意 Origin，允许恶意网页跨域读取本地网关）
- 新增 gateway.allowed_origins 配置：非 loopback 部署可收紧 CORS，未配置时保持 permissive 并打 warn
- loopback 免认证模式强制 Host 头为 loopback，阻断 DNS rebinding
- loopback 免认证模式 WS Origin 必须为 loopback 来源，防跨站 WebSocket 劫持（CSWSH）
- WS 消息/帧大小显式上限 80MiB/16MiB（顺带修复 50MB 附件 base64 超 tungstenite 默认 64MB 上限的问题）
- HTTP 请求体显式限制 2MB（DefaultBodyLimit）
- 前端 HTTPS 页面自动使用 wss://，避免混合内容拦截 WebSocket
- 新增 10 个安全相关单元测试（host/origin loopback 判定、WS Origin 校验）
|
2026-08-17 06:47:35 +08:00 |
|
oudecheng
|
fa420b713f
|
feat(gateway): 添加 HTTP API 认证与 CORS 防护，修复密钥泄露风险
- 新增 auth_token 配置项：非 loopback 绑定强制认证，loopback 可选加固
- 新增 auth.rs：loopback 判定（IpAddr 解析）、常量时间 token 比较、RFC 6750 Bearer 解析
- 新增 Bearer token 中间件（/api/*）与 WebSocket ?token= 校验
- 新增 CORS layer：loopback 镜像 Origin 防 DNS rebinding，非 loopback permissive
- 修复 .gitignore 遗漏 tests/test.env，补充通用 *.env 规则
- 修复前端 experts/skills/subagents.ts 直接 fetch 不带 token（13 处），统一走 authedFetch
- config.json host 从 0.0.0.0 改回 127.0.0.1
- mask_config/save_config 处理 auth_token 掩码与保留
- ConnectionTab/GatewayTab 增加认证 token 配置入口
|
2026-08-05 22:41:00 +08:00 |
|
oudecheng
|
c2cc072b2e
|
feat(settings): 拆分设置页为懒加载标签页并支持子代理创建/删除
- ConfigPage 拆分为 16 个懒加载 tab + 2 个 modal，首屏体积大幅下降
- 抽取 CapabilityTabs 共享组件，统一专家/子代理能力配置 UI
- 后端新增 POST /api/subagents/create、DELETE /api/subagents/delete
- SubagentRuntime 新增 create_subagent/delete_subagent，含路径校验与 builtin 保护
- SubagentModal 支持 create/edit 双模式、body 编辑、自身排除防自递归
- SubagentsTab 增加搜索、provider/model 标签、删除二次确认
- 修复 reload() 使用进程 cwd 而非 self.cwd 的隔离缺陷
|
2026-08-04 21:06:17 +08:00 |
|
oudecheng
|
c724bbf864
|
chore(web): prettier 一次性格式化并在 CI 启用 format:check
对 47 个前端文件统一执行 npm run format，消除存量格式差异。
随后在 CI 与 Makefile check 中启用 format:check，确保后续提交强制遵守 prettier 风格。
|
2026-08-03 23:25:22 +08:00 |
|
oudecheng
|
43cea50df8
|
feat: 添加连接设置弹窗，支持动态配置 WebSocket 连接
|
2026-06-12 19:17:50 +08:00 |
|