PicoBot

History

oudecheng f2fc5e97ac feat(security): 部署安全加固（排除 token 项）

- 安全响应头中间件：nosniff / X-Frame-Options DENY / Referrer-Policy / CSP / Permissions-Policy，最外层覆盖所有响应
- loopback CORS 由 mirror_request 改为 loopback origin 白名单（原实现会回显任意 Origin，允许恶意网页跨域读取本地网关）
- 新增 gateway.allowed_origins 配置：非 loopback 部署可收紧 CORS，未配置时保持 permissive 并打 warn
- loopback 免认证模式强制 Host 头为 loopback，阻断 DNS rebinding
- loopback 免认证模式 WS Origin 必须为 loopback 来源，防跨站 WebSocket 劫持（CSWSH）
- WS 消息/帧大小显式上限 80MiB/16MiB（顺带修复 50MB 附件 base64 超 tungstenite 默认 64MB 上限的问题）
- HTTP 请求体显式限制 2MB（DefaultBodyLimit）
- 前端 HTTPS 页面自动使用 wss://，避免混合内容拦截 WebSocket
- 新增 10 个安全相关单元测试（host/origin loopback 判定、WS Origin 校验）

2026-08-17 06:47:35 +08:00

api

feat(web): 话题级模型选择前端（ModelSelector topicId 化 + 竞态防护）+ 专家系统开关隐藏

2026-08-15 15:34:38 +08:00

components

feat(security): 部署安全加固（排除 token 项）

2026-08-17 06:47:35 +08:00

hooks

feat(web): Task 卡片差异显示子代理模型名 + 子代理完成状态转发修复

2026-08-15 15:35:32 +08:00

test

perf(web): 优化流式 delta 处理，避免每 token 全数组拷贝