qing
028e0e0806
docs(security): 删除全局审计文档并将问题并入各模块文档
...
- 各模块专属 P0/P1/P2 问题已分发到 docs/security/ 下各模块审计文档
- gateway 补充 P1-6(反向代理响应无大小限制)、P2-3(CORS 通配)、P2-4(HTTP 无超时)
- 删除全局 SECURITY_AUDIT_20260801.md，避免重复
2026-08-03 23:32:28 +08:00
qing
417fda5479
refactor(aibox): 文件/网络操作工具改为返回命令行指引并移除beautifulsoup4依赖
2026-08-03 22:52:12 +08:00
qing
dd4fef6dee
fix(pymsg): 异常信息脱敏与JSON深度/大数字限制，防信息泄露与DoS
2026-08-03 22:30:17 +08:00
qing
87f209af73
fix(pymsg): 增加连接数与线程池队列上限，防资源耗尽
...
- P1-1: MsgServer 新增 max_connections（默认1000），_accept_client 超限
直接拒绝并关闭新连接，防连接耗尽攻击
- P1-2: 新增 _BoundedThreadPoolExecutor + max_queue_size（默认1000），
慢 handler 时任务排队超限即拒绝并断开连接，防内存无限增长
同步更新审计报告 P1-1/P1-2 状态，修复率 18.75% -> 25%
2026-08-03 22:25:32 +08:00
qing
47ab9f2fe6
fix(pymsg): 使用 deadline 模式修复 recv 总超时绕过（Slowloris DoS）
...
_recv_exact 从单次 sock.settimeout() 改为整体 deadline 模式：
header 与 payload 共享同一 total deadline，每次 recv_into 前按剩余
时间收紧超时，逐字节发送无法刷新 deadline，半开连接被及时关闭。
同步更新 pymsg 安全审计报告 P0-1 状态，修复率 6.25% -> 12.5%。
2026-08-03 22:15:44 +08:00
qing
ac16d89150
docs(aibox): 添加文件/网络操作命令行化开发计划
2026-08-03 22:05:52 +08:00
qing
f53085b2a6
fix(static): 禁用 yhdet 系列功能并迁移数据库访问到 db 服务
...
- 注释禁用 yhdet OAuth 相关常量、辅助函数和视图函数（yhdet_callback/yhdet_login/yhdet_verify/proxy_send_code），消除 P0-2/P0-3/P0-4/NEW-1/NEW-2 风险
- YHDET_SECRET 置空并标注已失效；PRIVATE_SECRET 与 YHDET_PRIVATE_API 一并注释
- 新增 _db_call() 辅助函数，api_check_user 改经 pymsg 调 db 服务，不再直连 SQLite
- 修复注册页验证码：点击获取邮箱验证码时图形验证码输入框被清空的问题
- 更新 static 安全审计报告，修复率 25% → 65%
2026-08-03 22:05:02 +08:00
qing
5fbe3ed5e4
docs(security): 更新全部模块审计报告，添加代码验证记录
...
逐模块对照实际代码验证审计报告中的问题修复状态，添加代码验证记录、逐条验证结果、修复率统计。合并aibox两份审计报告，删除重复文件。修复率：confs 61% > dnfs 60% > ai_review 50% > smtp 37.5% > db 33% > core 12.5% > gateway 12.5% > pymsg 6.25% > static 5% > captcha/aibox/BotOps 0%
2026-08-03 14:12:45 +08:00
qing
d3158c2420
docs: add date suffix to remaining documentation files
...
- Rename SECURITY_HARDENING_PLAN.md -> SECURITY_HARDENING_PLAN_20260803.md
- Rename aibox_SECURITY_AUDIT.md -> aibox_SECURITY_AUDIT_full_20260801.md
- Update INDEX.md links accordingly
2026-08-03 13:26:38 +08:00
qing
a7a78d1424
docs: aggregate project documentation under docs/ with unified index
...
- Move all per-module security audit reports to docs/security/
- Move code review logs to docs/reviews/, analysis reports to docs/reports/
- Add docs/INDEX.md as single entry point for all project documentation
- Add documentation management conventions section to README.md
- Clean up empty per-module docs/ directories
2026-08-03 13:21:48 +08:00
qing
9dbe395484
docs: 添加内网通信安全加固开发计划
2026-08-03 13:13:52 +08:00
qing
cebef9fe70
docs: 各模块安全审计报告 + 补充 .gitignore 忽略规则
2026-08-01 05:21:23 +08:00
qing