qing/blackbird
3
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
346 Commits 2 Branches 0 Tags
12ece9020c913db2a063194c1a594f4f450fd944
Commit Graph
132 Commits
Author SHA1 Message Date
qing 6ed88feaa4 feat(static): 新增 aibox 智能体 Web 客户端（移动端适配） 
- aibox.html：自包含移动端聊天页，经 gateway [WsProxy] 反向代理与 aibox 通信
- 协议兼容 BotOps client.py：chunk 流式渲染 / reasoning 思考区 / task 任务面板 / 指数退避重连
- 移动端适配：100dvh 动态视口 + safe-area 刘海屏 + 44px 触控目标 + 任务面板抽屉式
- 安全：握手由 gateway 强制 is_admin 验签，Token 全程 HttpOnly Cookie，CSP 合规（本地 markdown-it）
- README 同步页面清单与功能说明
 2026-08-01 05:18:30 +08:00
qing e007990594 feat(dnfs,static): 新增管理员特殊节点（链接/网页代码/图片/文件） 
- 信封格式：content 为 {"_sp":...} JSON，普通 Markdown 节点不受影响
- dnfs：add_note/update_note 按 is_admin 强制特殊节点发布权（非管理员 403），
  字段与大小校验（url≤2048、code≤512KB、base64≤3.5M 字符），AI 审核剔除 base64 负载
- dnfs：修复存量 bug —— 模块级 _sys.path.insert 未定义导致 import 即 NameError
- static：新增 GET /api/favicon 服务端代理（SSRF 防护：内网地址拦截 + 重定向校验 + 512KB 上限）
- 前端：管理员可见节点类型选择器；链接 favicon 卡片 / 网页可审计可运行 / 图片直显 / 文件下载
- theme.css 补充 select 与特殊节点样式；两个 README 同步更新
 2026-08-01 04:34:23 +08:00
qing 1b9c727e80 fix(log_client): harden background flush thread against exceptions 
- Wrap _flush_loop main body in outer try/except to prevent any
  unexpected exception (network errors, serialization errors, etc.)
  from killing the background thread (which would cause unbounded
  queue growth and eventual OOM)
- Wrap _send() call in inner try/except as final safety net
- Wrap RpcClient() construction in try/except (connection failures
  during client creation were previously unhandled)
- Add _safe_json() helper: unserializable extra fields fall back to
  repr()/str() instead of raising TypeError that could kill thread
- Generate timestamp at push() (enqueue time) instead of _send() time,
  so timestamps reflect actual event time even when queue is backed up
- Replace unreliable time.sleep(0.6) in flush() with _flush_done Event
  for proper synchronization between caller and background thread
- Add _QUEUE_MAXSIZE=10000 with drop-oldest policy to prevent unbounded
  memory growth even in pathological cases
- Use put_nowait with Full handling to ensure push() never blocks
  business threads
- Sync fix to all 4 copies: confs/static/smtp/dnfs
 2026-08-01 03:23:19 +08:00
qing f003b4dfaa style(static): 注册页图形验证码统一为 code-box 布局 
- register.html 图形验证码改用 .code-box 行内布局，与邮箱验证码对齐
- theme.css 新增可复用 .captcha-img 类，替代内联样式
- README 功能列表补充表单组件说明
 2026-08-01 02:51:55 +08:00
qing 6ee1eca789 feat(static): 注册页获取验证码接入图形验证码 
配合 gateway v0.5.4 邮件轰炸防护(/register/send_code 强制 CAPTCHA):

- register.html: 邮箱与邮箱验证码之间新增图形验证码区块(图片+输入框,复用 login 页结构)
- register.js:
  - 新增 refreshCaptcha() 复用 /captcha/image 代理路由(与 login.js 一致)
  - 新增 checkCaptcha() 校验图形验证码非空且 Token 已加载
  - 获取验证码按钮点击时先校验图形验证码,再携带 captcha_token + captcha_answer 发送
  - 无论发送成败都刷新图形验证码(Token 一次性消费)
  - 重置表单时清空图形验证码并刷新

方案 A:仅在「获取验证码」时要求 CAPTCHA,注册提交不加(邮箱验证码已是二次验证)
 2026-08-01 02:42:15 +08:00
qing 287cab189d feat(static): 配置接入 confs 统一配置服务 
- fsys.py 启动时优先从 confs（127.0.0.1:8010）拉取 static.ini，
  支持 CONFS_HOST/CONFS_PORT 环境变量覆盖
- confs 不可用时 fail-safe 回退本地 config.ini
- static.ini 纳入 confs/configs/ 统一分发
 2026-08-01 02:30:14 +08:00
qing ea670adde2 feat(static): dnfs 内容输入框随内容自动调整高度 
- textarea 输入时自动增长，最小 120px，最大 400px
- 超过最大高度后出现滚动条，避免页面无限撑开
- 编辑已有节点时自动适配内容高度
- 提交/重置/退出编辑后恢复初始高度
- 禁用手动拖拽 resize，由自动增长统一控制
 2026-07-30 22:21:24 +08:00
qing 5839172dae 迁移/whoami视图 2026-07-30 22:05:12 +08:00
qing 3f97dd92ef update 2026-07-30 21:57:04 +08:00
qing eec869a28d style(dnfs): 增大节点表单输入框尺寸 2026-07-30 15:56:06 +08:00
qing d309f41e47 refix 2026-07-30 15:52:18 +08:00
qing 6649b31e17 feat(static): add frontend token auto-refresh for dnfs page 
- New token_manager.js: silent refresh timer (80% lifetime) + global
  fetch 401 interceptor with one-shot retry.
- dnfs.py /whoami now returns iat, created_at, keep_time for expiry
  estimation.
- Dnfs.html loads token_manager.js before dnfs.js (zero change to dnfs.js).
- Graceful fallback: stale tokens without new fields, refresh failures,
  and /refresh_token 401 itself all degrade to the existing 401→login flow.
 2026-07-30 12:25:11 +08:00
qing 62007e7848 docs(static): README 路由表、架构图、配置、依赖与实际代码同步 
- 修正根路径 / 描述：index.html → login.html
- 补全全部 19 个路由（原仅 6 个），分组为核心/内部工具/OAuth/代理
- 架构图补全 waf:443 → gateway:8443 → static:9200 完整链路
- 配置示例新增 [cors] 段
- 依赖列表补全 waitress 和 pymsg
- 页面和功能列表补全遗漏项
 2026-07-30 11:48:54 +08:00
qing 9765edac9b fix(static): 前端脚本识别 WAF 拦截响应并正确提示 
- validation.js 新增 WafTip 公共检测：403 + 响应体含 blocked by WAF 双重特征，
  与 gateway 白名单拒绝的 403（JSON 错误消息）精确区分
- login/register/dnfs/view 各请求点在 JSON 解析前识别拦截，统一提示
  「请求被 WAF 安全规则拦截，请检查输入内容」
- 修复 dnfs getNode 被 WAF 拦截时落入 catch 误跳登录页的问题
- 验证码图片加载识别 403 拦截，alt 提示点击重试
- __view.html 补充引入 validation.js
 2026-07-30 11:01:34 +08:00
qing 40175eddb5 Revert "style(dnfs): 用户信息面板移到左边中间，与右侧 minimap 镜像对称" 
This reverts commit 5c33dbe027.
 2026-07-30 09:52:08 +08:00
qing 5c33dbe027 style(dnfs): 用户信息面板移到左边中间，与右侧 minimap 镜像对称 2026-07-30 09:44:15 +08:00
qing a58a0f97e3 feat(dnfs): minimap 与用户面板按视口宽度决定初始折叠态 
新增 PANEL_EXPAND_MIN_WIDTH=768 断点：宽屏默认展开、窄屏默认折叠避免
遮挡内容；仅决定初始状态，用户手动折叠/展开不被 resize 覆盖。
 2026-07-30 09:40:58 +08:00
qing 55b127747a fix(dnfs): 用户面板用户名/角色改为纯展示，去除手型光标与 hover 变色 
新增 .tag.no-hover 修饰类还原交互态；折叠按钮与退出登录保持可点样式。
 2026-07-30 09:34:53 +08:00
qing 8c1956cdeb feat(dnfs): 左上角用户信息面板（默认折叠），新增 /whoami 身份接口 
dnfs 新增 POST /whoami：解 Token payload 返回 user/is_admin，无或畸形
Token 返回 login=false（HttpOnly Cookie 模式下 JS 无法读 Token，身份
必须由后端下发）；static 加 /whoami 代理（Cookie 转 Bearer）；前端
dnfs.html 左上新增 userpanel，镜像 minimap 样式默认折叠，展开显示
用户名/角色/退出登录（POST /logout 清 Cookie 后跳登录页）。
 2026-07-30 09:31:28 +08:00
qing 1388fcb72b feat(dnfs): 卡片移动按钮一并纳入 can_operate 权限显隐 
编辑/移动/删除三个按钮合并为单次权限判断（移动本质也是 update_note），
未登录或无权时不渲染整个按钮组。
 2026-07-30 09:21:15 +08:00
qing b4e1cf462a feat(dnfs): get_notes 按当前用户注入 can_operate，前端按权显隐编辑/删除按钮 
dnfs get_notes 可选解析 Authorization（畸形 Token try 兜底），为每个节点
附带 can_operate 标记（is_admin 或 owner，口径与 delete/update 一致）；
dnfs.js 卡片编辑/删除按钮仅 can_operate === true 时渲染，未登录或无权隐藏。
 2026-07-30 09:17:28 +08:00
qing 949d274c22 获取节点失败后跳转 2026-07-30 08:22:53 +08:00
qing c5dd8d198d feat(smtp): 同一邮箱 60 秒发送冷却，gateway 429 透传 + 前端重发倒计时（gateway v0.5.3） 2026-07-29 20:54:56 +08:00
qing f4a7aca2fa update: smtp 验证码有效期 60s 调整为 10 分钟，邮件正文从 CODE_TTL 派生 
60 秒对邮件送达延迟过于紧张；正文有效期文案改为按 TTL 自动生成避免漂移，前端提示与 README 同步。同时移除 .env 排查用的凭证明文调试打印。
 2026-07-29 19:32:44 +08:00
qing 3bc4f9720f fix(dnfs): 移动请求期间禁用按钮防止重复提交 
后端 update_note 走 AI 审核耗时较长，confirmMove 期间禁用移动条
与表单按钮，finally 统一恢复
 2026-07-29 14:37:27 +08:00
qing 3f9bffb9ea feat(dnfs): 节点移动功能 
- dnfs.js: 卡片新增移动按钮，startMove 暂存节点，底部悬浮移动条
  提供移动到当前层/取消；confirmMove 经 update_note 改 pid 完成迁移；
  拦截移动到自身与已在当前层的情况
- dnfs.html: 新增 #movebar 容器
- theme.css: act-move 描边按钮与 movebar 底部悬浮条样式
 2026-07-29 11:40:35 +08:00
qing ace98caff6 feat: 卡片编辑/删除按钮 + dnfs 管理员豁免 
- dnfs.js: 卡片底部新增编辑/删除按钮，复用下方表单支持编辑模式
  (startEdit/cancelEdit/updateNode/deleteChild)，stopPropagation 防误触
- theme.css: 新增 card-actions/act-btn 按钮样式，编辑橙色/删除红色软底
- dnfs.py: ADMIN_USERS 统一管理豁免名单(admin, admin@qsont.me)，
  update_note 新增管理员豁免，delete_note 同步改用名单
- dnfs/README.md: 同步更新所有权豁免说明
 2026-07-29 11:22:30 +08:00
qing a0f6a14b5d style(dnfs): 笔记卡片尺寸随内容自适应 
- recommend-list 改为 flex 纵向布局，gap 统一间距，隐藏 JS 遗留 <br> 分隔符
- 卡片宽度 fit-content 包裹内容，min-width 240px 保底、max-width 100% 封顶
- 内容图片限宽防撑破自适应布局
 2026-07-29 11:05:20 +08:00
qing 2fc12e7b00 feat(dnfs): 卡片增加观看/点赞/分享互动统计图标 
- dnfs.js: 新增眼睛/爱心/转发 SVG 图标常量与 makeStatItem 构造函数，
  统计行挂载在 owner 胶囊下方，计数缺省显示 0（后端暂无该字段）
- theme.css: 新增 card-stats/stat-item/stat-num 样式
 2026-07-29 10:59:40 +08:00
qing dae81ba4a1 style(dnfs): 美化卡片发帖用户显示为头像+昵称胶囊 
- dnfs.js: owner 纯文本改为首字符圆形头像 + 昵称，空值兜底匿名
- theme.css: 新增 Owner Chip 样式段，复用主题变量自动适配深色模式
 2026-07-29 10:53:29 +08:00
qing a905dac00d display note ownerx 2026-07-29 10:47:20 +08:00
qing f9cf408c82 static: 切换 fsys.py 到 Waitress WSGI 服务器 
- HTTP 场景使用 waitress.serve(threads=8) 替代 Flask 开发服务器
- SSL 场景回退 Flask 内置服务器（Waitress 不支持 TLS）
- requirements.txt 新增 waitress 依赖
 2026-07-29 09:10:09 +08:00
qing df518d1adb feat: 注册强制邮箱验证码（gateway v0.5.0 新增 /register/send_code，pymsg 调 smtp） 2026-07-28 17:29:52 +08:00
qing 483c5f227f fix: 发布节点期间同步禁用重置/删除按钮，防止误触 2026-07-28 12:17:27 +08:00
qing bfd2d334fe fix: 前端按钮防重复点击，避免重复请求（dnfs提交/删除、view刷新、验证码刷新） 2026-07-28 12:10:48 +08:00
qing 50f209e84a fix: X-Frame-Options/frame-ancestors 改为同源以修复条例弹窗空白 2026-07-28 11:53:35 +08:00
qing 680d28b616 ui: 用户使用条例改为弹窗显示并移除 LICENSE.html 返回按钮 2026-07-28 11:46:25 +08:00
qing 4d16bc32fc security: CORS 白名单移除 localhost 并改为 config.ini 驱动 
扫描发现生产 CORS 含 http://localhost:9200（硬编码于 fsys.py），且 config.ini 的 cors 段（通配符 *）从未被读取。白名单改为从 config.ini 读取，生产值仅 qsont.me/yhdet.top，localhost 仅限本地开发显式配置。
 2026-07-28 11:40:19 +08:00
qing 7726857d6b feat: 新增用户使用条例独立页面并在登录页引用 
新增 LICENSE.html（六章条例，开源社区定位，复用主题样式）；登录页勾选框文案改为链接新标签页打开，不影响勾选交互与表单状态。
 2026-07-28 10:36:06 +08:00
qing 3ef7d1b780 fix: 修复验证码图片被输入框挤换行，改为右侧同一行 
theme.css 全局设定文本输入框 display:block;width:100%，导致验证码图片无法与之同行；改用 flex 容器包裹（输入框 flex:1、图片 flex:none 居右），布局与主题风格一致。
 2026-07-28 10:29:22 +08:00
qing 62804d242c ui: 验证码改为 4 位，登录页图片移到输入框左侧 
captcha 服务 CAPTCHA_LEN 调整为 4 并适配字符间距；登录页验证码图片与输入框换序，同一行展示更紧凑。
 2026-07-28 10:24:48 +08:00
qing a5e581ef24 fix: CSP img-src 放行 blob:，修复验证码图片被拦截 
登录页验证码用 URL.createObjectURL 生成的 blob: URL 显示，被 img-src 'self' data: 拦截导致图片无法加载；五处 CSP 定义（waf 边缘 + 四个 Flask 中间件副本）同步放宽。
 2026-07-28 10:19:47 +08:00
qing 6fcb70d235 feat: 登录页接入图形验证码，登录接口强制校验 
登录页展示 captcha 图形码（点击刷新），登录请求携带 captcha_token/captcha_answer；gateway 的 /login 启用验证码校验，经 pymsg 调 captcha verify 路由（fail-closed），补齐防爆破短板。
 2026-07-28 10:15:01 +08:00
qing 4ad3fbfca8 fix: 修复公开页面因旧 Cookie 验签失败误返回 401 
浏览器会自动给每个请求携带 q4_token，gateway 重启轮换内存 RSA 密钥后旧凭证验签失败，导致无需登录的公开页面也 401。代理层改为仅对需鉴权目标校验凭证，公开目标跳过；前端遇 401 自动跳转登录页自愈。
 2026-07-28 09:31:10 +08:00
qing b2ddd9e7e3 security: waf 边缘统一注入安全响应头 
外部扫描发现站点缺少安全响应头。在 waf 反代/403/502 三个出站路径统一注入 XFO/nosniff/Referrer-Policy/Permissions-Policy/HSTS/CSP，下游同名头一律覆盖避免重复；static 补上漏调用的 apply_security_headers 做纵深防御。
 2026-07-28 09:19:43 +08:00
qing e89578fa82 security: Token 改为 HttpOnly Cookie 下发，消除 XSS 窃取面 
登录时网关签发 HttpOnly+Secure+SameSite=Lax 的 q4_token Cookie，前端不再经手 Token；网关代理时支持从 Cookie 验签并向下游注入 Authorization（dnfs 零改动），新增 /logout 清除 Cookie，static 代理路由兼容 Cookie 转 Bearer。
 2026-07-28 09:07:12 +08:00
qing 6b77cdcf3a feat: 新增俄罗斯方块小游戏（games/game7.html） 
纯 HTML 单文件实现，Canvas 渲染，含 7-bag 发牌、暂存、落点虚影、硬降/软降、等级加速与触屏按键，最高分本地持久化。
 2026-07-28 01:11:58 +08:00
qing ee44e1bef1 docs & ui: 完善 captcha/aibox 文档，登录注册改为邮箱制 
- captcha/README.md: 补充字段级接口文档与错误码表
- aibox/README.md: 对照 main.py 源码核对修正（入口/模型/工具/配置）
- static/public/login.html & register.html: 用户名改为邮箱
- static/public/js/register.js: 合并注册页双邮箱框为单一邮箱字段
 2026-07-27 22:51:57 +08:00
qing 13f3eb8f88 DEV 2026-07-27 21:43:56 +08:00
qing a67f190634 “返回上一层”按钮样式 2026-07-27 15:41:14 +08:00