qing
53ddcb364f
feat(aibox): 创建/安装技能工具统一生成 .md 扩展名 + 下线旧版 smtp.py
...
- CreateSkillTool/InstallSkillTool 改为生成带 .md 扩展名的技能文件，与人格技能文件规范一致
- 同步更新 7_extension_skills.md 模板与工具描述
- 删除旧版 smtp.py（P0-1）并同步审计文档与 README
2026-08-04 08:26:57 +08:00
qing
fb485ebac4
fix(libhttp): 修复P1-5静态文件路径遍历 + 同步审计文档
...
- 新增 isSafeStaticPath() 校验静态文件路径，拒绝 ..、空字节、非/开头及URL编码遍历(%2e/%2f/%5c)
- handleRequest 静态文件服务前校验 target_path
- 审计文档标记 P1-5 已修复
2026-08-04 00:04:55 +08:00
qing
da4957c52d
fix(libhttp): 请求体大小限制可配置并超限返回 413 (P1-1)
2026-08-03 23:57:00 +08:00
qing
b37bf255d9
fix(libhttp): 删除遗留 WebSocketServer/WebSocketClient 并同步 CMakeLists 与 Makefile
2026-08-03 23:46:10 +08:00
qing
2f5fe8baaa
docs(security): 新增 libhttp 模块安全审计报告
2026-08-03 23:42:32 +08:00
qing
2e3f07bf4f
docs(gateway): 审计文档行号纠偏并补充 CORS 白名单死代码根因
...
- 修正 gateway 审计文档中因代码演进漂移的行号引用（handleProxy/handleLogout/wrapperHttp/限流/TLS/路径防护等）
- 补充 P2-3 CORS 根因：_CORS_ORIGINS 白名单已读取但 OPTIONS 预检由 libhttp 处理，白名单未生效
- 修正 README 中 OPTIONS 预检描述（反射请求 Origin 而非通配 *）及 CORS 配置失效提示
2026-08-03 23:37:47 +08:00
qing
028e0e0806
docs(security): 删除全局审计文档并将问题并入各模块文档
...
- 各模块专属 P0/P1/P2 问题已分发到 docs/security/ 下各模块审计文档
- gateway 补充 P1-6(反向代理响应无大小限制)、P2-3(CORS 通配)、P2-4(HTTP 无超时)
- 删除全局 SECURITY_AUDIT_20260801.md，避免重复
2026-08-03 23:32:28 +08:00
qing
dd4fef6dee
fix(pymsg): 异常信息脱敏与JSON深度/大数字限制，防信息泄露与DoS
2026-08-03 22:30:17 +08:00
qing
87f209af73
fix(pymsg): 增加连接数与线程池队列上限，防资源耗尽
...
- P1-1: MsgServer 新增 max_connections（默认1000），_accept_client 超限
直接拒绝并关闭新连接，防连接耗尽攻击
- P1-2: 新增 _BoundedThreadPoolExecutor + max_queue_size（默认1000），
慢 handler 时任务排队超限即拒绝并断开连接，防内存无限增长
同步更新审计报告 P1-1/P1-2 状态，修复率 18.75% -> 25%
2026-08-03 22:25:32 +08:00
qing
47ab9f2fe6
fix(pymsg): 使用 deadline 模式修复 recv 总超时绕过（Slowloris DoS）
...
_recv_exact 从单次 sock.settimeout() 改为整体 deadline 模式：
header 与 payload 共享同一 total deadline，每次 recv_into 前按剩余
时间收紧超时，逐字节发送无法刷新 deadline，半开连接被及时关闭。
同步更新 pymsg 安全审计报告 P0-1 状态，修复率 6.25% -> 12.5%。
2026-08-03 22:15:44 +08:00
qing
f53085b2a6
fix(static): 禁用 yhdet 系列功能并迁移数据库访问到 db 服务
...
- 注释禁用 yhdet OAuth 相关常量、辅助函数和视图函数（yhdet_callback/yhdet_login/yhdet_verify/proxy_send_code），消除 P0-2/P0-3/P0-4/NEW-1/NEW-2 风险
- YHDET_SECRET 置空并标注已失效；PRIVATE_SECRET 与 YHDET_PRIVATE_API 一并注释
- 新增 _db_call() 辅助函数，api_check_user 改经 pymsg 调 db 服务，不再直连 SQLite
- 修复注册页验证码：点击获取邮箱验证码时图形验证码输入框被清空的问题
- 更新 static 安全审计报告，修复率 25% → 65%
2026-08-03 22:05:02 +08:00
qing
5fbe3ed5e4
docs(security): 更新全部模块审计报告，添加代码验证记录
...
逐模块对照实际代码验证审计报告中的问题修复状态，添加代码验证记录、逐条验证结果、修复率统计。合并aibox两份审计报告，删除重复文件。修复率：confs 61% > dnfs 60% > ai_review 50% > smtp 37.5% > db 33% > core 12.5% > gateway 12.5% > pymsg 6.25% > static 5% > captcha/aibox/BotOps 0%
2026-08-03 14:12:45 +08:00
qing
d3158c2420
docs: add date suffix to remaining documentation files
...
- Rename SECURITY_HARDENING_PLAN.md -> SECURITY_HARDENING_PLAN_20260803.md
- Rename aibox_SECURITY_AUDIT.md -> aibox_SECURITY_AUDIT_full_20260801.md
- Update INDEX.md links accordingly
2026-08-03 13:26:38 +08:00
qing
a7a78d1424
docs: aggregate project documentation under docs/ with unified index
...
- Move all per-module security audit reports to docs/security/
- Move code review logs to docs/reviews/, analysis reports to docs/reports/
- Add docs/INDEX.md as single entry point for all project documentation
- Add documentation management conventions section to README.md
- Clean up empty per-module docs/ directories
2026-08-03 13:21:48 +08:00
qing