 qing
|
9064750f33
|
fix(aibox/skills): Batch M 波次2 路径边界收口（S2/S3/S6/S9/S10/S11/S12/S13）
- gitclient: delete 限工作区内 .git 仓库（S2）；分支名白名单防选项注入（S3）
- camera/screenshot: --filename 拒绝分隔符/绝对路径/父目录引用（S9/S10）
- facerec: person_name 白名单（兼容中文）接入 add/remove/get-info（S11）
- vision: 图片魔数白名单校验，data URL MIME 按实测类型（S12）
- sftp-transfer: listdir 条目名双向过滤防恶意服务端目录逃逸（S6）
- test-auto-appimage: exec_name 白名单防 sed 替换注入（S13）
测试 493 passed / 4 failed（既有平台环境项）/ 1 skipped，零回归
|
2026-08-20 13:11:07 +08:00 |
|
|
qing
|
5dc5ec9af2
|
fix(aibox/skills): Batch M 波次1 凭据收口（S1/S4/S5/S7/S8）
凭据不再进命令行 argv/会话日志，对齐 SKILLS_FORMAT.md J12 条例：
- gitclient: token 改经 GIT_CONFIG_* 环境变量传 http.extraheader（git>=2.31），不再嵌入 clone URL（不进 .git/config）；新增 _scrub_token 输出统一脱敏
- ssh-exec: 移除 -p/--password，密码仅经环境变量 AIBOX_SSH_PASS 提供
- sftp-transfer: 移除 -p/--password，AIBOX_SFTP_PASS 优先、getpass 兜底，密钥认证不再强制索密码
- aes-crypto: 移除 --key，密钥仅经 --key-file/--load-key 文件途径；生成密钥不再打印明文；save_key_iv 写后 chmod 600
验证：py_compile 通过；aes 生成/加载/加解密闭环实测正常，--key 被拒绝；全量测试 493 passed / 4 failed（平台环境项）/ 1 skipped，与基线一致。审计报告 §17 结论 + §18 波次1修复记录同步。
|
2026-08-20 12:29:34 +08:00 |
|
|
qing
|
457bb900fb
|
fix(aibox): round-5 audit batch K - max_turns clamp, task input validation, XSS hardening, atomic writes, broadcast timeout
第五轮审计（J1~J16）全量修复 + 子代理 max_turns 钳制：
- 子代理 max_turns 钳制（0/None 回退默认 10，负数钳制 1）+ 14 项回归测试
- J1 任务系统投毒：add_memo 入库校验（时间/间隔/类型）、调度器预检与触发事务
防御、展示路径兜底、register 移入 try、add_user_task 补 repeat_end_time 透传
- J2/J13 前端 XSS：三页面 marked 输出经 DOMPurify 净化、entry1 系统消息/任务
分隔条改 textContent、CDN 脚本补 SRI
- J3 FTS 删除换序（先 fts 后内容表，索引不再残留）
- J5 原子写推广：新增 common/atomic.py（mkstemp+fsync+os.replace），config/prompt/
history 全部接入；损坏配置备份后回退
- J6 单例初始化加锁（PromptManager/ConfigManager 并发首例不双重加载）
- J7 broadcast 并发发送 + wait_for 超时回收僵死连接
- J4/J8/J9~J12/J14~J16：验证异常脱敏、交互输入容错、MemoDatabase WAL+busy_timeout、
memo 批量删除、/new 竞态、skills 引号转义、voice_client 清理、死代码移除、
skill_manager 同名键/help 截断
|
2026-08-19 07:01:13 +08:00 |
|
|
qing
|
15b4fb5698
|
chore(aibox): 添加 wo-shi-zhu 幽默互动技能定义
用户创建的轻量技能：当用户说"我是猪"/"猪猪"/"哼哼"等时，用可爱猪猪风格幽默回应，
让对话更轻松。纯文本技能描述，无代码逻辑。
|
2026-08-13 03:39:45 +08:00 |
|
|
qing
|
5ff1dfa4d2
|
系统状态技能
|
2026-08-04 12:57:27 +08:00 |
|
|
qing
|
2eb6d3c310
|
生成技术手册技能
|
2026-08-04 12:46:50 +08:00 |
|
|
qing
|
f601efdd3f
|
refix
|
2026-07-27 22:27:18 +08:00 |
|
|
qing
|
1b60ab0a2e
|
增加运维机器人单元
|
2026-07-27 21:39:53 +08:00 |
|