qing/micro_servers
1
3 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
432 Commits 1 Branch 0 Tags
2f5fe8baaa2fd345a822a8b3e060843b44bcd10d
Commit Graph
432 Commits
This Branch
This Branch
All Branches
Author SHA1 Message Date
qing 2f5fe8baaa docs(security): 新增 libhttp 模块安全审计报告 2026-08-03 23:42:32 +08:00
qing 2e3f07bf4f docs(gateway): 审计文档行号纠偏并补充 CORS 白名单死代码根因 
- 修正 gateway 审计文档中因代码演进漂移的行号引用（handleProxy/handleLogout/wrapperHttp/限流/TLS/路径防护等）

- 补充 P2-3 CORS 根因：_CORS_ORIGINS 白名单已读取但 OPTIONS 预检由 libhttp 处理，白名单未生效

- 修正 README 中 OPTIONS 预检描述（反射请求 Origin 而非通配 *）及 CORS 配置失效提示
 2026-08-03 23:37:47 +08:00
qing 028e0e0806 docs(security): 删除全局审计文档并将问题并入各模块文档 
- 各模块专属 P0/P1/P2 问题已分发到 docs/security/ 下各模块审计文档

- gateway 补充 P1-6(反向代理响应无大小限制)、P2-3(CORS 通配)、P2-4(HTTP 无超时)

- 删除全局 SECURITY_AUDIT_20260801.md，避免重复
 2026-08-03 23:32:28 +08:00
qing 37c50ed517 fix(static): 获取邮箱验证码后保留已输入的图形验证码 
refreshCaptcha 增加 preserveInput 参数，获取验证码后的自动刷新不再清空图形验证码输入框，避免误清空用户输入
 2026-08-03 23:11:10 +08:00
qing 02904f711e fix(aibox): 修复工具调用配对缺失导致的 insufficient tool messages 400 
当 assistant 携带 tool_calls 但对应 tool 响应缺失（工具被中断/压缩丢弃）时，
下一次请求报 400。新增 _repair_tool_pairs 在构建请求前补齐缺失的 tool 响应。
 2026-08-03 23:05:28 +08:00
qing d24066369b refactor(aibox): 解耦大模型调用，新增 llm_client 抽象层以支持多厂商切换 
将 think_and_respond 与 _compress_via_llm 中的直接 DeepSeek API 调用
收敛到 LLMClient 抽象层（DeepSeekClient 实现 + create_llm_client 工厂），
统一流式事件格式，为子代理/多模型切换预留扩展点；配置新增 api.provider。
 2026-08-03 23:03:03 +08:00
qing 417fda5479 refactor(aibox): 文件/网络操作工具改为返回命令行指引并移除beautifulsoup4依赖 2026-08-03 22:52:12 +08:00
qing fb5920d89f feat(gateway): 新增重置密码接口并改造前端 forgot 页对接 
- gateway 新增 POST /reset_password：复用注册校验链（限流/密码强度/邮箱格式/CAPTCHA/邮箱验证码），最后一步由创建用户改为 UPDATE Users SET password_hash，用户不存在时统一返回成功防枚举
- gateway 新增 POST /reset/send_code：CAPTCHA 强制 + 邮箱双窗口限流，定制重置密码文案
- 前端 forgot.html 弃用 static 被禁用的 /api/proxy_* 接口，对接 gateway 新接口，并改为中文 register.html 风格
 2026-08-03 22:40:43 +08:00
qing dd4fef6dee fix(pymsg): 异常信息脱敏与JSON深度/大数字限制，防信息泄露与DoS 2026-08-03 22:30:17 +08:00
qing 87f209af73 fix(pymsg): 增加连接数与线程池队列上限，防资源耗尽 
- P1-1: MsgServer 新增 max_connections（默认1000），_accept_client 超限
  直接拒绝并关闭新连接，防连接耗尽攻击
- P1-2: 新增 _BoundedThreadPoolExecutor + max_queue_size（默认1000），
  慢 handler 时任务排队超限即拒绝并断开连接，防内存无限增长
同步更新审计报告 P1-1/P1-2 状态，修复率 18.75% -> 25%
 2026-08-03 22:25:32 +08:00
qing 47ab9f2fe6 fix(pymsg): 使用 deadline 模式修复 recv 总超时绕过（Slowloris DoS） 
_recv_exact 从单次 sock.settimeout() 改为整体 deadline 模式：
header 与 payload 共享同一 total deadline，每次 recv_into 前按剩余
时间收紧超时，逐字节发送无法刷新 deadline，半开连接被及时关闭。
同步更新 pymsg 安全审计报告 P0-1 状态，修复率 6.25% -> 12.5%。
 2026-08-03 22:15:44 +08:00
qing ac16d89150 docs(aibox): 添加文件/网络操作命令行化开发计划 2026-08-03 22:05:52 +08:00
qing f53085b2a6 fix(static): 禁用 yhdet 系列功能并迁移数据库访问到 db 服务 
- 注释禁用 yhdet OAuth 相关常量、辅助函数和视图函数（yhdet_callback/yhdet_login/yhdet_verify/proxy_send_code），消除 P0-2/P0-3/P0-4/NEW-1/NEW-2 风险

- YHDET_SECRET 置空并标注已失效；PRIVATE_SECRET 与 YHDET_PRIVATE_API 一并注释

- 新增 _db_call() 辅助函数，api_check_user 改经 pymsg 调 db 服务，不再直连 SQLite

- 修复注册页验证码：点击获取邮箱验证码时图形验证码输入框被清空的问题

- 更新 static 安全审计报告，修复率 25% → 65%
 2026-08-03 22:05:02 +08:00
qing 4749e58eeb fix(static): 禁用无认证的 /api/reset_password 接口 2026-08-03 14:26:06 +08:00
qing 5fbe3ed5e4 docs(security): 更新全部模块审计报告，添加代码验证记录 
逐模块对照实际代码验证审计报告中的问题修复状态，添加代码验证记录、逐条验证结果、修复率统计。合并aibox两份审计报告，删除重复文件。修复率：confs 61% > dnfs 60% > ai_review 50% > smtp 37.5% > db 33% > core 12.5% > gateway 12.5% > pymsg 6.25% > static 5% > captcha/aibox/BotOps 0%
 2026-08-03 14:12:45 +08:00
qing d3158c2420 docs: add date suffix to remaining documentation files 
- Rename SECURITY_HARDENING_PLAN.md -> SECURITY_HARDENING_PLAN_20260803.md
- Rename aibox_SECURITY_AUDIT.md -> aibox_SECURITY_AUDIT_full_20260801.md
- Update INDEX.md links accordingly
 2026-08-03 13:26:38 +08:00
qing a7a78d1424 docs: aggregate project documentation under docs/ with unified index 
- Move all per-module security audit reports to docs/security/
- Move code review logs to docs/reviews/, analysis reports to docs/reports/
- Add docs/INDEX.md as single entry point for all project documentation
- Add documentation management conventions section to README.md
- Clean up empty per-module docs/ directories
 2026-08-03 13:21:48 +08:00
qing 9dbe395484 docs: 添加内网通信安全加固开发计划 2026-08-03 13:13:52 +08:00
qing 9f440ee884 fix(db): 监听地址改为 127.0.0.1 修复内网暴露 2026-08-03 13:10:17 +08:00
qing 4449a23ba1 docs(lci): 完善 LCI 图形系统架构文档 2026-08-02 21:37:02 +08:00
qing 0493383ee8 遗漏的部分 2026-08-02 21:21:03 +08:00
qing 84fb370da8 docs(lci): 添加 LCI 帧缓冲图形界面能力介绍到 README 2026-08-02 21:18:19 +08:00
qing 8499631091 add old lci module 2026-08-02 20:15:07 +08:00
qing 38a6e815f0 fix(static): __view.html 改为绝对路径，修复子目录下 CSS/JS 404 2026-08-02 16:41:08 +08:00
qing c58ef2b873 fix(static): 修复令牌刷新死循环 + 补全 index/aibox 令牌管理 
- expired estimate 改用 created_at 替代 iat，与网关校验逻辑一致

- index.html 和 aibox.html 补全 token_manager.js 引用
 2026-08-02 16:11:23 +08:00
qing 52052e51a8 feat(aibox): 在pre_prompt中新增情绪感知提醒 
每轮首轮对话的用户输入前，新增【情绪感知提醒】段落，引导AI：
- 识别用户情绪状态并共情回应
- 按情绪状态调整回应策略（安抚/分享/道歉）
- 用户要求特定情绪模式时搜索对应技能
 2026-08-02 14:30:20 +08:00
qing ffbe076a32 feat: add execute method to ExpressEmotionTool 2026-08-02 14:17:33 +08:00
qing 92820799fa 补全情绪化工具 2026-08-02 14:02:51 +08:00
qing 054f65f858 增加智能体生气的模板 2026-08-02 13:54:58 +08:00
qing 918f3ea32a fix(aibox): reasoning展示严格遵循配置文件reasoning_enabled开关 
之前即使reasoning_enabled=false，模型自发返回的reasoning_content
仍会被动态展示——配置只管了API请求参数，不管展示逻辑。
现在添加constants.REASONING_ENABLED门控，关着时静默忽略。
 2026-08-02 13:26:34 +08:00
qing b216535757 comment 2026-08-02 13:21:45 +08:00
qing 45db2f780b refix core initialize list 2026-08-02 12:56:14 +08:00
qing c1724ccea9 fix(redirect80): extract .content from confs RPC response dict 
RpcClient.call() returns the data dict, not a raw string.
configparser.read_string() expects str, hence TypeError.
Now uses .get("content") to unwrap the ini text.
 2026-08-02 12:52:51 +08:00
qing f9c02cd6ad feat(redirect80): new HTTP→HTTPS redirect service on port 80 
Pure Python stdlib http.server + ThreadingMixIn, zero web framework deps.
- GET/HEAD → 301, POST/PUT/DELETE/PATCH → 308
- Reads Host header, strips port, redirects to https://{host}{path}
- Config via confs (retry_on_refused, hard dependency) + env var override
- Logs via log_client → db Logs table (fail-safe async batch)
- Port 80 privilege via setcap cap_net_bind_service in _run.sh
 2026-08-02 12:50:23 +08:00
qing c7364286b7 fix(static): getNode仅401跳登录，其他异常提示原因并上抛 2026-08-02 12:19:02 +08:00
qing c3c07ab06d Merge pull request 'Main' (#17) from main into dev_qing 
Reviewed-on: #17
 2026-08-02 11:51:31 +08:00
qing 2e210e4729 chore(db): gitignore 忽略 SQLite WAL/SHM 运行时临时文件 2026-08-02 11:49:42 +08:00
qing 5a3dff9026 fix(static): 修复dnfs导航栈污染与返回键栈空越界 
- 点卡片/返回上一层前先经 confirmLeaveIfDirty 守卫确认，用户选择
  不放弃输入时不再执行 push/pop，stack 保持原样
- 返回键目标 id 判断由 length>=0（恒真，空栈取到 undefined）改为
  length>0，空栈正确回根节点 0
 2026-08-02 11:46:51 +08:00
shufeng2012 7e4fd7e54a Add search input border. 2026-08-02 09:04:53 +08:00
qing 8200cbfba7 refix 2026-08-02 01:19:56 +08:00
qing 192610615e feat(captcha): 接入 confs 配置中心并迁移字体路径 
- confs/configs/captcha.ini: 新增 captcha 配置 (server + captcha 段, 含 font_path)
- captcha/log_client.py: 新增日志客户端副本 (service_name=captcha)
- captcha/captcha_service.py: 接入统一的 confs 配置加载模式
  (confs 强依赖 retry_on_refused -> 环境变量覆盖 -> 完整性校验)
  - CAPTCHA_LEN/CAPTCHA_TTL 改为可配置
  - 字体路径迁移到 confs, 新增 CAPTCHA_FONT_PATH 环境变量覆盖与 PIL 回退兜底
  - 关键路径 (启动/生成/校验失败) 接入 log_client 日志上报
 2026-08-02 01:09:44 +08:00
qing 2bb1d69d8a feat(static/aibox.js): 同步BotOps修复到Web前端 
同步以下修复：
1. endReasoning()/abortReasoning() 结束后清除引用（DOM保留显示），
   多轮工具调用时每轮创建独立思考区域，按时间顺序分布
2. 新增 breakAi() 分段函数，处理 ai_break 信号：工具调用前分段
   AI文本，后续chunk创建新气泡，避免思考区域被夹在AI文本中间
3. line消息过滤前缀扩展：增加分析工具结果/需要调用工具等
4. 未知消息类型fallback从appendAi改为addTaskLine，防止非AI内容污染聊天区
 2026-08-01 22:19:54 +08:00
qing 392a734707 fix(ai_review): 添加内容大小限制和频率限制 
/review: 10KB内容上限(413)、30次/分钟/IP(429)；/rag/feedback: 5次/分钟/IP。使用滑动窗口限流器，优先取X-Forwarded-For作为客户端IP。
 2026-08-01 22:12:58 +08:00
qing 89b374c21d fix(pymsg): 捕获 UnicodeDecodeError 防止同步模式服务崩溃 
recv() payload.decode("utf-8") 抛出 UnicodeDecodeError(ValueError子类)不在 _handle_client 异常捕获列表中，同步模式(workers=0)下收到无效UTF-8字节会导致整个服务进程崩溃。修复：recv()中将UnicodeDecodeError包装为ConnectionError；_handle_client()异常列表增加防御性兜底。
 2026-08-01 22:11:38 +08:00
qing af5cd02663 fix(aibox/botops): 思考区域按时间顺序分布，不再全部堆在顶部 
问题根因：
1. ChatView.end_reasoning() 不清空 _reasoning_widget 引用，导致
   多轮工具调用时 start_reasoning() 直接 return，所有轮次的思考
   内容都被追加到第一个思考区域（在聊天区最顶部）。
2. AI widget 在工具调用期间不重置，导致后续轮次的思考区域被
   挂载在AI widget中间，顺序混乱。

修复：
1. end_reasoning()/abort_reasoning() 更新标签后清除引用（widget
   保留在DOM显示），下一轮 reasoning_start 创建新的思考区域。
2. 新增 ai_break 协议信号：服务端在工具调用执行前发送，前端
   break_ai() 清除AI widget引用（保留已显示内容），后续chunk
   创建新的AI widget，确保思考区域按时间顺序插入在两段AI文本之间。
3. ai_break 前flush chunk_buffer，防止工具调用前的最后文本片段丢失。
 2026-08-01 21:10:42 +08:00
qing 763faf9c83 Merge branch 'dev_qing' of https://git.cancerai.top/qing/micro_servers into dev_qing 2026-08-01 21:02:49 +08:00
qing f3d06252bb fix(aibox/botops): 修复两处重复输出根因 
1. 侧栏重复：_handle_tool_calls 中 msg_type in ("line", "complete")
   将流式工具末尾的 complete 信号也当作 line 转发，导致所有支持
   流式输出的工具（get_current_time、run_command、read_file等20+个）
   结果在侧栏显示两次。改为仅转发 "line" 类型。

2. 聊天区Markdown列表重复：Textual 的 Markdown.append() 在 chunk
   边界切断 Markdown 语法（如列表项 "- "被拆成两个chunk）时，增量
   解析可能导致内容重复渲染。改为累积完整文本后调用 update() 整体
   重新解析，避免增量解析的边界问题。
 2026-08-01 21:01:31 +08:00
qing b60ac06d55 Merge branch 'dev_qing' of https://git.cancerai.top/qing/micro_servers into dev_qing 2026-08-01 20:57:02 +08:00
qing 66963092a3 feat(static): 优化社区首页 — Hero首屏+特性卡片+悬浮毛玻璃导航，CTA随登录态切换 2026-08-01 20:56:39 +08:00
qing 27ab50ae68 fix(aibox/botops): 修复重复输出问题 
1. 服务端：is_continuation（工具调用后递归继续）时不再重复发送
   "思考中"提示和reasoning_start信号，避免多轮工具调用时侧栏
   出现多条冗余"思考中"消息
2. BotOps：line消息过滤前缀从5个扩展到9个，过滤掉"分析工具结果"
   "需要调用工具"等被后续具体信息覆盖的过渡提示
3. BotOps：移除危险的fallback分支（未知消息类型直接append到AI
   聊天区），改为写入侧栏日志，防止非AI内容污染回复
 2026-08-01 20:53:40 +08:00