Dev qing #12

2026-07-28T12:46:20+08:00

qing commented

2026-07-28 12:46:20 +08:00

No description provided.

qing added 28 commits 2026-07-28 12:46:20 +08:00

inst aibo 3501168f45

fixbug: 机器人在定时任务中创建重复的定时任务 c58cafcdcf

refix f601efdd3f

docs & ui: 完善 captcha/aibox 文档，登录注册改为邮箱制 ee44e1bef1

- captcha/README.md: 补充字段级接口文档与错误码表
- aibox/README.md: 对照 main.py 源码核对修正（入口/模型/工具/配置）
- static/public/login.html & register.html: 用户名改为邮箱
- static/public/js/register.js: 合并注册页双邮箱框为单一邮箱字段

Merge pull request 'docs & ui: 完善 captcha/aibox 文档，登录注册改为邮箱制' (#10 ) from workbuddy/dev-qing-8fdda6eb into dev_qing c578d1ab9e

Reviewed-on: #10

docs: 补全根 README 中遗漏的 captcha/smtp/aibox 服务 ed3108f55c

- 各服务说明表新增 captcha/smtp/aibox 三行
- 端口一览新增 smtp(:8008)/aibox(:8765)
- 运行清单新增 smtp/aibox 启动项
- 日志链路与 init.txt 提及补全 smtp/aibox
- 新增 captcha/smtp/aibox 三个子章节（对照 init.txt 与各服务源码）

Merge pull request 'docs: 补全根 README 中遗漏的 captcha/smtp/aibox 服务' (#11 ) from workbuddy/dev-qing-8fdda6eb into dev_qing 9e8ad76400

Reviewed-on: #11

feat: 新增俄罗斯方块小游戏（games/game7.html） 6b77cdcf3a

纯 HTML 单文件实现，Canvas 渲染，含 7-bag 发牌、暂存、落点虚影、硬降/软降、等级加速与触屏按键，最高分本地持久化。

docs: 按代码实况修正根 README 与实现不符的描述 65cfaf97a1

db 实为 pymsg/TCP（非 HTTP），ai_review 实为 fail-closed，captcha 路由与实现方式、static 的 dnfs 代理与账号旁路、gateway 用户存储与 core 守护机制等均按代码核实结果更正。

security: Token 改为 HttpOnly Cookie 下发，消除 XSS 窃取面 e89578fa82

登录时网关签发 HttpOnly+Secure+SameSite=Lax 的 q4_token Cookie，前端不再经手 Token；网关代理时支持从 Cookie 验签并向下游注入 Authorization（dnfs 零改动），新增 /logout 清除 Cookie，static 代理路由兼容 Cookie 转 Bearer。

security: waf 边缘统一注入安全响应头 b2ddd9e7e3

外部扫描发现站点缺少安全响应头。在 waf 反代/403/502 三个出站路径统一注入 XFO/nosniff/Referrer-Policy/Permissions-Policy/HSTS/CSP，下游同名头一律覆盖避免重复；static 补上漏调用的 apply_security_headers 做纵深防御。

fix: 修复公开页面因旧 Cookie 验签失败误返回 401 4ad3fbfca8

浏览器会自动给每个请求携带 q4_token，gateway 重启轮换内存 RSA 密钥后旧凭证验签失败，导致无需登录的公开页面也 401。代理层改为仅对需鉴权目标校验凭证，公开目标跳过；前端遇 401 自动跳转登录页自愈。

测试模块初步完成 d06546f6bf

feat: captcha 改造为 pymsg/TCP 服务，gateway 新增图形码代理路由 44c1e5ef72

captcha 参照 dbv2 统一为 pymsg 协议（image/verify/health 路由），与主干 RPC 栈对齐；gateway 新增 GET /captcha/image 做 HTTP→pymsg 转换，解码 base64 PNG 并以原契约（image/png + X-Captcha-Token）返回浏览器。

rewrite captcha 323dd3061b

feat: 登录页接入图形验证码，登录接口强制校验 6fcb70d235

登录页展示 captcha 图形码（点击刷新），登录请求携带 captcha_token/captcha_answer；gateway 的 /login 启用验证码校验，经 pymsg 调 captcha verify 路由（fail-closed），补齐防爆破短板。

fix: CSP img-src 放行 blob:，修复验证码图片被拦截 a5e581ef24

登录页验证码用 URL.createObjectURL 生成的 blob: URL 显示，被 img-src 'self' data: 拦截导致图片无法加载；五处 CSP 定义（waf 边缘 + 四个 Flask 中间件副本）同步放宽。

ui: 验证码改为 4 位，登录页图片移到输入框左侧 62804d242c

captcha 服务 CAPTCHA_LEN 调整为 4 并适配字符间距；登录页验证码图片与输入框换序，同一行展示更紧凑。

fix: 修复验证码图片被输入框挤换行，改为右侧同一行 3ef7d1b780

theme.css 全局设定文本输入框 display:block;width:100%，导致验证码图片无法与之同行；改用 flex 容器包裹（输入框 flex:1、图片 flex:none 居右），布局与主题风格一致。

feat: 新增用户使用条例独立页面并在登录页引用 7726857d6b

新增 LICENSE.html（六章条例，开源社区定位，复用主题样式）；登录页勾选框文案改为链接新标签页打开，不影响勾选交互与表单状态。

security: CORS 白名单移除 localhost 并改为 config.ini 驱动 4d16bc32fc

扫描发现生产 CORS 含 http://localhost:9200（硬编码于 fsys.py），且 config.ini 的 cors 段（通配符 *）从未被读取。白名单改为从 config.ini 读取，生产值仅 qsont.me/yhdet.top，localhost 仅限本地开发显式配置。

ui: 用户使用条例改为弹窗显示并移除 LICENSE.html 返回按钮 680d28b616

fix: X-Frame-Options/frame-ancestors 改为同源以修复条例弹窗空白 50f209e84a

fix: 前端按钮防重复点击，避免重复请求（dnfs提交/删除、view刷新、验证码刷新） bfd2d334fe

fix: 发布节点期间同步禁用重置/删除按钮，防止误触 483c5f227f

3d打印件 ec755a30f2

^-^ 7803843155

移植bot4cj 78ad3e6d57

qing merged commit bcd49f0e81 into main

2026-07-28 12:46:27 +08:00

Sign in to join this conversation.