Dev qing #14

2026-07-30T19:47:14+08:00

qing commented

2026-07-30 19:47:14 +08:00

No description provided.

qing added 39 commits 2026-07-30 19:47:14 +08:00

smtp dev 11993e178b

refactor: smtp.py.remote 更名为 smtp_v2.py，恢复 .py 后缀以便工具链识别 53c742c26e

_run.sh 同步指向新文件名；start() 新增启动时凭证明文打印（仅 stdout 不落日志库），用于排查 .env 加载问题，调试完成后需移除。

fix: smtp .env 解析兼容 KEY: VALUE 冒号格式，MAIL_FROM 默认跟随 SMTP_USER f5b69d0b4c

服务器 .env 误用 YAML 冒号格式导致凭证全部加载为空；163 等服务商强制 From 头与登录账号一致，写死的 MAIL_FROM 会触发 553，现默认取 SMTP_USER、可用 .env 显式覆盖。

update: smtp 验证码有效期 60s 调整为 10 分钟，邮件正文从 CODE_TTL 派生 f4a7aca2fa

60 秒对邮件送达延迟过于紧张；正文有效期文案改为按 TTL 自动生成避免漂移，前端提示与 README 同步。同时移除 .env 排查用的凭证明文调试打印。

feat(smtp): 同一邮箱 60 秒发送冷却，gateway 429 透传 + 前端重发倒计时（gateway v0.5.3） c5dd8d198d

AskUserTool 内置技能 3c02ba43ad

智能体提问 e6e5dab4cd

feat(smtp): 邮箱验证码连续校验失败 5 次自动作废，防枚举 6 位数字码 5275b8bf75

Merge branch 'dev_qing' of https://git.cancerai.top/qing/micro_servers into dev_qing bcd6c84e3b

获取节点失败后跳转 949d274c22

fix(dnfs): review_content 兼容布尔/字符串审核结果，修复安全内容误拦 e9f9860fe1

仅明确判定安全（布尔 false 或字符串 "false"）才放行，其余一律拦截，
保持 fail-closed；同时消除 invalid 字段缺失时的 KeyError。

refactor(auth): 管理员判定上移至 gateway，经 Token payload 下发 is_admin 46c3a197be

gateway 登录签发 Token 时，账号命中 [Admin] users 白名单即在 payload
写入 is_admin=true（随 RSA 签名保护）；dnfs 移除本地 ADMIN_USERS 硬编码，
delete_note/update_note 豁免判断改读 payload 的 is_admin 字段。
旧 Token 无此字段按非管理员处理（安全方向）。

feat(dnfs): get_notes 按当前用户注入 can_operate，前端按权显隐编辑/删除按钮 b4e1cf462a

dnfs get_notes 可选解析 Authorization（畸形 Token try 兜底），为每个节点
附带 can_operate 标记（is_admin 或 owner，口径与 delete/update 一致）；
dnfs.js 卡片编辑/删除按钮仅 can_operate === true 时渲染，未登录或无权隐藏。

feat(dnfs): 卡片移动按钮一并纳入 can_operate 权限显隐 1388fcb72b

编辑/移动/删除三个按钮合并为单次权限判断（移动本质也是 update_note），
未登录或无权时不渲染整个按钮组。

feat(dnfs): 左上角用户信息面板（默认折叠），新增 /whoami 身份接口 8c1956cdeb

dnfs 新增 POST /whoami：解 Token payload 返回 user/is_admin，无或畸形
Token 返回 login=false（HttpOnly Cookie 模式下 JS 无法读 Token，身份
必须由后端下发）；static 加 /whoami 代理（Cookie 转 Bearer）；前端
dnfs.html 左上新增 userpanel，镜像 minimap 样式默认折叠，展开显示
用户名/角色/退出登录（POST /logout 清 Cookie 后跳登录页）。

fix(dnfs): 用户面板用户名/角色改为纯展示，去除手型光标与 hover 变色 55b127747a

新增 .tag.no-hover 修饰类还原交互态；折叠按钮与退出登录保持可点样式。

feat(dnfs): minimap 与用户面板按视口宽度决定初始折叠态 a58a0f97e3

新增 PANEL_EXPAND_MIN_WIDTH=768 断点：宽屏默认展开、窄屏默认折叠避免
遮挡内容；仅决定初始状态，用户手动折叠/展开不被 resize 覆盖。

style(dnfs): 用户信息面板移到左边中间，与右侧 minimap 镜像对称 5c33dbe027

Revert "style(dnfs): 用户信息面板移到左边中间，与右侧 minimap 镜像对称" 40175eddb5

This reverts commit 5c33dbe027.

fix(static): 前端脚本识别 WAF 拦截响应并正确提示 9765edac9b

- validation.js 新增 WafTip 公共检测：403 + 响应体含 blocked by WAF 双重特征，
  与 gateway 白名单拒绝的 403（JSON 错误消息）精确区分
- login/register/dnfs/view 各请求点在 JSON 解析前识别拦截，统一提示
  「请求被 WAF 安全规则拦截，请检查输入内容」
- 修复 dnfs getNode 被 WAF 拦截时落入 catch 误跳登录页的问题
- 验证码图片加载识别 403 拦截，alt 提示点击重试
- __view.html 补充引入 validation.js

docs(waf): 拦截日志章节更新为 logclient 推送 db Logs 表的说明 91e6659dac

docs(static): README 路由表、架构图、配置、依赖与实际代码同步 62007e7848

- 修正根路径 / 描述：index.html → login.html
- 补全全部 19 个路由（原仅 6 个），分组为核心/内部工具/OAuth/代理
- 架构图补全 waf:443 → gateway:8443 → static:9200 完整链路
- 配置示例新增 [cors] 段
- 依赖列表补全 waitress 和 pymsg
- 页面和功能列表补全遗漏项

docs(waf): 更新 README 文档与代码实现对齐 dcfdbcb9f2

- 新增「安全响应头」章节，列出 7 个 WAF 注入的响应头及说明
- 修正「已知限制」中响应体检测描述，明确响应头检测已启用
- 澄清拦截日志等级区分（WARNING 命中拦截 / ERROR 加载错误）及 extra 字段类型
- 补充规则 ID 分段表的 CRS 可选说明
- 更新目录结构列表补充 logclient 子包
- 请求处理流程新增 ModifyResponse 步骤

docs(captcha): 项目结构树和安装指引补全遗漏项 aa3a99825c

- 安装章节新增 bash _set.sh 初始化步骤
- 项目结构树补全 _set.sh 和 requirements.txt

feat(gateway): add /refresh_token API with grace window + refresh limit a8a190571c

- POST /refresh_token: accept current Bearer token (or Cookie fallback),
  verify RSA signature, check grace window (iat + keep_time * multiplier)
  and refresh count limit, then issue a new token.
- Token payload extended with iat, refresh_count, max_refresh fields.
- iat preserves original issue time; created_at updates on each refresh.
- Rate limited: 5 req / 5 min / IP via RateLimiter.
- Config: Token.refresh_grace_multiplier (default 2), Token.max_refresh (default 10).
- Backward compatible: old tokens without new fields still pass proxy checks.

docs(bot4cj): 新增 README.robot.md 完整技术手册 f214c862d3

- 补充 5 层架构分层图（脚本→解析器→结构构建→硬件实现→系统库）
- 详解 .mt 脚本语法、块类型、占位符规则
- 补充 PCA9685/Servo/MPU6050/Speaker 各硬件寄存器与校准参数
- 说明执行流程：stdin→FSM 解析→链表→build/play/free
- 列出 I2C 总线保护、GC 析构、pthread_cancel 等安全限制
- 补充 11 条已知缺陷清单（D1-D11）
- 新增 NN/CNN 测试命令与 DRL 预留接口说明

docs(libth): 完整的 README 文档，覆盖 API、架构、构建与使用示例 4506601773

- 新增 4 个类的完整 API 说明（Thread/Fsm/ITask/Cv_wait）
- "回字形"执行循环和两阶段构造的设计说明
- 构建、安装、链接、卸载的完整指引
- 可运行的使用示例代码
- 设计要点与注意事项（死锁风险、单次使用限制等）
- 修正 C++ 标准版本为 C++20（与 Makefile 一致）

fix(libth): Cv_wait.hpp 中 lcok 拼写错误修正为 lock

docs(core): 新增代码审查日志 CODE_REVIEW_LOG_20260730.md 63a80694ae

- 审查日期：2026-07-30 14:30:00 (Asia/Shanghai)
- 发现 16 个问题（4 Critical / 6 Medium / 6 Low）
- 核心风险：命令注入、无鉴权、空指针解引用
- 包含分阶段修复计划与优先级建议

docs(smtp): 新建完整 README，覆盖协议、路由、配置与安全机制 931e134796

- 3 个路由的完整请求/响应文档（send_email / verify_email / health）
- .env 配置项说明（4 种格式支持、必填/可选字段）
- 验证码生命周期：生成→冷却→消费→过期→作废→失败回滚
- 安全机制：发送冷却、失败次数上限防枚举、SMTP 失败回滚
- 集成关系：gateway 调用流程、core 守护、log_client 日志推送
- 旧版 smtp.py 的安全风险标注

fix(smtp): _set.sh 中 nuitka 编译目标 smtp.py → smtp_v2.py

docs(aibox): 更新 README.md 并新增 README.robot.md 技术手册 254fbf4628

README.md 修复：
- 新增 ask_user 工具到工具列表
- 补充配置表中缺失的 17 个字段（system/scheduler/api/context/memo/files/commands/web/memory/conversation/tools/compressor/proxy）
- 补充对话压缩完整配置项

README.robot.md 新增：
- 17 章节完整技术手册（~500 行）
- 架构图、数据流、协议详情
- 19 个工具的完整实现信息
- 配置参考（含所有字段说明）
- 已知限制与安全建议
- 部署与故障排查指南

feat(static): add frontend token auto-refresh for dnfs page 6649b31e17

- New token_manager.js: silent refresh timer (80% lifetime) + global
  fetch 401 interceptor with one-shot retry.
- dnfs.py /whoami now returns iat, created_at, keep_time for expiry
  estimation.
- Dnfs.html loads token_manager.js before dnfs.js (zero change to dnfs.js).
- Graceful fallback: stale tokens without new fields, refresh failures,
  and /refresh_token 401 itself all degrade to the existing 401→login flow.

docs(libcrypt): 完整 README，覆盖 5 个类 API、构建、示例与注意事项 ac8f3da9df

- 5 个类的完整 API 文档（Crypto_Basic/AES_CBC/Base64/SHA256/MyRSA）
- 架构层级图与 header-only 设计说明
- 构建/安装/链接指引（含 OpenSSL 3.x 依赖说明）
- 可运行的使用示例
- Private_Key 私有继承、链接 -lssl -lcrypto 等注意事项

fix(libcrypt): SHA256.hpp 删除重复 bytes_to_hex，改用基类版本

- 私有 static bytes_to_hex 与 Crypto_Basic::bytes_to_hex 重复，已删除
- include 路径统一为 "Crypto_Basic.hpp"（与其他三文件一致）
- 移除随之无用的 <iomanip> <sstream> 头文件

fix(libcrypt): AES_CBC.hpp 补充缺失的 #include <iomanip>

docs(db): 修正 log_client 描述并补充 message/extra 截断说明 803d176066

- "纯标准库实现" → "无第三方依赖（仅依赖 pymsg 项目内置库）"，更准确
- 新增长度保护说明：message 上限 8KB、extra 上限 4KB，超长自动截断

fix(db): _set.sh Nuitka 注释 main.py → dbv2.py

docs(BotOps): 安装指引改用脚本 + 补全项目结构树 + 新增 Nuitka 编译说明 8a14247aed

- 安装章节改用 bash _set.sh / _run.sh 一键脚本
- 新增 _inst.sh Nuitka 编译为 botops.bin 单文件的说明
- 项目结构树补全 _set.sh / _run.sh / _inst.sh / requirements.txt / __init__.py

docs: 新增 libhttp/libtry/pymsg/README.robot.md 技术手册，更新 BotOps/README.md e4831522a4

docs: 更新 README.md - 补充 bot4cj、libtry、tests 等缺失模块说明 7589b77916

refix d309f41e47

style(dnfs): 增大节点表单输入框尺寸 eec869a28d

微调 74610c32c8

qing merged commit edb53d079c into main

2026-07-30 19:47:22 +08:00

Sign in to join this conversation.

1 Participants

Notifications

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: qing/micro_servers#14