qing
4d16bc32fc
扫描发现生产 CORS 含 http://localhost:9200（硬编码于 fsys.py），且 config.ini 的 cors 段（通配符 *）从未被读取。白名单改为从 config.ini 读取，生产值仅 qsont.me/yhdet.top，localhost 仅限本地开发显式配置。
18 lines
407 B
INI
18 lines
407 B
INI
[server]
|
|
host = 127.0.0.1
|
|
port = 9200
|
|
|
|
[directory]
|
|
root = ./public
|
|
|
|
[ssl]
|
|
enabled = false
|
|
cert_file = cert.pem
|
|
key_file = key.pem
|
|
|
|
[cors]
|
|
# 允许跨域的 Origin 白名单（逗号分隔）
|
|
# 注意：生产环境请勿包含 localhost / 127.0.0.1 / 通配符 *
|
|
# 本地开发联调时可临时追加 http://localhost:9200，调试完务必移除
|
|
allowed_origins = https://qsont.me,https://yhdet.top
|