MyGoNavi

GithubBackup/MyGoNavi

Fork 0

mirror of https://github.com/Syngnat/GoNavi.git synced 2026-08-21 00:20:22 +08:00

Commit Graph

Author	SHA1	Message	Date
Syngnat	e8ef3b3f01	🐛 fix(webserver): 修复登录/初始化页 next 参数的 DOM XSS 与开放重定向 - 客户端补归一化：两个页面脚本都用 location.search 重读原始 next，服务端过滤对其完全无效。新增共用的 safeNextTarget()，用 URL 解析器做同源判定（javascript:/data: 的 origin 为 null），归一化后再交给 window.location.replace，堵住 ?next=javascript:... 在页面自身源内执行、进而携带会话 Cookie 调用 /api/invoke 读取全部已保存连接并执行任意 SQL 的链路 - 服务端补 /\ 缺口：抽出 isSafeLocalRedirect 供 resolvePostAuthRedirect 与 buildAuthRedirectURL 共用。WHATWG URL 解析器对 special scheme 把反斜杠等价为斜杠，故 /\evil.com 会被解析成 //evil.com，原先仅查 // 前缀挡不住该变体 - 补回归测试：覆盖 javascript:/data:///evil.com//\evil.com 等载荷，并断言两个页面脚本不再出现未归一化的 next 裸读	2026-07-26 19:56:50 +08:00
Syngnat	8d186fc066	✨ feat(web-auth): 支持六位密码与环境变量托管 - 密码策略统一为至少六个可见字符，覆盖初始化与设置中心改密 - 支持 GONAVI_WEB_PASSWORD 启动同步并保留既有 2FA 与会话配置 - 设置中心识别环境托管状态并禁用临时改密 - Compose、env 示例及双语文档补充密码配置和容器重建说明 - 增加认证持久化、环境覆盖、前端状态与 Docker 登录回归校验	2026-07-10 10:34:03 +08:00
Syngnat	714c6fc553	✨ feat(web-server): 新增浏览器访问认证与初始化流程 - 新增 web-server 运行模式与浏览器端运行时桥接 - 支持管理员密码、会话策略、Google Authenticator 与恢复码 - 设置中心补充浏览器访问认证状态与改密入口 - 优化初始化向导，未启用 2FA 时跳过验证器步骤 Refs #618	2026-07-04 21:50:52 +08:00

Author

SHA1

Message

Date

Syngnat

e8ef3b3f01

🐛 fix(webserver): 修复登录/初始化页 next 参数的 DOM XSS 与开放重定向

- 客户端补归一化：两个页面脚本都用 location.search 重读原始 next，服务端过滤对其完全无效。
  新增共用的 safeNextTarget()，用 URL 解析器做同源判定（javascript:/data: 的 origin 为 null），
  归一化后再交给 window.location.replace，堵住 ?next=javascript:... 在页面自身源内执行、
  进而携带会话 Cookie 调用 /api/invoke 读取全部已保存连接并执行任意 SQL 的链路
- 服务端补 /\ 缺口：抽出 isSafeLocalRedirect 供 resolvePostAuthRedirect 与
  buildAuthRedirectURL 共用。WHATWG URL 解析器对 special scheme 把反斜杠等价为斜杠，
  故 /\evil.com 会被解析成 //evil.com，原先仅查 // 前缀挡不住该变体
- 补回归测试：覆盖 javascript:/data:///evil.com//\evil.com 等载荷，
  并断言两个页面脚本不再出现未归一化的 next 裸读

2026-07-26 19:56:50 +08:00

Syngnat

8d186fc066

✨ feat(web-auth): 支持六位密码与环境变量托管

- 密码策略统一为至少六个可见字符，覆盖初始化与设置中心改密
- 支持 GONAVI_WEB_PASSWORD 启动同步并保留既有 2FA 与会话配置
- 设置中心识别环境托管状态并禁用临时改密
- Compose、env 示例及双语文档补充密码配置和容器重建说明
- 增加认证持久化、环境覆盖、前端状态与 Docker 登录回归校验

2026-07-10 10:34:03 +08:00

Syngnat

714c6fc553

✨ feat(web-server): 新增浏览器访问认证与初始化流程

- 新增 web-server 运行模式与浏览器端运行时桥接
- 支持管理员密码、会话策略、Google Authenticator 与恢复码
- 设置中心补充浏览器访问认证状态与改密入口
- 优化初始化向导，未启用 2FA 时跳过验证器步骤

Refs #618

2026-07-04 21:50:52 +08:00

3 Commits