dsh/go_blog
1
0 Fork 0
forked from kevin/go_blog
Code Pull Requests Activity
49 Commits 12 Branches 0 Tags
5afc7fa9bee042ed1cd7965b69d6dafb6cdf7f4d
Commit Graph
4 Commits
Author SHA1 Message Date
kevin f307781f58 docs: 全部 Go 代码注释汉化 
- 48 个 Go 文件所有注释（行注释/块注释/行尾注释，含 _test.go）翻译为中文
- 保留技术标识符：SECURITY_TODO(n)、unsafe-inline、sqlite/mysql、路由参数等
- 代码、字符串字面量、日志消息保持英文原文，零逻辑改动
- go build/vet 通过，go test -count=1 ./... 全绿
 2026-08-27 19:03:03 +08:00
kevin c9f858b626 fix: 完成 P2 安全修复 #9-13 #22-25 
- #9 CDN 本地化：marked/DOMPurify/highlight.js/cropperjs/easymde 入 static/vendor（go:embed），Tailwind 改静态构建（scripts/build_tailwind.sh），CSP 收紧为 default-src 'self'
- #10 登录限速：IP+用户名维度 5 次失败锁 15 分钟，内存实现有界（handlers/login_ratelimit.go）
- #25 计时侧信道：用户不存在时执行 dummy bcrypt 抹平时间差（随 #10 实施）
- #11 配置文件权限 0640
- #12 首启随机一次性密码（弃用 admin/admin）
- #13 unix socket 660 + 代理用户加组提示
- #22 storage_dir 路径穿越校验（单安全路径段）
- #23 密码最小长度统一（改密/建号/重置），#24 邮箱格式统一校验
- 新增 13 个单元测试；go test ./... 含 -race 全绿
 2026-08-27 18:10:22 +08:00
kevin f7870e8557 fix: 修复 P0 复审漏洞 #18 #19（数据库泄露 + SQL 注入） 
- #18 /uploads 改为白名单子目录挂载（attachments/avatars/logos + 配置的
  存储目录），存储根不再整体暴露，blog.db 不可被下载；禁用目录列表，
  拒绝 .. 穿越与反斜杠
- #19 admin 用户管理三个 handler 的路由参数先解析为数值（uintFormID），
  非数值直接 302，消除 GORM First() 字符串条件 SQL 注入
- 新增回归测试 main_test.go（4 用例）与 TestAdminUserRoutesRejectNonNumericIDs
  （已变异验证：旧代码下注入用例失败）
- SECURITY_TODO.md 勾选 #18/#19 并更新执行顺序
 2026-08-27 17:08:22 +08:00
kevin cefaeac618 feat: add admin user management with role-based access and self-protection 
- Add AdminRequired middleware for admin-role routes
- Add login status check to reject disabled/locked accounts
- Add CRUD handlers (list, create, edit, delete) for users
- Add user_list and user_form templates with role/status badges
- Add nav entry and dashboard button for user management
- Add dynamic user count on admin dashboard
- Fix userIDFromSession to handle all numeric session types
- Self-protection: cannot delete/disable self or demote last admin
- Add EN/ZH i18n keys for all user management strings
 2026-06-22 18:11:39 +08:00