go_blog

49 Commits 12 Branches 0 Tags

2 Commits

Include renames

Author	SHA1	Message	Date
kevin	f307781f58	docs: 全部 Go 代码注释汉化 - 48 个 Go 文件所有注释（行注释/块注释/行尾注释，含 _test.go）翻译为中文 - 保留技术标识符：SECURITY_TODO(n)、unsafe-inline、sqlite/mysql、路由参数等 - 代码、字符串字面量、日志消息保持英文原文，零逻辑改动 - go build/vet 通过，go test -count=1 ./... 全绿	2026-08-27 19:03:03 +08:00
kevin	f7870e8557	fix: 修复 P0 复审漏洞 #18 #19（数据库泄露 + SQL 注入） - #18 /uploads 改为白名单子目录挂载（attachments/avatars/logos + 配置的存储目录），存储根不再整体暴露，blog.db 不可被下载；禁用目录列表，拒绝 .. 穿越与反斜杠 - #19 admin 用户管理三个 handler 的路由参数先解析为数值（uintFormID），非数值直接 302，消除 GORM First() 字符串条件 SQL 注入 - 新增回归测试 main_test.go（4 用例）与 TestAdminUserRoutesRejectNonNumericIDs （已变异验证：旧代码下注入用例失败） - SECURITY_TODO.md 勾选 #18/#19 并更新执行顺序	2026-08-27 17:08:22 +08:00

Author

SHA1

Message

Date

kevin

f307781f58

docs: 全部 Go 代码注释汉化

- 48 个 Go 文件所有注释（行注释/块注释/行尾注释，含 _test.go）翻译为中文
- 保留技术标识符：SECURITY_TODO(n)、unsafe-inline、sqlite/mysql、路由参数等
- 代码、字符串字面量、日志消息保持英文原文，零逻辑改动
- go build/vet 通过，go test -count=1 ./... 全绿

2026-08-27 19:03:03 +08:00

kevin

f7870e8557

fix: 修复 P0 复审漏洞 #18 #19（数据库泄露 + SQL 注入）

- #18 /uploads 改为白名单子目录挂载（attachments/avatars/logos + 配置的
  存储目录），存储根不再整体暴露，blog.db 不可被下载；禁用目录列表，
  拒绝 .. 穿越与反斜杠
- #19 admin 用户管理三个 handler 的路由参数先解析为数值（uintFormID），
  非数值直接 302，消除 GORM First() 字符串条件 SQL 注入
- 新增回归测试 main_test.go（4 用例）与 TestAdminUserRoutesRejectNonNumericIDs
  （已变异验证：旧代码下注入用例失败）
- SECURITY_TODO.md 勾选 #18/#19 并更新执行顺序

2026-08-27 17:08:22 +08:00