go_blog

86 Commits 12 Branches 0 Tags

3 Commits

Include renames

Author	SHA1	Message	Date
kevin	2e3888d5b1	fix: 完成 P0 安全修复 #26——请求体大小限制防未认证内存耗尽 DoS - 新增 middleware/bodylimit.go：BodyLimit 中间件，非 multipart 统一 4 MiB（覆盖文章正文上限）；multipart 按平台上传策略派生（启用类型限制与全局默认取最大 +1 MiB 开销，下限不低于编译期默认）。 Content-Length 已知且超限读体前直接 413，其余经 MaxBytesReader 截断 - handlers/api.go：bindJSON 识别 *http.MaxBytesError → 413 + request_too_large（i18n 中英新增） - main.go：中间件顺序调整为 SetUserContext → BodyLimit → CSRF—— 必须先于 CSRF（其解析 multipart 会读取整个请求体），SetUserContext 提前使 413 文案可按请求语言翻译；测试环境链同步（security_test.go） - middleware/auth.go：apiAuthError 更名 apiError（BodyLimit 复用） - 新增 handlers/bodylimit_test.go：超限 JSON 两种形态（已知长度/ chunked）413、正常体放行至认证层、3MB multipart 拒绝且附件表零写入、 GET 不受影响 - SECURITY_TODO.md：#26 勾选完成并记录验证；API 化复审新增 #26–#32 待办清单（P1 注册/评论限流、P2 favicon 魔数校验/最后管理员竞态/ 置顶权限、P3 零碎项）与执行顺序 go build / vet / test -race ./... 全绿	2026-08-27 21:23:19 +08:00
kevin	a0061b14e3	feat: 评论接口 JSON 化——/api/article/:slug/comments 与 admin 审核操作 - comment.go：commentForm 加 json tag；PostComment 校验分支改 APIError （404 article_not_found、403 comments_disabled/comments_guests_disabled、 400 校验码、500 article_error），保留 guest 令牌与 flash 机制，成功返回 {ok,redirect:/article/:slug#comment-N,comment_id} - api.go：新增 APIErrorf（支持 %d/%s 占位符键如 comments_too_long） - admin_comment.go：approve/reject/delete 改 JSON（parseUintParam 拒绝非数值 id 400），成功带原 ?saved=1&msg= 查询串 redirect - main.go：PostComment 迁入 /api；评论审核三操作迁入 /api/admin/comments - article.html：评论表单改 blogAPI 提交，错误内联 commentError div - comment_list.html：审核操作改 to commentAct() 委托（confirm 在函数内，取消不发请求），成功 reload 保持筛选状态 - 测试：security_test env 路由同步 /api；session_upload 评论用例改 JSON - main_test 冒烟补评论 API 路由断言；go build/vet/test 全绿	2026-08-27 19:36:09 +08:00
kevin	b1e9d9cae6	feat: API 基建——/api JSON 接口统一契约与认证分支 - handlers/api.go：APIOK/APIError/bindJSON，统一 {ok,redirect,data} / {ok:false,code,error} 响应契约（code=i18n 键，error 按请求语言翻译） - i18n：新增 api_error/api_unauthorized/api_forbidden/api_invalid_request（中英） - middleware/auth.go：AuthRequired/AdminRequired 按 /api 前缀分支： JSON 401/403（页面保持 302），新增 isAPIRequest + apiAuthError - main.go：路由注册提取为 registerRoutes；建立 /api 分组并搬移附件三件套（admin/my）与 /api/profile/avatar（旧 /admin\|my/articles/attachments、 /profile/avatar 路由移除） - handlers/login_ratelimit.go：loginRateLimiter 导出为 LoginRateLimiter - templates/layouts/base.html：blogAPI/blogForm/blogShowError 共享 fetch 助手 - main_test.go：TestRegisterRoutesSmoke 冒烟测试（注册期 gin 静态/参数冲突即 panic + 关键 /api 路由断言） - go build/vet/test ./... 全绿	2026-08-27 19:24:43 +08:00

Author

SHA1

Message

Date

kevin

2e3888d5b1

fix: 完成 P0 安全修复 #26——请求体大小限制防未认证内存耗尽 DoS

- 新增 middleware/bodylimit.go：BodyLimit 中间件，非 multipart 统一
  4 MiB（覆盖文章正文上限）；multipart 按平台上传策略派生（启用类型
  限制与全局默认取最大 +1 MiB 开销，下限不低于编译期默认）。
  Content-Length 已知且超限读体前直接 413，其余经 MaxBytesReader 截断
- handlers/api.go：bindJSON 识别 *http.MaxBytesError → 413 +
  request_too_large（i18n 中英新增）
- main.go：中间件顺序调整为 SetUserContext → BodyLimit → CSRF——
  必须先于 CSRF（其解析 multipart 会读取整个请求体），SetUserContext
  提前使 413 文案可按请求语言翻译；测试环境链同步（security_test.go）
- middleware/auth.go：apiAuthError 更名 apiError（BodyLimit 复用）
- 新增 handlers/bodylimit_test.go：超限 JSON 两种形态（已知长度/
  chunked）413、正常体放行至认证层、3MB multipart 拒绝且附件表零写入、
  GET 不受影响
- SECURITY_TODO.md：#26 勾选完成并记录验证；API 化复审新增 #26–#32
  待办清单（P1 注册/评论限流、P2 favicon 魔数校验/最后管理员竞态/
  置顶权限、P3 零碎项）与执行顺序

go build / vet / test -race ./... 全绿

2026-08-27 21:23:19 +08:00

kevin

a0061b14e3

feat: 评论接口 JSON 化——/api/article/:slug/comments 与 admin 审核操作

- comment.go：commentForm 加 json tag；PostComment 校验分支改 APIError
  （404 article_not_found、403 comments_disabled/comments_guests_disabled、
  400 校验码、500 article_error），保留 guest 令牌与 flash 机制，成功返回
  {ok,redirect:/article/:slug#comment-N,comment_id}
- api.go：新增 APIErrorf（支持 %d/%s 占位符键如 comments_too_long）
- admin_comment.go：approve/reject/delete 改 JSON（parseUintParam 拒绝非
  数值 id 400），成功带原 ?saved=1&msg= 查询串 redirect
- main.go：PostComment 迁入 /api；评论审核三操作迁入 /api/admin/comments
- article.html：评论表单改 blogAPI 提交，错误内联 commentError div
- comment_list.html：审核操作改 to commentAct() 委托（confirm 在函数内，
  取消不发请求），成功 reload 保持筛选状态
- 测试：security_test env 路由同步 /api；session_upload 评论用例改 JSON
- main_test 冒烟补评论 API 路由断言；go build/vet/test 全绿

2026-08-27 19:36:09 +08:00

kevin

b1e9d9cae6

feat: API 基建——/api JSON 接口统一契约与认证分支

- handlers/api.go：APIOK/APIError/bindJSON，统一 {ok,redirect,data} /
  {ok:false,code,error} 响应契约（code=i18n 键，error 按请求语言翻译）
- i18n：新增 api_error/api_unauthorized/api_forbidden/api_invalid_request（中英）
- middleware/auth.go：AuthRequired/AdminRequired 按 /api 前缀分支：
  JSON 401/403（页面保持 302），新增 isAPIRequest + apiAuthError
- main.go：路由注册提取为 registerRoutes；建立 /api 分组并搬移附件三件套
  （admin/my）与 /api/profile/avatar（旧 /admin|my/articles/attachments、
  /profile/avatar 路由移除）
- handlers/login_ratelimit.go：loginRateLimiter 导出为 LoginRateLimiter
- templates/layouts/base.html：blogAPI/blogForm/blogShowError 共享 fetch 助手
- main_test.go：TestRegisterRoutesSmoke 冒烟测试（注册期 gin 静态/参数
  冲突即 panic + 关键 /api 路由断言）
- go build/vet/test ./... 全绿

2026-08-27 19:24:43 +08:00