kevin
2e3888d5b1
fix: 完成 P0 安全修复 #26——请求体大小限制防未认证内存耗尽 DoS
- 新增 middleware/bodylimit.go：BodyLimit 中间件，非 multipart 统一
4 MiB（覆盖文章正文上限）；multipart 按平台上传策略派生（启用类型
限制与全局默认取最大 +1 MiB 开销，下限不低于编译期默认）。
Content-Length 已知且超限读体前直接 413，其余经 MaxBytesReader 截断
- handlers/api.go：bindJSON 识别 *http.MaxBytesError → 413 +
request_too_large（i18n 中英新增）
- main.go：中间件顺序调整为 SetUserContext → BodyLimit → CSRF——
必须先于 CSRF（其解析 multipart 会读取整个请求体），SetUserContext
提前使 413 文案可按请求语言翻译；测试环境链同步（security_test.go）
- middleware/auth.go：apiAuthError 更名 apiError（BodyLimit 复用）
- 新增 handlers/bodylimit_test.go：超限 JSON 两种形态（已知长度/
chunked）413、正常体放行至认证层、3MB multipart 拒绝且附件表零写入、
GET 不受影响
- SECURITY_TODO.md：#26 勾选完成并记录验证；API 化复审新增 #26–#32
待办清单（P1 注册/评论限流、P2 favicon 魔数校验/最后管理员竞态/
置顶权限、P3 零碎项）与执行顺序
go build / vet / test -race ./... 全绿
2026-08-27 21:23:19 +08:00
..
2026-08-27 21:23:19 +08:00
2026-08-27 21:23:19 +08:00
2026-08-27 19:03:03 +08:00
2026-08-27 19:03:03 +08:00
2026-08-27 19:03:03 +08:00
2026-08-27 19:03:03 +08:00
2026-08-27 19:03:03 +08:00
2026-08-27 19:03:03 +08:00