dsh de27e53287 fix: SECURITY_TODO #29 favicon/logo 上传增加魔数一致性校验 ...

saveSiteImage 只查扩展名白名单 + Category=image 即落盘，管理员可将
HTML 字节存为 logos/logo.png（当前仅靠 nosniff + 按扩展名 Content-Type
兜底，纵深防御链条断裂）。现与头像/附件上传（#14/#21）口径一致：
读取字节后 contentMatchesType 校验，不匹配返回 400
（settings_upload_bad_content，i18n 中英新增）。

- handlers/settings.go: saveSiteImage 魔数校验后再写盘
- 测试: TestSiteImageUploadRejectsMismatchedContent
  （favicon/logo 各：PNG 扩展名 + HTML 字节 → 400；真实 PNG → 200）

2026-08-27 21:41:02 +08:00

..

admin_analytics.go

docs: 全部 Go 代码注释汉化

2026-08-27 19:03:03 +08:00

admin_comment.go

feat: 评论接口 JSON 化——/api/article/:slug/comments 与 admin 审核操作

2026-08-27 19:36:09 +08:00

admin_user.go

feat: 用户管理接口 JSON 化——/api/admin/users CRUD

2026-08-27 19:44:09 +08:00

admin.go

docs: 全部 Go 代码注释汉化

2026-08-27 19:03:03 +08:00

api_test.go

test: 新增 api_test.go——/api 认证/越权/文章/评论/注册端到端断言

2026-08-27 19:59:25 +08:00

api.go

fix: 完成 P0 安全修复 #26——请求体大小限制防未认证内存耗尽 DoS

2026-08-27 21:23:19 +08:00

article.go

feat: 文章 CRUD 接口 JSON 化——/api/admin|my/articles

2026-08-27 19:40:02 +08:00

attachment.go

docs: 全部 Go 代码注释汉化

2026-08-27 19:03:03 +08:00

auth.go

fix: SECURITY_TODO #27 注册接口按 IP 限流（10 次/小时）防批量注册

2026-08-27 21:38:49 +08:00

bodylimit_test.go

fix: 完成 P0 安全修复 #26——请求体大小限制防未认证内存耗尽 DoS

2026-08-27 21:23:19 +08:00

comment.go

fix: SECURITY_TODO #28 评论提交按 IP 限流（5 条/分钟）防灌水刷屏

2026-08-27 21:39:28 +08:00

helpers.go

feat: footer 显示 Git 提交版本与编译时间（-ldflags 注入 buildinfo）

2026-08-27 20:14:28 +08:00

home.go

docs: 全部 Go 代码注释汉化

2026-08-27 19:03:03 +08:00

login_ratelimit.go

feat: API 基建——/api JSON 接口统一契约与认证分支

2026-08-27 19:24:43 +08:00

my_articles.go

feat: 文章 CRUD 接口 JSON 化——/api/admin|my/articles

2026-08-27 19:40:02 +08:00

p2_validation_test.go

feat: 个人资料接口 JSON 化——POST /api/profile

2026-08-27 19:56:03 +08:00

p3_upload_test.go

test: 新增 api_test.go——/api 认证/越权/文章/评论/注册端到端断言

2026-08-27 19:59:25 +08:00

profile.go

feat: 个人资料接口 JSON 化——POST /api/profile

2026-08-27 19:56:03 +08:00

rate_limit.go

fix: SECURITY_TODO #27 注册接口按 IP 限流（10 次/小时）防批量注册

2026-08-27 21:38:49 +08:00

ratelimit_test.go

fix: SECURITY_TODO #28 评论提交按 IP 限流（5 条/分钟）防灌水刷屏

2026-08-27 21:39:28 +08:00

rss.go

docs: 全部 Go 代码注释汉化

2026-08-27 19:03:03 +08:00

security_test.go

fix: SECURITY_TODO #29 favicon/logo 上传增加魔数一致性校验

2026-08-27 21:41:02 +08:00

session_upload_security_test.go

feat: 个人资料接口 JSON 化——POST /api/profile

2026-08-27 19:56:03 +08:00

settings.go

fix: SECURITY_TODO #29 favicon/logo 上传增加魔数一致性校验

2026-08-27 21:41:02 +08:00

site_image_test.go

fix: SECURITY_TODO #29 favicon/logo 上传增加魔数一致性校验

2026-08-27 21:41:02 +08:00

upload_validator.go

docs: 全部 Go 代码注释汉化

2026-08-27 19:03:03 +08:00