 kevin
|
8ea4a623a9
|
fix(security): 修复 P3 低危项（开放重定向/配额TOCTOU/safeJS/会话治理）
- Referer 开放重定向：safeRedirectPath 仅放行同站相对路径，
外部 URL/协议跳转一律回退 /inbox
- 发信配额 TOCTOU：新增 TryReserveQuota 原子预扣
（UPDATE ... WHERE used_bytes + n <= quota_bytes），超配额即拒发；
附件保存失败按大小补偿回退
- 移除危险模板函数 safeHTML/safeJS：新增 jsonify（json.Marshal，
< > & 转义为 \u003c 等，无法逃出 </script>），compose 页
quill.innerHTML 改用 jsonify；srcdoc 改回默认属性转义
- 会话治理：登录成功后 session.Clear() 清旧状态；记录 loginAt，
绝对过期 7 天 + 滑动续期（活跃会话 12h 写回刷新）
- 确认 #15 Content-Disposition 编码随 P1 #4 已完成
- 新增 12 个测试：重定向路径矩阵、配额原子性（含超额不部分扣费）、
jsonify 逃逸防护、会话绝对过期/有效访问（签名会话构造）
至此 16 项安全审计项（P0-P3）全部修复完成。
|
2026-08-19 16:56:23 +08:00 |
|
|
kevin
|
3f28ec20f4
|
fix(security): 修复 P2 中危项（cookie/协议限速/路径遍历/默认口令/中继TLS/安全头/信息泄露）
- 会话 cookie 增加 Secure 标志；新增 [web].cookie_secure 配置
（默认 true，仅本地 HTTP 调试关闭；缺失字段按安全默认处理）
- SMTP/IMAP/POP3 认证接入封禁体系（store.RecordAuthFailure 与 Web
共用 ban_entries）：失败计数达 ban.max_fail_attempts 即封禁 IP，
已封禁 IP 拒绝认证，堵住协议层暴力破解
- 附件存储路径遍历防护重写：FullPath 白名单校验（UUID 文件名格式）
+ baseDir 前缀兜底，非法路径返回错误；Save 扩展名白名单化
- 初始管理员不再使用 admin/admin：密码取 MAILGO_ADMIN_PASSWORD 或
随机生成并打印一次；新增 MustChangePassword 首登强制改密
（管理员重置密码同样触发）
- 外发中继默认验证 TLS 证书（保护 AUTH 凭据，防 MITM），直投 MX
保持机会式 TLS；新增 outbound.relay_tls_insecure 开关（默认 false）
- 新增安全响应头中间件：HSTS、X-Frame-Options DENY、nosniff、
Referrer-Policy、基础 CSP（frame-ancestors 'none' 防点击劫持，
connect-src/form-action 'self' 防数据外泄）
- LDAP/OAuth 登录错误统一为通用文案，原始错误只写日志，
不再回显邮箱/内部细节（防用户枚举与信息泄露）
- 新增 25 个回归测试：cookie 标志、封禁阈值、路径遍历用例、
中继 TLS 验证（自签证书 STARTTLS 集成）、安全头、OAuth 文案
部署注意：升级后所有会话失效需重新登录；若直接以 HTTP 提供
服务需显式配置 cookie_secure = false。
|
2026-08-19 16:45:21 +08:00 |
|
|
kevin
|
c725d0b91e
|
fix(security): 修复 P1 高危项（OAuth2 state / 伪造客户端IP / CRLF 邮件头注入）
- OAuth2: state 改为 crypto/rand 随机值并写入独立短期 cookie
（主会话为 SameSite=Strict，跨站回调不携带，不能放主会话）；
回调用 ConstantTimeCompare 校验 state，缺失/不匹配返回 403，
校验后立即清除保证一次性使用。原硬编码 mailgo_oauth2_state
可被利用做授权码注入/登录 CSRF。
- 代理信任: engine.SetTrustedProxies 仅信任 127.0.0.1/::1。
外部直连时 X-Forwarded-For 完全不可信，防止伪造客户端 IP
绕过登录封禁或恶意封禁他人；本机 Caddy/Nginx 转发不受影响。
- CRLF 注入: Web 写信的 To/Cc/Subject 及附件文件名不再原样拼入
MIME 头。新增 sanitizeHeaderField（strip CR/LF/NUL）、
subject 按 RFC 2047 编码、附件名用 mime.FormatMediaType
（RFC 2231）；附件下载的 Content-Disposition 同步修复。
消息构建抽为 buildOutgoingMessage 纯函数便于测试。
- test: 新增 13 个回归测试（trustedproxy / mail_injection /
oauth2_state），覆盖伪造 XFF、注入载荷、state 校验全部分支。
|
2026-08-19 16:31:25 +08:00 |
|
 dsh
|
878d31b48e
|
feat: 前端整体重写为 QQ 邮箱风格布局
- base.html: 全新设计系统（顶部导航栏 + 左侧文件夹栏 + 内容区三栏布局，
蓝/橙主题色），兼容管理后台原有组件类
- inbox/drafts/sent: 邮件列表页重写，支持全选、批量删除、实时搜索过滤、
未读标记、头像圆标、QQ 式短日期、悬停行内删除、分页
- view: 邮件阅读页重写（返回/回复/删除工具条、发件人卡片、附件区）
- compose: 写信页重写（发送/附件/取消、字段行、附件 chips、配额进度条）
- settings/login/banned: 设置页（账号信息+配额条）、登录页、封禁页重写
- server.go: 新增模板函数 mailName/mailEmail/initial/truncate/shortDate/avatarStyle
- mail.go: 侧栏文件夹计数（收件箱未读红标、草稿/已发送数量）
- 新增 render_test.go 模板渲染回归测试
|
2026-08-17 04:42:03 -04:00 |
|
|
dsh
|
5eb9bc2c71
|
feat: 实现对外邮件投递（外发队列 + MX 直投 + DKIM + 退信 + 管理后台）
- 新增 internal/outbound 模块：MX 查询、SMTP 出站客户端（EHLO/STARTTLS/
MAIL/RCPT/DATA/QUIT）、4xx 临时失败与 5xx 永久失败分类、8BITMIME 支持
- 新增 outbound_messages 队列表与 OutboundStore，后台 worker 指数退避重试
- 永久失败/超限退信到发件人收件箱，包含原因与目标收件人
- 外发邮件使用域名 DKIM 私钥签名（go-msgauth）
- SMTP 提交集成：认证用户可发外部收件人，MAIL FROM 必须等于登录用户邮箱，
未认证外部投递明确拒绝（防开放中继）
- Web 发信集成：外部收件人自动入队，附件以 multipart/mixed + base64 编码
加入邮件正文
- 每用户每分钟/每日发送限速（max_per_day=0 可禁用外部投递）
- 管理后台新增外发队列页面：状态统计、失败原因、手动重试/取消
- 新增 [outbound] 配置段并更新 README / todo.md
|
2026-08-15 17:18:54 -04:00 |
|
|
kevin
|
59719586a1
|
修复部分功能
|
2026-06-02 20:33:08 +08:00 |
|
|
kevin
|
4e233c82b4
|
二阶段差不多
|
2026-06-01 19:46:51 +08:00 |
|
|
kevin
|
9e50d05e71
|
一阶段ok
|
2026-06-01 18:59:55 +08:00 |
|