mailgo

35 Commits 15 Branches 0 Tags

2 Commits

Include renames

Author	SHA1	Message	Date
kevin	c725d0b91e	fix(security): 修复 P1 高危项（OAuth2 state / 伪造客户端IP / CRLF 邮件头注入） - OAuth2: state 改为 crypto/rand 随机值并写入独立短期 cookie （主会话为 SameSite=Strict，跨站回调不携带，不能放主会话）；回调用 ConstantTimeCompare 校验 state，缺失/不匹配返回 403，校验后立即清除保证一次性使用。原硬编码 mailgo_oauth2_state 可被利用做授权码注入/登录 CSRF。 - 代理信任: engine.SetTrustedProxies 仅信任 127.0.0.1/::1。外部直连时 X-Forwarded-For 完全不可信，防止伪造客户端 IP 绕过登录封禁或恶意封禁他人；本机 Caddy/Nginx 转发不受影响。 - CRLF 注入: Web 写信的 To/Cc/Subject 及附件文件名不再原样拼入 MIME 头。新增 sanitizeHeaderField（strip CR/LF/NUL）、 subject 按 RFC 2047 编码、附件名用 mime.FormatMediaType （RFC 2231）；附件下载的 Content-Disposition 同步修复。消息构建抽为 buildOutgoingMessage 纯函数便于测试。 - test: 新增 13 个回归测试（trustedproxy / mail_injection / oauth2_state），覆盖伪造 XFF、注入载荷、state 校验全部分支。	2026-08-19 16:31:25 +08:00
kevin	551ed981de	fix(security): 会话密钥改为随机生成，修复硬编码密钥可伪造管理员会话安全审计 P0 修复：旧版会话签名密钥硬编码在源码中（源码公开即泄露），任何人可据此伪造 isAdmin 会话接管后台。 - config: 新增 [web].secret_key，首启/升级时用 crypto/rand 自动生成 32 字节随机密钥并持久化；旧硬编码值自动替换 - config: 支持 MAILGO_SECRET_KEY 环境变量覆盖（覆盖值不落盘） - config: 配置文件权限收紧为 0600（同时保护 relay_password 等敏感字段） - web: NewWebServer 校验密钥（空/旧默认值/短于16字节拒绝启动） - test: 伪造会话拒绝、密钥生命周期（生成/持久化/重启稳定/env不落盘）等 9 个测试 - docs: README 配置参考、security_todo.md 安全修复清单部署注意：升级重启后所有用户需重新登录。	2026-08-19 16:21:28 +08:00

Author

SHA1

Message

Date

kevin

c725d0b91e

fix(security): 修复 P1 高危项（OAuth2 state / 伪造客户端IP / CRLF 邮件头注入）

- OAuth2: state 改为 crypto/rand 随机值并写入独立短期 cookie
  （主会话为 SameSite=Strict，跨站回调不携带，不能放主会话）；
  回调用 ConstantTimeCompare 校验 state，缺失/不匹配返回 403，
  校验后立即清除保证一次性使用。原硬编码 mailgo_oauth2_state
  可被利用做授权码注入/登录 CSRF。
- 代理信任: engine.SetTrustedProxies 仅信任 127.0.0.1/::1。
  外部直连时 X-Forwarded-For 完全不可信，防止伪造客户端 IP
  绕过登录封禁或恶意封禁他人；本机 Caddy/Nginx 转发不受影响。
- CRLF 注入: Web 写信的 To/Cc/Subject 及附件文件名不再原样拼入
  MIME 头。新增 sanitizeHeaderField（strip CR/LF/NUL）、
  subject 按 RFC 2047 编码、附件名用 mime.FormatMediaType
  （RFC 2231）；附件下载的 Content-Disposition 同步修复。
  消息构建抽为 buildOutgoingMessage 纯函数便于测试。
- test: 新增 13 个回归测试（trustedproxy / mail_injection /
  oauth2_state），覆盖伪造 XFF、注入载荷、state 校验全部分支。

2026-08-19 16:31:25 +08:00

kevin

551ed981de

fix(security): 会话密钥改为随机生成，修复硬编码密钥可伪造管理员会话

安全审计 P0 修复：旧版会话签名密钥硬编码在源码中（源码公开即泄露），
任何人可据此伪造 isAdmin 会话接管后台。

- config: 新增 [web].secret_key，首启/升级时用 crypto/rand 自动生成
  32 字节随机密钥并持久化；旧硬编码值自动替换
- config: 支持 MAILGO_SECRET_KEY 环境变量覆盖（覆盖值不落盘）
- config: 配置文件权限收紧为 0600（同时保护 relay_password 等敏感字段）
- web: NewWebServer 校验密钥（空/旧默认值/短于16字节拒绝启动）
- test: 伪造会话拒绝、密钥生命周期（生成/持久化/重启稳定/env不落盘）等
  9 个测试
- docs: README 配置参考、security_todo.md 安全修复清单

部署注意：升级重启后所有用户需重新登录。

2026-08-19 16:21:28 +08:00