kevin
551ed981de
fix(security): 会话密钥改为随机生成，修复硬编码密钥可伪造管理员会话
安全审计 P0 修复：旧版会话签名密钥硬编码在源码中（源码公开即泄露），
任何人可据此伪造 isAdmin 会话接管后台。
- config: 新增 [web].secret_key，首启/升级时用 crypto/rand 自动生成
32 字节随机密钥并持久化；旧硬编码值自动替换
- config: 支持 MAILGO_SECRET_KEY 环境变量覆盖（覆盖值不落盘）
- config: 配置文件权限收紧为 0600（同时保护 relay_password 等敏感字段）
- web: NewWebServer 校验密钥（空/旧默认值/短于16字节拒绝启动）
- test: 伪造会话拒绝、密钥生命周期（生成/持久化/重启稳定/env不落盘）等
9 个测试
- docs: README 配置参考、security_todo.md 安全修复清单
部署注意：升级重启后所有用户需重新登录。
2026-08-19 16:21:28 +08:00
..
2026-06-01 19:46:51 +08:00
2026-08-16 23:39:43 -04:00
2026-08-15 17:18:54 -04:00
2026-06-01 19:46:51 +08:00
2026-08-16 23:39:43 -04:00
2026-06-02 20:46:59 +08:00
2026-08-16 00:09:53 -04:00
2026-08-16 23:39:43 -04:00
2026-08-16 23:39:43 -04:00
2026-06-01 18:59:55 +08:00
2026-08-15 17:18:54 -04:00
2026-08-16 23:39:43 -04:00
2026-08-19 16:21:28 +08:00