mailgo

dsh/mailgo

0 Fork 0

Files

T

kevin 551ed981de fix(security): 会话密钥改为随机生成，修复硬编码密钥可伪造管理员会话

安全审计 P0 修复：旧版会话签名密钥硬编码在源码中（源码公开即泄露），
任何人可据此伪造 isAdmin 会话接管后台。

- config: 新增 [web].secret_key，首启/升级时用 crypto/rand 自动生成
  32 字节随机密钥并持久化；旧硬编码值自动替换
- config: 支持 MAILGO_SECRET_KEY 环境变量覆盖（覆盖值不落盘）
- config: 配置文件权限收紧为 0600（同时保护 relay_password 等敏感字段）
- web: NewWebServer 校验密钥（空/旧默认值/短于16字节拒绝启动）
- test: 伪造会话拒绝、密钥生命周期（生成/持久化/重启稳定/env不落盘）等
  9 个测试
- docs: README 配置参考、security_todo.md 安全修复清单

部署注意：升级重启后所有用户需重新登录。

2026-08-19 16:21:28 +08:00

handlers

feat: 前端整体重写为 QQ 邮箱风格布局

2026-08-17 04:42:03 -04:00

middleware

二阶段差不多

2026-06-01 19:46:51 +08:00

templates

fix: 返回列表后未读邮件状态不更新（BFCache 静默同步）

2026-08-17 23:08:15 -04:00

render_test.go

feat: 前端整体重写为 QQ 邮箱风格布局