kevin 8ea4a623a9 fix(security): 修复 P3 低危项（开放重定向/配额TOCTOU/safeJS/会话治理） ...

- Referer 开放重定向：safeRedirectPath 仅放行同站相对路径，
  外部 URL/协议跳转一律回退 /inbox
- 发信配额 TOCTOU：新增 TryReserveQuota 原子预扣
  （UPDATE ... WHERE used_bytes + n <= quota_bytes），超配额即拒发；
  附件保存失败按大小补偿回退
- 移除危险模板函数 safeHTML/safeJS：新增 jsonify（json.Marshal，
  < > & 转义为 \u003c 等，无法逃出 </script>），compose 页
  quill.innerHTML 改用 jsonify；srcdoc 改回默认属性转义
- 会话治理：登录成功后 session.Clear() 清旧状态；记录 loginAt，
  绝对过期 7 天 + 滑动续期（活跃会话 12h 写回刷新）
- 确认 #15 Content-Disposition 编码随 P1 #4 已完成
- 新增 12 个测试：重定向路径矩阵、配额原子性（含超额不部分扣费）、
  jsonify 逃逸防护、会话绝对过期/有效访问（签名会话构造）

至此 16 项安全审计项（P0-P3）全部修复完成。

2026-08-19 16:56:23 +08:00

..

admin.go

一阶段ok

2026-06-01 18:59:55 +08:00

auth.go

fix(security): 修复 P3 低危项（开放重定向/配额TOCTOU/safeJS/会话治理）

2026-08-19 16:56:23 +08:00

ban.go

二阶段差不多

2026-06-01 19:46:51 +08:00

security_test.go

fix(security): 修复 P2 中危项（cookie/协议限速/路径遍历/默认口令/中继TLS/安全头/信息泄露）

2026-08-19 16:45:21 +08:00

security.go

fix(security): 修复 P2 中危项（cookie/协议限速/路径遍历/默认口令/中继TLS/安全头/信息泄露）

2026-08-19 16:45:21 +08:00