安全加固：console_log.meshtastic 默认关闭(不打印解密明文)，session_secure 默认 true，config.yaml 回写权限改 0600，公开接口错误信息脱敏(/api/health、/api/channels、列表接口，text-messages 移除 mqtt_remote_host)，bot PSK 不回显(psk_set+更新保持原值)，前端 help 页 DOMPurify 客户端消毒，后端 v1.6.0

2026-08-20 17:19:40 +08:00
parent ba9be5b68b
commit b0202062af
15 changed files with 84 additions and 35 deletions
@@ -174,10 +174,12 @@ web:
    username: admin
    password: admin
    session_secret: ""
-    session_secure: false
+    session_secure: true
 ```

-> 生产环境请修改默认管理员密码（非回环监听时仍为默认值 `admin` 将拒绝启动），并设置足够长、随机的 `session_secret`。如果通过 HTTPS 访问 Web 管理后台，建议将 `session_secure` 设置为 `true`。
+> 生产环境请修改默认管理员密码（非回环监听时仍为默认值 `admin` 将拒绝启动），并设置足够长、随机的 `session_secret`。`session_secure` 默认为 `true`（HTTPS 部署适用），纯 HTTP 部署需改为 `false` 否则登录 cookie 不会回传。
+
+> `console_log.meshtastic` 默认 `false`：解码后的 Meshtastic 数据包可能包含私聊明文，默认不打印；调试时可显式开启。

 ## 使用 SQLite 部署