kevin/mailgo
1
0 Fork 1
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
72 Commits 1 Branch 0 Tags
975fd34f61a0d2e46dc97564918720182b4cae75
Commit Graph
72 Commits
This Branch
This Branch
All Branches
Author SHA1 Message Date
kevin 975fd34f61 up: readme 2026-08-20 11:54:26 +08:00
kevin 5abe5c4528 Merge pull request 'fix(db): AutoMigrate 前清理旧模型遗留的同名非唯一索引，修复 MySQL 启动失败' (#14) from dsh/mailgo:fix/legacy-ban-index into main 
Reviewed-on: #14
 2026-08-19 23:41:04 -04:00
dsh 0576e6e348 chore: 忽略本地构建产物 bin/ 目录 2026-08-19 23:39:49 -04:00
dsh 034901a467 fix(db): AutoMigrate 前清理旧模型遗留的同名非唯一索引，修复 MySQL 启动失败 
旧模型 BanEntry.IPAddress 为普通 index，由 AutoMigrate 建成非唯一索引
idx_ban_entries_ip_address；升级到 uniqueIndex 后，gorm mysql 驱动
MigrateColumnUnique 对非唯一列无条件 CREATE UNIQUE INDEX（不检查
HasIndex），与同名旧索引冲突报 Error 1061 Duplicate key name，服务
启动即失败（AutoMigrate 末尾的 HasIndex 保护执行不到）。

dropLegacyBanIndex 在 dedupeBanEntries 之后、AutoMigrate 之前，检测
information_schema.statistics 中同名 non_unique=1 的索引并删除，由
AutoMigrate 重建为唯一索引。仅 MySQL 生效，表不存在/失败仅告警。
 2026-08-19 23:36:21 -04:00
kevin 6ee2dd8184 fix(security): 修复 P4 封禁记录数据错位 + P5 枚举爆破宽限（方案 A） 
P4 #17 手动封禁 Create 非 upsert 导致数据错位：
- BanStore 新增 BanIP(ip, reason, duration)：事务内清理该 IP 全部
  既有记录（兼容历史脏数据）后插入单条封禁记录，计数清零；
  DisconnectConnection 改用（原裸 Create 为全仓库唯一调用点）
- BanEntry.IPAddress 升级 uniqueIndex；InitDB 在 AutoMigrate 前
  dedupeBanEntries 清理历史重复行（MySQL 1093 兼容写法）
- IncrementFail 原子化：SQL 侧 fail_count+1，miss 时 OnConflict
  DoNothing 插入兜底并发竞态，回读计数

P5 #18 方案 A（按失败性质区分宽限）：
- RecordAuthFailure 新增 knownUser 参数：用户名不存在（枚举型
  爆破）跳过 3 次宽限、首次触发即封第 1 档；用户名存在（真实
  用户输错）保留宽限防误封
- 新增 UserStore.LoginExists（邮箱/裸用户名）；五个失败调用点
  接线（Web 登录查存在性；SMTP/IMAP/POP3 用登录名；LDAP 侧
  存在性不可判定，保守按已知用户处理）
- 封禁原因注明「未知用户名，跳过宽限」便于后台审计

新增 8 个测试（-race 通过）：BanIP 单行 upsert、唯一索引约束、
16 协程并发计数精确、dedupe 清理/表不存在静默、未知用户即时
封禁、已知用户宽限回归、LoginExists 矩阵。
 2026-08-20 11:25:10 +08:00
kevin 37b4816573 fix(web): 时间统一 12 小时制（上午/下午），修复后台时间错误 
- 后台页面此前直接 Format 输出库内时间（服务器 UTC），比北京时间慢 8 小时
- 新增模板函数 time12/time12m：先按 Web 时区转换，输出「2026-08-20 下午 2:35:05」
- shortDate 改为 12 小时制且非今天的邮件也显示完整时间（今天「下午 2:35」，
  今年「08-20 下午 2:35」，更早「2026-08-20 下午 2:35」）
- 统一替换：admin/mails、admin/outbound 用 time12m；protocol-logs、
  connections、bans、mail_view、banned、view 用 time12
- 时区修正：协议日志 from/to 筛选与「今日」统计边界按 Web 时区计算
  （此前 time.Local 在服务器 UTC 时差 8 小时）
- 邮件列表日期列自适应宽度适配更长格式；新增 timefmt_test.go 回归测试
 2026-08-20 02:00:10 +08:00
kevin 87a85ef7ca fix(web): 静态资源内嵌二进制，修复 install.sh 部署后 /static 404 导致写邮件页无编辑器 
- 线上经 install.sh 部署时只复制二进制 + templates，internal/web/static
  未被复制，/static/vendor/quill/* 全部 404，Quill 加载失败正文不可输入
- 改为 go:embed 把 Quill css/js 编译进二进制，engine.StaticFS 提供，
  运行期不再依赖部署目录/工作目录，杜绝同类部署遗漏
- 已验证：移除磁盘 static 目录后静态资源仍可正常提供
 2026-08-20 01:46:43 +08:00
kevin 2f7f322b62 fix(web): Quill 编辑器本地化，修复写邮件页无法输入正文 
- 修复 3f28ec2 引入的回归：CSP script-src/style-src 'self' 拦截了
  CDN 的 quill.min.js / quill.snow.css，编辑器初始化失败导致正文不可输入
- 下载 Quill 1.3.7 到 internal/web/static/vendor/quill/（.gitignore 加例外）
- 新增 /static 静态路由，compose 模板改为同源加载：CSP 保持严格，
  且服务器离线可用、摆脱第三方 CDN 依赖
- 新增 static_test.go 回归测试验证静态资源可访问
 2026-08-20 01:37:42 +08:00
kevin dc164fdf66 feat(mailbox): 文件夹数据驱动，Web 通过 IMAP 共享服务层操作邮箱 
- 新增 mailboxes 表与 MailboxStore（系统文件夹幂等创建，自定义文件夹 CRUD）
- 提取 MailboxService：IMAP 会话与 Web handler 共用，LIST 返回什么 Web 就显示什么
- IMAP 支持 CREATE/DELETE/RENAME/SUBSCRIBE（系统文件夹禁删改、非空禁删）
- Web 删除改为 IMAP 语义：移入 Trash，新增恢复/彻底删除/清空
- 新增通用 /folder/:name 页面与动态侧边栏，/inbox /sent /drafts 保留兼容重定向
 2026-08-20 01:25:40 +08:00
kevin 962c5f454c fix(imap): 升级 go-imap v2 + \Deleted 落库，修复删除邮件只复制到垃圾桶 
删除流程（Apple Mail/iOS 等）：UID COPY→Trash + UID STORE \Deleted +
UID EXPUNGE。此前 go-imap v1.2.1 不支持 UID EXPUNGE（回
Command unsupported with UID），且 \Deleted 只存内存会话 map（重选/
重连即丢失），导致 EXPUNGE 不删原邮件——垃圾桶只有副本、INBOX 原封
不动。

- 依赖：go-imap v1.2.1 → go-imap/v2 v2.0.0-beta.8（原生支持 UID
  EXPUNGE，且库为 race-clean，移除集成测试 !race 标签）
- Message 新增 IsDeleted 字段持久化 \Deleted 标记（AutoMigrate 自动
  加列，SQLite/MySQL 通用；migrate 工具随模型字段自动复制）
- IMAP 层重写为 v2 imapserver.Session 架构（session.go 替代
  backend.go）：SELECT/STATUS/LIST/FETCH/SEARCH/STORE/COPY/MOVE/
  APPEND/EXPUNGE/Poll/Idle；EXPUNGE 按数据库 IsDeleted 删除，UID
  EXPUNGE 只删集合内已标记消息
- server.go：显式能力集（IMAP4rev1+UIDPLUS+MOVE+LITERAL++CHILDREN+
  SPECIAL-USE）；自实现 mailboxHub 跨会话推送（含来源排除，避免 v2
  库 MailboxTracker 对 EXPUNGE/EXISTS 的回声重复响应）；Pusher 接口
  签名不变，Web/SMTP/POP3 调用方零改动；DisconnectByAddr 改用会话
  注册表 + conn.Bye()
- 测试：集成测试改用 v2 imapclient，新增删除流程/跨会话持久化/MOVE
  回归用例；notify_test 适配 hub 推送模型并覆盖来源排除与
  allowExpunge 语义
 2026-08-20 00:44:37 +08:00
kevin f533fc8feb Merge pull request 'feat(db): 支持 MySQL 迁移（修复模型外键冲突 + 大文本类型 + 迁移工具）' (#13) from dsh/mailgo:fix/mysql-migration into main 
Reviewed-on: #13
 2026-08-19 11:49:06 -04:00
kevin 8be5df57c6 Merge pull request 'fix(auth+store): 协议登录成功清零失败计数/支持裸用户名 + 邮件日期统一 UTC 排序' (#12) from dsh/mailgo:fix/auth-reset-and-date-sort into main 
Reviewed-on: #12
 2026-08-19 11:48:59 -04:00
kevin 7a394bbd9e Merge pull request 'fix(imap): UIDVALIDITY 改为持久化随机值，修复数据库重建后客户端缓存永不失效（TB 只显示 1-3 封）' (#11) from dsh/mailgo:fix/imap-uidvalidity into main 
Reviewed-on: #11
 2026-08-19 11:48:51 -04:00
dsh 9607c4f023 fix(migrate): 目标库缺少 mailbox_states 表时自动建表（兼容上游模型未含 MailboxState 的场景） 2026-08-19 11:27:25 -04:00
dsh 4367f7fb92 fix(migrate): mailbox_states 改用原生 SQL 迁移，不依赖 MailboxState 模型（兼容未合并 UIDVALIDITY 特性的上游） 2026-08-19 11:27:00 -04:00
dsh af839a1378 chore: 移除误提交的 migrate 编译产物，加入 .gitignore 2026-08-19 11:26:32 -04:00
dsh 07e81fc328 feat(db): 支持 MySQL 迁移（修复模型外键冲突 + 大文本类型 + 迁移工具） 
- Attachment 模型移除 Message 关联：其 foreignKey 名 MessageID 与
  Message.MessageID 字符串字段冲突，GORM AutoMigrate 会生成错误外键
  （messages.message_id → attachments.id 且强转 bigint），MySQL 下建表
  直接失败（SQLite 因动态类型侥幸可用）
- Message.TextBody/HtmlBody 改 mediumtext：MySQL TEXT 仅 64KB，
  大 HTML 邮件会写入失败
- 新增 cmd/migrate：SQLite → MySQL 一次性迁移工具（GORM 模型读源、
  批量写目标、时间统一 UTC、ban_entries 零值时间转 NULL、逐表校验）
 2026-08-19 11:26:32 -04:00
dsh aa0437fb4f perf(imap): STORE 批量持久化 + 推送序号复用已加载列表，消除逐条写库与全量扫描 
原实现每封匹配消息单独 UPDATE + GetByID + seqOf 全量扫描（含大
附件 raw_data），手机整批标记已读（60+ 封）时产生 60 次写 +
180 次全量读，连接被长时间占住，其他连接响应被推送洪泛阻塞。

优化：收集目标状态后合并为单条 UPDATE ... IN 批量写；推送更新
直接用已加载列表的序号与目标状态（buildFlagsUpdateAt），不再
重复查库。实测 19 封批量 STORE 服务器耗时 372µs。
 2026-08-19 11:13:42 -04:00
dsh 9fef9da830 fix(imap): 新邮件推送补发 EXISTS 通知，修复 Apple Mail 等客户端需手动同步 
问题：go-imap 更新通道只能表达 FETCH/EXPUNGE 类更新，新邮件到达时
客户端（IDLE 中）只收到裸 FETCH。不少客户端（如 Apple Mail）只认
RFC 2177 要求的 EXISTS 才会唤醒拉取，表现为'必须手动点击同步'。

修复：PushNewMessage 先向所有已选中该邮箱的匹配连接直接写入
'* N EXISTS'（Dovecot 同款行为），再广播 FETCH 更新。
实测 IDLE 客户端按序收到 '* 21 EXISTS' + '* 1 FETCH (UID ...)'。
 2026-08-19 10:56:26 -04:00
dsh 9df17a7509 feat(web): Web 界面时间按配置时区显示（默认 Asia/Shanghai），邮件日期 UTC 存储后显示不受影响 
- 新增 [web].timezone 配置（IANA 时区或固定偏移，默认 Asia/Shanghai）
- 新增 localTime 模板函数；shortDate 的"今天"判断也按展示时区
- view.html 邮件时间改用 localTime 渲染
 2026-08-19 10:45:23 -04:00
dsh d9bb3cbf3f fix(store): 邮件日期统一 UTC 存储，修复混合时区偏移导致 Web/IMAP 排序错乱 
根因：date 列在 SQLite 中是文本，历史数据混存 +08:00/-04:00/+00:00
等时区偏移，ORDER BY date DESC 变成字符串字典序而非时间序：
- Web 列表最新邮件排不到最前（如 22:21+08 的邮件排在 20:03+08 后面）
- IMAP 序号与客户端按日期排序的视图不一致

修复：
- mailStore.Create 统一 msg.Date = msg.Date.UTC()（所有写入路径
  共用：SMTP/IMAP APPEND/Web/外发回执），新数据字典序即时间序
- 生产数据一次性迁移为 UTC 格式（130 条，Python 全量解析转换）
- 验证：kevin INBOX 排序 172→170→166→164…（严格最新在前）
 2026-08-19 10:35:50 -04:00
dsh f48776e89b fix(auth): 协议登录（IMAP/SMTP/POP3）成功时清零失败计数 + 支持裸用户名 
问题：ResetFail 只在 Web 登录调用，协议层失败计数只增不减。
合法用户的客户端（手机 APP 用裸用户名重试、配置向导探测、输错
密码等）失败次数持续累积，每达到阈值就触发一次封禁档位，从第 4
次触发起真实封禁 30 分钟+——用户被反复误封，手机端表现为一直
卡在"正在接收邮件"。

修复：
- IMAP/SMTP/POP3 认证成功路径调用 Bans.ResetFail（与 Web 一致）
- 新增 UserStore.AuthenticateLogin：支持裸用户名（如 "kevin"），
  唯一归属时自动解析到其域名；跨域名同名歧义时要求完整邮箱
- 新增 TestAuthenticateLoginBareUsername 单元测试
 2026-08-19 10:12:28 -04:00
dsh 6d5a7a8ed4 fix(imap): mailbox_states 表加入 AutoMigrate（此前漏迁移导致 UIDVALIDITY 回退 1） 2026-08-19 09:45:39 -04:00
dsh 7ede29a18a fix(imap): UIDVALIDITY 改为持久化随机值，修复数据库重建后客户端缓存永不失效 
根因：Status() 硬编码 UidValidity=1。数据库重建后消息 ID 空间
完全变化（uid 2-166 对应完全不同的邮件），但 UIDVALIDITY 不变，
Thunderbird 认为本地缓存（旧 uid 1-166）仍然有效，只下载"新增"
（uid 167:*）与"缺失"（2,4,8,9）的少数邮件——列表只剩 1-3 封，
每次刷新数量随机。

修复（RFC 3501 UIDVALIDITY 语义）：新增 mailbox_states 表，
每（用户,文件夹）首次访问随机生成并持久化 UIDVALIDITY；数据库
重建后新值触发客户端丢弃缓存全量重同步。0 值修正，不同用户/
文件夹互相独立。

新增 TestMailboxStateUidValidity 单元测试。
 2026-08-19 09:36:55 -04:00
kevin f8fbe1ebdb Merge pull request 'fix(imap): FETCH BODY/BODYSTRUCTURE 解析失败时服务器 panic，客户端只能取到部分邮件' (#10) from dsh/mailgo:fix/imap-fetch-body-panic into main 
Reviewed-on: #10
 2026-08-19 08:55:22 -04:00
dsh 3a4636c2c5 fix(imap): FETCH BODY/BODYSTRUCTURE 解析失败时服务器 panic 导致客户端只能取到部分邮件 
根因：backendutil.FetchBodyStructure 对部分消息返回 nil（典型场景：
- message/rfc822 附件为 base64 编码时库内不解码，把编码文本当嵌套
  消息头解析报错（转发邮件场景，如 .mail-monitor/forward.py 转发）
- multipart 缺少结束边界（截断）时 extended 解析报错）

buildIMAPMessage 未处理 nil，go-imap 格式化 FETCH 响应时在 send()
协程 nil 指针解引用 panic，连接中断——Thunderbird 只取到崩溃前已
发送的几封邮件，手机客户端一直卡在"正在获取邮件"。

修复：
- BodyStructure 解析失败时降级为 text/plain 单段结构，杜绝 nil
- FetchBodySection 返回 nil 时跳过该 section，不再写入 nil literal
- 新增集成测试 TestFetchBodyMalformedMIME 覆盖两类畸形 MIME
 2026-08-19 08:52:39 -04:00
kevin 07ba01a6f6 fix(imap): 修复 Thunderbird 未读状态丢失（SQLite 并发写 + 客户端 seq 错位） 
A. SQLite 并发写失败被吞（高概率根因）：
- DSN 追加 _busy_timeout=5000&_journal_mode=WAL&_synchronous=NORMAL，
  WAL 下读不阻塞写，消除瞬时 SQLITE_BUSY
- UpdateMessagesFlags 不再吞 MarkReadState/MarkFlagged 错误：
  出错记日志并返回 error（客户端收到 NO 会重试）
- Web MarkRead/Delete 同款静默丢错补日志

B. 客户端 seq 视图错位（集成测试复现后修复）：
- 真实服务器+脚本客户端测试复现：客户端按日期倒序自编号发
  seq 式 STORE 时，旧排序（id ASC）把最旧邮件标为已读
- 规范排序改为 date DESC, id DESC（最新在前），与主流客户端
  默认视图一致；buildNewMessageUpdate 改用 seqOf 取真实序号
- 新增 UID STORE / 服务器下发 seq STORE / 自编号 seq STORE 集成测试

注：go-imap v1.2.1 存在库内 *conn.silent() 数据竞争（启用推送后
必然触发），集成测试以 //go:build !race 排除，-race 下由单元测试
覆盖推送逻辑
 2026-08-19 20:30:06 +08:00
kevin 278c16c36a fix(imap): 修复多监听器广播更新导致 close of closed channel panic 
broadcastUpdate 此前把同一个 backend.Update 对象推送到明文/TLS 两个
监听器的推送通道，两个 go-imap listenUpdates goroutine 各自对
update.Done() 执行 close，二次关闭同一 channel 触发 panic
（server.go:373 close of closed channel）。

修复：按监听器克隆 Update 对象（载荷共享、Done channel 独立），
新增回归测试：两个监听器收到的更新 Done channel 必须不同，且各自
close 不 panic；全量 -race 通过
 2026-08-19 19:58:18 +08:00
kevin 6a9dcd0285 feat(imap): 多客户端状态实时同步 + 当前连接「断开并封禁」 
- 推送扩展：IMAP STORE（已读/星标/\Deleted）推送 FETCH 标志更新、
  EXPUNGE 推送 ExpungeUpdate（删除前序号）、APPEND/COPY/MOVE 推送
  新邮件；POP3 QUIT 删除、Web 标已读/删除同样实时同步到 IMAP 客户端
- Pusher 接口统一 SMTP/POP3/Web 的推送入口，IMAP 内部操作经会话
  通道直接入队（非阻塞，满则丢弃）
- 当前连接页新增「断开并封禁」：connhub 支持断开回调，SMTP/POP3
  关底层连接、IMAP 经 ForEachConn 按地址断开；一键封禁 180 天并
  断开该 IP 全部在线连接，黑名单页可随时解封
- 修复：POP3 PASS 成功后保留完整邮箱（此前被裸用户名覆盖）
- 新增测试：断开/按 IP 断开、flags/expunge 推送内容、POP3 删除推送、
  Web 断开封禁处理器；全量 -race 通过
 2026-08-19 19:56:04 +08:00
kevin ede85e0698 feat(imap): 新邮件实时推送（IDLE）+ 后台当前连接监控 
- IMAP 推送：imapBackend 实现 backend.BackendUpdater，SMTP 本地投递
  与 Web 写信投递成功后 NotifyNewMessage，挂起 IDLE 的客户端即时收到
  新邮件 FETCH 通知（按用户名+INBOX 过滤广播，通道满非阻塞丢弃）
- 当前连接：新增 internal/connhub 连接注册中心，SMTP/IMAP/POP3 三协议
  注册/注销/用户名/TLS/活跃时间追踪；后台新增「当前连接」页
  （/admin/connections，统计卡片+连接表格，每 5 秒自动刷新）
- 新增测试：connhub 并发安全、推送内容/非阻塞/nil 安全、
  后台页面渲染；全量 -race 通过
 2026-08-19 19:40:05 +08:00
kevin b158b8f1f5 feat(outbound): 外发投递多线程化（worker 池 + 每域并发上限） 
- 1 个 dispatcher + N 个 worker 池（默认 4）并行投递，启动时立即
  扫描清空积压；workers=0/1 退化为串行（旧行为）
- 每收件域并发信号量（默认 2，配置 max_concurrent_per_domain），
  防对单个 MX 域并发过多被判定滥发；中继模式统一按 relay 限制
- store 新增 Claim 原子抢占（sending 状态防重复投递），并发下
  每封邮件恰好投递一次
- 新增配置 workers/batch_size（替代硬编码 50）；dispatcher 改为
  抢占后投递、worker 只负责发送，退避重试/退信/状态机不变
- 新增测试：真并发、串行回退、每域上限、临时/永久失败、错误隔离、
  Claim 并发原子性与状态可抢占性；-race 无警告
 2026-08-19 19:23:27 +08:00
kevin 6d73171207 fix(web): 管理后台内容被固定顶栏遮挡 
.container 缺少顶部内边距，固定定位的 topbar（56px）盖住后台页面
标题/统计卡片/表格表头；为用户页面同等的 --topbar-h 下移空间，
移动端断点同步修正（50px）
 2026-08-19 19:11:32 +08:00
kevin f2493da03e feat(security): IP 阶段性封禁，前3次触发不封禁、第4次起按档位递增 
- 封禁规则：达到失败阈值记为一次触发，前 3 次只计数不封禁；
  第 4 次起封禁并按档位递增：30分钟（ban_duration_min）→ 3小时
  → 3个月 → 半年（上限）；封禁过期后保留记录作为升档依据，
  成功登录或管理员解封清零
- BanEntry 新增 BanCount（累计触发次数），每 IP 一条记录 upsert，
  不再重复建行；RecordAuthFailure 统一 Web/LDAP/SMTP/IMAP/POP3
  五处封禁逻辑，原因带档位（如"第1次封禁：登录失败次数过多
  （第4次触发，失败5次）"）
- 黑名单页修复：列表仅显示已封禁或曾封禁记录（原因/到期时间必填），
  新增封禁次数列与封禁中/已过期状态徽章，移除清理过期按钮
- 用户封禁页显示第 N 次封禁档位；新增档位升级与列表过滤单测
 2026-08-19 19:07:25 +08:00
kevin 353bfa88f2 feat: 新增 SMTP/IMAP/POP3 协议调用日志（含攻击分析筛选） 
- 每个连接记录一条日志：协议、端口、来源 IP、用户名、成功/失败、
  失败原因（密码错误/IP封禁/中继被拒/发件人伪造/未认证发信等）、
  操作摘要、消息数与会话时长
- 管理后台新增「协议日志」页：按协议/状态/IP/用户名/时间筛选，
  今日与历史成功/失败统计卡片，分页查看，可手动清理
- 后台每 6 小时自动清理超出 protocol_log_keep_days（默认30天）
  的日志；新增 [web] protocol_log_keep_days 配置项
- 修复 POP3 认证既有 bug：handleUSER 丢弃邮箱域名导致 PASS 永远失败
- 新增 store 单测、SMTP/POP3 端到端测试与模板渲染测试
 2026-08-19 18:49:29 +08:00
kevin 8ea4a623a9 fix(security): 修复 P3 低危项（开放重定向/配额TOCTOU/safeJS/会话治理） 
- Referer 开放重定向：safeRedirectPath 仅放行同站相对路径，
  外部 URL/协议跳转一律回退 /inbox
- 发信配额 TOCTOU：新增 TryReserveQuota 原子预扣
  （UPDATE ... WHERE used_bytes + n <= quota_bytes），超配额即拒发；
  附件保存失败按大小补偿回退
- 移除危险模板函数 safeHTML/safeJS：新增 jsonify（json.Marshal，
  < > & 转义为 \u003c 等，无法逃出 </script>），compose 页
  quill.innerHTML 改用 jsonify；srcdoc 改回默认属性转义
- 会话治理：登录成功后 session.Clear() 清旧状态；记录 loginAt，
  绝对过期 7 天 + 滑动续期（活跃会话 12h 写回刷新）
- 确认 #15 Content-Disposition 编码随 P1 #4 已完成
- 新增 12 个测试：重定向路径矩阵、配额原子性（含超额不部分扣费）、
  jsonify 逃逸防护、会话绝对过期/有效访问（签名会话构造）

至此 16 项安全审计项（P0-P3）全部修复完成。
 2026-08-19 16:56:23 +08:00
wuwenfengmi1998 8cfeb43c6a docs: 新增移动端界面截图（响应式布局） 2026-08-19 16:48:26 +08:00
kevin 3f28ec20f4 fix(security): 修复 P2 中危项（cookie/协议限速/路径遍历/默认口令/中继TLS/安全头/信息泄露） 
- 会话 cookie 增加 Secure 标志；新增 [web].cookie_secure 配置
  （默认 true，仅本地 HTTP 调试关闭；缺失字段按安全默认处理）
- SMTP/IMAP/POP3 认证接入封禁体系（store.RecordAuthFailure 与 Web
  共用 ban_entries）：失败计数达 ban.max_fail_attempts 即封禁 IP，
  已封禁 IP 拒绝认证，堵住协议层暴力破解
- 附件存储路径遍历防护重写：FullPath 白名单校验（UUID 文件名格式）
  + baseDir 前缀兜底，非法路径返回错误；Save 扩展名白名单化
- 初始管理员不再使用 admin/admin：密码取 MAILGO_ADMIN_PASSWORD 或
  随机生成并打印一次；新增 MustChangePassword 首登强制改密
  （管理员重置密码同样触发）
- 外发中继默认验证 TLS 证书（保护 AUTH 凭据，防 MITM），直投 MX
  保持机会式 TLS；新增 outbound.relay_tls_insecure 开关（默认 false）
- 新增安全响应头中间件：HSTS、X-Frame-Options DENY、nosniff、
  Referrer-Policy、基础 CSP（frame-ancestors 'none' 防点击劫持，
  connect-src/form-action 'self' 防数据外泄）
- LDAP/OAuth 登录错误统一为通用文案，原始错误只写日志，
  不再回显邮箱/内部细节（防用户枚举与信息泄露）
- 新增 25 个回归测试：cookie 标志、封禁阈值、路径遍历用例、
  中继 TLS 验证（自签证书 STARTTLS 集成）、安全头、OAuth 文案

部署注意：升级后所有会话失效需重新登录；若直接以 HTTP 提供
服务需显式配置 cookie_secure = false。
 2026-08-19 16:45:21 +08:00
kevin c725d0b91e fix(security): 修复 P1 高危项（OAuth2 state / 伪造客户端IP / CRLF 邮件头注入） 
- OAuth2: state 改为 crypto/rand 随机值并写入独立短期 cookie
  （主会话为 SameSite=Strict，跨站回调不携带，不能放主会话）；
  回调用 ConstantTimeCompare 校验 state，缺失/不匹配返回 403，
  校验后立即清除保证一次性使用。原硬编码 mailgo_oauth2_state
  可被利用做授权码注入/登录 CSRF。
- 代理信任: engine.SetTrustedProxies 仅信任 127.0.0.1/::1。
  外部直连时 X-Forwarded-For 完全不可信，防止伪造客户端 IP
  绕过登录封禁或恶意封禁他人；本机 Caddy/Nginx 转发不受影响。
- CRLF 注入: Web 写信的 To/Cc/Subject 及附件文件名不再原样拼入
  MIME 头。新增 sanitizeHeaderField（strip CR/LF/NUL）、
  subject 按 RFC 2047 编码、附件名用 mime.FormatMediaType
  （RFC 2231）；附件下载的 Content-Disposition 同步修复。
  消息构建抽为 buildOutgoingMessage 纯函数便于测试。
- test: 新增 13 个回归测试（trustedproxy / mail_injection /
  oauth2_state），覆盖伪造 XFF、注入载荷、state 校验全部分支。
 2026-08-19 16:31:25 +08:00
kevin 551ed981de fix(security): 会话密钥改为随机生成，修复硬编码密钥可伪造管理员会话 
安全审计 P0 修复：旧版会话签名密钥硬编码在源码中（源码公开即泄露），
任何人可据此伪造 isAdmin 会话接管后台。

- config: 新增 [web].secret_key，首启/升级时用 crypto/rand 自动生成
  32 字节随机密钥并持久化；旧硬编码值自动替换
- config: 支持 MAILGO_SECRET_KEY 环境变量覆盖（覆盖值不落盘）
- config: 配置文件权限收紧为 0600（同时保护 relay_password 等敏感字段）
- web: NewWebServer 校验密钥（空/旧默认值/短于16字节拒绝启动）
- test: 伪造会话拒绝、密钥生命周期（生成/持久化/重启稳定/env不落盘）等
  9 个测试
- docs: README 配置参考、security_todo.md 安全修复清单

部署注意：升级重启后所有用户需重新登录。
 2026-08-19 16:21:28 +08:00
kevin 6484af7e63 Merge pull request 'fix: 返回列表后未读邮件状态不更新（BFCache 静默同步）' (#9) from dsh/mailgo:fix/unread-status-bfcache into main 
Reviewed-on: #9
 2026-08-17 23:18:30 -04:00
dsh bf283ba5fc fix: 返回列表后未读邮件状态不更新（BFCache 静默同步） 
问题：打开未读邮件（阅读页已自动标记已读）后返回列表，浏览器从 BFCache
恢复旧 DOM，列表仍显示未读，需手动刷新。

修复：
- 三个列表页的交互脚本提取为公共模板 listjs（base.html），行为一致
- pageshow(persisted=true) 时静默 fetch 最新列表并局部更新行状态
  （未读类/圆点/已删除行/未读角标/总数），不整页刷新、保留滚动
- visibilitychange 兜底：标签页重新可见时也同步一次（离线失败静默忽略，
  仅 BFCache 场景失败才整页刷新）
- 验证：合成 pageshow 事件驱动同步，未读->已读局部更新 PASS；
  桌面/移动/平板布局回归无异常
 2026-08-17 23:08:15 -04:00
kevin e3514246b0 Merge pull request 'feat: 前端移动端响应式适配' (#8) from dsh/mailgo:feature/mobile-responsive into main 
Reviewed-on: #8
 2026-08-17 22:48:48 -04:00
dsh f281121a4d feat: 前端移动端响应式适配（≤767px） 
- 左侧文件夹栏在小屏下变为底部导航条：收件箱/草稿箱/已发送/管理后台 + 居中「写信」悬浮圆钮（带未读角标）
- 顶栏紧凑化：列表页搜索框自动下移为通栏第二行
- 邮件列表：隐藏正文摘要、缩小头像/时间列、行高加大便于触控，删除按钮常显
- 阅读页/写信页/设置页：内边距与字号收紧，配额条适配
- 管理后台：侧栏改为横向换行导航，表格横向滚动，统计卡两列排布
- 全部模板 viewport 增加 viewport-fit=cover（iOS 安全区），底部导航支持 env(safe-area-inset-bottom)
- settings.html 内联样式改为 .settings-main 类以便响应式覆盖
 2026-08-17 13:21:19 -04:00
kevin fe1bf25d31 Merge pull request 'docs: README 增加界面预览截图（QQ 邮箱风格界面）' (#7) from dsh/mailgo:docs/readme-screenshots into main 
Reviewed-on: #7
 2026-08-17 04:51:15 -04:00
dsh df5ea7b228 docs: README 增加界面预览截图与 QQ 邮箱风格界面说明 2026-08-17 04:50:53 -04:00
kevin 9e7e8e1fb5 Merge pull request 'feat: 前端整体重写为 QQ 邮箱风格布局' (#6) from dsh/mailgo:feature/qq-mail-frontend into main 
Reviewed-on: #6
 2026-08-17 04:42:34 -04:00
dsh 878d31b48e feat: 前端整体重写为 QQ 邮箱风格布局 
- base.html: 全新设计系统（顶部导航栏 + 左侧文件夹栏 + 内容区三栏布局，
  蓝/橙主题色），兼容管理后台原有组件类
- inbox/drafts/sent: 邮件列表页重写，支持全选、批量删除、实时搜索过滤、
  未读标记、头像圆标、QQ 式短日期、悬停行内删除、分页
- view: 邮件阅读页重写（返回/回复/删除工具条、发件人卡片、附件区）
- compose: 写信页重写（发送/附件/取消、字段行、附件 chips、配额进度条）
- settings/login/banned: 设置页（账号信息+配额条）、登录页、封禁页重写
- server.go: 新增模板函数 mailName/mailEmail/initial/truncate/shortDate/avatarStyle
- mail.go: 侧栏文件夹计数（收件箱未读红标、草稿/已发送数量）
- 新增 render_test.go 模板渲染回归测试
 2026-08-17 04:42:03 -04:00
kevin 9036523d9f Merge pull request 'fix: 修复编辑域名时私钥留空仍报“TLS 私钥和公钥证书必须同时填写”' (#5) from dsh/mailgo:caddy-cert-hot-reload into main 
Reviewed-on: #5
 2026-08-16 23:46:57 -04:00
dsh eed0c7b95f fix: 修复编辑域名时私钥留空仍报“TLS 私钥和公钥证书必须同时填写” 
浏览器提交 textarea 会把换行规范为 CRLF，而证书文件（尤其是一键从
Caddy 导入的）是 LF，导致“证书未修改”的比较失效，私钥留空（保留
现有私钥）时误报必须同时填写。

- handleDomainTLSUpdate 增加 normalizePEM：提交值与磁盘文件统一
  归一化为 LF 后再比较/写入
- 新增 3 个回归测试：CRLF 提交证书未变+私钥留空、CRLF 新证书对
  保存为 LF、证书已变但私钥留空仍应报错
 2026-08-16 23:45:44 -04:00
kevin f24c939eda Merge pull request 'feat: 管理后台一键从 Caddy 获取证书 + TLS 证书热加载' (#4) from dsh/mailgo:caddy-cert-hot-reload into main 
Reviewed-on: #4
 2026-08-16 23:41:25 -04:00