 kevin
|
dc164fdf66
|
feat(mailbox): 文件夹数据驱动，Web 通过 IMAP 共享服务层操作邮箱
- 新增 mailboxes 表与 MailboxStore（系统文件夹幂等创建，自定义文件夹 CRUD）
- 提取 MailboxService：IMAP 会话与 Web handler 共用，LIST 返回什么 Web 就显示什么
- IMAP 支持 CREATE/DELETE/RENAME/SUBSCRIBE（系统文件夹禁删改、非空禁删）
- Web 删除改为 IMAP 语义：移入 Trash，新增恢复/彻底删除/清空
- 新增通用 /folder/:name 页面与动态侧边栏，/inbox /sent /drafts 保留兼容重定向
|
2026-08-20 01:25:40 +08:00 |
|
|
kevin
|
8ea4a623a9
|
fix(security): 修复 P3 低危项（开放重定向/配额TOCTOU/safeJS/会话治理）
- Referer 开放重定向：safeRedirectPath 仅放行同站相对路径，
外部 URL/协议跳转一律回退 /inbox
- 发信配额 TOCTOU：新增 TryReserveQuota 原子预扣
（UPDATE ... WHERE used_bytes + n <= quota_bytes），超配额即拒发；
附件保存失败按大小补偿回退
- 移除危险模板函数 safeHTML/safeJS：新增 jsonify（json.Marshal，
< > & 转义为 \u003c 等，无法逃出 </script>），compose 页
quill.innerHTML 改用 jsonify；srcdoc 改回默认属性转义
- 会话治理：登录成功后 session.Clear() 清旧状态；记录 loginAt，
绝对过期 7 天 + 滑动续期（活跃会话 12h 写回刷新）
- 确认 #15 Content-Disposition 编码随 P1 #4 已完成
- 新增 12 个测试：重定向路径矩阵、配额原子性（含超额不部分扣费）、
jsonify 逃逸防护、会话绝对过期/有效访问（签名会话构造）
至此 16 项安全审计项（P0-P3）全部修复完成。
|
2026-08-19 16:56:23 +08:00 |
|
|
kevin
|
c725d0b91e
|
fix(security): 修复 P1 高危项（OAuth2 state / 伪造客户端IP / CRLF 邮件头注入）
- OAuth2: state 改为 crypto/rand 随机值并写入独立短期 cookie
（主会话为 SameSite=Strict，跨站回调不携带，不能放主会话）；
回调用 ConstantTimeCompare 校验 state，缺失/不匹配返回 403，
校验后立即清除保证一次性使用。原硬编码 mailgo_oauth2_state
可被利用做授权码注入/登录 CSRF。
- 代理信任: engine.SetTrustedProxies 仅信任 127.0.0.1/::1。
外部直连时 X-Forwarded-For 完全不可信，防止伪造客户端 IP
绕过登录封禁或恶意封禁他人；本机 Caddy/Nginx 转发不受影响。
- CRLF 注入: Web 写信的 To/Cc/Subject 及附件文件名不再原样拼入
MIME 头。新增 sanitizeHeaderField（strip CR/LF/NUL）、
subject 按 RFC 2047 编码、附件名用 mime.FormatMediaType
（RFC 2231）；附件下载的 Content-Disposition 同步修复。
消息构建抽为 buildOutgoingMessage 纯函数便于测试。
- test: 新增 13 个回归测试（trustedproxy / mail_injection /
oauth2_state），覆盖伪造 XFF、注入载荷、state 校验全部分支。
|
2026-08-19 16:31:25 +08:00 |
|