 SnowCat Security Bot
|
030ecb206c
|
fix(security): SSL 状态接口不再回吐证书与私钥明文; 配置接口剔除敏感字段
1. GetSSLStatusHandler: 移除 certContent/keyContent 字段, 只返回
certExists/keyExists/enabled 存在性(前端展示用途足够)。
TLS 私钥不应经 HTTP API 下发, 即使是已登录管理员会话也应避免。
2. GetWebUIConfigHandler: 不回吐 token/totpSecret 等敏感字段。
3. UpdateWebUIConfigHandler: 支持 allowOrigins 数组校验与更新。
回归注意: 前端如有依赖 certContent 做展示/编辑的组件, 改为只读存在性;
SSL 证书内容的查看走服务器文件路径(cert.pem/key.pem)。
|
2026-11-13 03:33:44 +08:00 |
|
|
SnowCat Security Bot
|
fe5dafc527
|
fix(security): CORS 不再反射任意 Origin; X-Forwarded-For 改走 trust proxy
1. cors.ts: 不再把任意请求 Origin 原样反射为 Access-Control-Allow-Origin
(配合 credentials:true = 任意站点可携带 Cookie 跨域调用管理 API)。
新策略: 仅放行 a) 无 Origin 头(同源/直连) b) Origin host 与请求 host 一致
(本机多端口开发) c) webui.json allowOrigins 精确白名单。
新增 Vary: Origin。
2. IP 访问控制: 客户端 IP 不再读取客户端可伪造的 X-Forwarded-For 头,
统一走 req.ip(express 'trust proxy' 控制可信代理)。enableXForwardedFor
字段保留(向后兼容)但不再影响 IP 判定, 需要代理真实 IP 的场景应配置
app.set('trust proxy')。
3. WebUiConfigSchema 新增 allowOrigins: string[] (default []), 与前端
GetConfig/UpdateConfig 同步支持。
回归注意: 若部署依赖旧反射行为的前端跨域, 需在 webui.json 配 allowOrigins。
|
2026-11-13 03:33:30 +08:00 |
|
|
SnowCat Security Bot
|
6f9d3cdb0f
|
fix(security): SignToken 密钥与密码哈希加固
1. HMAC 密钥: 未配置 NAPCAT_WEBUI_JWT_SECRET_KEY 时不再回落 Math.random()
(可预测密钥=凭证可伪造), 改用 crypto.randomBytes(32) 强随机并稳定缓存。
行为变化: 未配置密钥时重启后所有已签发凭证失效, 用户需重新登录。
2. 密码哈希: generatePasswordHash 升级为 scrypt(随机盐16B, N=16384,r=8,p=1),
存储格式 scrypt$<saltHex>$<hashHex>。
3. comparePasswordHash 双格式兼容: 新格式逐盐 scrypt 校验; 旧格式(单轮
SHA-256 password+'.napcat')仍可校验通过, 保证存量凭证不失效、不丢功能语义。
建议用户改密码一次即迁移到 scrypt。
4. 凭证比较统一走 timingSafeEqual, 消除逐字节短路时序侧信道。
|
2026-11-13 03:33:30 +08:00 |
|
|
SnowCat Security Bot
|
2ecdc87e40
|
fix(security): webui.json 增补 allowOrigins 默认配置
- 与 WebUiConfigSchema 新增的 allowOrigins 字段对齐（CORS 白名单来源）
- token 保持 'random'（启动时随机生成），配置文件本身不落弱口令
|
2026-11-13 03:33:16 +08:00 |
|
|
SnowCat Security Bot
|
7ec3cd15c4
|
fix(security): 脱敏启动脚本中的疑似真实QQ号默认值
- snowcat-launch.ps1: -Account 默认值与用法注释改为 <REDACTED>（对齐 release-tools 已脱敏版本）
- snowcat-launch-9937.ps1: 启动参数 -q<号码> 改为 -q<Account> 占位
- 说明: 一次性验证脚本与稳定线启动器不应把真实账号写死入库
|
2026-11-13 03:33:16 +08:00 |
|
|
天天的鸟蛋蛋
|
4bd67e3c9b
|
docs: 引路表移除 awesome-dsh-plugin/dsh-purge/dsh-our-free-model 三项（师父令）
|
2026-11-12 07:18:15 +08:00 |
|
|
天天的鸟蛋蛋
|
a92dfb34b2
|
docs: 「我们的信条」——我为技术而生，为天下想学技术的人指明方向
|
2026-11-12 07:16:38 +08:00 |
|
|
天天的鸟蛋蛋
|
85fd404fde
|
docs: 补官方机器人路线入口（开放平台/botpy/文档）——两赛道并行，门开着不拉客
|
2026-11-12 07:10:29 +08:00 |
|
|
天天的鸟蛋蛋
|
8a3381bdca
|
docs: 引路指引——dsh 官方接入插件全家福（全链路开源生态图）
|
2026-11-12 07:09:03 +08:00 |
|
|
天天的鸟蛋蛋
|
e73e1789c2
|
docs: README 主图改用雪猫手绘 logo（WebUI 同款）
|
2026-11-12 07:03:20 +08:00 |
|
|
天天的鸟蛋蛋
|
fd5ce799e4
|
docs: 双对比表（客户端/机器人四象限）+ B站素材视频卡片嵌入，全文重排版
|
2026-11-12 07:02:40 +08:00 |
|
|
天天的鸟蛋蛋
|
87aa7addbc
|
docs: 公告全文内嵌 README（折叠面板，仓库首页直达）
|
2026-11-12 06:39:54 +08:00 |
|
|
天天的鸟蛋蛋
|
39a4b0665f
|
docs: README 全新排版（徽章矩阵/特性表/运行时栈图/居中致谢）
|
2026-11-12 06:38:59 +08:00 |
|
|
天天的鸟蛋蛋
|
e5fdd5fecd
|
chore: remove empty upstream readme stub
|
2026-11-12 06:30:32 +08:00 |
|
|
天天的鸟蛋蛋
|
e292824161
|
文档归位：雪猫 README 门面 + 公告/制作文档/发布工具并入仓库根
Release Tag / validate-version (push) Waiting to run
v6.0.0
|
2026-11-12 06:29:38 +08:00 |
|
|
天天的鸟蛋蛋
|
b9655a5ab1
|
SnowCat 雪猫底层全源码：NapCat 4.18.28 底座 + SnowLuma 能力移植 + V8 通道适配 9.9.37
26 包 monorepo（TS 全源码）：
- snowcat-core: NT 内核 API 封装 + listener（含 9.9.37 六回调适配）+ Packet 发包
- snowcat-onebot: OneBot v11 全动作 + MCP Streamable HTTP 适配器 + 稳定线
- snowcat-webui-frontend/backend: 雪猫控制台（React+HeroUI）
- snowcat-shell: 单文件 bundle 出口（vite inlineDynamicImports）
- snowcat-native: napi2native / MoeHoo / ffmpeg / pty 运行时
- 56 项 SnowLuma 独门动作移植（qzone 全家桶/群相册/装扮/闪照/收藏）
- 工具件: 解包器/启动器/便携制作器/doctor
GitHub 关联已全量指向 DandanLLab/SnowCatQQ
|
2026-11-12 06:27:36 +08:00 |
|