SnowCatQQ

14 Commits 1 Branch 1 Tag

3 Commits

Author	SHA1	Message	Date
SnowCat Security Bot	6f9d3cdb0f	fix(security): SignToken 密钥与密码哈希加固 1. HMAC 密钥: 未配置 NAPCAT_WEBUI_JWT_SECRET_KEY 时不再回落 Math.random() (可预测密钥=凭证可伪造), 改用 crypto.randomBytes(32) 强随机并稳定缓存。行为变化: 未配置密钥时重启后所有已签发凭证失效, 用户需重新登录。 2. 密码哈希: generatePasswordHash 升级为 scrypt(随机盐16B, N=16384,r=8,p=1), 存储格式 scrypt$<saltHex>$<hashHex>。 3. comparePasswordHash 双格式兼容: 新格式逐盐 scrypt 校验; 旧格式(单轮 SHA-256 password+'.napcat')仍可校验通过, 保证存量凭证不失效、不丢功能语义。建议用户改密码一次即迁移到 scrypt。 4. 凭证比较统一走 timingSafeEqual, 消除逐字节短路时序侧信道。	2026-11-13 03:33:30 +08:00
SnowCat Security Bot	2ecdc87e40	fix(security): webui.json 增补 allowOrigins 默认配置 - 与 WebUiConfigSchema 新增的 allowOrigins 字段对齐（CORS 白名单来源） - token 保持 'random'（启动时随机生成），配置文件本身不落弱口令	2026-11-13 03:33:16 +08:00
SnowCat Security Bot	7ec3cd15c4	fix(security): 脱敏启动脚本中的疑似真实QQ号默认值 - snowcat-launch.ps1: -Account 默认值与用法注释改为 <REDACTED>（对齐 release-tools 已脱敏版本） - snowcat-launch-9937.ps1: 启动参数 -q<号码> 改为 -q<Account> 占位 - 说明: 一次性验证脚本与稳定线启动器不应把真实账号写死入库	2026-11-13 03:33:16 +08:00

Author

SHA1

Message

Date

SnowCat Security Bot

6f9d3cdb0f

fix(security): SignToken 密钥与密码哈希加固

1. HMAC 密钥: 未配置 NAPCAT_WEBUI_JWT_SECRET_KEY 时不再回落 Math.random()
   (可预测密钥=凭证可伪造), 改用 crypto.randomBytes(32) 强随机并稳定缓存。
   行为变化: 未配置密钥时重启后所有已签发凭证失效, 用户需重新登录。
2. 密码哈希: generatePasswordHash 升级为 scrypt(随机盐16B, N=16384,r=8,p=1),
   存储格式 scrypt$<saltHex>$<hashHex>。
3. comparePasswordHash 双格式兼容: 新格式逐盐 scrypt 校验; 旧格式(单轮
   SHA-256 password+'.napcat')仍可校验通过, 保证存量凭证不失效、不丢功能语义。
   建议用户改密码一次即迁移到 scrypt。
4. 凭证比较统一走 timingSafeEqual, 消除逐字节短路时序侧信道。

2026-11-13 03:33:30 +08:00

SnowCat Security Bot

2ecdc87e40

fix(security): webui.json 增补 allowOrigins 默认配置

- 与 WebUiConfigSchema 新增的 allowOrigins 字段对齐（CORS 白名单来源）
- token 保持 'random'（启动时随机生成），配置文件本身不落弱口令

2026-11-13 03:33:16 +08:00

SnowCat Security Bot

7ec3cd15c4

fix(security): 脱敏启动脚本中的疑似真实QQ号默认值

- snowcat-launch.ps1: -Account 默认值与用法注释改为 <REDACTED>（对齐 release-tools 已脱敏版本）
- snowcat-launch-9937.ps1: 启动参数 -q<号码> 改为 -q<Account> 占位
- 说明: 一次性验证脚本与稳定线启动器不应把真实账号写死入库

2026-11-13 03:33:16 +08:00