TanTan/SnowCatQQ
1
0 Fork 0
Code Issues Pull Requests Actions 2 Packages Projects Releases Wiki Activity
31 Commits 1 Branch 1 Tag
f9f8bc268b71d326b56e8f297c0d33640cf2a6c0
Commit Graph
31 Commits
This Branch
This Branch
All Branches
Author SHA1 Message Date
天天的鸟蛋蛋 f9f8bc268b docs: 兑现 #16 承诺——AI 协作写作的工程约束（禁词表/人工终审/事实闸/嗓音锚/四模型误认复盘全公开） 2026-11-13 05:57:01 +08:00
蛋蛋呀~ a297d80763 docs: CHARTER 增补发言规则节（对事不对人/凭据零容忍/广告直删/维护者同受约束） 2026-11-13 04:57:27 +08:00
蛋蛋呀~ 943977f1d7 docs: CHARTER 增补合并规则节（PR审查/squash/线性历史/CI红线） 2026-11-13 04:55:45 +08:00
蛋蛋呀~ 8c48200fa8 docs: README 顶部加仓库纪律指引（CHARTER.md） 2026-11-13 04:52:39 +08:00
蛋蛋呀~ 48bc95576b docs: 仓库纪律（Contributing Charter）—— issue/PR/维护者三节+凭据红线 2026-11-13 04:52:07 +08:00
dependabot[bot] 4fb92816e2 chore(deps): bump winston from 3.18.3 to 3.19.0 (#9) 
Bumps [winston](https://github.com/winstonjs/winston) from 3.18.3 to 3.19.0.
- [Release notes](https://github.com/winstonjs/winston/releases)
- [Changelog](https://github.com/winstonjs/winston/blob/master/CHANGELOG.md)
- [Commits](https://github.com/winstonjs/winston/compare/v3.18.3...v3.19.0)

---
updated-dependencies:
- dependency-name: winston
  dependency-version: 3.19.0
  dependency-type: direct:production
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>
Co-authored-by: dependabot[bot] <49699333+dependabot[bot]@users.noreply.github.com>
 2026-11-13 04:49:22 +08:00
dependabot[bot] 48d5ca4652 chore(deps): bump @heroui/switch from 2.2.9 to 2.2.27 (#7) 
Bumps [@heroui/switch](https://github.com/heroui-inc/heroui/tree/HEAD/packages/components/switch) from 2.2.9 to 2.2.27.
- [Release notes](https://github.com/heroui-inc/heroui/releases)
- [Changelog](https://github.com/heroui-inc/heroui/blob/@heroui/switch@2.2.27/packages/components/switch/CHANGELOG.md)
- [Commits](https://github.com/heroui-inc/heroui/commits/@heroui/switch@2.2.27/packages/components/switch)

---
updated-dependencies:
- dependency-name: "@heroui/switch"
  dependency-version: 2.2.27
  dependency-type: direct:production
  update-type: version-update:semver-patch
...

Signed-off-by: dependabot[bot] <support@github.com>
Co-authored-by: dependabot[bot] <49699333+dependabot[bot]@users.noreply.github.com>
 2026-11-13 04:49:17 +08:00
dependabot[bot] 88d7798a61 chore(deps-dev): bump vite-plugin-static-copy from 2.3.2 to 4.1.1 (#6) 
Bumps [vite-plugin-static-copy](https://github.com/sapphi-red/vite-plugin-static-copy) from 2.3.2 to 4.1.1.
- [Release notes](https://github.com/sapphi-red/vite-plugin-static-copy/releases)
- [Changelog](https://github.com/sapphi-red/vite-plugin-static-copy/blob/main/CHANGELOG.md)
- [Commits](https://github.com/sapphi-red/vite-plugin-static-copy/compare/vite-plugin-static-copy@2.3.2...vite-plugin-static-copy@4.1.1)

---
updated-dependencies:
- dependency-name: vite-plugin-static-copy
  dependency-version: 4.1.1
  dependency-type: direct:development
  update-type: version-update:semver-major
...

Signed-off-by: dependabot[bot] <support@github.com>
Co-authored-by: dependabot[bot] <49699333+dependabot[bot]@users.noreply.github.com>
 2026-11-13 04:49:14 +08:00
蛋蛋呀~ 2238fe2810 Merge pull request #10 from DandanLLab/dependabot/npm_and_yarn/vitejs/plugin-react-swc-4.3.3 
chore(deps-dev): bump @vitejs/plugin-react-swc from 4.2.2 to 4.3.3
 2026-11-13 04:48:55 +08:00
蛋蛋呀~ 72c3796c58 Merge pull request #51 from DandanLLab/fix/security-audit-2026-11-13 
fix: 安全审计修复八条（社区发现致谢 #11 #13 #14）
 2026-11-13 04:48:34 +08:00
SnowCat Security Bot 5c98cc4a25 fix(security): go-cqhttp 兼容层占位消息的写死账号同样改走 NAPCAT_SPECIAL_PEER_UINS 
- GetForwardMsg.ts 构造 fakeMsg 时的 peerUid/peerUin/senderUin 占位值
  改为读同一环境变量数组, 默认空字符串。
- release-tools/build/napcat.mjs 为构建产物, 由下次构建自动重生成, 不手改。
回归注意: 默认占位为空串, go-cqhttp 兼容转发查询在未配置该变量时返回的
  占位主体字段为空, 如下游依赖非空占位可配置环境变量恢复。
 2026-11-13 03:34:50 +08:00
SnowCat Security Bot 148db8db87 fix(security): 注释中的示例号码同步脱敏为 <REDACTED> 2026-11-13 03:34:04 +08:00
SnowCat Security Bot caedbb219d fix(security): 日志脱敏规则增强, 覆盖更多 token 泄露形态 
- 原 sanitizeLog 仅匹配 token=[\w\d]+, 无法覆盖 token: xxx /
  access_token / refresh_token / credential / Authorization 及含
  ./- 的 JWT 形态。
- 扩展为三类规则: token=形式 / token: 形式 / 敏感凭据字段名前缀。
- 同时覆盖 LogHandler(历史日志)与 LogRealTimeHandler(SSE 实时日志),
  两处本就共用 sanitizeLog, 无需改动调用侧。
 2026-11-13 03:33:45 +08:00
SnowCat Security Bot 76520c6157 fix(security): 硬编码特殊账号改为可配置数组 NAPCAT_SPECIAL_PEER_UINS 
- onebot/api/msg.ts(3处)与 core/helper/log.ts(1处)原先写死两个特定
  peerUin, 用于: 回复消息直接返回缓存的 createReplyData / 走合并视频URL
  特殊通道 / 回复元素跳过递归解析 / 临时会话兜底 group_id。
- 改为环境变量 NAPCAT_SPECIAL_PEER_UINS(逗号分隔, 校验纯数字)读取,
  默认为空数组 = 不做任何特殊处理。
- 如需恢复旧行为: NAPCAT_SPECIAL_PEER_UINS='<原两个号码>' 即可。
回归注意: 默认关闭特殊通道后, 对这两类会话的合并转发视频URL获取与回复
  缓存直返行为会走通用分支, 建议内部测试确认无回归后按需配置环境变量。
 2026-11-13 03:33:45 +08:00
SnowCat Security Bot 030ecb206c fix(security): SSL 状态接口不再回吐证书与私钥明文; 配置接口剔除敏感字段 
1. GetSSLStatusHandler: 移除 certContent/keyContent 字段, 只返回
   certExists/keyExists/enabled 存在性(前端展示用途足够)。
   TLS 私钥不应经 HTTP API 下发, 即使是已登录管理员会话也应避免。
2. GetWebUIConfigHandler: 不回吐 token/totpSecret 等敏感字段。
3. UpdateWebUIConfigHandler: 支持 allowOrigins 数组校验与更新。
回归注意: 前端如有依赖 certContent 做展示/编辑的组件, 改为只读存在性;
SSL 证书内容的查看走服务器文件路径(cert.pem/key.pem)。
 2026-11-13 03:33:44 +08:00
SnowCat Security Bot fe5dafc527 fix(security): CORS 不再反射任意 Origin; X-Forwarded-For 改走 trust proxy 
1. cors.ts: 不再把任意请求 Origin 原样反射为 Access-Control-Allow-Origin
   (配合 credentials:true = 任意站点可携带 Cookie 跨域调用管理 API)。
   新策略: 仅放行 a) 无 Origin 头(同源/直连) b) Origin host 与请求 host 一致
   (本机多端口开发) c) webui.json allowOrigins 精确白名单。
   新增 Vary: Origin。
2. IP 访问控制: 客户端 IP 不再读取客户端可伪造的 X-Forwarded-For 头,
   统一走 req.ip(express 'trust proxy' 控制可信代理)。enableXForwardedFor
   字段保留(向后兼容)但不再影响 IP 判定, 需要代理真实 IP 的场景应配置
   app.set('trust proxy')。
3. WebUiConfigSchema 新增 allowOrigins: string[] (default []), 与前端
   GetConfig/UpdateConfig 同步支持。
回归注意: 若部署依赖旧反射行为的前端跨域, 需在 webui.json 配 allowOrigins。
 2026-11-13 03:33:30 +08:00
SnowCat Security Bot 6f9d3cdb0f fix(security): SignToken 密钥与密码哈希加固 
1. HMAC 密钥: 未配置 NAPCAT_WEBUI_JWT_SECRET_KEY 时不再回落 Math.random()
   (可预测密钥=凭证可伪造), 改用 crypto.randomBytes(32) 强随机并稳定缓存。
   行为变化: 未配置密钥时重启后所有已签发凭证失效, 用户需重新登录。
2. 密码哈希: generatePasswordHash 升级为 scrypt(随机盐16B, N=16384,r=8,p=1),
   存储格式 scrypt$<saltHex>$<hashHex>。
3. comparePasswordHash 双格式兼容: 新格式逐盐 scrypt 校验; 旧格式(单轮
   SHA-256 password+'.napcat')仍可校验通过, 保证存量凭证不失效、不丢功能语义。
   建议用户改密码一次即迁移到 scrypt。
4. 凭证比较统一走 timingSafeEqual, 消除逐字节短路时序侧信道。
 2026-11-13 03:33:30 +08:00
SnowCat Security Bot 2ecdc87e40 fix(security): webui.json 增补 allowOrigins 默认配置 
- 与 WebUiConfigSchema 新增的 allowOrigins 字段对齐（CORS 白名单来源）
- token 保持 'random'（启动时随机生成），配置文件本身不落弱口令
 2026-11-13 03:33:16 +08:00
SnowCat Security Bot 7ec3cd15c4 fix(security): 脱敏启动脚本中的疑似真实QQ号默认值 
- snowcat-launch.ps1: -Account 默认值与用法注释改为 <REDACTED>（对齐 release-tools 已脱敏版本）
- snowcat-launch-9937.ps1: 启动参数 -q<号码> 改为 -q<Account> 占位
- 说明: 一次性验证脚本与稳定线启动器不应把真实账号写死入库
 2026-11-13 03:33:16 +08:00
天天的鸟蛋蛋 4bd67e3c9b docs: 引路表移除 awesome-dsh-plugin/dsh-purge/dsh-our-free-model 三项（师父令） 2026-11-12 07:18:15 +08:00
天天的鸟蛋蛋 a92dfb34b2 docs: 「我们的信条」——我为技术而生，为天下想学技术的人指明方向 2026-11-12 07:16:38 +08:00
dependabot[bot] dd51e7cf0b chore(deps-dev): bump @vitejs/plugin-react-swc from 4.2.2 to 4.3.3 
Bumps [@vitejs/plugin-react-swc](https://github.com/vitejs/vite-plugin-react/tree/HEAD/packages/plugin-react-swc) from 4.2.2 to 4.3.3.
- [Release notes](https://github.com/vitejs/vite-plugin-react/releases)
- [Changelog](https://github.com/vitejs/vite-plugin-react/blob/main/packages/plugin-react-swc/CHANGELOG.md)
- [Commits](https://github.com/vitejs/vite-plugin-react/commits/v4.3.3/packages/plugin-react-swc)

---
updated-dependencies:
- dependency-name: "@vitejs/plugin-react-swc"
  dependency-version: 4.3.3
  dependency-type: direct:development
  update-type: version-update:semver-minor
...

Signed-off-by: dependabot[bot] <support@github.com>
 2026-11-11 23:15:34 +00:00
天天的鸟蛋蛋 85fd404fde docs: 补官方机器人路线入口（开放平台/botpy/文档）——两赛道并行，门开着不拉客 2026-11-12 07:10:29 +08:00
天天的鸟蛋蛋 8a3381bdca docs: 引路指引——dsh 官方接入插件全家福（全链路开源生态图） 2026-11-12 07:09:03 +08:00
天天的鸟蛋蛋 e73e1789c2 docs: README 主图改用雪猫手绘 logo（WebUI 同款） 2026-11-12 07:03:20 +08:00
天天的鸟蛋蛋 fd5ce799e4 docs: 双对比表（客户端/机器人四象限）+ B站素材视频卡片嵌入，全文重排版 2026-11-12 07:02:40 +08:00
天天的鸟蛋蛋 87aa7addbc docs: 公告全文内嵌 README（折叠面板，仓库首页直达） 2026-11-12 06:39:54 +08:00
天天的鸟蛋蛋 39a4b0665f docs: README 全新排版（徽章矩阵/特性表/运行时栈图/居中致谢） 2026-11-12 06:38:59 +08:00
天天的鸟蛋蛋 e5fdd5fecd chore: remove empty upstream readme stub 2026-11-12 06:30:32 +08:00
天天的鸟蛋蛋 e292824161 文档归位：雪猫 README 门面 + 公告/制作文档/发布工具并入仓库根
Release Tag / validate-version (push) Waiting to run
Details
v6.0.0 		2026-11-12 06:29:38 +08:00
天天的鸟蛋蛋 b9655a5ab1 SnowCat 雪猫底层全源码：NapCat 4.18.28 底座 + SnowLuma 能力移植 + V8 通道适配 9.9.37 
26 包 monorepo（TS 全源码）：
- snowcat-core: NT 内核 API 封装 + listener（含 9.9.37 六回调适配）+ Packet 发包
- snowcat-onebot: OneBot v11 全动作 + MCP Streamable HTTP 适配器 + 稳定线
- snowcat-webui-frontend/backend: 雪猫控制台（React+HeroUI）
- snowcat-shell: 单文件 bundle 出口（vite inlineDynamicImports）
- snowcat-native: napi2native / MoeHoo / ffmpeg / pty 运行时
- 56 项 SnowLuma 独门动作移植（qzone 全家桶/群相册/装扮/闪照/收藏）
- 工具件: 解包器/启动器/便携制作器/doctor

GitHub 关联已全量指向 DandanLLab/SnowCatQQ
 2026-11-12 06:27:36 +08:00