SnowCat Security Bot
fe5dafc527
fix(security): CORS 不再反射任意 Origin; X-Forwarded-For 改走 trust proxy
1. cors.ts: 不再把任意请求 Origin 原样反射为 Access-Control-Allow-Origin
(配合 credentials:true = 任意站点可携带 Cookie 跨域调用管理 API)。
新策略: 仅放行 a) 无 Origin 头(同源/直连) b) Origin host 与请求 host 一致
(本机多端口开发) c) webui.json allowOrigins 精确白名单。
新增 Vary: Origin。
2. IP 访问控制: 客户端 IP 不再读取客户端可伪造的 X-Forwarded-For 头,
统一走 req.ip(express 'trust proxy' 控制可信代理)。enableXForwardedFor
字段保留(向后兼容)但不再影响 IP 判定, 需要代理真实 IP 的场景应配置
app.set('trust proxy')。
3. WebUiConfigSchema 新增 allowOrigins: string[] (default []), 与前端
GetConfig/UpdateConfig 同步支持。
回归注意: 若部署依赖旧反射行为的前端跨域, 需在 webui.json 配 allowOrigins。
2026-11-13 03:33:30 +08:00
..
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-12 06:27:36 +08:00
2026-11-13 03:33:30 +08:00
2026-11-12 06:27:36 +08:00