From 94468c5c44fe434d6a3972548e34ddcf1666b92a Mon Sep 17 00:00:00 2001 From: ila Date: Thu, 20 Aug 2026 23:37:56 +0800 Subject: [PATCH] docs: record platform security boundaries (#8) --- docs/02-architecture-and-code-map.md | 13 +++++++++++-- 1 file changed, 11 insertions(+), 2 deletions(-) diff --git a/docs/02-architecture-and-code-map.md b/docs/02-architecture-and-code-map.md index cbf13b2..571b148 100644 --- a/docs/02-architecture-and-code-map.md +++ b/docs/02-architecture-and-code-map.md @@ -2,8 +2,8 @@ generated: true (请先修改 Gitea Wiki，禁止直接编辑本文件) wiki_page: Architecture-and-Code-Map wiki_url: https://git.ilapage.cn/OPC/chorus/wiki/Architecture-and-Code-Map.- -wiki_revision: 525b833916552d1f2203ef462ea42f5e8a853270 -synchronized_at: 2026-08-20T15:21:40Z +wiki_revision: 97f301d12a81b734a80c90b77feaed79373248c1 +synchronized_at: 2026-08-20T15:35:54Z # 架构与代码地图 @@ -67,6 +67,15 @@ MVP-0 第一张上传图自动作为 `primary`，其余为 `reference`；不提 - `internal/core/router` 固定 HTTP 429/5xx、超时和连接错误为 retryable，400/401、内容策略拒绝及未知错误为不可重试；MVP-0 仍只调用唯一启用模型，不执行换家。 - GORM 固定为用户指定 go-admin 提交使用的 v1.31.2；生产启动和 core 均没有 AutoMigrate。 +### #8 已落地的平台安全边界 + +- `internal/platform/http` 是 Provider 请求和结果 URL 下载的统一入口：只允许 http/https 与显式端口，禁用环境代理，在 URL 校验和 `DialContext` 连接前分别解析 DNS，并直接连接已验证 IP，拒绝 IPv4/IPv6 私网、回环、链路本地、组播、未指定、文档与其他特殊地址。 +- 每次 redirect 重新校验 scheme、端口和 DNS，限制次数；响应总超时、响应头超时和最大字节数由构造配置强制提供。返回错误不包含原 URL 的路径、查询参数或 userinfo。 +- `internal/platform/crypto` 使用 AES-GCM；数据库信封字段是 `version/key_id/nonce/ciphertext`，version 和 key_id 进入 AAD。key ring 只用 active key 写入，同时可读取仍保留的旧 key_id，未知 key、篡改和错误版本失败关闭。 +- `internal/platform/storage` 在受保护根目录下把 `content` 与 `metadata.json` 写入同一临时目录，完整 flush 后在同文件系统原子 rename；metadata 保存 owner_id、generation_id、content_type 和 size。路径逐级拒绝符号链接和越界，失败只清理本次临时目录。 +- 图片保存前同时限制总字节、声明 MIME、实际解码格式和像素数；原图校验后保存，并生成最长边 256px 的 PNG 缩略图。文件不作为公开静态目录，授权判断仍由 portal 按 metadata 和数据库归属执行。 +- imaging 固定 v1.6.2，`golang.org/x/image` 提升并固定为与 go-admin 基线一致的 v0.41.0；测试只使用 mock DNS、`net.Pipe`、构造密钥和临时目录。 + ## 代码地图 | 想改什么 | 从哪里开始读 | 必要验证 |