mirrors2/ONE - ONE - Gitea: Git with a cup of tea

40 Commits 1 Branch 0 Tags

3 Commits

Include renames

Author	SHA1	Message	Date
Sakurasan	f7a2e83727	编辑器三件套（参考 xLog）：CodeMirror 源码模式 + 外链图片一键转存 + 上传进度/前置校验 - md 页签从裸 textarea 升级 CodeMirror 6：markdown 语法高亮、行内历史，粘贴/拖图直传； markdown 仍是唯一真相源，转存/切换用 syncCM 全量灌回，工具栏选区辅助改为面向 CM - POST /api/admin/files/import：外链抓取复用 linkmeta SSRF 防护拨号与跳转限制，二进制传输放宽 30s；类型按内容嗅探反查白名单，与手动上传共用去重/落盘（persistFile 抽取共享） - 上传走 XHR 进度回调 + 编辑器 toast 栈：类型/大小前置校验（与后端白名单一致）、逐文件进度 - persistFile 去重路径补 URL 解析——此前命中去重返回的行没有 URL，转存替换会把正文图链清空（已修复受损数据） - hub nil 安全（测试环境未装配时不 panic）	2026-09-28 23:42:24 +08:00
Sakurasan	1db1698174	链接卡片图片修复：img 加 referrerpolicy=no-referrer 绕过哔哩哔哩等 CDN 防盗链；抓取 UA 换浏览器形态；识别并丢弃 X 的全站占位图	2026-09-28 21:50:41 +08:00
Sakurasan	661d157b6c	短文支持链接预览卡片：新增 linkmeta 抓取 + 字符集解码 - internal/linkmeta：取正文第一个 http(s) 链接，解析 og: → twitter: → <title>/ description 逐级兜底，解 HTML 实体、相对图片补成绝对地址。按对外抓取设防：只放行 http(s)、读满 512KB 即停、最多 3 次跳转、整体限时；SSRF 防护做在拨号那一刻——解析出 IP 后筛掉回环/私网/链路本地/组播/CGNAT 再直连该 IP，堵住 DNS 重绑定窗口 - 字符集转换：按「HTTP 头 charset → <meta charset> → UTF-8」解码，gb2312 归一成 gbk（超集，按声明解会漏字）；认不出的字符名退回原始字节不报错。为此引入 golang.org/x/text（官方包，约 +1MB 二进制）。tidy 顺带把 aws-sdk 三个包从 indirect 修正为直接依赖——storage/r2.go 本来就直接用它们 - posts 加 link_card 列（JSON，沿用 images 的编解码）；admin 保存短文时重算：同链接沿用旧卡片不重复打远端，删链接或抓取失败则清空，长文不参与 - 前端 LinkCard 组件接两套 UI 的时间线与详情页，配色写成 vivid 变量优先、 classic 变量兜底，一份样式两边通用；外链图挂了自动隐藏不留空框 - 卡片用 div[role=link] 而非 <a>（vivid 整条短文包在 RouterLink 里，嵌套 <a> 非法），点击必须 preventDefault——只 stop 挡不住祖先 <a> 的默认激活行为	2026-09-28 17:13:20 +08:00

Author

SHA1

Message

Date

Sakurasan

f7a2e83727

编辑器三件套（参考 xLog）：CodeMirror 源码模式 + 外链图片一键转存 + 上传进度/前置校验

- md 页签从裸 textarea 升级 CodeMirror 6：markdown 语法高亮、行内历史，粘贴/拖图直传；
  markdown 仍是唯一真相源，转存/切换用 syncCM 全量灌回，工具栏选区辅助改为面向 CM
- POST /api/admin/files/import：外链抓取复用 linkmeta SSRF 防护拨号与跳转限制，
  二进制传输放宽 30s；类型按内容嗅探反查白名单，与手动上传共用去重/落盘（persistFile 抽取共享）
- 上传走 XHR 进度回调 + 编辑器 toast 栈：类型/大小前置校验（与后端白名单一致）、逐文件进度
- persistFile 去重路径补 URL 解析——此前命中去重返回的行没有 URL，转存替换会把正文图链清空（已修复受损数据）
- hub nil 安全（测试环境未装配时不 panic）

2026-09-28 23:42:24 +08:00

Sakurasan

1db1698174

链接卡片图片修复：img 加 referrerpolicy=no-referrer 绕过哔哩哔哩等 CDN 防盗链；抓取 UA 换浏览器形态；识别并丢弃 X 的全站占位图

2026-09-28 21:50:41 +08:00

Sakurasan

661d157b6c

短文支持链接预览卡片：新增 linkmeta 抓取 + 字符集解码

- internal/linkmeta：取正文第一个 http(s) 链接，解析 og: → twitter: → <title>/
  description 逐级兜底，解 HTML 实体、相对图片补成绝对地址。按对外抓取设防：
  只放行 http(s)、读满 512KB 即停、最多 3 次跳转、整体限时；SSRF 防护做在拨号
  那一刻——解析出 IP 后筛掉回环/私网/链路本地/组播/CGNAT 再直连该 IP，堵住
  DNS 重绑定窗口
- 字符集转换：按「HTTP 头 charset → <meta charset> → UTF-8」解码，gb2312 归一
  成 gbk（超集，按声明解会漏字）；认不出的字符名退回原始字节不报错。为此引入
  golang.org/x/text（官方包，约 +1MB 二进制）。tidy 顺带把 aws-sdk 三个包从
  indirect 修正为直接依赖——storage/r2.go 本来就直接用它们
- posts 加 link_card 列（JSON，沿用 images 的编解码）；admin 保存短文时重算：
  同链接沿用旧卡片不重复打远端，删链接或抓取失败则清空，长文不参与
- 前端 LinkCard 组件接两套 UI 的时间线与详情页，配色写成 vivid 变量优先、
  classic 变量兜底，一份样式两边通用；外链图挂了自动隐藏不留空框
- 卡片用 div[role=link] 而非 <a>（vivid 整条短文包在 RouterLink 里，嵌套 <a>
  非法），点击必须 preventDefault——只 stop 挡不住祖先 <a> 的默认激活行为

2026-09-28 17:13:20 +08:00