2 Commits

Include renames

Author	SHA1	Message	Date
Sakurasan	ad10bdc400	security: 补上认证面与输入边界的四处防护 ... 链路功能已经跑通，缺的是边界。这几处默认值都是仓库里公开已知的，忘配就等于没有认证。 - 认证端点限速：/auth/login、/auth/register 此前完全没接限速器（Limiter 只挂在代理 Auth 上），爆破与批量建号零成本。新增 AllowWindow 滑动窗口，登录按「单 IP」和 「单 IP×账号」两个桶（默认 30/min、10/min），注册按 IP（5/min）且在 argon2 之前拦， 避免光靠建号请求打满 CPU；超限返回 429 + Retry-After。 - 生产启动断言：env=production 时拒绝默认 OT_JWT_SECRET、缺失或短于 16 字节的 OT_MASTER_KEY（缺失时 NewEncryptor 会用 sha256("") 派生，渠道密文可被公开还原）、 默认管理员密码；一次列全所有问题，不再改一个试一个。development 不拦。 - 请求体上限：parseBody 原来全量 io.ReadAll 且全项目没有一处 MaxBytesReader， 合法密钥可把任意大 body 整份压进内存再转发。/v1 组挂 BodyLimit（默认 32MB， OT_PROXY_MAX_BODY_MB），超限按客户端协议返回 413 request_too_large 并点名上限。 - CORS：不再无条件反射 Origin + Allow-Credentials: true——那唯一挡住跨站凭据读取的 是 refresh cookie 的 SameSite=Lax，改成 None 就立刻变成窃取面。改为显式白名单， 空白名单完全不发跨域头（同源部署与 vite proxy 本来就不需要），通配 * 不配凭据； 允许头补上 X-Api-Key / Anthropic-Version / OpenAI-*，否则浏览器里跑官方 SDK 预检会挂。 - 配套 OT_SERVER_TRUSTED_PROXIES：不配置就不信 X-Forwarded-For（防伪造头绕过 IP 限速）。 顺手删掉 .env.example 末尾重复的 OT_PROXY_LOG_RAW 段。	2026-10-17 03:25:30 +08:00
Sakurasan	e865f69a41	fix: 修掉模型调用链路上的四处失效逻辑 ... - 超时：NewGateway 里 gw_timeout*time.Second 把已是 Duration 的值二次换算， int64 溢出后无论 OT_PROXY_TIMEOUT 填多少都等于没有超时，渠道 timeout_ms 也从没被读过。现在非流式用 context deadline 约束整段时长，流式只约束首包 （Transport.ResponseHeaderTimeout），正文不限时长，长回答不会被砍。 - 断连：上游请求改用 NewRequestWithContext 绑定客户端 context，客户端断开即 取消上游并记 canceled，不再空转生成继续付费；PATCH 已写 200 头后不再往 响应里追加错误体。 - 白名单：APIKey.AllowedModels 以前只存不用，现在 Auth 注入 context 并参与 判定（用户黑名单 > 密钥白名单 > 用户白名单 > 全局）。 - 选路：模型已有渠道绑定时只用绑定渠道，都不可用直接 503 no_channel，不再 把请求发给不认识它的渠道；新增运行期健康（连续 3 次网络错误/超时/429/5xx 进 30s 冷却，成功清零），与 60s 一次的 /models 探测互补。 - 密钥 API：PATCH 回显更新后的完整对象；限额填 0 统一视为不限制（原来 token 配额存 0 会让密钥第一次请求就被 429 打死，而请求配额存 0 又等于 不限制，两个字段语义相反）；前端编辑框总是提交白名单，清空能真的取消。 测试：新增 proxy 链路集成测试（超时生效、流式不被截断、断连取消并记账、 密钥白名单 403、连续 429 后候选剔除）与 channel 用例（绑定模型不退全局、 冷却阈值与到期恢复、成功清零）。	2026-10-16 19:15:51 +08:00