Sakurasan
ad10bdc400
链路功能已经跑通，缺的是边界。这几处默认值都是仓库里公开已知的，忘配就等于没有认证。
- 认证端点限速：/auth/login、/auth/register 此前完全没接限速器（Limiter 只挂在代理
Auth 上），爆破与批量建号零成本。新增 AllowWindow 滑动窗口，登录按「单 IP」和
「单 IP×账号」两个桶（默认 30/min、10/min），注册按 IP（5/min）且在 argon2 之前拦，
避免光靠建号请求打满 CPU；超限返回 429 + Retry-After。
- 生产启动断言：env=production 时拒绝默认 OT_JWT_SECRET、缺失或短于 16 字节的
OT_MASTER_KEY（缺失时 NewEncryptor 会用 sha256("") 派生，渠道密文可被公开还原）、
默认管理员密码；一次列全所有问题，不再改一个试一个。development 不拦。
- 请求体上限：parseBody 原来全量 io.ReadAll 且全项目没有一处 MaxBytesReader，
合法密钥可把任意大 body 整份压进内存再转发。/v1 组挂 BodyLimit（默认 32MB，
OT_PROXY_MAX_BODY_MB），超限按客户端协议返回 413 request_too_large 并点名上限。
- CORS：不再无条件反射 Origin + Allow-Credentials: true——那唯一挡住跨站凭据读取的
是 refresh cookie 的 SameSite=Lax，改成 None 就立刻变成窃取面。改为显式白名单，
空白名单完全不发跨域头（同源部署与 vite proxy 本来就不需要），通配 * 不配凭据；
允许头补上 X-Api-Key / Anthropic-Version / OpenAI-*，否则浏览器里跑官方 SDK 预检会挂。
- 配套 OT_SERVER_TRUSTED_PROXIES：不配置就不信 X-Forwarded-For（防伪造头绕过 IP 限速）。
顺手删掉 .env.example 末尾重复的 OT_PROXY_LOG_RAW 段。
69 lines
2.6 KiB
Bash
69 lines
2.6 KiB
Bash
# openteam 服务配置示例 —— 复制为 .env 后修改
|
||
# 所有项均可用环境变量 OT_<KEY> 覆盖（点号转下划线，如 db.driver → OT_DB_DRIVER）
|
||
|
||
# 运行环境 development | production
|
||
OT_ENV=development
|
||
OT_PORT=8080
|
||
|
||
# 数据库（开发默认 SQLite；生产切 postgres）
|
||
OT_DB_DRIVER=sqlite
|
||
OT_DB_DSN=data/openteam.db
|
||
# OT_DB_DRIVER=postgres
|
||
# OT_DB_DSN=host=localhost user=openteam password=openteam dbname=openteam port=5432 sslmode=disable
|
||
|
||
# JWT（生产必须更换为随机长字符串）
|
||
OT_JWT_SECRET=change-me-to-a-long-random-string
|
||
OT_JWT_ACCESS_TTL=2h
|
||
OT_JWT_REFRESH_TTL=168h
|
||
OT_JWT_COOKIE_SECURE=false
|
||
|
||
# 注册策略：open（开放）| invite（邀请码）
|
||
OT_AUTH_REGISTRATION_MODE=open
|
||
|
||
# 渠道密钥加密主密钥（生产必须设置，32 字节以上）
|
||
OT_MASTER_KEY=change-me-master-key
|
||
|
||
# 默认上游渠道（首次启动自动创建 OpenAI 渠道）
|
||
OT_PROXY_UPSTREAM_KEY=
|
||
OT_PROXY_UPSTREAM_BASE_URL=https://api.openai.com
|
||
OT_PROXY_DEFAULT_MODEL=gpt-4o-mini
|
||
# 上游超时兜底值（渠道 timeout_ms 优先）：
|
||
# 非流式 = 整段请求上限；流式 = 只约束首包，正文不限时长
|
||
OT_PROXY_TIMEOUT=300s
|
||
|
||
# /v1 请求体上限（MB）：超限按客户端协议返回 413
|
||
OT_PROXY_MAX_BODY_MB=32
|
||
|
||
# 渠道健康检查
|
||
OT_PROXY_HEALTH_INTERVAL=60s
|
||
OT_PROXY_HEALTH_FAIL_THRESHOLD=2
|
||
|
||
# 调试：记录管理员的原始请求与响应到请求明细（默认关闭；流式记录全部事件）
|
||
OT_PROXY_LOG_RAW=false
|
||
|
||
# 限流（内存计数，Redis 后置）：用户级每秒请求数上限（0=不限制）
|
||
OT_RATELIMIT_USER_RPS=20
|
||
# 认证端点限速（每分钟，0=不限制）：登录是密码爆破面，注册是批量建号面
|
||
OT_RATELIMIT_LOGIN_IP_PER_MIN=30
|
||
OT_RATELIMIT_LOGIN_USER_PER_MIN=10
|
||
OT_RATELIMIT_REGISTER_IP_PER_MIN=5
|
||
|
||
# 跨域白名单（逗号分隔 origin）。留空 = 不输出任何 CORS 头：
|
||
# 网关自托管 web/dist 时前后端同源、vite dev 走 proxy，都不需要跨域。
|
||
# 只有把 web/ 单独部署到别的域名时才需要配。
|
||
OT_CORS_ALLOW_ORIGINS=
|
||
# 反向代理（CIDR 或 IP，逗号分隔）。配置后 gin 才信任 X-Forwarded-For 取客户端 IP，
|
||
# 上面的认证限速依赖它；直连部署留空（此时按连接源地址计数，伪造头无效）。
|
||
OT_SERVER_TRUSTED_PROXIES=
|
||
|
||
# Passkey（WebAuthn）：RPID 为域名，RPOrigin 为前端来源（需 HTTPS 或 localhost）
|
||
OT_WEBAUTHN_RP_ID=localhost
|
||
OT_WEBAUTHN_RP_ORIGIN=http://localhost:5173
|
||
OT_WEBAUTHN_RP_NAME=openteam
|
||
|
||
# 初始管理员（仅首次创建生效）
|
||
OT_ADMIN_USERNAME=admin
|
||
OT_ADMIN_EMAIL=admin@localhost
|
||
OT_ADMIN_PASSWORD=admin123
|
||
|