yggdrasil

xfy/yggdrasil

Fork 0

Commit Graph

Author	SHA1	Message	Date
xfy	74f8c212f6	feat(csrf): warn at startup when APP_BASE_URL is unset APP_BASE_URL 未设置时 trusted_origin 回退到请求 Host 头推导本站 origin，反向代理后若 Host 头可被客户端影响存在 CSRF 绕过风险。.env.example 虽然警告了，但默认值就是空——'cp .env.example .env 后忘改' 是最常见的部署失误。加启动时一次性 WARN（与 image.rs 的启动告警同范式）： - warn_if_app_base_url_unset() 在 main.rs 启动序列调用，与 validate_database_url 等配置告警归在一处 - 抽出纯函数 app_base_url_is_set() 承载判断逻辑，便于测试，打日志副作用与之解耦 - 5 个单测覆盖 unset/empty/whitespace/set/trim 边界每请求路径的 trusted_origin 保持纯函数不变，不引入 dedup 状态或刷屏风险。	2026-06-29 11:02:58 +08:00
xfy	57488f5c40	style(csrf): replace redundant closures with function references (clippy)	2026-06-18 13:45:32 +08:00
xfy	82a3c12940	feat(security): add Origin-based CSRF protection for write endpoints 对所有 POST/PUT/PATCH/DELETE 请求校验 Origin（回退 Referer）等于本站，堵住 login CSRF 与未来 GET 化写接口的盲区（SameSite=Lax 覆盖不到）。 - 新增 src/api/csrf.rs：纯函数 origin 解析（不引入 url crate）+ axum 中间件 - 挂载到 upload 路由与 Dioxus app 路由（最外层，先于超时/压缩） - APP_BASE_URL 配置可信域名；未设置时回退 Host + X-Forwarded-Proto - GET/OPTIONS 放行；拿不到本站 origin 时放行避免误杀 - 9 个单测覆盖写方法识别、origin 标准化、默认端口省略、头解析回退	2026-06-18 13:22:59 +08:00

Author

SHA1

Message

Date

xfy

74f8c212f6

feat(csrf): warn at startup when APP_BASE_URL is unset

APP_BASE_URL 未设置时 trusted_origin 回退到请求 Host 头推导本站 origin，
反向代理后若 Host 头可被客户端影响存在 CSRF 绕过风险。.env.example 虽然
警告了，但默认值就是空——'cp .env.example .env 后忘改' 是最常见的部署失误。

加启动时一次性 WARN（与 image.rs 的启动告警同范式）：
- warn_if_app_base_url_unset() 在 main.rs 启动序列调用，与 validate_database_url
  等配置告警归在一处
- 抽出纯函数 app_base_url_is_set() 承载判断逻辑，便于测试，打日志副作用与之解耦
- 5 个单测覆盖 unset/empty/whitespace/set/trim 边界

每请求路径的 trusted_origin 保持纯函数不变，不引入 dedup 状态或刷屏风险。

2026-06-29 11:02:58 +08:00

xfy

57488f5c40

style(csrf): replace redundant closures with function references (clippy)

2026-06-18 13:45:32 +08:00

xfy

82a3c12940

feat(security): add Origin-based CSRF protection for write endpoints

对所有 POST/PUT/PATCH/DELETE 请求校验 Origin（回退 Referer）等于本站，
堵住 login CSRF 与未来 GET 化写接口的盲区（SameSite=Lax 覆盖不到）。

- 新增 src/api/csrf.rs：纯函数 origin 解析（不引入 url crate）+ axum 中间件
- 挂载到 upload 路由与 Dioxus app 路由（最外层，先于超时/压缩）
- APP_BASE_URL 配置可信域名；未设置时回退 Host + X-Forwarded-Proto
- GET/OPTIONS 放行；拿不到本站 origin 时放行避免误杀
- 9 个单测覆盖写方法识别、origin 标准化、默认端口省略、头解析回退

2026-06-18 13:22:59 +08:00

3 Commits