zikai
|
da7d2fb4b4
|
security: 白板 WS 加单帧大小限制与单 board 连接数上限
安全审计发现：
- WS receive_text 无应用层大小限制，恶意客户端可发超大帧（uvicorn 默认 16MB
才拦截）占内存。加 512KB 单帧检查（与 content 256KB 限制对齐留余量）。
- 单 board 无连接数上限，恶意脚本可开海量连接耗尽资源。config 加
max_connections_per_board（默认 50），hub.register 超限返回 False，
controller 回 error 帧并关闭连接。
审计结论（无需修复）：
- SQL：全部 SQLAlchemy ORM 参数化，无注入。
- 路径穿越：storage_path 服务端生成（uuid+basename(ext)），用户不可控分隔符。
- 鉴权：管理类操作均有 require_docs_auth，公开写接口符合设计。
- 下载 filename CRLF：Starlette FileResponse 用 quote() 编码，无响应拆分。
- XSS：前端 el() 用 createTextNode，textarea 纯文本，innerHTML 仅用于静态文案。
|
2026-07-21 15:09:13 +00:00 |
|
zikai
|
374c3d150f
|
fix: docs 分组与 summary 统一 + 记事本页加「复制链接」按钮
docs 乱：
- main.py 页面路由（/upload /files /wb-admin /wb/{id} /docs /redoc / /health）
加 tags（pages/docs/meta）+ summary/description，Swagger UI 按 tag 分组显示。
- whiteboard_controller 残留「白板/笔画/修改次数」改为「记事本/文本/编辑次数」。
复制链接：
- 记事本页加「复制链接」按钮，复制 {origin}/wb/{id} 分享链接（保留「复制文本」）。
|
2026-07-21 15:04:02 +00:00 |
|
zikai
|
655e039aad
|
refactor: 白板从画笔画板改为文本记事本
原实现是 Canvas 画笔画板，与「文字白板/记事本」需求不符。重做为纯文本实时协作：
- model：strokes JSON -> content TEXT + version INT（乐观锁）+ edit_count；
schema/dao/service 同步重构，append_stroke/replace_strokes -> update_content。
- WS 协议：stroke -> edit（发完整文本，debounce 400ms）；init 下发 content/version。
update 帧广播给他人，cleared 广播给所有人。
- 前端：canvas -> textarea；收到远端 update 用最长公共前后缀算变更区间，
仅替换该区间并保留光标（区间前不动/后平移/内移末尾）；清空/复制文本按钮。
- schema.sql 更新 whiteboard 表 DDL；DB 旧表 DROP 重建（开发环境）。
- 测试脚本与 README 同步更新。
|
2026-07-21 15:00:25 +00:00 |
|
zikai
|
7188c62d3a
|
refactor: 白板路由改 /wb 前缀，消除 HTML 与 REST 同路径冲突
问题：GET /whiteboard/{board_id} 同时被 REST（返回 JSON）与 main.py 的 HTML 页面
注册，FastAPI 按注册顺序匹配到 REST，导致浏览器访问拿到 JSON 而非前端页面。
改为按职责分命名空间，避免冲突：
- HTML 页面：/wb/{id}（main.py）、/wb-admin（main.py，Basic Auth）
- 公开 REST：GET /api/wb/{id}（前端 init 拉取初始笔画）
- WS：/ws/wb/{id}（实时同步 + 心跳）
- 管理 REST：GET /api/admin/wb、DELETE /api/admin/wb/{id}（Basic Auth）
前端 whiteboard.js / whiteboard_admin.js、测试脚本、README 路径同步更新。
旧 /whiteboard/* 路径不再注册（404）。
|
2026-07-21 14:51:33 +00:00 |
|
zikai
|
fffba79022
|
feat: 文件浏览页 + 共享白板 + 白板管理页（含补登记分片上传/隧道历史改动）
本次提交包含两批改动（7月2日遗留未入库 + 本次新功能），分述如下：
【补登记：7月2日已上线但未提交的功能】
- 分片上传：chunk_upload_controller/service/dao + UploadSession model/schema，
支持 4MiB 分片、乱序、断点续传、去重、幂等 complete；后台 reaper 清理过期会话。
- 反向隧道：tunnel_controller/service/dao + TunnelSession model/schema，
SSH remote forward 经 /api/userPort/{userName} 反代到 user 本地服务。
- 上传页：views/upload_html.py（拖拽/多文件/分片/断点续传 UI）。
- config.py：StorageConfig.chunk_session_dir/ttl、TunnelConfig；
requirements.txt 加 httpx；start.sh 清理 .work/ 残留；
schema.sql 加 upload_session/tunnel_session 表；sftp_server 承载隧道转发。
【本次新功能】
- 文件浏览页：GET /files（Basic Auth 同 docs）+ /api/admin/files（list/get/download/DELETE）。
硬删除（DB 行 + 磁盘文件），删除后列表不再显示。前端 static/file_browser.*。
- 共享白板：GET /whiteboard/{id}（公开，不存在则新建）+ WS /ws/whiteboard/{id}。
MySQL 持久化（whiteboard 表），Canvas 实时同步，心跳 3s/5 次失活移除，
清空/复制按钮，移动端兼容。WhiteboardHub 管理 {board_id: set[Connection]}，
disconnect 幂等 + 空 set 清理防泄漏，broadcast 失败连接自动移除。
- 白板管理页：GET /whiteboard-admin（Basic Auth）+ /api/admin/whiteboards（list/DELETE）。
删除时 hub.close_board 踢出在线连接。
- 清理：合并 UploadService.get_out_with_disk_path（下载/删除复用，消除重复 DB 读），
移除无用 resolve_disk_path。
- config.py：WhiteboardConfig（heartbeat/threshold/board_id 长度/list_limit）；
schema.sql 加 whiteboard 表；README 补新接口与心跳/内存说明。
- 验证：tests/manual_whiteboard_hub.py / _ws.py / _kick.py 全部通过。
|
2026-07-21 14:28:13 +00:00 |
|