2 Commits

Author	SHA1	Message	Date
zikai	da7d2fb4b4	security: 白板 WS 加单帧大小限制与单 board 连接数上限 ... 安全审计发现： - WS receive_text 无应用层大小限制，恶意客户端可发超大帧（uvicorn 默认 16MB 才拦截）占内存。加 512KB 单帧检查（与 content 256KB 限制对齐留余量）。 - 单 board 无连接数上限，恶意脚本可开海量连接耗尽资源。config 加 max_connections_per_board（默认 50），hub.register 超限返回 False， controller 回 error 帧并关闭连接。 审计结论（无需修复）： - SQL：全部 SQLAlchemy ORM 参数化，无注入。 - 路径穿越：storage_path 服务端生成（uuid+basename(ext)），用户不可控分隔符。 - 鉴权：管理类操作均有 require_docs_auth，公开写接口符合设计。 - 下载 filename CRLF：Starlette FileResponse 用 quote() 编码，无响应拆分。 - XSS：前端 el() 用 createTextNode，textarea 纯文本，innerHTML 仅用于静态文案。	2026-07-21 15:09:13 +00:00
zikai	fffba79022	feat: 文件浏览页 + 共享白板 + 白板管理页（含补登记分片上传/隧道历史改动） ... 本次提交包含两批改动（7月2日遗留未入库 + 本次新功能），分述如下： 【补登记：7月2日已上线但未提交的功能】 - 分片上传：chunk_upload_controller/service/dao + UploadSession model/schema， 支持 4MiB 分片、乱序、断点续传、去重、幂等 complete；后台 reaper 清理过期会话。 - 反向隧道：tunnel_controller/service/dao + TunnelSession model/schema， SSH remote forward 经 /api/userPort/{userName} 反代到 user 本地服务。 - 上传页：views/upload_html.py（拖拽/多文件/分片/断点续传 UI）。 - config.py：StorageConfig.chunk_session_dir/ttl、TunnelConfig； requirements.txt 加 httpx；start.sh 清理 .work/ 残留； schema.sql 加 upload_session/tunnel_session 表；sftp_server 承载隧道转发。 【本次新功能】 - 文件浏览页：GET /files（Basic Auth 同 docs）+ /api/admin/files（list/get/download/DELETE）。 硬删除（DB 行 + 磁盘文件），删除后列表不再显示。前端 static/file_browser.*。 - 共享白板：GET /whiteboard/{id}（公开，不存在则新建）+ WS /ws/whiteboard/{id}。 MySQL 持久化（whiteboard 表），Canvas 实时同步，心跳 3s/5 次失活移除， 清空/复制按钮，移动端兼容。WhiteboardHub 管理 {board_id: set[Connection]}， disconnect 幂等 + 空 set 清理防泄漏，broadcast 失败连接自动移除。 - 白板管理页：GET /whiteboard-admin（Basic Auth）+ /api/admin/whiteboards（list/DELETE）。 删除时 hub.close_board 踢出在线连接。 - 清理：合并 UploadService.get_out_with_disk_path（下载/删除复用，消除重复 DB 读）， 移除无用 resolve_disk_path。 - config.py：WhiteboardConfig（heartbeat/threshold/board_id 长度/list_limit）； schema.sql 加 whiteboard 表；README 补新接口与心跳/内存说明。 - 验证：tests/manual_whiteboard_hub.py / _ws.py / _kick.py 全部通过。	2026-07-21 14:28:13 +00:00