zTools2

Files

zikai da7d2fb4b4 security: 白板 WS 加单帧大小限制与单 board 连接数上限

安全审计发现：
- WS receive_text 无应用层大小限制，恶意客户端可发超大帧（uvicorn 默认 16MB
  才拦截）占内存。加 512KB 单帧检查（与 content 256KB 限制对齐留余量）。
- 单 board 无连接数上限，恶意脚本可开海量连接耗尽资源。config 加
  max_connections_per_board（默认 50），hub.register 超限返回 False，
  controller 回 error 帧并关闭连接。

审计结论（无需修复）：
- SQL：全部 SQLAlchemy ORM 参数化，无注入。
- 路径穿越：storage_path 服务端生成（uuid+basename(ext)），用户不可控分隔符。
- 鉴权：管理类操作均有 require_docs_auth，公开写接口符合设计。
- 下载 filename CRLF：Starlette FileResponse 用 quote() 编码，无响应拆分。
- XSS：前端 el() 用 createTextNode，textarea 纯文本，innerHTML 仅用于静态文案。

2026-07-21 15:09:13 +00:00

__init__.py

feat: 文件浏览页 + 共享白板 + 白板管理页（含补登记分片上传/隧道历史改动）

2026-07-21 14:28:13 +00:00

chunk_upload_service.py

feat: 文件浏览页 + 共享白板 + 白板管理页（含补登记分片上传/隧道历史改动）

2026-07-21 14:28:13 +00:00

sftp_server.py

feat: 文件浏览页 + 共享白板 + 白板管理页（含补登记分片上传/隧道历史改动）

2026-07-21 14:28:13 +00:00

system_service.py

init: 从 /root/zikai 根目录迁入