2 Commits

Include renames

Author	SHA1	Message	Date
Logan.Li	1c50d565eb	fix(security): webhook fail-closed、机密字段信封加密、限流信任代理修正 ... 三项 P0 安全修复: 1. Webhook 验签 fail-closed - WaffoWebhook 未配置验签材料时从「告警放行」改为 503 拒绝, 封死伪造 order.completed 结算订单的路径 - 通用 PaymentWebhook 从「仅 release 拒绝」收紧为默认拒绝, 仅显式 ALLOW_UNVERIFIED_WEBHOOK=1(本地调试)放行 2. 机密字段信封加密(新增 internal/secretbox) - AES-256-GCM,主密钥 OPSLIC_MASTER_KEY(64 位 hex),密文带 enc:v1: 前缀;Encrypt 幂等、历史明文原样放行 - PaymentGatewayConfig.SecretKey/WebhookSecret 与 PeerNode. SharedKey 挂 GORM 钩子透明加解密,业务代码零改动;SharedKey 列宽 128→512(密文更长) - 启动 fail-fast 校验主密钥;MigratePlaintext 幂等迁移存量明文; 节点同步只含业务表,机密表为节点本地,互不影响 - docker-compose/.env.example 补 OPSLIC_MASTER_KEY 与说明 3. 限流信任代理修正 - 默认 SetTrustedProxies(nil) 不信任任何 X-Forwarded-For, 封死伪造 XFF 轮换 IP 绕过按 IP 限流;反代节点用 TRUSTED_PROXIES 指定内网 CIDR,非法配置拒绝启动 验证:go build/vet/test 全绿(含 secretbox 6 条单测); 读取路径(Waffo 私钥/webhook 密钥/互联密钥)确认全走 GORM 钩子。 部署注意:上线须配置 OPSLIC_MASTER_KEY(双节点一致)与 WAFFO_WEBHOOK_PUBLIC_KEY(未配则回调 503,属预期);香港反代 节点配 TRUSTED_PROXIES。	2026-11-01 02:03:26 +08:00
Logan.Li	44387835e1	feat: 节点互联双向同步——授权/计划/客户(邮箱)按业务键LWW增量同步，HTTPS+HMAC互联密钥，默认10分钟宽松节奏	2026-09-14 21:33:00 +08:00