opsx-licence

36 Commits 1 Branch 0 Tags

3 Commits

Include renames

Author	SHA1	Message	Date
Logan.Li	1c50d565eb	fix(security): webhook fail-closed、机密字段信封加密、限流信任代理修正 CI / backend (push) Canceled after 0s Details 三项 P0 安全修复: 1. Webhook 验签 fail-closed - WaffoWebhook 未配置验签材料时从「告警放行」改为 503 拒绝, 封死伪造 order.completed 结算订单的路径 - 通用 PaymentWebhook 从「仅 release 拒绝」收紧为默认拒绝, 仅显式 ALLOW_UNVERIFIED_WEBHOOK=1(本地调试)放行 2. 机密字段信封加密(新增 internal/secretbox) - AES-256-GCM,主密钥 OPSLIC_MASTER_KEY(64 位 hex),密文带 enc:v1: 前缀;Encrypt 幂等、历史明文原样放行 - PaymentGatewayConfig.SecretKey/WebhookSecret 与 PeerNode. SharedKey 挂 GORM 钩子透明加解密,业务代码零改动;SharedKey 列宽 128→512(密文更长) - 启动 fail-fast 校验主密钥;MigratePlaintext 幂等迁移存量明文; 节点同步只含业务表,机密表为节点本地,互不影响 - docker-compose/.env.example 补 OPSLIC_MASTER_KEY 与说明 3. 限流信任代理修正 - 默认 SetTrustedProxies(nil) 不信任任何 X-Forwarded-For, 封死伪造 XFF 轮换 IP 绕过按 IP 限流;反代节点用 TRUSTED_PROXIES 指定内网 CIDR,非法配置拒绝启动验证:go build/vet/test 全绿(含 secretbox 6 条单测); 读取路径(Waffo 私钥/webhook 密钥/互联密钥)确认全走 GORM 钩子。部署注意:上线须配置 OPSLIC_MASTER_KEY(双节点一致)与 WAFFO_WEBHOOK_PUBLIC_KEY(未配则回调 503,属预期);香港反代节点配 TRUSTED_PROXIES。	2026-11-01 02:03:26 +08:00
Logan.LiandCursor	bac72e6945	fix: 按评审报告止血支付漏洞并加固授权链路废除浏览器回跳自助结算，通用 webhook 强制密钥鉴权，Waffo 支持验签与未知事件忽略；重构订单状态机/激活占座/SQLite WAL，并补备份、readyz、限流与前端导出/登录页安全修复。 Co-authored-by: Cursor <cursoragent@cursor.com>	2026-08-12 21:26:58 +08:00
Logan.LiandCursor	cb1a9be2c4	chore: 增加 Docker 单容器部署生产用 Dockerfile + compose 嵌入前端二进制，run.sh docker 一键构建启动。 Co-authored-by: Cursor <cursoragent@cursor.com>	2026-08-12 12:02:29 +08:00

Author

SHA1

Message

Date

Logan.Li

1c50d565eb

fix(security): webhook fail-closed、机密字段信封加密、限流信任代理修正

CI / backend (push) Canceled after 0s

Details

三项 P0 安全修复:

1. Webhook 验签 fail-closed
   - WaffoWebhook 未配置验签材料时从「告警放行」改为 503 拒绝,
     封死伪造 order.completed 结算订单的路径
   - 通用 PaymentWebhook 从「仅 release 拒绝」收紧为默认拒绝,
     仅显式 ALLOW_UNVERIFIED_WEBHOOK=1(本地调试)放行

2. 机密字段信封加密(新增 internal/secretbox)
   - AES-256-GCM,主密钥 OPSLIC_MASTER_KEY(64 位 hex),密文带
     enc:v1: 前缀;Encrypt 幂等、历史明文原样放行
   - PaymentGatewayConfig.SecretKey/WebhookSecret 与 PeerNode.
     SharedKey 挂 GORM 钩子透明加解密,业务代码零改动;SharedKey
     列宽 128→512(密文更长)
   - 启动 fail-fast 校验主密钥;MigratePlaintext 幂等迁移存量明文;
     节点同步只含业务表,机密表为节点本地,互不影响
   - docker-compose/.env.example 补 OPSLIC_MASTER_KEY 与说明

3. 限流信任代理修正
   - 默认 SetTrustedProxies(nil) 不信任任何 X-Forwarded-For,
     封死伪造 XFF 轮换 IP 绕过按 IP 限流;反代节点用
     TRUSTED_PROXIES 指定内网 CIDR,非法配置拒绝启动

验证:go build/vet/test 全绿(含 secretbox 6 条单测);
读取路径(Waffo 私钥/webhook 密钥/互联密钥)确认全走 GORM 钩子。

部署注意:上线须配置 OPSLIC_MASTER_KEY(双节点一致)与
WAFFO_WEBHOOK_PUBLIC_KEY(未配则回调 503,属预期);香港反代
节点配 TRUSTED_PROXIES。

2026-11-01 02:03:26 +08:00

Logan.LiandCursor

bac72e6945

fix: 按评审报告止血支付漏洞并加固授权链路

废除浏览器回跳自助结算，通用 webhook 强制密钥鉴权，Waffo 支持验签与未知事件忽略；重构订单状态机/激活占座/SQLite WAL，并补备份、readyz、限流与前端导出/登录页安全修复。

Co-authored-by: Cursor <cursoragent@cursor.com>

2026-08-12 21:26:58 +08:00

Logan.LiandCursor

cb1a9be2c4

chore: 增加 Docker 单容器部署

生产用 Dockerfile + compose 嵌入前端二进制，run.sh docker 一键构建启动。

Co-authored-by: Cursor <cursoragent@cursor.com>

2026-08-12 12:02:29 +08:00