Logan.Li
1c50d565eb
CI / backend (push) Canceled after 0s
三项 P0 安全修复:
1. Webhook 验签 fail-closed
- WaffoWebhook 未配置验签材料时从「告警放行」改为 503 拒绝,
封死伪造 order.completed 结算订单的路径
- 通用 PaymentWebhook 从「仅 release 拒绝」收紧为默认拒绝,
仅显式 ALLOW_UNVERIFIED_WEBHOOK=1(本地调试)放行
2. 机密字段信封加密(新增 internal/secretbox)
- AES-256-GCM,主密钥 OPSLIC_MASTER_KEY(64 位 hex),密文带
enc:v1: 前缀;Encrypt 幂等、历史明文原样放行
- PaymentGatewayConfig.SecretKey/WebhookSecret 与 PeerNode.
SharedKey 挂 GORM 钩子透明加解密,业务代码零改动;SharedKey
列宽 128→512(密文更长)
- 启动 fail-fast 校验主密钥;MigratePlaintext 幂等迁移存量明文;
节点同步只含业务表,机密表为节点本地,互不影响
- docker-compose/.env.example 补 OPSLIC_MASTER_KEY 与说明
3. 限流信任代理修正
- 默认 SetTrustedProxies(nil) 不信任任何 X-Forwarded-For,
封死伪造 XFF 轮换 IP 绕过按 IP 限流;反代节点用
TRUSTED_PROXIES 指定内网 CIDR,非法配置拒绝启动
验证:go build/vet/test 全绿(含 secretbox 6 条单测);
读取路径(Waffo 私钥/webhook 密钥/互联密钥)确认全走 GORM 钩子。
部署注意:上线须配置 OPSLIC_MASTER_KEY(双节点一致)与
WAFFO_WEBHOOK_PUBLIC_KEY(未配则回调 503,属预期);香港反代
节点配 TRUSTED_PROXIES。
65 lines
2.1 KiB
Go
65 lines
2.1 KiB
Go
package secretbox
|
|
|
|
import (
|
|
"fmt"
|
|
|
|
"gorm.io/gorm"
|
|
)
|
|
|
|
// MigratePlaintext 启动时把历史明文机密一次性加密回写（幂等，可重跑）。
|
|
// 只处理非空且无 enc:v1: 前缀的值；双节点各自执行，密文经节点同步后
|
|
// 在相同 OPSLIC_MASTER_KEY 下均可解密。 // Logan.Li
|
|
func MigratePlaintext(db *gorm.DB) error {
|
|
if !Ready() {
|
|
return fmt.Errorf("secretbox: 主密钥未装载，拒绝执行机密迁移")
|
|
}
|
|
|
|
// payment_gateway_configs: 主键为 gateway(字符串) // Logan.Li
|
|
var gwRows []struct {
|
|
Gateway string
|
|
SecretKey string
|
|
WebhookSecret string
|
|
}
|
|
if err := db.Raw(`SELECT gateway, secret_key, webhook_secret FROM payment_gateway_configs
|
|
WHERE (secret_key <> '' AND secret_key NOT LIKE ?)
|
|
OR (webhook_secret <> '' AND webhook_secret NOT LIKE ?)`, Prefix+"%", Prefix+"%").
|
|
Scan(&gwRows).Error; err != nil {
|
|
return fmt.Errorf("扫描 payment_gateway_configs: %w", err)
|
|
}
|
|
for _, r := range gwRows {
|
|
encSecret, err := Encrypt(r.SecretKey)
|
|
if err != nil {
|
|
return fmt.Errorf("加密 %s.secret_key: %w", r.Gateway, err)
|
|
}
|
|
encWebhook, err := Encrypt(r.WebhookSecret)
|
|
if err != nil {
|
|
return fmt.Errorf("加密 %s.webhook_secret: %w", r.Gateway, err)
|
|
}
|
|
if err := db.Exec(`UPDATE payment_gateway_configs SET secret_key = ?, webhook_secret = ? WHERE gateway = ?`,
|
|
encSecret, encWebhook, r.Gateway).Error; err != nil {
|
|
return fmt.Errorf("回写 %s: %w", r.Gateway, err)
|
|
}
|
|
}
|
|
|
|
// peer_nodes: 主键为 id(整型) // Logan.Li
|
|
var peerRows []struct {
|
|
ID uint
|
|
SharedKey string
|
|
}
|
|
if err := db.Raw(`SELECT id, shared_key FROM peer_nodes
|
|
WHERE shared_key <> '' AND shared_key NOT LIKE ?`, Prefix+"%").
|
|
Scan(&peerRows).Error; err != nil {
|
|
return fmt.Errorf("扫描 peer_nodes: %w", err)
|
|
}
|
|
for _, r := range peerRows {
|
|
enc, err := Encrypt(r.SharedKey)
|
|
if err != nil {
|
|
return fmt.Errorf("加密 peer_nodes.%d: %w", r.ID, err)
|
|
}
|
|
if err := db.Exec(`UPDATE peer_nodes SET shared_key = ? WHERE id = ?`, enc, r.ID).Error; err != nil {
|
|
return fmt.Errorf("回写 peer_nodes.%d: %w", r.ID, err)
|
|
}
|
|
}
|
|
return nil
|
|
}
|