Logan.Li
1c50d565eb
CI / backend (push) Waiting to run
三项 P0 安全修复:
1. Webhook 验签 fail-closed
- WaffoWebhook 未配置验签材料时从「告警放行」改为 503 拒绝,
封死伪造 order.completed 结算订单的路径
- 通用 PaymentWebhook 从「仅 release 拒绝」收紧为默认拒绝,
仅显式 ALLOW_UNVERIFIED_WEBHOOK=1(本地调试)放行
2. 机密字段信封加密(新增 internal/secretbox)
- AES-256-GCM,主密钥 OPSLIC_MASTER_KEY(64 位 hex),密文带
enc:v1: 前缀;Encrypt 幂等、历史明文原样放行
- PaymentGatewayConfig.SecretKey/WebhookSecret 与 PeerNode.
SharedKey 挂 GORM 钩子透明加解密,业务代码零改动;SharedKey
列宽 128→512(密文更长)
- 启动 fail-fast 校验主密钥;MigratePlaintext 幂等迁移存量明文;
节点同步只含业务表,机密表为节点本地,互不影响
- docker-compose/.env.example 补 OPSLIC_MASTER_KEY 与说明
3. 限流信任代理修正
- 默认 SetTrustedProxies(nil) 不信任任何 X-Forwarded-For,
封死伪造 XFF 轮换 IP 绕过按 IP 限流;反代节点用
TRUSTED_PROXIES 指定内网 CIDR,非法配置拒绝启动
验证:go build/vet/test 全绿(含 secretbox 6 条单测);
读取路径(Waffo 私钥/webhook 密钥/互联密钥)确认全走 GORM 钩子。
部署注意:上线须配置 OPSLIC_MASTER_KEY(双节点一致)与
WAFFO_WEBHOOK_PUBLIC_KEY(未配则回调 503,属预期);香港反代
节点配 TRUSTED_PROXIES。
67 lines
2.0 KiB
YAML
67 lines
2.0 KiB
YAML
# opsx-licence Docker 部署（单容器：管理后台 + /api）
|
|
# 用法:
|
|
# cp .env.example .env # 填 JWT / Waffo
|
|
# docker compose up -d --build
|
|
# # 或旧版: docker-compose up -d --build
|
|
# 署名 Logan.Li
|
|
|
|
services:
|
|
opsx-licence:
|
|
image: opsx-licence:${VERSION:-latest}
|
|
build:
|
|
context: .
|
|
dockerfile: Dockerfile
|
|
container_name: opsx-licence
|
|
restart: unless-stopped
|
|
ports:
|
|
- "${HOST_PORT:-9001}:9001"
|
|
env_file:
|
|
- .env
|
|
environment:
|
|
TZ: Asia/Shanghai
|
|
PORT: "9001"
|
|
GIN_MODE: ${GIN_MODE:-release}
|
|
DB_DRIVER: sqlite
|
|
DB_NAME: /data/db.sqlite3
|
|
# 机密字段信封加密主密钥（64 位 hex=32 字节）：双节点必须一致；缺失则启动失败 // Logan.Li
|
|
OPSLIC_MASTER_KEY: ${OPSLIC_MASTER_KEY:-}
|
|
# 经 nginx 反代的节点填其内网 CIDR（逗号分隔）；直连节点留空=不信任任何代理头 // Logan.Li
|
|
TRUSTED_PROXIES: ${TRUSTED_PROXIES:-}
|
|
volumes:
|
|
- licence_data:/data
|
|
healthcheck:
|
|
test: ["CMD", "curl", "-fsS", "http://127.0.0.1:9001/readyz"]
|
|
interval: 15s
|
|
timeout: 3s
|
|
retries: 5
|
|
start_period: 15s
|
|
|
|
# SQLite 每日备份 sidecar（保留最近 7 份） // Logan.Li
|
|
backup:
|
|
image: alpine:3.20
|
|
container_name: opsx-licence-backup
|
|
restart: unless-stopped
|
|
volumes:
|
|
- licence_data:/data:ro
|
|
- ./backups:/backups
|
|
entrypoint: ["/bin/sh", "-c"]
|
|
command:
|
|
- |
|
|
apk add --no-cache sqlite >/dev/null 2>&1 || true
|
|
while true; do
|
|
ts=$$(date +%Y%m%d-%H%M%S)
|
|
if [ -f /data/db.sqlite3 ]; then
|
|
if command -v sqlite3 >/dev/null 2>&1; then
|
|
sqlite3 /data/db.sqlite3 ".backup '/backups/db-$$ts.sqlite3'"
|
|
else
|
|
cp /data/db.sqlite3 /backups/db-$$ts.sqlite3
|
|
fi
|
|
ls -t /backups/db-*.sqlite3 2>/dev/null | tail -n +8 | xargs -r rm -f
|
|
echo "[backup] done $$ts"
|
|
fi
|
|
sleep 86400
|
|
done
|
|
|
|
volumes:
|
|
licence_data:
|