 feeeei
|
c227863d51
|
fix(images): 生图 url 回填下载拒绝私网目的地并只信字节嗅探
账户开关 images_url_to_b64_json 下载的图片 url 来自上游响应，是不可信输入。此前沿用
base_url 的 security.url_allowlist 策略，默认配置下只做格式校验，上游返回
localhost:8080 之类地址时网关会真的去请求内网。
- 下载 URL 主机为 localhost、回环、私网、链路本地、未指定地址的字面量时直接拒绝，
不受 security.url_allowlist 配置影响（urlvalidator 导出 IsBlockedHost）
- 新增 ctx 标记 WithHTTPUpstreamPublicHostsOnly：共享上游客户端对带标记的请求无视配置
校验解析后 IP，并为其克隆客户端挂 redirectChecker，重定向保持跟随但每一跳都校验
- 下载内容改为只信 http.DetectContentType 嗅探结果且限 png/jpeg/webp/gif，
响应头不再作为依据
- 下载失败仍只记日志并保留原样；超时与端口策略不变
|
2026-09-05 15:50:56 +08:00 |
|
|
yangjianboandClaude Opus 4.6
|
fc8a39e0f5
|
test: 删除CI工作流，大幅提升后端单元测试覆盖率至50%+
删除因GitHub计费锁定而失败的CI工作流。
为6个核心Go源文件补充单元测试，全部达到50%以上覆盖率：
- response/response.go: 97.6%
- antigravity/oauth.go: 90.1%
- antigravity/client.go: 88.6% (新增27个HTTP客户端测试)
- geminicli/oauth.go: 91.8%
- service/oauth_service.go: 61.2%
- service/gemini_oauth_service.go: 51.9%
新增/增强8个测试文件，共计5600+行测试代码。
Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>
|
2026-02-09 09:07:58 +08:00 |
|
|
shaw
|
426d691c95
|
fix(urlvalidator): 移除 ValidateURLFormat 返回值的末尾斜杠
修复 API Key 账号 base_url 末尾带斜杠时导致的双斜杠问题
|
2026-01-26 10:21:41 +08:00 |
|
|
yangjianbo
|
048ed061c2
|
fix(安全): 关闭白名单时保留最小校验与默认白名单
实现 allow_insecure_http 并在关闭校验时执行最小格式验证
- 关闭 allowlist 时要求 URL 可解析且 scheme 合规
- 响应头过滤关闭时使用默认白名单策略
- 更新相关文档、示例与测试覆盖
|
2026-01-05 14:41:08 +08:00 |
|