mirror of
https://github.com/Wei-Shaw/sub2api.git
synced 2026-10-14 12:02:27 +08:00
shaw
bc3acd6e28
对 #4814 的审计跟进修复： - 域名尾随点绕过：user@gmail.com. 的域名不在 gmail 家族名单内，点号折叠与 googlemail 归一被整体跳过，别名刷号原样可复现。归一化入口统一去掉 FQDN 根点。 - 误拒合法用户：剥 "+后缀" 缺空串守卫，+alice@ 与 +bob@ 都折叠成 @domain， 该域后续 "+x@" 注册会永久 EMAIL_EXISTS 且无自助恢复。改为仅当 "+" 不在首位时剥离。 - 无界不可索引全表扫描：原实现按 LOWER(email) LIKE '%@domain' 把整域邮箱读进内存， 且挂在公开未鉴权的 send-verify-code 上。改为按去点邮箱 REPLACE(LOWER(TRIM(email)), '.', '') 做等值 + "local+%@domain" 前缀探针并带 LIMIT， 新增同表达式的部分索引（migrations/190）。TRIM 口径与既有精确匹配一致， 历史带首尾空白的行同样命中；LIKE 元字符转义，% 与 _ 不会扩大匹配面。 - 并发竞态：注册改走 CreateWithEmailAliasGuard，在邮箱唯一性锁上追加收件箱身份锁并在 锁内复查，避免同一收件箱的多个别名变体同时通过服务层前置查重。管理员建号仍走 Create，不受别名限制。 - 能力断言静默 fail-open：别名查重方法上提到 UserRepository 端口（编译期强制）， 移除可选接口类型断言与静默降级分支。 - OAuth 邮箱注册的两条建号路径（同样发放注册赠额）纳入同一查重口径；邮箱换绑/绑定 不纳入，否则用户把邮箱改成自己收件箱的别名会被误拒。