wushenghua/sub2api
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
6,115 Commits 1 Branch 0 Tags
3e45d4e030d3e737407baaed6bac48ef8e26bb10
Commit Graph
12 Commits
Author SHA1 Message Date
shaw fead4c7ec3 feat(security): add panel API rate limiting to protect DB from high-frequency requests 
用户可高频刷面板接口（usage/dashboard 等重聚合查询）直接打爆数据库：
现有限流器只覆盖登录/注册等公开认证入口，登录后的全部面板端点无任何限流。

三层防护（阈值均可在后台可视化配置，panel_rate_limit_settings）：

1. 认证面板接口按「用户 ID」限流，与来源 IP 无关——反向代理/NAT 共享出口
   （所有请求源地址坍缩为 127.0.0.1 等）不会互相误伤：
   - Global 档（默认 240 rpm/账号）：user/auth/payment/admin 全部登录后路由
   - Heavy 档（默认 60 rpm/账号）：/usage、/usage/dashboard/*、
     /user/api-keys/:id/usage/daily 等重 SQL 聚合端点叠加计数
   - 管理员默认豁免（可关闭）

2. 无认证公开接口（/api/v1/settings/*，每次请求都查 DB）按安全客户端 IP
   限流（默认 300 rpm/IP）；回环/私网/链路本地地址（反代内部转发地址）
   一律跳过计数，杜绝把整条反代链路合并进同一个桶造成大面积误拦截。

3. 修复既有隐患：auth 入口限流的 IP 取值从 c.ClientIP() 切换到与审计日志/
   会话绑定/API Key ACL 同源的安全客户端 IP 解析（尊重后台「信任反代转发
   IP」开关快照）。原实现下默认反代部署（未配置 server.trusted_proxies）
   所有用户共享同一个登录限流桶，既会全员误拦也可被单人恶意占满形成登录
   DoS；开关关闭时行为与原来完全一致。

工程约束：
- 配置热路径走进程内缓存（atomic.Value + singleflight，60s TTL），
  限流中间件零 DB 访问；保存后当前节点立即生效
- 面板限流 Redis 故障 fail-open（auth 入口保持原有 fail-close）
- 429 响应携带 Retry-After；错误码 RATE_LIMITED
- 支付 webhook / 公开支付回调有意不挂限流
- 新增 GET/PUT /api/v1/admin/settings/panel-rate-limit；设置页安全 tab
  新增「面板接口限流」卡片（zh/en i18n 全量）

测试：rate_limiter/panel_rate_limit/setting_panel_rate_limit 单测全绿；
routes、handler/admin、-tags unit 契约测试通过；前端 vue-tsc/ESLint/
SettingsView spec（26/26，含新增交互用例）/i18n 守卫全部通过。
 2026-07-27 15:12:51 +08:00
yangjianboandClaude Opus 4.6 bb5a5dd65e test: 完善自动化测试体系（7个模块，73个任务） 
系统性地修复、补充和强化项目的自动化测试能力：

1. 测试基础设施修复
   - 修复 stubConcurrencyCache 缺失方法和构造函数参数不匹配
   - 创建 testutil 共享包（stubs.go, fixtures.go, httptest.go）
   - 为所有 Stub 添加编译期接口断言

2. 中间件测试补充
   - 新增 JWT 认证中间件测试（有效/过期/篡改/缺失 Token）
   - 补充 rate_limiter 和 recovery 中间件测试场景

3. 网关核心路径测试
   - 新增账户选择、等待队列、流式响应、并发控制、计费、Claude Code 检测测试
   - 覆盖负载均衡、粘性会话、SSE 转发、槽位管理等关键逻辑

4. 前端测试体系（11个新测试文件，163个测试用例）
   - Pinia stores: auth, app, subscriptions
   - API client: 请求拦截器、响应拦截器、401 刷新
   - Router guards: 认证重定向、管理员权限、简易模式限制
   - Composables: useForm, useTableLoader, useClipboard
   - Components: LoginForm, ApiKeyCreate, Dashboard

5. CI/CD 流水线重构
   - 重构 backend-ci.yml 为统一的 ci.yml
   - 前后端 4 个并行 Job + Postgres/Redis services
   - Race 检测、覆盖率收集与门禁、Docker 构建验证

6. E2E 自动化测试
   - e2e-test.sh 自动化脚本（Docker 启动→健康检查→测试→清理）
   - 用户注册→登录→API Key→网关调用完整链路测试
   - Mock 模式和 API Key 脱敏支持

7. 修复预存问题
   - tlsfingerprint dialer_test.go 缺失 build tag 导致集成测试编译冲突

Co-Authored-By: Claude Opus 4.6 <noreply@anthropic.com>
 2026-02-08 12:05:39 +08:00
yangjianbo fb839ae6ca fix(软删除): 修复删除钩子调用链并跳过无Docker测试 
软删除钩子改用 next.Mutate 处理更新，避免 mutation 类型不匹配
集成测试检测 Docker 可用性，无 Docker 自动跳过
 2026-01-18 16:10:54 +08:00
yangjianbo 9c02ab789d fix(rate_limiter): 更新速率限制逻辑，支持返回修复状态 2026-01-12 14:42:58 +08:00
yangjianbo 18b8bd43ad fix(限流): 原子化 Redis 限流并支持故障策略 
使用 Lua 脚本原子设置计数与过期，修复 TTL 缺失\n支持 fail-open/fail-close 并对优惠码验证启用 fail-close\n新增单元与集成测试覆盖关键分支\n\n测试：go test ./...
 2026-01-11 22:21:05 +08:00
long d2fc14fb97 feat: 实现注册优惠码功能 
- 支持创建/编辑/删除优惠码，设置赠送金额和使用限制
  - 注册页面实时验证优惠码并显示赠送金额
  - 支持 URL 参数自动填充 (?promo=CODE)
  - 添加优惠码验证接口速率限制
  - 使用数据库行锁防止并发超限
  - 新增后台优惠码管理页面，支持复制注册链接
 2026-01-10 13:14:35 +08:00
Forest 57fd172287 refactor: 调整 server 目录结构 2025-12-26 10:42:35 +08:00
NepetaLemonandGitHub 8d7a497553 refactor: 自定义业务错误 (#33) 
* refactor: 自定义业务错误

* refactor: 隐藏服务器错误与统一 panic 响应
 2025-12-26 08:47:00 +08:00
Forest eeaff85e47 refactor: 自定义业务错误 2025-12-25 21:06:40 +08:00
Forest 836c4dda2b refactor: 重命名 go module 2025-12-24 21:07:21 +08:00
shaw 587012396b feat: 支持创建管理员APIKEY 2025-12-20 15:11:43 +08:00
shaw 642842c29e First commit 2025-12-18 13:50:39 +08:00