shaw
017f6bbd5e
fix(gateway): 收紧上游 URL 路径片段校验
网关有若干位置会把客户端可控的字符串拼进上游请求的 URL path（Responses
子路径、Gemini 模型名）。此前这些字符串未经校验直接参与拼接，可能改变上游
请求的路径结构，使实际发出的请求与客户端意图不一致。
- 新增 internal/service/upstream_path_guard.go：路径片段闭集允许清单
（\w + `-` + `.`），拒绝空片段、纯点片段、超长片段与过深后缀
- /responses/*subpath 三条路由入口新增守卫，不可转发的子路径直接 404；
service 层同时保证不产出不合规后缀，拼接函数再兜底一层
- Gemini AI Studio 原先 5 处重复的 URL 拼接收敛为唯一构造点
buildGeminiAIStudioModelActionURL（校验模型片段 + action 白名单）
- Gemini native / GetModel handler 增加入口校验；ForwardAIStudioGET 逐片段校验
- Grok video 端点的 request_id 增加片段合规校验
合法子路径（/compact、/compact/detail、/{id}/cancel 形态）与既有模型名行为
不变，通配路由保留。
2026-07-31 16:11:45 +08:00
..
2026-07-01 11:32:22 +08:00
2026-07-27 15:20:03 +00:00
2026-07-27 08:19:19 +08:00
2026-07-26 19:20:11 +08:00
2026-07-23 09:20:18 +08:00
2026-02-28 15:01:20 +08:00
2026-05-20 09:28:46 +08:00
2026-05-20 09:28:46 +08:00
2026-02-05 20:17:53 +08:00
2026-07-14 01:29:30 +08:00
2026-07-09 11:15:52 +08:00
2026-07-20 00:08:36 +08:00
2026-07-18 00:11:18 +08:00
2026-03-28 00:55:55 +08:00
2026-07-23 13:44:15 +08:00
2026-05-14 11:46:24 +08:00
2026-07-13 11:35:46 +08:00
2026-03-02 16:04:20 +08:00
2026-03-02 16:04:20 +08:00
2026-03-16 20:22:10 +08:00
2026-07-15 00:23:27 +08:00
2026-01-04 19:28:20 +08:00
2026-07-02 16:11:07 +08:00
2026-07-16 09:51:41 +08:00
2026-07-26 00:53:13 +08:00
2026-04-14 12:19:44 +08:00
2026-07-31 16:11:45 +08:00