dea722f51c
fix(security): 管理 API 默认拒绝 + 堵住渗透测试报告的 5 个攻击面
...
2026-10-22 渗透测试报告（report.md）实测确认：统一入口的管理 API 在公网
完全未鉴权，可匿名改路由表、拆登录墙、改门户口令、写门户 HTML、读全部
浏览历史、做内网 SSRF 探测。根因有两层，本次一并修复。
## 根因 1：requireAdminToken 默认放行（代码层）
if !requireTokenForWrite { return true }
线上没有 NAVI_ADMIN_REQUIRE_TOKEN，于是所有"调了鉴权"的 handler 实际全部
放行——形同虚设。现在改为 fail-closed：
- 配了 NAVI_ADMIN_TOKEN → 校验 Bearer token
- 未配且显式 NAVI_ADMIN_ALLOW_UNAUTHENTICATED=1 → 放行（仅本机调试）
- 其它 → 401 拒绝
## 根因 2：login 域没有任何 auth_request（部署层）
kind=auth 的 server 块全站 requireLogin=false（它本身就是登录服务，这点
合理），但 location / 把 /api/、/admin/ 原样反代到 127.0.0.1:3005。两层
都没管 → 管理 API 裸奔。
新增 Route.AdminGuard：开启后 server 级挂 auth_request，只白名单放行登录
流程（/_portal/login|logout|verify、/login、/portal-page、favicon），
其余 /api/、/admin/ 一律要求已登录。
## 同时修掉的 4 个具体问题
1. /api/sync-info 明文回显 syncToken → 不再回显，且要求鉴权。
泄露该 token 等于浏览器历史的全读写权。
2. /api/history GET 无鉴权 → 与 DELETE 分支一致，要求管理员令牌。
3. /api/frameable 未鉴权 SSRF → 加鉴权 + 内网/回环黑名单。除 IP 字面量外
还对域名解析结果做校验，防止 localtest.me 之类指向 127.0.0.1 的绕过。
4. dashy 域 bypassPaths 里的 "/api/" 过宽 → 收窄到 "/api/history/"
（本意只放行浏览记录上报，实际把整个管理 API 暴露了）。
## 回归护栏
新增 admin-server/security_test.go（10 条）与 main_test_setup_test.go。
每条断言都是"改回旧行为就会失败"，已用 3 次变异测试验证：
- 恢复默认放行 → TestAdminAPIFailsClosedByDefault FAIL
- sync-info 回显 token → TestSyncInfoDoesNotLeakToken FAIL
- 移除内网黑名单 → TestFrameableBlocksInternalTargets FAIL
- /api/ 豁免认证 → TestAuthKindWithAdminGuardProtectsAPI FAIL
- 不给 server 级 auth → 同上 FAIL
测试 56 项全绿。
## 顺带
searxng-settings.yml：停用 360search / ddgw / wikidata / wikipedia
（各自的实测理由见文件内注释），request_timeout 8.0→4.0。
Dockerfile：给 duckduckgo_web 引擎硬编码的 timeout=2 打补丁（经代理必超时）。
2026-10-22 14:08:06 +08:00
12c07034a0
fix(cert): cert-agent 真实签发验证后修的三处问题
...
在测试容器里用真实凭据跑通了完整签发（staging CA），暴露三个真问题：
## ① CERT_DNS_CRED 没导出成 acme.sh 期望的变量名（致命）
脚本只把凭据解析出插件名 dns_ali，却从没导出 Ali_Key/Ali_Secret。
acme.sh 的 dns_ali.sh 读的是 $Ali_Key/$Ali_Secret，所以 DNS 步骤
报 'Error adding TXT record'，而 ACME 其它步骤全部正常 ——
极易误判成"凭据无效/网络问题"。**stub 测试完全没暴露这个**，
只有真跑才看得见。现改为把 CERT_DNS_CRED 按逗号拆开逐个 export。
## ② 镜像内置 acme.sh，不再运行时下载
installer 内部从 raw.githubusercontent.com 取源码，而该域名境内直连超时
（实测直连 8.2s 失败 / 经 .60:7890 代理 0.53s 成功），
首次启动会静默失败、之后永远起不来。Dockerfile 新增 acmebuild stage
内置 acme.sh v3.1.6，运行时安装降级为兜底。
## ③ 下载重试 + 安装后校验
容器出网偶发 Connection reset by peer（同一 URL 隔几秒即 200），
加了 3 次重试与「安装后确认可执行」，避免半截状态。
## 真实测试证据（staging CA，零正式配额消耗）
TXT 写入 → Verifying → Success → Successfully removed → Cert success；
签出 CN=dashy.jianfgit.xyz（Let's Encrypt YE1，90 天）；
Le_ReloadCmd 已写入 ⇒ 续期后自动 nginx -t && nginx -s reload。
测试环境已清理（含凭据文件），线上 v106 未受影响。
2026-10-04 08:29:35 +08:00
e7578aa607
feat(cert): cert-agent —— 容器内自签自续 HomeDash 自己的证书
...
用户决策：scope=self-only，strategy=full-acme（容器内跑完整 acme.sh）。
## 动机
此前 HomeDash 的证书由外部链路提供（.106 acme.sh → .60 → 云主机），
而容器是**只读**挂载 /etc/nginx/certs（RW=false），续期后没人告诉它的
nginx 重新握手。本 agent 让 HomeDash 自己闭环：签发 → 写数据卷 → reload。
## 实现
- deploy/cert-agent.sh：supervisord 新增 [program:cert-agent]
- 域名从 /app/data/gateway.yml 的 host 提取（或 CERT_DOMAINS 显式指定）
- acme.sh 装进**数据卷** /app/data/acme（容器重建不丢续期状态）
- install-cert 到 /app/data/certs/，--reloadcmd 设为 nginx -t && nginx -s reload
- 续期后比对公钥指纹，变了才 reload（不盲目 reload）
- 未配置 CERT_DNS_CRED 时安静退出，行为与现在完全一致
- 证书目录挂载去掉 :ro（自签需要写；此前只读是刻意的保护）
- zd-host.sh 的 env 白名单加 CERT_ 前缀，否则升级时凭据传不进新容器
- install-host.sh 同步支持 CERT_DNS_CRED，避免两套脚本行为不一致
- 证书路径改为数据卷 /app/data/certs/（gateway.yml 指向它）
## 测试（沙箱 stub，非真实签发）
- 无凭据 → 安静退出、exit 0、不调 acme、不报错
- 有凭据 → 正确从 gateway.yml 提取 2 个域名、识别 dns_ali、
签发参数正确、指纹变化后触发 reload
## 途中修掉自己的两个真 bug
① run_acme 里用 `set -- $DOMAINS` 改函数位置参数，dash 下与后续变量
展开冲突
② LE_RELOAD 是命令串，直接当命令名执行 → "LE_RELOAD: not found"，
容器里 reload 会**静默失效**；改为函数 + eval
## 边界
只管 HomeDash 自己；introduce/sdk.homeagent 等仍走外部链路。
凭据只从环境变量读，不落盘不入库。
2026-10-04 08:02:41 +08:00
7ebebbc3a9
fix(icon): 补 /icons/favicon.ico —— 标签栏无图标的真因
...
上一版只改 index.html 注入 /favicon.svg，实测仍不显示。用 MutationObserver
在真实浏览器里观察到：**Dashy 前端 JS 在运行时把 <link rel=icon> 改写成
/icons/favicon.ico**，服务端注入的标签被它覆盖；而镜像里从来不存在
/icons/ 目录 ⇒ 请求落到 try_files 兜底的 index.html，content-type 是
text/html，浏览器当无效图标忽略（于是表现为「图标消失」）。
静态改 index.html 治不了本，只能把这个路径补上：
Dockerfile 与 zd-host.sh 都 COPY favicon.{ico,svg} 到 /app/dashy/icons/。
已先在 106 上热修（只 cp 不重启，无闪断）恢复显示。
实测：/icons/favicon.ico → 200 image/x-icon，浏览器解码 16x16 成功；
apple-touch-icon 180x180 正常。
2026-10-03 08:43:35 +08:00
e9097e5893
feat(icon): 纸飞机图标（站点 favicon + 扩展各尺寸）
...
站点首页此前显示的是 Dashy 上游的 logo —— index.html 里那几条
<link rel=icon href=/web-icons/favicon-*.png> 优先级高于我们的门户图标，
而扩展的 PNG 是占位图（128px 只有 9 种颜色、alpha 通道还是乱的）。
- portal/favicon.svg：纸飞机（圆角渐变底 + 白色折纸机头朝右上 + 两道尾迹），
几何收在 8..56 安全区，避免贴边被圆角裁切
- 由该 SVG 派生 favicon.ico(16/32/48)、apple-touch-icon(180)、
web-icons/favicon-{16,32,64}、扩展 icon{16,48,96,128}
- patch-index.py：删掉上游 icon link 并显式指向 /favicon.svg（幂等，
重复执行 unchanged）；上游 web-icons 那批也覆盖一份作双保险
- Dockerfile 与 zd-host.sh 都 COPY 这些图标进镜像
- 验证：nginx 沙箱实测 /favicon.svg、/web-icons/*、/apple-touch-icon.png 均 200；
16px 下人眼仍可辨识为纸飞机
- .amo-upload-uuid（web-ext 生成的 UUID）改为忽略
2026-10-03 08:37:54 +08:00
c0cbdb5efc
feat(deploy): 补首装路径，使他人/AI 可照教程从零部署
...
审计发现 5 处断点（3 处硬阻断）：
1. Dockerfile 的 HTTP_PROXY/HTTPS_PROXY 默认指向内网代理 → 他人构建必失败
2. zd-host.sh 是升级脚本（要求已存在 host 模式 navi 容器）→ 新机器第一句过不去
3. docker-compose.yml 是桥接+端口映射，与'统一入口 host 模式'口径冲突
4. 证书文件名约定未文档化（实际来自 gateway.yml 的 certFile/keyFile）
5. 环境变量表不完整、缺 sshpass 依赖说明
本次：
- Dockerfile：代理默认置空，需要时 --build-arg 传入
- deploy/install-host.sh（新）：干净机器首次安装，6 步并在任一步失败即停，
含端口独占检查、证书检查、初始 gateway.yml 生成、apply、四项自检，
令牌可自动生成并只打印一次；已存在 navi 容器时拒绝执行（引导去 zd-host.sh）
- docker-compose.yml：标注为试用形态，指向 install-host.sh
- README：新增「从零部署（干净机器）」——两条路径分工表、前置条件表、
完整环境变量表、证书与初始网关配置说明、装完自检命令；自定义文件表登记新脚本
另修：脚本自检原用 /.navi-ping（该路径已按用户要求删除），改用 /conf.yml。
2026-09-12 09:37:45 +08:00
53beff646a
feat(admin): 现有配置导入 + 添加表单补齐认证/导航开关 + 统一登录账号设置 + 设置分组
...
针对反馈的五个问题：
1. 后台"没有映射"：新增 /admin/api/gateway/import 与界面「从现有 nginx 配置导入」，
把老统一入口的 nginx 配置贴进来即可解析出全部「域名 → 后端」初稿
（含 requireLogin / 免认证路径 / SSE 流式 / 备案注入 / 自签证书 / auth 与 portal 类型）。
解析只读不落盘，确认后才保存；导入默认不接管导航，避免一导入就改掉手工导航。
2. 添加转发时没有导航选项：添加表单补齐「同时加入 Dashy 导航 / 分组 / 名称 / 描述 /
图标 / 自动抓取」。
3. 添加转发时没有 portal 保护选项：添加表单补齐「启用 portal 统一登录保护」，
并补上 WebSocket 透传与上传上限。
4. 设置里无法配置 portal 账号：新增统一登录账号卡片，账号存数据卷
（portal-auth.json，只存加盐哈希），优先级 数据卷 > 环境变量，
改完立即生效、无需重新部署；会话校验按当前用户名，改账号后旧会话失效。
5. 设置项太乱：按用途分组（站点与外观 / 导航内容 / 历史记录 / 转发与统一登录 / 高级），
外观卡片并入站点组。
另修两个本轮引入的缺陷：
- 容器假 unhealthy：内部端口改 18080 后，基础镜像的 HEALTHCHECK 仍指向 8080；
部署脚本生成的 Dockerfile 现在显式覆盖为 :18080/healthz。
- kind=auth 不依赖 portal-auth 容器，指向内置登录服务；避免生成空 proxy_pass。
测试：nginx 配置解析（含兜底段忽略、多域名段、类型判定、默认不接管导航）、
垃圾输入报错、账号存储（不明文、可校验、改名后旧口令失效）、auth 类型生成。
2026-09-11 22:00:09 +08:00
994d93cc98
feat(gateway): 一体化统一入口——路由与 Dashy 导航同一份数据、内置登录、原自定义错误页
...
目标：一个 HomeDash 容器取代 navi + portal-nginx + portal-auth。
- Route 扩展为"反代 + 导航"一条记录：kind(proxy/portal/auth)、streaming、
insecureTls、bypassPaths、injectBeian，以及 navEnabled/navSection/navName/
navDescription/navUrl/navIcon/navAutoIcon
- 保存路由时**同时**写 gateway.yml 与 conf.yml 的导航项（gateway_nav.go）：
同 host 接管而不是重复、未勾选导航的会被清理、无关手工项与系统「历史访问」分组
一律不动；两步任一步失败都回滚（避免后台显示与导航页各说各话）
- 未知域名与上游故障改用**内置自定义 404/500 页面**（portal/ 目录），
不再是一行纯文本；HTTP→HTTPS 跳转段用 RedirectPort 复刻原 3081 设计
- 内置统一登录（auth.go）：HMAC 签名 cookie、恒定时间比较、登录跳转白名单校验，
portal-auth 容器可以退场
- 自动抓图标对托管导航项同样生效（history-server 识别 naviGatewayAutoIcon）
- 后台卡片补齐"加入导航/分组/名称/描述/图标/自动抓图标/服务类型"字段
- 内部入口端口 8080 → 18080：为一体化 host 模式让开宿主机 blog(:8080)
- 修掉上一轮编辑写坏的 deploy/zd.sh 一行（会让脚本直接失败）
测试：新增自定义错误页、portal 类型、导航字段校验、导航同步（接管/清理/保留）、
分组不存在必须报错等用例；admin-server 与 history-server 全绿。
2026-09-11 21:27:40 +08:00
c4b0b8abdf
build: 用 patch-index.py 幂等注入 navi.css/navi.js
...
Dashy 的 index.html 不保证有 </body>，原来 sed 替换 </body> 会静默丢掉注入的
<script>（旧镜像里 script 与 </body> 同行，被整行删除后就没有锚点了），
结果新访客加载不到 navi.js。改为 Python 脚本：先清理旧标签，再在
</head>/</body> 前插入，缺 </body> 时在 </html> 前补回来，可重复执行。
同时 .gitignore 忽略 __pycache__。
2026-09-11 16:25:26 +08:00
0283985094
fix(docker): retry apt-get to tolerate transient proxy 502s
...
构建时遇到 'E: Failed to fetch ... 502 Bad Gateway [IP: 127.0.0.1 7890]'：
经代理拉 Debian 包偶发上游抖动。给三处 apt-get 统一加
Acquire::Retries=5 与 http 超时，避免一次网络抖动就让整个
（含耗时较久的 SearXNG 构建阶段）前功尽弃。
2026-09-11 10:59:33 +08:00
3f1d896db8
fix(docker): create /out before zipping extension packages
...
Go 的 -o 会自动创建父目录，zip 不会，导致 extpack 阶段
'/out/navi-chrome.zip: No such file or directory' 构建失败。
（上一次构建也是失败的：后台通知里的 exit 0 来自命令末尾的 tail，
不是 docker build 的退出码，已改为显式记录 BUILD_EXIT。）
2026-09-11 10:58:20 +08:00
e7ea091e19
fix(history): give history entries real site favicons
...
历史条目的图标原先写死 fas fa-globe，整栏都是地球图标。
- 新增 history-server/favicon.go：后台抓取每个 host 的 favicon 并缓存到
data/item-icons/，命中后 conf.yml 写本地文件名，与手工图标同一套解析。
抓取顺序 <host>/favicon.ico → 首页 <link rel=icon>；3 个 worker，
失败 6 小时后再试；完成后合并触发一次 conf.yml 重建。
- 只缓存 Dashy 能渲染的格式：其 isImage() 白名单是 [svg,png,jpg]，
写 .ico 进去完全渲染不出来。因此 .ico 先抽内嵌 PNG，若是传统 BMP/DIB
编码则解码后转 PNG（Google 这类站点只给老式 .ico）。
- 内网地址用 host:port 区分（不同端口的服务不再共用一个图标），且只直连；
外网站点直连失败时自动复用 SearXNG outgoing.proxies 的代理，
也可用 NAVI_FAVICON_PROXY 覆盖。
- 修掉一个真实缺陷：导航项都没有访问数据时，原来会提前 return 并把
「历史访问」清成只剩安装入口 —— 只浏览站外站点时真实历史会整个消失。
现在只冻结「常用服务」，历史照常生成。
- Dockerfile 去掉 # syntax=docker/dockerfile:1：该指令会让 BuildKit 去 pull
docker/dockerfile 前端镜像，无外网环境直接构建失败；本文件未用 BuildKit 语法。
实测：6/6 站点（含 google.com 的 DIB 型 ico、github.com、docker.com、
news.ycombinator.com 与两个内网服务）均得到真实图标，页面 naturalWidth>0。
2026-09-11 10:55:00 +08:00
ff0e6418f8
feat(nav): auto-detect browser extension and offer one-click install
...
导航页现在会自动检测浏览历史插件是否已安装：
- 扩展在用户配置的服务地址上动态注册 content script
（Chrome: chrome.scripting.registerContentScripts，
Firefox: browser.contentScripts.register），
于 document_start 给 <html> 打上 data-navi-ext 标记，
不在其他站点运行。
- history-server 始终把「安装浏览历史插件」放在「历史访问」第一条
（入口 url=/extension/install.html），启动时也会重建一次，
不再需要等下一次同步。
- web/navi.js 读到标记后隐藏该入口（连 .item-wrapper 一起隐藏，
避免留下空网格位）。
- 新增 /extension/install.html：自动识别浏览器，给出对应安装包与步骤；
支持在 data 卷放 extension-store.json 配置商店链接，
有商店链接时显示真正的「一键安装」。
- 段落名匹配同时兼容中英文（常用服务/Favorites、历史访问/History），
修掉了公开示例 conf.yml 用英文名时重建逻辑完全失效的问题。
- 扩展升到 1.1.0（新增 scripting 权限与 detect.js）。
Note: Chrome/Edge 不允许从网站直接安装非商店扩展，
因此自托管场景下只能下载后手动加载；发布到商店后才会出现一键安装。
2026-09-11 10:41:10 +08:00
5d4cd64b30
fix: restore working Dockerfile (SearXNG pip install + msgspec + --no-build-isolation)
2026-09-09 10:22:10 +08:00
0fe13fc90b
feat: unified nav portal - Dashy + SearXNG + history sync + admin UI + browser extensions
...
- Single Docker container with nginx reverse proxy
- SearXNG search proxy with configurable proxy support
- Browser extensions (Chrome MV3 + Firefox MV2) with SSE-style history sync
- Admin WebUI for managing navigation items
- Full deployment tutorial including auth reverse proxy and webui4frpc tunnel
- Sanitized conf.yml for public distribution
- Fixed SearXNG search trailing-slash issue via nginx rewrite
- Fixed SearXNG proxy configuration for China network access
- Fixed SearXNG engine loading (removed broken keep_only, use default_settings)
2026-09-09 09:52:33 +08:00
7e49d2b51c
feat: HomeDash - unified self-hosted navigation portal
...
Single-container navigation service combining:
- Dashy dashboard + SearXNG metasearch + history sync API + admin WebUI
- Go services for history/admin APIs, nginx as unified entry
- Browser extensions (Chrome MV3 / Firefox MV2) with 30s batched sync
- Production guide: portal-nginx unified auth reverse proxy + webui4frpc/frp tunnel
- Fully sanitized (no internal IPs/domains/credentials)
2026-09-08 22:25:00 +08:00
