|
|
0d9619e446
|
feat(admin): 导航分组可增 / 可改名 / 可删；初始状态无分组
后台此前只能往已有分组里加服务，分组本身是写死在 conf.yml 里的，
用户无法增删。现在新增「导航分组」卡片：
- POST /admin/api/section 新增（重名 409、空名 400）
- POST /admin/api/section/update 改名/换图标
- DELETE /admin/api/section 删除；非空分组必须 force=1（二次确认），
避免误点一下连带删掉一组服务
「历史访问」分组由 history-server 依据浏览记录重建，改名/删除/手工新建
都会被它覆写回来，所以一律 409 并说明原因 —— 否则用户以为删掉了，
下次同步又"长"回来。
初始状态无分组：conf.example.yml 的 sections 改为空数组，后台在两个位置
给空态提示（「还没有任何分组」/「先创建分组」，并把"添加服务"置灰）。
补上原本缺失的一环：rebuildDashySections() 原先只更新已存在的
「历史访问」分组、从不创建它，新装用户永远看不到历史分组；现在缺了就补建
（完全空配置时不补，保持"初始无分组"）。
测试覆盖：新增/重名/改历史分组/删历史分组/删非空(无 force 拒绝)/force 删除，
以及删除后的分组名列表断言。
|
2026-09-11 19:52:19 +08:00 |
|
|
|
22c405d2a0
|
feat(admin): 新增可内嵌性三态探测 /admin/api/frameable
Dashy 的「工作空间」用 iframe 打开应用，被 X-Frame-Options /
CSP frame-ancestors 拒绝时浏览器只给一片空白，而且 JS 无法区分
「被拒绝」与「加载中」（onload 一样触发）。所以由服务端读响应头。
实测 24 个应用：19 个可内嵌；Gitea(含内网 IP) 与 docker.com 是
SAMEORIGIN，Dify 是 DENY。
三态而非布尔，因为探测本身会失真：
- conclusive=true frameable=false → 有明确拒绝证据（XFO / frame-ancestors）
- conclusive=true frameable=true → 2xx 且无拒绝头
- conclusive=false → 探测被 WAF 拦成 403、或跳到了别的主机
这类不给结论，前端照常尝试内嵌，但在工具条里说明原因并留出新标签页退路。
两个关键细节：
1) 转发浏览器自己的 Cookie。门户后面的应用对未登录请求会 302 到登录页
（登录页没有 X-Frame-Options），不转发会话就会把「重定向到登录页」
误判成「可内嵌」——这是线上真实发生过的误判。
2) 用普通浏览器 UA。自造的 "HomeDash embed check" UA 会被 WAF 当机器人拦成 403。
测试覆盖：无头/有 XFO/有 CSP frame-ancestors/WAF 403/带与不带 Cookie。
|
2026-09-11 19:04:38 +08:00 |
|
|
|
e4967b99ee
|
feat(admin): 备案号可编辑，页脚模板由服务端生成
备案号原来只能写死在 pageInfo.footer 的 HTML 里。现在 /admin/ 站点信息
拆出「ICP 备案号」「公安备案号」两个输入框，页脚 HTML 由服务端
beianFooter() 统一按模板生成（含 html.EscapeString 转义），
自定义页脚 HTML 降级为「高级」折叠项；旧 footer 会被解析回填到字段。
conf.example.yml 里重复的 .navi-search-bar 规则已由 web/navi.css 接管，删除。
|
2026-09-11 16:25:26 +08:00 |
|
