|
|
b99319b38b
|
chore(sanitize): 备案号与域名一律可配置，仓库不再预置真实域名/备案号/内网地址
用户要求：备案号与域名都应当可配置，仓库内容要脱敏。
功能（不只是替换字面量）：
- 被代理页面注入的备案号改为读后台「站点信息」的 icp/gongan，**未配置就不注入**；
原先写死具体备案号，等于每个部署者都会把别人的备案信息印到自己页面上
- 注入内容做 nginx 安全处理（去引号/反斜杠/换行/美元符），并有测试覆盖
- auth.go：PORTAL_COOKIE_DOMAIN / PORTAL_HOME_URL 不再预置域名，
cookie 默认 host-only、首页默认相对路径 "/"
- gateway.go：默认 loginUrl 不再预置域名（受保护路由缺配置会明确报错，不静默生成跳不出去的登录页）
- 首装脚本在给了 NAVI_DOMAIN 时自动注入 PORTAL_COOKIE_DOMAIN/PORTAL_HOME_URL，
避免"去掉写死默认值"导致跨子域单点登录失效
脱敏：内网 IP（10.0.0.10）与真实备案号清零；真实域名仅剩门户页内容 8 处（待定）；
测试夹具/示例/错误页/脚本/后台占位提示全部通用化。
README：新增「跨子域单点登录需要的两个环境变量」；环境变量表改为 NAVI_HOST 必填。
测试：新增备案号注入三条（用配置、未配置不注入、危险字符清理）。
|
2026-09-12 10:10:52 +08:00 |
|
|
|
b01e49de49
|
fix(gateway): http→https 跳转是否带端口改为显式开关（避免生产回归）
练兵发现：跳转写成 return 302 https://$host$request_uri（不带端口），
非 443 端口的新装会跳到 443 打不开。
但直接用'端口 != 443 就带端口'推导会把生产弄坏：生产容器监听 3080，
对外经 frp 映射为 443，带端口会把公网用户导向 https://host:3080。
因此新增 gateway.yml 字段 redirectWithPort（默认 false，行为不变）：
- 默认：跳 https://host（前置 frp/443 的部署，含现生产）
- 全新安装且对外端口=入口端口：install-host.sh 自动置 true
测试补两条：开关为真时带端口、默认（生产形态）不带端口。
|
2026-09-12 09:52:20 +08:00 |
|
|
|
9612352bd1
|
fix(deploy): 首装 gateway.yml 字段名大小写错误导致 TLS 被静默忽略
TLS 练兵抓到（脚本自检 + 独立核对全挂，端口在监听但握手失败）：
生成的配置里三个 listen 13080 都没有 ssl、且没有 ssl_certificate，
说明 ListenHTTPS 一直是 false。
根因：GatewayConfig 的 yaml 标签是 listenHttps / listenTlsPort / authUrl /
loginUrl（大小写敏感），而脚本写的是 listenHTTPS / listenTLSPort / authURL /
loginURL → 被 YAML 静默忽略。后果严重：HTTPS 端口实际是明文，而跳转端口
又 302 到该端口，浏览器必然报错；authUrl/loginUrl 丢失还会让受保护路由
报'未配置认证地址'。
修复：字段名对齐 + apply 后断言 TLS=1 时配置必须含 ssl_certificate（失败即停），
避免同类字段名错误再次静默通过。
|
2026-09-12 09:46:18 +08:00 |
|
|
|
fe5ddf274b
|
feat(deploy): 首装脚本补 TLS 自检（跳转端口 302 / HTTP2 协商 / 证书可读）
TLS 是有证书用户的主路径，之前只在生产手工验过、脚本没覆盖。补上后
NAVI_TLS=1 的首装会自己验证：http 跳转端口是否 302 到 https、入口能否
协商 HTTP/2（对应曾踩过的 listen … ssl http2 写法）、证书是否能读出主题。
|
2026-09-12 09:45:13 +08:00 |
|
|
|
965c9cb41a
|
fix(deploy): code_of 定义提到等待循环之前（自检退出码 127）
第二次练兵：路由表路径修复生效（apply routes: 2），但因等待监听的循环
调用了尚未定义的 code_of，脚本以 127 退出。把函数定义移到首次调用之前。
|
2026-09-12 09:41:01 +08:00 |
|
|
|
158217103d
|
fix(deploy): 首装路由表路径写错（静默零路由）+ apply 空表安全阀
真实练兵（干净数据目录跑 install-host.sh）抓到：
1. 路由表源文件被写到 <数据卷>/gateway/gateway.yml，容器实际读取 <数据卷>/gateway.yml
→ apply 报 routes: 0，用户自备/生成的初始路由被静默忽略
2. 自检在 apply 后立即探测，nginx 还没 reload 完 → 误判连接失败；
code_of 失败时重复输出 000
3. 缺安全阀：路由表为空时 apply 会照常生成零路由配置并覆盖，
等于静默清空入口路由表
修复：
- install-host.sh 改写 <数据卷>/gateway.yml（并注释说明两个目录的区别）
- 自检前轮询等待入口监听就绪（最多 10s），code_of 只在成功时输出状态码
- handleGatewayApply 增加安全阀：路由表为空但现有配置含 server_name → 400 拒绝覆盖
- 新增测试 TestApplyRefusesEmptyRoutesOverExisting
|
2026-09-12 09:40:36 +08:00 |
|
|
|
c0cbdb5efc
|
feat(deploy): 补首装路径，使他人/AI 可照教程从零部署
审计发现 5 处断点（3 处硬阻断）：
1. Dockerfile 的 HTTP_PROXY/HTTPS_PROXY 默认指向内网代理 → 他人构建必失败
2. zd-host.sh 是升级脚本（要求已存在 host 模式 navi 容器）→ 新机器第一句过不去
3. docker-compose.yml 是桥接+端口映射，与'统一入口 host 模式'口径冲突
4. 证书文件名约定未文档化（实际来自 gateway.yml 的 certFile/keyFile）
5. 环境变量表不完整、缺 sshpass 依赖说明
本次：
- Dockerfile：代理默认置空，需要时 --build-arg 传入
- deploy/install-host.sh（新）：干净机器首次安装，6 步并在任一步失败即停，
含端口独占检查、证书检查、初始 gateway.yml 生成、apply、四项自检，
令牌可自动生成并只打印一次；已存在 navi 容器时拒绝执行（引导去 zd-host.sh）
- docker-compose.yml：标注为试用形态，指向 install-host.sh
- README：新增「从零部署（干净机器）」——两条路径分工表、前置条件表、
完整环境变量表、证书与初始网关配置说明、装完自检命令；自定义文件表登记新脚本
另修：脚本自检原用 /.navi-ping（该路径已按用户要求删除），改用 /conf.yml。
|
2026-09-12 09:37:45 +08:00 |
|
