JianFeeeee
857ec074aa
fix(history): 鉴权改为 fail-closed，未配置 token 时拒绝一切请求
审计发现的方式与 admin-server 同源：requireToken 在 expected 为空时
直接 return true，等于「没配 NAVI_SYNC_TOKEN / NAVI_ADMIN_TOKEN 就没有
任何鉴权」。nginx 的 location /api/history/ 没有 auth_request，线上因此
可匿名读取全量浏览历史、DELETE 清空、逐条删除。
改法与 admin-server 的 requireAdminToken 保持同一套语义（不另起风格）：
- 配了 token → 必须带对的 Bearer token
- 未配 token → 401 + JSON {"error":...}，并在日志打出
「未配置，已按 fail-closed 拒绝请求」的可诊断信息（只报事实，不打印 token 值，
且按 key 去重避免刷日志）
- 只有显式 NAVI_HISTORY_ALLOW_UNAUTHENTICATED=1（1/true/yes/on）才放行，
专用于本机调试，并会打警告日志
顺带收掉同一文件里等价的鉴权短路：新增 requireAdminToken 统一管理类入口
（DELETE / 清空、/item 逐条删除、/rebuild 重建）。它不再把「adminToken 为空」
当成免校验的短路：adminToken 优先，未配置但配了 syncToken 时接受 syncToken
（兼容旧部署，插件本来就用它写入），两者都没有则回到 requireToken 的
fail-closed 分支。
测试（history-server/auth_test.go）覆盖：
- 未配置 token → 401 且不写入任何数据，诊断日志含「未配置/拒绝」且不含 token 值
- 配置了 token：无头/错误 token/缺 Bearer 前缀 → 401；正确 token → 放行
- requireAdminToken 三种配置组合的判定顺序
- 显式放开开关可用但有警告
- 源码静态护栏：不得残留「未配置 token 则不校验」
反向验证过：把 requireToken 改回 fail-open 后，上述用例全部 FAIL。
2026-10-22 23:08:32 +08:00
..
2026-10-22 23:08:32 +08:00
2026-10-02 11:24:55 +08:00
2026-10-02 11:24:55 +08:00
2026-09-13 09:02:50 +08:00
2026-10-02 11:24:55 +08:00
2026-10-22 23:08:32 +08:00
2026-10-02 11:24:55 +08:00