HomeDash

Files

JianFeeeee 5562d584d3 fix(gateway): https 上游不再无条件关闭证书校验

审计第 2 条：writeProxyLocation（主 location / bypass 段）与 writeRouteServer
的 favicon 段原本都是

    if r.InsecureTLS || strings.HasPrefix(strings.ToLower(upstream), "https://") {
        proxy_ssl_verify off;
    }

即「只要上游是 https 就关掉上游证书校验」，对所有 https 上游一律不验签 ——
中间人可冒充任意 https 后端，用户提交的凭据与 cookie 全部可截。

现在条件收敛为 `r.InsecureTLS && isHTTPSUpstream(upstream)`：
「上游是 https」不再是关闭校验的理由，只有**显式勾选 insecureTls** 的路由
才会输出 proxy_ssl_verify off。两处（writeProxyLocation 用 r.Upstream、
favicon 段用局部变量 up）都改到了，并抽出 isHTTPSUpstream 消除重复判断。

⚠️ 运维需知的行为变化（有意为之，不要偷偷改回去）：
- 普通 https 上游现在走 nginx 默认：**校验上游证书**，使用系统 CA 库。
  公共 CA（Let's Encrypt 等）签发的上游不受影响，无需任何配置。
- 仓库内没有 proxy_ssl_trusted_certificate 的配置，因此**自签证书的上游现在会 502**。
  这是预期的 fail-closed 结果：要接自签上游，请在该路由上显式勾选 insecureTls
  （等价于确认「我知道这条链路不验签」）。
- http 上游行为不变（本来就不会有 TLS 握手）；本次也顺带保证不会给它写这行噪声配置。

测试（admin-server/gateway_tls_verify_test.go，沿用 gateway_test.go 的
RenderGatewayConf + section 取值风格）：
1. https 上游 + InsecureTLS=false → 主 location 不含 proxy_ssl_verify off；
2. https 上游 + InsecureTLS=true  → 含；
3. http 上游（两种情况）→ 都不含；
4. favicon 段（location = /favicon.ico 与 /favicon.svg）逐条断言 1/2 两种行为，
   防止只改主 location 漏掉 favicon 段；
5. 计数断言：整份配置里 proxy_ssl_verify off 的出现次数 == 勾了 insecureTls 的
   https 路由贡献的 location 数（主/bypass + 2 个 favicon），兜住别处同类短路；
6. 源码护栏：不得再出现两种旧写法，且注释必须保留「自签默认 502 是预期」的说明。

反向验证：把两处判断改回 `|| https://` 后，1/3/4/5/6 全部报红（详见
`go test -run 'TestHTTPSUpstream|TestHTTPUpstream|TestFaviconPassthrough|TestSSLVerifyOff|TestInsecureTLSBehaviour'`），
计数用例给出 13 次 vs 期望 7 次；恢复后全绿。

2026-10-22 23:14:32 +08:00

auth_test.go

…

auth.go

feat(icon): 补齐 PWA / 错误页 / 登录页图标

2026-10-03 08:45:47 +08:00

gateway_import_test.go

…

gateway_import.go

…

gateway_nav.go

…