@inventec/dsh-onetree-log 0.1.1 → 0.1.2

package/README.md

@@ -27,8 +27,9 @@ AMI MegaRAC OneTree 一键日志（OpenBMC dreport dump）上传与分析框架
 
 ## 安全
 
-- 解包三防：zip-slip（绝对路径/`..`/NUL）、符号链接与硬链接条目直接拒绝、
-  单文件 1GiB / 总量 2GiB / 条目 20k 上限
+- 解包三防：zip-slip（绝对路径/`..`/NUL）、符号链接与硬链接条目直接拒绝
+  （tar 路径解析期拒绝；zip 路径经系统工具解包后置扫描，发现符号链接
+  清除并整体拒绝）、单文件 1GiB / 总量 2GiB / 条目 20k 上限
 - 文件预览路径二次校验（resolveFile 拒绝逃逸）
 - 信任围栏与 dsh-obmc-web 同款：Host 须 loopback 或部署信任域、
   Sec-Fetch-Site 不得 cross-site、Origin 须同 Host 主机名

package/lib/extract.js

@@ -7,7 +7,8 @@
  *   - `.tar.zst` / `.tzst`：Node ≥22.15 的 zlib zstd 流；无原生支持时回退系统 `zstd -dc`
  *   - `.zip`：系统 `unzip`（回退 `tar`），先列目校验再解压（execFile，无 shell）
  *
- * 防护：zip-slip（绝对路径 / `..` / NUL）、符号链接与硬链接直接拒绝、
+ * 防护：zip-slip（绝对路径 / `..` / NUL）、符号链接与硬链接直接拒绝
+ * （tar 路径解析期拒绝；zip 路径经系统工具解包后置扫描拒绝）、
  * 单文件 1GiB / 总量 2GiB / 条目数 20k 上限，超限立即中止并抛错。
  */
 import fs from 'node:fs'
@@ -249,6 +250,43 @@ function assertSafeEntryNames(listing) {
   }
 }
 
+// zip 交给系统工具解包，解包前只能拿到条目名（unzip -Z1 / tar -tf），
+// 链接属性不可见。落盘后置扫描兜底（2026-09-28 审计修复）：zip 内符号
+// 链接条目会被系统工具落成真实符号链接，若不拒绝，previewFile 的
+// statSync/readSync 会跟链读出 destDir 之外的文件——与 tar 路径
+// 「链接条目直接拒绝」同语义。返回相对路径列表，非空即整体拒绝。
+function scanSymlinkEntries(root) {
+  const found = []
+  const stack = [root]
+  while (stack.length > 0 && found.length < 16) {
+    const dir = stack.pop()
+    let entries
+    try {
+      entries = fs.readdirSync(dir, { withFileTypes: true })
+    } catch {
+      continue // 竞态/权限：读取失败的分支不再深挖
+    }
+    for (const entry of entries) {
+      const full = path.join(dir, entry.name)
+      if (entry.isSymbolicLink()) {
+        found.push(path.relative(root, full) || entry.name)
+        continue
+      }
+      if (entry.isDirectory()) stack.push(full)
+    }
+  }
+  return found
+}
+
+function rejectZipLinkEntries(destDir) {
+  const links = scanSymlinkEntries(destDir)
+  if (links.length === 0) return
+  for (const rel of links) {
+    try { fs.unlinkSync(path.join(destDir, rel)) } catch { /* 尽力清理，不影响拒绝语义 */ }
+  }
+  throw new Error(`检测到链接条目（符号链接），已拒绝: ${links.join(', ')}`)
+}
+
 async function extractZip(archivePath, destDir) {
   fs.mkdirSync(destDir, { recursive: true })
   let listing
@@ -262,10 +300,12 @@ async function extractZip(archivePath, destDir) {
     }
     assertSafeEntryNames(listing)
     await execFilePromise('tar', ['-xf', archivePath, '-C', destDir])
+    rejectZipLinkEntries(destDir)
     return
   }
   assertSafeEntryNames(listing)
   await execFilePromise('unzip', ['-o', '-q', archivePath, '-d', destDir])
+  rejectZipLinkEntries(destDir)
 }
 
 // ── 入口 ─────────────────────────────────────────────────────────────────

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@inventec/dsh-onetree-log",
-  "version": "0.1.1",
+  "version": "0.1.2",
   "description": "AMI MegaRAC OneTree 一键日志（OpenBMC dreport dump）上传与分析框架：设置面板「OneTree 日志」上传压缩包或登记服务器本地路径，安全解包、自动探测 dump 根、文件清单分类，为第二阶段逐域解析提供内核。",
   "type": "module",
   "main": "./lib/index.js",