@inventec/dsh-onetree-log 0.1.1 → 0.1.3

package/README.md

@@ -27,8 +27,9 @@ AMI MegaRAC OneTree 一键日志（OpenBMC dreport dump）上传与分析框架
 
 ## 安全
 
-- 解包三防：zip-slip（绝对路径/`..`/NUL）、符号链接与硬链接条目直接拒绝、
-  单文件 1GiB / 总量 2GiB / 条目 20k 上限
+- 解包三防：zip-slip（绝对路径/`..`/NUL）、符号链接与硬链接条目直接拒绝
+  （tar 路径解析期拒绝；zip 路径经系统工具解包后置扫描，发现符号链接
+  清除并整体拒绝）、单文件 1GiB / 总量 2GiB / 条目 20k 上限
 - 文件预览路径二次校验（resolveFile 拒绝逃逸）
 - 信任围栏与 dsh-obmc-web 同款：Host 须 loopback 或部署信任域、
   Sec-Fetch-Site 不得 cross-site、Origin 须同 Host 主机名

package/lib/client.js

@@ -231,7 +231,7 @@ window.__ModuleLoader__.load({
           },
         }, data.content),
         data && data.truncated && h('div', { style: { fontSize: '11px', opacity: 0.6, marginTop: '4px' } },
-          `（仅显示前 ${humanBytes(data.content ? data.content.length : 0)}，完整内容请到服务器查看解压目录）`),
+          `（仅显示前 ${humanBytes(data.previewBytes ?? (data.content ? data.content.length : 0))}，完整内容请到服务器查看解压目录）`),
       )
     }
 

package/lib/extract.js

@@ -7,7 +7,8 @@
  *   - `.tar.zst` / `.tzst`：Node ≥22.15 的 zlib zstd 流；无原生支持时回退系统 `zstd -dc`
  *   - `.zip`：系统 `unzip`（回退 `tar`），先列目校验再解压（execFile，无 shell）
  *
- * 防护：zip-slip（绝对路径 / `..` / NUL）、符号链接与硬链接直接拒绝、
+ * 防护：zip-slip（绝对路径 / `..` / NUL）、符号链接与硬链接直接拒绝
+ * （tar 路径解析期拒绝；zip 路径经系统工具解包后置扫描拒绝）、
  * 单文件 1GiB / 总量 2GiB / 条目数 20k 上限，超限立即中止并抛错。
  */
 import fs from 'node:fs'
@@ -249,6 +250,43 @@ function assertSafeEntryNames(listing) {
   }
 }
 
+// zip 交给系统工具解包，解包前只能拿到条目名（unzip -Z1 / tar -tf），
+// 链接属性不可见。落盘后置扫描兜底（2026-09-28 审计修复）：zip 内符号
+// 链接条目会被系统工具落成真实符号链接，若不拒绝，previewFile 的
+// statSync/readSync 会跟链读出 destDir 之外的文件——与 tar 路径
+// 「链接条目直接拒绝」同语义。返回相对路径列表，非空即整体拒绝。
+function scanSymlinkEntries(root) {
+  const found = []
+  const stack = [root]
+  while (stack.length > 0 && found.length < 16) {
+    const dir = stack.pop()
+    let entries
+    try {
+      entries = fs.readdirSync(dir, { withFileTypes: true })
+    } catch {
+      continue // 竞态/权限：读取失败的分支不再深挖
+    }
+    for (const entry of entries) {
+      const full = path.join(dir, entry.name)
+      if (entry.isSymbolicLink()) {
+        found.push(path.relative(root, full) || entry.name)
+        continue
+      }
+      if (entry.isDirectory()) stack.push(full)
+    }
+  }
+  return found
+}
+
+function rejectZipLinkEntries(destDir) {
+  const links = scanSymlinkEntries(destDir)
+  if (links.length === 0) return
+  for (const rel of links) {
+    try { fs.unlinkSync(path.join(destDir, rel)) } catch { /* 尽力清理，不影响拒绝语义 */ }
+  }
+  throw new Error(`检测到链接条目（符号链接），已拒绝: ${links.join(', ')}`)
+}
+
 async function extractZip(archivePath, destDir) {
   fs.mkdirSync(destDir, { recursive: true })
   let listing
@@ -262,10 +300,12 @@ async function extractZip(archivePath, destDir) {
     }
     assertSafeEntryNames(listing)
     await execFilePromise('tar', ['-xf', archivePath, '-C', destDir])
+    rejectZipLinkEntries(destDir)
     return
   }
   assertSafeEntryNames(listing)
   await execFilePromise('unzip', ['-o', '-q', archivePath, '-d', destDir])
+  rejectZipLinkEntries(destDir)
 }
 
 // ── 入口 ─────────────────────────────────────────────────────────────────

package/lib/index.js

@@ -20,7 +20,6 @@
 import fs from 'node:fs'
 import path from 'node:path'
 import { pipeline } from 'node:stream/promises'
-import { Readable } from 'node:stream'
 import { DumpStore } from './store.js'
 
 export const name = '@inventec/dsh-onetree-log'
@@ -62,7 +61,6 @@ function readJsonBody(req) {
 /** 上传字节流 → 临时文件（限额流式落盘，不进内存）。 */
 async function saveUpload(req, destPath) {
   let received = 0
-  const counter = new Readable().wrap(req) // 仅用于错误传播；直接流 req
   const out = fs.createWriteStream(destPath)
   await new Promise((resolve, reject) => {
     req.on('data', chunk => {
@@ -82,7 +80,6 @@ async function saveUpload(req, destPath) {
     req.on('error', reject)
     out.on('error', reject)
   })
-  void counter
 }
 
 function sanitizeUploadName(raw) {
@@ -151,11 +148,14 @@ function previewFile(absPath) {
     if (looksBinary(buf)) {
       return { binary: true, size: stat.size, truncated: stat.size > len }
     }
+    const content = buf.toString('utf8')
     return {
       binary: false,
       size: stat.size,
       truncated: stat.size > len,
-      content: buf.toString('utf8'),
+      content,
+      // UTF-8 实际字节数（content.length 是 UTF-16 字符数，中文日志会偏小）
+      previewBytes: Buffer.byteLength(content, 'utf8'),
     }
   } finally {
     fs.closeSync(handle)
@@ -188,7 +188,8 @@ async function dispatch(req, res, log) {
       return writeJson(res, 200, detail)
     }
     if (method === 'DELETE') {
-      return writeJson(res, store.remove(id) ? 200 : 404, { ok: true })
+      const removed = store.remove(id)
+      return writeJson(res, removed ? 200 : 404, removed ? { ok: true } : { ok: false, error: 'dump 不存在' })
     }
     return writeJson(res, 405, { error: 'method not allowed' })
   }

package/lib/store.js

@@ -77,7 +77,7 @@ export class DumpStore {
     return this.cache.get(key)
   }
 
-  /** ingest 完成后的完整详情：meta + 现算的文件清单（带内存缓存）。 */
+  /** ingest 完成后的完整详情：meta + 现算的文件清单（每次调用全量重建）。 */
   detail(id) {
     const meta = this.get(id)
     if (!meta) return undefined
@@ -167,13 +167,10 @@ export class DumpStore {
   remove(id) {
     const meta = this.get(id)
     if (!meta) return false
-    // path-dir：rootDir 是用户目录，绝不能删；只清登记目录（里面只有 meta.json）
+    // path-dir：rootDir 是用户目录，绝不能删；登记目录里只有 meta.json，
+    // 与其他类型一样整体清掉即可
     const home = path.join(this.dumpsDir, id)
-    if (meta.sourceKind === 'path-dir') {
-      fs.rmSync(home, { recursive: true, force: true })
-    } else {
-      fs.rmSync(home, { recursive: true, force: true })
-    }
+    fs.rmSync(home, { recursive: true, force: true })
     this.cache.delete(id)
     return true
   }
@@ -183,7 +180,9 @@ export class DumpStore {
     const meta = this.get(id)
     if (!meta) throw new Error('dump 不存在')
     const rel = String(relPath ?? '')
-    if (rel.includes('..') || rel.startsWith('/') || rel.includes('\0')) {
+    // 只按路径段拒绝 '..'（'a..b.log' 这类合法文件名不误伤）；越界仍由下方
+    // 前缀包含检查兜底，fail-safe 方向不变
+    if (rel.split(/[\\/]+/).includes('..') || rel.startsWith('/') || rel.includes('\0')) {
       throw new Error('非法的文件路径')
     }
     const target = path.resolve(meta.rootDir, ...rel.split('/').filter(s => s !== '' && s !== '.'))

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@inventec/dsh-onetree-log",
-  "version": "0.1.1",
+  "version": "0.1.3",
   "description": "AMI MegaRAC OneTree 一键日志（OpenBMC dreport dump）上传与分析框架：设置面板「OneTree 日志」上传压缩包或登记服务器本地路径，安全解包、自动探测 dump 根、文件清单分类，为第二阶段逐域解析提供内核。",
   "type": "module",
   "main": "./lib/index.js",