chaimi-keep-mcp 3.1.47-beta.4 → 3.1.47-beta.6

package/README.md

@@ -87,6 +87,13 @@ export MCP_PROMPT_URL="你的Prompt服务地址"
 
 > 默认使用柴米AI记账官方云服务，一般无需修改。
 
+## Changelog
+
+### v3.1.47-beta.5 (2026-04-22)
+- **修复** 输入长度限制 - 添加硬性长度检查，防止超大字符串攻击
+- **修复** 错误信息泄露 - 生产环境只显示友好提示，不暴露内部错误
+- **修复** JSON.stringify DoS - 添加安全序列化，防止循环引用和超大数据
+
 ## 常见问题
 
 **Q: 提示 "command not found: chaimi-keep-mcp"**

package/SKILL.md

@@ -290,8 +290,8 @@ Agent **直接使用当前时间**作为消费时间，无需进行时间语义
 
 ```
 ✅ 【商品名/店名】¥【金额】 
-✅  已录入【柴米AI记账】
-【建议增加】自定义消费的内容，让记账信息更全面准确。
+    已录入【柴米AI记账】
+   【建议增加】自定义消费的内容，让记账信息更全面准确。
 ✅ 【友好结束语】
 
 消费洞察：【洞察内容】（可选）
@@ -314,9 +314,8 @@ chaimi-keep-mcp: v【版本号】
 **真实示例：**
 ```
 ✅ 【牛肉】¥24 
-✅  已录入【柴米AI记账】
-华润万家超市，2026年4月16日购买
-
+    已录入【柴米AI记账】
+    华润万家超市，2026年4月16日购买
 ✅ 好好吃饭哦~
 
 消费洞察：这是你本周第19次餐饮消费，要不要看看本周餐饮花了多少钱？

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "chaimi-keep-mcp",
-  "version": "3.1.47-beta.4",
+  "version": "3.1.47-beta.6",
   "description": "柴米记账 MCP Server - 支持 Claude、Cursor、OpenClaw、WorkBuddy 等 AI 工具直接记账",
   "main": "server.js",
   "bin": {

package/server.js

@@ -30,6 +30,9 @@ const MCP_VERSION = packageJson.version;
 // 导入 OAuth 模块
 const { OAuthManager, FileTokenStorage } = require('./oauth.js');
 
+// 导入校验工具
+const { validateDate } = require('./utils/validators.js');
+
 // API 签名密钥（用于验证请求来自合法 MCP Server）
 const CHAIMI_API_SECRET = 'chaimi-mcp-secret-2024';
 
@@ -795,38 +798,14 @@ server.setRequestHandler(CallToolRequestSchema, async (request) => {
         
         // P1: 日期合理性检查
         if (processedArgs.date) {
-          const inputDate = new Date(processedArgs.date);
-          const now = new Date();
-          const sixtyYearsAgo = new Date();
-          sixtyYearsAgo.setFullYear(now.getFullYear() - 60);
-          
-          if (isNaN(inputDate.getTime())) {
-            result = {
-              success: false,
-              error: '日期格式无效',
-              code: 400
-            };
-            userMessage = '❌ 记账失败：日期格式无效，请使用毫秒级时间戳（13位数字，如：xxxxxxxxxxxxx）';
-            break;
-          }
-
-          if (inputDate > now) {
-            result = {
-              success: false,
-              error: '日期不能是未来时间',
-              code: 400
-            };
-            userMessage = '❌ 记账失败：日期不能是未来时间';
-            break;
-          }
-          
-          if (inputDate < sixtyYearsAgo) {
+          const validation = validateDate(processedArgs.date, '消费日期');
+          if (!validation.valid) {
             result = {
               success: false,
-              error: '日期不能是60年前',
+              error: validation.error,
               code: 400
             };
-            userMessage = '❌ 记账失败：日期不能是60年前';
+            userMessage = validation.message;
             break;
           }
         }
@@ -958,38 +937,14 @@ server.setRequestHandler(CallToolRequestSchema, async (request) => {
         
         // P1: 日期合理性检查
         if (processedArgs.date) {
-          const inputDate = new Date(processedArgs.date);
-          const now = new Date();
-          const sixtyYearsAgo = new Date();
-          sixtyYearsAgo.setFullYear(now.getFullYear() - 60);
-          
-          if (isNaN(inputDate.getTime())) {
-            result = {
-              success: false,
-              error: '日期格式无效',
-              code: 400
-            };
-            userMessage = '❌ 保存失败：日期格式无效，请使用毫秒级时间戳（13位数字，如：xxxxxxxxxxxxx）';
-            break;
-          }
-          
-          if (inputDate > now) {
+          const validation = validateDate(processedArgs.date, '小票日期');
+          if (!validation.valid) {
             result = {
               success: false,
-              error: '日期不能是未来时间',
+              error: validation.error,
               code: 400
             };
-            userMessage = '❌ 保存失败：日期不能是未来时间，请检查小票日期是否正确';
-            break;
-          }
-          
-          if (inputDate < sixtyYearsAgo) {
-            result = {
-              success: false,
-              error: '日期不能是60年前',
-              code: 400
-            };
-            userMessage = '❌ 保存失败：日期不能是60年前，请检查小票日期是否正确';
+            userMessage = validation.message + '，请检查小票日期是否正确';
             break;
           }
         }
@@ -1329,6 +1284,20 @@ server.setRequestHandler(CallToolRequestSchema, async (request) => {
           break;
         }
 
+        // P1: 日期合理性检查
+        if (processedArgs.date) {
+          const validation = validateDate(processedArgs.date, '收入日期');
+          if (!validation.valid) {
+            result = {
+              success: false,
+              error: validation.error,
+              code: 400
+            };
+            userMessage = validation.message;
+            break;
+          }
+        }
+
         const mcpParams = convertParams('save_income', processedArgs);
         result = await callMcpHubWithLogging('addIncome', mcpParams, token, traceId, startTime, osInfo, agentType, apiProvider);
 
@@ -1427,18 +1396,11 @@ server.setRequestHandler(CallToolRequestSchema, async (request) => {
       userMessage = `❌ 操作失败：${result.error || '未知错误'}`;
     }
 
-    // 构建完整的返回内容：userMessage + 完整的 result 数据
-    const fullResponse = {
-      userMessage: userMessage,
-      result: result,
-      mcpVersion: MCP_VERSION
-    };
-
     return {
       content: [
         {
           type: 'text',
-          text: `${userMessage}\n\n---\n📦 柴米记账 MCP v${MCP_VERSION}\n\n## 完整数据\n\`\`\`json\n${JSON.stringify(result, null, 2)}\n\`\`\``,
+          text: `${userMessage}\n\n---\n📦 柴米记账 MCP v${MCP_VERSION}\n\n## 完整数据\n\`\`\`json\n${safeStringify(result)}\n\`\`\``,
         },
       ],
     };
@@ -1545,11 +1507,24 @@ ${'='.repeat(60)}
       };
     }
     
+    // 区分开发/生产环境，避免泄露内部错误信息
+    const errorMessage = process.env.NODE_ENV === 'development'
+      ? `Error: ${error.message}`
+      : '操作失败，请稍后重试或联系客服';
+
+    // 记录完整错误到日志（用于调试）
+    console.error('Tool execution error:', {
+      tool: request.params.name,
+      error: error.message,
+      stack: error.stack,
+      timestamp: new Date().toISOString()
+    });
+
     return {
       content: [
         {
           type: 'text',
-          text: `Error: ${error.message}`,
+          text: errorMessage,
         },
       ],
       isError: true,
@@ -1557,8 +1532,31 @@ ${'='.repeat(60)}
   }
 });
 
+// 安全的 JSON 序列化函数，防止循环引用和超大数据导致内存溢出
+function safeStringify(obj, maxLength = 100000) {
+  try {
+    const str = JSON.stringify(obj, null, 2);
+    if (str.length > maxLength) {
+      return JSON.stringify({
+        ...obj,
+        data: '[数据过大，已省略]',
+        _note: `完整数据大小：${str.length} 字符`
+      }, null, 2);
+    }
+    return str;
+  } catch (error) {
+    return JSON.stringify({ error: '数据序列化失败' });
+  }
+}
+
 function sanitizeString(str, maxLength = 200) {
   if (!str || typeof str !== 'string') return '';
+  
+  // 硬性限制：输入不能超过 maxLength 的 10 倍，防止超大字符串导致内存溢出
+  if (str.length > maxLength * 10) {
+    throw new Error(`输入过长，最大允许 ${maxLength} 字符`);
+  }
+  
   return str.replace(/<[^>]*>/g, '').substring(0, maxLength);
 }