chanjs 2.8.3 → 2.8.4

package/core/Repository.js

@@ -188,21 +188,26 @@ class Repository extends BaseComponent {
     return row;
   }
 
-  /** 查询全部，默认上限1000条 */
-  async all({ query={}, sort={}, fields=[], limit=1000 }={}) {
+  /**
+   * 查询全部。上限口径统一收口到 config.LIMIT_MAX（this.limit）：
+   * 未传 limit 时默认取 this.limit；显式传入的 limit 也会被钳制到 [1, this.limit]，
+   * 避免"all 默认 1000 / 分页上限 300"两套口径并存。
+   */
+  async all({ query={}, sort={}, fields=[], limit }={}) {
     const err = this._guard({ query });
     if (err) return err;
-    const list = await this._buildBaseQuery({query,sort,fields}).limit(limit);
+    const size = Math.min(Math.max(Number(limit) || this.limit, 1), this.limit);
+    const list = await this._buildBaseQuery({query,sort,fields}).limit(size);
     return { success:true, code:CODE_OK, msg:"查询成功", data: list };
   }
 
-  /** 分页偏移查询 */
+  /** 分页偏移查询（limit 同 all() 口径，钳制到 config.LIMIT_MAX） */
   async find({ query={}, sort={}, fields=[], limit, offset }={}) {
     const err = this._guard({ query });
     if (err) return err;
     let q = this._buildBaseQuery({query,sort,fields});
     typeof offset === 'number' && (q = q.offset(offset));
-    typeof limit === 'number' && (q = q.limit(limit));
+    typeof limit === 'number' && (q = q.limit(Math.min(Math.max(limit, 1), this.limit)));
     return { success:true, code:CODE_OK, msg:"查询成功", data: await q };
   }
 

package/core/bootstrap/middleware.js

@@ -4,6 +4,7 @@ import {
 } from "../../middleware/index.js";
 import { health } from "../../middleware/health.js";
 import { BODY_LIMIT } from "../../config/index.js";
+import logger from "../../utils/logger.js";
 
 /**
  * 注册核心中间件（顺序固化：不可随意调整）
@@ -17,6 +18,19 @@ export async function registerCoreMiddleware(chan) {
   await waf(app, cfg.waf ?? { enabled: false });
   // 1.5 健康检查端点（默认开启，config.health = {enabled,path} 可调；浅模式零 IO）
   app.use(health(chan, cfg.health ?? {}));
+  // 1.6 宿主全局中间件插槽：config.middleware 数组，按声明顺序注册。
+  //     元素支持两种形态：express 中间件本身 (req,res,next)；或工厂 () => express 中间件（需闭包 chan/config 时用）。
+  //     注册位置在核心链早期、模块路由之前，保证对所有响应（含静态资源）生效。
+  //     注意：app/router.js（loadCommonRouter）的执行时机在模块路由之后，app.use 在那里
+  //     只罩得住 404 兜底请求，安全响应头等全局策略应经本插槽注册而非写在 router.js。
+  for (const mw of cfg.middleware ?? []) {
+    const fn = typeof mw === "function" && mw.length <= 1 ? mw(chan) : mw;
+    if (typeof fn !== "function") {
+      logger.warn(`[Chan] config.middleware 含非法项（须为中间件或中间件工厂），已跳过: ${String(mw)}`);
+      continue;
+    }
+    app.use(fn);
+  }
   // 2. Favicon
   favicon(app);
   // 3. 静态资源

package/doc/06-/345/272/224/347/224/250/347/224/237/345/221/275/345/221/250/346/234/237.md

@@ -172,7 +172,8 @@ const otherDb = app.dbManager.get("logs");
 | `REDIS_ENABLED` / `REDIS` | Redis 配置 |
 | `JWT_SECRET` | JWT 签名密钥 |
 | `LOCALE` | i18n 默认语言（默认 `zh-CN`）|
-| `LIMIT_MAX` | Repository 单页上限（默认 300）|
+| `LIMIT_MAX` | Repository 单页上限（默认 300）；`all()`/`find()` 显式 limit 亦被钳制到该值 |
+| `middleware` | 宿主全局中间件插槽：数组，元素为 express 中间件或中间件工厂 `(chan) => mw`，注册于核心链早期（健康检查后、静态资源前），对所有响应生效 |
 | `SLOW_THRESHOLD` | 数据库慢查询阈值（ms，默认 200），超过记 warn 日志 |
 | `SHUTDOWN_TIMEOUT` | 优雅停机强制退出超时（ms，默认 5000）|
 | `BODY_LIMIT` | 请求体上限（默认 `10mb`）|

package/middleware/header.js

@@ -1,20 +1,22 @@
 /**
- * 自定义响应头中间件，隐藏原生Express标识，统一输出ChanCMS
- * @param {express.Application} app Express实例
- * @param {{APP_NAME?: string, APP_VERSION?: string}} [opts] 配置选项
+ * 品牌响应头中间件：隐藏原生 Express 标识，统一输出 ChanCMS。
+ *
+ * 注：安全响应头（X-Content-Type-Options / HSTS / Referrer-Policy /
+ * Permissions-Policy / CSP 等）属于宿主业务策略，不在框架层默认设置——
+ * 由各项目的 security-headers 中间件统一收敛（本项目见 app/middleware/security-headers.js）。
+ * 尤其 CSP frame-ancestors 一旦在框架写死 'self'，会与需要被第三方
+ * iframe 嵌入的宿主业务直接冲突，故不在此声明。
  */
 export const header = (app, opts = {}) => {
   const appName = opts.APP_NAME || "ChanCMS";
   const appVer = opts.APP_VERSION || "";
   const poweredBy = appVer ? `${appName}/${appVer}` : appName;
+  // 静态资源在核心链第 3 步即被接住、到不了本中间件，Express 会默认补
+  // X-Powered-By: Express 泄露技术栈——先禁用默认注入，品牌头只由下方显式设置
+  app.disable("x-powered-by");
 
   app.use((_, res, next) => {
     res.setHeader("X-Powered-By", poweredBy);
-    // 常驻安全响应头：无论 WAF 是否启用都生效
-    // 禁止 MIME 嗅探（防 XSS 利用 Content-Type 歧义）
-    res.setHeader("X-Content-Type-Options", "nosniff");
-    // 防点击劫持：仅允许同源 iframe 嵌套（如需被第三方嵌入请按需放宽）
-    res.setHeader("Content-Security-Policy", "frame-ancestors 'self'");
     next();
   });
-};
+};

package/package.json

@@ -1,7 +1,7 @@
 {
   "type": "module",
   "name": "chanjs",
-  "version": "2.8.3",
+  "version": "2.8.4",
   "description": "chanjs基于 Node.js + Express 5 的标准 HMVC 框架（NHMVC），纯 JavaScript（ESM）开发。",
   "main": "index.js",
   "module": "index.js",