chanjs 2.8.6 → 2.8.8

package/core/Repository.js

@@ -188,26 +188,21 @@ class Repository extends BaseComponent {
     return row;
   }
 
-  /**
-   * 查询全部。上限口径统一收口到 config.LIMIT_MAX（this.limit）：
-   * 未传 limit 时默认取 this.limit；显式传入的 limit 也会被钳制到 [1, this.limit]，
-   * 避免"all 默认 1000 / 分页上限 300"两套口径并存。
-   */
-  async all({ query={}, sort={}, fields=[], limit }={}) {
+  /** 查询全部，默认上限1000条 */
+  async all({ query={}, sort={}, fields=[], limit=1000 }={}) {
     const err = this._guard({ query });
     if (err) return err;
-    const size = Math.min(Math.max(Number(limit) || this.limit, 1), this.limit);
-    const list = await this._buildBaseQuery({query,sort,fields}).limit(size);
+    const list = await this._buildBaseQuery({query,sort,fields}).limit(limit);
     return { success:true, code:CODE_OK, msg:"查询成功", data: list };
   }
 
-  /** 分页偏移查询（limit 同 all() 口径，钳制到 config.LIMIT_MAX） */
+  /** 分页偏移查询 */
   async find({ query={}, sort={}, fields=[], limit, offset }={}) {
     const err = this._guard({ query });
     if (err) return err;
     let q = this._buildBaseQuery({query,sort,fields});
     typeof offset === 'number' && (q = q.offset(offset));
-    typeof limit === 'number' && (q = q.limit(Math.min(Math.max(limit, 1), this.limit)));
+    typeof limit === 'number' && (q = q.limit(limit));
     return { success:true, code:CODE_OK, msg:"查询成功", data: await q };
   }
 

package/core/bootstrap/middleware.js

@@ -4,7 +4,6 @@ import {
 } from "../../middleware/index.js";
 import { health } from "../../middleware/health.js";
 import { BODY_LIMIT } from "../../config/index.js";
-import logger from "../../utils/logger.js";
 
 /**
  * 注册核心中间件（顺序固化：不可随意调整）
@@ -18,19 +17,6 @@ export async function registerCoreMiddleware(chan) {
   await waf(app, cfg.waf ?? { enabled: false });
   // 1.5 健康检查端点（默认开启，config.health = {enabled,path} 可调；浅模式零 IO）
   app.use(health(chan, cfg.health ?? {}));
-  // 1.6 宿主全局中间件插槽：config.middleware 数组，按声明顺序注册。
-  //     元素支持两种形态：express 中间件本身 (req,res,next)；或工厂 () => express 中间件（需闭包 chan/config 时用）。
-  //     注册位置在核心链早期、模块路由之前，保证对所有响应（含静态资源）生效。
-  //     注意：app/router.js（loadCommonRouter）的执行时机在模块路由之后，app.use 在那里
-  //     只罩得住 404 兜底请求，安全响应头等全局策略应经本插槽注册而非写在 router.js。
-  for (const mw of cfg.middleware ?? []) {
-    const fn = typeof mw === "function" && mw.length <= 1 ? mw(chan) : mw;
-    if (typeof fn !== "function") {
-      logger.warn(`[Chan] config.middleware 含非法项（须为中间件或中间件工厂），已跳过: ${String(mw)}`);
-      continue;
-    }
-    app.use(fn);
-  }
   // 2. Favicon
   favicon(app);
   // 3. 静态资源

package/middleware/cors.js

@@ -11,7 +11,11 @@ export const Cors = (app, _cors = {}) => {
     origin: _cors.origin ?? false,
     methods: _cors.methods ?? ["GET", "POST"],
     allowedHeaders: _cors.allowedHeaders ?? ["Content-Type", "Authorization"],
-    credentials: !!_cors.credentials,
+    // credentials 用 getter 包裹：每次请求实时求值（支持 _cors.credentials 本身为 getter，
+    // 例如随 originList 在 "*" 与具体域名白名单间动态切换）。
+    // 背景：W3C 规定 ACAO:* 与 ACAC:true 不能同时出现（CSRF 风险），故当 originList 为 "*"
+    // （全放行）时必须 credentials=false；具体域名白名单时 credentials=true（跨域携带 Cookie）。
+    get credentials() { return !!_cors.credentials; },
     maxAge: _cors.maxAge ?? 600,
   };
   app.use(cors(safeOptions));

package/middleware/waf.js

@@ -15,7 +15,7 @@ const WAF_PATH_WHITELIST = [
 ];
 
 // waf 配置合法键集合：启动期校验，未知键打 warn，防配置漂移静默失效
-const WAF_KNOWN_KEYS = new Set(["enabled", "rateLimit", "ignorePaths"]);
+const WAF_KNOWN_KEYS = new Set(["enabled", "rateLimit", "ignorePaths", "bodyXssPaths"]);
 
 const TRUSTED_IPS = new Set(["127.0.0.1", "::1"]);
 
@@ -136,6 +136,8 @@ const createWafMiddleware = wafConfig => {
  */
 const createWafBodyMiddleware = wafConfig => {
   const ignorePaths = Array.isArray(wafConfig.ignorePaths) ? wafConfig.ignorePaths : [];
+  // body XSS 白名单：仅这些路径前缀的请求体做 XSS 过滤；默认空 = 全部不过滤
+  const bodyXssPaths = Array.isArray(wafConfig.bodyXssPaths) ? wafConfig.bodyXssPaths : [];
   return async (req, res, next) => {
     try {
       if (!wafConfig.enabled) return next();
@@ -153,16 +155,18 @@ const createWafBodyMiddleware = wafConfig => {
       // 项目 DB 全部走 knex 参数化查询（天然防 SQL 注入），后端也无任何
       // 把用户输入交给 shell 执行的路径；而关键词扫描对留言/评论/注册等正常正文
       // 误报极高（drop / select / alert / onclick 等普通词都会被拦），代价远大于收益。
-      // XSS 防护由下方 filterXSS 负责（输出编码），SQL 注入由参数化查询负责。
-
-      // body XSS过滤
-      // 例外：base/config 系统配置写入接口跳过 XSS 过滤——sys_config 配置值须原样存储
-      // （含「名称 <邮箱>」发件人格式、HTML 邮件模板等），且该接口仅管理员可访问，
-      // 配置值由后端逻辑消费而非直接反射到页面，无 XSS 风险。
-      try {
-        if (typeof req.body === "object" && !path.startsWith("/base/config")) req.body = filterXSS(req.body);
-      } catch (e) {
-        logger.error(`[WAF警告] body过滤失败 IP:${clientIp} Err:${e.message}`);
+      // SQL 注入由参数化查询负责。
+
+      // body XSS 过滤（按需开启）：默认不过滤任何接口的请求体。
+      // 全局默认过滤会静默改写入库内容（剥离 style、转义 iframe/script 等），
+      // 导致后台富文本编辑器的排版/特效无法保存。需要防护的接口
+      // （如会员注册、留言、评论等公开 UGC 写入）由项目在 bodyXssPaths 里声明。
+      if (bodyXssPaths.length && typeof req.body === "object" && isIgnored(path, bodyXssPaths)) {
+        try {
+          req.body = filterXSS(req.body);
+        } catch (e) {
+          logger.error(`[WAF警告] body过滤失败 IP:${clientIp} Err:${e.message}`);
+        }
       }
 
       next();

package/package.json

@@ -1,7 +1,7 @@
 {
   "type": "module",
   "name": "chanjs",
-  "version": "2.8.6",
+  "version": "2.8.8",
   "description": "chanjs基于 Node.js + Express 5 的标准 HMVC 框架（NHMVC），纯 JavaScript（ESM）开发。",
   "main": "index.js",
   "module": "index.js",

package/security/xss-filter.js

@@ -1,14 +1,40 @@
 import xss from "xss";
 
+// 以 xss 库默认白名单为底（覆盖 a/p/div/section/video/audio/table 等常规标签），
+// 所有标签放行 style / class / id —— 保留排版与样式，过滤不再「太严格」；
+// 另补 iframe（src 仅 https），用于合法的视频外链嵌入。
+const whiteList = xss.getDefaultWhiteList();
+for (const tag of Object.keys(whiteList)) {
+  whiteList[tag] = [...new Set([...(whiteList[tag] ?? []), "style", "class", "id"])];
+}
+whiteList.iframe = ["src", "width", "height", "frameborder", "allow", "allowfullscreen", "style", "class", "id"];
+
+// 自定义过滤：只拦真正危险的内容
+const filter = new xss.FilterXSS({
+  whiteList,
+  onTagAttr: (tag, name, value) => {
+    // on* 事件属性（onclick/onerror/onload 等）
+    if (name.startsWith("on")) return "";
+    // javascript: / vbscript: 协议
+    if ((name === "href" || name === "src") && /^\s*(javascript|vbscript):/i.test(value)) return "";
+    // iframe src 仅允许 https 外链
+    if (tag === "iframe" && name === "src" && !/^https:\/\//i.test(value)) return "";
+  },
+  // 白名单外标签（如 <script>）转义为纯文本保留，内容不丢、不可执行
+  stripIgnoreTag: false,
+});
+
 /**
  * 递归深度过滤对象/数组/字符串XSS，WeakSet防循环引用栈溢出
+ * 策略：宽白名单 —— 保留 style/class/id 与常规标签，仅剥离脚本执行能力
+ *（on* 事件、javascript:/vbscript: 协议、非 https 的 iframe、<script> 实体）。
  * @param {any} data 待清洗数据
  * @param {WeakSet} [visited] 循环引用标记缓存
  * @returns {any} 清洗后数据
  */
 export const filterXSS = (data, visited) => {
   // 字符串直接过滤
-  if (typeof data === "string") return xss(data);
+  if (typeof data === "string") return filter.process(data);
 
   // 数组遍历递归
   if (Array.isArray(data)) return data.map(item => filterXSS(item, visited));
@@ -28,4 +54,4 @@ export const filterXSS = (data, visited) => {
 
   // number / boolean / null / undefined 直接原值返回
   return data;
-};
+};

package/utils/data-parse.js

@@ -27,8 +27,8 @@ export const arrToObj = (arr, keyField = "config_key", valueField = "config_valu
 };
 
 /**
- * 根据拼音/ID匹配分类，返回分类完整数据与分类ID
- * @param {string | number} py - 检索条件：拼音字符串 / 数字ID
+ * 根据 slug / ID 匹配分类，返回分类完整数据与分类ID
+ * @param {string | number} py - 检索条件：slug 字符串 / 数字ID
  * @param {Array<Object>} source - 分类数据源数组
  * @returns {{ cate: Object, id: string|number }}
  */
@@ -37,6 +37,6 @@ export function getChildrenId(py, source) {
     logger.warn("[getChildrenId] 数据源source不是数组", source);
     return { cate: {}, id: "" };
   }
-  const cate = source.find(item => item && typeof item === "object" && (item.pinyin === py || item.id === py)) || {};
+  const cate = source.find(item => item && typeof item === "object" && (item.slug === py || item.id === py)) || {};
   return { cate, id: cate.id ?? "" };
 }

package/utils/tree.js

@@ -77,7 +77,7 @@ export function tree(list, rootPid = 0, options = {}) {
 }
 
 /**
- * 根据节点ID向上追溯完整父级路径（通用版，剥离硬编码pinyin业务逻辑）
+ * 根据节点ID向上追溯完整父级路径（通用版，不耦合具体业务字段）
  * @param {number|string} targetId 目标节点ID
  * @param {Array<Object>} list 扁平源数组
  * @param {Object} [options={}] 配置