midway-fatcms 0.0.3 → 0.0.4

package/dist/libs/utils/render-utils.js

@@ -1,158 +1,158 @@
-"use strict";
-Object.defineProperty(exports, "__esModule", { value: true });
-exports.createRenderUtils = void 0;
-const _ = require("lodash");
-const moment = require("moment");
-const functions_1 = require("./functions");
-const fatcms_request_1 = require("./fatcms-request");
-const TypeUtils_1 = require("../crud-pro/utils/TypeUtils");
-function parseCookie(cookieStr) {
-    const cookies = {};
-    if (!cookieStr) {
-        return cookies;
-    }
-    // 分割每个 cookie 项
-    const cookieItems = cookieStr.split(';');
-    for (const item of cookieItems) {
-        // 去除空白字符
-        const trimmedItem = item.trim();
-        if (!trimmedItem) {
-            continue;
-        }
-        // 找到第一个等号的位置
-        const eqIndex = trimmedItem.indexOf('=');
-        if (eqIndex === -1) {
-            continue;
-        }
-        // 提取 key 和 value
-        const key = trimmedItem.substring(0, eqIndex).trim();
-        const value = trimmedItem.substring(eqIndex + 1).trim();
-        // 处理可能的引号
-        if (value.startsWith('"') && value.endsWith('"')) {
-            cookies[key] = value.slice(1, -1);
-        }
-        else {
-            cookies[key] = value;
-        }
-    }
-    return cookies;
-}
-function isMobileUserAgent(userAgent = '') {
-    // 空值处理
-    if (!userAgent)
-        return false;
-    // 转为小写统一匹配
-    const ua = userAgent.toLowerCase();
-    // 【核心】移动端关键词（覆盖主流系统）
-    const mobileKeywords = /android|iphone|ipod|ios|mobile|blackberry|iemobile|opera mini|windows phone|harmonyos/i;
-    // 【排除项】平板/PC关键词（避免误判）
-    const excludeKeywords = /ipad|tablet|playbook|kindle|pc|windows nt|macintosh|linux x86_64/i;
-    // 判断规则：包含移动端关键词 + 不包含排除项关键词
-    const isMatchMobile = mobileKeywords.test(ua);
-    const isExclude = excludeKeywords.test(ua);
-    return isMatchMobile && !isExclude;
-}
-class RenderUtils {
-    constructor(props) {
-        var _a, _b, _c, _d;
-        this.ctx = props.ctx;
-        const query = ((_a = props.ctx) === null || _a === void 0 ? void 0 : _a.query) || {};
-        const headers = ((_b = props.ctx) === null || _b === void 0 ? void 0 : _b.headers) || {};
-        this.workbenchInfo = props.workbenchInfo || {};
-        this.userInfo = props.userInfo || {};
-        this.appInfo = props.appInfo || {};
-        this.fatcmscsrftoken = props.fatcmscsrftoken;
-        this.urlcsrftoken = props.urlcsrftoken;
-        this.cookieInfo = parseCookie(headers === null || headers === void 0 ? void 0 : headers.cookie);
-        this.isMobileUserAgent = isMobileUserAgent(headers['user-agent'] || '');
-        this.isMobileByQuery = `${query['__is_mobile_request__']}` === 'true';
-        const packageAssets = (0, functions_1.parseJsonObject)(props.package_assets) || {};
-        const fileList = _.get(packageAssets, 'data.fileList');
-        if (Array.isArray(fileList)) {
-            this.fileList = fileList.filter(f => {
-                return f && f.fileUrl && typeof f.fileUrl === 'string' && f.fileUrl.length > 5; // 至少五个字符。
-            });
-        }
-        else {
-            this.fileList = [];
-            const time = moment().format('YYYY-MM-DD HH:mm:ss.SSS');
-            console.info(time +
-                ' 解析fileList为空==>' +
-                JSON.stringify({
-                    workbench_code: (_c = this.workbenchInfo) === null || _c === void 0 ? void 0 : _c.workbench_code,
-                    app_code: (_d = this.appInfo) === null || _d === void 0 ? void 0 : _d.app_code,
-                }));
-        }
-    }
-    renderCsrfToken() {
-        return `<script>window.__fatcmscsrftoken = "${this.fatcmscsrftoken}";</script>`;
-    }
-    renderUrlCsrfToken() {
-        return `<script>window.__fatcmsUrlCsrfToken = "${this.urlcsrftoken}";</script>`;
-    }
-    renderUserInfo() {
-        const userInfoClone = { ...this.userInfo };
-        delete userInfoClone.privateKey;
-        return `<script>window.__user_info = ${JSON.stringify(userInfoClone)}  </script>`;
-    }
-    renderWorkbenchInfo() {
-        const infoPick = _.pick(this.workbenchInfo, ['id', 'workbench_code', 'workbench_name', 'workbench_domain', 'workbench_desc', 'config_type', 'config_content']);
-        return `<script>window.__workbench_info = ${JSON.stringify(infoPick)}</script>`;
-    }
-    renderAppInfo() {
-        const infoPick = _.pick(this.appInfo, ['id', 'app_code', 'app_name', 'app_type', 'app_desc', 'config_type', 'config_content']);
-        return `<script>window.__app_info = ${JSON.stringify(infoPick)}</script>`;
-    }
-    renderCookieInfo(keys) {
-        try {
-            const cookies = this.cookieInfo;
-            const cookieObj = {};
-            if (typeof keys === 'string') {
-                const keyArr = keys.split(',');
-                for (let i = 0; i < keyArr.length; i++) {
-                    const keyName = keyArr[i];
-                    cookieObj[keyName] = cookies[keyName];
-                }
-            }
-            return `<script>window.__cookie_info = ${JSON.stringify(cookieObj)}</script>`;
-        }
-        catch (e) {
-            return `<script>window.__cookie_info_error = ${e}; </script>`;
-        }
-    }
-    renderJsAssets() {
-        const fileList = this.fileList.filter(s => {
-            return s.fileType === 'js' || s.fileUrl.endsWith('.js');
-        });
-        const arr = fileList.map(f => {
-            if (f.isModule) {
-                return `<script type="module" crossorigin src="${f.fileUrl}" ></script>`;
-            }
-            return `<script src="${f.fileUrl}" ></script>`;
-        });
-        return arr.join('\n');
-    }
-    renderCssAssets() {
-        const fileList = this.fileList.filter(s => {
-            return s.fileType === 'css' || s.fileUrl.endsWith('.css');
-        });
-        const fileUrlList = fileList.map(f => {
-            return f.fileUrl;
-        });
-        const arr = fileUrlList.map(url => {
-            return `<link href="${url}" rel="stylesheet" />`;
-        });
-        return arr.join('\n');
-    }
-    renderExtLocalLoaderPortByDevHeader() {
-        const loaderPort = (0, fatcms_request_1.getExtLocalLoaderPort)(this.ctx);
-        if (loaderPort && TypeUtils_1.TypeUtils.isNumeric(loaderPort)) {
-            return `<script>window.__local_loader_port_from_dev_header = ${loaderPort}</script>`;
-        }
-        return '';
-    }
-}
-function createRenderUtils(props) {
-    return new RenderUtils(props);
-}
-exports.createRenderUtils = createRenderUtils;
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.createRenderUtils = void 0;
+const _ = require("lodash");
+const moment = require("moment");
+const functions_1 = require("./functions");
+const fatcms_request_1 = require("./fatcms-request");
+const TypeUtils_1 = require("../crud-pro/utils/TypeUtils");
+function parseCookie(cookieStr) {
+    const cookies = {};
+    if (!cookieStr) {
+        return cookies;
+    }
+    // 分割每个 cookie 项
+    const cookieItems = cookieStr.split(';');
+    for (const item of cookieItems) {
+        // 去除空白字符
+        const trimmedItem = item.trim();
+        if (!trimmedItem) {
+            continue;
+        }
+        // 找到第一个等号的位置
+        const eqIndex = trimmedItem.indexOf('=');
+        if (eqIndex === -1) {
+            continue;
+        }
+        // 提取 key 和 value
+        const key = trimmedItem.substring(0, eqIndex).trim();
+        const value = trimmedItem.substring(eqIndex + 1).trim();
+        // 处理可能的引号
+        if (value.startsWith('"') && value.endsWith('"')) {
+            cookies[key] = value.slice(1, -1);
+        }
+        else {
+            cookies[key] = value;
+        }
+    }
+    return cookies;
+}
+function isMobileUserAgent(userAgent = '') {
+    // 空值处理
+    if (!userAgent)
+        return false;
+    // 转为小写统一匹配
+    const ua = userAgent.toLowerCase();
+    // 【核心】移动端关键词（覆盖主流系统）
+    const mobileKeywords = /android|iphone|ipod|ios|mobile|blackberry|iemobile|opera mini|windows phone|harmonyos/i;
+    // 【排除项】平板/PC关键词（避免误判）
+    const excludeKeywords = /ipad|tablet|playbook|kindle|pc|windows nt|macintosh|linux x86_64/i;
+    // 判断规则：包含移动端关键词 + 不包含排除项关键词
+    const isMatchMobile = mobileKeywords.test(ua);
+    const isExclude = excludeKeywords.test(ua);
+    return isMatchMobile && !isExclude;
+}
+class RenderUtils {
+    constructor(props) {
+        var _a, _b, _c, _d;
+        this.ctx = props.ctx;
+        const query = ((_a = props.ctx) === null || _a === void 0 ? void 0 : _a.query) || {};
+        const headers = ((_b = props.ctx) === null || _b === void 0 ? void 0 : _b.headers) || {};
+        this.workbenchInfo = props.workbenchInfo || {};
+        this.userInfo = props.userInfo || {};
+        this.appInfo = props.appInfo || {};
+        this.fatcmscsrftoken = props.fatcmscsrftoken;
+        this.urlcsrftoken = props.urlcsrftoken;
+        this.cookieInfo = parseCookie(headers === null || headers === void 0 ? void 0 : headers.cookie);
+        this.isMobileUserAgent = isMobileUserAgent(headers['user-agent'] || '');
+        this.isMobileByQuery = `${query['__is_mobile_request__']}` === 'true';
+        const packageAssets = (0, functions_1.parseJsonObject)(props.package_assets) || {};
+        const fileList = _.get(packageAssets, 'data.fileList');
+        if (Array.isArray(fileList)) {
+            this.fileList = fileList.filter(f => {
+                return f && f.fileUrl && typeof f.fileUrl === 'string' && f.fileUrl.length > 5; // 至少五个字符。
+            });
+        }
+        else {
+            this.fileList = [];
+            const time = moment().format('YYYY-MM-DD HH:mm:ss.SSS');
+            console.info(time +
+                ' 解析fileList为空==>' +
+                JSON.stringify({
+                    workbench_code: (_c = this.workbenchInfo) === null || _c === void 0 ? void 0 : _c.workbench_code,
+                    app_code: (_d = this.appInfo) === null || _d === void 0 ? void 0 : _d.app_code,
+                }));
+        }
+    }
+    renderCsrfToken() {
+        return `<script>window.__fatcmscsrftoken = "${this.fatcmscsrftoken}";</script>`;
+    }
+    renderUrlCsrfToken() {
+        return `<script>window.__fatcmsUrlCsrfToken = "${this.urlcsrftoken}";</script>`;
+    }
+    renderUserInfo() {
+        const userInfoClone = { ...this.userInfo };
+        delete userInfoClone.privateKey;
+        return `<script>window.__user_info = ${JSON.stringify(userInfoClone)}  </script>`;
+    }
+    renderWorkbenchInfo() {
+        const infoPick = _.pick(this.workbenchInfo, ['id', 'workbench_code', 'workbench_name', 'workbench_domain', 'workbench_desc', 'config_type', 'config_content']);
+        return `<script>window.__workbench_info = ${JSON.stringify(infoPick)}</script>`;
+    }
+    renderAppInfo() {
+        const infoPick = _.pick(this.appInfo, ['id', 'app_code', 'app_name', 'app_type', 'app_desc', 'config_type', 'config_content']);
+        return `<script>window.__app_info = ${JSON.stringify(infoPick)}</script>`;
+    }
+    renderCookieInfo(keys) {
+        try {
+            const cookies = this.cookieInfo;
+            const cookieObj = {};
+            if (typeof keys === 'string') {
+                const keyArr = keys.split(',');
+                for (let i = 0; i < keyArr.length; i++) {
+                    const keyName = keyArr[i];
+                    cookieObj[keyName] = cookies[keyName];
+                }
+            }
+            return `<script>window.__cookie_info = ${JSON.stringify(cookieObj)}</script>`;
+        }
+        catch (e) {
+            return `<script>window.__cookie_info_error = ${e}; </script>`;
+        }
+    }
+    renderJsAssets() {
+        const fileList = this.fileList.filter(s => {
+            return s.fileType === 'js' || s.fileUrl.endsWith('.js');
+        });
+        const arr = fileList.map(f => {
+            if (f.isModule) {
+                return `<script type="module" crossorigin src="${f.fileUrl}" ></script>`;
+            }
+            return `<script src="${f.fileUrl}" ></script>`;
+        });
+        return arr.join('\n');
+    }
+    renderCssAssets() {
+        const fileList = this.fileList.filter(s => {
+            return s.fileType === 'css' || s.fileUrl.endsWith('.css');
+        });
+        const fileUrlList = fileList.map(f => {
+            return f.fileUrl;
+        });
+        const arr = fileUrlList.map(url => {
+            return `<link href="${url}" rel="stylesheet" />`;
+        });
+        return arr.join('\n');
+    }
+    renderExtLocalLoaderPortByDevHeader() {
+        const loaderPort = (0, fatcms_request_1.getExtLocalLoaderPort)(this.ctx);
+        if (loaderPort && TypeUtils_1.TypeUtils.isNumeric(loaderPort)) {
+            return `<script>window.__local_loader_port_from_dev_header = ${loaderPort}</script>`;
+        }
+        return '';
+    }
+}
+function createRenderUtils(props) {
+    return new RenderUtils(props);
+}
+exports.createRenderUtils = createRenderUtils;

package/dist/middleware/forbidden.middleware.d.ts

@@ -1,74 +1,74 @@
-import { IMiddleware } from '@midwayjs/core';
-import { NextFunction, Context } from '@midwayjs/koa';
-/**
- * 安全防护中间件 - 黑名单路径拦截
- *
- * 核心职责：
- * 1. 防御恶意爬虫：拦截常见的配置文件探测请求（.env、config.json等）
- * 2. 防御漏洞扫描：阻止安全扫描工具对敏感目录的探测（.git、.aws等）
- * 3. 防御自动化攻击：拦截针对WordPress、PHP等常见CMS的攻击路径
- * 4. 防御路径遍历：检测并阻止 ../ 等路径遍历攻击尝试
- * 5. 识别攻击工具：检测User-Agent中的sqlmap、nikto等渗透测试工具
- * 6. 性能优化：提前拦截无效请求，避免进入业务逻辑层消耗资源
- *
- * 应用场景：
- * - 公网暴露的Web应用：防止自动化工具批量扫描敏感路径
- * - 云原生部署环境：保护云服务配置文件不被探测（.aws、.env等）
- * - 多技术栈迁移：新系统可能残留旧技术栈痕迹，统一拦截避免误暴露
- * - 安全合规要求：主动防御已知的常见攻击路径，降低安全风险
- *
- * 拦截策略：
- * - User-Agent检测：识别常见扫描工具（sqlmap, nikto, nmap, metasploit等）
- * - 路径遍历检测：阻止 ../, ..\, %2e%2e%2f 等编码后的遍历尝试
- * - 精确匹配：config.json、.env、application.yml等配置文件
- * - 前缀匹配：.git/、.svn/、.aws/等版本控制和云服务目录
- * - 模糊匹配：wp-admin、wp-content等WordPress相关路径
- * - 后缀匹配：.php/.jsp/.asp等脚本文件、.bak/.sql等敏感文件
- *
- * 防御能力增强：
- * - 支持30+种敏感配置文件拦截
- * - 支持50+种敏感目录前缀拦截
- * - 支持40+种危险文件后缀拦截
- * - 支持10+种常见攻击工具识别
- *
- * 注意事项：
- * 此中间件拦截的路径在实际项目中并不存在，仅为安全防护层。
- * 被拦截的请求会立即返回404，不会进入后续业务逻辑。
- */
-export declare class ForbiddenMiddleware implements IMiddleware<Context, NextFunction> {
-    /**
-     * 匹配规则：判断请求路径是否在黑名单中
-     * @param ctx Koa上下文
-     * @returns true表示需要拦截，false表示放行
-     */
-    match(ctx: Context): boolean;
-    /**
-     * 检查是否为白名单路径
-     */
-    private isWhiteListPath;
-    /**
-     * 精确匹配：配置文件路径
-     */
-    private isExactMatch;
-    /**
-     * 前缀匹配：敏感目录
-     */
-    private isPrefixMatch;
-    /**
-     * 模糊匹配：WordPress路径、危险文件后缀
-     */
-    private isFuzzyMatch;
-    /**
-     * 检查是否为可疑的User-Agent（扫描工具、渗透测试工具）
-     */
-    private isSuspiciousUserAgent;
-    /**
-     * 检查是否包含路径遍历政击特征
-     */
-    private hasPathTraversal;
-    /**
-     * 拦截处理：返回404响应
-     */
-    resolve(): (ctx: Context, next: NextFunction) => Promise<void>;
-    static getName(): string;
-}
+import { IMiddleware } from '@midwayjs/core';
+import { NextFunction, Context } from '@midwayjs/koa';
+/**
+ * 安全防护中间件 - 黑名单路径拦截
+ *
+ * 核心职责：
+ * 1. 防御恶意爬虫：拦截常见的配置文件探测请求（.env、config.json等）
+ * 2. 防御漏洞扫描：阻止安全扫描工具对敏感目录的探测（.git、.aws等）
+ * 3. 防御自动化攻击：拦截针对WordPress、PHP等常见CMS的攻击路径
+ * 4. 防御路径遍历：检测并阻止 ../ 等路径遍历攻击尝试
+ * 5. 识别攻击工具：检测User-Agent中的sqlmap、nikto等渗透测试工具
+ * 6. 性能优化：提前拦截无效请求，避免进入业务逻辑层消耗资源
+ *
+ * 应用场景：
+ * - 公网暴露的Web应用：防止自动化工具批量扫描敏感路径
+ * - 云原生部署环境：保护云服务配置文件不被探测（.aws、.env等）
+ * - 多技术栈迁移：新系统可能残留旧技术栈痕迹，统一拦截避免误暴露
+ * - 安全合规要求：主动防御已知的常见攻击路径，降低安全风险
+ *
+ * 拦截策略：
+ * - User-Agent检测：识别常见扫描工具（sqlmap, nikto, nmap, metasploit等）
+ * - 路径遍历检测：阻止 ../, ..\, %2e%2e%2f 等编码后的遍历尝试
+ * - 精确匹配：config.json、.env、application.yml等配置文件
+ * - 前缀匹配：.git/、.svn/、.aws/等版本控制和云服务目录
+ * - 模糊匹配：wp-admin、wp-content等WordPress相关路径
+ * - 后缀匹配：.php/.jsp/.asp等脚本文件、.bak/.sql等敏感文件
+ *
+ * 防御能力增强：
+ * - 支持30+种敏感配置文件拦截
+ * - 支持50+种敏感目录前缀拦截
+ * - 支持40+种危险文件后缀拦截
+ * - 支持10+种常见攻击工具识别
+ *
+ * 注意事项：
+ * 此中间件拦截的路径在实际项目中并不存在，仅为安全防护层。
+ * 被拦截的请求会立即返回404，不会进入后续业务逻辑。
+ */
+export declare class ForbiddenMiddleware implements IMiddleware<Context, NextFunction> {
+    /**
+     * 匹配规则：判断请求路径是否在黑名单中
+     * @param ctx Koa上下文
+     * @returns true表示需要拦截，false表示放行
+     */
+    match(ctx: Context): boolean;
+    /**
+     * 检查是否为白名单路径
+     */
+    private isWhiteListPath;
+    /**
+     * 精确匹配：配置文件路径
+     */
+    private isExactMatch;
+    /**
+     * 前缀匹配：敏感目录
+     */
+    private isPrefixMatch;
+    /**
+     * 模糊匹配：WordPress路径、危险文件后缀
+     */
+    private isFuzzyMatch;
+    /**
+     * 检查是否为可疑的User-Agent（扫描工具、渗透测试工具）
+     */
+    private isSuspiciousUserAgent;
+    /**
+     * 检查是否包含路径遍历政击特征
+     */
+    private hasPathTraversal;
+    /**
+     * 拦截处理：返回404响应
+     */
+    resolve(): (ctx: Context, next: NextFunction) => Promise<void>;
+    static getName(): string;
+}