mm_os 3.3.1 → 4.0.1

package/middleware/waf_xss/index.js

@@ -1,269 +0,0 @@
-const mm_expand = require('mm_expand');
-
-/**
- * XSS攻击防护中间件
- */
-class Middleware {
-    /**
-     * 构造函数
-     */
-    constructor() {
-        this.default = {
-            // 过滤模式: sanitize(清理) | encode(编码) | both(同时进行)
-            mode: 'both',
-            // 是否过滤URL参数
-            query: true,
-            // 是否过滤表单数据
-            body: true,
-            // 是否过滤Cookie
-            cookie: true,
-            // 白名单标签
-            allowedTags: ['p', 'span', 'b', 'i', 'u', 'strong', 'em', 'br'],
-            // 白名单属性
-            allowedAttributes: ['id', 'class', 'style'],
-            // 是否记录XSS攻击尝试
-            log: true,
-            // 是否阻止恶意请求
-            block: true
-        };
-    }
-
-    /**
-     * 初始化中间件
-     * @param {Object} config 配置项
-     */
-    init(config) {
-        config = Object.assign({}, this.default, config);
-        this.config = config;
-        return function() {
-            // 返回中间件的run方法作为实际的处理函数
-            return function(ctx, next) {
-                return middleware.run(ctx, next);
-            };
-        };
-    }
-
-    /**
-     * 获取客户端真实IP
-     * 在代理环境中，优先从代理头获取真实IP
-     * @param {Object} ctx Koa上下文
-     * @returns {String} 客户端真实IP
-     */
-    getClientIp(ctx) {
-        const headers = ctx.headers;
-        // 优先检查常用代理头获取真实IP
-        // 注意：X-Forwarded-For 可能包含多个IP，取第一个非未知IP的值
-        const xForwardedFor = headers['x-forwarded-for'];
-        if (xForwardedFor) {
-            // X-Forwarded-For 格式通常为: client, proxy1, proxy2
-            const ips = xForwardedFor.split(',').map(ip => ip.trim());
-            for (let i = 0; i < ips.length; i++) {
-                const ip = ips[i];
-                if (ip && ip !== 'unknown' && ip !== '127.0.0.1' && ip !== '::1') {
-                    return ip;
-                }
-            }
-        }
-        
-        // 检查其他常见的代理头
-        return headers['x-real-ip'] || 
-               headers['x-client-ip'] || 
-               headers['cf-connecting-ip'] || // CloudFlare
-               headers['fastly-client-ip'] || // Fastly
-               headers['true-client-ip'] || // Akamai and Cloudflare
-               ctx.ip; // 默认回退到ctx.ip
-    }
-
-    /**
-     * 执行中间件
-     * @param {Object} ctx Koa上下文
-     * @param {Function} next 下一个中间件
-     */
-    async run(ctx, next) {
-        const config = this.config;
-        let hasXSS = false;
-        let attackInfo = {};
-
-        // 清理URL查询参数
-        if (config.query && ctx.query) {
-            for (let key in ctx.query) {
-                const original = ctx.query[key];
-                const sanitized = this.sanitizeInput(original, config);
-                if (original !== sanitized) {
-                    ctx.query[key] = sanitized;
-                    hasXSS = true;
-                    attackInfo[`query.${key}`] = { original, sanitized };
-                }
-            }
-        }
-
-        // 清理请求体数据
-        if (config.body && ctx.request.body) {
-            this.cleanObject(ctx.request.body, config, attackInfo, 'body', hasXSS);
-        }
-
-        // 清理Cookie
-        if (config.cookie && ctx.cookies) {
-            const cookies = ctx.headers.cookie;
-            if (cookies) {
-                // 记录Cookie中的XSS尝试但不修改，因为修改Cookie需要重新设置
-                const cookieArr = cookies.split(';');
-                for (let cookie of cookieArr) {
-                    const [name, value] = cookie.split('=').map(item => item.trim());
-                    const sanitized = this.sanitizeInput(decodeURIComponent(value), config);
-                    if (value !== sanitized) {
-                        hasXSS = true;
-                        attackInfo[`cookie.${name}`] = { original: value, sanitized };
-                    }
-                }
-            }
-        }
-
-        // 记录XSS攻击尝试
-        if (hasXSS && config.log && $.log) {
-            $.log.warn('XSS Attack Attempt Detected:', {
-                ip: this.getClientIp(ctx),
-                path: ctx.path,
-                method: ctx.method,
-                attackInfo
-            });
-        }
-
-        // 阻止恶意请求
-        if (hasXSS && config.block) {
-            ctx.status = 403;
-            ctx.body = {
-                code: 403,
-                msg: 'Forbidden: Potential XSS attack detected'
-            };
-            return;
-        }
-
-        // 添加安全响应头
-        this.addSecurityHeaders(ctx);
-
-        await next();
-    }
-
-    /**
-     * 递归清理对象中的XSS内容
-     * @param {Object} obj 要清理的对象
-     * @param {Object} config 配置项
-     * @param {Object} attackInfo 攻击信息收集对象
-     * @param {String} prefix 路径前缀
-     * @param {Boolean} hasXSS 是否已发现XSS
-     */
-    cleanObject(obj, config, attackInfo, prefix, hasXSS) {
-        if (!obj || typeof obj !== 'object') return;
-
-        for (let key in obj) {
-            const path = `${prefix}.${key}`;
-            if (typeof obj[key] === 'string') {
-                const original = obj[key];
-                const sanitized = this.sanitizeInput(original, config);
-                if (original !== sanitized) {
-                    obj[key] = sanitized;
-                    hasXSS = true;
-                    attackInfo[path] = { original, sanitized };
-                }
-            } else if (typeof obj[key] === 'object') {
-                this.cleanObject(obj[key], config, attackInfo, path, hasXSS);
-            }
-        }
-    }
-
-    /**
-     * 清理输入内容
-     * @param {String} input 输入内容
-     * @param {Object} config 配置项
-     * @returns {String} 清理后的内容
-     */
-    sanitizeInput(input, config) {
-        if (!input || typeof input !== 'string') return input;
-
-        let output = input;
-
-        // 根据模式选择清理方式
-        if (config.mode === 'sanitize' || config.mode === 'both') {
-            output = this.sanitizeHTML(output, config);
-        }
-
-        if (config.mode === 'encode' || config.mode === 'both') {
-            output = this.encodeHTML(output);
-        }
-
-        return output;
-    }
-
-    /**
-     * 清理HTML内容
-     * @param {String} html HTML内容
-     * @param {Object} config 配置项
-     * @returns {String} 清理后的内容
-     */
-    sanitizeHTML(html, config) {
-        // 简单的HTML标签清理实现
-        // 在生产环境中，可以使用更强大的库如DOMPurify
-        let clean = html;
-        
-        // 移除所有脚本标签
-        clean = clean.replace(/<script[^>]*>.*?<\/script>/gi, '');
-        
-        // 移除所有事件处理器
-        clean = clean.replace(/\s+on\w+\s*=\s*["\']?[^"\'>\s]+/gi, '');
-        
-        // 移除危险的URL协议
-        clean = clean.replace(/(src|href|data|action)\s*=\s*["\']?(javascript|data|vbscript):/gi, '$1=');
-        
-        return clean;
-    }
-
-    /**
-     * 编码HTML特殊字符
-     * @param {String} html HTML内容
-     * @returns {String} 编码后的内容
-     */
-    encodeHTML(html) {
-        return String(html)
-            .replace(/&/g, '&amp;')
-            .replace(/</g, '&lt;')
-            .replace(/>/g, '&gt;')
-            .replace(/"/g, '&quot;')
-            .replace(/'/g, '&#39;');
-    }
-
-    /**
-     * 添加安全响应头
-     * @param {Object} ctx Koa上下文
-     */
-    addSecurityHeaders(ctx) {
-        // X-XSS-Protection 头
-        ctx.set('X-XSS-Protection', '1; mode=block');
-        
-        // Content-Security-Policy 头
-		ctx.set('Content-Security-Policy', "default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval'; style-src 'self' 'unsafe-inline'; img-src 'self' data:;");
-    }
-}
-
-// 创建中间件实例
-const middleware = new Middleware();
-
-// 导出符合系统期望的函数
-exports = module.exports = function(server, config) {
-    // 初始化中间件
-    const handlerFactory = middleware.init(config);
-    const middlewareHandler = handlerFactory();
-    
-    // 直接使用server.use注册中间件
-    server.use(middlewareHandler);
-    
-    // 记录中间件初始化信息
-    if ($.log && $.log.info) {
-        $.log.info(`XSS防护中间件已加载: 模式=${middleware.config.mode}, 过滤=${middleware.config.query ? 'query' : ''}${middleware.config.body ? ' body' : ''}${middleware.config.cookie ? ' cookie' : ''}`);
-    }
-    
-    return server;
-};
-
-// 保留原始实例，以便其他方式调用
-exports.middleware = middleware;

package/middleware/waf_xss/middleware.json

@@ -1,18 +0,0 @@
-{
-  "name": "waf_xss",
-  "title": "XSS攻击防护中间件",
-  "type": "web_before",
-  "state": 1,
-  "sort": 10,
-  "desc": "提供全面的XSS攻击防护，包括输入过滤和安全响应头设置",
-  "config": {
-    "mode": "both",
-    "query": true,
-    "body": true,
-    "cookie": true,
-    "allowedTags": ["p", "span", "b", "i", "u", "strong", "em", "br"],
-    "allowedAttributes": ["id", "class", "style"],
-    "log": true,
-    "block": true
-  }
-}

package/middleware/web_after/index.js

@@ -1,33 +0,0 @@
-/**
- * web请求之后
- * @param {Object} server 服务
- * @param {Object} config 配置参数
- */
-module.exports = function(server, config) {
-	server.use(async (ctx, next) => {
-		try {
-			// 先让其他中间件执行
-			await next();
-			
-			// 然后执行after逻辑
-			try {
-				if (ctx.path !== "/favicon.ico") {
-					await $.eventer.run('web_after', ctx, ctx.db);
-					var event = $.event_admin('api');
-					var ret = await event.after(ctx.path, ctx, ctx.db);
-					if (ret) {
-						ctx.body = ret;
-					}
-				}
-			} catch (afterError) {
-				$.log.error('web_after事件执行错误:', afterError);
-				// 即使after事件出错，也不影响响应结果
-			}
-		} catch (error) {
-			$.log.error('web_after中间件错误:', error);
-			// 注意：这里不需要再次调用next()，因为已经在try块中调用过了
-		}
-	});
-
-	return server;
-};

package/middleware/web_after/middleware.json

@@ -1,10 +0,0 @@
-{
-	"name": "web_after",
-	"title": "web请求后",
-	"description": "用于追加处理",
-	"version": "1.0",
-	"type": "web",
-	"process_type": "common_before",
-	"sort": 150,
-	"state": 1
-}

package/middleware/web_base/index.js

@@ -1,90 +0,0 @@
-const xmlParser = require("mm_xml");
-const session = require('mm_session');
-const compress = require('koa-compress');
-const { koaBody } = require('koa-body');
-const send = require('koa-send');
-
-/**
- * web基础
- * @param {Object} server 服务
- * @param {Object} config 配置参数
- */
-module.exports = function(server, config) {
-	/**
-	 * 发送文件
-	 */
-	server.use(async (ctx, next) => {
-		try {
-			ctx.send = async function(src) {
-				try {
-					await send(ctx, src);
-				} catch (sendError) {
-					$.log.error('文件发送错误:', sendError);
-					// 可以选择抛出错误让上层处理，或者静默处理
-					throw sendError;
-				}
-			}
-			await next();
-		} catch (error) {
-			$.log.error('web_base中间件(文件发送设置)错误:', error);
-			// 出错时默认允许请求继续处理
-			await next();
-		}
-	});
-	
-	// 设置session 保存时长2小时
-	server.use(session({
-		maxAge: $.login_period || config.maxAge || 7200
-	}));
-
-	// 使用压缩
-	if (config.compress) {
-		server.use(
-			compress({
-				filter: function(content_type) {
-					// 只有在请求的content-type中有gzip类型，我们才会考虑压缩，因为zlib是压缩成gzip类型的
-					return /text/i.test(content_type);
-				},
-				// 阀值，当数据超过1kb的时候，可以压缩
-				threshold: 1024,
-				// zlib是node的压缩模块
-				flush: require('zlib').Z_SYNC_FLUSH
-			})
-		);
-	}
-
-	// 解析 text/xml
-	server.use(xmlParser());
-
-	var func = koaBody({
-		jsonLimit: config.jsonLimit || '20mb',
-		multipart: true,
-		formidable: {
-			// 设置上传文件大小最大限制，默认20M
-			maxFileSize: 2000 * 1024 * 1024
-		}
-	});
-
-	// 解析 application/json、application/x-www-form-urlencoded、text/plain
-	// 接收主体
-	server.use(async (ctx, next) => {
-		try {
-			if (!ctx.request.body) {
-				try {
-					await func(ctx, next);
-				} catch (parseError) {
-					$.log.error('请求体解析错误:', parseError);
-					// 解析错误时，确保请求继续处理
-					await next();
-				}
-			} else {
-				await next();
-			}
-		} catch (error) {
-			$.log.error('web_base中间件(请求体解析)错误:', error);
-			// 出错时默认允许请求继续处理
-			await next();
-		}
-	});
-	return server;
-};

package/middleware/web_base/middleware.json

@@ -1,10 +0,0 @@
-{
-	"name": "web_base",
-	"title": "web基本功能",
-	"description": "用于网站常规功能",
-	"version": "1.0",
-	"type": "web",
-	"process_type": "common_before",
-	"sort": 70,
-	"state": 1
-}

package/middleware/web_before/index.js

@@ -1,27 +0,0 @@
-/**
- * web请求之前
- * @param {Object} server 服务
- * @param {Object} config 配置参数
- */
-module.exports = function(server, config) {
-	// 使用路由(主要)
-	server.use(async (ctx, next) => {
-		if (!ctx.db) {
-			ctx.db = {
-				ret: null
-			};
-		}
-		if (ctx.path !== "/favicon.ico") {
-			await $.eventer.run('web_before', ctx, ctx.db);
-			var event = $.event_admin('api');
-			var ret = await event.before(ctx.path, ctx, ctx.db);
-			// console.log("before阶段", ret);
-			if (ret) {
-				ctx.body = ret;
-			}
-		}
-		await next();
-	});
-
-	return server;
-};

package/middleware/web_before/middleware.json

@@ -1,10 +0,0 @@
-{
-	"name": "web_before",
-	"title": "web请求前",
-	"description": "用于",
-	"version": "1.0",
-	"type": "web",
-	"process_type": "common_before",
-	"sort": 80,
-	"state": 1
-}

package/middleware/web_check/index.js

@@ -1,28 +0,0 @@
-/**
- * web验证
- * @param {Object} server 服务
- * @param {Object} config 配置参数
- */
-module.exports = function(server, config) {
-	// 使用路由(主要)
-	server.use(async (ctx, next) => {
-		try {
-			if (ctx.path !== "/favicon.ico") {
-				await $.eventer.run('web_check', ctx, ctx.db);
-				var event = $.event_admin('api');
-				var ret = await event.check(ctx.path, ctx, ctx.db);
-				// console.log("check阶段", ret);
-				if (ret) {
-					ctx.body = ret;
-				}
-			}
-			await next();
-		} catch (error) {
-			$.log.error('web_check中间件错误:', error);
-			// 确保请求可以继续处理
-			await next();
-		}
-	});
-
-	return server;
-};

package/middleware/web_check/middleware.json

@@ -1,10 +0,0 @@
-{
-	"name": "web_check",
-	"title": "web请求验证",
-	"description": "用于验证请求，拦截不符合调条件的请求",
-	"version": "1.0",
-	"type": "web",
-	"process_type": "common_before",
-	"sort": 90,
-	"state": 1
-}

package/middleware/web_main/index.js

@@ -1,28 +0,0 @@
-/**
- * web请求
- * @param {Object} server 服务
- * @param {Object} config 配置参数
- */
-module.exports = function(server, config) {
-	// 使用路由(主要)
-	server.use(async (ctx, next) => {
-		try {
-			if (ctx.path !== "/favicon.ico") {
-				await $.eventer.run('web_main', ctx, ctx.db);
-				var event = $.event_admin('api');
-				var ret = await event.main(ctx.path, ctx, ctx.db);
-				// console.log("main阶段", ret);
-				if (ret) {
-					ctx.body = ret;
-				}
-			}
-			await next();
-		} catch (error) {
-			$.log.error('web_main中间件错误:', error);
-			// 确保请求可以继续处理
-			await next();
-		}
-	});
-
-	return server;
-};

package/middleware/web_main/middleware.json

@@ -1,10 +0,0 @@
-{
-	"name": "web_main",
-	"title": "web请求主要",
-	"description": "用于处理主要请求",
-	"version": "1.0",
-	"type": "web",
-	"process_type": "common_before",
-	"sort": 100,
-	"state": 1
-}

package/middleware/web_proxy/index.js

@@ -1,37 +0,0 @@
-const {
-	proxy,
-	proxyTo,
-	isMatch
-} = require('mm_koa_proxy');
-
-/**
- * 代理请求
- * @param {Object} server 服务
- * @param {Object} config 配置参数
- */
-module.exports = function(server, config) {
-	if (config && config.proxy) {
-		var options = config.proxy;
-		if (options.targets) {
-			server.use(async (ctx, next) => {
-				try {
-					// 先设置用户信息头
-					if (ctx.session && ctx.session.user) {
-						ctx.request.header['user_id'] = ctx.session.user.user_id;
-					}
-					// 创建一个代理处理器
-					const proxyHandler = proxy(options, function(op, ctxProxy, nextProxy) {
-						return nextProxy();
-					});
-					// 执行代理
-					await proxyHandler(ctx, next);
-				} catch (error) {
-					$.log.error('web_proxy中间件错误:', error);
-					// 出错时默认允许请求继续处理
-					await next();
-				}
-			});
-		}
-	}
-	return server;
-};

package/middleware/web_proxy/middleware.json

@@ -1,10 +0,0 @@
-{
-	"name": "web_proxy",
-	"title": "web代理服务",
-	"description": "用于将特定路由转发到别的服务端上做处理",
-	"version": "1.0",
-	"type": "web",
-	"process_type": "worker",
-	"sort": 110,
-	"state": 1
-}

package/middleware/web_render/index.js

@@ -1,87 +0,0 @@
-/**
- * 调用函数
- * @param {Object} ret 设置响应结果
- * @param {Object} res 响应器
- * @param {String} t 请求类型
- * @return {String} 处理后的响应结果
- */
-function render_body(ret, res, t) {
-	var type;
-	if (res.type) {
-		type = res.type;
-	}
-	var tp = typeof(ret);
-	if (tp === "object") {
-		if (!type) {
-			/// 设置响应头
-			if (t.indexOf('xml') !== -1) {
-				type = t;
-			} else {
-				type = "application/json; charset=utf-8";
-			}
-			res.type = type;
-		} else {
-			if (type.indexOf('json') !== -1) {
-				type = "application/json; charset=utf-8";
-			} else if (type.indexOf('html') !== -1) {
-				type = "text/html";
-			} else if (type.indexOf('xml') !== -1) {
-				type = "text/xml; charset=utf-8";
-			} else {
-				type = "text/plain; charset=utf-8";
-			}
-			res.type = type;
-		}
-
-		if (type.indexOf('/xml') !== -1) {
-			return $.toXml(ret);
-		} else {
-			return JSON.stringify(ret);
-		}
-	} else if (tp === "string") {
-		ret = ret.trim();
-		if (!type) {
-			if (ret.startWith('{') && ret.endWith('}')) {
-				res.type = "application/json; charset=utf-8";
-			} else if (ret.startWith('[') && ret.endWith(']')) {
-				res.type = "application/json; charset=utf-8";
-			} else if (ret.endWith("</html>")) {
-				res.type = "text/html";
-			} else {
-				res.type = "text/plain; charset=utf-8";
-			}
-		}
-	}
-	return ret;
-};
-
-/**
- * web渲染
- * @param {Object} server 服务
- * @param {Object} config 配置参数
- */
-module.exports = function(server, config) {
-	// 使用路由(主要)
-	server.use(async (ctx, next) => {
-		try {
-			if (ctx.path !== "/favicon.ico") {
-				await $.eventer.run('web_render', ctx, ctx.db);
-				var event = $.event_admin('api');
-				var ret = await event.render(ctx.path, ctx, ctx.db);
-				if (!ctx.body && ret) {
-					ctx.body = ret;
-				}
-				if (ctx.body) {
-					ctx.body = render_body(ctx.body, ctx.response, ctx.request.type);
-				}
-			}
-			await next();
-		} catch (error) {
-			$.log.error('web_render中间件错误:', error);
-			// 确保请求可以继续处理
-			await next();
-		}
-	});
-
-	return server;
-};