qq-bot-roost 0.8.7 → 0.8.8

package/src/web/server.js

@@ -43,6 +43,61 @@ import {
 const log = createLogger('webui');
 const WEB_ROOT = path.join(ROOT, 'web');
 
+/**
+ * 主面板的 CSP。
+ *
+ * 几个取舍说明一下，免得后来人以为写错了：
+ *   - `script-src 'self'` 是硬要求：主题脚本已外置成 /theme-boot.js，
+ *     面板里不再有内联 <script>。开 'unsafe-inline' 等于放弃脚本防护，
+ *     而面板 localStorage 里存着访问密钥。
+ *   - `style-src` **必须**留 'unsafe-inline'：app.js 里有二十多处
+ *     `style="width:...%"` 这类动态样式，去掉它布局直接散架。
+ *   - `img-src` 带 data: 和 blob:：二维码是 SVG 内联，插件图标可能用 data URI。
+ *   - 不设 HSTS：本地是 http，加了会让浏览器以后强制走 https 打不开。
+ *     反代终止 TLS 时由 Nginx/Caddy 那边加。
+ *   - `frame-src 'self'` 是给插件页面 iframe 用的，与 `frame-ancestors 'none'`
+ *     不冲突：前者管「我能嵌谁」，后者管「谁能嵌我」。
+ */
+const CSP_MAIN = [
+  "default-src 'self'",
+  "script-src 'self'",
+  "style-src 'self' 'unsafe-inline'",
+  "img-src 'self' data: blob:",
+  "font-src 'self' data:",
+  "connect-src 'self'",
+  "frame-src 'self'",
+  "object-src 'none'",
+  "base-uri 'none'",
+  "form-action 'self'",
+  "frame-ancestors 'none'",
+].join('; ');
+
+/**
+ * 插件页面的 CSP —— 必须比主面板宽，而且**一条 `'self'` 都不能有**。
+ *
+ * 两个坑，都是实测踩出来的：
+ *
+ * 1. 插件页跑在 `sandbox="allow-scripts allow-forms"` 的 iframe 里（没有
+ *    allow-same-origin），它的源是 **opaque origin**。CSP 里 `'self'` 的语义是
+ *    「文档自己的源」，而 opaque origin 跟谁都不相等 —— 于是 `connect-src 'self'`
+ *    会把插件页**所有** fetch 拦死。现象是页面渲染正常、数据永远加载不出来，
+ *    控制台报 `Failed to fetch`，而服务端一条请求记录都没有。
+ * 2. 所以这里改用协议通配（`http:` / `https:`）而不是源通配。
+ *    敢放宽的前提是隔离靠 sandbox 不靠 CSP：插件页读不到父页的 localStorage /
+ *    Cookie / DOM，调接口必须带 URL 上那把只属于本页面的 `pt` 令牌。
+ *
+ * 也不设 `frame-ancestors`：opaque origin 下它同样认不出「谁在嵌我」，
+ * 反而可能连面板自己都嵌不进去。防外部嵌套由主面板那套 X-Frame-Options 负责。
+ */
+const CSP_PAGE = [
+  "default-src 'none'",
+  "script-src 'unsafe-inline' http: https:",
+  "style-src 'unsafe-inline' http: https:",
+  "img-src data: blob: http: https:",
+  "font-src data: http: https:",
+  "connect-src http: https:",
+].join('; ');
+
 const MIME = {
   '.html': 'text/html; charset=utf-8',
   '.css': 'text/css; charset=utf-8',
@@ -447,15 +502,101 @@ export async function startWebServer({
    * timingSafeEqual 只防时序侧信道，挡不住「弱 key 被顺序猜」。
    * 正确 key 不受影响（成功后清零），误伤面很小。
    */
+  /**
+   * 面板会话：sid -> 过期时间戳。
+   *
+   * 为什么要有它：accessKey 是长期固定的，挂在 URL 上会进浏览器历史、书签同步、
+   * Referer、反向代理 access_log，每一条都是明文泄露面。换成 HttpOnly Cookie 之后，
+   * 页面脚本读不到、外链带不出去，而且重启进程就全部作废（等于一键踢掉所有会话）。
+   *
+   * 只存内存。重启后要重新用带 ?key= 的地址进一次 —— 这是有意为之：
+   * 落盘就等于多存一份长期凭据，和「减少凭据扩散」的目标相反。
+   */
+  const sessions = new Map();
+  const SESSION_TTL_MS = 7 * 864e5;
+  const sessionTimer = setInterval(() => {
+    const now = Date.now();
+    for (const [k, exp] of sessions) if (exp < now) sessions.delete(k);
+  }, 60_000);
+  sessionTimer.unref?.();
+
   const authFails = new Map(); // ip -> { count, start }
   const AUTH_WINDOW = 60_000;
   const AUTH_MAX_FAILS = 20;
-  const authorized = (req, url) => {
+
+  /**
+   * 从 URL 上的 `pt` 反查插件页面。
+   *
+   * 为什么需要它：插件页在 iframe 里是 **opaque origin**（sandbox 不给
+   * allow-same-origin），既带不了 Cookie，也带不了 X-Access-Key 头，
+   * 唯一的凭证只能挂在地址上。所以给它一把只属于那个页面的随机令牌。
+   */
+  const pickPageToken = (url) => {
+    const pt = url.searchParams.get('pt');
+    if (!pt) return null;
+    for (const r of runtimes) {
+      const hit = r?.plugins?.pages?.findByToken?.(pt);
+      if (hit) return hit;
+    }
+    return null;
+  };
+
+  /**
+   * 页面令牌能碰哪些路径 —— **最小权限**，不是「只读」。
+   *
+   * 只放行这个插件自己的入口：
+   *   /api/pages/<插件id>:<key>/html   iframe 载入页面本体
+   *   /api/plugins/<插件id>/panel      面板数据（dice 的战绩就是这么取的）
+   *   /api/plugins/<插件id>/r/*        插件自己的路由（斗罗后台全在这一层）
+   *   /api/status                      只读状态
+   *
+   * **方法不限制**。斗罗那种运营后台要 POST/PATCH 改数据，只给 GET 会直接
+   * 把它废掉；而「限制插件写自己的数据」没有安全收益 —— 插件本来就有子进程
+   * 执行权。真正的边界是**不让它碰面板接口**：/api/config、/api/logs、
+   * /api/bots、/api/qq/call 一个都不在名单里。
+   */
+  const pageTokenAllows = (pathname, ptPage) => {
+    const id = String(ptPage?.pluginId ?? '');
+    if (!id) return false;
+    if (pathname === `/api/pages/${ptPage.key}/html`) return true;
+    if (pathname === `/api/plugins/${id}/panel`) return true;
+    if (pathname.startsWith(`/api/plugins/${id}/r/`)) return true;
+    if (pathname === '/api/status') return true;
+    return false;
+  };
+
+  const authorized = (req, url, ptPage = null) => {
     if (!accessKey) return true;
+
+    // 插件页面令牌：不是面板密钥，权限由 pageTokenAllows() 再收一道
+    if (ptPage) return true;
+
+    /**
+     * 会话 Cookie —— 浏览器正常路径都走这里。
+     *
+     * 只在正则上限制 64 位十六进制是防「畸形 cookie 撑爆 Map」，
+     * 不是安全边界；真正的校验是下面查表 + 过期判断。
+     */
+    const cookie = String(req.headers.cookie || '');
+    const sid = /(?:^|;\s*)roost_sid=([a-f0-9]{64})/.exec(cookie)?.[1];
+    if (sid) {
+      const exp = sessions.get(sid);
+      if (exp && exp > Date.now()) return true;
+      sessions.delete(sid);
+    }
+
     const ip = req.socket?.remoteAddress || 'unknown';
     const now = Date.now();
     const rec = authFails.get(ip);
-    if (rec && now - rec.start < AUTH_WINDOW && rec.count >= AUTH_MAX_FAILS) return false;
+    if (rec && now - rec.start < AUTH_WINDOW && rec.count >= AUTH_MAX_FAILS) {
+      /**
+       * 锁定期要留痕。以前这里直接 `return false` 一句话都没有，
+       * 于是管理员只看到「访问密钥无效」，分不清是自己敲错还是有人在打，
+       * 也拿不到来源 IP。
+       */
+      log.error(`面板认证失败次数过多，已临时封禁 ${ip}（${Math.ceil((AUTH_WINDOW - (now - rec.start)) / 1000)} 秒后解除）`);
+      return false;
+    }
     // 兼容旧的 X-Token / ?token= 写法
     const given =
       req.headers['x-access-key'] ||
@@ -469,6 +610,8 @@ export async function startWebServer({
       const cur = rec && now - rec.start < AUTH_WINDOW ? rec : { count: 0, start: now };
       cur.count += 1;
       authFails.set(ip, cur);
+      // 记失败但不记密钥本身：只记来源与累计次数
+      log.warn(`面板认证失败：来源 ${ip}，本窗口第 ${cur.count} 次`);
       if (authFails.size > 5000) authFails.clear(); // 防内存膨胀
     }
     return ok;
@@ -491,7 +634,17 @@ export async function startWebServer({
    *
    * 端口不固定（会自动顺延），所以只比 host 部分。
    */
-  const isSameOrigin = (req) => {
+  const isSameOrigin = (req, ptPage = null) => {
+    /**
+     * 插件页的例外：sandbox 不给 allow-same-origin 之后，它就是 opaque origin，
+     * 发请求时 `Origin` 恒为字符串 `"null"`，new URL('null') 会抛错 → 当跨站拒掉。
+     *
+     * 只对「带有效页面令牌」的请求放行，而且这类请求的路径已经被
+     * pageTokenAllows() 限死在该插件自己的接口上。没有 pt 的 `Origin: null`
+     * 依旧按跨站处理。
+     */
+    if (ptPage && String(req.headers.origin || '') === 'null') return true;
+
     const host = String(req.headers['host'] || '');
     for (const h of ['origin', 'referer']) {
       const v = req.headers[h];
@@ -615,6 +768,17 @@ export async function startWebServer({
   }, 60000).unref?.();
 
   const server = http.createServer(async (req, res) => {
+    /**
+     * 安全响应头：面板一旦反代到公网，这几条是浏览器侧的最后一道。
+     *
+     * `Referrer-Policy: no-referrer` 尤其重要——它顺手堵掉「点面板里的外链
+     * 把 URL 上的密钥带到别人服务器」那条路（GitHub/Gitee 链接就在面板里）。
+     */
+    res.setHeader('X-Content-Type-Options', 'nosniff');
+    res.setHeader('X-Frame-Options', 'DENY');
+    res.setHeader('Referrer-Policy', 'no-referrer');
+    res.setHeader('Content-Security-Policy', CSP_MAIN);
+
     /**
      * URL 解析必须在 try 里面。
      *
@@ -632,10 +796,112 @@ export async function startWebServer({
       return json(res, 400, { error: '请求地址不合法' });
     }
 
+    /**
+     * 首跳把 `?key=` 换成会话 Cookie，然后 302 到干净地址。
+     *
+     * 只对**页面导航**这么做（`/api/` 不动）：脚本类调用方（roost-mcp 这类）
+     * 还在用 `?key=` 直连接口，一刀切会让它们全挂。等它们改成 X-Access-Key 头
+     * 再收掉 query 分支。
+     *
+     * 换成 Cookie 之后浏览器地址栏、历史记录、书签同步里就没有密钥了，
+     * 而 Cookie 是 HttpOnly，页面脚本读不到。
+     */
+    if (!pathname.startsWith('/api/')) {
+      const qKey = url.searchParams.get('key') || url.searchParams.get('token');
+      if (qKey && accessKey && safeEqual(qKey, accessKey)) {
+        const sid = crypto.randomBytes(32).toString('hex');
+        sessions.set(sid, Date.now() + SESSION_TTL_MS);
+        const rest = new URLSearchParams(url.search);
+        rest.delete('key');
+        rest.delete('token');
+        const qs = rest.toString();
+        // 用 url.pathname（原始编码形式）而不是解码后的，否则带 %2F 的路径会被改坏
+        res.writeHead(302, {
+          'Set-Cookie': `roost_sid=${sid}; HttpOnly; SameSite=Strict; Path=/; Max-Age=${Math.floor(
+            SESSION_TTL_MS / 1000,
+          )}`,
+          Location: url.pathname + (qs ? `?${qs}` : ''),
+        });
+        return res.end();
+      }
+    }
+
+    /**
+     * 面板首页的「没凭证」提示。
+     *
+     * 会话改成 Cookie 之后，最常见的新问题是「书签里的地址没有 key 了，打开一片空白」。
+     * 静态文件本身不鉴权（也不该鉴权，不然 CSS/JS 都拿不到），但首页可以给一句人话，
+     * 而不是让用户对着空面板怀疑是不是坏了。
+     */
+    if ((pathname === '/' || pathname === '/index.html') && accessKey) {
+      const ck = String(req.headers.cookie || '');
+      const sid0 = /(?:^|;\s*)roost_sid=([a-f0-9]{64})/.exec(ck)?.[1];
+      const exp0 = sid0 ? sessions.get(sid0) : 0;
+      if (!exp0 || exp0 <= Date.now()) {
+        res.writeHead(401, { 'Content-Type': 'text/html; charset=utf-8' });
+        return res.end(
+          '<!doctype html><meta charset="utf-8"><title>需要访问密钥</title>' +
+            '<body style="font:15px/1.6 system-ui;max-width:34em;margin:14vh auto;padding:0 1.2em">' +
+            '<h1 style="font-size:18px">需要访问密钥</h1>' +
+            '<p>面板已开启访问密钥，但当前浏览器还没有会话（进程重启后会话会全部失效）。</p>' +
+            '<p>请用带密钥的地址打开一次，之后会在浏览器里记住 7 天：</p>' +
+            '<pre style="background:rgba(128,128,128,.14);padding:10px 12px;border-radius:6px;overflow:auto">' +
+            `http://${shownHost}:${actualPort}/?key=你的密钥</pre>` +
+            '<p style="opacity:.65;font-size:13px">密钥在 config/bot.json 的 webui.accessKey，或启动时设置的环境变量里。</p>',
+        );
+      }
+    }
+
     try {
       // ---------------- API ----------------
       if (pathname.startsWith('/api/')) {
-        if (!authorized(req, url)) return json(res, 401, { error: '访问密钥无效' });
+        const ptPage = pickPageToken(url);
+
+        /**
+         * 插件页是 opaque origin（跨源），浏览器要求响应带 CORS 头才肯把内容
+         * 交给页面。只在带有效 pt 时回，且回 `null` —— 这只匹配 opaque origin，
+         * 普通网页拿到的 `Access-Control-Allow-Origin: null` 与自己的 Origin
+         * 不相等，仍然读不到。
+         */
+        if (ptPage && String(req.headers.origin || '') === 'null') {
+          res.setHeader('Access-Control-Allow-Origin', 'null');
+          res.setHeader('Vary', 'Origin');
+        }
+
+        /**
+         * CORS 预检直接答，**不要先认令牌**。
+         *
+         * 这里踩过一次：原来写成 `if (ptPage && req.method === 'OPTIONS')`，
+         * 于是「令牌没认出来」的预检会继续往下走，撞到「写操作必须
+         * application/json」那道闸门 —— 预检没有 body，于是回 415，
+         * 浏览器判定预检失败，页面拿到的是 `Failed to fetch`。
+         *
+         * 而插件页里 `fetch` 只要带了 `Content-Type: application/json`
+         * （斗罗对所有请求都带），连 GET 都会触发预检，所以这个坑表现为
+         * 「页面渲染正常、数据一条都没有」。
+         *
+         * 预检不返回任何数据，谁来问都答 204 即可，不需要鉴权。
+         */
+        if (req.method === 'OPTIONS') {
+          const origin = String(req.headers.origin || '');
+          res.writeHead(204, {
+            ...(origin === 'null' ? { 'Access-Control-Allow-Origin': 'null', Vary: 'Origin' } : {}),
+            'Access-Control-Allow-Methods': 'GET, POST, PATCH, PUT, DELETE, OPTIONS',
+            'Access-Control-Allow-Headers': 'Content-Type, X-Access-Key, X-Token',
+            'Access-Control-Max-Age': '600',
+          });
+          return res.end();
+        }
+
+        if (!authorized(req, url, ptPage)) return json(res, 401, { error: '访问密钥无效' });
+
+        /**
+         * 页面令牌的权限闸门：**紧跟着鉴权做**，不能放到路由里。
+         * 否则拿到任意插件页 token 就能调 /api/config、/api/logs。
+         */
+        if (ptPage && !pageTokenAllows(pathname, ptPage)) {
+          return json(res, 403, { error: '插件页面无权访问这个接口' });
+        }
 
         /**
          * CSRF / 同源校验必须在**路由之前**。
@@ -646,7 +912,7 @@ export async function startWebServer({
         if (req.method !== 'GET' && req.method !== 'HEAD' && !isJsonRequest(req)) {
           return json(res, 415, { error: '写操作需要 Content-Type: application/json' });
         }
-        if (!isSameOrigin(req)) {
+        if (!isSameOrigin(req, ptPage)) {
           return json(res, 403, { error: '跨站请求被拒绝' });
         }
 
@@ -1148,6 +1414,23 @@ export async function startWebServer({
             res.writeHead(404, { 'Content-Type': 'text/plain; charset=utf-8' });
             return res.end('页面不存在（插件可能已卸载或重载）');
           }
+          /**
+           * 插件页要单独换一套 CSP：它允许内联脚本和样式。
+           * 不换的话会继承入口那套 `script-src 'self'`，插件页的内联脚本
+           * 直接不执行 —— 表现是页面渲染出来了、但按钮全都没反应。
+           */
+          res.setHeader('Content-Security-Policy', CSP_PAGE);
+          /**
+           * `X-Frame-Options` 必须从入口的 DENY 改成 SAMEORIGIN。
+           *
+           * 入口给所有响应都加了 DENY（防止面板被别的网站嵌套），但插件页
+           * **本来就该被面板自己嵌**。留着 DENY 的后果是：iframe 加载这个地址时
+           * 被浏览器拒绝渲染，Chrome 显示「127.0.0.1 拒绝连接」——
+           * 看起来像服务没起来，实际上是安全头把它自己挡在门外。
+           *
+           * SAMEORIGIN 仍然挡住「外部站点嵌插件页」，这是需要的。
+           */
+          res.setHeader('X-Frame-Options', 'SAMEORIGIN');
           res.writeHead(200, {
             'Content-Type': 'text/html; charset=utf-8',
             // 插件页面可能随插件更新而变，不缓存
@@ -1992,10 +2275,24 @@ export async function startWebServer({
     log.warn(`端口租约写不进去：${e.message}`);
   }
 
-  const url = `http://${shownHost}:${actualPort}/${
-    accessKey ? '?key=' + encodeURIComponent(accessKey) : ''
-  }`;
-  log.info(`可视化面板: ${url}`);
+  /**
+   * 两把地址：一把给人看（进日志），一把给 openBrowser 用（带密钥，不进日志）。
+   *
+   * 以前只有一把，`log.info` 直接把带 `?key=` 的完整 URL 打出去 —— 于是密钥
+   * 落到 logs/、docker logs、截图、贴到群里求助的日志里。而面板 key 等价于
+   * 「能装插件 = 子进程执行代码」，一条日志就是一次长期凭据泄露。
+   *
+   * 服务商日志、容器 json-file、journald 都会把它留存很久，所以只能保证
+   * 「从不产生」，不能靠事后清理。
+   */
+  const baseUrl = `http://${shownHost}:${actualPort}/`;
+  // 自动打开浏览器用（main.js → openBrowser），带密钥，只走内存
+  const url = accessKey ? `${baseUrl}?key=${encodeURIComponent(accessKey)}` : baseUrl;
+
+  log.info(`可视化面板: ${baseUrl}`);
+  if (accessKey) {
+    log.info('面板已开启访问密钥：浏览器会自动带上；手动访问时在地址后加 ?key=<你的密钥>（日志里不打印）');
+  }
 
   return {
     server,