twikoo-func 1.7.23 → 1.7.24

package/index.js

@@ -35,6 +35,7 @@ const {
   getConfig,
   getConfigForAdmin,
   validate,
+  validateClientFields,
   checkCommentOwnership,
   isValidEmail
 } = require('./utils')
@@ -87,6 +88,8 @@ exports.main = async (event, context) => {
   let res = {}
   try {
     protect()
+    // 统一校验客户端字段类型，防止查询操作符对象注入数据库查询条件
+    validateClientFields(event)
     await readConfig()
     switch (event.event) {
       case 'GET_FUNC_VERSION':

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "twikoo-func",
-  "version": "1.7.23",
+  "version": "1.7.24",
   "description": "A simple comment system.",
   "author": "imaegoo <hello@imaegoo.com> (https://github.com/imaegoo)",
   "license": "MIT",

package/utils/index.js

@@ -469,9 +469,33 @@ const fn = {
       }
     }
   },
+  // 客户端字段类型校验，防止 NoSQL 查询条件注入。
+  // 以下字段会直接参与数据库查询或作为评论归属标识，
+  // 如果传入对象，会被数据库解释为查询操作符（如 $ne、$gt），
+  // 导致越权删除评论、绕过评论可见性限制等问题。
+  // 允许字段缺省或为 null（兼容首次匿名请求），有值时必须是字符串。
+  validateClientFields (event = {}) {
+    const stringFields = ['accessToken', 'id', 'url', 'pid', 'rid']
+    for (const field of stringFields) {
+      const value = event[field]
+      if (value !== undefined && value !== null && typeof value !== 'string') {
+        throw new Error(`参数"${field}"必须是字符串`)
+      }
+    }
+    if (event.urls !== undefined && event.urls !== null) {
+      if (!Array.isArray(event.urls) || event.urls.some((url) => typeof url !== 'string')) {
+        throw new Error('参数"urls"必须是字符串数组')
+      }
+    }
+  },
   // 校验评论归属：确认评论存在且属于当前用户
   async checkCommentOwnership (id, uid, getComment) {
     fn.validate({ id }, ['id'])
+    // 兜底校验：id 必须是字符串，防止查询操作符对象注入 _id 条件，
+    // 绕过归属校验后批量删除评论
+    if (typeof id !== 'string') {
+      throw new Error('参数"id"必须是字符串')
+    }
     const comment = await getComment(id)
     if (!comment) {
       throw new Error('评论不存在')