zen-gitsync 2.11.39 → 2.12.2

package/src/ui/server/utils/pathGuard.test.js

@@ -0,0 +1,124 @@
+// 路径越界检查单元测试（用 node:test 内置）
+import { test } from 'node:test'
+import assert from 'node:assert/strict'
+import { ensureWithinCwd, ensureWithinCwdSync, pathGuard } from '../utils/pathGuard.js'
+
+const cwd = process.platform === 'win32' ? 'E:\\project' : '/tmp/project'
+
+test('合法路径在 cwd 内', async () => {
+  const r = await ensureWithinCwd('src/foo.ts', cwd)
+  assert.ok(r, '应返回结果')
+  assert.match(r.safePath, /[\\/]project[\\/]src[\\/]foo\.ts$/)
+})
+
+test('合法绝对路径在 cwd 内', async () => {
+  const absInCwd = process.platform === 'win32' ? 'E:\\project\\sub' : '/tmp/project/sub'
+  const r = await ensureWithinCwd(absInCwd, cwd)
+  assert.ok(r, '应通过')
+  assert.equal(r.safePath, absInCwd)
+})
+
+test('../ 父目录逃逸被拒绝', async () => {
+  const r = await ensureWithinCwd('../etc/passwd', cwd)
+  assert.equal(r, null, '../ 应该被拒')
+})
+
+test('cwd 的同级目录（startsWith 假阳性）被拒绝', async () => {
+  const evil = process.platform === 'win32' ? 'E:\\project-evil' : '/tmp/project-evil'
+  const r = await ensureWithinCwd(evil, cwd)
+  assert.equal(r, null, '同名前缀目录应该被拒')
+})
+
+test('绝对路径在 cwd 外被拒', async () => {
+  const outside = process.platform === 'win32' ? 'C:\\Windows\\System32' : '/etc/passwd'
+  const r = await ensureWithinCwd(outside, cwd)
+  assert.equal(r, null, '绝对外部路径应该被拒')
+})
+
+test('空字符串 / null / undefined 被拒', async () => {
+  assert.equal(await ensureWithinCwd('', cwd), null)
+  assert.equal(await ensureWithinCwd(null, cwd), null)
+  assert.equal(await ensureWithinCwd(undefined, cwd), null)
+  assert.equal(await ensureWithinCwd(123, cwd), null)
+})
+
+test('多重 ../ 也被拒', async () => {
+  const r = await ensureWithinCwd('../../../../etc/passwd', cwd)
+  assert.equal(r, null)
+})
+
+test('相对 cwd 自身（.）允许', async () => {
+  const r = await ensureWithinCwd('.', cwd)
+  assert.ok(r, '点 应解析为 cwd 本身')
+})
+
+test('Windows 反斜杠与正斜杠混用允许', async () => {
+  if (process.platform !== 'win32') return
+  const r = await ensureWithinCwd('src\\sub/foo.ts', cwd)
+  assert.ok(r)
+})
+
+test('Windows 大小写不敏感', async () => {
+  if (process.platform !== 'win32') return
+  const r = await ensureWithinCwd('SRC/FOO.TS', 'E:\\Project')
+  assert.ok(r, 'Windows 下大小写不敏感应允许')
+})
+
+test('sync 版本对 .. 同样拒绝', () => {
+  assert.equal(ensureWithinCwdSync('../foo', cwd), null)
+  const r = ensureWithinCwdSync('sub/file', cwd)
+  assert.ok(r)
+})
+
+test('中间件: 合法 path 通过 + 挂到 res.locals.safePath', async () => {
+  let nextCalled = false
+  const req = { query: { path: 'src/foo.ts' } }
+  const res = {
+    locals: {},
+    status() { return this },
+    json() { return this },
+  }
+  await pathGuard(cwd)(req, res, () => { nextCalled = true })
+  assert.equal(nextCalled, true)
+  assert.match(res.locals.safePath, /[\\/]src[\\/]foo\.ts$/)
+})
+
+test('中间件: 越界 path 返回 403', async () => {
+  let nextCalled = false
+  let statusCode = 0
+  let body = null
+  const req = { query: { path: '../etc/passwd' } }
+  const res = {
+    locals: {},
+    status(c) { statusCode = c; return this },
+    json(b) { body = b; return this },
+  }
+  await pathGuard(cwd)(req, res, () => { nextCalled = true })
+  assert.equal(nextCalled, false)
+  assert.equal(statusCode, 403)
+  assert.match(body.error, /禁止访问/)
+})
+
+test('中间件: 缺字段返回 400', async () => {
+  let statusCode = 0
+  const req = { query: {} }
+  const res = {
+    locals: {},
+    status(c) { statusCode = c; return this },
+    json() { return this },
+  }
+  await pathGuard(cwd)(req, res, () => {})
+  assert.equal(statusCode, 400)
+})
+
+test('中间件: 多字段校验（rename 用）', async () => {
+  let nextCalled = false
+  const req = { query: { oldPath: 'src/a.ts', newPath: '../b.ts' } }
+  const res = {
+    locals: {},
+    status() { return this },
+    json() { return this },
+  }
+  await pathGuard(cwd, ['oldPath', 'newPath'])(req, res, () => { nextCalled = true })
+  assert.equal(nextCalled, false, 'newPath 越界应拒')
+})

package/src/ui/server/utils/randomStartPort.js

@@ -1,37 +1,37 @@
-// 随机起点端口选择
-// 默认：避免与系统保留 / 常见服务端口重叠，在较宽的"用户态"范围里随机挑一个起点
-// 然后由 startServerOnAvailablePort 在该起点基础上顺序往上扫描 EADDRINUSE
-// 覆盖：环境变量 PORT 强制使用固定端口（向后兼容 + 便于书签/调试）
-
-const DEFAULT_MIN = 4000;
-const DEFAULT_MAX = 6000; // 2000 端口的池子；配合 maxTries 100 实际能覆盖 (max - min) 区间
-
-function pickRandomInt(min, max) {
-  // 含 min，不含 max（与 Math.random 习惯一致）
-  return Math.floor(Math.random() * (max - min)) + min;
-}
-
-/**
- * 解析本次启动应使用的起始端口
- * @param {object} [opts]
- * @param {number} [opts.min] 随机范围下界（默认 4000）
- * @param {number} [opts.max] 随机范围上界（默认 6000）
- * @returns {{ startPort: number, source: 'env'|'random', min: number, max: number }}
- */
-export function resolveStartPort({ min = DEFAULT_MIN, max = DEFAULT_MAX } = {}) {
-  // 1) 环境变量优先：用户显式指定 > 一切
-  const envPort = Number(process.env.PORT);
-  if (Number.isInteger(envPort) && envPort > 0 && envPort < 65536) {
-    return { startPort: envPort, source: 'env', min, max };
-  }
-
-  // 2) 兜底：参数范围非法就回退到 [4000, 6000)
-  if (!Number.isInteger(min) || !Number.isInteger(max) || min < 1 || max > 65535 || min >= max) {
-    min = DEFAULT_MIN;
-    max = DEFAULT_MAX;
-  }
-
-  // 3) 随机挑一个起点
-  const startPort = pickRandomInt(min, max);
-  return { startPort, source: 'random', min, max };
-}
+// 随机起点端口选择
+// 默认：避免与系统保留 / 常见服务端口重叠，在较宽的"用户态"范围里随机挑一个起点
+// 然后由 startServerOnAvailablePort 在该起点基础上顺序往上扫描 EADDRINUSE
+// 覆盖：环境变量 PORT 强制使用固定端口（向后兼容 + 便于书签/调试）
+
+const DEFAULT_MIN = 4000;
+const DEFAULT_MAX = 6000; // 2000 端口的池子；配合 maxTries 100 实际能覆盖 (max - min) 区间
+
+function pickRandomInt(min, max) {
+  // 含 min，不含 max（与 Math.random 习惯一致）
+  return Math.floor(Math.random() * (max - min)) + min;
+}
+
+/**
+ * 解析本次启动应使用的起始端口
+ * @param {object} [opts]
+ * @param {number} [opts.min] 随机范围下界（默认 4000）
+ * @param {number} [opts.max] 随机范围上界（默认 6000）
+ * @returns {{ startPort: number, source: 'env'|'random', min: number, max: number }}
+ */
+export function resolveStartPort({ min = DEFAULT_MIN, max = DEFAULT_MAX } = {}) {
+  // 1) 环境变量优先：用户显式指定 > 一切
+  const envPort = Number(process.env.PORT);
+  if (Number.isInteger(envPort) && envPort > 0 && envPort < 65536) {
+    return { startPort: envPort, source: 'env', min, max };
+  }
+
+  // 2) 兜底：参数范围非法就回退到 [4000, 6000)
+  if (!Number.isInteger(min) || !Number.isInteger(max) || min < 1 || max > 65535 || min >= max) {
+    min = DEFAULT_MIN;
+    max = DEFAULT_MAX;
+  }
+
+  // 3) 随机挑一个起点
+  const startPort = pickRandomInt(min, max);
+  return { startPort, source: 'random', min, max };
+}