 杭州明婳科技
|
8770e9344a
|
fix remaining framework contract gaps
|
2026-07-08 11:17:54 +08:00 |
|
|
杭州明婳科技
|
6595e94677
|
fix: 多模型评审终审收口 — P0安全 + 主线A并发治理 + 文档对齐
经 deepseek/GLM/Claude 三轮对抗性评审 + 交叉核验 + 终审（见
last_report.md、cross_review_assessment.md），逐条回读源码核实并修复。
go build / vet / test -race ./... 全绿。
安全（P0）：
- JWT alg confusion：WithValidMethods 固定 HMAC + keyfunc 方法断言
- JWT 空密钥 / 不支持算法 fail-closed（ErrEmptySecret / ErrUnsupportedAlgorithm）
- 上传大小实测封顶（enforceUploadSize），不信任客户端 file.Size
- HTTP headers/cookies map 竞态（写锁+快照）+ SSRF 防护（opt-in dialer.Control）
并发/资源（主线A 闭合）：
- 包级可变全局一律 atomic.Pointer：DefaultRedis / DefaultStorage /
DefaultManager / Validator / DefaultCache 等，消除裸指针数据竞争
- trace.Close 去 sync.Once（防 exporter 泄漏）；app OnReady 失败走 Shutdown
- ws.Hub.Stop stopOnce 防 double-close；cron 接入 App 生命周期（WithCron）
- ratelimit failClosed atomic.Bool；Recover Written() 守卫
- cron checkAndRun 锁内收集锁外 spawn（wg.Add 在锁内防 Stop 竞态）
终审剩余项收口（H-A~M-H + L 系列）：
- 副本连接池 MaxOpenConns/2 截断修复（replicaMaxOpenConns）
- JWT 黑名单 1s 超时 + 显式错误；ratelimit GetRedis 取一次复用
- GetPage 深分页上限；HashFile 流式；ReadFile 去 TOCTOU
- config Clone() 深拷贝；cache 锁操作返 ErrRedisNotReady
- compress 解压残留清理；正则预编译；EqualsIgnoreCase→EqualFold
- 删 redisLimiters 死代码；CLI 输入校验 + 回滚
文档：
- README/GUIDE/CHANGELOG 对齐当前 API（含破坏性变更迁移说明）
- docs/README 索引修正；config 注释修正（RS256 已不支持）
破坏性变更详见 CHANGELOG.md [Unreleased]。项目处于研发初期、无下游用户。
Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
|
2026-07-03 23:16:03 +08:00 |
|
|
杭州明婳科技
|
0f13292a46
|
GLM 5.2修改版
|
2026-07-02 18:26:27 +08:00 |
|
|
杭州明婳科技
|
dcfd24b624
|
release: v1.0.3 bug fix release
v1.0.3 定位为 bug fix release，收口 v1.0.2 引入的破坏性清理并修复
4 个轻量 bug + 依赖复查 + 版本号治理 + 文档对齐。同时包含此前未提交
的 v1.0.2 全部工作。
v1.0.3 变更：
Fixed:
- generateJTI 忽略 rand.Read 错误（jwt）— 改为 (string, error) 并传播
- QueryBuilder.Page Count 受残留 Limit 截断（repository）— countDB 加 Limit(-1).Offset(-1)
- OSS/本地存储文件名冲突（storage）— 新增 uniqueFilename 加 8 字节随机后缀
- 数据库重试策略对不可恢复错误无效（database）— 新增 isTransientDBError
Dependencies:
- go mod tidy 补全 postgres 方言传递依赖；安全补丁升级
x/crypto v0.49→v0.53、golang-jwt/jwt/v5 v5.2.1→v5.3.1、gorilla/websocket v1.5.1→v1.5.3
Removed:
- Breaking: 清理 v1.0.2 兼容别名（InitMySQL* / driverName）
- 死代码 database.DBResolver
- 代码中 292 行"评分/理由"自夸注释（#26，23 个文件）
Changed:
- Breaking: 错误码体系重构 CodeSuccess 1→0、CodeFail 0→1，删除 CodeInvalidParams，加编译期防撞码
- database/mysql.go → manager.go；Logger 拆分三独立 core 修复 Tee 重复写入
- 版本号常量化：app.go 新增 const Version 作为唯一来源，CLI/脚手架模板引用之，不再散落字面量
Security:
- CORS 中间件按 W3C 规范修复 Allow-Credentials / Vary: Origin / 非白名单不回显
Added:
- console 包显式 level 控制（SetLevel/WithLevel/LevelSilent，atomic.Int32 并发安全）
- 新增测试 jwt/repository/storage/database/router/middleware/app
- 文档：新增 CHANGELOG.md、Version_v1.0.2_report.md；更新 README/GUIDE 顶部更新日志
- 文档对齐：删除对不存在的 config.DefaultManager() getter 的描述（保持 API 与文档一致）
详见 CHANGELOG.md 与 README.md 更新日志。
Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
|
2026-06-22 21:40:10 +08:00 |
|
|
杭州明婳科技
|
2dfcbbbb22
|
init
|
2026-04-30 23:26:14 +08:00 |
|