杭州明婳科技
6595e94677
经 deepseek/GLM/Claude 三轮对抗性评审 + 交叉核验 + 终审（见 last_report.md、cross_review_assessment.md），逐条回读源码核实并修复。 go build / vet / test -race ./... 全绿。 安全（P0）： - JWT alg confusion：WithValidMethods 固定 HMAC + keyfunc 方法断言 - JWT 空密钥 / 不支持算法 fail-closed（ErrEmptySecret / ErrUnsupportedAlgorithm） - 上传大小实测封顶（enforceUploadSize），不信任客户端 file.Size - HTTP headers/cookies map 竞态（写锁+快照）+ SSRF 防护（opt-in dialer.Control） 并发/资源（主线A 闭合）： - 包级可变全局一律 atomic.Pointer：DefaultRedis / DefaultStorage / DefaultManager / Validator / DefaultCache 等，消除裸指针数据竞争 - trace.Close 去 sync.Once（防 exporter 泄漏）；app OnReady 失败走 Shutdown - ws.Hub.Stop stopOnce 防 double-close；cron 接入 App 生命周期（WithCron） - ratelimit failClosed atomic.Bool；Recover Written() 守卫 - cron checkAndRun 锁内收集锁外 spawn（wg.Add 在锁内防 Stop 竞态） 终审剩余项收口（H-A~M-H + L 系列）： - 副本连接池 MaxOpenConns/2 截断修复（replicaMaxOpenConns） - JWT 黑名单 1s 超时 + 显式错误；ratelimit GetRedis 取一次复用 - GetPage 深分页上限；HashFile 流式；ReadFile 去 TOCTOU - config Clone() 深拷贝；cache 锁操作返 ErrRedisNotReady - compress 解压残留清理；正则预编译；EqualsIgnoreCase→EqualFold - 删 redisLimiters 死代码；CLI 输入校验 + 回滚 文档： - README/GUIDE/CHANGELOG 对齐当前 API（含破坏性变更迁移说明） - docs/README 索引修正；config 注释修正（RS256 已不支持） 破坏性变更详见 CHANGELOG.md [Unreleased]。项目处于研发初期、无下游用户。 Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
55 lines
1.6 KiB
Go
55 lines
1.6 KiB
Go
package main
|
||
|
||
import (
|
||
"fmt"
|
||
"os"
|
||
"path/filepath"
|
||
"strings"
|
||
)
|
||
|
||
func writeFile(path, content string) error {
|
||
dir := filepath.Dir(path)
|
||
if err := os.MkdirAll(dir, 0755); err != nil {
|
||
return fmt.Errorf("创建目录失败: %w", err)
|
||
}
|
||
|
||
if err := os.WriteFile(path, []byte(content), 0644); err != nil {
|
||
return fmt.Errorf("写入文件失败: %w", err)
|
||
}
|
||
return nil
|
||
}
|
||
|
||
func fileExists(path string) bool {
|
||
_, err := os.Stat(path)
|
||
if err == nil {
|
||
return true
|
||
}
|
||
// 仅当"不存在"才返回 false；权限错误等其它错误视为"可能存在/不可覆写"，
|
||
// 避免把无权限访问的路径误判为可创建（M20：原 !os.IsNotExist 把权限错误当存在，
|
||
// 反而安全；但语义模糊，显式区分更清晰）。
|
||
return !os.IsNotExist(err)
|
||
}
|
||
|
||
func currentModule() string {
|
||
data, err := os.ReadFile("go.mod")
|
||
if err != nil {
|
||
return "xlgo"
|
||
}
|
||
for _, line := range strings.Split(string(data), "\n") {
|
||
line = strings.TrimSpace(line)
|
||
if strings.HasPrefix(line, "module ") {
|
||
return strings.TrimSpace(strings.TrimPrefix(line, "module "))
|
||
}
|
||
}
|
||
return "xlgo"
|
||
}
|
||
|
||
func replaceModuleImports(content string) string {
|
||
module := currentModule()
|
||
content = strings.ReplaceAll(content, "\"xlgo/model\"", fmt.Sprintf("\"%s/model\"", module))
|
||
content = strings.ReplaceAll(content, "\"xlgo/repository\"", fmt.Sprintf("\"%s/repository\"", module))
|
||
content = strings.ReplaceAll(content, "\"xlgo/database\"", fmt.Sprintf("\"%s/database\"", module))
|
||
content = strings.ReplaceAll(content, "\"xlgo/response\"", "\"github.com/EthanCodeCraft/xlgo-core/response\"")
|
||
return content
|
||
}
|