Abner
|
33b8e20440
|
♻️ refactor: 抽取内部请求头构建并规范 Cookie 验证返回语义
- 新增共享模块 netlify/functions/_shared/internal-headers.js，集中构建内部函数互调请求头，统一 ACCESS_KEY 未配置时的 500 抛错逻辑
- 更新 giffgaff-graphql.js / giffgaff-mfa-challenge.js / giffgaff-mfa-validation.js，移除各自重复的 getInternalHeaders 实现，改为复用 getInternalHeaders
- 调整 verify-cookie.js 返回语义：以 success 表示 HTTP 层请求是否成功、以 valid 表示是否具备可用于后续 API 的 JWT 令牌
- 修正 verify-cookie.js 错误提示文案中的乱码问题，确保提示“无法通过Cookie获取访问令牌”表述正确
|
2026-05-31 20:30:31 +08:00 |
|
Abner
|
df2b6ca814
|
🐛 fix(auth): 收紧 BFF 鉴权并修复内部调用链路
|
2026-05-31 19:25:23 +08:00 |
|
Abner
|
b815225845
|
🐛 fix(auth): 收紧 BFF 鉴权并保持内部路由兼容
|
2026-05-31 18:15:45 +08:00 |
|
Abner
|
11ba72663a
|
♻️ refactor: 优化 CORS 处理和 API 响应解析逻辑
- 将 `createHeaders` 默认参数从固定 `ALLOWED_ORIGIN` 改为 `null`，改为由 `resolveCorsOrigin` 函数动态解析来源，统一 CORS 处理入口
- 为 `parseOrigins`、`isAllowedOrigin`、`resolveCorsOrigin` 三个 CORS 工具函数添加 JSDoc 类型注释，提高代码可读性和可维护性
- 代理转发时通过展开运算符条件传递 `X-Session-Token` 请求头，避免转发空字符串导致的鉴权问题
- 修复 URL 代理路径截断问题，保留原始查询字符串拼接，确保后端 API 能正确接收所有参数
- 增加对非 JSON 响应内容的处理分支，直接返回文本内容
|
2026-05-24 21:18:21 +08:00 |
|
Abner
|
61bf73c0a0
|
♻️ refactor(cors): 抽取 CORS 共享模块 + 通配符告警 + 响应解析容错
- 新增 _shared/cors.js 统一管理 CORS 解析与校验，消除 middleware/server 重复
- ALLOWED_ORIGIN 含通配符(*)时启动期输出安全警告
- handleApiResponse JSON 解析加 try/catch，处理空体/坏体场景
|
2026-05-24 20:44:18 +08:00 |
|
Abner
|
59a7a97c29
|
✨ feat: CORS 多源支持 + Simyo 代理修复 + API 响应处理重构
- CORS 支持逗号分隔多源列表和通配符，新增 isAllowedOrigin/resolveCorsOrigin
- Simyo 代理路径从 req.path 改为 req.originalUrl，修复查询参数丢失
- Simyo 客户端配置提取为常量，支持环境变量覆盖
- API 端点检测浏览器协议，HTTP 访问时使用相对路径
- handleApiResponse 重构：content-type 检查、HTTP 错误优先、兼容三种响应格式
- 新增 X-Session-Token 头透传
- Logger 简化，移除前端模块依赖
- 同步更新测试 mock 以匹配新接口契约
|
2026-05-24 20:36:05 +08:00 |
|
Abner
|
909b4c592f
|
✨ feat: 完善 swapSim 接口的 MFA 相关头部处理与校验
- 在 `giffgaff-graphql.js` 中为 `swapSim` 操作显式添加 `X-GG-MFA-REF` 和 `x-gg-mfa-ref` 请求头，提升与上游服务的兼容性
- 当 `isSwap` 为真但缺少 `resolvedMfaRef` 时，抛出明确的 `AuthError` 提示，确保必填参数完整性
- 在 `middleware.js` 的 CORS 配置中新增 `X-MFA-Ref` 和 `X-MFA-Challenge-Ref` 到允许的请求头列表中，支持前端跨域请求
- 保持原有 `mfaRef` 作为 GraphQL 请求体顶层字段的逻辑不变，补充请求头层面的双重保障机制
|
2026-05-18 19:43:03 +08:00 |
|
Abner
|
cc49daa993
|
🐛 fix: 修复通知 401 错误和 CSP 违规
- middleware withAuth 新增 requireAuth: false 跳过密钥校验
- CSP style-src 添加 fonts.googleapis.com (修复字体加载拦截)
- CSP font-src 添加 fonts.gstatic.com (修复字体资源拦截)
- CSP connect-src 添加 cdn.jsdelivr.net (修复 source map 加载)
- server.js CSP 同步更新与 netlify.toml 保持一致
|
2026-04-25 16:46:50 +08:00 |
|
Abner
|
7fd54dde39
|
♻️ refactor: 修复安全漏洞并优化架构债务
安全修复:
- 修复 dom.js 和 simyo/app.js 中的 innerHTML XSS 注入风险
- 使用 HTMLSanitizer.escapeHtml/escapeAttr 替代直接模板拼接
- 将 onclick 内联事件替换为 data-* 属性 + addEventListener
- 移除 server.js 中硬编码的 Simyo X-Client-Token
架构优化:
- 新增 _shared/rate-limiter.js 分布式限流模块 (Netlify Blobs)
- verify-cookie.js 内存限流替换为 KV 跨实例共享方案
- giffgaff/utils.js debounce/throttle 改为委托共享实现
- simyo/app.js 会话存储迁移至 SecureStorage (自动 TTL 过期)
- 合并 notifications-internal.js 至 notifications.js 消除双维护路径
|
2026-04-25 16:30:19 +08:00 |
|
Abner
|
0d99f1f600
|
feat: 集成 Sentry 错误监控系统
前端监控 (src/js/modules/sentry-init.js):
- 使用 @sentry/browser SDK v10+ 和 browserTracingIntegration()
- 智能环境检测，开发环境自动禁用
- 敏感数据过滤 (authKey, token, password, cookie)
- 性能追踪采样率 10%
后端监控 (netlify/functions/_shared/sentry.js):
- 使用 @sentry/node 用于 Netlify Functions
- 仅上报 5xx 服务端错误，节省配额
- Serverless 环境 flush() 确保错误发送
构建集成 (webpack.config.js):
- @sentry/webpack-plugin 自动上传 Source Maps
- 自动使用 Netlify COMMIT_REF 作为 release 版本
- 上传后自动删除本地 source maps
环境变量:
- SENTRY_DSN: 错误上报端点
- SENTRY_AUTH_TOKEN: Source Maps 上传认证
- SENTRY_ORG / SENTRY_PROJECT: 组织和项目标识
|
2025-12-13 22:03:02 +08:00 |
|
Abner
|
4a0fcc94fe
|
feat: 重构Netlify Functions架构并增强代码质量
- 新增统一的中间件模块，提供鉴权、CORS和错误处理功能
- 重构所有Functions使用withAuth中间件简化代码结构
- 添加安全存储模块替代localStorage，防御XSS攻击
- 引入HTML清理工具，自动转义特殊字符和验证URL安全性
- 创建代码质量检查脚本，验证语法、环境变量和依赖完整性
- 添加构建日志工具和重构脚本，统一替换console.log为Logger
- 引入ESLint配置，提升代码质量和一致性
- 重构Giffgaff相关API，统一错误处理和验证逻辑
- 优化构建脚本，添加压缩和图片优化功能
- 新增健康检查端点，用于服务监控和状态报告
|
2025-11-23 22:20:02 +08:00 |
|