lywsvip/eSIM-Tools
1
0
Fork 0
mirror of https://github.com/Silentely/eSIM-Tools.git synced 2026-09-06 07:47:27 +08:00
Code Issues Packages Projects Releases Wiki Activity
441 Commits 1 Branch 0 Tags
8bd2bdb8a4da798b07a108381cd76ceeda7594de
Commit Graph

25 Commits

Author SHA1 Message Date
Abner
f5c5dee5ab 🐛 fix: 修复 Session 恢复后二维码和 LPA 不显示的问题 
问题：
- 用户完成 eSIM 激活后，因外部二维码服务不可用导致页面空白
- Session 恢复时未调用 showESimResult() 显示二维码和 LPA 信息

解决方案：
1. 新增通用二维码生成模块 (src/js/modules/qrcode-generator.js)
   - 实现三层降级策略：本地 CDN → 后端 Function → 文本提示
   - 消除对外部服务的依赖，提升隐私保护

2. 新增后端 Function (netlify/functions/qrcode-generate.js)
   - POST /bff/qrcode-generate 接口
   - 返回 base64 编码的 PNG 二维码
   - withAuth 中间件保护 + 输入验证

3. 重构前端二维码生成逻辑
   - Giffgaff/Simyo 统一使用 generateQRCodeWithFallback()
   - 保留并发调用防护和 tooltip 交互
   - 使用 i18n 翻译替代硬编码错误提示

4. 修复 Session 恢复逻辑
   - 在 handleSessionRestore() 中调用 showESimResult()
   - 确保刷新页面后二维码和 LPA 正常显示

技术改进：
- 懒加载 qrcode.js（~13KB gzip），仅在首次调用时加载
- 完整的测试覆盖（前端单元测试 + 后端安全测试）
- 更新 BFF 路由配置（Edge Function + 本地开发服务器）

Closes #75
 2026-06-13 19:20:22 +08:00
Abner
df2b6ca814 🐛 fix(auth): 收紧 BFF 鉴权并修复内部调用链路 2026-05-31 19:25:23 +08:00
Abner
b815225845 🐛 fix(auth): 收紧 BFF 鉴权并保持内部路由兼容 2026-05-31 18:15:45 +08:00
Abner
defcea2160 🔥 chore: 清理 Legacy 冻结校验工具链及相关残留配置 
- 删除 `scripts/verify-legacy-frozen.js` 及 `scripts/legacy-freeze.json`，移除 legacy 文件冻结校验能力
- 删除 `package.json` 中 `verify:legacy` 和 `verify:legacy:update` 两个 npm scripts
- 删除 `build-static.js` 中移除 legacy HTML 文件的构建时清理逻辑
- 移除 `server.js` 中已废弃的 `/simyo-static` 路由及其兼容静态路径
- 更新 CLAUDE.md、scripts/CLAUDE.md 及两个业务模块架构文档，将"Legacy 架构"表述统一改为"原生 ES6 模块"
 2026-05-25 20:34:53 +08:00
Abner
5768c0a075 ✨ feat: 为 API 端点新增 /bff/* 路由以实现本地模拟 Edge BFF 代理 
- 将每个 API 处理器同时挂载到 `/.netlify/functions/*` 和 `/bff/*` 两个路径前缀下
- 使用路由数组和 `forEach` 循环替代逐行注册，消除重复代码，提高可维护性
- 本地环境下 `/bff/*` 路由模拟 Netlify Edge BFF 代理行为，方便本地开发与调试
- 保留原有 `/.netlify/functions/*` 路由不变，确保线上部署向后兼容
 2026-05-24 21:39:13 +08:00
Abner
11ba72663a ♻️ refactor: 优化 CORS 处理和 API 响应解析逻辑 
- 将 `createHeaders` 默认参数从固定 `ALLOWED_ORIGIN` 改为 `null`，改为由 `resolveCorsOrigin` 函数动态解析来源，统一 CORS 处理入口
- 为 `parseOrigins`、`isAllowedOrigin`、`resolveCorsOrigin` 三个 CORS 工具函数添加 JSDoc 类型注释，提高代码可读性和可维护性
- 代理转发时通过展开运算符条件传递 `X-Session-Token` 请求头，避免转发空字符串导致的鉴权问题
- 修复 URL 代理路径截断问题，保留原始查询字符串拼接，确保后端 API 能正确接收所有参数
- 增加对非 JSON 响应内容的处理分支，直接返回文本内容
 2026-05-24 21:18:21 +08:00
Abner
61bf73c0a0 ♻️ refactor(cors): 抽取 CORS 共享模块 + 通配符告警 + 响应解析容错 
- 新增 _shared/cors.js 统一管理 CORS 解析与校验，消除 middleware/server 重复
- ALLOWED_ORIGIN 含通配符(*)时启动期输出安全警告
- handleApiResponse JSON 解析加 try/catch，处理空体/坏体场景
 2026-05-24 20:44:18 +08:00
Abner
59a7a97c29 ✨ feat: CORS 多源支持 + Simyo 代理修复 + API 响应处理重构 
- CORS 支持逗号分隔多源列表和通配符，新增 isAllowedOrigin/resolveCorsOrigin
- Simyo 代理路径从 req.path 改为 req.originalUrl，修复查询参数丢失
- Simyo 客户端配置提取为常量，支持环境变量覆盖
- API 端点检测浏览器协议，HTTP 访问时使用相对路径
- handleApiResponse 重构：content-type 检查、HTTP 错误优先、兼容三种响应格式
- 新增 X-Session-Token 头透传
- Logger 简化，移除前端模块依赖
- 同步更新测试 mock 以匹配新接口契约
 2026-05-24 20:36:05 +08:00
Abner
be2c4e4dfb ✨ feat: 移除遗留页面及相关配置，新增运行时公共函数库 
- 从 netlify.toml 中移除 `/giffgaff-legacy` 和 `/simyo-legacy` 重定向规则，清理不再使用的旧版页面路由
- 新增 runtime-common.sh 文件，提供跨语言（中英文）共享的运行时函数，包括 JSON 转义、安全检测、系统信息缓存等核心功能
- 更新 legacy-freeze.json，清空冻结文件列表，反映不再需要保护旧版页面文件的状态
- 修改多个脚本文件（pre-commit-check.js、pre-push-check.js、security-check.js），移除对已弃用页面的保护逻辑
- 调整服务入口文件（server.js、simyo_proxy_server.js）和 Service Worker（sw.js），删除对旧版 HTML 文件的引用和服务逻辑
 2026-05-07 22:48:34 +08:00
Abner
a1628aa33a 🐛 fix(security): 修复全部 76 个 CodeQL 安全扫描告警 
修复 GitHub 代码扫描发现的所有安全问题，涵盖 20 个文件、76 个告警：

- Actions 工作流：添加 Fork 仓库限制、来源验证、persist-credentials: false、移除 npm cache
- 明文存储：localStorage 迁移到 secureStorage (sessionStorage + TTL)
- 日志注入：新增 sanitizeLog() 过滤换行符，覆盖全部 console.log 调用
- SSRF：新增 isAllowedTarget() 域名白名单校验
- SRI 完整性：为 Bootstrap/Font Awesome/GTM 添加 integrity + crossorigin
- XSS 防护：错误消息 HTML 转义、Service Worker origin 验证
- URL 清洗：hostname.includes() 替换为精确域名匹配
- HTML 过滤：扩展标签黑名单、添加事件属性过滤
- 限流：全局引入 createRateLimiter (200 req/min/IP)
 2026-05-06 21:46:25 +08:00
Abner
cc49daa993 🐛 fix: 修复通知 401 错误和 CSP 违规 
- middleware withAuth 新增 requireAuth: false 跳过密钥校验
- CSP style-src 添加 fonts.googleapis.com (修复字体加载拦截)
- CSP font-src 添加 fonts.gstatic.com (修复字体资源拦截)
- CSP connect-src 添加 cdn.jsdelivr.net (修复 source map 加载)
- server.js CSP 同步更新与 netlify.toml 保持一致
 2026-04-25 16:46:50 +08:00
Abner
7fd54dde39 ♻️ refactor: 修复安全漏洞并优化架构债务 
安全修复:
- 修复 dom.js 和 simyo/app.js 中的 innerHTML XSS 注入风险
- 使用 HTMLSanitizer.escapeHtml/escapeAttr 替代直接模板拼接
- 将 onclick 内联事件替换为 data-* 属性 + addEventListener
- 移除 server.js 中硬编码的 Simyo X-Client-Token

架构优化:
- 新增 _shared/rate-limiter.js 分布式限流模块 (Netlify Blobs)
- verify-cookie.js 内存限流替换为 KV 跨实例共享方案
- giffgaff/utils.js debounce/throttle 改为委托共享实现
- simyo/app.js 会话存储迁移至 SecureStorage (自动 TTL 过期)
- 合并 notifications-internal.js 至 notifications.js 消除双维护路径
 2026-04-25 16:30:19 +08:00
Abner
2b8f293506 chore: 更新 Simyo 客户端版本和用户代理字符串 
* 将所有 Simyo 相关配置中的客户端版本从 4.8.0 更新为 4.23.5。
* 将默认的用户代理字符串更新为反映 MijnSimyoFT/4.23.5 (iOS 26.3; iPhone16,1)。
* 确保代理服务器和 API 配置与最新的 Simyo 客户端版本保持一致，以模拟最新的客户端行为。
* 更新了测试文件中的对应值，以确保测试环境使用最新的客户端信息。
 2026-01-12 19:14:43 +08:00
Abner
188d4af85a feat: 实现多提供商验证码系统，支持 Cloudflare Turnstile 和 Google reCAPTCHA 
- 新增 CaptchaManager 类，统一管理 Turnstile 和 reCAPTCHA 验证码的初始化和 token 管理
- 扩展 BFF 代理支持多验证码提供商，根据配置自动切换验证逻辑
- 新增公共配置端点，动态下发验证码提供商配置到前端
- 重构 API 管理器，统一处理验证码 token 的头部和载荷注入
- 更新 CSP 策略，支持两种验证码服务的域名和资源
- 保留原有 Turnstile 功能的同时，支持 reCAPTCHA 作为备选方案
- 提供灵活的配置选项，可通过环境变量控制提供商开关和强制验证
 2025-11-24 19:03:43 +08:00
Abner
4a0fcc94fe feat: 重构Netlify Functions架构并增强代码质量 
- 新增统一的中间件模块，提供鉴权、CORS和错误处理功能
- 重构所有Functions使用withAuth中间件简化代码结构
- 添加安全存储模块替代localStorage，防御XSS攻击
- 引入HTML清理工具，自动转义特殊字符和验证URL安全性
- 创建代码质量检查脚本，验证语法、环境变量和依赖完整性
- 添加构建日志工具和重构脚本，统一替换console.log为Logger
- 引入ESLint配置，提升代码质量和一致性
- 重构Giffgaff相关API，统一错误处理和验证逻辑
- 优化构建脚本，添加压缩和图片优化功能
- 新增健康检查端点，用于服务监控和状态报告
 2025-11-23 22:20:02 +08:00
Abner
5a29e64ec7 feat: 重构部署流程并移除 Service Worker 
- 新增部署工具脚本：添加 `build-static.js`、`deploy-prepare.js`、`deploy-analyze.js` 和 `test-deploy-config.js` 标准化构建部署流程
- 配置 Netlify 发布目录：修改 `netlify.toml` 将 `publish` 从根目录切换到 `dist` 目录以增强安全性
- 移除 Service Worker 相关代码：删除 `sw.js` 并清理相关注册逻辑，简化性能优化策略
- 增强服务器静态文件服务：重构静态资源中间件，增加环境检查和错误处理
- 改进 API 密钥处理逻辑：统一 Netlify Functions 的密钥验证流程，增加配置缺失提示
- 添加 Serena AI 配置文件：包含项目元数据、语言服务器设置和常用命令记忆
- 重构 HTML 页面路由：使用配置化的路由表替代硬编码路径，提高可维护性
 2025-11-23 19:44:45 +08:00
Abner
157170c581 feat(simyo): 引入模块化架构并支持新旧版本路由切换 
- 为 Simyo eSIM 页面新增模块化版本，保留原始版本作为备份
- 更新 Netlify 重定向规则，支持 `/simyo`（模块化）和 `/simyo-legacy`（原始版本）
- 在服务端新增对应路由处理，分别指向不同 HTML 文件
- 添加 MODULE_ARCHITECTURE.md 文档，详细说明模块分层结构与数据流
- 新增核心模块：api-config、auth-handler、device-change-handler、esim-service、state-manager
- 实现基于 ES6 模块系统的可维护架构，采用单例模式和观察者模式
- 支持设备更换流程、eSIM 获取与安装确认等完整业务逻辑
- 提供状态持久化与会话恢复机制，增强用户体验
 2025-11-01 10:36:07 +08:00
Abner
0de9083f4b feat(giffgaff): 重构eSIM工具为模块化架构 
将原有的单文件实现拆分为模块化结构，提升代码可维护性和扩展性。
新增模块包括状态管理、UI控制、认证处理和eSIM服务等。
同时保留原始版本作为备份，支持通过路由切换访问不同版本。

新增MODULE_ARCHITECTURE.md详细说明模块设计与数据流向。
更新README文档，提供模块化版本使用指南和开发建议。
调整Netlify和服务器路由配置，支持新版和旧版页面共存。
 2025-10-31 23:30:45 +08:00
Abner
dd27453c97 feat(qrcode): 更新二维码生成供应商并调整相关配置 
- 将二维码生成供应商从 api.qrserver.com 更新为 qrcode.show
- 更新了相关文档、代码和测试中的二维码生成 URL
- 调整了内容安全策略（CSP）以允许新的二维码生成 URL
- 更新了 webpack 配置，为新的二维码生成 URL 添加缓存策略
 2025-08-11 21:41:54 +08:00
Abner
d1d440621e feat(security): 添加访问控制和身份验证机制 2025-08-11 00:31:51 +08:00
Abner
ecc0e66755 feat(giffgaff): 实现短信验证码一键激活功能 
- 新增 giffgaff-sms-activate.js 函数，实现短信验证码激活流程
- 在前端集成短信激活功能，支持一键激活并获取 LPA
- 优化登录界面，增加 Cookie 登录方式
- 实现 Cookie 有效性定时检测，提高用户体验
 2025-08-10 23:45:19 +08:00
Abner
ee034d3cb9 feat(giffgaff): 支持 PKCE 公有客户端和机密客户端的 OAuth 令牌交换 
- 新增 giffgaff-token-exchange.js 函数处理 OAuth 令牌交换
- 增加对 PKCE 公有客户端和机密客户端的支持
- 优化令牌交换流程，支持可选的 Basic 认证
- 更新前端和后端的 OAuth 配置
 2025-08-10 19:23:20 +08:00
Abner
f5a6ca01c1 fix: 修复Simyo登录API端点配置问题 
- 修复API端点检测逻辑，正确识别cosr.eu.org域名
- 为server.js添加完整的Simyo API代理路由
- 修复createHeaders函数，确保本地环境也发送必要的API头部
- 统一本地和生产环境的API路径映射
- 解决404错误和JSON解析错误问题
 2025-08-01 21:54:56 +08:00
Abner
2c3e30a078 refactor: 项目清理和文档现代化 
- 更新README.md技术架构描述，强调Node.js + Netlify Functions架构
- 完全重写Cookie登录设置指南，移除PHP依赖说明
- 新增遗留PHP文件说明文档，明确文件状态和处理方式
- 更新前后端架构分析文档，反映当前Node.js架构
- 完善server.js，添加缺失的GraphQL代理函数引用
- 新增项目清理总结文档，详细记录架构升级过程
- 优化项目结构和文档组织，提高可维护性
- 确保所有文档与当前Node.js架构保持一致
 2025-08-01 21:42:06 +08:00
Abner
ab8f0c05d8 🚀 Major upgrade: Convert to Node.js architecture with Netlify Functions 
🔄 Complete Architecture Transformation:
- Migrated from PHP to Node.js backend
- Implemented Netlify Functions for serverless deployment
- Added Express.js server for local development
- Full compatibility with modern deployment platforms

🛠️ New Netlify Functions:
- giffgaff-mfa-challenge.js: Handles MFA email verification with proper headers
- giffgaff-mfa-validation.js: Processes MFA code validation
- verify-cookie.js: Cookie authentication converted from PHP to Node.js

✅ MFA 403 Error Resolution:
- Proper Origin and Referer headers in server-side requests
- Comprehensive error logging for debugging
- Timeout handling and robust error responses
- Should completely resolve MFA authentication issues

🍪 Enhanced Cookie Login:
- Full Node.js implementation replacing PHP dependency
- Works on all deployment platforms (Netlify, Vercel, traditional servers)
- Intelligent cookie parsing and validation
- Secure API calls with proper headers

�� Development Experience:
- package.json with all necessary dependencies
- Local development server (server.js)
- Environment configuration (env.example)
- Hot reload support with nodemon

🌐 Deployment Improvements:
- Netlify Functions integration
- Updated netlify.toml configuration
- Automatic dependency installation
- Zero-config deployment process

🎯 Key Benefits:
- ✅ Resolves MFA 403 errors through proper server-side handling
- ✅ Cookie login works on all platforms (no PHP dependency)
- ✅ Better error handling and logging
- ✅ Modern serverless architecture
- ✅ Improved development experience
- ✅ Full compatibility with static hosting platforms

📋 Technical Stack:
- Frontend: Pure HTML/CSS/JavaScript (unchanged)
- Backend: Node.js + Express.js (local) / Netlify Functions (production)
- Dependencies: axios, cors, helmet, morgan, dotenv
- Deployment: Netlify with automatic function deployment

This major upgrade modernizes the entire backend architecture while maintaining full frontend compatibility. The MFA 403 error should now be completely resolved through proper server-side request handling.
 2025-08-01 21:03:25 +08:00