mirror of https://github.com/Silentely/eSIM-Tools.git synced 2026-09-03 06:24:20 +08:00

Files

Abner 6379bbef90 ♻️ refactor: 移除外部二维码服务依赖，改用本地生成方案

- 将前端二维码生成从 `qrcode.show` 远程服务切换为 `qrcode-generator` 本地库（UMD 格式），消除对外部 CDN 渲染服务的依赖，降低隐私风险和第三方服务不可用时的故障点
- 重写 `generateQRCodeLocal` 函数适配 `qrcode-generator` API，使用 `qrcode(typeNumber, errorCorrectionLevel).addData().make().createDataURL()` 模式，并基于 QR 码模块数动态计算 `cellSize`，新增大尺寸预览图支持（400px）
- 移除所有页面中的 `qrcode.show` 域名引用，包括 CSP `connectSrc` 策略、preconnect 标签、resource-hints DNS 预解析配置及 Simyo/Giffgaff API 配置中的 `qrcode` 端点
- 完善二维码生成的日志与监控：在 CDN 加载成功后输出 `console.log`，本地/后端生成成功及失败时分别输出对应级别日志，并在 `trackQRCodeEvent` 中增加 `isBrowser` 守卫避免非浏览器环境报错
- 增加生成耗时和 QR 码长度（不含内容）到后端 BFF 日志，同时统一使用 `Date.now()` 计算请求耗时，避免 LPA 激活码等敏感信息进入日志
- 全面更新所有相关测试用例，适配新的 `window.qrcode` 工厂函数 mock，新增日志输出和 Sentry 上报断言，验证本地成功、本地失败降级、后端成功、后端失败四种场景的可观测性

2026-06-23 21:22:16 +08:00

4.9 KiB

Raw Blame History

安全指南

概述

本项目实施了多层安全措施来保护用户数据和系统安全。

安全措施

1. 依赖包安全

定期更新

使用 npm update 定期更新所有依赖包
使用 npm audit 检查安全漏洞
使用 npm run security-check 运行自定义安全检查

已知漏洞修复

✅ tar-fs: 路径遍历漏洞已修复
✅ got: UNIX socket重定向漏洞已修复
✅ ipx: 路径遍历绕过漏洞已修复
✅ http-proxy-middleware: writeBody重复调用漏洞已修复
✅ esbuild: 开发服务器安全问题已修复
✅ on-headers: HTTP响应头操作漏洞已修复

2. 服务器安全

BFF 代理层 (Edge Functions)

所有前端 /bff/* 请求经过 Edge Functions 代理
ACCESS_KEY 在服务端注入 (x-esim-key 头)，前端不接触密钥
目标函数白名单校验，仅允许转发到 /.netlify/functions/*

withAuth 中间件

所有受保护的 Netlify Functions 通过 withAuth 包装
统一处理 CORS 来源校验、请求体验证、错误格式化
内部函数互调通过 x-esim-key 或 x-app-key 头传递密钥

Helmet安全头

const helmet = require('helmet');
app.use(helmet());

CORS配置

const ALLOWED_ORIGIN = process.env.ALLOWED_ORIGIN || 'https://esim.cosr.eu.org';
app.use(cors({
  origin: function(origin, callback) {
    if (!origin) return callback(null, true); // 非浏览器/本地文件放行
    if (origin === ALLOWED_ORIGIN) return callback(null, true);
    return callback(new Error('Not allowed by CORS'));
  },
  credentials: false
}));

生产环境通过 Netlify Functions 的 withAuth 中间件统一处理 CORS，ALLOWED_ORIGIN 从环境变量读取。

3. 内容安全策略 (CSP)

所有 HTML 文件都配置了严格的 CSP 策略。以下为本地开发服务器 (server.js) 中的 Helmet CSP 配置，生产环境通过 HTML <meta> 标签实现，具体值可能略有差异，请以 server.js 中的配置为参考基准：

app.use(helmet({
  contentSecurityPolicy: {
    directives: {
      defaultSrc: ["'self'"],
      scriptSrc: ["'self'", "'unsafe-inline'", "https://cdn.jsdelivr.net", "https://cdnjs.cloudflare.com"],
      styleSrc: ["'self'", "'unsafe-inline'", "https://cdn.jsdelivr.net", "https://cdnjs.cloudflare.com", "https://fonts.googleapis.com"],
      imgSrc: ["'self'", "data:", "https:", "http:"],
      connectSrc: ["'self'", "https://appapi.simyo.nl", "https://api.giffgaff.com", "https://id.giffgaff.com", "https://publicapi.giffgaff.com", "https://cdn.jsdelivr.net", "https://*.sentry.io"],
      fontSrc: ["'self'", "https://cdn.jsdelivr.net", "https://cdnjs.cloudflare.com", "https://fonts.gstatic.com"]
    }
  }
}));

4. 数据安全

本地存储

敏感数据不存储在服务器上
使用LocalStorage进行会话持久化
2小时自动过期机制

API安全

所有API请求通过Netlify Functions代理
不直接暴露用户凭据
使用HTTPS进行所有通信

5. 部署安全

HTTPS强制

所有生产环境强制使用HTTPS
自动重定向HTTP到HTTPS

环境变量

敏感配置使用环境变量
不在代码中硬编码密钥

安全最佳实践

开发环境

定期更新依赖
```
npm update
npm audit fix
```
运行安全检查
```
npm run security-check
```
代码审查
- 检查第三方库的使用
- 验证API调用的安全性
- 确保没有硬编码的敏感信息

生产环境

HTTPS部署
- 使用有效的SSL证书
- 配置HSTS头
监控和日志
- 监控异常访问模式
- 记录安全相关事件
定期安全审计
- 使用自动化工具检查漏洞
- 定期审查访问日志

安全响应

发现漏洞时

立即评估漏洞严重程度
在24小时内发布修复
通知相关用户
更新安全文档

报告安全问题

通过GitHub Issues报告
提供详细的复现步骤
包含环境信息

安全检查清单

开发前

运行 npm audit
检查依赖包版本
验证CSP配置

部署前

运行 npm run security-check
验证HTTPS配置
检查环境变量

定期检查

更新依赖包
审查访问日志
检查安全配置

安全工具

内置工具

npm run security-check: 自定义安全检查
npm audit: npm安全审计
npm update: 更新依赖包

安全联系

如果您发现安全问题，请：

通过GitHub Issues报告
提供详细的描述和复现步骤
不要公开披露，等待修复

免责声明

本安全指南提供了基本的安全措施，但不能保证100%的安全性。建议根据具体需求进行额外的安全评估。

4.9 KiB Raw Blame History Unescape Escape