feat(config): 涉密内容外置到配置目录（档案 140）
把散落在代码里的真实部署值统一收进 config/，代码改为引用配置， 使仓库副本/开源导出不再带出生产域名、IP、内网路径与凭据。 新增 config/：platform.env.example（模板）· load.sh（shell 加载器）· index.cjs（node 加载器）· README.md（键一览与优先级）。 真实值放 config/platform.env —— 已 .gitignore 排除，不入库、不进导出。 TS 侧新增 src/platform-paths.ts 作部署路径的唯一解析处（零副作用）： platformDir/stateDir/backupDir/artifactDir/installDir/scriptPath。 config.ts 接入这些字段；内置中继种子由生产 URL 改为空（改由 DSHS_OVERLAY_BOOTSTRAP_SEEDS 提供）。修掉 5 处硬编码绝对路径， src/** 注释中性化 116 行/53 文件。 scripts/** 36 个内部运维脚本：真令牌/PG 口令/隧道目标/主机号/路径 一律改从配置取；web/wake.html 的注册域白名单改为运行时从 location.hostname 推导；test/** 夹具 119 行/13 文件改 RFC 2606/5737 保留值，并把「内置种子必须为空」固化为回归断言。 取证：tsc 0 错；npm test 373/375（唯一失败 lease 属既有）； 全仓扫描（大小写不敏感）代码面涉密标识 = 0；已部署 47 并零回归 （/opt/dsh/* 未搬家，/var/lib/dshs/platform 未被误建）。
This commit is contained in:
admin committed
1 parent
9c2e7975ac
commit
452924d89c
100 files changed
+1167
-453
No files matched your search
@@ -73,8 +73,8 @@ const serverPath = join(root, 'src', 'net', 'relay', 'server.ts')
|
||||
const dialers = () =>
|
||||
normalizeDialers(
|
||||
new Map([
|
||||
['ops', new Set(['manager', 'w-106'])],
|
||||
['u:5', new Set(['w-106'])],
|
||||
['ops', new Set(['manager', 'w-2'])],
|
||||
['u:5', new Set(['w-2'])],
|
||||
]),
|
||||
)
|
||||
|
||||
@@ -89,7 +89,7 @@ async function deadPort() {
|
||||
|
||||
const candidate = (over = {}) =>
|
||||
encodeDirectMessage({
|
||||
hostId: 'w-106',
|
||||
hostId: 'w-2',
|
||||
network: 'ops',
|
||||
addrs: [{ host: '10.0.0.9', port: PUNCH_PORT_BASE + 1 }],
|
||||
ts: Date.now(),
|
||||
@@ -126,7 +126,7 @@ test('T1 开关：缺省=开｜开集/关集｜非法值 ⇒ null（⛔ 不静
|
||||
|
||||
// ── T2 · 关闭 ⇒ 零 socket / 零候选 ──────────────────────────────────────────────
|
||||
test('T2 关闭 ⇒ 零 UDP socket ＋ 零候选；开启才真的开', async () => {
|
||||
const ctxOf = { dialers: dialers(), from: { network: 'ops', hostId: 'w-106' }, selfHostId: 'manager' }
|
||||
const ctxOf = { dialers: dialers(), from: { network: 'ops', hostId: 'w-2' }, selfHostId: 'manager' }
|
||||
const off = new DirectPath({ switchState: resolveDirectSwitch({ [DIRECT_ENV_KEY]: 'false' }), deadlineMs: 300 })
|
||||
const v = off.offerCandidate(candidate(), ctxOf)
|
||||
assert.equal(v.ok, false)
|
||||
@@ -153,7 +153,7 @@ test('T2 关闭 ⇒ 零 UDP socket ＋ 零候选；开启才真的开', async ()
|
||||
// ── T3 · 候选准入矩阵 ───────────────────────────────────────────────────────────
|
||||
test('T3 候选准入：同网＋白名单内接受；其余**逐类具名**拒绝；静默拒绝 = 0', () => {
|
||||
const led = new CandidateLedger()
|
||||
const inOps = { dialers: dialers(), from: { network: 'ops', hostId: 'w-106' }, selfHostId: 'manager' }
|
||||
const inOps = { dialers: dialers(), from: { network: 'ops', hostId: 'w-2' }, selfHostId: 'manager' }
|
||||
const expectOk = (raw, ctx = inOps) => {
|
||||
const v = led.judge(raw, ctx)
|
||||
assert.equal(v.ok, true, `应接受：${v.ok ? '' : v.reason} ${v.ok ? '' : v.detail}`)
|
||||
@@ -168,7 +168,7 @@ test('T3 候选准入：同网＋白名单内接受；其余**逐类具名**拒
|
||||
expectOk(candidate())
|
||||
expectOk(candidate({ addrs: [{ host: '10.0.0.9', port: PUNCH_PORT_BASE + 1 }, { host: '2001:db8::1', port: PUNCH_PORT_BASE + 2 }] }))
|
||||
// 同名跨网**互不可见**：同一 hostId 在另一张网里是合法身份
|
||||
expectOk(candidate({ network: 'u:5' }), { dialers: dialers(), from: { network: 'u:5', hostId: 'w-106' }, selfHostId: 'w-106' })
|
||||
expectOk(candidate({ network: 'u:5' }), { dialers: dialers(), from: { network: 'u:5', hostId: 'w-2' }, selfHostId: 'w-2' })
|
||||
|
||||
expectReject(candidate({ network: 'u:5' }), 'cross-network')
|
||||
expectReject(candidate({ hostId: 'w-999' }), 'not-self-candidate')
|
||||
@@ -177,7 +177,7 @@ test('T3 候选准入：同网＋白名单内接受；其余**逐类具名**拒
|
||||
expectReject('{"kind":"DIRECT_CANDIDATE"}', 'bad-shape')
|
||||
expectReject('not json at all', 'bad-shape')
|
||||
expectReject(
|
||||
JSON.stringify({ kind: 'DIRECT_CANDIDATE', hostId: 'w-106', network: 'ops', addrs: [{ host: '10.0.0.9', port: PUNCH_PORT_BASE + 1 }], nodeKey: 'deadbeef' }),
|
||||
JSON.stringify({ kind: 'DIRECT_CANDIDATE', hostId: 'w-2', network: 'ops', addrs: [{ host: '10.0.0.9', port: PUNCH_PORT_BASE + 1 }], nodeKey: 'deadbeef' }),
|
||||
'secret-field',
|
||||
)
|
||||
expectReject(candidate({ addrs: [{ host: 'example.com', port: 80 }] }), 'bad-address')
|
||||
@@ -196,9 +196,9 @@ test('T3 候选准入：同网＋白名单内接受；其余**逐类具名**拒
|
||||
// 每一条拒绝**都有具名原因**
|
||||
for (const r of snap.rejected) assert.ok(typeof r.reason === 'string' && r.reason !== '')
|
||||
// 白名单是**按网络分桶**的：拿 ops 的桶查 u:5 的同名 hostId 必须为假
|
||||
assert.equal(isAllowedDialer(dialers(), 'ops', 'w-106'), true)
|
||||
assert.equal(isAllowedDialer(dialers(), 'u:5', 'w-106'), true)
|
||||
assert.equal(isAllowedDialer(dialers(), 'u:7', 'w-106'), false)
|
||||
assert.equal(isAllowedDialer(dialers(), 'ops', 'w-2'), true)
|
||||
assert.equal(isAllowedDialer(dialers(), 'u:5', 'w-2'), true)
|
||||
assert.equal(isAllowedDialer(dialers(), 'u:7', 'w-2'), false)
|
||||
assert.equal(isAllowedDialer(dialers(), 'ops', 'w-999'), false)
|
||||
// 地址形状：IPv4/IPv6 收，主机名不收
|
||||
assert.equal(isValidAddress({ host: '10.0.0.9', port: 21100 }), true)
|
||||
@@ -236,7 +236,7 @@ test('T4 准入策略**复用** server.ts 的那一条（⛔ 防两处写分叉
|
||||
|
||||
// ── T5 · 打洞成功路径（真 dgram ＋ NAT 模拟） ────────────────────────────────────
|
||||
test('T5 打洞成功路径：双向都成立才算直连（punchOk ≥ 1）', async () => {
|
||||
const r = await runPunchPair({ aPeer: 'ops/w-47', bPeer: 'ops/w-106', deadlineMs: 2500 }, { sleep })
|
||||
const r = await runPunchPair({ aPeer: 'ops/w-1', bPeer: 'ops/w-2', deadlineMs: 2500 }, { sleep })
|
||||
assert.equal(r.a.bidirectional, true, `A 侧应双向成立：${r.a.detail}`)
|
||||
assert.equal(r.b.bidirectional, true, `B 侧应双向成立：${r.b.detail}`)
|
||||
assert.equal(r.a.reason, 'ok')
|
||||
@@ -248,7 +248,7 @@ test('T5 打洞成功路径：双向都成立才算直连（punchOk ≥ 1）', a
|
||||
|
||||
// ── T6 · 单向不算直连 ───────────────────────────────────────────────────────────
|
||||
test('T6 单向 ⇒ 判死 one-way（⛔ 不许把单向当成功）', async () => {
|
||||
const r = await runPunchPair({ aPeer: 'ops/w-47', bPeer: 'ops/w-106', deadlineMs: 1200, oneWay: 'a' }, { sleep })
|
||||
const r = await runPunchPair({ aPeer: 'ops/w-1', bPeer: 'ops/w-2', deadlineMs: 1200, oneWay: 'a' }, { sleep })
|
||||
assert.equal(r.bidirectional, false)
|
||||
assert.equal(r.a.reason, 'one-way', `A 侧（只能出不能进）应判 one-way：${r.a.detail}`)
|
||||
assert.equal(r.a.bidirectional, false)
|
||||
@@ -397,7 +397,7 @@ test('T10 提示文案必须**可行动**：三段齐 ＋ 含开关键与关值'
|
||||
// ⛔ 禁止只写"已启用直连"
|
||||
assert.ok(!/^已启用直连$/.test(text.trim()))
|
||||
// 编码侧的结构性防线：**只吃白名单字段** ⇒ 多给的任何字段（含凭据）都进不了载荷
|
||||
const encoded = JSON.parse(encodeDirectMessage({ hostId: 'w-106', network: 'ops', addrs: [{ host: '10.0.0.9', port: 1 }], secret: 'x' }))
|
||||
const encoded = JSON.parse(encodeDirectMessage({ hostId: 'w-2', network: 'ops', addrs: [{ host: '10.0.0.9', port: 1 }], secret: 'x' }))
|
||||
assert.deepEqual(Object.keys(encoded).sort(), ['addrs', 'hostId', 'kind', 'network', 'ts'])
|
||||
assert.equal(encoded.secret, undefined, '⛔ 载荷里不可能夹带凭据字段（构造侧结构性排除）')
|
||||
})
|
||||
Reference in new issue
Block a user