SKYMirror
7f060dd0e4
Go 1.27.1 (Gin+GORM) + Vue 3 文件快传服务： - 安全审计全部修复（docs/security-audit-2026-09-05.md）： bcrypt 密码哈希与自动升级、presign 直传服务端大小/内容校验、 全局请求体上限、依赖升级（govulncheck 0 命中）、janitor 后台清理、 管理端审计动作落库、/admin CORS 收紧、通知内容白名单净化、 会话默认 7 天、限流缓存故障降级、robots.txt 端点等 - 前端：取件链接复制修复（不再重复拼接提取码）、markdown 净化器加固 - Redis 支持库号（FCB_REDIS_DB / redis://…/db URL） - 文档：docs/api/* 与 openapi.yaml 同步最新行为（robots.txt、 提码 5 位起、chunk 32MiB 上限、admin 审计动作等） 验证：gofmt/go vet/go test 全绿；二进制端到端冒烟通过
45 lines
1.9 KiB
Go
45 lines
1.9 KiB
Go
// sanitize_test.go — SanitizeInlineHTML 单测（安全审计 L7）。
|
|
package settings
|
|
|
|
import "testing"
|
|
|
|
func TestSanitizeInlineHTML(t *testing.T) {
|
|
cases := []struct {
|
|
name string
|
|
in string
|
|
want string
|
|
}{
|
|
{"空串", "", ""},
|
|
{"纯文本保留", "欢迎使用文件快传", "欢迎使用文件快传"},
|
|
{"合法链接保留", `<a href="https://example.com">官网</a>`, `<a href="https://example.com">官网</a>`},
|
|
{"相对路径链接", `<a href="/docs">文档</a>`, `<a href="/docs">文档</a>`},
|
|
{"锚点链接", `<a href="#top">顶部</a>`, `<a href="#top">顶部</a>`},
|
|
{"script 整体丢弃", `hello<script>alert(1)</script>world`, "helloworld"},
|
|
{"img 丢弃保留文本", `a<img src=x onerror=alert(1)>b`, "ab"},
|
|
{"javascript href 拒绝", `<a href="javascript:alert(1)">x</a>`, "x"},
|
|
{"data href 拒绝", `<a href="data:text/html,<script>">x</a>`, "x"},
|
|
{"事件属性不透传", `<a href="/x" onclick="evil()">y</a>`, `<a href="/x">y</a>`},
|
|
{"注释丢弃", `a<!-- secret -->b`, "ab"},
|
|
{"未闭合标签丢弃剩余", `ok<script>alert(1)`, "ok"},
|
|
{"iframe 丢弃", `<iframe src="//evil"></iframe>text`, "text"},
|
|
{"样式标签丢弃", `<style>*{}</style>plain`, "plain"},
|
|
{"嵌套危险标签", `<div onclick=e><b>bold</b></div>`, "bold"},
|
|
{"大小写标签", `<A HREF="https://e.com">L</A>`, `<a href="https://e.com">L</a>`},
|
|
}
|
|
for _, tc := range cases {
|
|
t.Run(tc.name, func(t *testing.T) {
|
|
if got := SanitizeInlineHTML(tc.in); got != tc.want {
|
|
t.Fatalf("SanitizeInlineHTML(%q) = %q, want %q", tc.in, got, tc.want)
|
|
}
|
|
})
|
|
}
|
|
}
|
|
|
|
func TestSanitizeInlineHTMLNoScriptContent(t *testing.T) {
|
|
// script 内部文本也必须丢弃（不做 HTML 转义输出，避免 alert 字样进入页面 DOM）
|
|
got := SanitizeInlineHTML(`<script>var x = "</b>"; alert(1)</script>fine`)
|
|
if got != "fine" {
|
|
t.Fatalf("script 内容应整体丢弃, got %q", got)
|
|
}
|
|
}
|