237899745/vue-driven-cloud-storage
1
0
Fork 0
Code Issues Pull Requests Packages Projects Releases 1 Wiki Activity
37 Commits 2 Branches 2 Tags
60bc89ffea94ba27dbe17ea9780e5794e3bc1aa9
Commit Graph
9 Commits
This Branch
This Branch
All Branches
Author SHA1 Message Date
19174616018 60bc89ffea 修复: 修复文件下载时storage连接资源泄漏问题 
问题：
- /api/files/download 路由在文件流下载时没有关闭storage连接
- 当下载大文件或多个并发下载时，会导致SFTP连接积累
- 可能导致连接池耗尽和内存泄漏

修复内容：
1. 添加stream.on('error')事件处理：流错误时关闭storage连接
2. 添加stream.on('close')事件处理：流传输完成时关闭storage连接
3. 增强catch块：在stream创建之前发生错误时关闭storage连接

影响范围：
- /api/files/download（用户文件下载）
- /api/share/:code/download-file（分享文件下载，已有处理逻辑）

测试建议：
- 测试正常文件下载
- 测试下载过程中断（用户取消下载）
- 测试下载不存在的文件（错误处理）
- 测试大文件下载和并发下载
 2025-11-11 15:06:20 +08:00
19174616018andClaude 2a58380b32 修复: 优化存储配额检查时机，支持文件覆盖场景 
问题描述:
- 上传文件覆盖已有文件时配额检查不准确
- 只检查新文件大小，不考虑旧文件会被删除释放的空间
- 导致误报配额不足，阻止合理的文件覆盖操作
- 空间统计不准确，累积误差

修复内容:
1. 智能配额检查
   - 上传前检测目标文件是否存在
   - 计算净增量（新文件大小 - 旧文件大小）
   - 只在净增量为正时才检查配额
   - 覆盖更小文件时不检查配额

2. 准确的空间更新
   - 使用净增量更新已使用空间
   - 支持负增量（文件变小时减少用量）
   - 避免重复计算导致的累积误差

3. 容错处理
   - try-catch捕获旧文件不存在的情况
   - 确保即使旧文件检查失败也能继续

修复场景示例:
- 配额10GB，已使用9.5GB
- 有一个1GB的旧文件
- 上传0.8GB新文件覆盖
- 修复前: 9.5+0.8=10.3GB > 10GB ❌ 拒绝
- 修复后: 9.5-1+0.8=9.3GB < 10GB ✓ 允许

影响范围: 本地存储文件上传功能

测试建议:
- 测试文件覆盖场景配额检查正确
- 验证空间使用统计准确
- 确认新文件上传场景仍正常工作

🤖 Generated with [Claude Code](https://claude.com/claude-code)

Co-Authored-By: Claude <noreply@anthropic.com>
 2025-11-11 14:28:46 +08:00
19174616018andClaude c9553ff497 修复: 添加分享缓存过期机制(TTL) 
问题描述:
- 分享文件缓存使用Map没有过期机制
- 缓存会无限增长，占用内存
- 文件更新或删除后缓存不会自动清除
- 长期运行可能导致内存泄漏

修复内容:
1. 实现TTLCache类
   - 支持自定义过期时间（默认1小时）
   - 自动检查缓存是否过期
   - API完全兼容Map（set/get/has/delete）

2. 添加自动清理机制
   - 每10分钟自动清理过期缓存
   - 记录清理日志便于监控
   - 提供destroy方法停止清理定时器

3. 替换shareFileCache为TTLCache实例
   - 设置1小时TTL
   - 无需修改现有代码
   - 向后兼容所有现有使用

缓存特性:
- get()时自动检查过期
- has()时自动检查过期
- 定期清理避免内存积累
- size()方法获取当前缓存数量

影响范围: 分享文件缓存管理

测试建议:
- 验证分享链接访问后缓存生效
- 验证1小时后缓存自动失效
- 监控日志确认定期清理执行

🤖 Generated with [Claude Code](https://claude.com/claude-code)

Co-Authored-By: Claude <noreply@anthropic.com>
 2025-11-11 14:19:35 +08:00
19174616018andClaude 4a9d31806b 修复: 优化文件上传临时文件清理机制 
问题描述:
- 文件删除操作可能抛出异常导致程序中断
- 服务器崩溃或重启后残留临时文件无法清理
- 没有自动清理机制

修复内容:
1. 添加safeDeleteFile()安全删除函数
   - 使用try-catch捕获删除异常
   - 记录删除日志和错误信息
   - 不会因删除失败而中断主流程

2. 添加cleanupOldTempFiles()定期清理函数
   - 启动时自动清理超过24小时的临时文件
   - 防止临时文件堆积占用磁盘空间
   - 容错处理避免清理失败影响启动

3. 替换所有fs.unlinkSync为safeDeleteFile
   - 文件大小超限时的临时文件清理
   - 上传成功后的临时文件清理
   - 上传失败时的临时文件清理

影响范围: 文件上传功能

测试建议:
- 上传文件后检查uploads目录临时文件已删除
- 重启服务器验证旧临时文件自动清理
- 模拟删除失败场景验证不影响主流程

🤖 Generated with [Claude Code](https://claude.com/claude-code)

Co-Authored-By: Claude <noreply@anthropic.com>
 2025-11-11 13:46:33 +08:00
19174616018andClaude 3359cb8c01 安全: 为Cookie添加secure和sameSite安全标志 
问题描述:
- Cookie仅设置了httpOnly，缺少其他安全标志
- 未启用secure标志，HTTPS环境下cookie可能被劫持
- 缺少sameSite保护，存在CSRF风险

修复内容:
1. 添加secure标志，从环境变量COOKIE_SECURE控制
   - HTTPS环境设置为true
   - HTTP环境设置为false
2. 添加sameSite: 'lax'防止CSRF攻击
   - lax模式在导航时允许cookie
   - 阻止第三方站点的POST请求携带cookie
3. 保留httpOnly: true防止XSS攻击
4. 保留maxAge: 7天的过期时间

配置说明:
- .env中设置 COOKIE_SECURE=true (HTTPS环境)
- .env中设置 COOKIE_SECURE=false (HTTP环境)

影响范围: 用户登录认证cookie安全性

🤖 Generated with [Claude Code](https://claude.com/claude-code)

Co-Authored-By: Claude <noreply@anthropic.com>
 2025-11-11 13:36:12 +08:00
19174616018andClaude ee555af1a5 安全: 优化CORS配置，支持环境变量控制允许的来源 
问题描述:
- CORS配置使用origin: true允许所有来源
- 无法限制跨域访问，存在CSRF风险
- 生产环境应该只允许特定域名访问

修复内容:
1. 从环境变量ALLOWED_ORIGINS读取允许的来源列表
2. 支持多个域名配置（逗号分隔）
3. 实现origin验证回调函数
4. 默认允许所有(*),但在生产环境会发出警告
5. 记录并拒绝未授权来源的请求

配置示例:
- 开发环境: ALLOWED_ORIGINS=*
- 生产环境: ALLOWED_ORIGINS=https://yourdomain.com,https://www.yourdomain.com

影响范围: 跨域请求控制

测试建议:
- 配置ALLOWED_ORIGINS后验证只有指定域名可以访问
- 生产环境使用*时应该看到警告日志

🤖 Generated with [Claude Code](https://claude.com/claude-code)

Co-Authored-By: Claude <noreply@anthropic.com>
 2025-11-11 13:33:38 +08:00
19174616018andClaude 9d510afa60 安全: 修复密码修改无需验证旧密码的安全漏洞 
问题描述:
- 用户修改密码时不需要验证当前密码
- 攻击者获取session后可直接修改密码
- 违反基本的安全最佳实践

修复内容:
1. 添加current_password必填验证
2. 在更新密码前验证当前密码正确性
3. 验证失败返回401错误
4. 更新API文档注释

API变更:
POST /api/user/change-password
请求参数:
- current_password (新增，必填)
- new_password (已有，必填)

影响范围: 用户密码修改功能

🤖 Generated with [Claude Code](https://claude.com/claude-code)

Co-Authored-By: Claude <noreply@anthropic.com>
 2025-11-11 13:23:18 +08:00
19174616018andClaude a953bda39a 安全: 修复JWT密钥使用默认值的安全隐患 
问题描述:
- JWT_SECRET使用硬编码默认值，存在严重安全风险
- 生产环境token可被轻易伪造

修复内容:
1. 在auth.js中添加JWT密钥安全检查
   - 检测默认密钥并发出警告
   - 生产环境强制要求设置JWT_SECRET
2. 更新.env.example添加JWT_SECRET配置说明
   - 提供密钥生成方法
   - 添加其他安全配置项
3. 优化deploy.sh部署脚本
   - 自动生成随机JWT密钥
   - 检测并替换默认密钥

影响范围: 安全认证模块

测试建议:
- 启动服务验证JWT_SECRET警告正常显示
- 使用deploy.sh部署验证自动生成密钥

🤖 Generated with [Claude Code](https://claude.com/claude-code)

Co-Authored-By: Claude <noreply@anthropic.com>
 2025-11-11 13:17:57 +08:00
19174616018andClaude d3b9800e35 修复: 分享链接无法访问的问题 
- 修复nginx配置中X-Forwarded-Proto使用错误的问题
  - 将 $http_x_forwarded_proto 改为 $scheme
  - 适配IP直接访问的场景
- 添加client_max_body_size 10G 支持大文件上传
- 增加API代理超时时间配置
- 添加favicon.ico避免404错误

修复后分享链接可以正常访问

🤖 Generated with [Claude Code](https://claude.com/claude-code)

Co-Authored-By: Claude <noreply@anthropic.com>
 2025-11-11 13:08:52 +08:00