Victor_Jay
55c408d86c
- 安全：移除 CSP 中 esm.sh/cdnjs.cloudflare.com，highlight.js 主题已本地化 73 个文件 - 安全：StatusBanned 分支补 dummy hash 防时序攻击 - 安全：手写 constantTimeEq 替换为 crypto/subtle.ConstantTimeCompare - Bug：锁定操作消息已删除→已锁定 - YAGNI：删除 12 个空预留模板目录 - KISS：删除 common.CheckPassword 薄封装，统一用 bcrypt 调用 - KISS：删除 tokenCtrl 别名字段，api.go 统一用 authCtrl - RateLimiter：check()+recordFail 闭包模式重构为 try() 原子操作，消除竞态 - RateLimiter：新增 ClearIP() 方法，注册成功时清除 IP 计数 - 文档：修正 audit_service.go 注释编号跳跃(3→5→4) - 文档：修正 deps_core.go 过清理→过期清理
33 lines
930 B
Go
33 lines
930 B
Go
package middleware
|
||
|
||
import (
|
||
"github.com/gin-gonic/gin"
|
||
)
|
||
|
||
// SecurityHeaders 添加安全相关 HTTP 响应头
|
||
// 作为纵深防御，不影响业务逻辑，纯附加
|
||
func SecurityHeaders() gin.HandlerFunc {
|
||
return func(c *gin.Context) {
|
||
// Content-Security-Policy
|
||
// script-src/style-src: 本站 + inline（highlight.js 主题已本地化在 static/vditor/ 下）
|
||
// img-src: 本站 + data: URI（头像裁切）+ blob:（粘贴图片）
|
||
c.Header("Content-Security-Policy",
|
||
"default-src 'self'; "+
|
||
"script-src 'self' 'unsafe-inline'; "+
|
||
"style-src 'self' 'unsafe-inline'; "+
|
||
"img-src 'self' data: blob:; "+
|
||
"connect-src 'self'")
|
||
|
||
// 禁止 MIME 类型嗅探
|
||
c.Header("X-Content-Type-Options", "nosniff")
|
||
|
||
// 禁止被 frame 嵌入（防点击劫持）
|
||
c.Header("X-Frame-Options", "DENY")
|
||
|
||
// 引用策略
|
||
c.Header("Referrer-Policy", "strict-origin-when-cross-origin")
|
||
|
||
c.Next()
|
||
}
|
||
}
|