Victor_Jay
69ba2fb01b
- 移除 ByteMD CDN 资源和 goldmark 依赖，替换为 Tiptap ESM 模块 - 编辑器从源码编辑模式改为 WYSIWYG 所见即所得 - 移除 /api/posts/preview 预览接口（Tiptap 直接输出 HTML 无需后端渲染） - 保留 UploadImage 图片上传接口和 bluemonday HTML 消毒 - 工具栏支持加粗、斜体、删除线、代码、标题、列表、引用、代码块、分割线、撤销/重做 - 支持图片粘贴/拖拽上传，Ctrl+S 快捷提交，F11 全屏，字数统计 - 优化 common.js：自动 401 拦截 Token 刷新，修复刷新死循环 - 草稿 localStorage 键名更新为 draft_post_body_html
35 lines
1.0 KiB
Go
35 lines
1.0 KiB
Go
package middleware
|
|
|
|
import (
|
|
"github.com/gin-gonic/gin"
|
|
)
|
|
|
|
// SecurityHeaders 添加安全相关 HTTP 响应头
|
|
// 作为纵深防御，不影响业务逻辑，纯附加
|
|
func SecurityHeaders() gin.HandlerFunc {
|
|
return func(c *gin.Context) {
|
|
// Content-Security-Policy
|
|
// script-src: 本站 + esm.sh CDN (Tiptap ESM 模块)
|
|
// style-src: 本站 + esm.sh (Tiptap CSS)
|
|
// connect-src: 本站 + esm.sh (source map 请求)
|
|
// img-src: 本站 + data: URI (头像裁切) + blob: (粘贴图片)
|
|
c.Header("Content-Security-Policy",
|
|
"default-src 'self'; "+
|
|
"script-src 'self' 'unsafe-inline' https://esm.sh; "+
|
|
"style-src 'self' 'unsafe-inline' https://esm.sh; "+
|
|
"img-src 'self' data: blob:; "+
|
|
"connect-src 'self' https://esm.sh")
|
|
|
|
// 禁止 MIME 类型嗅探
|
|
c.Header("X-Content-Type-Options", "nosniff")
|
|
|
|
// 禁止被 frame 嵌入（防点击劫持）
|
|
c.Header("X-Frame-Options", "DENY")
|
|
|
|
// 引用策略
|
|
c.Header("Referrer-Policy", "strict-origin-when-cross-origin")
|
|
|
|
c.Next()
|
|
}
|
|
}
|