 Xiao-no-love
|
f0fe50e484
|
feat: StarLight 第三方登录 + 安全加固 + 循环池 + 热配置
功能：
- StarLight Yggdrasil 第三方登录（后端中转，accessToken 不落地）
- 管理员可视化权限管理（用户列表 + 一键授予/移出）
- 设置页热配置（11 项可编辑，立即生效）
- 循环池（每流独立手动歌单，队列空时随机不重复抽取）
- 登录页统一主站浅色风格
- 全站改名「Starlight专属电台」
- 删除关于页
安全：
- 全局 CSRF 防护（双提交 Cookie）
- 登录限流防 XFF 伪造、错误信息脱敏
- 权限中间件 requireAdminForWrites（读放行/写 admin）
- 密码哈希存储（scrypt/sha256）
- SSRF 防护（封面下载域名白名单）
- 空 catch 加日志、SSE 连接上限
修复：
- 多角色账号 selectedProfile 缺失
- 普通用户越权删歌（V4）
- streams 写操作越权（V9）
- 设置页布局溢出
测试：38 项全绿（api16 / e2e17 / write5）
|
2026-10-06 16:37:03 +08:00 |
|