feat: v0.7.0 四阶段全量迭代 — 修复面收口 · 安全纵深 · 架构还债 · 能力演进
P1 修复面收口: v0.6.3 截断自愈推全量(Anthropic/Ollama/非流式/引擎兜底); SSE 上游错误帧检测进重试通道; clearMessages 摘要游标根治; truncateResult 内联图片白名单统一; 前端四 bug(确认弹窗锁死/MemoryViewer/ Virtuoso Footer/abort 尾部过滤) + reasoning 缓冲跨迭代污染; 托盘通知过滤与新建会话死链接线 P2 安全纵深: MCP 审批闭环(ConfirmationHook×PolicyEngine 联动+重名拒注册); SSRF 收敛 ssrf-guard 共享模块 (web_fetch 双通道校验+重定向终态复检); Electron 加固(preload CJS 化→sandbox:true/CSP/权限白名单/will-navigate); run_command cmd.exe 白名单通道元字符守门; diff_viewer 10MB 预检; Anthropic thinking 预算下限; Agnes 思考显式关闭 P3 架构还债: OpenAICompatibleAdapter 中间基类收敛四家样板; 错误分类单轨化(删 mapError/getFetchSignal, 超时显式 ETIMEDOUT); PRAGMA user_version 迁移版本化; 死代码清理专项(cn.ts/SHORTCUTS/ContextMenu 分支/ getWindowState/modifiedArgs/sandbox 空壳); i18next 引入; a11y 第一轮; SearXNG 页批量草稿模型统一 P4 能力演进: Ollama pull 可取消/capabilities 探测/num_ctx 实测缓存; UpdateService feed 比对式自动更新 (app:updateCheck IPC + StatusBar 入口); MiMo providerOptions(web_search 服务端工具/strict JSON); web_fetch extract_mode=markdown(turndown); network.proxyUrl 全局代理(Chromium sessions+undici dispatcher) 测试: 264 → 507 用例(Electron ABI 全绿零跳过), 覆盖引擎压缩管线/重试竞速/MEMORY.md 闸门/file_editor 五操作/ filesystem 七工具实体夹具/git 真实仓库/SSE 错误帧/全线截断自愈/Provider 请求形态矩阵/SSRF 表测/钩子分级矩阵/ OutputValidator 全量/SLO 指标/MCP 安全纯函数/task_manager 链路/渲染层纯域/i18n 桥契约
This commit is contained in:
@@ -0,0 +1,119 @@
|
||||
/**
|
||||
* SSRF 防护共享模块（v0.6.4 P2-2）
|
||||
*
|
||||
* 背景：此前完整的 SSRF 校验只存在于 http_request 工具内部 —— web_fetch /
|
||||
* 浏览器回退完全没有校验且 requiresPermission:false，LLM 可直接抓取
|
||||
* 127.0.0.1、169.254.169.254 等内网/云元数据地址，属于工具层最大的安全不对称。
|
||||
*
|
||||
* 本模块把校验逻辑抽为单一事实来源：
|
||||
* - isPrivateIP(ip) IPv4/IPv6 私有段判定（含 ::ffff: 映射递归）
|
||||
* - validateSSRF(url) 校验失败时抛错（原 http_request 契约）
|
||||
* - safeValidateSSRF(url) 不抛错的便捷包装（工具内 return-style 使用）
|
||||
*
|
||||
* 已知限制（与 M7 审查结论一致）：DNS rebinding 在 Node fetch 下无法彻底关闭
|
||||
* （不可自定义 lookup/SNI），缓解措施为"解析全部 IP、任一私有即拒 + 重定向终态复检"。
|
||||
*/
|
||||
|
||||
import { lookup } from 'node:dns/promises';
|
||||
import { isIP } from 'node:net';
|
||||
|
||||
/**
|
||||
* 检查 IP 是否为私有/内网/回环/元数据地址
|
||||
*
|
||||
* 覆盖：
|
||||
* - IPv4: 127.0.0.0/8 (回环)、10.0.0.0/8、192.168.0.0/16、172.16.0.0/12、
|
||||
* 169.254.0.0/16 (链路本地，含云元数据 169.254.169.254)、0.0.0.0/8、
|
||||
* 224.0.0.0/4 (组播)、240.0.0.0/4 (保留)
|
||||
* - IPv6: ::1 (回环)、fe80::/10 (链路本地)、fc00::/7 (唯一本地)、::ffff: 映射的 IPv4
|
||||
*/
|
||||
export function isPrivateIP(ip: string): boolean {
|
||||
// IPv4 直接检测
|
||||
if (isIP(ip) === 4) {
|
||||
const parts = ip.split('.').map(Number);
|
||||
if (parts[0] === 127) return true; // 回环
|
||||
if (parts[0] === 10) return true; // 内网
|
||||
if (parts[0] === 192 && parts[1] === 168) return true; // 内网
|
||||
if (parts[0] === 172 && parts[1] >= 16 && parts[1] <= 31) return true; // 内网
|
||||
if (parts[0] === 169 && parts[1] === 254) return true; // 链路本地（含云元数据）
|
||||
if (parts[0] === 0) return true; // 0.0.0.0/8
|
||||
if (parts[0] >= 224) return true; // 组播 + 保留
|
||||
return false;
|
||||
}
|
||||
|
||||
// IPv6 检测
|
||||
if (isIP(ip) === 6) {
|
||||
const lower = ip.toLowerCase();
|
||||
if (lower === '::1') return true; // 回环
|
||||
if (lower.startsWith('fe80:')) return true; // 链路本地
|
||||
if (lower.startsWith('fc') || lower.startsWith('fd')) return true; // 唯一本地
|
||||
// ::ffff: 映射的 IPv4 — 提取 IPv4 部分递归检测
|
||||
const v4MappedMatch = lower.match(/::ffff:(\d+\.\d+\.\d+\.\d+)$/);
|
||||
if (v4MappedMatch) return isPrivateIP(v4MappedMatch[1]);
|
||||
return false;
|
||||
}
|
||||
|
||||
// 非 IP 格式（域名等），由调用方 DNS 解析后再检测
|
||||
return false;
|
||||
}
|
||||
|
||||
/**
|
||||
* SSRF 校验 — 解析 URL 域名并校验 IP
|
||||
*
|
||||
* 1. 协议白名单：仅允许 http/https
|
||||
* 2. hostname 为 IP 时直接检测
|
||||
* 3. 域名 — DNS 解析后检测所有 IP；任意一个 IP 为私有即拒绝
|
||||
* （防止 DNS rebinding 中只校验第一个 IP 的绕过）
|
||||
*
|
||||
* @throws 如果 URL 指向私有/内网/回环地址或协议不被允许
|
||||
*/
|
||||
export async function validateSSRF(url: string): Promise<void> {
|
||||
let parsed: URL;
|
||||
try {
|
||||
parsed = new URL(url);
|
||||
} catch {
|
||||
throw new Error(`Invalid URL: ${url}`);
|
||||
}
|
||||
|
||||
// 协议白名单
|
||||
if (parsed.protocol !== 'http:' && parsed.protocol !== 'https:') {
|
||||
throw new Error(`Blocked SSRF: protocol "${parsed.protocol}" not allowed (only http/https)`);
|
||||
}
|
||||
|
||||
const hostname = parsed.hostname;
|
||||
|
||||
// 如果 hostname 本身就是 IP，直接检测
|
||||
if (isIP(hostname)) {
|
||||
if (isPrivateIP(hostname)) {
|
||||
throw new Error(`Blocked SSRF: ${hostname} is a private/loopback address`);
|
||||
}
|
||||
return;
|
||||
}
|
||||
|
||||
// 域名 — DNS 解析后检测所有 IP
|
||||
let addresses: Array<{ address: string }>;
|
||||
try {
|
||||
addresses = await lookup(hostname, { all: true });
|
||||
} catch (err) {
|
||||
throw new Error(`Blocked SSRF: DNS resolution failed for ${hostname}: ${(err as Error).message}`);
|
||||
}
|
||||
|
||||
if (addresses.length === 0) {
|
||||
throw new Error(`Blocked SSRF: no DNS records for ${hostname}`);
|
||||
}
|
||||
|
||||
for (const { address } of addresses) {
|
||||
if (isPrivateIP(address)) {
|
||||
throw new Error(`Blocked SSRF: ${hostname} resolves to private IP ${address}`);
|
||||
}
|
||||
}
|
||||
}
|
||||
|
||||
/** validateSSRF 的不抛错包装：返回结构化结果供工具 execute 直接 return */
|
||||
export async function safeValidateSSRF(url: string): Promise<{ ok: true } | { ok: false; error: string }> {
|
||||
try {
|
||||
await validateSSRF(url);
|
||||
return { ok: true };
|
||||
} catch (err) {
|
||||
return { ok: false, error: (err as Error).message };
|
||||
}
|
||||
}
|
||||
Reference in New Issue
Block a user