Files
ykxmz/_tests/test_relay_url_normalize.py
T
xmz7891 9bdd36cf56 2.1.4:修 URL 协议头 bug + 清理对外材料里泄漏的服务器信息
用户报了三件事,一起处理。

== 一、发行版介绍里泄漏了服务器公网 IP ==

_build/CHANGELOG.md 的 2.1.3 那节写了服务器公网 IP,而发布脚本
把这个文件当"更新说明"传给 Gitee,于是发行版介绍里就带出去了。

为什么 IP 不该公开:直接打 IP 就绕过 Cloudflare 了 ——
没有 CDN、没有防护、没有速率限制。源站本来就不该被人知道是谁
(这也是为什么 nginx 那层只认域名、中转只绑 127.0.0.1)。

处理:
  * 已发的 v2.1.3 发行版介绍用 API 改掉(扫了全部 11 个发行版,只它一个)
  * 仓库里 16 个文件里的 IP 全部换成域名或占位符
  * 运维脚本改成从环境变量读,公开仓库里不留具体地址

顺手发现**更严重的一处**:旧管理员密码硬编码在
docs/AFTER-INSTALL.txt(会打进服务端 zip)和
installer/license-combined.txt(**安装包的许可页,每个装的人都能看到**)里。
而用户当前密码就含这个串,等于公开了一半。一并清掉,
公开材料里改成"密码在你服务器上"的说明。

== 二、手表端填了地址却连不上 ==

用户截图:填域名(没写协议头)-> 点「检查服务器」报

    MalformedURLException: no protocol: <域名>/v1/health

根因:补协议头的逻辑只写在连接那条路(RelayTransport 的构造函数)上,
checkServer() 直接拿原始字符串拼 URL —— 同一个地址,连接能用、检查却崩。

修法:把规范化收到 relayUrl() 这**唯一一个入口**,所有调用方都从那里取。
规则和电脑端一致:IP / localhost / *.local -> http,域名 -> https。

顺带补了 _tests/test_relay_url_normalize.py 盯住它(含 9 个用例实算)。

== 三、Gitee 的 README 被判"可能含有违规信息" ==

Gitee 挂的是软性公告(可自行修改或申诉),但确实挂在那。
逐项看了 README,改掉几处**不准确**且容易误判的表述:

  * 原文写"看看学生机是不是在打游戏" —— 这是**错的**:
    被控端只装在一台电脑上(讲台那台),根本看不到别的机器。
    既不准确又像监控软件,改成"作用于被控端那一台"
  * 课堂那几项功能如实说明:改的是本机 hosts、结束的是本机进程,
    都可逆,下课点「一键恢复全部」就还原
  * "免杀对抗""伪装成系统进程"这类词(虽然是在说"我们不做这些")
    本身就在审核词库里,换成正面的说法
  * 成品文件名从 1.8.2 更新到当前版本,并且以后发版自动跟着改
    (把 README 加进了 bump 脚本;以前一直停在 1.8.2,
     用户照着 README 去 releases 根本找不到那个文件)

== 四、做这件事时自己踩的坑(都写进注释了)==

  * 批量替换时**没排除 gitignore 的文件**,把本地密码文件也改了
  * 替换时往字典字面量中间塞注释,**弄坏了 5 个文件的语法**
  * 修的时候手写"坏文件列表",漏了 2 个 ——
    改成全仓库扫模式(列表是观察到的,不是穷尽的)
  * 清理工具自己又成了泄漏点(脚本里写了要匹配的 IP/密码),
    加了 _build/precommit_leak_gate.py 当闸门才抓到

教训:批量替换要先排除不该碰的文件,而且不能往表达式中间塞东西。

== 按用户要求:测完再提交 ==

    全量回归 41 个阶段全 PASS(2 项因锁屏 SKIP)
    601 个 Python 文件语法通过
    pyflakes 干净
    安装包完整周期 20/20
    对外材料清洁度 15/15
    提交前泄漏闸门通过

(这条信息是补写的:上一个提交因为 heredoc 把提交说明打到屏幕而不是
 文件,信息变成空的 "remove temp" 了,内容本身是对的。)
2026-10-08 23:51:17 +08:00

154 lines
5.6 KiB
Python
Raw Blame History

This file contains ambiguous Unicode characters
This file contains Unicode characters that might be confused with other characters. If you think that this is intentional, you can safely ignore this warning. Use the Escape button to reveal them.
# -*- coding: utf-8 -*-
r'''断言"手表端给中转地址补协议头"这件事真的做了,而且只有一处入口。
== 为什么要专门测这个 ==
用户报的故障:
填了 yk.xxmxxs.top(没写协议头)-> 点「检查服务器」
-> MalformedURLException: no protocol: yk.xxmxxs.top/v1/health
根因:`checkServer()` 直接拿 relayUrl() 的**原始字符串**拼 URL,
而补协议头的逻辑只在 RelayTransport 的构造函数里 ——
同一个地址"连接"时能用、"检查服务器"时崩。
修法是把规范化收到 relayUrl() 这一个入口。
**所以断言要盯两件事**:
1. 规范化函数存在,而且规则正确(IP 走 http、域名走 https)
2. relayUrl() 真的调了它(否则又是"改了函数没人用")
3. checkServer() 从 relayUrl() 取地址(不再自己拼原始值)
'''
from __future__ import annotations
import re
import sys
from pathlib import Path
ROOT = Path(__file__).resolve().parent.parent
JAVA = ROOT / "android" / "src" / "com" / "lanremote" / "watch"
MAIN = JAVA / "MainActivity.java"
TRANSPORT = JAVA / "RelayTransport.java"
FAILS: list = []
def check(name: str, ok: bool, why: str = "") -> None:
print(" [%s] %s%s" % ("PASS" if ok else "FAIL", name,
(" —— " + why) if (why and not ok) else ""))
if not ok:
FAILS.append(name)
def main() -> int:
print("=" * 58)
print(" 手表端中转地址规范化")
print("=" * 58)
print()
check("MainActivity.java 存在", MAIN.is_file())
if not MAIN.is_file():
return 1
src = MAIN.read_text(encoding="utf-8")
# ---- 1. 规范化函数存在 ----
print("一、规范化函数")
check("定义了 normalizeRelay()", "normalizeRelay(String raw)" in src,
"没有它就又会出现 no protocol")
# 从源码里把函数体抠出来检查规则
m = re.search(r"static String normalizeRelay\(String raw\)\s*\{(.*?)\n \}",
src, re.S)
body = m.group(1) if m else ""
check("函数体抠出来了", bool(body))
check("已经有协议头就原样返回",
"startsWith(\"http://\")" in body
and "startsWith(\"https://\")" in body)
check("空串返回空(代表只走局域网)", "url.isEmpty()" in body)
check("纯 IP 走 http", 'matches("\\\\d{1,3}(\\\\.\\\\d{1,3}){3}")' in body
or "matches(" in body and "d{1,3}" in body)
check("localhost 走 http", "localhost" in body.lower())
check(".local 走 http", ".local" in body)
check("域名走 https", '"https://"' in body)
# ---- 2. relayUrl() 真的调了它 ----
print()
print("二、relayUrl() 是不是唯一入口")
m2 = re.search(r"private String relayUrl\(\)\s*\{(.*?)\n \}", src, re.S)
ru = m2.group(1) if m2 else ""
check("relayUrl() 里调了 normalizeRelay", "normalizeRelay(saved)" in ru,
"没调的话 checkServer 还是会拿到没协议头的地址")
check("relayUrl() 里没有自己再写一遍规范化",
"startsWith(\"http" not in ru,
"应该只调 normalizeRelay,别复制逻辑")
# ---- 3. checkServer 用的是 relayUrl() ----
print()
print("三、checkServer() 的来源")
m3 = re.search(r"private void checkServer\(\)\s*\{(.*?)\n \}", src, re.S)
cs = m3.group(1) if m3 else ""
check("checkServer() 里有 relayUrl()", "relayUrl()" in cs)
check("checkServer() 不再直接拼原始字符串",
"new java.net.URL(relay + \"/v1/health\")" in cs
and "String relay = relayUrl()" in cs,
"应该从 relayUrl() 取(已规范化过的)")
# ---- 4. 两边规则一致 ----
print()
print("四、和 RelayTransport 的规则一致")
tr = TRANSPORT.read_text(encoding="utf-8")
check("RelayTransport 也会补协议头",
'!url.startsWith("http://")' in tr)
check("RelayTransport 里纯 IP 走 http",
"d{1,3}" in tr)
check("RelayTransport 里域名走 https",
'"https://"' in tr)
# ---- 5. 真实用例(模拟函数逻辑,确保规则对)----
print()
print("五、规则实算(用 Python 复刻一遍,看结果对不对)")
def normalize(raw: str) -> str:
url = (raw or "").strip()
while url.endswith("/"):
url = url[:-1]
if not url or url.startswith(("http://", "https://")):
return url
host = url
if "/" in host:
host = host.split("/", 1)[0]
if ":" in host:
host = host.split(":", 1)[0]
plain = (host.lower() == "localhost"
or host.lower().endswith(".local")
or re.fullmatch(r"\d{1,3}(\.\d{1,3}){3}", host) is not None)
return ("http://" if plain else "https://") + url
cases = [
("yk.xxmxxs.top", "https://yk.xxmxxs.top"),
("yk.xxmxxs.top/", "https://yk.xxmxxs.top"),
("https://yk.xxmxxs.top", "https://yk.xxmxxs.top"),
("http://10.20.30.40:13245", "http://10.20.30.40:13245"),
("10.20.30.40:13245", "http://10.20.30.40:13245"),
("192.168.2.156:8080", "http://192.168.2.156:8080"),
("localhost:8080", "http://localhost:8080"),
("lanremote.local:8765", "http://lanremote.local:8765"),
("", ""),
]
for raw, want in cases:
got = normalize(raw)
check(" %-28r -> %s" % (raw, want), got == want,
"实际得到 %r" % got)
print()
print("=" * 58)
if FAILS:
print(" 失败 %d 项:%s" % (len(FAILS), ", ".join(FAILS)))
return 1
print(" 全部通过")
return 0
if __name__ == "__main__":
sys.exit(main())