mirror of
https://gitee.com/xmz7891/ykxmz.git
synced 2026-10-18 12:30:44 +00:00
xmz7891
430923dd84
== 问题 ==
relay/relay.py 第 138 行：
ADMIN_PASSWORD_DEFAULT = "@REVAedu120830"
而且 _tests/ 和 _build/ 下 11 个文件里也写着明文密码。
这个仓库是要推到**公开的 Gitee / EzHub** 的，等于：
git 仓库 = 公开的
管理页路径 /zhongzhuanzhan = 公开的（就写在代码里）
公网地址 = 公开的
密码 = 也在仓库里
**= 把管理台的门钥匙挂在门上。**
而且 git 历史删不掉 —— 只是在最新提交里删掉没用，
读过仓库的人已经从历史里拿到了。
== 修法 ==
### 1. 代码里不再有任何固定密码
relay.py 的 admin_password() 改成和 admin_key 一样的做法：
环境变量 RELAY_ADMIN_PASSWORD
-> data/admin_password.txt（600 权限，不进仓库）
-> 都没有就**首次启动随机生成**，写进那个文件并打印一次
这样全新部署的密码天然是随机的、每台不同。
### 2. 11 个文件里的明文密码清掉
_tests/ acceptance.py, test_relay_admin_login.py,
test_admin_batch_delete.py, test_admin_button.py,
test_admin_device_control.py, test_admin_js.py,
test_admin_netcheck.py
_build/ check_web.sh, verify_site_admin.sh,
split_site_admin2.py, test_response_headers.py
统一改成从 RELAY_ADMIN_PASSWORD 环境变量读，
拿不到就从部署的 data/admin_password.txt 读，
再拿不到就**跳过需要登录的用例**（而不是编个假密码硬试）。
### 3. 真机上的密码已经轮换
设备上的 data/admin_password.txt 已换成用户指定的新密码，
并实测：
✓ 新密码能登录（HTTP 302 + lr_admin cookie）
✓ 老密码登不上了
✓ 新密码无换行（printf 不带 \n，免得读出来多一个字符）
顺带：重启中断了 relay-stability 的 A/B 对照 A 组（69 个样本），
分析数据时会标注这一段。
== 新增测试 ==
_tests/test_admin_password_gen.py 验证六件事：
1. 全新部署会生成随机密码（不是那个老密码）
2. 密码长度 >= 12、纯字母数字
3. 用生成的密码能登录管理页
4. **老密码登不进去**
5. 重启后密码不变（从文件读回来）
6. **两次全新部署的密码不一样**（真的是随机的）
== 还没做的（等用户决定）==
git **历史**里还有那个密码。要彻底清掉得重写历史 + 强制推送，
这是个危险操作，按用户的规矩必须他确认之后才做。
而且**光删历史不够** —— 密码已经公开过，必须换（已换）。
63 lines
2.5 KiB
Bash
63 lines
2.5 KiB
Bash
#!/bin/bash
|
|
|
|
# ⚠ 管理密码不再写在这里，从环境变量取：
|
|
# export RELAY_ADMIN_PASSWORD=...
|
|
: "${RELAY_ADMIN_PASSWORD:?请先 export RELAY_ADMIN_PASSWORD}"
|
|
# 验证官网 + 管理页分家
|
|
set -u
|
|
|
|
BASE=http://127.0.0.1:8080
|
|
PUB=https://relay.xxmxxs.top
|
|
UA='LanRemote/1.4.0'
|
|
|
|
echo "===== 1. 官网首页 / （应该不用登录就能看到）====="
|
|
body=$(curl -s --max-time 15 "$BASE/" 2>/dev/null)
|
|
echo " HTTP 内容长度: $(echo -n "$body" | wc -c)"
|
|
for n in 'ykxmz' '老师抬一下手腕' '下载' '电脑端' '服务器端' '手表端'; do
|
|
echo "$body" | grep -q "$n" && echo " OK $n" || echo " XX $n"
|
|
done
|
|
|
|
echo
|
|
echo "===== 2. 管理页 /zhongzhuanzhan（应该要登录）====="
|
|
code=$(curl -s -o /dev/null -w '%{http_code}' --max-time 15 "$BASE/zhongzhuanzhan" 2>/dev/null)
|
|
echo " HTTP $code"
|
|
login=$(curl -s --max-time 15 "$BASE/zhongzhuanzhan" 2>/dev/null)
|
|
echo "$login" | grep -q 'name=username' && echo " OK 有账号输入框" || echo " XX 没有账号框"
|
|
echo "$login" | grep -q 'name=password' && echo " OK 有密码输入框" || echo " XX 没有密码框"
|
|
|
|
echo
|
|
echo "===== 3. /admin 应该跳转 ====="
|
|
loc=$(curl -s -o /dev/null -w '%{redirect_url}' --max-time 15 "$BASE/admin" 2>/dev/null)
|
|
echo " 跳转到: ${loc:-（没有跳转）}"
|
|
|
|
echo
|
|
echo "===== 4. 用错误密码登录（应该被拒）====="
|
|
curl -s -o /dev/null -w ' HTTP %{http_code} -> %{redirect_url}\n' --max-time 15 \
|
|
-X POST -d "username=xmz7891&password=$RELAY_ADMIN_PASSWORD" "$BASE/admin/login" 2>/dev/null
|
|
|
|
echo
|
|
echo "===== 5. 用正确账号密码登录（应该成功）====="
|
|
curl -s -c /tmp/ck.txt -o /dev/null -w ' HTTP %{http_code} -> %{redirect_url}\n' \
|
|
--max-time 15 -X POST \
|
|
-d "username=xmz7891&password=$RELAY_ADMIN_PASSWORD" "$BASE/admin/login" 2>/dev/null
|
|
echo " Cookie:"
|
|
grep -o 'lr_admin.*' /tmp/ck.txt 2>/dev/null | head -1 | sed 's/^/ /'
|
|
|
|
echo
|
|
echo "===== 6. 带 Cookie 访问管理页（应该看到管理内容）====="
|
|
admin=$(curl -s -b /tmp/ck.txt --max-time 15 "$BASE/zhongzhuanzhan" 2>/dev/null)
|
|
for n in 'id=dlPanel' '网络体检' '退出登录' 'favicon'; do
|
|
echo "$admin" | grep -q "$n" && echo " OK $n" || echo " XX $n"
|
|
done
|
|
|
|
echo
|
|
echo "===== 7. 公网访问官网 ====="
|
|
curl -s --max-time 30 -H "User-Agent: $UA" "$PUB/" 2>/dev/null | head -c 200
|
|
echo
|
|
echo " 下载区文件:"
|
|
curl -s --max-time 20 "$BASE/v1/downloads" | python3 -c '
|
|
import json,sys
|
|
d=json.load(sys.stdin)
|
|
for f in d.get("files",[]): print(" "+f["name"])
|
|
' 2>/dev/null
|