fix(security): 修复逐项扫描发现的生产隐患（P0 五项 + 稳定性/安全纵深）

P0（均可复现的线上故障）：
- 流式请求遇未知 provider/模型返回 200 空 body：新增 executor.preflight()
  在建立 StreamingResponse 前校验，并给流加 stream_guarded() 兜底错误帧
- 请求体非法 JSON 返回 500：新增 deps.read_json_body() 归一为 400
  （/v1/chat/completions 与 playground 均受影响）
- chunked 请求体绕过登录 8KB 上限：改为 ASGI BodySizeLimitMiddleware
  按实际字节计数（原实现只看 content-length）
- APP_SECRET 变更后凭证解密抛裸 500：新增 CredentialDecryptError 处理器
  返回 credential_decrypt_failed；启动拒绝 <16 字符弱密钥
- TRAE 凭证永不预刷新：TraeProvider 补 credential_from()，
  RefreshTask 的 _needs_refresh 对其恒为 False

稳定性/安全：
- 模型列表加服务端 TTL（300s）且只取可调度凭证（跳过 disabled）
- pending_probes 完成后摘除，避免长跑内存累积
- 流式加 SSE 心跳（15s）与客户端断开记账（client_disconnect）
- 会话/API Key 校验用户仍存在于 users.txt；logout 补 CSRF
- 新增凭证恢复入口（POST /api/credentials/{id}/revive + 前端菜单）
- /api、/v1 未匹配路径返回 JSON 404（原落 SPA 返回 200+HTML）
- 429 补 Retry-After；登录限流改在哈希前卡全局/IP 窗口（防 CPU 放大）
- 凭证增删改/pin/账号切换写审计日志
- CODEBUDDY_API_ENDPOINT 接线并强制白名单校验（此前配置无效）
- 请求体 dump 有界保留（200 份）；删除 dumps/ 与 .bak 残留
- schema 记录 PRAGMA user_version；删除零引用的 checkins/model_cache 表
- 清理死代码：matches/config_api_headers/candidate_with_health/
  note_success/account_generation_changed/now_seconds/format_frames
- CI actions 固定 SHA；补 .python-version；镜像装 tzdata 并默认 TZ

测试：新增 tests/test_hardening.py（61 个 HTTP 层回归用例，覆盖此前
“覆盖率 100% 但运行时路径未覆盖”的盲区）；753 → 754 全通过，覆盖率 100%。

Author: RobbsLuo

.github/workflows/ci.yml

@@ -9,8 +9,8 @@ jobs:
   backend:
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v4
-      - uses: astral-sh/setup-uv@v5
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262  # v4
+      - uses: astral-sh/setup-uv@d4b2f3b6ecc6e67c4457f6d3e41ec42d3d0fcb86  # v5
       - run: uv sync --frozen
       - name: Ruff
         run: uv run ruff check src tests scripts
@@ -23,11 +23,11 @@ jobs:
       run:
         working-directory: web
     steps:
-      - uses: actions/checkout@v4
-      - uses: pnpm/action-setup@v4
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262  # v4
+      - uses: pnpm/action-setup@b906affcce14559ad1aafd4ab0e942779e9f58b1  # v4
         with:
           version: 10
-      - uses: actions/setup-node@v4
+      - uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020  # v4
         with:
           node-version: 24
           cache: pnpm
@@ -40,7 +40,7 @@ jobs:
   compose:
     runs-on: ubuntu-latest
     steps:
-      - uses: actions/checkout@v4
+      - uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262  # v4
       - name: 校验 compose 语法
         run: docker compose config --quiet
         env:

.python-version

@@ -0,0 +1 @@
+3.12

Dockerfile

@@ -10,6 +10,12 @@ RUN pnpm exec vite build
 
 FROM python:3.12-slim AS runtime
 
+# tzdata 是 CHECKIN_HOUR / 额度周期正确性的前提：任务用 time.localtime() 判断
+# "今天 9 点"，基础镜像不带 zoneinfo 时 TZ 会被静默忽略、退回 UTC。
+RUN apt-get update \
+    && apt-get install -y --no-install-recommends tzdata \
+    && rm -rf /var/lib/apt/lists/*
+
 ENV PYTHONUNBUFFERED=1 \
     PYTHONDONTWRITEBYTECODE=1 \
     UV_PROJECT_ENVIRONMENT=/app/.venv \
@@ -37,6 +43,7 @@ USER appuser
 
 ENV DATA_DIR=/app/data \
     USERS_FILE=/app/secrets/users.txt \
+    TZ=Asia/Shanghai \
     HOST=0.0.0.0 \
     PORT=8000
 

PROPOSAL.md

@@ -335,24 +335,8 @@ CREATE TABLE usage_hourly (
     PRIMARY KEY (hour_utc, username, provider, model)
 );
 
--- 签到记录（按上游账号去重，避免同号多凭证重复签到）
-CREATE TABLE checkins (
-    provider     TEXT NOT NULL,
-    account_key  TEXT NOT NULL,
-    date_local   TEXT NOT NULL,
-    ok           INTEGER NOT NULL,
-    credit       REAL,
-    checked_at   INTEGER NOT NULL,
-    PRIMARY KEY (provider, account_key, date_local)
-);
-
--- 模型缓存
-CREATE TABLE model_cache (
-    provider     TEXT NOT NULL,
-    model_id     TEXT NOT NULL,
-    fetched_at   INTEGER NOT NULL,
-    PRIMARY KEY (provider, model_id)
-);
+-- 签到去重与模型列表缓存不进库：前者由 CheckinTask 的当日作用域集合实现，
+-- 后者是进程内 TTL 缓存（重启即重建，无需持久化）。
 ```
 
 **脱敏纪律**（继承 CB）：不存提示词、回答、请求头、Token、工具参数、原始错误体、会话 ID。
@@ -478,16 +462,23 @@ coding2api/
 沿用 codebuddy2api 的既有约定：
 
 - 上游 endpoint 白名单：**只接受明确配置的地址**，真实 Token 绝不转发到未授权站点
+  （`CODEBUDDY_API_ENDPOINT` 启动时强制校验，不在白名单直接失败）
 - TLS 校验默认开启，公网部署必须保持
 - Host / Origin 白名单，CSP `frame-ancestors`
 - 登录三级限流（全局 / IP / 用户名）+ PBKDF2 并发上限
-- 请求体上限 16MB，登录接口 8KB
+- 请求体上限 16MB，登录接口 8KB（ASGI 层按实际字节计数，`chunked` 不能绕过）
 - API Key 仅存摘要，明文只在创建时返回一次
 - 凭证内容加密入库，密钥走 `APP_SECRET` env；**密钥丢失 = 已存凭证全部不可解，只能重录**，不做密钥轮换
-- 管理台会话 Cookie `SameSite=Lax` + 写操作自定义头校验（CSRF）
+  - `APP_SECRET` 最短 16 字符，弱密钥拒绝启动（占位值不再能加密真实凭证）
+  - 解密失败返回可行动错误码 `credential_decrypt_failed`，不暴露裸 500
+- 管理台会话 Cookie `SameSite=Lax` + 写操作自定义头校验（CSRF，含 logout）
+- 会话与 API Key 除签名/摘要外**校验用户仍存在于 users.txt**：删用户即失效
+- 未匹配的 `/api`、`/v1` 路径返回 JSON 404（不再落到 SPA 的 200 + HTML）
 - 日志脱敏：不打印 Token、完整请求体
+- 审计：凭证增删改、pin、账号切换写 INFO 日志（含操作人）
 
-不做的：mTLS、审计日志、IP 白名单（交给反向代理）。
+不做的：mTLS、IP 白名单（交给反向代理）。审计日志只覆盖凭证管理写操作，
+不做全量请求审计（统计表已是脱敏的请求级记录）。
 
 ### 配置参考（env）
 
@@ -501,15 +492,15 @@ coding2api/
 | `HOST` / `PORT` | `127.0.0.1` / `8000` | 监听地址与端口 |
 | `DATA_DIR` | `./data` | SQLite 与运行数据目录 |
 | `DEFAULT_MODEL` | `glm-5.2` | model 为空/auto 时的路由目标 |
-| `CHECKIN_HOUR` | `9` | 每日签到时刻（服务器本地时区） |
+| `CHECKIN_HOUR` | `9` | 每日签到时刻（容器本地时区，镜像默认 `TZ=Asia/Shanghai`） |
 | `QUOTA_PROBE_MINUTES` | `60` | 额度探测周期 |
 | `PACER_MIN_SECONDS` / `PACER_MAX_SECONDS` | `5` / `20` | 后台任务随机节流区间 |
 | `REFRESH_SKEW_HOURS` | `24` | token 预刷新窗口 |
 | `LOG_LEVEL` | `INFO` | 日志级别 |
 | `CODEBUDDY_CHAT_MIN_INTERVAL` | `5` | CB 聊天最小间隔（秒），避频控风控；0 关闭 |
 | `MODEL_BLOCKLIST` | `custom_model_*,*sub*agent*,summary,browser_use_*` | 模型列表黑名单（fnmatch glob）；只影响列表展示 |
 | `ALLOWED_HOSTS` | 空 | Host 白名单（防 DNS rebinding）；空 = 本地回环 + PUBLIC_BASE_URL 主机 |
-| `DUMP_REQUEST_BODIES` | `false` | 诊断开关：/v1 原始请求体落到 data/dumps/ |
+| `DUMP_REQUEST_BODIES` | `false` | 诊断开关：/v1 原始请求体落到 data/dumps/（最多保留 200 份） |
 
 ---
 

README.md

@@ -142,18 +142,34 @@ curl http://127.0.0.1:8000/v1/chat/completions \
 
 | 变量 | 默认 | 说明 |
 |---|---|---|
-| `APP_SECRET` | **必填** | 凭证列加密密钥；丢失等于凭证全部作废 |
+| `APP_SECRET` | **必填** | 凭证列加密密钥，至少 16 字符；丢失等于凭证全部作废 |
 | `ADMIN_USERNAMES` | 空 | 逗号分隔；空则所有用户只读 |
 | `USERS_FILE` | `secrets/users.txt` | 用户文件路径 |
 | `DATA_DIR` | `./data` | SQLite 与运行数据目录 |
 | `PUBLIC_BASE_URL` | `http://127.0.0.1:8000` | 浏览器可达地址；TRAE 登录回调依赖它 |
-| `CODEBUDDY_API_ENDPOINT` | 中国站 | 上游地址，只接受白名单内地址 |
+| `CODEBUDDY_API_ENDPOINT` | 中国站 | 上游地址，只接受 `CODEBUDDY_ALLOWED_ENDPOINTS` 白名单内地址 |
+| `CODEBUDDY_ALLOWED_ENDPOINTS` | 中/国际站 | 逗号分隔白名单；不在其中启动即失败 |
 | `DEFAULT_MODEL` | `glm-5.2` | 模型为空或 `auto` 时的目标 |
-| `CHECKIN_HOUR` | `9` | 每日签到时刻（服务器本地时区） |
+| `CHECKIN_HOUR` | `9` | 每日签到时刻（容器本地时区，镜像默认 `TZ=Asia/Shanghai`） |
 | `QUOTA_PROBE_MINUTES` | `60` | 额度探测周期 |
 | `CODEBUDDY_CHAT_MIN_INTERVAL` | `5` | CB 聊天最小间隔（秒），避频控风控；0 关闭 |
 | `MODEL_BLOCKLIST` | `custom_model_*,*sub*agent*,summary,browser_use_*` | 模型列表黑名单（fnmatch glob，逗号分隔，完全替换语义）；只影响列表展示，直连指定不受影响 |
 | `ALLOWED_HOSTS` | 空 | Host 白名单（防 DNS rebinding）；空 = 本地回环 + `PUBLIC_BASE_URL` 主机 |
+| `DUMP_REQUEST_BODIES` | `false` | 诊断开关：把 `/v1` 原始请求体落到 `data/dumps/`（含对话内容，勿长期开启） |
+
+## 部署注意
+
+- **挂载目录属主**：容器内以 uid 1001（`appuser`）运行，`./data` 与 `./secrets`
+  必须可写/可读，否则 SQLite 打不开、服务崩溃重启：
+
+  ```bash
+  mkdir -p data secrets && sudo chown -R 1001:1001 data secrets
+  ```
+
+- **时区**：`CHECKIN_HOUR` 按容器本地时区解释。镜像已装 `tzdata` 并默认
+  `TZ=Asia/Shanghai`；如需其它时区，显式覆盖 `TZ`，否则签到时刻会按 UTC 算。
+- **APP_SECRET**：至少 16 字符，弱密钥（如 `.env.example` 里的占位串）会在
+  启动时被拒绝；更换后已存凭证全部无法解密，需重新录入。
 
 ## 开发
 

src/api/admin_auth.py

@@ -26,9 +26,12 @@ async def login(request: Request, payload: dict):
         password = str(payload.get("password") or "")
         ip = request.client.host if request.client else ""
         throttle = services.login_throttle
+        # 哈希前先卡全局/IP 窗口：PBKDF2（600k 迭代）是 CPU 密集操作，
+        # 不限流的话无效尝试就能占满线程池（DoS）。
+        # 用户名窗口故意放到验证之后：它可能被他人输错用户名抬高，
+        # 提前拦截会误伤合法用户。
+        throttle.check_transport_windows(ip=ip)
         # PBKDF2 是 CPU 密集同步操作：线程池 + 信号量限并发，防事件循环卡死。
-        # 先验证再限流：正确密码永不被窗口卡死（一次成功即解锁），
-        # 失败才走窗口计数——爆破频率被压到可用性以下。
         verified = await throttle.verify(services.users.verify, username, password)
         if not verified:
             # 超限时抛 429 且不再计数；未超限则记一次失败并回 401
@@ -46,7 +49,8 @@ async def login(request: Request, payload: dict):
         return response
 
     @router.post("/api/auth/logout")
-    async def logout():
+    async def logout(_csrf: None = Depends(csrf_protected)):
+        # 不校验 CSRF 时，任何跨站页面都能强制登出（拒绝服务式骚扰）。
         response = JSONResponse({"ok": True})
         response.delete_cookie(SESSION_COOKIE, path="/")
         return response

src/api/admin_credentials.py

@@ -71,6 +71,8 @@ async def import_credential(payload: dict,
                                         credential_data=credential_data,
                                         nickname=str(payload.get("nickname") or ""),
                                         added_by=principal.username)
+        logger.info("管理员 %s 新增凭证 %s（上游 %s）", principal.username, credential_id,
+                    provider_id)
         schedule_probe(credential_id)
         return {"id": credential_id}
 
@@ -81,14 +83,29 @@ async def toggle_credential(credential_id: str, payload: dict,
         require_admin(principal)
         if not credentials.set_enabled(credential_id, bool(payload.get("enabled", True))):
             raise InvalidRequest("credential not found")
+        logger.info("管理员 %s 开关凭证 %s -> %s", principal.username, credential_id,
+                    payload.get("enabled", True))
+        return {"ok": True}
+
+    @router.post("/api/credentials/{credential_id}/revive")
+    async def revive_credential(credential_id: str,
+                                _csrf: None = Depends(csrf_protected),
+                                principal=Depends(principal_from_request)):
+        """解除硬禁用/冷却，让重新登录后的凭证回到池子。"""
+        require_admin(principal)
+        if not credentials.revive(credential_id):
+            raise InvalidRequest("credential not found")
+        logger.info("管理员 %s 恢复了凭证 %s", principal.username, credential_id)
         return {"ok": True}
 
     @router.post("/api/credentials/pin")
     async def pin_credential(payload: dict,
                              _csrf: None = Depends(csrf_protected),
                              principal=Depends(principal_from_request)):
         require_admin(principal)
-        credentials.set_pinned(payload.get("credential_id"))
+        pin = payload.get("credential_id")
+        credentials.set_pinned(pin)
+        logger.info("管理员 %s 固定凭证 %s", principal.username, pin)
         return {"ok": True}
 
     @router.delete("/api/credentials/{credential_id}")
@@ -98,6 +115,7 @@ async def delete_credential(credential_id: str,
         require_admin(principal)
         if not credentials.delete(credential_id):
             raise InvalidRequest("credential not found")
+        logger.info("管理员 %s 删除凭证 %s", principal.username, credential_id)
         return {"ok": True}
 
     @router.post("/api/credentials/{credential_id}/probe")
@@ -164,6 +182,8 @@ async def select_credential_account(credential_id: str, payload: dict,
             raise InvalidRequest("credential does not support account switching")
         switched = await provider.switch_account(data, str(payload.get("account_id") or ""))
         credentials.save_credential_data(credential_id, switched)
+        logger.info("管理员 %s 切换凭证 %s 账号 -> %s", principal.username, credential_id,
+                    payload.get("account_id"))
         # 账号切换后额度对应的是新账号，必须重探测而不是沿用旧值
         schedule_probe(credential_id)
         return {"switched": True}

src/api/chat.py

@@ -2,6 +2,7 @@
 
 from __future__ import annotations
 
+import contextlib
 import json
 import time
 from pathlib import Path
@@ -10,7 +11,30 @@
 from fastapi.responses import JSONResponse, StreamingResponse
 
 from ..compat.openai.request import parse_chat_request
-from .deps import Services, api_key_user
+from .deps import Services, api_key_user, read_json_body
+from .streaming import with_keepalive
+
+# dump 目录最多保留的文件数：诊断开关长期开着时不能无限侵占磁盘
+DUMP_KEEP_FILES = 200
+
+
+def dump_request_body(data_dir: Path, body: object) -> None:
+    """把原始请求体写到 data/dumps/（诊断用），并淘汰超量的旧文件。
+
+    请求体包含完整对话内容，因此这个开关只应用于排查客户端差异，
+    不能长期开启；这里只做基本的有界保留。
+    """
+    dump_dir = data_dir / "dumps"
+    dump_dir.mkdir(parents=True, exist_ok=True)
+    try:
+        (dump_dir / f"{int(time.time() * 1000)}.json").write_text(
+            json.dumps(body, ensure_ascii=False, indent=1), encoding="utf-8")
+    except OSError:  # 磁盘只读/满：诊断失败绝不能影响请求
+        return
+    stale = sorted(dump_dir.glob("*.json"))[:-DUMP_KEEP_FILES]
+    for path in stale:
+        with contextlib.suppress(OSError):
+            path.unlink()
 
 
 def create_router(services: Services) -> APIRouter:
@@ -20,16 +44,16 @@ def create_router(services: Services) -> APIRouter:
 
     @router.post("/v1/chat/completions")
     async def chat_completions(request: Request, user: str = Depends(api_key_user)):
-        body = await request.json()
+        body = await read_json_body(request)
         if settings.dump_request_bodies:
-            dump_dir = Path(settings.data_dir) / "dumps"
-            dump_dir.mkdir(parents=True, exist_ok=True)
-            (dump_dir / f"{int(time.time() * 1000)}.json").write_text(
-                json.dumps(body, ensure_ascii=False, indent=1), encoding="utf-8")
+            dump_request_body(Path(settings.data_dir), body)
         chat_request = parse_chat_request(body)
         if chat_request.stream:
-            return StreamingResponse(executor.stream(chat_request, username=user),
-                                     media_type="text/event-stream")
+            # 前置校验：在 200 响应头发出前拒绝不可能成功的请求
+            executor.preflight(chat_request)
+            return StreamingResponse(
+                with_keepalive(executor.stream_guarded(chat_request, username=user)),
+                media_type="text/event-stream")
         return JSONResponse(await executor.complete(chat_request, username=user))
 
     return router

src/api/deps.py

@@ -8,6 +8,7 @@
 
 from __future__ import annotations
 
+import json
 from collections.abc import Callable
 from dataclasses import dataclass, field
 from typing import Any
@@ -18,6 +19,7 @@
 from ..auth.rbac import Principal, UnauthorizedError
 from ..auth.session import verify_session_token
 from ..auth.throttle import LoginThrottle
+from ..compat.openai.request import InvalidRequest
 from ..config import Settings
 from ..db.repo import ApiKeyRepository, CredentialRepository
 from ..engine.executor import Executor
@@ -49,18 +51,25 @@ class Services:
     # 模型列表缓存：provider_id → {小写模型名: Model}（含元数据）。
     # list_models 成功时更新，某上游拉取失败时用缓存兜底（v1/models 稳定返回）。
     model_list_cache: dict[str, dict[str, Any]] = field(default_factory=dict)
+    # 上次成功拉取时间（monotonic）：TTL 内的请求直接用缓存，
+    # 避免客户端频繁调 /v1/models 时上游被打成大。
+    model_list_fetched_at: dict[str, float] = field(default_factory=dict)
 
 
 def get_services(request: Request) -> Services:
     return request.app.state.services
 
 
 async def principal_from_request(request: Request) -> Principal:
-    """会话 Cookie → Principal（管理台内部端点）。"""
+    """会话 Cookie → Principal（管理台内部端点）。
+
+    除签名与过期外还要确认用户仍存在于 users.txt：删除用户后旧会话
+    最长还能再用 12 小时，属于权限撤销漏洞（cookie 是无状态签名）。
+    """
     services = get_services(request)
     token = request.cookies.get(SESSION_COOKIE, "")
     username = verify_session_token(token, services.settings.app_secret)
-    if not username:
+    if not username or not services.users.has(username):
         raise UnauthorizedError("session missing or expired")
     return Principal(username=username,
                      is_admin=services.settings.is_admin(username))
@@ -74,11 +83,25 @@ async def api_key_user(request: Request) -> str:
     if not header.lower().startswith(prefix.lower()):
         raise UnauthorizedError("missing api key")
     username = services.api_keys.verify(header[len(prefix):].strip())
-    if not username:
+    # 用户被删除后旧 Key 永久有效，必须同样校验
+    if not username or not services.users.has(username):
         raise UnauthorizedError("invalid api key")
     return username
 
 
 async def csrf_protected(request: Request) -> None:
     """写操作 CSRF 校验（仅对带会话 cookie 的请求生效）。"""
     check_csrf(request)
+
+
+async def read_json_body(request: Request) -> Any:
+    """读取并解析 JSON 请求体；非法 JSON 归一为 400 而不是 500。
+
+    FastAPI 把 `payload: dict` 声明在签名里时，解析失败会返回 422；
+    但本项目的 /v1 与 playground 走原始 Request（需要透传任意字段），
+    裸调 `request.json()` 会让 json.JSONDecodeError 冒泡成 500。
+    """
+    try:
+        return await request.json()
+    except (json.JSONDecodeError, UnicodeDecodeError) as error:
+        raise InvalidRequest("request body is not valid JSON") from error