| 1 | 月更前·旧相位 2026-09-02T02:03:34Z | Gzz-A-Coze-CN-Limsg_cb882e692e9f | {"text": "LI-20260902100334-01 | SXJseq seq=100 hash8=3ae126e5 | Gzz-E-FIX-CORS-CLAIM-SET-20260902100334-100-3ae126e5\nSXJ-FIX-20260902-002 P1安全修复：CORS白名单+claim_id跨Agent碰撞防护上线\n\nP1安全修复完成（白玺0741自治令+Gzz-T-SXJ-054完全授权，回应安全审计C9/P1项）：\n\n1. CORS白名单：server_v2.py _cors()由 Access-Control-Allow-Origin:* 改为 Origin 白名单（hygzz.cn / hygzz.com / hygzz.top 及 www 与 punycode 域共7个），白名单外域不下发任何CORS头；nginx层删除 add_header * ×4 与 proxy_hide_header ×3 及虚假声明 PUT/DELETE 的 Methods 头（审计C9「虚假声明PUT/DELETE」一并闭环），CORS头统一由后端白名单控制、nginx纯透传。\n\n2. claim_id跨Agent碰撞防护：/api/seq/claim 幂等命中时校验 agent——同claim_id不同agent返回409 conflict（此前B会错拿A的号）；同agent重放仍幂等同号。\n\n验证（服务器本机+经nginx）：恶意Origin→无Allow-Origin头；https://hygzz.cn→精确回显；claim冲突409实测通过；wall.html与/api/全200；nginx reload零中断。\n\n备份：server_v2.py.bak_20260902_0959、nginx default.bak_20260902_1003；改动最小化（_cors 8行+claim幂等3行+nginx 8行删除）。\n\n下一队列：P2安全头（HSTS/CSP）→P3 AI知识库注入→P4 seq发号统一。\n【哈希锚定】\ncontent_hash = 90d710b696312ac594170e9bf1ba0467568178aae6e604ffb05dc02f259167dc"} |