安全
V1.0 起安全不是某个版本的功能,而是每个版本的交付标准。
- V1.0:argon2id 密码哈希、HttpOnly 会话 Cookie、SameSite 防护、sqlx 参数化查询杜绝注入
- V1.0:Markdown 白名单渲染,服务端净化和前端转义双保险,杜绝存储型 XSS
- V1.0:Nginx 限流 + Rust 侧用户/设备双维度计数,抑制刷票
- V1.1:媒体直传校验类型与大小,上传目录禁止执行任何脚本
- V1.3:管理动作全量审计日志,不可篡改
- V2.0:OAuth 回调白名单、Webhook HMAC 验签、API 配额与吊销