|
|
百目 JArgus v2.0.7
新增企业统一认证，改造「检查更新」，并完成 9 项安全与稳定性修复。
新增：企业统一认证（SSO）
•
两种接入方式：票据回调（企业登录后回调 /sso/entry?ticket=…，校验接口返回用户名与管理员标记）或受信网关头（X-Auth-User / X-Auth-Admin，可附加共享密钥）。
•
角色规则：管理员白名单或认证源的管理员标记为 ADMIN，其余为 VIEWER（只读）。
•
本地登录可关闭：「系统管理 → 统一认证」可只保留统一认证入口；配置不可用时自动恢复本地登录，另有 --app.sso.reset-local-login=true 破窗参数。
•
安全：只信任 TCP 直连的受信代理（IP / CIDR，默认仅本机），不采信 X-Forwarded-For；登录失败限流 20 次 / 15 分钟；共享密钥 AES 加密落库。
改进：检查更新
•
双源兜底：GitHub 不可达时自动改查 Gitee，设置页标注来源。
•
同版本安装包重发提醒：版本号相同但 jar 不同（SHA-256 → 附件大小 → Content-Length）时提示，可忽略，对方再次上传后重新提醒。
•
管理员导航圆点提示；远端发布说明只保留安全协议链接。
安全加固
•
快照复制与扫描不再跟随符号链接，避免仓库内链接把本机敏感文件读入快照。
•
问题上下文只允许读取快照目录内的文件，../ 与绝对路径不再生效。
•
CI Webhook 验签直接对请求体原始字节计算 HMAC。
•
/api/** 不再因后缀与静态资源相同而免登录。
•
登录回跳地址按 URL 解析比对同源，只回跳 path / query / hash。
稳定性
•
分页页码下限 1、每页上限 200，避免超大 size 全表加载。
•
单元测试超时结束整棵进程树，不再残留 surefire JVM / Gradle daemon。
•
驱动上传显式关闭文件流；远端登录 configId 非法返回 400。
升级须知
•
新增 sso_config、update_artifact_dismissal 两张表，旧库首次启动自动补建，覆盖 jar 即可。
•
网关头模式需把网关出口地址加入 app.security.trusted-proxies（默认 127.0.0.1,::1）。
•
检查更新开关：app.update-check.enabled / timeout-ms / match-artifact。
•
加密密钥、Cookie、CI Token 与 v2.0.0 起一致。
Github:https://github.com/vfaner/jargus/releases/download/v2.0.7/jargus.jar
gitee: https://gitee.com/super_rgh/jargus/releases/download/v2.0.7/jargus.jar
原文链接 |
|
发表于 