8 Commits

Include renames

Author	SHA1	Message	Date
zqlit	740d77e4cb	fix(ssl): 修掉 5 处静默失败，本项目全面接管签发部署，Worker 退回只读 ... 一、1Panel 部署器三个缺陷（其中两个此前完全不可见） 1. `POST /websites/{id}/https` 的字段名是 `websiteSSLId`，不是 `sslId`。 发 `sslId` 会被 Go 静默忽略成零值 0，于是 `websiteSSLRepo.GetFirst(WithByID(0))` → 返回 `HTTP 200 + code 500「服务错误: record not found」`， 报错文案落在 DB 层，完全指不到参数名 —— 整个 t-t.live 部署被这条卡住。 对照实验：`sslId=13 → 500` / `websiteSSLId=13 → 200 code=200`。 2. 换证书内容的接口选错。`POST /websites/ssl/update` 的结构体 `WebsiteSSLUpdate` **根本没有** `certificate` / `privateKey` 字段， 传了被丢弃、且 `domains` 只从 `otherDomains` 取（不传就清空）， 还会顺带把 `autoRenew` 置 false —— 而它**照样返回 200 success**。 实测：原样 update 后 5 个站点的 `ssl/*.pem` mtime+md5 一个都没变。 正确接口是 `POST /websites/ssl/upload` + `sslID > 0`：取记录 → 覆盖 → 重算 ExpireDate/domains → `UpdateSSLConfig()` → 重新物化站点文件。 副作用：`Upload()` 把 `primaryDomain` 重算成证书第一个 SAN （#11 因此从 `usj.cc` 漂成 `*.usj.cc`）→ 必须补 `domains` 兜底匹配， 否则每次续期都新建一条重复记录。 3. `deploy()` 幂等捷径漏了「记录被换过」这一维：`sslId` 没变但内容变了时 会跳过绑定，站点文件就停留在旧证书。改为引入 `replaced` 标志强制重绑。 二、另外两处静默失败 4. `parsePemInfo()` 对**完整链**返回 `{}`：旧实现把 PEM 各段 base64 拼接后 一次 `atob`，中间段尾部的 `=` 填充导致抛错，整函数返回空 → `rec.expireAt` 退化成「签发时刻 + 90 天」。而完整链恰恰是部署器最常 拿到的形态。改为只解析第一段（叶证书）。 顺带新增 `derLen()` / `parseSanFromDer()`，精确定位 SAN 扩展 OID `2.5.29.17` 再读 `[2] dNSName`，替掉原来的字节扫描启发式。 这条同时是「多吉云复用失效」的根因：判据缺到期时间，只看域名集合 就永远认为已覆盖 → 续期静默空转。修好后判据带上 `notAfter` 比对（1 天容差）。 5. DNS-01 挑战通知会撞 `400 authorization must be pending`（200181.xyz 连中两次）。 这是**竞态**不是逻辑错：「先读状态再 POST」挡不住毫秒级窗口。 已在 POST 侧做幂等容错（只认这一句），最终由 `pollAuthz` 定论。 三、Worker 退回只读 - `crons` 去掉 `10 4 * * *`，`index.ts` 里 renew 分支整体删除 - `POST /ssl/issue` 改 **501 硬拒绝**（而不是静默降级），响应给出国内机命令 - 签发 + 部署整条链路跑在国内机容器 `cn-certkeeper` 四、顺带修掉的两个「配置被悄悄抹掉」 - `configSave()` 不再丢掉表单不管理的 `probe_connect` / `probe_sni`。 之前管理员在面板改任何一项，这两个字段就会被清空， 后果是挂在 CDN 后的 t-t.live 探针退回公网、被误判成「还剩 80 多天」， 源站证书到期也不续。现在保存时从旧配置带过来。 五、新增 4 个常驻运维工具（deploy/cn-certkeeper/src/） - `renew-one.mjs` 只对单个域名签发+部署（原 `/renew` 无域名过滤，会全量重签） - `redeploy.mjs` 复用已签好的证书只重跑部署（不碰 ACME，不白烧配额） - `rollback-dogecloud.mjs` 应急把 CDN 域名绑回指定证书 id - `txt-inspect.mjs` `_acme-challenge` 下的 TXT 残留盘点/清理 - `selfcheck-acme.mjs` CA 层诊断：只读目录 + 复用账户，不签发不部署 六、测试与文档 - 自测新增 [11] 节 8 项 PEM 解析回归（样本是 openssl 现场生成、内联写死的 叶+中间证书，两段都以 `=` 结尾，正是 bug 现场），含精确值断言： > 125 项通过，0 失败 - `npm run typecheck` 零错误 - 方案文档：§9.11 由「待验证」改为定案（`ssl/update` 不物化、 `ssl/upload+sslID` 才物化）；新增 §9.12「本轮又修掉的 5 个静默失败」、 §9.13「本轮最终状态」、§9.14「certimate 工作流清查」 线上验收：三个域名（t-t.live / usj.cc / 200181.xyz）线上证书均为 LiteSSL ECC、2027-01-04 到期、daysLeft=90、needRenew=false； 1Panel 证书库 5 条精简为 3 条且全部在用； certimate 停掉全部「会签发并部署」的工作流（团团 / 优世界 / 200181.xyz）， 保留三条纯监控告警。	2026-10-06 20:08:28 +08:00
zqlit	1427c47dcf	feat(ssl): 证书签发链路搬到国内机 Docker，清理 1Panel 过期证书 ... 架构定案（B+C）：CF Worker 免费版 CPU 硬顶 10ms（cron 同）， 不再购买 Paid（$5/月≈¥36），改为—— B. Worker 留免费版 + 代码优化（把 CPU 压进预算） C. 签发+部署整条链路搬国内机 Docker 容器 代码 - acme.ts: 缓存 signingKey 为 Promise，单次签发 importKey 12→1 次 （实测 importKey 126µs / sign 84µs；一次签发 3.3ms → 1.4ms） - deployer.ts: 新增 DogeCloudDeployer.ping()；修正 cert_id → id 的注释 - dnsprovider.ts: 新增 RemoteDns（把 DNS-01 写 TXT 委托给国内机 cn-dns-helper） - tools/certkeeper-config.mjs: 域名配置抽为唯一事实源（两个消费方共用） - tools/export-certkeeper-data.mjs: 导出国内机数据目录 新增部署单元 - deploy/cn-certkeeper: 签发+部署容器（只绑 127.0.0.1:8019，compose 管理） 含 FileKV（文件系统版 KVNamespace）、带鉴权 HTTP、每日 4:10 续期 - deploy/cn-dns-helper: DNS-01 写 TXT 助手（只绑 127.0.0.1:8018） 文档 - 函数版证书管家-方案.md 新增第九章：B+C 定案、实测 CPU 数据、 容器验收记录、1Panel 过期证书清理记录、t-t.live 两套管理冲突 - 标注旧 8.3 节「免费版跑不了签发」为未实测误判 一并纳入：.gitignore 忽略 deploy/cn-certkeeper/lib/（tsc 编译产物）	2026-10-06 18:28:55 +08:00
zqlit	43dbc8b75f	feat(ssl): ACME 自动签发与自动续期，实现证书全生命周期闭环 ... 证书管家此前只做「探针」（查剩余天数），现补齐签发+部署两个环节， 参照 certimate（MIT）的 DNS-01 流程自行实现，不再依赖闭源 certd。 新增（纯 WebCrypto，零 npm 依赖）： - lib/acme.ts ACME v2 客户端：ES256 JWS（原始 r||s）、RFC7638 thumbprint、EAB、badNonce 重试、DNS-01、手写 DER CSR - lib/dnsprovider.ts DNS-01 适配：DNSPod（TC3-HMAC-SHA256）、Cloudflare - lib/deployer.ts 部署适配：多吉云 CDN、1Panel 站点（幂等换证书） - lib/certissue.ts 编排：探针判剩余天数 → 注册/复用账户 → 签发 → 落库 → 逐目标部署；RENEW_BEFORE_DAYS=30 - routes/ssl.ts 新增 POST /ssl/issue、GET /ssl/renew-check、 POST /ssl/selfcheck（环境自检，只读不签发） - index.ts + cron 每日 04:10 自动续期检查；cpu_ms 提到 60s 与 certimate 的差异：certimate 每个 workflow 每天无条件重跑， 这里改为先探针查剩余天数、低于阈值才签，省 CA 限速额度。 实测修正（易误判，勿回退）： - 多吉云 bind 参数是 {id, domain}，非 {cert_id}（用假 id 对照实验确认： cert_id 回「域名不存在」= 参数被无视） - 多吉云上传私钥字段是 private；列域名用 /cdn/domain/list.json - 1Panel 必须用 /api/v2/（v1 返回 HTTP 200 但正文是 HTML 停用页） - 1Panel HTTPS 配置字段是 SSL（大写），写错会导致每次续期都重绑 - LiteSSL ACME 目录须带 /v2：acme.trustasia.com/acme/v2/directory 测试：selftest-acme 16/16（CSR 过 openssl 验签、JWS 过 Node crypto 验签）、 selftest-deploy 18/18、selftest:ssl 117/117、UI 全过、tsc 干净	2026-10-06 16:59:37 +08:00
zqlit	432cf5e398	feat: 证书探测改走国内机真 Node —— Workers 拿不到证书正文的兜底方案 ... 根因：Workers 上 cloudflare:sockets 没有 getPeerCertificate， node:tls 的同名方法是桩函数（调用即抛 not implemented）。 - editor-api 新增 /ssl-probe 本地端点（真 Node，读对端证书正文）： 不外发、不落盘；ssl 白名单放行，admin/ssl 可用，editor/匿名拒绝 - certprobe 改两级：首选国内机（带 X-Editor-Token），失败自动降级本地握手 - certProbe/certCheck 接线 EDITOR_API_BASE + EDITOR_TOKEN，撤掉 ?debug 诊断 - wrangler.toml 显式开 nodejs_compat（compat date 早于默认启用阈值） - 手写 node:tls 最小类型声明（保持零依赖） - seed-ssl-config.mjs 净化：真实凭据移到 secrets-backup/certkeeper-seeds.json， TOKEN_SECRET 改从 .dev.vars 读；脚本本体不含任何凭据 - role-perm 新增第 9 节 12 项（59/59），UI 探测 37 项全过	2026-10-06 15:55:22 +08:00
zqlit	a40a92f526	feat: SSL 证书管家 —— 后台面板 + 专属角色 + 国内机放行 ... 集成在 api.200181.xyz（同一个 Worker），国内机 writeapi.usj.cc 同步可用。 新增第三档后台角色 'ssl'： - 只拿证书管家钥匙，看不到评论/文章/用户等模块 - 判定正着枚举放行（canManageSSL = admin|ssl），不用排除法， 免得以后新增角色静默获得私钥权限 - 鉴权只认 Bearer 会话，绝不走 isAdminRequest —— 后者有 Artalk 老客户端的 query 兜底，一旦进来的就是 TLS 私钥 数据（复用 RSS_KV，前缀 certkeeper:）： - 凭据一条一键，避开 KV 读-改-写无事务导致的并发丢数据 - 私钥/AK-SK 一律 AES-GCM 密文（TOKEN_SECRET 经 PBKDF2 派生） - 列表接口只回显前 4 后 4 位，明文不进内存 - 配置读失败抛错而非返回空，避免一次保存覆盖线上配置 只读监控： - probeTls 走 cloudflare:sockets 拿证书正文，实现到期分级 与「库里记录 vs 线上实测」对比（match/mismatch/live-only/unreachable） - 到期提醒邮件（HTML 已转义） 国内机 editor-api： - identify 识别 ssl 角色；业务分支前白名单，ssl 只能碰 /health、 /admin/session、/admin/logout 与 /api/v2/ssl* - /api/v2/ssl* 反代放行 admin + ssl（RSS 仍是 admin-only） - posts.mjs 越权兜底方向修正：owns() 从「非 editor 即放行」改为 「只有 admin 不受限」，漏进来的 ssl 被当受限编辑而非管理员全放行 - createPost 显式拒绝非写作角色 验证：typecheck ✓ / selftest:ssl 117 项 ✓ / 浏览器 37 项 ✓	2026-10-06 14:19:01 +08:00
zqlit	bcfa229105	邮件模板微信化 + 评论老友自动填充 + CF 后台国内线路一键跳 ... - 邮件模板重做成微信聊天式：灰底、自己评论绿色气泡靠右、对方白色气泡靠左、 40px 圆角方头像（weavatar，邮箱 md5 不外泄）、时间居中、#07C160 主按钮； 布局全嵌套表格（Outlook 稳），表情内联 max-height:28px（修掉「表情太大」）、 配图限宽 100%；管理员主题从「新的评论待审」改成「您有一个新的评论」 - 老友自动填充：新增 /comments/lookup（只回昵称+网址，绝不含邮箱；IP 限速 30 次/10 分钟）+ 主题 comment-autofill 模块（填昵称弹提示、填邮箱自动带出 上次的昵称/网址，事件委托不怕 Artalk 重建编辑器） - CF 后台新增「国内线路」一键跳：/editor/handoff 用共享令牌对时间戳 HMAC 签名 → editor-api /admin/handoff 验签发会话 Cookie（2 分钟有效、防重放）， 晚高峰丢包时直达国内机后台免重新登录	2026-10-05 07:36:26 +08:00
zqlit	c217d20c30	feat(editor): 在线编辑文章（Worker 前端 + 轻量 docker 后端） ... 后端（新增 editor-api/，零 npm 依赖，只用 node 内置模块）： - 只做文章相关：列表/读取/新建/保存/删除/图片上传/git 状态·发布·同步 - front matter 往返保真：未改动的块按字节照抄，CRLF/块标量/引号写法都不动 - 列表用目录名当 id，slug 撞名不再静默改错文件（返回 409 列候选） - 鉴权只有一条路：X-Editor-Token（只存在 Worker 侧，浏览器拿不到） - 端口只绑 127.0.0.1，由宿主机 nginx 反代出去 部署（新增 deploy/editor-api/bootstrap.sh）： - 一条命令在新机器上完成 克隆仓库→写 .env→起容器→健康检查 - 状态全在两个目录（/srv/blog 仓库工作区 + /srv/editor-api 配置）， 迁移 = 复制目录或在新机重跑本脚本，容器本身无状态 Cloudflare Worker 侧（blog-admin）： - src/routes/editor.ts：鉴权 + 反代，浏览器只跟 Worker 说话 - 管理面板新增「文章编辑」：两栏布局 + 快捷插入面板（13 项短代码， 与 write-server 的 ShortcutPanel 一致）+ 底部 草稿/保存/发布 - 系统设置改为 schema 驱动的表单，且**以运行时实际生效的配置为准** （frontend_conf/captcha/moderator/ip_region/site_default + KV human_check）， 修复「表单显示一套、评论系统跑另一套」的脱节问题 验证：tsc 0 错；front matter 往返 130/130；保存往返 130/130； API e2e 44/44；无头 Chrome UI e2e 14/14	2026-10-04 21:16:06 +08:00
zqlit	a74b3c7127	归档 artalk-cf 评论后端 + rss-robot 到 blog-admin（含技术选型/模块分布 README）	2026-10-04 08:45:40 +08:00