snowy-yang
dfc06bf4de
- 新增 5sing/apple/xm/me/qt/lr 平台包与取流实现（含 xm-sign、MissEvan 签名、蜻蜓 HMAC、Apple developer token） - 新增 wy/kg/tx/lr 登录：扫码、手机号、账密（kg 20028 风控指纹）、cookie 绑定、kg/tx 续期 - request 层：保留多值 Set-Cookie；JSON body 紧凑化（修复 kg 网关验签）；直连不经系统代理（对齐 Node） - 登录路由统一 Body(embed=True)，修复扫码轮询 422；lifespan 接入登录续期调度 - ruff/format/pyright 全绿；14 平台真实联网与 HTTP 路由验证通过
56 lines
2.1 KiB
Python
56 lines
2.1 KiB
Python
"""全局调用秘钥鉴权 —— AUTH_KEY 环境变量启用（未设置则完全不鉴权）。
|
|
|
|
验证头统一为 X-Server-Key；全部路径（含文档页/健康检查/404）都要求秘钥，
|
|
未授权请求一律 401，避免被扫描器区分出接口存在性（404/401 差异）。
|
|
CORS 预检（OPTIONS）无响应体、不泄露内容，豁免。
|
|
|
|
/stream/* 流代理例外：播放器/下载器直接 GET 媒体地址、无法携带自定义头，
|
|
改用短时签名（?exp=&sig=，见 stream_sign.py）——不落裸秘钥到 URL/日志，
|
|
签名泄露仅能在时效窗口内拉当条流；能带头的客户端仍可用 X-Server-Key。
|
|
"""
|
|
|
|
from __future__ import annotations
|
|
|
|
import hmac
|
|
|
|
from starlette.requests import Request
|
|
from starlette.responses import JSONResponse
|
|
|
|
from app.http.stream_sign import verify_stream_sign
|
|
|
|
|
|
def _safe_equal(a: str, b: str) -> bool:
|
|
return hmac.compare_digest(a.encode(), b.encode())
|
|
|
|
|
|
async def auth_gate(request: Request, call_next):
|
|
if request.method == "OPTIONS":
|
|
return await call_next(request)
|
|
|
|
auth_key = getattr(request.app.state, "auth_key", "") or ""
|
|
if not auth_key: # 未配置秘钥：完全不鉴权
|
|
return await call_next(request)
|
|
|
|
pathname = request.url.path
|
|
header = request.headers.get("x-server-key", "")
|
|
|
|
if pathname.startswith("/stream/"):
|
|
query = request.query_params
|
|
ok = (header and _safe_equal(header, auth_key)) or (
|
|
not header and verify_stream_sign(auth_key, pathname, query.get("exp"), query.get("sig"))
|
|
)
|
|
if ok:
|
|
return await call_next(request)
|
|
return JSONResponse(
|
|
{"code": 401, "msg": "无效或缺少调用秘钥：X-Server-Key 头，或 /url 返回流地址自带的 exp/sig 签名"},
|
|
status_code=401,
|
|
)
|
|
|
|
if not header or not _safe_equal(header, auth_key):
|
|
# 统一 401 文案（不区分路径存在与否，防扫描探测）
|
|
return JSONResponse(
|
|
{"code": 401, "msg": "无效或缺少调用秘钥：请在 X-Server-Key 请求头携带"},
|
|
status_code=401,
|
|
)
|
|
return await call_next(request)
|