Archived
snowy-yang
8446166120
## uv 环境管理 - pyproject.toml 声明 dependencies + [dependency-groups].dev，uv.lock 精确锁定 - 删除 requirements.txt / requirements-fastapi.txt / requirements-dev.txt - .python-version = 3.12；Dockerfile 改用 uv sync --frozen（可复现构建） - 新增 jinja2（首页渲染） ## 删除 Flask 技术债 - 从 main.py 用 ast 精确剥离 56 个 Flask 节点（路由/中间件/错误处理/启动）， 框架无关的服务层落为 services/runtime.py（MusicAPIService、下载/打包 worker、 任务监控、缓存清扫），零 Flask 依赖 - 删除 main.py（4527 行）与 auth_routes.py（1050 行） - auth_system.py 移除会话/请求上下文层（login_session/current_user/login_required/ admin_required/_client_ip 等），保留数据与业务层 - 新增 core/net.py（IP 解析）、web/auth_state.py（登录锁定/2FA 票据/发码限流） - FastAPI 侧改直接依赖 services.runtime，不再 import main - web/app.py 去掉 Flask fallback；入口默认根路径模式（API_PREFIX 可选） ## 删除 requests 技术债 - 新增 core/sync_http.py：requests 风格的同步门面（底层 aiohttp 连接池， 流式读取经有界队列背压），含 Session/headers/(connect,read) 元组超时兼容 - core/utils、auth_system、podcast_api、music_downloader、services 全部切换 - 实测真实下载 5.2MB 音频完整成功 ## 质量门禁归零 - ruff：0 错误（B904 全部修复，不再忽略） - pyright：0 错误（类型收窄修复） - pytest：140/140（含 golden 契约回归、root 模式 66 项路径覆盖） - 真实 uvicorn 启动：/health、/、/static、受保护端鉴权全部正确 新增 tests/golden/responses.json：删除 Flask 前捕获的 32 例响应快照， FastAPI 逐字段复现——删除巨石后行为回归仍有硬证据。
46 lines
1.7 KiB
Python
46 lines
1.7 KiB
Python
# -*- coding: utf-8 -*-
|
|
"""客户端 IP 解析工具（框架无关）。
|
|
|
|
从 auth_system 抽出：可信反代判定与 XFF/X-Real-IP 解析规则。
|
|
Flask 侧原本经 request.headers 取头；FastAPI 侧由 web.ratelimit 传入 header 值调用，
|
|
故此处只保留纯函数（不依赖任何 Web 框架）。
|
|
"""
|
|
|
|
|
|
def is_loopback_ip(ip: str) -> bool:
|
|
"""可信反代判定（第 91 条 P2-4：从"所有内网源"收窄为仅回环地址）。
|
|
服务绑 0.0.0.0 时内网任意主机都可直连伪造 XFF/X-Real-IP 轮换绕过限流与
|
|
登录锁定（实测实锤）；同机 Caddy 反代（127.0.0.1 → Flask）不受影响。"""
|
|
try:
|
|
import ipaddress
|
|
addr = ipaddress.ip_address(ip)
|
|
return addr.is_loopback
|
|
except ValueError:
|
|
return False
|
|
|
|
|
|
|
|
|
|
def trusted_proxy_ip(header_value: str) -> str:
|
|
"""第 97 条（P2-1）：从可信反代转发的 X-Forwarded-For 中取最右一个可解析 IP。
|
|
最右段是可信反代（Caddy）追加的直连方地址；最左段与 X-Real-IP 均可被客户端
|
|
伪造（Caddy 默认不改写客户端自带的 X-Real-IP），采信它们等于给限流/锁定/省份
|
|
记录开了伪造口。无有效值返回空串，调用方回落 remote_addr。"""
|
|
if not header_value:
|
|
return ''
|
|
import ipaddress as _ipa
|
|
for part in reversed(header_value.split(',')):
|
|
part = part.strip()
|
|
if not part:
|
|
continue
|
|
try:
|
|
return str(_ipa.ip_address(part))
|
|
except ValueError:
|
|
continue
|
|
return ''
|
|
|
|
|
|
# 兼容原名（auth_system 等历史调用点沿用下划线命名）
|
|
_is_loopback_ip = is_loopback_ip
|
|
_trusted_proxy_ip = trusted_proxy_ip
|