 ypsdf1
|
c46c9ebdfe
|
紧急加固三层：admin.php 入口令牌门禁 + 2FA 扫码绑定与精确诊断
第三层（新增，config.php 的 SEC_ACCESS_TOKEN）：
- 只有 admin.php?token=<令牌> 才放行，缺/错令牌一律返回 nginx 原生 404
（与"文件真的不存在"逐字节一致，探测者无从判断），令牌检查置于白名单之前
- 登录接口在密码校验通过后才下发 token，2FA 通过与收银台跳转由服务端补拼
- 入口页加 Referrer-Policy: no-referrer，防令牌经外链 Referer 泄露
- 配置页展示后台唯一入口地址，支持一键重新生成令牌
第一层修复（2FA 验证码"无效"）：
- secTotpVerify 容错窗口 ±30 秒扩到 ±90 秒
- 新增 secTotpDiagnose：失败时区分"密钥没对上"与"设备时钟偏移多少秒"并给出处置指引
- Base32 解码兼容空格/连字符与 0/1/8/9 手误，避免密钥被静默截短
- 验证页倒计时与服务器时间显示改用服务端时钟基准
- 密钥生成改幂等，"重新生成"二次确认，防止已扫码密钥被误作废
第二层（二维码）：
- admin_2fa_setup.php 内联 qrcode-generator(MIT) 生成 otpauth 二维码，离线可用
- 后台侧边栏新增"安全配置"入口；admin_2fa_setup.php?boot= 在白名单 IP 下同样生效
已通过线上端到端验证 22 项 + 二维码 OpenCV 往返解码校验。
|
2026-09-29 22:55:46 +08:00 |
|
|
ypsdf1
|
8f54e3ffc6
|
修复: 订单对账页合并到后台+防重复支付超时+玻璃模态弹窗
- pay.php: createOrder添加30分钟过期检测+清理陈旧created订单
- admin.php: 新增充值对账标签页(内嵌)+毛玻璃详情弹窗
- admin.php: 替换所有confirm/alert为glassConfirm/glassAlert
- recharge_orders.php: 改为跳转admin.php#recharge_orders
- 移除独立页链接，改为go('recharge_orders')
关闭 #1061 #1062 #1063
|
2026-07-15 18:56:52 +08:00 |
|
|
ypsdf1
|
449976478e
|
充值对账页面+防重复支付+高频补单+轮询器改进
- recharge_orders.php + recharge_orders_api.php: 管理员充值订单对账页面
- admin.php 侧边栏添加充值对账入口
- pay.php: 创建订单时检测已有未支付订单(复用)，防重复支付
- player.php: 续支付检测+支付成功后清除本地订单+恢复按钮
- poller_online.php + pay.php: 添加web_transactions唯一索引
- .gitignore: 排除密钥.md
关闭 #1056 #1057 #1055 #1060 部分
|
2026-07-15 18:00:11 +08:00 |
|