fix: 修复云端聊天鉴权及容器兼容并支持3200原地升级

2026-09-14 11:53:29 +08:00
parent af1a1027d7
commit c556172a1d
11 changed files with 97 additions and 13 deletions
@@ -33,3 +33,13 @@ backend/test_chat_repair.py覆盖空响应、最终正文补发、工具分段
 scripts/probe_chat_model.py为手动最小诊断工具，使用既有配置只发送连通性文本，不发送项目、附件、历史或工具；输出仅为字段计数、HTTP状态和时间，不打印凭据或推理内容。使用时会产生真实模型调用，单元测试不执行它。

 统一验证日志：test-evidence/20260911-154025-c57d291，103个后端测试、前端构建、两套Compose配置通过。浏览器验收结果另外保存在test-evidence/chat-repair/。
+
+## 2026-09-14：生产容器兼容修复
+
+生产模式下 Next.js 可用监听地址 0.0.0.0 构造 nextUrl，不能将 nextUrl.hostname 当成浏览器 Host 或认证依据。生产环境的通用聊天、文件与会话代理现在一律先通过既有 access/context 校验管理员身份，预览身份、普通业务角色及未认证请求均被拒绝；不会通过放宽 Host 限制绕过鉴权。
+
+原始聊天客户端和 SSE 统一复用当前标签页 sessionStorage 中的 xingbang-access-token。先在 `/data-access` 的“访问身份”连接管理员令牌，再返回聊天首页即可；不改变现有账户或令牌。开发模式在未配置身份时仍仅接受本机 Host，并拒绝跨站请求。
+
+同时补齐镜像启动脚本 CRLF 转换和 HTTP 页面请求 UUID 兼容。原有依赖版本未升级，已记录的依赖安全告警仍需后续单独处理；生产访问应使用受控网络或 HTTPS。
+
+验证：test-evidence/20260914-114958-af1a102，108 项后端测试、前端构建及两套部署配置校验通过；云端容器实测及切换记录保存在 test-evidence/aliyun-switch-20260914。