fix: 强化 SSRF 防护、修复代理链路安全漏洞与代码质量问题

基于 Gemini Code Assist 审查建议，对代理链路进行全面安全加固与代码优化。 - [新增] `src/lib/server/ssrf.ts`: 使用 `dns.promises.lookup` 进行真实 IP 解析，替代原有的正则匹配，防御 DNS 重绑定、非十进制 IP 等绕过手段 - [新增] 为 `proxy/vod/m3u8`、`proxy/vod/key`、`video-proxy` 三个接口补齐 SSRF 校验，此前仅 `proxy-m3u8` 和 `proxy/vod/segment` 有防护 - [删除] `utils.ts` 中已弃用的 `isValidUrlForProxy` 函数 - 所有代理接口统一强制 SSRF 校验，不再仅限于 `source=directplay` - 修复 `proxy/vod/segment` 中 `isCancelled` 为 `const` 导致流取消信号失效的问题 - 修复 `proxy-m3u8/route.ts` 中导入不存在的函数(`extractResolutionFromM3u8`, `filterAdsFromM3U8Default`, `resolveM3u8Links`)的构建错误 - 修复直链直连模式下 `fetchCurrentSourceVideoInfo` 使用 HLS.js (XHR) 探测视频分辨率触发 CORS 误报的问题，改为直接跳过探测 - 移除 `proxy/vod/segment` 中未使用的 `NextRequest` 导入 - [新增] `src/lib/server/proxy-headers.ts`: 抽取 CORS 响应头为共享工具函数，消除 `proxy/vod/segment`、`proxy/vod/key`、`proxy/vod/m3u8` 中重复代码 - 统一使用 `DIRECT_PLAY_SOURCE` 常量替代硬编码 `'directplay'` 字符串 - `src/lib/server/ssrf.ts` - `src/lib/server/proxy-headers.ts` - `/app/api/proxy-m3u8/route` - `/app/api/proxy/vod/key/route` - `/app/api/proxy/vod/m3u8/route` - `/app/api/proxy/vod/segment/route` - `/app/api/video-proxy/route` - `/app/play/page`x - `/lib/utils`
2026-03-11 21:11:24 +08:00
parent 11dd787e73
commit 3e9fdbb7a0
9 changed files with 200 additions and 86 deletions
@@ -0,0 +1,39 @@
+/**
+ * 代理接口共享工具函数
+ * 用于构建标准化的 CORS 响应头，避免各代理路由中的重复代码。
+ */
+
+/**
+ * 构建标准的代理流式响应头 (用于 ts 分片、密钥、二进制流等)
+ * 包含 CORS、Accept-Ranges 和 Content-Length 等标准头。
+ */
+export function buildProxyStreamHeaders(
+  contentType: string,
+  contentLength?: string | null
+): Headers {
+  const headers = new Headers();
+  headers.set('Content-Type', contentType);
+  headers.set('Access-Control-Allow-Origin', '*');
+  headers.set('Access-Control-Allow-Methods', 'GET, POST, OPTIONS');
+  headers.set('Access-Control-Allow-Headers', 'Content-Type, Range, Origin, Accept');
+  headers.set('Accept-Ranges', 'bytes');
+  headers.set('Access-Control-Expose-Headers', 'Content-Length, Content-Range');
+  if (contentLength) {
+    headers.set('Content-Length', contentLength);
+  }
+  return headers;
+}
+
+/**
+ * 构建标准的代理 M3U8 播放列表响应头
+ */
+export function buildProxyM3u8Headers(contentType?: string): Headers {
+  const headers = new Headers();
+  headers.set('Content-Type', contentType || 'application/vnd.apple.mpegurl');
+  headers.set('Access-Control-Allow-Origin', '*');
+  headers.set('Access-Control-Allow-Methods', 'GET, POST, OPTIONS');
+  headers.set('Access-Control-Allow-Headers', 'Content-Type, Range, Origin, Accept');
+  headers.set('Cache-Control', 'no-cache');
+  headers.set('Access-Control-Expose-Headers', 'Content-Length, Content-Range');
+  return headers;
+}
@@ -0,0 +1,94 @@
+import dns from 'dns';
+
+/**
+ * 判断 IP 地址是否为内网/本地私有地址
+ * 覆盖 IPv4 和 IPv6，彻底杜绝所有变体绕过。
+ */
+export function isPrivateIP(ip: string): boolean {
+  // IPv4 私有地址和环回地址
+  if (ip.includes('.')) {
+    const parts = ip.split('.').map(Number);
+    if (parts.length !== 4) return false;
+
+    return (
+      parts[0] === 10 || // 10.x.x.x
+      parts[0] === 127 || // 127.x.x.x (Loopback)
+      (parts[0] === 172 && parts[1] >= 16 && parts[1] <= 31) || // 172.16.x.x - 172.31.x.x
+      (parts[0] === 192 && parts[1] === 168) || // 192.168.x.x
+      (parts[0] === 169 && parts[1] === 254) || // 169.254.x.x (Link-local)
+      parts[0] === 0 // 0.x.x.x ("This network")
+    );
+  }
+
+  // IPv6 私有地址和环回地址
+  if (ip.includes(':')) {
+    // ::1 环回地址 (Loopback)
+    if (ip === '::1' || ip === '0:0:0:0:0:0:0:1') return true;
+
+    // 0::0 / :: 未指定地址
+    if (ip === '::' || ip === '0:0:0:0:0:0:0:0') return true;
+
+    const lowerIp = ip.toLowerCase();
+
+    // IPv4 映射到 IPv6 的地址 (例如 ::ffff:127.0.0.1)
+    if (lowerIp.startsWith('::ffff:')) {
+      return isPrivateIP(lowerIp.substring(7));
+    }
+
+    // 唯一本地地址 (Unique Local Addresses, fc00::/7)
+    if (lowerIp.startsWith('fc') || lowerIp.startsWith('fd')) return true;
+
+    // 链路本地地址 (Link-Local Addresses, fe80::/10)
+    if (lowerIp.startsWith('fe8') || lowerIp.startsWith('fe9') || lowerIp.startsWith('fea') || lowerIp.startsWith('feb')) return true;
+  }
+
+  return false;
+}
+
+/**
+ * 校验代理 URL 是否安全 (防止 SSRF / DNS 重绑定漏洞)
+ * 只在 Node.js 服务端运行。
+ */
+export async function validateProxyUrlServerSide(urlStr: string): Promise<boolean> {
+  if (!urlStr) return false;
+  try {
+    const parsed = new URL(urlStr);
+
+    // 1. 协议检查
+    if (parsed.protocol !== 'http:' && parsed.protocol !== 'https:') {
+      return false;
+    }
+
+    // 2. 剥离认证信息防止混淆
+    if (parsed.username || parsed.password) {
+      return false;
+    }
+
+    let { hostname } = parsed;
+
+    // 清洗 IPv6 括号边界
+    if (hostname.startsWith('[') && hostname.endsWith(']')) {
+      hostname = hostname.substring(1, hostname.length - 1);
+    }
+
+    // 3. DNS 真实解析 (获取底层物理 IP)
+    // 这一步能彻底打碎各种形式的短格式 IP (127.1)、八/十六进制 IP (0x7f.0.0.1)、或者指向 127.0.0.1 的恶意外部域名 DNS 重绑定。
+    const lookupResult = await dns.promises.lookup(hostname);
+
+    if (!lookupResult || !lookupResult.address) {
+      return false; // 解析不出 IP 则拒绝
+    }
+
+    // 4. 对物理 IP 进行内网校验
+    if (isPrivateIP(lookupResult.address)) {
+      console.warn(`[SSRF 防护] 拦截到尝试访问内部网络的请求 URL: ${urlStr} (解析出的底层 IP: ${lookupResult.address})`);
+      return false;
+    }
+
+    return true;
+  } catch (error) {
+    // 凡是报错（无论是 URL 解析失败，还是 DNS 解析失败，还是域名不存在），均作为不安全拒绝
+    console.warn(`[SSRF 防护] URL解析失败或不合法, 拒绝代理请求: ${urlStr}`);
+    return false;
+  }
+}
@@ -407,47 +407,3 @@ export function base58Decode(encoded: string): string {
  return Buffer.from(bytes).toString('utf-8');
 }

-/**
- * 校验提供给代理层的外部 URL 是否安全
- * 防止 SSRF (服务端请求伪造) 访问内网私有地址
- */
-export function isValidUrlForProxy(urlStr: string): boolean {
-  if (!urlStr) return false;
-  try {
-    const parsed = new URL(urlStr);
-
-    // 仅允许 http 和 https
-    if (parsed.protocol !== 'http:' && parsed.protocol !== 'https:') {
-      return false;
-    }
-
-    const { hostname } = parsed;
-
-    // 拦截明显的本地或特定地址
-    if (
-      hostname === 'localhost' ||
-      hostname === '127.0.0.1' ||
-      hostname === '0.0.0.0' ||
-      hostname === '[::1]'
-    ) {
-      return false;
-    }
-
-    // 通过正则拦截内网 IPv4 (10.x, 172.16-31.x, 192.168.x, 169.254.x)
-    const ipv4Regex = /^(\d+)\.(\d+)\.(\d+)\.(\d+)$/;
-    const match = hostname.match(ipv4Regex);
-    if (match) {
-      const parts = match.slice(1).map(Number);
-      if (parts[0] === 10) return false;
-      if (parts[0] === 127) return false;
-      if (parts[0] === 192 && parts[1] === 168) return false;
-      if (parts[0] === 172 && parts[1] >= 16 && parts[1] <= 31) return false;
-      if (parts[0] === 169 && parts[1] === 254) return false;
-    }
-
-    return true;
-  } catch {
-    // 解析失败直接判定为不安全
-    return false;
-  }
-}