SnowLuma

1,191 Commits 17 Branches 122 Tags

3 Commits

Include renames

Author	SHA1	Message	Date
DrSmoothl	13a32a2865	fix(protocol): harden friend dress queries Require the dress page to identify the requested account and every returned item before exposing the result. Reject malformed nested media metadata instead of silently degrading it. Bound the HTML request to a 10-second redirect-chain deadline and a 2 MiB response body. Secure redirects by closing previous connections, stripping cross-origin credentials, rejecting cross-origin write forwarding, and surfacing malformed locations. Replace the captured page with a minimal sanitized fixture and add protocol plus OneBot Action regression coverage for resource limits, redirect safety, response ownership, and structured failures.	2026-07-25 20:22:49 +08:00
H3CoF6	3517257aa6	feat(onebot): expose friend dress queries (#277 ) Add a read-only action for querying QQ profile decorations from the authenticated web page. Validate and classify page responses, expose structured errors, and cover parsing with a sanitized fixture.	2026-07-25 19:53:24 +08:00
DrSmoothl	63ab7a1846	fix(protocol): parse Qzone feeds without eval + stop getCookies hanging (#182 ) 真机抓包定位到 get_qzone_feeds 的两个问题： 1) feeds3_html_more 的响应体是JS 对象字面量（键无引号、单引号字符串、\xNN 转义、数组含 undefined），不是 JSON → JSON.parse 报 "Expected property name at position 66"（报告者看到的「响应结构问题」）。实测调参数（outputhtmlfeed/ format）改不掉这个格式，且 feeds 是纯远程 H5（native i64 里无相关 CGI），没有干净 JSON 端点。改用非执行的递归下降解析器 parseJsLiteral 把它当数据解析—— 绝不 eval 远程内容（vm 沙箱不是安全边界，被篡改的响应可逃逸到 RCE）。解析器只认对象/数组/字符串/数字/true\|false\|null\|undefined，丢弃 __proto__ 键防原型污染； mapFeeds 过滤数组尾部的 undefined 洞。 2) getCookies 卡死：HttpsGetCookies 无超时、无深度上限地递归跟随 302；当某跳目标不可达（数据中心/Docker 上 qzone.qq.com 裸域超时）→ 永久挂死所有 cookie-backed web 动作。加 8s 超时 + 深度上限(5) + 失败/超时保留已收集 cookie（不再 reject）。两处修复均在 tempserver 真机验证：getCookies 从卡死 3 分钟变正常返回；抓到的真实 feeds 响应体做成测试 fixture，非执行解析器正确解出 uin/nickname/html（\x3C→<）。读接口加了 TRACE 原始体日志 + 结构失败错误带响应片段，方便后续排查。（msglist 的 -10000「使用人数过多」判定为 taotao 服务端风控——同 cookie 下 feeds 能成功、msglist 单独挂，非代码 bug，代码已正确透传。） protocol 572 全绿、typecheck 干净；两轮对抗性 Agent：先揪出 vm 版可 RCE 逼我换非执行解析器，再确认新解析器构造上不执行代码、无原型污染、真机数据解析正确。	2026-07-01 21:56:28 +08:00

Author

SHA1

Message

Date

DrSmoothl

13a32a2865

fix(protocol): harden friend dress queries

Require the dress page to identify the requested account and every returned item before exposing the result. Reject malformed nested media metadata instead of silently degrading it.

Bound the HTML request to a 10-second redirect-chain deadline and a 2 MiB response body. Secure redirects by closing previous connections, stripping cross-origin credentials, rejecting cross-origin write forwarding, and surfacing malformed locations.

Replace the captured page with a minimal sanitized fixture and add protocol plus OneBot Action regression coverage for resource limits, redirect safety, response ownership, and structured failures.

2026-07-25 20:22:49 +08:00

H3CoF6

3517257aa6

feat(onebot): expose friend dress queries (#277 )

Add a read-only action for querying QQ profile decorations from the authenticated web page.

Validate and classify page responses, expose structured errors, and cover parsing with a sanitized fixture.

2026-07-25 19:53:24 +08:00

DrSmoothl

63ab7a1846

fix(protocol): parse Qzone feeds without eval + stop getCookies hanging (#182 )

真机抓包定位到 get_qzone_feeds 的两个问题：

1) feeds3_html_more 的响应体是**JS 对象字面量**（键无引号、单引号字符串、\xNN
   转义、数组含 undefined），不是 JSON → JSON.parse 报 "Expected property name
   at position 66"（报告者看到的「响应结构问题」）。实测调参数（outputhtmlfeed/
   format）改不掉这个格式，且 feeds 是纯远程 H5（native i64 里无相关 CGI），没有
   干净 JSON 端点。改用**非执行的递归下降解析器** parseJsLiteral 把它当数据解析——
   绝不 eval 远程内容（vm 沙箱不是安全边界，被篡改的响应可逃逸到 RCE）。解析器只认
   对象/数组/字符串/数字/true|false|null|undefined，丢弃 __proto__ 键防原型污染；
   mapFeeds 过滤数组尾部的 undefined 洞。

2) getCookies 卡死：HttpsGetCookies 无超时、无深度上限地递归跟随 302；当某跳目标
   不可达（数据中心/Docker 上 qzone.qq.com 裸域超时）→ 永久挂死所有 cookie-backed
   web 动作。加 8s 超时 + 深度上限(5) + 失败/超时保留已收集 cookie（不再 reject）。

两处修复均在 tempserver 真机验证：getCookies 从卡死 3 分钟变正常返回；抓到的真实
feeds 响应体做成测试 fixture，非执行解析器正确解出 uin/nickname/html（\x3C→<）。
读接口加了 TRACE 原始体日志 + 结构失败错误带响应片段，方便后续排查。
（msglist 的 -10000「使用人数过多」判定为 taotao 服务端风控——同 cookie 下 feeds
能成功、msglist 单独挂，非代码 bug，代码已正确透传。）

protocol 572 全绿、typecheck 干净；两轮对抗性 Agent：先揪出 vm 版可 RCE 逼我换非执行
解析器，再确认新解析器构造上不执行代码、无原型污染、真机数据解析正确。

2026-07-01 21:56:28 +08:00