feat:增强反爬虫的 IP 清理机制和静态资源校验

优化 IP 清理逻辑，完整扫描并清除最旧或空的 IP 记录，从而提升内存管理效果。更新静态资源的放行规则，改为基于路径前缀进行限制，并从允许的扩展名中移除 .json，以防止通过静态资源规则绕过 API。进一步明确 X-Forwarded-For 的信任逻辑，并更新相关环境变量的注释，提供更清晰的配置指引。
2025-12-14 19:56:11 +08:00
parent 97c872f4f2
commit bccef9f104
2 changed files with 39 additions and 24 deletions
--- a/template/template.env
+++ b/template/template.env
@@ -14,4 +14,5 @@ WEBUI_ALLOWED_IPS=127.0.0.1     # IP白名单（逗号分隔，支持精确IP、
                                # 示例: 127.0.0.1,192.168.1.0/24,172.17.0.0/16
 WEBUI_TRUSTED_PROXIES=          # 信任的代理IP列表（逗号分隔），只有来自这些IP的X-Forwarded-For才被信任
                                # 示例: 127.0.0.1,192.168.1.1,172.17.0.1
-WEBUI_TRUST_XFF=false           # 是否信任X-Forwarded-For头（默认false，需要配合TRUSTED_PROXIES使用）
+WEBUI_TRUST_XFF=false           # 是否启用X-Forwarded-For代理解析（默认false）
+                                # 启用后，仍要求直连IP在TRUSTED_PROXIES中才会信任XFF头