Files

T

bigcode fec96e49cc feat: v2.0.0 邮件接收架构改造 —— 移除 Node,Email Worker 直连 Console(docs/11)

- 两阶段接收:POST /internal/email/authorize(accept/reject/temporary_error)+ POST /internal/email/ingest(raw MIME 直传)
- Worker-Console 协议:Authorization: WmailHub-Worker + timestamp/nonce/body-hash/HMAC,nonce 防重放,凭据撤销即时生效
- 数据模型:nodes/node_credentials -> cloudflare_accounts/worker_credentials(迁移 0003),emails/domains 归属 account_id
- 接入流程 Connect Cloudflare Account:OAuth 自动同步域名 + 部署账号级 Email Worker + 签发 Worker 凭据;rotate 自动重部署
- 动态邮箱:创建/删除/禁用下一封邮件立即生效;拒绝码 DOMAIN_*/MAILBOX_*;超时/5xx 不伪装成邮箱不存在
- 删除 node/ 目录、旧 /api/internal/nodes 协议、ingress/enrollment 概念;dev.ts 简化为 console + email worker 双进程
- 前端:账号页 Email Worker/凭据管理,设置窗口移除默认 Ingress,仪表盘/文案同步;版本 2.0.0
- 测试 62 项全过(新增 authorize 决策矩阵 + Worker 两阶段临时错误语义);本机虚拟 E2E 12 场景全通
- docs 00-10 同步改写;README 更新

2026-09-30 13:10:26 +08:00

1.6 KiB

Raw Blame History

安全设计(v2,docs/11 §18)

安全边界

Internet -> Cloudflare Email Routing -> Email Worker
                                          |
                                          | HTTPS + HMAC + timestamp + nonce + body hash
                                          v
                                       Console(/internal/email/*)

公网不得直接调用 /internal/email/authorize 与 /internal/email/ingest: 所有请求必须携带有效的 Worker credential 签名(docs/04)。

Cloudflare OAuth

OAuth Token 加密存储,不进入前端和日志,也不作为 Worker credential。

Worker Credential

由 Console 在接入/部署时自动生成并注入 Worker 脚本,用户不手工配置。支持撤销(立即生效)与轮换(轮换后已配置域名自动重新部署)。

请求签名

所有 Worker -> Console 请求必须签名,签名覆盖 method、path、timestamp、nonce、body hash, Console 校验 Worker ID、timestamp 窗口、nonce 防重放、body hash、HMAC、credential 状态与账号归属,防止篡改、重放与跨账号访问。

隐私与日志

禁止记录 Cloudflare OAuth token、Worker secret、Webhook key、Authorization header 和完整 MIME;
reject reason 不泄露内部信息(只返回固定文案);
不向客户端泄露数据库内部错误。

附件与大小限制

限制单文件大小、单邮件总大小、文件数量和 MIME header 大小,避免资源耗尽。

SSRF

Webhook endpoint 校验禁止 localhost、私网、link-local、metadata endpoint 与 DNS rebinding。

数据保留

默认 Email TTL 为 1 天,过期自动删除;nonce/oauth state/delivery 均有清理路径。

1.6 KiB Raw Blame History