search

walinejs / waline

💬 A Simple, Safe Comment System
https://waline.js.org/en/
GNU General Public License v2.0
2.19k stars 379 forks source link

希望加强防御措施 #430

Closed wxydejoy closed 3 years ago

wxydejoy commented 3 years ago

问题描述 | Describe the bug

image

问题网站 | Website URL

部署方式 | Deploy Type

lizheming commented 3 years ago
  1. 可以开启审核关闭通知忽略这些垃圾评论
  2. 可以升级到最新版开启登录才允许评论功能。确保服务端更新到最新版本 0.26.0，然后增加 LOGIN=force 环境变量，同时博客 Waline 客户端增加 login=force 的配置用于隐藏匿名输入框。
lewky commented 3 years ago

这两天我也遇到这个了。。

lewky commented 3 years ago
  1. 可以开启审核关闭通知忽略这些垃圾评论
  2. 可以升级到最新版开启登录才允许评论功能。确保服务端更新到最新版本 0.26.0，然后增加 LOGIN=force 环境变量，同时博客 Waline 客户端增加 login=force 的配置用于隐藏匿名输入框。

为什么我在vercel那边配置了COMMENT_AUDIT=true后，评论审核发布功能依然不生效，评论还是可以不经过审核就直接发布出去了，已经重启过服务端了。

Mister-Hope commented 3 years ago
  1. 可以开启审核关闭通知忽略这些垃圾评论
  2. 可以升级到最新版开启登录才允许评论功能。确保服务端更新到最新版本 0.26.0，然后增加 LOGIN=force 环境变量，同时博客 Waline 客户端增加 login=force 的配置用于隐藏匿名输入框。

为什么我在vercel那边配置了COMMENT_AUDIT=true后，评论审核发布功能依然不生效，评论还是可以不经过审核就直接发布出去了，已经重启过服务端了。

其他人也有遇到，建议删除旧的 deploy 环境，并确保你没有用 build cache，经检查我们的代码是没有问题的，问题可能发生在攻击者仍在访问旧的示例。目前我们也没有很好的调试方法。

lewky commented 3 years ago
  1. 可以开启审核关闭通知忽略这些垃圾评论
  2. 可以升级到最新版开启登录才允许评论功能。确保服务端更新到最新版本 0.26.0，然后增加 LOGIN=force 环境变量，同时博客 Waline 客户端增加 login=force 的配置用于隐藏匿名输入框。

为什么我在vercel那边配置了COMMENT_AUDIT=true后，评论审核发布功能依然不生效，评论还是可以不经过审核就直接发布出去了，已经重启过服务端了。

其他人也有遇到，建议删除旧的 deploy 环境，并确保你没有用 build cache，经检查我们的代码是没有问题的，问题可能发生在攻击者仍在访问旧的示例。目前我们也没有很好的调试方法。

vercel的build cache要怎么禁止呢？我在Build Logs里有看到 Uploading build cache 之类的log

ocoke commented 3 years ago

vercel的build cache要怎么禁止呢？我在Build Logs里有看到 Uploading build cache 之类的log

在更新环境变量后需要重新部署，在重新部署时会有 Build Cache 的选项，不选就好了。

Mister-Hope commented 3 years ago

因为该issue的实际问题已经解决，所以计划关闭😀