2 Commits

Author	SHA1	Message	Date
suzmii	df43ffd05a	test(游戏共创): 工程源包 e2e 补对抗用例（路径/凭据/嵌套包/符号链接/声明说谎） ... - scripts/check-game-distribution-project-bundle-e2e.mjs 新增 A7 对抗段（脚本内自带裸 ZIP 写手， 可逐字节控制条目名、unix mode 与 central directory 声明值），逐条断言 422 + details.reason： · A7-1 路径穿越：foo/../bar、/etc/passwd、C:/evil.txt、a\..\b、./x、a//b → InvalidPath · A7-2 路径形状：a/secret.、a/secret（尾随空格）、src/a?.ts、a*b.ts → InvalidPath · A7-3 大小写变体：Node_Modules/… → DependencyDirectoryNotAllowed；.GIT/HEAD → VersionControlDirectoryNotAllowed；.AGENT/x → LocalStateDirectoryNotAllowed · A7-4 符号链接条目（external attrs=0o120777）→ SymlinkNotAllowed · A7-5 嵌套包改名 deps.dat（zip magic）→ NestedArchiveNotAllowed · A7-6 凭据：.aws/credentials、.ssh/id_ecdsa → CredentialDirectoryNotAllowed；.htpasswd、service-account-prod.json、terraform.tfstate、app.p8 → SensitiveFileNotAllowed · A7-7 内容嗅探：无扩展名文件里的 PEM 私钥块 → SecretContentDetected · A7-8 声明说谎：STORE 条目声明 1 字节、实际 4096 字节 → ReadFailed（失败关闭；非内存量测） · A7 收尾：全部拒绝后该版本仍 bytes=0/sha256 空；对照包（.dat/文本/无扩展名/PNG）200 不被过度拦截 - 修正一处我此前的错误判断：`./x`/`a//b` 并非「被 zip crate 归一化后放行」，而是被校验器自身的 路径形状检查（空段/`.`）拒为 InvalidPath（zip-2.4.2 types.rs:537-555 只拒 NUL/根/`..` 逃逸， 且返回未归一化原串）；脚本 NOTE 已按实测与源码改正，两条也改为严格 422 断言 - 实测：本地 dev 栈（SpacetimeDB 3110 / api-server 8188）72 项 72 PASS / 0 FAIL / 0 SKIP； 同栈回归 lineage-e2e 99/99（真实发行包上传，覆盖 package.rs 读取封顶改动）与 fork-authorization-e2e 48/48	2026-10-05 17:30:50 +08:00
suzmii	360cb9830a	test(游戏共创): 新增工程源包（M2b）端到端验收脚本 ... - 新增 scripts/check-game-distribution-project-bundle-e2e.mjs：真实 HTTP 验收 M2b 上行族与下行优先 · A1 合法工程源包整包 PUT → 200；版本私有 payload 的 projectBundleBytes/projectBundleSha256 与上传一致且不含对象键 · A2 >8 MiB 不可压缩负载两片续传：chunkBytes=8388608，偏移 8388608→9438176，upload-state 权威偏移逐片一致，complete 后 bytes/sha256 一致 · A3 含 .env → 422 PROJECT_BUNDLE_VALIDATION_FAILED，且该版本仍 bytes=0 / sha256 空 · A4 二次上传 → 409 PROJECT_BUNDLE_ALREADY_EXISTS · A5 已公开且已有工程包再传 → 409 ALREADY_EXISTS（阶段门先判已存在）；A5b 已公开但无工程包补传 → 409 PROJECT_BUNDLE_UPLOAD_NOT_ALLOWED · A6 未带 Bearer → 401；另一作者 token → 404（实现按不存在处理，脚本按实现断言并标注与工单 403 的差异） · B7/B8 发布后 fork-source source=project、sha256/bytes 一致、downloadPath 指向 project，下载校验 zip/length/sha256/解压条目 · B9 对照作品（无工程包）source 回落 package，/fork-source/project → 409 - package.json：新增 npm script check:game-distribution-project-bundle-e2e - 复用 lineage 脚本的发布链路与 helper（脚本头注释标注出处），未抽公共模块以免改动其它脚本 - 实测：本地 dev 栈 46 项 46 PASS / 0 FAIL / 0 SKIP	2026-10-05 17:30:48 +08:00