wangjia f819a77d83 fix(admin): 登录审计记录真实来源 IP(经本机反代时取 XFF 末跳) ...

管理后台经 caddy mTLS 网关(同机 loopback 反代 127.0.0.1:9444)对外后,
LoginSubmit 里 hostOnly(r.RemoteAddr) 恒为 127.0.0.1,admin_login_ok/fail
的 ip 字段失去溯源价值。

新增 realIP():仅当 TCP 对端是 loopback(请求确实来自本机可信反代)才信
X-Forwarded-For,且取**最后一跳**(Caddy 把真实 TCP 对端追加在末位,更早的
段可被客户端伪造预置);直连、XFF 缺失或非法值一律回退 TCP 对端。

IPAllow 白名单中间件刻意不变——安全闸继续只看 RemoteAddr,不受任何代理头
影响(维持原注释声明的边界)。

测试:TestRealIP 七例(直连/伪造头/单跳/多跳/缺失/非法/IPv6);
go test ./internal/admin 全绿。(internal/store 迁移彩排 3 例失败为 HEAD
既有——主仓干净树复现,与本次无关。)

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu

2026-07-24 08:34:57 +08:00

..

static

feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434

2026-06-13 14:49:32 +08:00

templates

feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434

2026-06-13 14:49:32 +08:00

auth_test.go

feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434

2026-06-13 14:49:32 +08:00

auth.go

feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434

2026-06-13 14:49:32 +08:00

config_test.go

feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434

2026-06-13 14:49:32 +08:00

config.go

feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434

2026-06-13 14:49:32 +08:00

crypto_test.go

feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434

2026-06-13 14:49:32 +08:00

crypto.go

feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434

2026-06-13 14:49:32 +08:00

doc.go

feat(server): Go 模块骨架 + 工具链 [tsk_L2k2VrEujof8]

2026-06-13 01:28:37 +08:00

handlers_test.go

feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434

2026-06-13 14:49:32 +08:00

handlers.go

fix(admin): 登录审计记录真实来源 IP(经本机反代时取 XFF 末跳)

2026-07-24 08:34:57 +08:00

mw_ipallow_test.go

feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434

2026-06-13 14:49:32 +08:00

mw_ipallow.go

fix(admin): 登录审计记录真实来源 IP(经本机反代时取 XFF 末跳)

2026-07-24 08:34:57 +08:00

mw_session.go

feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434

2026-06-13 14:49:32 +08:00

realip_test.go

fix(admin): 登录审计记录真实来源 IP(经本机反代时取 XFF 末跳)

2026-07-24 08:34:57 +08:00

router.go

feat(backend): admin 手动运维接真实 lifecycle/provision

2026-06-17 13:24:15 +08:00

securitylog.go

feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434

2026-06-13 14:49:32 +08:00

services_real_test.go

feat(backend): admin 手动运维接真实 lifecycle/provision

2026-06-17 13:24:15 +08:00

services.go

feat(backend): admin 手动运维接真实 lifecycle/provision

2026-06-17 13:24:15 +08:00

session_test.go

feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434

2026-06-13 14:49:32 +08:00

session.go

feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434

2026-06-13 14:49:32 +08:00

store.go

refactor(server/db): 多库(2/4)— 时间等 DB 端计算退回 Go(可移植)

2026-06-18 00:01:12 +08:00

templates.go

feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434

2026-06-13 14:49:32 +08:00

testsupport_test.go

feat(admin): 管理端最小后台（独立监听 + 白名单 + 2FA）tsk_SCMtcGF4F434

2026-06-13 14:49:32 +08:00

types.go

chore(server): 清理 stale code_batches 注释

2026-07-10 15:03:45 +08:00