Files

T

Nexus Agent 72d82d737b fix(security): BL-07 WS 403 澄清与 code-review 跟进加固

外网无 token WebSocket 的 HTTP 403 为应用层拒绝而非反代故障；边端 agent
在中心 401 时停止心跳重试；install 锁定路由级 404 且归档失败 fail-closed。
同步安全规范与 BL-06 一致，门控 7/7 PASS。

Co-authored-by: Cursor <cursoragent@cursor.com>

2026-06-07 12:12:49 +08:00

1.3 KiB

Raw Blame History

Changelog — ce-code-review 跟进修复

日期：2026-06-07

摘要

落实 /ce-code-review walk-through 与 auto-resolve：边端 agent 401 停循环、install 锁定路由级 404、归档失败 fail-closed、安全规范与 BL-06 对齐，并补 install 锁定测试。

动机

BL-06 中心端改 401 后边端仍无限重试；锁定后 POST install 畸形 body 仍可能 422；install.html 归档失败时 lock 仍成功；nexus-security.mdc 与实现漂移。

涉及文件

web/agent/agent.py
server/api/install.py
.cursor/rules/nexus-security.mdc
scripts/security_probe_external.sh（BL-07：WS 403 → PASS）
tests/test_install_locked_404.py
tests/test_security_unit.py
deploy/install-nx-cli.sh、deploy/update.sh（CRLF→LF，门控 pre-flight）
docs/audit/2026-06-07-code-review-followups.md
docs/changelog/2026-06-06-bl07-websocket-closure.md（同日 BL-07 说明）
docs/reports/2026-06-06-external-hardening-deploy-verification.md

迁移 / 重启

边端 agent 需重新部署/同步 web/agent/agent.py 后方生效
中心 API 重启后 install 路由级 Depends 生效
无 DB 迁移

验证

bash scripts/local_verify.sh
# smoke 47 passed · test_api 26/26 · ruff F 0

pytest tests/test_install_locked_404.py -q
# 11 passed

bash deploy/pre_deploy_check.sh

1.3 KiB Raw Blame History Unescape Escape

Changelog — ce-code-review 跟进修复

摘要

动机

涉及文件

迁移 / 重启

验证

1.3 KiB

Raw Blame History