-
moxiaonian released this
2026-10-10 16:21:30 +08:00 | 3 commits to main since this release子平八字 v3.6.1（安全修复版）
修复安全审查发现的两个问题：
1. HTML 盘面图 XSS（中危）
- 装配层对所有用户可控字段（姓名、出生地等）全面转义，结构性占位符白名单分流
- 模板新增严格 CSP：
default-src 'none'、无 script-src——盘面图为纯静态页，脚本执行整体关闭 - 6 项注入向量回归测试
2. 自更新增加签名信任锚
self_update --apply新增两道 fail-closed 防线：GitHub/Gitea 双源 manifest 交叉验证 → ed25519 验签（纯 Python 实现，公钥内置、私钥作者离线持有）→ 既有逐文件 SHA256- 缺签名、验签不符、双源不一致均拒更且本地原样不动
注意（bootstrap 局限）：3.6.0 的自更新代码无验签能力，3.6.0 → 3.6.1 这一步仍走旧的自洽性校验；3.6.1 起的后续更新全程有签名保护。介意者可直接下载本包覆盖安装。
安装
下载附件 zip 解压至技能目录（如
~/.agents/skills/）。零依赖，需 Python ≥3.10。Downloads