可观测性运维后端【免费下载链接】PulseReal-time monitoring dashboard for Proxmox VE, PBS, Docker, Kubernetes, TrueNAS and vSphere. Self-hosted, with smart alerts and AI patrols that catch silent failures.项目地址https://gitcode.com/gh_mirrors/pulse27/Pulse点击查看免费下载本篇文章基于 Pulse v6.2.2 草稿发布说明docs/releases/RELEASE_NOTES_v6.2.2_DRAFT.md展开完整剖析该版本中最关键的一项安全修复当管理员只设置了PROXY_AUTH_ROLE_HEADER而未设置PROXY_AUTH_ADMIN_ROLE时旧版会把每一个经由代理认证proxy-auth的用户都当作管理员处理v6.2.2 起角色匹配被强制执行并默认 fail-closed。读完本文你将理解漏洞的底层成因、v6.2.2 的修复语义、升级前的必做配置以及如何用只读探测脚本验证角色门控是否真正生效。一、背景Pulse 的代理认证Proxy Auth部署模型Pulse 支持把身份认证委托给现有的反向代理如 Authentik、Authelia、Cloudflare Zero Trust 等完成。这种模式下Pulse 自身不做登录页而是通过一组 HTTP 请求头来接收代理已经验证过的身份与角色信息相关完整配置请参考 docs/PROXY_AUTH.md。Proxy auth 涉及的核心环境变量如下默认值以当前仓库 internal/config/config.go 为准变量作用默认值PROXY_AUTH_SECRET必填。校验请求来源的共享密钥任何请求都必须携带与之一致的X-Proxy-Secret头-PROXY_AUTH_USER_HEADER必填。承载用户名的请求头名称-PROXY_AUTH_ROLE_HEADER承载用户组/角色的请求头名称。设置该变量即开启角色门控-PROXY_AUTH_ROLE_SEPARATOR多头角色值的分隔符如\|、,\|PROXY_AUTH_ADMIN_ROLE授予管理员权限的角色名adminPROXY_AUTH_LOGOUT_URL注销后重定向的 IdP 注销端点-一句话概括安全语义共享密钥决定你是谁authenticated角色头决定你是不是管理员admin。管理员判定与普通认证是两个独立步骤这正是 v6.2.2 漏洞所在的边界。二、漏洞成因envconfig 默认值未生效 角色门控短路v6.2.2 草稿说明首先点出了问题组合当PROXY_AUTH_ROLE_HEADER已设置、而PROXY_AUTH_ADMIN_ROLE未设置时该组合会把每一个 proxy 认证用户都当成管理员。从源码看成因有两个层次。1. 配置结构体上的default标签并不生效在 internal/config/config.go 中有一段关键注释// DefaultProxyAuthAdminRole is the role name that grants admin access when a // proxy-auth deployment configures a role header without naming an admin role. // The structs envconfig default tag never applies (see the Config note // below), so this default has to be resolved explicitly by every consumer of // ProxyAuthAdminRole — otherwise role gating silently switches off and every // proxy-authenticated user is treated as an administrator. const DefaultProxyAuthAdminRole admin也就是说尽管结构体字段声明为ProxyAuthAdminRole string \envconfig:PROXY_AUTH_ADMIN_ROLE default:admin见 [internal/config/config.go](https://link.gitcode.com/i/c1ce2f71ab542e1e1ea471a59e215c8d)但该default标签在该项目实际的配置加载路径中**并不生效**注释明确写明了这一点。因此ProxyAuthAdminRole 有可能保持为空字符串。2. 空管理员角色导致门控直接短路在旧逻辑中当ProxyAuthAdminRole为空时角色检查会被完全跳过最终isAdmin保持默认值true于是任何携带合法共享密钥的用户都获得管理员权限。v6.2.2 的修复把默认值解析放到了每次判定时强制执行同时配套的配置加载逻辑在PROXY_AUTH_ADMIN_ROLE未设置、但PROXY_AUTH_ROLE_HEADER已设置时会显式回落到DefaultProxyAuthAdminRole并输出启动告警日志见 internal/config/config.go。配置层的回归测试也锁定了这一点internal/config/config_load_test.go 中的TestLoad_ProxyAuthAdminRoleDefaultsWhenUnset验证配置了角色头但从未命名管理员角色时仍必须获得文档化默认值其注释明确指出旧行为是CheckProxyAuth完全跳过角色门控导致每个代理用户都能读写管理员专属设置。三、修复语义fail-closed 的三种场景修复后只要配置了PROXY_AUTH_ROLE_HEADER管理员权限的判定规则就变得明确且严格角色头包含管理员角色→ 授予管理员权限。匹配必须满足区分大小写admin默认值不会匹配Admins、authentik Admins这类名称整角色精确比较比较时去除首尾空格admin不会匹配admin-ops或my-admin按PROXY_AUTH_ROLE_SEPARATOR分隔后逐个比对。角色头缺失或为空→ 用户仍然通过认证可以被识别为合法用户但一律按非管理员处理访问管理员接口返回403。角色头存在但内容都是非管理员角色→ 同上非管理员403。换句话说设置PROXY_AUTH_ROLE_HEADER本身就是操作者发出我要开启角色门控的信号从那一刻起管理员身份必须由显式的角色值证明而不是靠未配置即放行的隐式默认。如果你故意要让所有 proxy 认证用户都是管理员正确做法是不设置PROXY_AUTH_ROLE_HEADER并在代理/IdP 层完全保护 Pulse。禁止通过留空PROXY_AUTH_ADMIN_ROLE来关掉门控。四、升级前必做显式设置 PROXY_AUTH_ADMIN_ROLE草稿发布说明给出了明确的升级前置要求升级前请把PROXY_AUTH_ADMIN_ROLE设置为 IdP 的管理员组名并确保大小写完全一致。角色匹配现已强制执行admin默认值不会再匹配Admins或authentik Admins这类名称。Pulse 在回落到默认值时会在启动时输出告警日志。推荐的最小配置以下 dotenv 片段来自 docs/PROXY_AUTH.md是配置映射示例而非可直接使用的默认值请替换为你的实际值PROXY_AUTH_SECRETunique-private-shared-secret PROXY_AUTH_USER_HEADERX-Authentik-Username PROXY_AUTH_ROLE_HEADERX-Authentik-Groups PROXY_AUTH_ROLE_SEPARATOR| PROXY_AUTH_ADMIN_ROLEexact-idp-admin-group注意两点头名称与分隔符必须匹配你现有认证代理实际输出的格式。例如 IdP 输出逗号分隔的组列表却配置了|分隔符就会导致角色解析错乱。共享密钥应存放在私密部署配置中Pulse 端 代理端不要写进命令行参数、共享的 Compose 文件或仓库更不能用占位符字符串充当凭据。配置加载的优先级细节从 internal/config/config.go 可以看到加载逻辑只有PROXY_AUTH_SECRET已设置时才会继续读取其余 proxy-auth 变量PROXY_AUTH_ADMIN_ROLE未设置且当前值为空时回落到DefaultProxyAuthAdminRole并分两种日志情况若PROXY_AUTH_ROLE_HEADER已设置则输出Warn级告警明确提示管理员访问要求角色头精确包含admin区分大小写。若 IdP 组名不同请设置PROXY_AUTH_ADMIN_ROLE或取消PROXY_AUTH_ROLE_HEADER让所有代理用户都成为管理员若未设置角色头则仅输出 Info 级管理员角色使用默认值。这意味着如果你升级后看到这条启动警告说明你的角色门控正以admin默认值在运行请立即核对 IdP 实际管理员组名并显式配置。五、源码级实现CheckProxyAuth 与 RequireAdmin修复的核心在 internal/api/auth.go 的CheckProxyAuth函数。逐段拆解其判定链路密钥校验ProxyAuthSecret未配置则直接返回未启用否则用subtle.ConstantTimeCompare常量时间比较X-Proxy-Secret防止时序侧信道。用户头校验若配置了ProxyAuthUserHeader读取对应请求头为空则认证失败。角色门控本次修复的核心isAdmin : true // Default to admin if no role checking configured if cfg.ProxyAuthRoleHeader ! { adminRole : strings.TrimSpace(cfg.ProxyAuthAdminRole) if adminRole { adminRole config.DefaultProxyAuthAdminRole } roles : r.Header.Get(cfg.ProxyAuthRoleHeader) isAdmin false ... }只要角色头已配置isAdmin就重置为falsefail-closedProxyAuthAdminRole为空时此刻就地回落为DefaultProxyAuthAdminRole不再短路放行角色头为空时保持非管理员否则按分隔符拆分并做 TrimSpace 后的整角色精确比较。最终返回(true, username, isAdmin)三元组认证是否成功、用户名、是否管理员。所有代理认证的管理员判定都经由这一个函数产出因此不存在某条路由绕过门控的旁路。上游的RequireAdmin中间件internal/api/auth.go直接消费这一判定认证失败返回401认证成功但isAdmin false时对/api/前缀或接受 JSON 的请求返回403与{error:Admin privileges required}否则返回纯文本403只有通过全部检查才放行到实际 handler。六、回归测试修复被多组测试锁定仓库中针对该漏洞的回归测试非常完整可以作为验证修复是否生效的直接证据internal/config/config_load_test.goTestLoad_ProxyAuthAdminRoleEnvOverridesDefault验证显式设置PROXY_AUTH_ADMIN_ROLEpulse-admins能覆盖默认值。internal/api/security_test.goTestRequireAdmin_ProxyAuthRoleHeaderWithoutAdminRoleStillGates模拟只配置角色头、未配置管理员角色的场景——携带user|viewer角色的代理用户访问/api/admin/test必须返回403注释明确记录这是对旧版空管理员角色短路曾允许读写/api/system/settings的回归防护。internal/api/security_test.goTestRequireAdmin_ProxyAuthRoleHeaderWithoutAdminRoleAllowsDefaultRole验证携带默认admin角色的用户仍能通过200。internal/api/proxy_admin_gating_test.goTestProxyAuthAdminGatesAdminEndpoints以真实路由/api/logs/stream、/api/diagnostics、/api/system/settings、/api/system/settings/update、/api/agents/host/link等 13 个端点验证非管理员代理用户在每一个管理员端点都得到403且响应体中包含 Admin 错误说明。此外 internal/api/security_test.go 覆盖逗号分隔角色、internal/api/security_test.go 覆盖角色值带空格user| admin |viewer等边界情形。七、升级后的验证只读探测脚本草稿说明本身只交代了配置要求实际部署后如何确认门控生效docs/PROXY_AUTH.md 给出了配套的只读验证方法这里完整保留并说明用法。先说明限制该探测只测试Pulse 自身的请求头处理并不测试你的代理是否正确替换了头、也不测试端到端访问边界它只适合在受信任的后端/代理主机或其私有网络内执行。准备一个临时的私有头文件把占位符替换为你的真实配置角色务必用一个非管理员角色例如noneX-Proxy-Secret: your-real-shared-secret X-Authentik-Username: testuser X-Proxy-Roles: none然后运行以下只读探测要求 curl 7.76 或更新版本它不发送任何设置变更只打印 HTTP 状态码且会在退出时自动删除临时头文件( set -eu umask 077 probe_dir$(mktemp -d) header_file$probe_dir/proxy-headers trap test ! -e $header_file || rm -- $header_file; rmdir -- $probe_dir EXIT touch $header_file vi $header_file if status$(curl --disable --silent --show-error --output /dev/null \ --connect-timeout 5 --max-time 10 \ --write-out %{http_code} --header $header_file \ http://127.0.0.1:7655/api/system/settings); then printf HTTP %s\n $status else curl_exit$? printf Proxy probe unavailable (curl exit %s); no role result. Stop here.\n $curl_exit 2 exit $curl_exit fi )结果判读在 Pulse 6.2.2 及以上、已配置角色门控的前提下状态码含义403符合预期非管理员角色被拒绝。重复探测先省略角色行、再留空角色行都应为403200管理员访问被放行——请检查角色门控是否真的已配置401认证失败共享密钥/用户头不匹配并非角色检查的结果重定向、连接/TLS 错误、HTTP 000探测本身失败不能视为拒绝测试通过几个操作要点--disable必须放在最前以忽略本地 curl 默认配置不要开启--insecure、verbose/trace 输出或重定向跟随127.0.0.1:7655仅适用于 Pulse 主机上的 loopback 监听否则应改用既有私有后端地址并保持 HTTPS 证书校验。探测得到的身份头不要通过公网代理发送代理本应替换这些头也不要把真实共享密钥写入任何会被他人读取的文件。分享结果时只给状态码和脱敏的配置名绝不给头文件或密钥。八、相关契约与版本说明该修复同时被记录在共享认证/API 契约文档中docs/release-control/v6/internal/subsystems/api-contracts.md 明确要求一旦配置PROXY_AUTH_ROLE_HEADER缺失或空角色头的合法代理用户已认证但非管理员只有显式管理员角色才能通过管理门控未设置的PROXY_AUTH_ADMIN_ROLE必须解析为config.DefaultProxyAuthAdminRole且绝不能禁用角色门控。有意让所有代理用户成为管理员的部署必须通过不设置角色头并在代理/IdP 层保护来实现而不是依赖门控失效。升级回滚说明见 docs/releases/RELEASE_NOTES_v6.2.2-rc.1.md测试 RC 版本可用./scripts/install.sh --version v6.2.1回滚升级前同样要求先显式配置PROXY_AUTH_ADMIN_ROLE。环境变量优先级与覆盖规则可进一步参考 docs/CONFIGURATION.md。Pulse 5.x 为 EOL 版本行为与 6.2.2 不同见 docs/PROXY_AUTH.md官方建议直接升级到 6.2.2 及以上以获得本文所述的 fail-closed 语义。总结Pulse v6.2.2 的这次修复本质是把 proxy-auth 的管理员判定从默认信任、按需拒绝翻转为默认拒绝、显式证明只要配置了角色头管理员身份就必须由精确匹配的角色值来证明未配置的管理员角色名会可靠地回落到文档化默认值admin而非关闭门控。对操作者的直接行动清单是升级前显式设置PROXY_AUTH_ADMIN_ROLE为 IdP 管理员组名大小写完全一致升级后留意启动告警日志并用本文的只读探测脚本确认非管理员用户在任何管理员端点都返回403。赞分享可观测性运维后端【免费下载链接】PulseReal-time monitoring dashboard for Proxmox VE, PBS, Docker, Kubernetes, TrueNAS and vSphere. Self-hosted, with smart alerts and AI patrols that catch silent failures.项目地址https://gitcode.com/gh_mirrors/pulse27/Pulse点击查看免费下载相关推荐Pulse 反向代理认证详解PROXY_AUTH 配置、角色门控与安全边界Pulse 反向代理认证详解PROXY_AUTH 配置、角色门控与安全边界 本文围绕 Pulse 的「代理认证Proxy Authentication」机可观测性运维后端Pulse v6.2.2-rc.1 版本发布详解监控规模扩容、资源控制与安全加固全解析Pulse v6.2.2 rc.1 版本发布详解监控规模扩容、资源控制与安全加固全解析 导读 本文基于开源仓库 docs/releases/RELEASE_N可观测性运维后端如何快速掌握SD-WebUI CleanerAI绘图必备的终极对象移除神器如何快速掌握SD WebUI CleanerAI绘图必备的终极对象移除神器 SD WebUI Cleaner是一款专为Stable Diffusion Web指标监控可观测性告警运维创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
可观测性运维后端【免费下载链接】PulseReal-time monitoring dashboard for Proxmox VE, PBS, Docker, Kubernetes, TrueNAS and vSphere. Self-hosted, with smart alerts and AI patrols that catch silent failures.项目地址https://gitcode.com/gh_mirrors/pulse27/Pulse点击查看免费下载本篇文章基于 Pulse v6.2.2 草稿发布说明docs/releases/RELEASE_NOTES_v6.2.2_DRAFT.md展开完整剖析该版本中最关键的一项安全修复当管理员只设置了PROXY_AUTH_ROLE_HEADER而未设置PROXY_AUTH_ADMIN_ROLE时旧版会把每一个经由代理认证proxy-auth的用户都当作管理员处理v6.2.2 起角色匹配被强制执行并默认 fail-closed。读完本文你将理解漏洞的底层成因、v6.2.2 的修复语义、升级前的必做配置以及如何用只读探测脚本验证角色门控是否真正生效。一、背景Pulse 的代理认证Proxy Auth部署模型Pulse 支持把身份认证委托给现有的反向代理如 Authentik、Authelia、Cloudflare Zero Trust 等完成。这种模式下Pulse 自身不做登录页而是通过一组 HTTP 请求头来接收代理已经验证过的身份与角色信息相关完整配置请参考 docs/PROXY_AUTH.md。Proxy auth 涉及的核心环境变量如下默认值以当前仓库 internal/config/config.go 为准变量作用默认值PROXY_AUTH_SECRET必填。校验请求来源的共享密钥任何请求都必须携带与之一致的X-Proxy-Secret头-PROXY_AUTH_USER_HEADER必填。承载用户名的请求头名称-PROXY_AUTH_ROLE_HEADER承载用户组/角色的请求头名称。设置该变量即开启角色门控-PROXY_AUTH_ROLE_SEPARATOR多头角色值的分隔符如\|、,\|PROXY_AUTH_ADMIN_ROLE授予管理员权限的角色名adminPROXY_AUTH_LOGOUT_URL注销后重定向的 IdP 注销端点-一句话概括安全语义共享密钥决定你是谁authenticated角色头决定你是不是管理员admin。管理员判定与普通认证是两个独立步骤这正是 v6.2.2 漏洞所在的边界。二、漏洞成因envconfig 默认值未生效 角色门控短路v6.2.2 草稿说明首先点出了问题组合当PROXY_AUTH_ROLE_HEADER已设置、而PROXY_AUTH_ADMIN_ROLE未设置时该组合会把每一个 proxy 认证用户都当成管理员。从源码看成因有两个层次。1. 配置结构体上的default标签并不生效在 internal/config/config.go 中有一段关键注释// DefaultProxyAuthAdminRole is the role name that grants admin access when a // proxy-auth deployment configures a role header without naming an admin role. // The structs envconfig default tag never applies (see the Config note // below), so this default has to be resolved explicitly by every consumer of // ProxyAuthAdminRole — otherwise role gating silently switches off and every // proxy-authenticated user is treated as an administrator. const DefaultProxyAuthAdminRole admin也就是说尽管结构体字段声明为ProxyAuthAdminRole string \envconfig:PROXY_AUTH_ADMIN_ROLE default:admin见 [internal/config/config.go](https://link.gitcode.com/i/c1ce2f71ab542e1e1ea471a59e215c8d)但该default标签在该项目实际的配置加载路径中**并不生效**注释明确写明了这一点。因此ProxyAuthAdminRole 有可能保持为空字符串。2. 空管理员角色导致门控直接短路在旧逻辑中当ProxyAuthAdminRole为空时角色检查会被完全跳过最终isAdmin保持默认值true于是任何携带合法共享密钥的用户都获得管理员权限。v6.2.2 的修复把默认值解析放到了每次判定时强制执行同时配套的配置加载逻辑在PROXY_AUTH_ADMIN_ROLE未设置、但PROXY_AUTH_ROLE_HEADER已设置时会显式回落到DefaultProxyAuthAdminRole并输出启动告警日志见 internal/config/config.go。配置层的回归测试也锁定了这一点internal/config/config_load_test.go 中的TestLoad_ProxyAuthAdminRoleDefaultsWhenUnset验证配置了角色头但从未命名管理员角色时仍必须获得文档化默认值其注释明确指出旧行为是CheckProxyAuth完全跳过角色门控导致每个代理用户都能读写管理员专属设置。三、修复语义fail-closed 的三种场景修复后只要配置了PROXY_AUTH_ROLE_HEADER管理员权限的判定规则就变得明确且严格角色头包含管理员角色→ 授予管理员权限。匹配必须满足区分大小写admin默认值不会匹配Admins、authentik Admins这类名称整角色精确比较比较时去除首尾空格admin不会匹配admin-ops或my-admin按PROXY_AUTH_ROLE_SEPARATOR分隔后逐个比对。角色头缺失或为空→ 用户仍然通过认证可以被识别为合法用户但一律按非管理员处理访问管理员接口返回403。角色头存在但内容都是非管理员角色→ 同上非管理员403。换句话说设置PROXY_AUTH_ROLE_HEADER本身就是操作者发出我要开启角色门控的信号从那一刻起管理员身份必须由显式的角色值证明而不是靠未配置即放行的隐式默认。如果你故意要让所有 proxy 认证用户都是管理员正确做法是不设置PROXY_AUTH_ROLE_HEADER并在代理/IdP 层完全保护 Pulse。禁止通过留空PROXY_AUTH_ADMIN_ROLE来关掉门控。四、升级前必做显式设置 PROXY_AUTH_ADMIN_ROLE草稿发布说明给出了明确的升级前置要求升级前请把PROXY_AUTH_ADMIN_ROLE设置为 IdP 的管理员组名并确保大小写完全一致。角色匹配现已强制执行admin默认值不会再匹配Admins或authentik Admins这类名称。Pulse 在回落到默认值时会在启动时输出告警日志。推荐的最小配置以下 dotenv 片段来自 docs/PROXY_AUTH.md是配置映射示例而非可直接使用的默认值请替换为你的实际值PROXY_AUTH_SECRETunique-private-shared-secret PROXY_AUTH_USER_HEADERX-Authentik-Username PROXY_AUTH_ROLE_HEADERX-Authentik-Groups PROXY_AUTH_ROLE_SEPARATOR| PROXY_AUTH_ADMIN_ROLEexact-idp-admin-group注意两点头名称与分隔符必须匹配你现有认证代理实际输出的格式。例如 IdP 输出逗号分隔的组列表却配置了|分隔符就会导致角色解析错乱。共享密钥应存放在私密部署配置中Pulse 端 代理端不要写进命令行参数、共享的 Compose 文件或仓库更不能用占位符字符串充当凭据。配置加载的优先级细节从 internal/config/config.go 可以看到加载逻辑只有PROXY_AUTH_SECRET已设置时才会继续读取其余 proxy-auth 变量PROXY_AUTH_ADMIN_ROLE未设置且当前值为空时回落到DefaultProxyAuthAdminRole并分两种日志情况若PROXY_AUTH_ROLE_HEADER已设置则输出Warn级告警明确提示管理员访问要求角色头精确包含admin区分大小写。若 IdP 组名不同请设置PROXY_AUTH_ADMIN_ROLE或取消PROXY_AUTH_ROLE_HEADER让所有代理用户都成为管理员若未设置角色头则仅输出 Info 级管理员角色使用默认值。这意味着如果你升级后看到这条启动警告说明你的角色门控正以admin默认值在运行请立即核对 IdP 实际管理员组名并显式配置。五、源码级实现CheckProxyAuth 与 RequireAdmin修复的核心在 internal/api/auth.go 的CheckProxyAuth函数。逐段拆解其判定链路密钥校验ProxyAuthSecret未配置则直接返回未启用否则用subtle.ConstantTimeCompare常量时间比较X-Proxy-Secret防止时序侧信道。用户头校验若配置了ProxyAuthUserHeader读取对应请求头为空则认证失败。角色门控本次修复的核心isAdmin : true // Default to admin if no role checking configured if cfg.ProxyAuthRoleHeader ! { adminRole : strings.TrimSpace(cfg.ProxyAuthAdminRole) if adminRole { adminRole config.DefaultProxyAuthAdminRole } roles : r.Header.Get(cfg.ProxyAuthRoleHeader) isAdmin false ... }只要角色头已配置isAdmin就重置为falsefail-closedProxyAuthAdminRole为空时此刻就地回落为DefaultProxyAuthAdminRole不再短路放行角色头为空时保持非管理员否则按分隔符拆分并做 TrimSpace 后的整角色精确比较。最终返回(true, username, isAdmin)三元组认证是否成功、用户名、是否管理员。所有代理认证的管理员判定都经由这一个函数产出因此不存在某条路由绕过门控的旁路。上游的RequireAdmin中间件internal/api/auth.go直接消费这一判定认证失败返回401认证成功但isAdmin false时对/api/前缀或接受 JSON 的请求返回403与{error:Admin privileges required}否则返回纯文本403只有通过全部检查才放行到实际 handler。六、回归测试修复被多组测试锁定仓库中针对该漏洞的回归测试非常完整可以作为验证修复是否生效的直接证据internal/config/config_load_test.goTestLoad_ProxyAuthAdminRoleEnvOverridesDefault验证显式设置PROXY_AUTH_ADMIN_ROLEpulse-admins能覆盖默认值。internal/api/security_test.goTestRequireAdmin_ProxyAuthRoleHeaderWithoutAdminRoleStillGates模拟只配置角色头、未配置管理员角色的场景——携带user|viewer角色的代理用户访问/api/admin/test必须返回403注释明确记录这是对旧版空管理员角色短路曾允许读写/api/system/settings的回归防护。internal/api/security_test.goTestRequireAdmin_ProxyAuthRoleHeaderWithoutAdminRoleAllowsDefaultRole验证携带默认admin角色的用户仍能通过200。internal/api/proxy_admin_gating_test.goTestProxyAuthAdminGatesAdminEndpoints以真实路由/api/logs/stream、/api/diagnostics、/api/system/settings、/api/system/settings/update、/api/agents/host/link等 13 个端点验证非管理员代理用户在每一个管理员端点都得到403且响应体中包含 Admin 错误说明。此外 internal/api/security_test.go 覆盖逗号分隔角色、internal/api/security_test.go 覆盖角色值带空格user| admin |viewer等边界情形。七、升级后的验证只读探测脚本草稿说明本身只交代了配置要求实际部署后如何确认门控生效docs/PROXY_AUTH.md 给出了配套的只读验证方法这里完整保留并说明用法。先说明限制该探测只测试Pulse 自身的请求头处理并不测试你的代理是否正确替换了头、也不测试端到端访问边界它只适合在受信任的后端/代理主机或其私有网络内执行。准备一个临时的私有头文件把占位符替换为你的真实配置角色务必用一个非管理员角色例如noneX-Proxy-Secret: your-real-shared-secret X-Authentik-Username: testuser X-Proxy-Roles: none然后运行以下只读探测要求 curl 7.76 或更新版本它不发送任何设置变更只打印 HTTP 状态码且会在退出时自动删除临时头文件( set -eu umask 077 probe_dir$(mktemp -d) header_file$probe_dir/proxy-headers trap test ! -e $header_file || rm -- $header_file; rmdir -- $probe_dir EXIT touch $header_file vi $header_file if status$(curl --disable --silent --show-error --output /dev/null \ --connect-timeout 5 --max-time 10 \ --write-out %{http_code} --header $header_file \ http://127.0.0.1:7655/api/system/settings); then printf HTTP %s\n $status else curl_exit$? printf Proxy probe unavailable (curl exit %s); no role result. Stop here.\n $curl_exit 2 exit $curl_exit fi )结果判读在 Pulse 6.2.2 及以上、已配置角色门控的前提下状态码含义403符合预期非管理员角色被拒绝。重复探测先省略角色行、再留空角色行都应为403200管理员访问被放行——请检查角色门控是否真的已配置401认证失败共享密钥/用户头不匹配并非角色检查的结果重定向、连接/TLS 错误、HTTP 000探测本身失败不能视为拒绝测试通过几个操作要点--disable必须放在最前以忽略本地 curl 默认配置不要开启--insecure、verbose/trace 输出或重定向跟随127.0.0.1:7655仅适用于 Pulse 主机上的 loopback 监听否则应改用既有私有后端地址并保持 HTTPS 证书校验。探测得到的身份头不要通过公网代理发送代理本应替换这些头也不要把真实共享密钥写入任何会被他人读取的文件。分享结果时只给状态码和脱敏的配置名绝不给头文件或密钥。八、相关契约与版本说明该修复同时被记录在共享认证/API 契约文档中docs/release-control/v6/internal/subsystems/api-contracts.md 明确要求一旦配置PROXY_AUTH_ROLE_HEADER缺失或空角色头的合法代理用户已认证但非管理员只有显式管理员角色才能通过管理门控未设置的PROXY_AUTH_ADMIN_ROLE必须解析为config.DefaultProxyAuthAdminRole且绝不能禁用角色门控。有意让所有代理用户成为管理员的部署必须通过不设置角色头并在代理/IdP 层保护来实现而不是依赖门控失效。升级回滚说明见 docs/releases/RELEASE_NOTES_v6.2.2-rc.1.md测试 RC 版本可用./scripts/install.sh --version v6.2.1回滚升级前同样要求先显式配置PROXY_AUTH_ADMIN_ROLE。环境变量优先级与覆盖规则可进一步参考 docs/CONFIGURATION.md。Pulse 5.x 为 EOL 版本行为与 6.2.2 不同见 docs/PROXY_AUTH.md官方建议直接升级到 6.2.2 及以上以获得本文所述的 fail-closed 语义。总结Pulse v6.2.2 的这次修复本质是把 proxy-auth 的管理员判定从默认信任、按需拒绝翻转为默认拒绝、显式证明只要配置了角色头管理员身份就必须由精确匹配的角色值来证明未配置的管理员角色名会可靠地回落到文档化默认值admin而非关闭门控。对操作者的直接行动清单是升级前显式设置PROXY_AUTH_ADMIN_ROLE为 IdP 管理员组名大小写完全一致升级后留意启动告警日志并用本文的只读探测脚本确认非管理员用户在任何管理员端点都返回403。赞分享可观测性运维后端【免费下载链接】PulseReal-time monitoring dashboard for Proxmox VE, PBS, Docker, Kubernetes, TrueNAS and vSphere. Self-hosted, with smart alerts and AI patrols that catch silent failures.项目地址https://gitcode.com/gh_mirrors/pulse27/Pulse点击查看免费下载相关推荐Pulse 反向代理认证详解PROXY_AUTH 配置、角色门控与安全边界Pulse 反向代理认证详解PROXY_AUTH 配置、角色门控与安全边界 本文围绕 Pulse 的「代理认证Proxy Authentication」机可观测性运维后端Pulse v6.2.2-rc.1 版本发布详解监控规模扩容、资源控制与安全加固全解析Pulse v6.2.2 rc.1 版本发布详解监控规模扩容、资源控制与安全加固全解析 导读 本文基于开源仓库 docs/releases/RELEASE_N可观测性运维后端如何快速掌握SD-WebUI CleanerAI绘图必备的终极对象移除神器如何快速掌握SD WebUI CleanerAI绘图必备的终极对象移除神器 SD WebUI Cleaner是一款专为Stable Diffusion Web指标监控可观测性告警运维创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考
