SamWaf v1.3.21 开源、轻量级、私有化部署网站防火墙
经过多个 beta 版本的打磨，v1.3.21 正式版来了。这一版围绕"更安全、更省心"做了一轮比较大的升级，升级前请务必先看第一节的注意事项。
## 一、升级前必读（重要）
**1. 登录密码加密方式从 MD5 切换为 bcrypt**
向上升级无感，正常升级不需要任何额外操作。但要注意：如果升级后又想回滚到 v1.3.21-beta.8 之前的版本，由于加密方式已切换，需要手工使用后台命令行重置密码才能登录。
**2. 全新安装的首次登录口令**
不再是固定默认密码，首次登录口令见 `data/initial_password.txt`，登录后请立即修改。
**3. 管理端前面有反向代理的情况**
需要在 `conf/config.yml` 中配置 `security.manage_trusted_proxies`（可信代理网段，CIDR 格式、逗号分隔），也可以在「系统配置」页面里设置。
## 二、安全性整体加固
这一版在安全上下了不少功夫，特别感谢 @zuesdevil、@tomaioo 两位的反馈：
- 修复了密码相关的潜在安全问题；
- 对查询 SQL 做了整体调整；
- 在此基础上对系统做了一轮整体安全加固。
## 三、本次新增功能
### 3.1 管理端 SSL 证书自动更新
感谢 @Firfr。注意这里说的是 **SamWaf 管理端（控制台）自己的证书**，不是被防护网站的证书。配置好之后，控制台证书快到期时自动续期，不用再盯日历手动换。配套还新增了面板开启 HTTPS 后是否自动跳转 HTTP 的开关（感谢 @Mr.Chen）。
### 3.2 RBAC 权限体系
可以按角色分配权限了。运维看运维的，审计看审计的，多人协作时权限边界一目了然。
### 3.3 网页防篡改
页面被恶意篡改是很多站长的心头患，这一版把防篡改能力加进来了。
### 3.4 防护引擎三连升级
- **Cookie 加固**：降低 Cookie 被窃取、篡改的风险；
- **CSRF 跨站防护**：把这个老牌高频攻击方式挡在引擎层；
- **上传文件检测**：对上传文件做检查，堵住一条常见的入侵通道。
### 3.5 AI 标注与检测（测试）
开始尝试用 AI 辅助做流量标注与检测，目前为测试功能，欢迎体验反馈。
### 3.6 其他新增
- 管理端增加域名白名单（感谢 @友人B）；
- IP 归属地新增 ipdb 格式支持（感谢 @echs-top）；
- 被防护的网站可以设置昵称，站点多了好认（感谢 @1091198228）；
- 新增应用管理；
- 邮件通知支持自签证书。
## 四、优化与修复
**两项体验优化**：支持优雅/平滑升级；网站配置重新加载时业务不中断——改配置不用再担心线上抖动。
**MySQL 相关修复**（感谢 @王继波、@虫子）：分页未生效、添加 CC 防护提示失败、危险日志提示错误、字段问题，以及 MySQL 和 Redis 未启动时链接异常的问题。
**其他修复**：
- 访问日志列配置无法修改（感谢 @FiendFEARing）；
- 每日大量访问日志下 SQLite 偏慢的问题做了优化调整，实际效果欢迎重负载用户反馈体感（感谢 @wangpenga999）；
- IP 管理保存的 ipdb 重启后丢失（感谢 @Mr.Chen）；
- 发送测试消息看不到服务器前缀（感谢 @友人B）；
- 删除规则的 SQL 语法问题；
- 路径路由上游 HTTPS 时下游被强制 HTTP 访问的问题（感谢 @mmdlsu）。
---
原文链接：[点击查看](https://www.oschina.net/news/471564/samwaf-1-3-21-released)
## 一、升级前必读（重要）
**1. 登录密码加密方式从 MD5 切换为 bcrypt**
向上升级无感，正常升级不需要任何额外操作。但要注意：如果升级后又想回滚到 v1.3.21-beta.8 之前的版本，由于加密方式已切换，需要手工使用后台命令行重置密码才能登录。
**2. 全新安装的首次登录口令**
不再是固定默认密码，首次登录口令见 `data/initial_password.txt`，登录后请立即修改。
**3. 管理端前面有反向代理的情况**
需要在 `conf/config.yml` 中配置 `security.manage_trusted_proxies`（可信代理网段，CIDR 格式、逗号分隔），也可以在「系统配置」页面里设置。
## 二、安全性整体加固
这一版在安全上下了不少功夫，特别感谢 @zuesdevil、@tomaioo 两位的反馈：
- 修复了密码相关的潜在安全问题；
- 对查询 SQL 做了整体调整；
- 在此基础上对系统做了一轮整体安全加固。
## 三、本次新增功能
### 3.1 管理端 SSL 证书自动更新
感谢 @Firfr。注意这里说的是 **SamWaf 管理端（控制台）自己的证书**，不是被防护网站的证书。配置好之后，控制台证书快到期时自动续期，不用再盯日历手动换。配套还新增了面板开启 HTTPS 后是否自动跳转 HTTP 的开关（感谢 @Mr.Chen）。
### 3.2 RBAC 权限体系
可以按角色分配权限了。运维看运维的，审计看审计的，多人协作时权限边界一目了然。
### 3.3 网页防篡改
页面被恶意篡改是很多站长的心头患，这一版把防篡改能力加进来了。
### 3.4 防护引擎三连升级
- **Cookie 加固**：降低 Cookie 被窃取、篡改的风险；
- **CSRF 跨站防护**：把这个老牌高频攻击方式挡在引擎层；
- **上传文件检测**：对上传文件做检查，堵住一条常见的入侵通道。
### 3.5 AI 标注与检测（测试）
开始尝试用 AI 辅助做流量标注与检测，目前为测试功能，欢迎体验反馈。
### 3.6 其他新增
- 管理端增加域名白名单（感谢 @友人B）；
- IP 归属地新增 ipdb 格式支持（感谢 @echs-top）；
- 被防护的网站可以设置昵称，站点多了好认（感谢 @1091198228）；
- 新增应用管理；
- 邮件通知支持自签证书。
## 四、优化与修复
**两项体验优化**：支持优雅/平滑升级；网站配置重新加载时业务不中断——改配置不用再担心线上抖动。
**MySQL 相关修复**（感谢 @王继波、@虫子）：分页未生效、添加 CC 防护提示失败、危险日志提示错误、字段问题，以及 MySQL 和 Redis 未启动时链接异常的问题。
**其他修复**：
- 访问日志列配置无法修改（感谢 @FiendFEARing）；
- 每日大量访问日志下 SQLite 偏慢的问题做了优化调整，实际效果欢迎重负载用户反馈体感（感谢 @wangpenga999）；
- IP 管理保存的 ipdb 重启后丢失（感谢 @Mr.Chen）；
- 发送测试消息看不到服务器前缀（感谢 @友人B）；
- 删除规则的 SQL 语法问题；
- 路径路由上游 HTTPS 时下游被强制 HTTP 访问的问题（感谢 @mmdlsu）。
---
原文链接：[点击查看](https://www.oschina.net/news/471564/samwaf-1-3-21-released)
评论
暂无评论。