kanomahoro1224
a069be4538
玩家那边遇到的是：游戏放着 BGM，突然弹出下载管理器的「下载文件信息」框，有时还会把整条 音轨抢去下载。原因是这些工具会嗅探以媒体扩展名结尾的 XHR/fetch。改成客户端统一请求不带 扩展名的 `/media/<原路径去掉 .mp3>`，服务端再解析回 `public/assets/audio/…`。 - `public/js/media.js`：`mediaUrl()` 把 `/assets/audio/**.mp3` 换算成 `/media/**`，只处理同源、 且扩展名在名单内的地址；跨域、目录、`..`、点开头、不认识的扩展名一律原样返回。 - `server/index.js`：新增 `/media/` 路由。按 `AUDIO_EXTS` 顺序找 `.mp3/.m4a/.aac/.ogg/.oga/.opus/.wav`， 显式写了扩展名的以它为准；Range/ETag/Content-Type/缓存策略都复用 `serveFile`，所以和直接请求 `/assets/audio/…` 行为一致（一天缓存、支持 Range）。 - 直接请求 `/assets/audio/…` 仍然可用 —— 这是给不支持 `/media/` 的纯静态托管留的退路，客户端 在 `/media/` 404 时才回退到原地址。 安全：`/media/` 的路径只接受正常片段，`..`/`.` 直接 403，点开头或点结尾的片段 404，解析出的 绝对路径必须落在 `public/assets/audio` 之内，且只允许上面那几个音频扩展名 —— 不会变成任意文件读取。 测试： - `test/media-url.test.js`：`mediaUrl()` 的换算与各种「别动它」的边界。 - `test/lobby.test.js`：真实服务器上的 `/media` 路由（正常解析、显式扩展名优先、Range、HEAD、 目录与穿越请求被拒、客户端回退用到的 `/media/bgm.mp3` 仍 200）。 - `test/ui/audio.test.js`：音频管理器现在先请求无扩展名地址，404 才回退原地址；断言跟着 `mediaUrl()` 换算后再比对（原先拿 manifest 原地址比对，等于断言一个客户端永不请求的 URL）。
57 lines
3.3 KiB
JavaScript
57 lines
3.3 KiB
JavaScript
// mediaUrl(): audio is fetched through an extension-less /media/… path so download managers (IDM / 迅雷 / FDM)
|
|
// stop hijacking BGM playback with a "下载文件信息" dialog. See public/js/media.js for the full rationale.
|
|
import { test, describe } from 'node:test';
|
|
import assert from 'node:assert/strict';
|
|
import { mediaUrl, isMediaUrl, MEDIA_PREFIX, AUDIO_EXTS } from '../public/js/media.js';
|
|
|
|
const ORIGIN = 'http://127.0.0.1:3000';
|
|
|
|
describe('mediaUrl: 音频地址去掉扩展名（躲开下载器嗅探）', () => {
|
|
test('把 /assets/audio/**.mp3 改写成 /media/**', () => {
|
|
assert.equal(mediaUrl('/assets/audio/bgm/m_sys_act1autochess_loop.mp3', ORIGIN), '/media/bgm/m_sys_act1autochess_loop');
|
|
assert.equal(mediaUrl('/assets/audio/sfx/player/p_imp/hit.mp3', ORIGIN), '/media/sfx/player/p_imp/hit');
|
|
// 绝对同源地址同样改写
|
|
assert.equal(mediaUrl(`${ORIGIN}/assets/audio/bgm/a.mp3`, ORIGIN), '/media/bgm/a');
|
|
// 查询串保留（?v=… 会拿到 immutable 缓存）
|
|
assert.equal(mediaUrl('/assets/audio/bgm/a.mp3?v=2', ORIGIN), '/media/bgm/a?v=2');
|
|
// 各音频扩展名
|
|
for (const ext of AUDIO_EXTS) {
|
|
assert.equal(mediaUrl(`/assets/audio/x/a${ext}`, ORIGIN), '/media/x/a', ext);
|
|
}
|
|
assert.equal(mediaUrl('/assets/audio/x/A.MP3', ORIGIN), '/media/x/A', '大小写不敏感');
|
|
});
|
|
|
|
test('改写后的地址里不再有任何媒体扩展名（下载器就是按这个嗅探的）', () => {
|
|
const out = mediaUrl('/assets/audio/bgm/m_bat_vtlionk_loop.mp3', ORIGIN);
|
|
assert.equal(out.startsWith(MEDIA_PREFIX), true);
|
|
assert.doesNotMatch(out, /\.(mp3|m4a|aac|ogg|oga|opus|wav)(\?|$)/i);
|
|
});
|
|
|
|
test('不是我们的音频、或不是同源时不改写', () => {
|
|
assert.equal(mediaUrl('/assets/img/a.png', ORIGIN), '/assets/img/a.png');
|
|
assert.equal(mediaUrl('/assets/audio/bgm.m4a.bak', ORIGIN), '/assets/audio/bgm.m4a.bak', '扩展名不认识就原样返回');
|
|
assert.equal(mediaUrl('https://cdn.example.com/assets/audio/a.mp3', ORIGIN), 'https://cdn.example.com/assets/audio/a.mp3', '别的源自己负责');
|
|
assert.equal(mediaUrl('/data/assets.json', ORIGIN), '/data/assets.json');
|
|
assert.equal(mediaUrl('', ORIGIN), '');
|
|
assert.equal(mediaUrl(null, ORIGIN), null);
|
|
assert.equal(mediaUrl(undefined, ORIGIN), undefined);
|
|
assert.equal(mediaUrl('/assets/audio/', ORIGIN), '/assets/audio/', '空路径不改写（服务端只会 404）');
|
|
});
|
|
|
|
test('会产生非法路径的输入不碰（点目录 / 空段）', () => {
|
|
assert.equal(mediaUrl('/assets/audio/.hidden.mp3', ORIGIN), '/assets/audio/.hidden.mp3');
|
|
// URL 解析本来就会把 .. 归一化，改写跟着归一化后的路径走（服务端仍是同一道校验）
|
|
assert.equal(mediaUrl('/assets/audio/bgm/../x.mp3', ORIGIN), '/media/x');
|
|
});
|
|
|
|
test('isMediaUrl 只对真正会改写的地址为真', () => {
|
|
assert.equal(isMediaUrl('/assets/audio/bgm/a.mp3', ORIGIN), true);
|
|
assert.equal(isMediaUrl('/assets/img/a.png', ORIGIN), false);
|
|
});
|
|
|
|
test('没有 location 时（测试环境）用传入的 origin 判断同源', () => {
|
|
assert.equal(mediaUrl('/assets/audio/bgm/a.mp3'), '/media/bgm/a', '相对地址本来就同源');
|
|
assert.equal(mediaUrl('https://other.example/assets/audio/a.mp3'), 'https://other.example/assets/audio/a.mp3');
|
|
});
|
|
});
|