WindsurfAPI 安全加固全景fail-closed 认证、SSRF 防护与 Dashboard 越权防御设计指南【免费下载链接】WindsurfAPITurn Windsurf / Devin Desktops 100 AI models (Claude, GPT, Gemini, DeepSeek, Kimi, GLM, SWE) into OpenAI-, Anthropic- Gemini-compatible APIs. Zero-dependency self-hosted reverse proxy for Claude Code, Cline Cursor. 把 Windsurf/Devin 云端 100 模型变成三套兼容 API。项目地址: https://gitcode.com/gh_mirrors/wi/WindsurfAPIWindsurfAPI 是一个零依赖、可自托管的 AI 反向代理把 Windsurf/Devin 云端 100 模型Claude、GPT、Gemini、DeepSeek、Kimi 等变成 OpenAI/Anthropic/Gemini 三套兼容 API供 Claude Code、Cline、Cursor 调用。正因为它是自托管的一旦被暴露到公网或配置不当泄露的就不只是 API Key而是你背后所有账号的配额与凭证。本文带你完整理解它的三层安全设计fail-closed 认证默认拒绝、SSRF/DNS 重绑定防护、Dashboard 越权防御以及它们各自解决了什么真实攻击场景。为什么自托管 AI 代理最需要默认拒绝普通 SaaS 服务出问题影响的是服务商自托管代理出问题攻击者能直接操作你的账号池——列举邮箱、添加/删除账号、偷看密钥。WindsurfAPI 的总原则是不确定时拒绝。fail-closed失败即关闭这意味着没配置不再等于放行而是等于401 拒绝。第一层fail-closed API 认证默认拒绝设计要点非 localhost 绑定 未设置API_KEY→ 直接拒绝所有请求不再默认放行每个请求必须携带Authorization: Bearer key或x-api-key: key与API_KEY环境变量做恒定时间比较防时序侧信道拒绝时返回的诊断信息会明确告诉你是key 不匹配还是根本没配 key帮你快速定位是配置问题还是客户端问题关键逻辑在 src/server.js 中的 API 路由入口约 L415-L425if (!validateApiKey(extractToken(req))) { return json(res, 401, { error: { message, type: auth_error } }); }配置层在 src/config.js 中当服务绑定到非本地地址而缺少API_KEY/DASHBOARD_PASSWORD时行为从默认允许切换为 fail-closed并会在启动时给出警告。实践建议只想本机用把HOST127.0.0.1绑死要上公网必须配置强API_KEY。第二层Dashboard 越权防御运营者级权限Dashboard 能管理账号池加删账号、查看邮箱、揭示密钥这是运营者操作不是聊天操作。WindsurfAPI 把它拆成了几道独立关卡源码集中在 src/dashboard/api.js1. 聊天 Key ≠ 运营者密码权限隔离早期版本中共享的聊天 API Key 可以直接当 Dashboard 密码用——任何拿到聊天 key 的客户端都能管理账号池。现在这个便利默认关闭场景行为仅持聊天 API Key 访问/auth/accounts403 拒绝想复用 key 当本地密码需显式设置DASHBOARD_ALLOW_API_KEY_AS_PASSWORD1本地无密码想开放需显式设置DASHBOARD_ALLOW_NO_AUTH1且仅限验证过的本地客户端2. 防反向代理伪装可信客户端 IP一个经典坑你的服务跑在本机前面套了 Nginx/OpenResty 反向代理——此时每个请求的 socket 对端都是127.0.0.1远程用户看起来也是本地用户。WindsurfAPI 的解法是只信任可信客户端 IPdashboardClientIp配置了TRUST_PROXY_X_FORWARDED_FOR1时按代理跳数从右往左数出真实客户端 IP没配置就无法验证客户端本地便利通道直接关闭。3. 管理员端点共用暴力破解锁定/auth/login、/auth/accounts等管理端点与 Dashboard API 共用同一个客户端 IP 锁定桶——连续失败 5 次即封禁带Retry-After响应头src/server.js L440-L458。攻击者无法在 A 端点猜密码、去 B 端点绕过封禁。4. 敏感操作二次认证揭示 API Key这类高危操作要求再次提交密码body.password或X-Dashboard-Password-Confirm头即使命中会话级认证也要重新证明身份confirmReauthsrc/dashboard/api.js L331 附近。相关测试覆盖见 test/dashboard-auth-fail-closed.test.js、test/dashboard-auth-hardening.test.js 与 test/auth-admin-gate.test.js。第三层SSRF 防护与 DNS 重绑定防御代理服务天然容易踩 SSRF服务器端请求伪造用户配置的代理主机名如果被恶意 DNS 解析成内网地址你的服务就会变成攻击内网的跳板。防护核心在 src/net-safety.js1. 私网地址识别要想到刁钻isPrivateIp()不只查 IPv4 的10.x/172.16-31.x/192.168.x还要处理 IPv6 中内嵌 IPv4 的隧道——这些是真实被验证过的绕过面64:ff9b::/96NAT64与64:ff9b:1::/482002::/166to42001:0::/32Teredo客户端 v4 还做了取反::a.b.c.dv4-compatible如::127.0.0.1任何解析结果落入私网空间 → 抛出ERR_PROXY_PRIVATE_IP拒绝连接。回归测试见 test/net-safety-embedded-ipv4.test.js 与 test/ssrf.test.js。2. 关闭 TOCTOU / DNS 重绑定窗口检查时解析一次、连接时再解析一次是经典漏洞第一次 DNS 返回公网 IP 骗过检查第二次返回内网 IP。WindsurfAPI 的解法resolveProxyConnectHost是校验后直接拨号返回的 IP 字面量——socket 不再做任何二次解析校验过的地址就是拨号的地址。并且只要任意一条 A 记录是私网重绑定应答常混发公网私网记录整体拒绝。3. XFF 头不可信防锁定绕过X-Forwarded-For由攻击者随意伪造。WindsurfAPI 的trustedClientIp()默认完全忽略该头只有配置TRUST_PROXY_X_FORWARDED_FOR1且按TRUST_PROXY_HOPS默认 1从右侧数够跳数时才采信否则回退到 socket 对端地址。这让暴力破解封禁、按调用方分桶等机制都无法被伪造头绕过test/caller-key-xff-spoof.test.js 覆盖此回归。其他值得注意的加固细节日志脱敏邮箱打码ab.com → a***b.com、凭证不落日志见 src/log-safety.js 与 test/log-safety.test.js原子写盘账号池写入用writeFileSyncDurable/renameSyncWithRetry防写坏见 src/fs-atomic.js恒定时间比较key/密码校验使用safeEqualString防时序攻击环境变量全景所有安全开关含只在源码里存在的 84 个都有索引见 docs/ENV-SWITCHES.md发现漏洞怎么报项目提供了正式的私披露通道72 小时内首次响应详见 SECURITY.md。范围涵盖认证绕过、凭证泄露、RCE、SSRF、路径穿越、Dashboard API 漏洞等——请勿开公开 issue那会在修复落地前暴露所有部署实例。总结三句话记住这套安全模型认证层没配置 拒绝。聊天 Key 和运营者权限严格分离敏感操作要二次认证暴力破解全端点统一锁定。网络层私网判断覆盖 IPv6 隧道全家桶DNS 重绑定靠校验即拨号的 IP 字面量彻底封死。身份层XFF 默认不信本地便利通道必须显式 opt-in反代场景下远程用户装不成本地人。这套设计对新手最实用的启示是自托管安全的第一性原理是默认拒绝 显式 opt-in把每一个图方便的通道都变成需要主动打开的开关。【免费下载链接】WindsurfAPITurn Windsurf / Devin Desktops 100 AI models (Claude, GPT, Gemini, DeepSeek, Kimi, GLM, SWE) into OpenAI-, Anthropic- Gemini-compatible APIs. Zero-dependency self-hosted reverse proxy for Claude Code, Cline Cursor. 把 Windsurf/Devin 云端 100 模型变成三套兼容 API。项目地址: https://gitcode.com/gh_mirrors/wi/WindsurfAPI创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考