v1.4.7 — 資安修正:登入失敗鎖定可被同時送出繞過(#60)

資安修正:登入失敗鎖定可被「同時送出」繞過(#60,感謝 willsec221 回報)。建議所有學校升級,尤其系統開放校外連線的。

資料表沒有變動,照一般方式升級即可(.env 改 IMAGE_TAG=v1.4.7 → docker compose pull && docker compose up -d)。

官方映像(amd64 + arm64 雙架構)已發布於 GHCR:
ghcr.io/begin0808/course_scheduling_system-{api,worker,web}:v1.4.7

修正

• 同時送出的錯誤密碼也會算進鎖定次數(#60):連續輸錯 5 次會鎖定 15 分鐘,但先前若在同一瞬間送出大量錯誤密碼,失敗次數會互相蓋掉(同時 20 次只記到 2 次),帳號不會被鎖,等於可以不受限制地猜密碼。現在同一帳號的登入嘗試會排隊一個一個處理:不論怎麼送,第 5 次失敗就鎖定,之後連正確密碼也要等鎖定結束。
  • 一般登入感覺不到差別;只有「同一個帳號同時登入」才會排隊,不同帳號互不影響。

新增

• SECURITY.md:資安問題請不要在公開 issue 回報,改用 GitHub 的私下通報(Security → Report a vulnerability)。