v0.2.1 — 安全更新（强烈建议升级）

🔒 安全更新（强烈建议升级）

修复本地 API 鉴权与路径校验漏洞，封堵一条完整的无交互 RCE 链：

修复内容

• P0 · RCE 链：POST /api/config 无来源校验可写任意项目的启动命令，配合 start_project 的 shell=True 可执行任意命令
  → 所有写接口（config / projects / docker / console-stop / scan / theme）增加 Host + Origin + X-Auth-Token 三重校验；token 启动时随机生成，仅经 /api/state 下发给本机前端
• 防 DNS rebinding：所有 /api/*（含 GET）校验 Host 头必须为本机（localhost / 127.0.0.1 / ::1 / 主机名）
• 路径校验统一：项目控制与配置写入改用 resolve + 带斜杠前缀 的严格校验，堵住 /home/xxx-evil 兄弟目录绕过与符号链接穿越
• 版本号对齐：v0.2.0 时代码内 VERSION 仍为 0.1.0，已统一

同时包含 v0.2.0 之后未发版的修复

• fix(ci): CI 中仅检查已跟踪的 shell 脚本
• fix(ui): 刷新页面后备注/置顶/忽略规则丢失（前端同步后端 config）

升级方式

cd ~/wsl-command && git pull && pkill -f "python3 server.py"
nohup python3 server.py >/dev/null 2>&1 &

然后浏览器 Ctrl+F5 刷新即可。