Skip to content

v4.4.0

Choose a tag to compare

View all tags
@github-actions github-actions released this 24 Oct 13:24
· 22 commits to master since this release
v4.4.0
7c9223d

👑 Android NAS v4.4.0 正式发布！

十端生态矩阵：全平台私有云控制中枢

🚀 核心更新亮点

🛡️ 终极安全大满贯、媒体视界与全端底座重构

这是一个将 NAS 安全防线提升至企业级标准，并全面补齐全端多媒体视觉体验的重磅版本。彻底解决了上一版遗留的并发越权、WebSocket 裸奔与沙箱逃逸隐患，同时实装了原生 HTTPS、防爆破与终极自毁机制。

Added (🛡️ 顶级安全底座与自毁机制)

  • 密码加盐哈希与防爆破：彻底废弃明文存储，采用 SHA-256 + 随机盐；新增 Fail2Ban 防暴力破解，连续输错 5 次自动封禁 IP 15 分钟。
  • IP 白名单与安全审计：支持通配符（如 192.168.1.*）访问控制；新增持久化安全审计日志，记录异常登录与敏感操作。
  • 紧急安全码与自毁模式：敏感操作（修改设置、执行 Shell）需二次验证 PIN 码；网页与手机端均支持终极自毁（Panic Wipe），支持系统级锁屏验证。
  • 原生 HTTPS / WSS：服务端动态生成自签证书，Web 端与 WebSocket 远控均支持加密传输，老旧设备自动平滑降级。

Added (多媒体视界与 Web 体验)

  • 免 Key 真实影视刮削：新增 MediaScraper 引擎，基于纯正则解析文件名，自动请求开源 API 获取真实电影海报、评分与简介。
  • 全端影视墙与相册：TV 端与手机客户端新增影视墙与时光相册，完美适配遥控器焦点动画与网格瀑布流。
  • PWA (渐进式 Web 应用) 支持：注入 manifest.json 与 Service Worker，支持“添加到主屏幕”，全屏无地址栏运行。

Added (传输与通知中枢)

  • 大文件断点续传与秒传：实装 MD5 秒传校验与 2MB 分片流式合并，全端（Web/桌面/手机/CLI）支持网络波动下的大文件稳定上传。
  • Webhook 事件推送：支持配置 Telegram/企业微信 Webhook，实现文件上传、异常登录等事件的实时推送。
  • 自动化清理与备份：服务端定时清理超 24 小时的临时分片；在线编辑自动生成带时间戳的 .bak 历史备份。

Changed (架构与底层重构)

  • ThreadLocal 并发隔离：彻底废弃全局静态用户变量，在 HTTP/WebDAV/FTP 请求中通过 ThreadLocal 隔离身份，并在 finally 清理，杜绝高并发越权。
  • 应用包名迁移：全端包名统一迁移至 com.androidnas.all.*。
  • CI/CD 双轨制签名：日常构建触发 assembleDebug（带 .debug 后缀）；全量发版触发 assembleRelease 并注入正式签名。

Fixed (🚨 核心漏洞与致命 Bug 修复)

  • WebSocket 鉴权与注入：修复远控无鉴权漏洞，强制使用 Token 鉴权且仅限 Admin；触控坐标强制类型转换，杜绝 Shell 注入。
  • 沙箱逃逸与越权：修复了 new File(ROOT, "/xxx") 导致的父目录忽略缺陷；彻底修复 FTP/WebDAV 鉴权拦截，普通用户无法逃逸；分享链接绑定 Owner 并支持过期。
  • 秒传跨用户投毒：为秒传哈希增加用户路径匹配，杜绝 A 用户命中 B 用户文件导致的假秒传。
  • 流处理与句柄泄漏：移除分片上传错误的 parseBody；重写 Range 视频拖拽，引入 LimitedInputStream 解决高并发句柄泄漏。
  • 前端鉴权死循环：废弃 btoa Unicode 崩溃逻辑，修复 401 无限弹窗；媒体预览改用短效 Share Token 绕过原生标签 401。
  • CI/CD 编译与 Lint：解决 targetSdkVersion 22 的 lintVitalRelease 拦截；修复 NanoHTTPD 状态码错误。

📦 安装包下载指南 (Assets)

请直接点击下方对应的文件下载（所有端版本号均已同步）：

  • 📱 服务端 (旧手机)：
  • 🖥️ 手机客户端 (主力机)：
  • 📺 TV 电视端：
  • ⌚ 手表端：
  • 💻 Windows GUI：
  • 🐧 Linux GUI：
  • ⌨️ Windows CLI：
  • ⌨️ Linux CLI：
  • 🌐 浏览器插件 / 微信小程序： 压缩包

(注：苹果与鸿蒙端需使用开发者工具自行编译签名。)

⚠️ 安全与高危警告

  1. 全盘模式与远控的危险性：开启 Web Shell、H264 远控或 Root 免死保活时，应用将拥有极高的系统权限。请绝对不要在公共 WiFi 下暴露远控端口。
  2. 保活模块冲突：若刷入了 Magisk 特权模块，可能会导致系统安装器提示“应用未卸载”。请进入 Magisk 临时关闭模块并重启后，使用 强删。
  3. 明文传输：局域网传输默认明文 HTTP。公网访问请务必自建 SSH 穿透进行加密。

Enjoy your personal cloud! 如果觉得项目对你有帮助，欢迎点一个 ⭐ Star！

Assets 11
Loading