xsl
5b2b73f5d5
保留5号历史三档实现，新增中下庭高度定位、扶正裁切、矩形叠加与30案例对比页。 worker仅允许本机和配置白名单访问；网关不增加IP限制。空图片URL字段改写限定为52号，保持旧接口兼容。同步接口、裁切与部署文档。 验证：113项测试通过；1项历史数值基线失败，在未修改的a3fddbb版本复现。浏览器验证5/52及30案例对比页通过。
30 lines
2.3 KiB
Markdown
30 lines
2.3 KiB
Markdown
# GPU worker 接口 IP白名单
|
||
|
||
仅GPU worker使用项目根目录的`ip_access.json`，不存在时仅允许本机。网关不启用IP限制。配置每次请求重新读取，修改后立即生效。现有`X-Internal-Token`鉴权继续有效。
|
||
|
||
```json
|
||
{
|
||
"allowed_ips": ["49.232.51.171"]
|
||
}
|
||
```
|
||
|
||
当前已将网关IP `49.232.51.171`加入白名单；本机回环地址和网卡自身地址自动允许，其余来源返回HTTP403、`code=1010`。支持IPv4、IPv6及CIDR，不自动允许整个内网。
|
||
|
||
worker的所有动态路径统一保护，包括5号、52号、其他业务接口、调试接口、代理接口、健康检查和文档接口。`/static/`下的测试页和图片可正常访问，但页面发出的API请求仍需通过IP限制。
|
||
|
||
启动GPU worker时使用`uvicorn ... --no-proxy-headers`，保留真实连接来源。`run_worker.sh`与`hair-worker.service`已配置该选项。来源被服务器提前改写、地址格式错误或白名单配置无效时拒绝访问。
|
||
|
||
判断依据是直接连接worker的IP，忽略`X-Forwarded-For`、`X-Real-IP`和`Forwarded`，这些请求头不能用于绕过限制。由网关转发的请求按网关IP判断，网关后面的最终用户无需加入worker白名单。网关保持原有鉴权和转发流程，无需部署此配置。
|
||
|
||
`ip_access.json`不入Git；配置格式参考`ip_access.example.json`。本机网卡地址在请求时自动获取。
|
||
|
||
## 部署与维护
|
||
|
||
首次部署复制`ip_access.example.json`为`ip_access.json`，示例已包含网关`49.232.51.171`；已有配置不覆盖。该操作仅在GPU worker执行，网关服务和启动参数保持原样。
|
||
|
||
修改`allowed_ips`后保存为有效JSON即可生效，无需重启；建议写入同目录临时文件再原子替换，避免编辑过程中出现半份JSON。文件不存在时仅允许本机，内容损坏时动态接口一律拒绝。更新程序时保留本机配置文件。
|
||
|
||
IP检查先于Token检查。白名单内请求仍需原来的`X-Internal-Token`；`/health`和`/api/v1/debug/*`等原本免Token的路径仍需通过IP检查。静态页可打开不代表该来源可以调用API。
|
||
|
||
验证命令：`./venv/bin/pytest tests/test_ip_access.py -q`，覆盖本机、精确白名单、CIDR、IPv6、转发头伪造、热更新、全接口拦截与网关不受限制。
|