maya/Rainytoken
1
0
Fork 0
Code Issues 4 Pull Requests Actions 38 Packages Projects Releases 28 Wiki Activity

🟠 [安全] 自更新链路走明文 HTTP（update.json apkUrl） #5

New Issue
Open
opened 2026-10-10 02:27:54 +08:00 by maya · 0 comments
maya commented 2026-10-10 02:27:54 +08:00
Owner
Copy Link

位置：update.json → apkUrl: http://124.222.97.212:8443/attachments/...；app/src/main/res/xml/network_security_config.xml 为此放行 124.222.97.212 明文。

风险：更新包经公网明文传输，可被中间人替换 APK。Android 签名校验是最后防线，但这属于单点薄弱——若用户侧被劫持并习惯"允许未知来源+覆盖安装"，风险成立。

建议：

  1. apkUrl 改为 https://gitea.xxcsn.site/...（域名 + certbot 自动续期已就绪）
  2. 改完删除 network_security_config.xml 中 IP 明文放行，恢复全网禁明文

改动量：约 10 分钟，价值最高。

**位置**：`update.json` → `apkUrl: http://124.222.97.212:8443/attachments/...`；`app/src/main/res/xml/network_security_config.xml` 为此放行 `124.222.97.212` 明文。 **风险**：更新包经公网明文传输，可被中间人替换 APK。Android 签名校验是最后防线，但这属于单点薄弱——若用户侧被劫持并习惯"允许未知来源+覆盖安装"，风险成立。 **建议**： 1. `apkUrl` 改为 `https://gitea.xxcsn.site/...`（域名 + certbot 自动续期已就绪） 2. 改完删除 network_security_config.xml 中 IP 明文放行，恢复全网禁明文 改动量：约 10 分钟，价值最高。
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
No items
No Label
Milestone
Clear milestone
No items
No Milestone
Projects
Clear projects
No project
Assignees
Clear assignees
No Assignees
1 Participants
Notifications
Due Date
The due date is invalid or out of range. Please use the format 'yyyy-mm-dd'.

No due date set.

Dependencies

No dependencies set.

Reference: maya/Rainytoken#5
No description provided.
Delete Branch "%!s()"

Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?