Security-хардening: XSS в никах, non-root контейнер, rate-limiting, спавн-фикс

Клиент: ники других игроков рендерились через innerHTML без экранирования — XSS.
Добавлен escapeHtml() для nickname и в списке игроков комнаты.

Сервер:
- Санитайзинг ника и на бэкенде (обрезка длины, вырезание control/HTML
  символов) — защита не только для этого клиента, но и для любых будущих
  потребителей (логи, другие рендеры).
- onMessage обёрнут в try/catch: payload.value<T>() кидает json::type_error
  на несовпадении типа поля — одно кривое сообщение могло уронить процесс
  со всеми активными играми.
- Лимит на общее число комнат (200) — иначе клиент, спамящий
  lobby.create_room, разгонял rooms_ до исчерпания памяти.
- Fix: одна из раскладок coop-карты клала укрытие поверх стартовой позиции
  игрока — танк рождался внутри кирпича и не мог выехать. Тайл под каждым
  стартовым танком теперь расчищается после построения карты.

Docker: gameserver теперь работает от непривилегированного пользователя,
а не от root.

nginx: rate-limiting на /ws (5 подключений/с на IP, до 20 одновременных) —
защита от флуда соединениями/комнатами; CSP и security-заголовки
(X-Content-Type-Options, X-Frame-Options, Referrer-Policy).

This commit is contained in:

cacto

2026-08-06 14:00:31 +05:00

parent 1fc7af9ba0

commit 35041c7d48

6 changed files with 102 additions and 20 deletions

									
										gameserver/Dockerfile
									
		+3
		-1
	
												View File
												
				@@ -17,7 +17,9 @@ RUN cmake --build build --target gameserver -j"$(nproc)"

				FROM debian:bookworm-slim

				RUN apt-get update && apt-get install -y --no-install-recommends zlib1g \

				    && rm -rf /var/lib/apt/lists/*

				    && rm -rf /var/lib/apt/lists/* \

				    && useradd --system --no-create-home --shell /usr/sbin/nologin gameserver

				COPY --from=build /app/build/gameserver /usr/local/bin/gameserver

				USER gameserver

				EXPOSE 9001

				CMD ["gameserver"]