feat: 非 Node 环境默认 cors 增加 substore.stash

Author: xream

README.md

@@ -51,7 +51,7 @@ sub.store = 127.0.0.1
 Sub-Store also supports a configurable browser CORS allowlist for the backend API. This does not change the module rewrite domain, but it limits which browser origins can read API responses through CORS.
 
 - Node/server deployments use `SUB_STORE_CORS_ALLOWED_ORIGINS`; the default is `*` for compatibility.
-- Proxy App modules use the `cors` module argument; the default is `https://sub-store.vercel.app`.
+- Proxy App modules use the `cors` module argument; the default is `https://sub-store.vercel.app,http://substore.stash,https://substore.stash`.
 - Multiple origins can be separated by commas. Origins are matched exactly by scheme, host, and port. Set the value to `*` only when you accept the risk of any website reading the local backend through browser CORS.
 
 ## Core functionalities:

backend/package.json

@@ -1,6 +1,6 @@
 {
   "name": "sub-store",
-  "version": "2.24.13",
+  "version": "2.24.14",
   "description": "Advanced Subscription Manager for QX, Loon, Surge, Stash and Shadowrocket.",
   "main": "src/main.js",
   "packageManager": "pnpm@11.0.9",

backend/src/test/config/cors-module-config.spec.js

@@ -6,14 +6,15 @@ import { describe, it } from 'mocha';
 
 import { load } from '@/utils/yaml';
 
-const DEFAULT_ORIGIN = 'https://sub-store.vercel.app';
+const DEFAULT_ORIGINS =
+    'https://sub-store.vercel.app,http://substore.stash,https://substore.stash';
 
 describe('module CORS allowlist config', function () {
     it('adds the default CORS argument to Surge modules', function () {
         for (const filename of ['Surge.sgmodule', 'Surge-Beta.sgmodule']) {
             const content = readConfig(filename);
 
-            expect(content).to.include(`cors:"${DEFAULT_ORIGIN}"`);
+            expect(content).to.include(`cors:"${DEFAULT_ORIGINS}"`);
             expect(content).to.include('argument="cors={{{cors}}}"');
             expect(
                 content.match(/argument="cors=\{\{\{cors\}\}\}"/g),
@@ -27,7 +28,7 @@ describe('module CORS allowlist config', function () {
             .map((item) => item.http_request)
             .filter(Boolean);
 
-        expect(config.compat_arguments.cors).to.equal(DEFAULT_ORIGIN);
+        expect(config.compat_arguments.cors).to.equal(DEFAULT_ORIGINS);
         expect(config.compat_arguments_desc).to.include('1️⃣1️⃣ cors');
         expect(httpRequests).to.have.length(2);
         for (const script of httpRequests) {

backend/src/test/utils/cors.spec.js

@@ -47,15 +47,21 @@ describe('CORS allowlist policy', function () {
         );
     });
 
-    it('defaults non-Node environments to the official frontend origin', function () {
+    it('defaults non-Node environments to bundled frontend origins', function () {
         const policy = resolveCorsPolicy({ isNode: false });
 
         expect(policy).to.deep.include({
             wildcard: false,
             source: 'default:non-node',
             value: NON_NODE_CORS_DEFAULT,
         });
-        expect(isOriginAllowed(policy, NON_NODE_CORS_DEFAULT)).to.equal(true);
+        expect(
+            isOriginAllowed(policy, 'https://sub-store.vercel.app'),
+        ).to.equal(true);
+        expect(isOriginAllowed(policy, 'http://substore.stash')).to.equal(true);
+        expect(isOriginAllowed(policy, 'https://substore.stash')).to.equal(
+            true,
+        );
         expect(isOriginAllowed(policy, 'https://evil.example')).to.equal(
             false,
         );
@@ -143,9 +149,15 @@ describe('CORS allowlist policy', function () {
             source: 'default:non-node',
             value: NON_NODE_CORS_DEFAULT,
         });
-        expect(isOriginAllowed(nonNodePolicy, NON_NODE_CORS_DEFAULT)).to.equal(
+        expect(
+            isOriginAllowed(nonNodePolicy, 'https://sub-store.vercel.app'),
+        ).to.equal(true);
+        expect(isOriginAllowed(nonNodePolicy, 'http://substore.stash')).to.equal(
             true,
         );
+        expect(
+            isOriginAllowed(nonNodePolicy, 'https://substore.stash'),
+        ).to.equal(true);
     });
 
     it('returns concrete CORS headers for allowed non-wildcard origins', function () {

backend/src/utils/cors.js

@@ -3,7 +3,8 @@
 export const NODE_CORS_ALLOWED_ORIGINS_ENV =
     'SUB_STORE_CORS_ALLOWED_ORIGINS';
 export const NODE_CORS_DEFAULT = '*';
-export const NON_NODE_CORS_DEFAULT = 'https://sub-store.vercel.app';
+export const NON_NODE_CORS_DEFAULT =
+    'https://sub-store.vercel.app,http://substore.stash,https://substore.stash';
 export const CORS_ARGUMENT_KEY = 'cors';
 
 const WILDCARD_ORIGIN = '*';

config/Egern.yaml

@@ -12,8 +12,8 @@ compat_arguments:
   sync_success_notify: true
   produce_sub: "sub1,sub2"
   produce_col: "col1,col2"
-  cors: "https://sub-store.vercel.app"
-compat_arguments_desc: '\n1️⃣ ability\n\n默认已开启测落地能力\n需要配合脚本操作\n如 https://raw.githubusercontent.com/Keywos/rule/main/cname.js\n填写任意其他值关闭\n\n2️⃣ cronexp\n\n同步配置定时任务\n默认为每天 23 点 55 分\n\n定时任务指定时将订阅/文件上传到私有 Gist. 在前端, 叫做 ''同步'' 或 ''同步配置''\n\n3️⃣ sync\n\n自定义定时任务名\n便于在脚本编辑器中选择\n若设为 # 可取消定时任务\n\n4️⃣ timeout\n\n脚本超时, 单位为秒\n\n5️⃣ engine\n\n默认为自动使用 webview 引擎, 可设为指定 jsc, 但 jsc 容易爆内存\n\n6️⃣ produce\n\n自定义处理订阅的定时任务名\n一般用于定时处理耗时较长的订阅, 以更新缓存\n这样 Surge 中拉取的时候就能用到缓存, 不至于总是超时\n若设为 # 可取消此定时任务\n默认不开启\n\n7️⃣ produce_cronexp\n\n配置处理订阅的定时任务\n\n默认为每 6 小时\n\n8️⃣ sync_success_notify\n\n同步配置全部成功时是否发送完成通知\n默认为 true, 填 false/0/no/off 可关闭\n\n9️⃣ produce_sub\n\n自定义需定时处理的单条订阅名\n多个用 , 连接\n\n🔟 produce_col\n\n自定义需定时处理的组合订阅名\n多个用 , 连接\n\n1️⃣1️⃣ cors\n\n允许浏览器跨域访问 Sub-Store 后端的 origin. 默认为 https://sub-store.vercel.app. 多个用 , 连接. 设为 * 可恢复旧的任意来源访问行为, 存在钓鱼网站读取配置的风险\n\n⚠️ 注意: 是 名称(name) 不是 显示名称(displayName)\n如果名称需要编码, 请编码后再用 , 连接\n顺序: 并发执行单条订阅, 然后并发执行组合订阅'
+  cors: "https://sub-store.vercel.app,http://substore.stash,https://substore.stash"
+compat_arguments_desc: '\n1️⃣ ability\n\n默认已开启测落地能力\n需要配合脚本操作\n如 https://raw.githubusercontent.com/Keywos/rule/main/cname.js\n填写任意其他值关闭\n\n2️⃣ cronexp\n\n同步配置定时任务\n默认为每天 23 点 55 分\n\n定时任务指定时将订阅/文件上传到私有 Gist. 在前端, 叫做 ''同步'' 或 ''同步配置''\n\n3️⃣ sync\n\n自定义定时任务名\n便于在脚本编辑器中选择\n若设为 # 可取消定时任务\n\n4️⃣ timeout\n\n脚本超时, 单位为秒\n\n5️⃣ engine\n\n默认为自动使用 webview 引擎, 可设为指定 jsc, 但 jsc 容易爆内存\n\n6️⃣ produce\n\n自定义处理订阅的定时任务名\n一般用于定时处理耗时较长的订阅, 以更新缓存\n这样 Surge 中拉取的时候就能用到缓存, 不至于总是超时\n若设为 # 可取消此定时任务\n默认不开启\n\n7️⃣ produce_cronexp\n\n配置处理订阅的定时任务\n\n默认为每 6 小时\n\n8️⃣ sync_success_notify\n\n同步配置全部成功时是否发送完成通知\n默认为 true, 填 false/0/no/off 可关闭\n\n9️⃣ produce_sub\n\n自定义需定时处理的单条订阅名\n多个用 , 连接\n\n🔟 produce_col\n\n自定义需定时处理的组合订阅名\n多个用 , 连接\n\n1️⃣1️⃣ cors\n\n允许浏览器跨域访问 Sub-Store 后端的 origin. 默认为 https://sub-store.vercel.app,http://substore.stash,https://substore.stash. 多个用 , 连接. 设为 * 可恢复旧的任意来源访问行为, 存在钓鱼网站读取配置的风险\n\n⚠️ 注意: 是 名称(name) 不是 显示名称(displayName)\n如果名称需要编码, 请编码后再用 , 连接\n顺序: 并发执行单条订阅, 然后并发执行组合订阅'
 scriptings:
   - http_request:
       name: Sub-Store Core

config/Loon.plugin

@@ -8,7 +8,7 @@
 [Argument]
 cron=input, "55 23 * * *", tag=定时参数, desc=这里需要输入符合CRON表达式的参数
 sync_success_notify=switch, true, tag=同步成功通知, desc=同步配置全部成功时是否发送完成通知
-cors=input, "https://sub-store.vercel.app", tag=CORS允许来源, desc=允许浏览器跨域访问 Sub-Store 后端的 origin. 多个用 , 连接. 设为 * 可恢复旧行为
+cors=input, "https://sub-store.vercel.app,http://substore.stash,https://substore.stash", tag=CORS允许来源, desc=允许浏览器跨域访问 Sub-Store 后端的 origin. 多个用 , 连接. 设为 * 可恢复旧行为
 
 [Rule]
 DOMAIN,sub-store.vercel.app,PROXY

config/README.md

@@ -22,7 +22,7 @@ Node/服务器/Docker/Android 版可以通过环境变量 `SUB_STORE_CORS_ALLOWE
 SUB_STORE_CORS_ALLOWED_ORIGINS=https://sub-store.vercel.app,http://127.0.0.1:8888
 ```
 
-支持参数配置的 App 模块使用 `cors` 参数设置, 默认值为 `https://sub-store.vercel.app`。如果需要使用本地前端 `http://127.0.0.1:8888?api=http://127.0.0.1:3001/123` 测试代理 App 后端, 需要把模块里的 `cors` 改成 `https://sub-store.vercel.app,http://127.0.0.1:8888`。设为 `*` 可恢复旧的任意来源访问行为, 但任意网站都可能通过浏览器 CORS 读取本机 Sub-Store 后端响应, 不建议长期使用。
+支持参数配置的 App 模块使用 `cors` 参数设置, 默认值为 `https://sub-store.vercel.app,http://substore.stash,https://substore.stash`。如果需要使用本地前端 `http://127.0.0.1:8888?api=http://127.0.0.1:3001/123` 测试代理 App 后端, 需要把模块里的 `cors` 改成 `https://sub-store.vercel.app,http://substore.stash,https://substore.stash,http://127.0.0.1:8888`。设为 `*` 可恢复旧的任意来源访问行为, 但任意网站都可能通过浏览器 CORS 读取本机 Sub-Store 后端响应, 不建议长期使用。
 
 ### 1. Loon
 

config/Surge-Beta.sgmodule

@@ -1,8 +1,8 @@
 #!name=Sub-Store(β)
 #!desc=支持 Surge 正式版的参数设置功能. 测落地功能 ability: http-client-policy, 同步配置的定时 cronexp: 55 23 * * *
 #!category=订阅管理
-#!arguments=ability:http-client-policy,cronexp:55 23 * * *,sync:"Sub-Store Sync",timeout:120,engine:auto,produce:"# Sub-Store Produce",produce_cronexp:50 */6 * * *,sync_success_notify:true,produce_sub:"sub1,sub2",produce_col:"col1,col2",max_size:-1,cors:"https://sub-store.vercel.app"
-#!arguments-desc=\n1️⃣ ability\n\n默认已开启测落地能力\n需要配合脚本操作\n如 https://raw.githubusercontent.com/Keywos/rule/main/cname.js\n填写任意其他值关闭\n\n2️⃣ cronexp\n\n同步配置定时任务\n默认为每天 23 点 55 分\n\n定时任务指定时将订阅/文件上传到私有 Gist. 在前端, 叫做 '同步' 或 '同步配置'\n\n3️⃣ sync\n\n自定义定时任务名\n便于在脚本编辑器中选择\n若设为 # 可取消定时任务\n\n4️⃣ timeout\n\n脚本超时, 单位为秒\n\n5️⃣ engine\n\n默认为自动使用 webview 引擎, 可设为指定 jsc, 但 jsc 容易爆内存\n\n6️⃣ produce\n\n自定义处理订阅的定时任务名\n一般用于定时处理耗时较长的订阅, 以更新缓存\n这样 Surge 中拉取的时候就能用到缓存, 不至于总是超时\n若设为 # 可取消此定时任务\n默认不开启\n\n7️⃣ produce_cronexp\n\n配置处理订阅的定时任务\n\n默认为每 6 小时\n\n8️⃣ sync_success_notify\n\n同步配置全部成功时是否发送完成通知\n默认为 true, 填 false/0/no/off 可关闭\n\n9️⃣ produce_sub\n\n自定义需定时处理的单条订阅名\n多个用 , 连接\n\n🔟 produce_col\n\n自定义需定时处理的组合订阅名\n多个用 , 连接\n\n1️⃣1️⃣ cors\n\n允许浏览器跨域访问 Sub-Store 后端的 origin. 默认为 https://sub-store.vercel.app. 多个用 , 连接. 设为 * 可恢复旧的任意来源访问行为, 存在钓鱼网站读取配置的风险\n\n⚠️ 注意: 是 名称(name) 不是 显示名称(displayName)\n如果名称需要编码, 请编码后再用 , 连接\n顺序: 并发执行单条订阅, 然后并发执行组合订阅
+#!arguments=ability:http-client-policy,cronexp:55 23 * * *,sync:"Sub-Store Sync",timeout:120,engine:auto,produce:"# Sub-Store Produce",produce_cronexp:50 */6 * * *,sync_success_notify:true,produce_sub:"sub1,sub2",produce_col:"col1,col2",max_size:-1,cors:"https://sub-store.vercel.app,http://substore.stash,https://substore.stash"
+#!arguments-desc=\n1️⃣ ability\n\n默认已开启测落地能力\n需要配合脚本操作\n如 https://raw.githubusercontent.com/Keywos/rule/main/cname.js\n填写任意其他值关闭\n\n2️⃣ cronexp\n\n同步配置定时任务\n默认为每天 23 点 55 分\n\n定时任务指定时将订阅/文件上传到私有 Gist. 在前端, 叫做 '同步' 或 '同步配置'\n\n3️⃣ sync\n\n自定义定时任务名\n便于在脚本编辑器中选择\n若设为 # 可取消定时任务\n\n4️⃣ timeout\n\n脚本超时, 单位为秒\n\n5️⃣ engine\n\n默认为自动使用 webview 引擎, 可设为指定 jsc, 但 jsc 容易爆内存\n\n6️⃣ produce\n\n自定义处理订阅的定时任务名\n一般用于定时处理耗时较长的订阅, 以更新缓存\n这样 Surge 中拉取的时候就能用到缓存, 不至于总是超时\n若设为 # 可取消此定时任务\n默认不开启\n\n7️⃣ produce_cronexp\n\n配置处理订阅的定时任务\n\n默认为每 6 小时\n\n8️⃣ sync_success_notify\n\n同步配置全部成功时是否发送完成通知\n默认为 true, 填 false/0/no/off 可关闭\n\n9️⃣ produce_sub\n\n自定义需定时处理的单条订阅名\n多个用 , 连接\n\n🔟 produce_col\n\n自定义需定时处理的组合订阅名\n多个用 , 连接\n\n1️⃣1️⃣ cors\n\n允许浏览器跨域访问 Sub-Store 后端的 origin. 默认为 https://sub-store.vercel.app,http://substore.stash,https://substore.stash. 多个用 , 连接. 设为 * 可恢复旧的任意来源访问行为, 存在钓鱼网站读取配置的风险\n\n⚠️ 注意: 是 名称(name) 不是 显示名称(displayName)\n如果名称需要编码, 请编码后再用 , 连接\n顺序: 并发执行单条订阅, 然后并发执行组合订阅
 
 [MITM]
 hostname = %APPEND% sub.store

config/Surge.sgmodule

@@ -1,8 +1,8 @@
 #!name=Sub-Store
 #!desc=支持 Surge 正式版的参数设置功能. 测落地功能 ability: http-client-policy, 同步配置的定时 cronexp: 55 23 * * *
 #!category=订阅管理
-#!arguments=ability:http-client-policy,cronexp:55 23 * * *,sync:"Sub-Store Sync",timeout:120,engine:auto,produce:"# Sub-Store Produce",produce_cronexp:50 */6 * * *,sync_success_notify:true,produce_sub:"sub1,sub2",produce_col:"col1,col2",max_size:-1,cors:"https://sub-store.vercel.app"
-#!arguments-desc=\n1️⃣ ability\n\n默认已开启测落地能力\n需要配合脚本操作\n如 https://raw.githubusercontent.com/Keywos/rule/main/cname.js\n填写任意其他值关闭\n\n2️⃣ cronexp\n\n同步配置定时任务\n默认为每天 23 点 55 分\n\n定时任务指定时将订阅/文件上传到私有 Gist. 在前端, 叫做 '同步' 或 '同步配置'\n\n3️⃣ sync\n\n自定义定时任务名\n便于在脚本编辑器中选择\n若设为 # 可取消定时任务\n\n4️⃣ timeout\n\n脚本超时, 单位为秒\n\n5️⃣ engine\n\n默认为自动使用 webview 引擎, 可设为指定 jsc, 但 jsc 容易爆内存\n\n6️⃣ produce\n\n自定义处理订阅的定时任务名\n一般用于定时处理耗时较长的订阅, 以更新缓存\n这样 Surge 中拉取的时候就能用到缓存, 不至于总是超时\n若设为 # 可取消此定时任务\n默认不开启\n\n7️⃣ produce_cronexp\n\n配置处理订阅的定时任务\n\n默认为每 6 小时\n\n8️⃣ sync_success_notify\n\n同步配置全部成功时是否发送完成通知\n默认为 true, 填 false/0/no/off 可关闭\n\n9️⃣ produce_sub\n\n自定义需定时处理的单条订阅名\n多个用 , 连接\n\n🔟 produce_col\n\n自定义需定时处理的组合订阅名\n多个用 , 连接\n\n1️⃣1️⃣ cors\n\n允许浏览器跨域访问 Sub-Store 后端的 origin. 默认为 https://sub-store.vercel.app. 多个用 , 连接. 设为 * 可恢复旧的任意来源访问行为, 存在钓鱼网站读取配置的风险\n\n⚠️ 注意: 是 名称(name) 不是 显示名称(displayName)\n如果名称需要编码, 请编码后再用 , 连接\n顺序: 并发执行单条订阅, 然后并发执行组合订阅
+#!arguments=ability:http-client-policy,cronexp:55 23 * * *,sync:"Sub-Store Sync",timeout:120,engine:auto,produce:"# Sub-Store Produce",produce_cronexp:50 */6 * * *,sync_success_notify:true,produce_sub:"sub1,sub2",produce_col:"col1,col2",max_size:-1,cors:"https://sub-store.vercel.app,http://substore.stash,https://substore.stash"
+#!arguments-desc=\n1️⃣ ability\n\n默认已开启测落地能力\n需要配合脚本操作\n如 https://raw.githubusercontent.com/Keywos/rule/main/cname.js\n填写任意其他值关闭\n\n2️⃣ cronexp\n\n同步配置定时任务\n默认为每天 23 点 55 分\n\n定时任务指定时将订阅/文件上传到私有 Gist. 在前端, 叫做 '同步' 或 '同步配置'\n\n3️⃣ sync\n\n自定义定时任务名\n便于在脚本编辑器中选择\n若设为 # 可取消定时任务\n\n4️⃣ timeout\n\n脚本超时, 单位为秒\n\n5️⃣ engine\n\n默认为自动使用 webview 引擎, 可设为指定 jsc, 但 jsc 容易爆内存\n\n6️⃣ produce\n\n自定义处理订阅的定时任务名\n一般用于定时处理耗时较长的订阅, 以更新缓存\n这样 Surge 中拉取的时候就能用到缓存, 不至于总是超时\n若设为 # 可取消此定时任务\n默认不开启\n\n7️⃣ produce_cronexp\n\n配置处理订阅的定时任务\n\n默认为每 6 小时\n\n8️⃣ sync_success_notify\n\n同步配置全部成功时是否发送完成通知\n默认为 true, 填 false/0/no/off 可关闭\n\n9️⃣ produce_sub\n\n自定义需定时处理的单条订阅名\n多个用 , 连接\n\n🔟 produce_col\n\n自定义需定时处理的组合订阅名\n多个用 , 连接\n\n1️⃣1️⃣ cors\n\n允许浏览器跨域访问 Sub-Store 后端的 origin. 默认为 https://sub-store.vercel.app,http://substore.stash,https://substore.stash. 多个用 , 连接. 设为 * 可恢复旧的任意来源访问行为, 存在钓鱼网站读取配置的风险\n\n⚠️ 注意: 是 名称(name) 不是 显示名称(displayName)\n如果名称需要编码, 请编码后再用 , 连接\n顺序: 并发执行单条订阅, 然后并发执行组合订阅
 
 [MITM]
 hostname = %APPEND% sub.store