Obsidian

细雨初晴

new-api 第三方登录配置 (OAuth Social Login Setup)

目标给 new-api 站点开社交登录（GitHub / LinuxDO / Discord / Telegram / 微信 / OIDC / 自定义 OAuth）。原理new-api 自带所有 provider 的实现，不需要插件。开一个 provider 只需三步：① 去对方平台注册应用拿 Client ID + Secret ② 把值写进 options 表 ③ 打开 XxxOAuthEna

Obsidian

细雨初晴

POI 标签混入位置信息污染分类判据 (Location Tags Polluting POI Rule Judgment)

触发条件分类判据把多个字段拼成一个 haystack 一起做关键词匹配，例如 name + type + tags。上游 POI 数据是抓取的（高德 / 百度抓取），而非人工录入。上游会把 POI 所在的建筑自动挂进 tags 字段。判据里有关键词属于「场所名 / 建筑名」而不是「业态名」——例如「食堂」「广场」「图书馆」。症状判据在数据的一部分上表现正常、另一部分反常，规则本身没有明显漏洞。具体

Obsidian

细雨初晴

new-api 前端定制与重编译部署 (Frontend Customization and Rebuild Deploy)

目标在 new-api 面板加按钮/改 UI（前端嵌在 Go 二进制里，改源码后必须重新编译整体二进制），并安全替换线上服务。前置：资产库与构建工作区资产库 C:\Users\18086\.workspace\git program\new-api 是已定制的 new-api 工作树（6767 API 品牌：common/constants.go SystemName、web/src/lib/co

Obsidian

细雨初晴

new-api 批量注册刷号排查与处置 (Investigating Bulk Fake Registrations)

场景自建 new-api 站点开放注册赠送额度（QuotaForNewUser）后，被脚本批量注册账号、白拿额度并转卖或自用。站点同时暴露在公网，攻击者可能绕过 nginx 直打应用端口。症状用户数在一天内异常增长（本例一天 +177）用户名呈现明显的机器生成特征：英文名 + 英文姓 + 数字（DonaldWatson2004、RussellOrtiz161）这些账号的注册时间间隔高度规律（本例每

Obsidian

细雨初晴

new-api 邮箱注册与 SMTP 配置 (Email Registration and SMTP Setup)

目标new-api 的「邮箱验证」(Email Verification) 开启后，用户注册必须先收到一封验证码邮件。本篇记录它如何工作、如何配置发信、以及几个会让人误判的坑。机制：new-api 自带发信，但邮箱要你自己给new-api 自带完整的发信实现，不需要装插件、不需要额外脚本：发信代码：common/email.go 的 SendEmail(subject, receiver, con