From 30aa89f68625732c4674e8ce881843efc0d439bb Mon Sep 17 00:00:00 2001
From: ryan <ryan@arctel.net>
Date: Sat, 13 Jun 2026 10:31:47 +0800
Subject: [PATCH] chore(release): v1.0.2
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

### 🛠 修复
- 修复了修改密码时不会吊销现有会话和访问 Token 的问题，确保密码更改后，所有其它客户端会话和 Access Token 立即失效，防范被盗凭据的持续利用。
- 修复了 WebSocket 连接未校验 Origin 的问题，引入严格的 Origin 允许列表校验，防范跨源 WebSocket 劫持攻击 (CSWSH)。
- 修复了未配置服务地址时 CORS 中间件原样反射 Origin 的问题，严格限制允许跨域访问的源为精确配置的 Origin 列表，增强跨域请求安全性。
- 修复了已认证用户可以通过上传记录 ID 直接越权读取其他用户私有文件的问题，引入了基于文件所有权及权限模式的严格访问控制。
- 修复了 OIDC 策略强制执行不严以及未登录用户能够触发自动绑定导致账户接管的问题，增强了 OAuth 绑定过程中的策略校验。
- 修复了 OAuth 流程中 State 校验不严的问题，在 Session 中强制绑定 State 并在回调时进行一致性验证，防止 CSRF 和账号接管攻击。
- 修复了登录或认证重定向时未对 URL 目标域进行限制的问题，实现了重定向目标 URL 的安全净化与源校验，防范开放重定向与反射型 XSS 漏洞。