- xream2026-09-05
带节奏的人太多了. 一直不喜欢 LINUX DO 这味儿…还是发一下吧…
省流版: Sub-Store 没漏洞, GUI 没安全配置导致的. 新版在这些 GUI 环境中, 默认只允许安全的 CORS allowlist.
如果还想要更安全, 我会建议不要跟某些人一样追着 Sub-Store 不放, 应该压力这些 GUI 默认进行安全配置/放开配置让用户自己进行安全配置.
详细版:
- Sub-Store 本身是有相关的安全配置的. 相关的配置说明中, 已经强调了安全配置的重要性. 也发布过 安全小贴士
- 各种桌面客户端(例如各种 mihomo GUI) 内置 Sub-Store 启动时, 未设置相关安全配置, 导致在本机启动了一个能随意访问的 API
- 2026年9月4日 13:28:21 已经改了一些默认逻辑
2.38.0开始, Node.js 需要设置 CORS allowlistSUB_STORE_CORS_ALLOWED_ORIGINS例如https://sub-store-frontend.a.com或*(不安全)脚本操作、脚本过滤和修改响应必须设置
SUB_STORE_FRONTEND_BACKEND_PATH才能生效；若不想改变当前 path，可设置SUB_STORE_FRONTEND_BACKEND_PATH=/(不安全)虽然我觉得没啥意义…但是被追着不放了
已做一些处理, 应该只影响自建(如果用官方前端 也不用设
SUB_STORE_CORS_ALLOWED_ORIGINS) 和 sionnx/SubCase不影响 xishang0128/sparkle 等客户端 GUI 内置, 模块版 Delusions6515/Sub-Store-Module 这些
主楼 - 唐洛2026-09-05
大佬是 sub-store 的作者吗？
- ℒ𝓊𝓂𝑒𝓃2026-09-05
已经部署在服务器上很久了 感谢作者的开发和及时修复
我的想法是
substore 起初作为苹果一些代理工具的模块，有系统的沙箱机制来兜底
随着影响力扩大（确实好用hh，大伙也逐渐拿去放在docker、win等环境下跑，威胁面于是大不一样了
- saltwore2026-09-05
我是本地用surge模块来跑的
- Darker2026-09-05
- lemos2026-09-05
不用的功能确实应该默认关掉。
- liuqiang2026-09-05
哪位大佬可以告诉我docker部署的，需要修改什么吗？部署2年了一直没换过。。。
- Nec2026-09-05
竟然这里也能看到作者，我几年前当时大学玩免流还是纯看的你的教程
- GMYXDS2026-09-05
活捉大佬，欢迎来L战
- xream2026-09-05
上面发的安全小贴士里都写了
Docker 的话基本就是这几个环境变量:```
你的前端(如果用官方前端 也不用设)
SUB_STORE_CORS_ALLOWED_ORIGINS: "https://sub-store-frontend.a.com"
SUB_STORE_BACKEND_API_HOST: 127.0.0.1
SUB_STORE_BACKEND_API_PORT: 3001
SUB_STORE_BACKEND_MERGE: true
SUB_STORE_FRONTEND_BACKEND_PATH: /cD7wiTGitLyoBdEguAnFWmqCpHKwhLQh4opXfFhFCEpmY9K7YnPgFu9e2iiUoty2 - liuqiang2026-09-05
好的，明天去改一下。谢谢佬！
- David_Colin2026-09-05
今天升级docker镜像之后发现前端页面修改报这个CORS，刚好看到这里，改了下配置把自己部署的域名配进去就可以了，感谢
- 花火花大火2026-09-05
CORS 小问题洒洒水，不过最近发现了一个跟 sub-store 类似的纯 golang 的 GitHub - kuuvahki-labs/sandrone: Self-hosted proxy configuration workbench for aggregating subscriptions, probing nodes, and generating Mihomo, sing-box, and Shadowrocket configs. · GitHub ^-^
- Fernando_Mayert_MD2026-09-06
谢谢大佬，我一直自己搭建的 Sub-Store，非常好用，也没有出现过任何问题