Merge branch 'dev' into main: Marzban migration

Author: ddddeadispose

index.js

@@ -37,6 +37,8 @@ const subscriptionRoutes = require('./src/routes/subscription');
 const authRoutes = require('./src/routes/auth');
 const panelRoutes = require('./src/routes/panel');
 const mcpRoutes = require('./src/routes/mcp');
+const marzbanCompat = require('./src/routes/marzbanCompat');
+const { subscriptionLimiter, applyRateLimits } = require('./src/utils/rateLimiters');
 
 const helmet = require('helmet');
 const app = express();
@@ -268,40 +270,31 @@ app.post('/api/logout', (req, res) => {
     });
 });
 
-const rateLimitSettings = {
-    subscriptionPerMinute: 100,
-    authPerSecond: 200,
-};
-
-const subscriptionLimiter = rateLimit({
-    windowMs: 60 * 1000,
-    max: () => rateLimitSettings.subscriptionPerMinute,
-    handler: (req, res) => {
-        logger.warn(`[Sub] Rate limit: ${req.ip}`);
-        res.status(429).type('text/plain').send('# Too many requests');
-    },
-});
-
 async function reloadSettings() {
     const Settings = require('./src/models/settingsModel');
     const hwidDeviceService = require('./src/services/hwidDeviceService');
     const settings = await Settings.get();
-    
+
     cacheService.updateTTL(settings);
     hwidDeviceService.updateFromSettings(settings);
-    
-    if (settings.rateLimit) {
-        rateLimitSettings.subscriptionPerMinute = settings.rateLimit.subscriptionPerMinute || 100;
-        rateLimitSettings.authPerSecond = settings.rateLimit.authPerSecond || 200;
-        logger.info(`[Settings] Rate limits: sub=${rateLimitSettings.subscriptionPerMinute}/min`);
-    }
+    applyRateLimits(settings);
+
+    // Marzban compat regex/secret are cached at module scope and must be
+    // rebuilt whenever Settings.migration.marzban changes (path, secret,
+    // enabled flag, salt mode).
+    marzbanCompat.invalidate();
 }
 module.exports = { reloadSettings };
 
 app.use('/api/files', subscriptionLimiter);
 app.use('/api/info', subscriptionLimiter);
 app.use('/api', subscriptionRoutes);
 
+// Marzban legacy-link compatibility — middleware no-ops when disabled in
+// settings. Mounted BEFORE panel/static handlers but AFTER /api so it never
+// shadows real endpoints; in-handler regex further refuses blacklisted paths.
+app.use(marzbanCompat);
+
 app.use('/api/users', requireAuth, usersRoutes);
 app.use('/api/nodes', requireAuth, nodesRoutes);
 app.use('/api/cascade', requireAuth, cascadeRoutes);

src/locales/en.json

@@ -665,11 +665,13 @@
     "tabSecurity": "Security",
     "tabBackup": "Backups",
     "tabMaintenance": "Maintenance",
+    "tabMigration": "Migration",
     "tabSystemDesc": "Performance, caching, rate limits and SSH pool.",
     "tabSubscriptionDesc": "Branding, buttons and client app behavior.",
     "tabSecurityDesc": "Administrator, 2FA, API keys, MCP and webhooks.",
     "tabBackupDesc": "Local and S3 backups, schedule, restore.",
     "tabMaintenanceDesc": "Maintenance tasks, cache, counters and danger zone.",
+    "tabMigrationDesc": "Seamless import from a Marzban panel — old subscription links keep working.",
     "subBrandingTitle": "Page branding",
     "subProfileLinksTitle": "Hiddify profile",
     "sslNotConfigured": "SSL not configured",
@@ -1364,5 +1366,74 @@
     "copyCredentials": "Copy link",
     "retrySetup": "Retry setup",
     "continueManual": "Go to Panel"
+  },
+  "migration": {
+    "armed": "Legacy compatibility is ARMED.",
+    "armedDetail": "Path: {path} · finalized {date} · imported {imported}, skipped {skipped}, errors {errors}",
+    "off": "Legacy compatibility is OFF. Complete the wizard below to import users and arm the compat route.",
+    "disableBtn": "Disable compat",
+    "disableConfirm": "Disable the Marzban compat route? Old links stop resolving until re-enabled.",
+    "step1": "1. Connect",
+    "step2": "2. Configure",
+    "step3": "3. Import",
+    "step4": "4. Finalize",
+    "connectTitle": "Connect to the source Marzban panel",
+    "connectDesc": "Provide the panel URL and the credentials of a sudo (or owning) admin. We never store these — they only live in this browser session until the import finishes.",
+    "marzbanUrl": "Marzban URL",
+    "marzbanUrlHint": "Include the protocol. Trailing slashes are stripped automatically.",
+    "adminUsername": "Admin username",
+    "adminPassword": "Admin password",
+    "testBtn": "Test connection",
+    "testing": "Testing…",
+    "continueBtn": "Continue",
+    "backBtn": "← Back",
+    "marzbanUsers": "Marzban users",
+    "admins": "Admins",
+    "sudoAccess": "Sudo access",
+    "status": "Status",
+    "sudo": "sudo",
+    "limited": "limited",
+    "configureTitle": "Migration options",
+    "configureDesc": "Choose which Celerity ServerGroup each Marzban admin's users land in, set the legacy subscription path, and paste the Marzban JWT secret so old links can be verified.",
+    "pathLabel": "Subscription path (XRAY_SUBSCRIPTION_PATH)",
+    "pathHint": "Must match the source panel's XRAY_SUBSCRIPTION_PATH. Default is sub. Reserved: api, panel, health, sse, docs, public, static.",
+    "acceptSalt": "Accept random URL salt (only if Marzban used XRAY_SUBSCRIPTION_URL_PREFIX with a *).",
+    "jwtSecret": "Marzban JWT secret",
+    "jwtSecretPlaceholder": "64-char hex string from `SELECT secret_key FROM jwt;`",
+    "jwtSecretHint": "The command below runs inside the Marzban container and reads the secret through Marzban's own Python/SQLAlchemy layer. That makes it work with SQLite, MySQL, or any other database configured in the panel. Celerity stores the secret AES-encrypted.",
+    "jwtSecretCommandTitle": "Command to get the JWT secret",
+    "jwtSecretCommandDesc": "Run it on the server where Marzban is running. The command automatically finds the Marzban container by image or name.",
+    "copyCommand": "Copy command",
+    "copied": "Copied",
+    "mappingTitle": "Admin → ServerGroup mapping",
+    "mappingDesc": "Each Marzban admin's users join the chosen Celerity ServerGroup. The dropdown lists active groups only.",
+    "thAdmin": "Marzban admin",
+    "thGroup": "Celerity ServerGroup",
+    "skipUsers": "— skip users of this admin —",
+    "fallbackGroup": "Fallback ServerGroup (for users whose admin is unmapped)",
+    "fallbackNone": "— none —",
+    "onlyActive": "Import only active / on_hold users (recommended).",
+    "importVless": "Re-use Marzban VLESS UUIDs (keeps Xray identity stable for users who already had VLESS).",
+    "startBtn": "Start import",
+    "starting": "Starting…",
+    "runTitle": "Import in progress",
+    "runDesc": "Do not close this page until the import finishes — the task lives in panel memory and a restart will abort progress.",
+    "processed": "processed",
+    "total": "total",
+    "imported": "imported",
+    "skipped": "skipped",
+    "errors": "errors",
+    "conflicts": "conflicts",
+    "finalizeTitle": "Activate legacy compatibility",
+    "finalizeDesc": "Imported users are already in Celerity. The last step enables the /{path}/{token} route so old subscription links keep working.",
+    "conflictsTitle": "Conflicts (manual review)",
+    "thReason": "Reason",
+    "activateBtn": "Activate compat route",
+    "activating": "Activating…",
+    "editOptions": "← Edit options",
+    "startFailed": "Start failed: {error}",
+    "activateFailed": "Activation failed: {error}",
+    "activateSuccess": "Compat route armed. Old links should resolve now.",
+    "disableFailed": "Failed: {error}"
   }
 }

src/locales/ru.json

@@ -665,11 +665,13 @@
     "tabSecurity": "Безопасность",
     "tabBackup": "Бэкапы",
     "tabMaintenance": "Обслуживание",
+    "tabMigration": "Миграция",
     "tabSystemDesc": "Производительность, кэш, лимиты и SSH-пул.",
     "tabSubscriptionDesc": "Внешний вид, кнопки и поведение клиентских приложений.",
     "tabSecurityDesc": "Администратор, 2FA, API-ключи, MCP и вебхуки.",
     "tabBackupDesc": "Локальные и S3 бэкапы, расписание, восстановление.",
     "tabMaintenanceDesc": "Обслуживание, кэш, сброс счётчиков и опасные операции.",
+    "tabMigrationDesc": "Бесшовный импорт пользователей из Marzban — старые подписочные ссылки продолжают работать.",
     "subBrandingTitle": "Брендинг страницы",
     "subProfileLinksTitle": "Профиль Hiddify",
     "sslNotConfigured": "SSL не настроен",
@@ -1364,5 +1366,74 @@
     "copyCredentials": "Скопировать ссылку",
     "retrySetup": "Повторить настройку",
     "continueManual": "Перейти в панель"
+  },
+  "migration": {
+    "armed": "Совместимость со старыми ссылками ВКЛЮЧЕНА.",
+    "armedDetail": "Путь: {path} · завершено {date} · импортировано {imported}, пропущено {skipped}, ошибок {errors}",
+    "off": "Совместимость со старыми ссылками ВЫКЛЮЧЕНА. Пройдите мастер ниже, чтобы импортировать пользователей и активировать маршрут.",
+    "disableBtn": "Отключить совместимость",
+    "disableConfirm": "Отключить маршрут совместимости с Marzban? Старые ссылки перестанут открываться до повторного включения.",
+    "step1": "1. Подключение",
+    "step2": "2. Параметры",
+    "step3": "3. Импорт",
+    "step4": "4. Завершение",
+    "connectTitle": "Подключение к исходной панели Marzban",
+    "connectDesc": "Укажите URL панели и учётные данные sudo-администратора (или владельца). Данные не сохраняются — они хранятся только в этой сессии браузера до завершения импорта.",
+    "marzbanUrl": "URL Marzban",
+    "marzbanUrlHint": "Указывайте с протоколом. Завершающие слэши срезаются автоматически.",
+    "adminUsername": "Логин администратора",
+    "adminPassword": "Пароль администратора",
+    "testBtn": "Проверить подключение",
+    "testing": "Проверка…",
+    "continueBtn": "Продолжить",
+    "backBtn": "← Назад",
+    "marzbanUsers": "Пользователей в Marzban",
+    "admins": "Администраторов",
+    "sudoAccess": "Доступ sudo",
+    "status": "Статус",
+    "sudo": "sudo",
+    "limited": "ограниченный",
+    "configureTitle": "Параметры миграции",
+    "configureDesc": "Выберите, в какую группу серверов Celerity попадут пользователи каждого администратора Marzban, задайте путь подписки и вставьте JWT-секрет Marzban — он нужен для проверки старых ссылок.",
+    "pathLabel": "Путь подписки (XRAY_SUBSCRIPTION_PATH)",
+    "pathHint": "Должен совпадать с XRAY_SUBSCRIPTION_PATH исходной панели. По умолчанию sub. Зарезервировано: api, panel, health, sse, docs, public, static.",
+    "acceptSalt": "Принимать случайный URL-salt (только если в Marzban был задан XRAY_SUBSCRIPTION_URL_PREFIX с *).",
+    "jwtSecret": "JWT-секрет Marzban",
+    "jwtSecretPlaceholder": "64-символьная hex-строка из `SELECT secret_key FROM jwt;`",
+    "jwtSecretHint": "Команда ниже запускается внутри контейнера Marzban и читает секрет через родной Python/SQLAlchemy Marzban. Поэтому она работает с SQLite, MySQL и любой другой БД, настроенной в панели. В Celerity секрет хранится в AES-шифровании.",
+    "jwtSecretCommandTitle": "Команда для получения JWT-секрета",
+    "jwtSecretCommandDesc": "Выполните на сервере, где запущен Marzban. Команда автоматически найдёт контейнер Marzban по образу или имени.",
+    "copyCommand": "Скопировать команду",
+    "copied": "Скопировано",
+    "mappingTitle": "Сопоставление: администратор → группа серверов",
+    "mappingDesc": "Пользователи каждого администратора Marzban попадут в выбранную группу серверов Celerity. В списке только активные группы.",
+    "thAdmin": "Администратор Marzban",
+    "thGroup": "Группа серверов Celerity",
+    "skipUsers": "— пропустить пользователей этого администратора —",
+    "fallbackGroup": "Группа по умолчанию (для пользователей без сопоставленного администратора)",
+    "fallbackNone": "— нет —",
+    "onlyActive": "Импортировать только active / on_hold пользователей (рекомендуется).",
+    "importVless": "Переиспользовать UUID VLESS из Marzban (Xray-идентичность остаётся стабильной для тех, у кого уже был VLESS).",
+    "startBtn": "Запустить импорт",
+    "starting": "Запуск…",
+    "runTitle": "Идёт импорт",
+    "runDesc": "Не закрывайте страницу до завершения импорта — задача живёт в памяти панели, перезапуск прервёт прогресс.",
+    "processed": "обработано",
+    "total": "всего",
+    "imported": "импортировано",
+    "skipped": "пропущено",
+    "errors": "ошибок",
+    "conflicts": "конфликтов",
+    "finalizeTitle": "Активация совместимости",
+    "finalizeDesc": "Пользователи уже в Celerity. Последний шаг включает маршрут /{path}/{token}, чтобы старые подписочные ссылки продолжали работать.",
+    "conflictsTitle": "Конфликты (требуют ручной проверки)",
+    "thReason": "Причина",
+    "activateBtn": "Активировать маршрут",
+    "activating": "Активация…",
+    "editOptions": "← Изменить параметры",
+    "startFailed": "Не удалось запустить: {error}",
+    "activateFailed": "Не удалось активировать: {error}",
+    "activateSuccess": "Маршрут совместимости включён. Старые ссылки уже должны открываться.",
+    "disableFailed": "Ошибка: {error}"
   }
 }

src/models/settingsModel.js

@@ -143,7 +143,31 @@ const settingsSchema = new mongoose.Schema({
             remote:   { type: String, default: 'tls://1.1.1.1' },
         },
     },
-    
+
+    // Marzban legacy-link compatibility. When `enabled` is true the compat
+    // middleware accepts incoming requests at /{path}/{token} (or /{salt}/{path}/{token}
+    // when urlSalt is set), verifies the HMAC against jwtSecretEncrypted, and
+    // delegates to the regular subscription pipeline. Stays inert until the
+    // migration wizard finalizes — `enabled:false` is the safe default.
+    migration: {
+        marzban: {
+            enabled:            { type: Boolean, default: false },
+            path:               { type: String,  default: 'sub' },
+            jwtSecretEncrypted: { type: String,  default: '' },
+            // True if the source Marzban panel used XRAY_SUBSCRIPTION_URL_PREFIX
+            // with a `*` placeholder — published URLs then look like
+            // `https://host/<salt>/sub/<token>`. The salt segment is random per
+            // user/link, so the compat regex only checks its shape, not value.
+            acceptUrlSalt:      { type: Boolean, default: false },
+            completedAt:        { type: Date,    default: null },
+            stats: {
+                imported: { type: Number, default: 0 },
+                skipped:  { type: Number, default: 0 },
+                errors:   { type: Number, default: 0 },
+            },
+        },
+    },
+
 }, { timestamps: true });
 
 settingsSchema.statics.get = async function() {