new-api 项目发布两个提交，增加边界检查和饱和运算，防止配额计算中的整数溢出，该溢出可能导致负数扣费。 此修复解决了一个严重的计费漏洞，用户可能通过触发负数扣费来非法获取积分，影响所有使用 new-api 进行计量或计费的部署。这凸显了在财务逻辑中进行严格输入验证的重要性。 该漏洞源于配额计算中对用户可控参数缺少验证；超大数值导致整数溢出后，扣费变为负数。修复引入了上限验证和饱和运算，将结果钳制在最大可表示值，而不是回绕。
背景
整数溢出发生在算术运算超过固定宽度整数可存储的最大值，导致其“回绕”为负数或极小值。在安全场景中，这可能绕过检查并导致意外行为。饱和运算是一种技术，它将结果钳制在范围的极值而不是回绕，从而防止此类漏洞。