書籤目錄導航站(自架版)

Engineering & Development

把書籤變成自架的目錄 / 導航網站:compose 起 app 與 PostgreSQL 兩個容器,首頁預載一組示範書籤,登入後台可匯入自己的書籤 JSON;附繁中快速開始與疑難排解。MIT 授權開源專案的衍生加工版。

訂閱並下載查看啟動方式

訂閱US$49 每月

最近實跑2026-11-02

實際使用

開箱可用度4 / 5

你需要準備

修改工作量少5 / 5

適合誰

想架自己的目錄 / 導航 / 名錄站的人:個人工具導航頁、團隊內部書籤入口、垂直領域資源名錄。賣點是「解壓縮、兩個指令、開瀏覽器」的自架體驗:集合 / 資料夾 / 卡片檢視在後台管理、資料庫跑在買家自己機器上的 PostgreSQL 容器裡。本商品是買家自架的一份交付快照,我方不提供雲端代管。

如何啟動

$ ./scripts/init-env.sh
$ docker compose up -d --build

瀏覽檔案

以下為固定版本的商品檔案。少數本店自用的檔案不會放進 zip。

檔案總覽176 個路徑

▸prisma1

schema.prisma

▸public30

assets/
default-images/
favicon/
file.svg
globe.svg
logo.png
logo.svg
og-image.png

▸scripts3

entrypoint.sh
init-env.sh
seed.cjs

▸src119

actions/
app/
components/
hooks/
lib/
middleware.ts

▫ATTRIBUTION.md

▫Dockerfile

▫LICENSE

▫LICENSE-99LL

▫PRODUCT.md

▫QUICKSTART.md

▫README-zh.md

▫README.md

▫SECURITY.md

▫components.json

▫delivery-manifest.txt

▫docker-compose.yml

▫generate-hash.ts

▫next.config.js

▫package-lock.json

▫package.json

▫pnpm-lock.yaml

▫postcss.config.mjs

▫tailwind.config.ts

▫tsconfig.json

▫vercel.json

▫設定檔與隱藏檔 2

購前披露

你買的是什麼

一個書籤目錄站:集合、資料夾、卡片檢視與搜尋,首頁預載一組示範書籤;另附管理後台,含管理集合與資料夾、匯入書籤的介面。

以 MIT 授權的開源書籤導航專案為基礎的衍生加工版;容器化、初始化腳本、示範種子、六條 API 路由的登入守衛與繁中文件為我方加工。交付形式是凍結快照:一份 zip 檔,內容取自商品倉庫 b8533ae 這個版本。

已知限制

compose 只起 app 與 PostgreSQL,對外是 HTTP 埠 3000;TLS 與反向代理要自備
管理後台預設帳號 [email protected],密碼由 scripts/init-env.sh 產生
資料庫資料在 pgdata volume,docker compose down -v 會把它刪掉
app 服務沒有掛 volume,後台上傳的 logo 與 favicon 隨容器重建消失
首次啟動要從原始碼建置映像,過程向外取得基底映像與 npm 套件
示範書籤的網站圖標由 favicon.im 提供,開首頁時瀏覽器會連到該服務
釘死在交付快照,不追上游。

責任上限、承諾範圍與法定底線,以服務條款為準。

查核紀錄

以下每一項皆依固定版本查核。每一項結果都附上理由、證據連結與查核人。未通過的項目也如實列出，以供檢驗。

4 通過1 需注意0 未通過

Source Review

原始碼審閱

PASS 通過

全源掃描 + API 路由逐條檢視:grep child_process / eval / new Function 在 src/ 零命中。伺服器端:/api/url-info 以伺服器身分抓使用者提供 URL 的標題與圖標(SSRF 面,已補登入守衛)、其取圖標的後援之一是 logo.clearbit.com、init-settings 對自身 baseUrl 取預設圖;瀏覽器端:示範種子把書籤圖標指向 favicon.im,首頁載入即連線,另有 Google Analytics 與 Microsoft Clarity 兩段程式碼,只有在後台設定填入對應 ID 時才載入(預設種子不填,故預設不載)。API 路由逐條檢視 auth 覆蓋,發現六條無驗證路由(未登入可灌資料 / 寫設定 / 讀非公開書籤),已於商品 repo 為這六條補上 getServerSession 守衛,健檢對其中的匯入路由實測未登入回 401。

Script Safety

腳本與權限

PASS 通過

交付樹內的可執行腳本是我方加工的三支(scripts/init-env.sh、entrypoint.sh、seed.cjs),逐行審過:init-env.sh 只用 openssl 產隨機值並寫出 .env;entrypoint.sh 驗環境變數、跑 prisma db push 與種子後起 Next.js;seed.cjs 只寫資料庫。三支都沒有 curl / wget 類下載指令。package.json 的生命週期鉤子只有 postinstall = prisma generate(產 DB client)。上游 generate-hash.ts 是棄用的開發工具,不進映像、entrypoint 不呼叫。

Recency

90 天活躍度

WARN 注意

查核當時以 gh api 查上游最後一次 push 的時點,距查核日已逾一年半,因此活躍度列為有疑慮,不粉飾。凍結快照模型下商品不追上游,可用性由我方定期健檢守;上游不再修安全問題的風險已反映在耐用度評估中。

License

授權

PASS 通過

SPDX:LicenseRef-99LL-Product

兩層授權,皆在交付樹內:(1) 上游 Pintree-io/pintree 為 MIT —— gh api repos/Pintree-io/pintree 回 license.spdx_id=MIT,repo 根目錄 LICENSE 逐字為 MIT License 全文(Copyright (c) 2024 Pintree.io),允許商用、修改、再散布與再授權,義務為保留版權與授權聲明;上游 LICENSE 原樣保留於交付樹根目錄,未動一字。(2) 我方依 99LL 商品授權範本 v1 產生 LICENSE-99LL 作為本商品整體的銷售與責任條款(上游開源衍生商品,範本為額外條款、不覆寫上游授權),spdx 以 LicenseRef-99LL-Product 表達。

Dependency Licenses

相依套件授權

PASS 通過

於交付映像 /app 內以 license-checker --production 實掃過一次:直接生產相依的授權只出現 MIT、Apache-2.0 與 ISC 三種寬鬆授權;另有一筆 UNLICENSED 是根套件本身(package.json 無 license 欄位,授權以 repo 根目錄的 MIT LICENSE 檔為準,不是第三方件)。同次對整個 pnpm store(含 dev 與遞移相依)再掃,GPL 與 AGPL 未出現,掃出的兩筆 copyleft 是 @img/sharp-libvips(LGPL-3.0-or-later,sharp 的 libvips 預編譯二進位,買家 docker build 時自 npm 取得,不隨 zip 交付)與 axe-core(MPL-2.0,dev 相依,不進映像)。交付樹是原始碼樹,不含 node_modules 路徑。