Upload server.js

server.js

@@ -356,7 +356,13 @@ app.get('/p', async (req, res) => {
 // картинки, m3u8/mp4-потоки и т.д. Без Babel и без лимита в MAX_BYTES, со стримингом
 // и поддержкой Range (нужно для перемотки видео).
 const RAW_METHODS = ['GET', 'HEAD', 'POST', 'PUT', 'DELETE', 'PATCH', 'OPTIONS']
-const REQ_HEADERS_PASS = ['range', 'if-range', 'accept', 'accept-language', 'content-type', 'referer', 'origin']
+// Заголовки, которые НЕ пробрасываем на апстрим — специфичные для соединения
+// клиент<->наш сервер, пересылать их дальше некорректно/бессмысленно.
+const REQ_HEADERS_SKIP = new Set([
+  'host', 'connection', 'content-length', 'accept-encoding',
+  'x-forwarded-for', 'x-forwarded-proto', 'x-forwarded-host',
+  'cf-connecting-ip', 'cf-ray', 'cf-visitor', 'x-real-ip'
+])
 const RES_HEADERS_PASS = [
   'content-type', 'content-length', 'content-range', 'accept-ranges',
   'cache-control', 'expires', 'last-modified', 'etag'
@@ -381,8 +387,10 @@ app.all('/r', async (req, res) => {
   req.on('close', () => controller.abort())
 
   const headers = {}
-  for (const h of REQ_HEADERS_PASS) {
-    if (req.headers[h]) headers[h] = req.headers[h]
+  for (const h in req.headers) {
+    if (REQ_HEADERS_SKIP.has(h)) continue
+    if (h.indexOf('sec-') === 0) continue // sec-fetch-*, sec-ch-ua* — метаданные браузера, апстриму не нужны и могут смутить его антибот-защиту
+    headers[h] = req.headers[h]
   }
   headers['user-agent'] = req.headers['user-agent']
     ? req.headers['user-agent'] + ' Lampa'