feat(server,web,shared,desktop): 上传超限正确报错 + 两个登录入口都限流 + 作业按天深链，文档与验证脚本同步
服务端加固： - express.json 上限 2mb → 12mb：表格导入把文件以 base64 放进 JSON（约 4/3 倍）， 8MB 的声明上限原先到 1.5MB 就被拦掉；超限现在由 error 中间件映射成 413 IMPORT_TOO_LARGE（中文提示"请拆分后分批导入"），不再落进 500 兜底分支抛英文原文； - loginRateLimiter 同时挂 /auth/login 与 /auth/class-login（班级密码默认 123456， 班级登录曾是唯一没有暴力破解防护的入口），两个路径共享同一计数器； - CORS_ORIGIN=* 时启动告警（不拦截启动，避免挡住教室机 file:// 的合法部署）； - 删除已无用的 DEFAULT_STUDENT_PASSWORD；班级 termWeeks 上限 40 → 30， 与 MAX_TERM_WEEK / weekNumberSchema 对齐（原先对外承诺了系统兑现不了的学期长度）。 Web 端： - 作业页 ?date= 深链在同路由再推 query 时也生效（watch route.query.date）； - 表格导入对话框适配 8MB 上限与 413 提示。 冒烟与文档： - 新增 scripts/lib/smoke-class.mjs：验证用临时班级，避免探针通知弹到用户自己的客户端与灵动岛； - README 与 AGENTS.md 同步本轮全部行为变更（含 schedule source、学生账号清理、凭据门禁）。
This commit is contained in:
LoveChengke committed
1 parent
3880eee08e
commit
20fcca0388
28 files changed
+1649
-915
No files matched your search
@@ -17,8 +17,9 @@ router.get('/summary', async (req, res) => {
|
||||
/**
|
||||
* GET /api/dashboard/term?classId= - 学期信息（当前教学周 + 本班教学周数）
|
||||
*
|
||||
* `maxWeek` 取**班级的教学周数**（`Class.termWeeks`，班主任可在班级设置里调，默认 20），
|
||||
* `maxWeek` 取**班级的教学周数**（`Class.termWeeks`，管理员在班级设置里调，默认 20），
|
||||
* 这样周次选择器不会再出现"实际 20 周却给到 30 周"的情况；不带 classId 时退回全局默认值。
|
||||
* 带 classId 时会先校验班级访问权限（见 resolveTermWeeks）。
|
||||
*/
|
||||
router.get('/term', async (req, res) => {
|
||||
const user = getAuthUser(req);
|
||||
|
||||
@@ -1,5 +1,6 @@
|
||||
import type { DashboardSummary, HomeworkDto, NotificationDto } from '@classhelper/shared';
|
||||
import {
|
||||
assertClassAccess,
|
||||
classScopeIdFilter,
|
||||
classScopeWhere,
|
||||
isStudent,
|
||||
@@ -20,12 +21,14 @@ const creatorSelect = { select: { id: true, name: true, username: true } } as co
|
||||
* 教师/管理员看到的是"自己管理的班级"的汇总；学生看到自己班级的汇总。
|
||||
*/
|
||||
/**
|
||||
* 本班教学周数（班主任可调，默认 20）。
|
||||
* 本班教学周数（默认 20）。
|
||||
* - 学生 / 班级会话：固定为自己所在班级；
|
||||
* - 教师 / 管理员：优先用显式 classId（越权查不到时回退默认值）；
|
||||
* - 教师 / 管理员：优先用显式 classId，**并且必须通过班级访问校验**（与其他接口同口径，
|
||||
* 否则任意登录用户都能拿 classId 探测别班的教学周数）；
|
||||
* - 都不传：全局默认（MAX_TERM_WEEK 兜底）。
|
||||
*/
|
||||
export async function resolveTermWeeks(user: TokenPayload, classId?: string): Promise<number> {
|
||||
if (classId) await assertClassAccess(user, classId);
|
||||
const targetClassId = classId ?? (isStudent(user) ? requireStudentClassId(user) : undefined);
|
||||
if (!targetClassId) return MAX_TERM_WEEK;
|
||||
const record = await prisma.class.findUnique({
|
||||
|
||||
@@ -1,6 +1,6 @@
|
||||
import { z } from 'zod';
|
||||
import { isDayKey } from '@classhelper/shared';
|
||||
import { booleanFlagSchema } from '../../lib/schemas.js';
|
||||
import { attachmentUrlSchema, booleanFlagSchema } from '../../lib/schemas.js';
|
||||
|
||||
/** YYYY-MM-DD，且必须是真实存在的日期 */
|
||||
const dayKeySchema = z
|
||||
@@ -32,7 +32,7 @@ export const createHomeworkSchema = z.object({
|
||||
courseId: z.string().min(1).nullish(),
|
||||
title: z.string().trim().min(1, '请输入作业标题').max(120),
|
||||
content: z.string().min(1, '请输入作业内容').max(5000),
|
||||
attachmentUrl: z.string().trim().max(500).nullish(),
|
||||
attachmentUrl: attachmentUrlSchema,
|
||||
/** 作业所属日期（YYYY-MM-DD）：客户端/Web 录入时选，不传按服务器当天 */
|
||||
assignDate: dayKeySchema.nullish(),
|
||||
});
|
||||
@@ -43,7 +43,7 @@ export const updateHomeworkSchema = z.object({
|
||||
assignDate: dayKeySchema.optional(),
|
||||
title: z.string().trim().min(1).max(120).optional(),
|
||||
content: z.string().min(1).max(5000).optional(),
|
||||
attachmentUrl: z.string().trim().max(500).nullish(),
|
||||
attachmentUrl: attachmentUrlSchema,
|
||||
});
|
||||
|
||||
export const updateHomeworkStatusSchema = z.object({
|
||||
|
||||
@@ -268,12 +268,16 @@ export async function updateHomeworkStatus(
|
||||
return dto;
|
||||
}
|
||||
|
||||
// 教师 / 管理员分支：必须落到**该班学生**身上。旧实现允许不传 userId 并默默写到
|
||||
// 操作者自己的账号上（教师时 user.sub 就是教师 id），那条记录既不在学生名单里，
|
||||
// 又会被教师视角的 completedCount 计入，导致"完成人数 > 班级人数"。
|
||||
const targetUserId = input.userId ?? user.sub;
|
||||
if (input.userId) {
|
||||
const target = await prisma.user.findUnique({ where: { id: targetUserId }, select: { classId: true } });
|
||||
if (!target || target.classId !== homework.classId) {
|
||||
throw ApiError.badRequest('目标学生不属于该作业所在班级');
|
||||
}
|
||||
const target = await prisma.user.findUnique({
|
||||
where: { id: targetUserId },
|
||||
select: { role: true, classId: true },
|
||||
});
|
||||
if (!target || target.role !== 'STUDENT' || target.classId !== homework.classId) {
|
||||
throw ApiError.badRequest('请指定该作业所在班级的学生（userId），未指定时只能操作自己的账号');
|
||||
}
|
||||
|
||||
const status = await prisma.homeworkStatus.upsert({
|
||||
|
||||
@@ -1,7 +1,8 @@
|
||||
import { Router } from 'express';
|
||||
import { ApiError, sendOk } from '../../lib/http.js';
|
||||
import { idParamSchema } from '../../lib/schemas.js';
|
||||
import { authenticate, getAuthUser, requireRole } from '../../middleware/auth.js';
|
||||
import { validate, validatedBody, validatedQuery } from '../../middleware/validate.js';
|
||||
import { validate, validatedBody, validatedParams, validatedQuery } from '../../middleware/validate.js';
|
||||
import { defineModule } from '../module.types.js';
|
||||
import {
|
||||
IMPORT_KINDS,
|
||||
@@ -140,9 +141,10 @@ router.post('/time-layout', validate({ body: timeLayoutImportSchema }), async (r
|
||||
});
|
||||
|
||||
/** DELETE /api/imports/time-layout/:id - 删除某份时间配置 */
|
||||
router.delete('/time-layout/:id', async (req, res) => {
|
||||
await deleteTimeLayout(getAuthUser(req), req.params.id ?? '');
|
||||
sendOk(res, { id: req.params.id }, '时间配置已删除');
|
||||
router.delete('/time-layout/:id', validate({ params: idParamSchema }), async (req, res) => {
|
||||
const { id } = validatedParams<{ id: string }>(req);
|
||||
await deleteTimeLayout(getAuthUser(req), id);
|
||||
sendOk(res, { id }, '时间配置已删除');
|
||||
});
|
||||
|
||||
/**
|
||||
|
||||
@@ -1,10 +1,10 @@
|
||||
import bcrypt from 'bcryptjs';
|
||||
import * as XLSX from 'xlsx';
|
||||
import { prisma } from '../../lib/db.js';
|
||||
import { env } from '../../config/env.js';
|
||||
import { ApiError } from '../../lib/http.js';
|
||||
import type { TokenPayload } from '../../lib/jwt.js';
|
||||
import { logger } from '../../lib/logger.js';
|
||||
import { hashPassword } from '../../lib/password.js';
|
||||
import { assertCanManageGrades, assertCanManageRoster } from '../../lib/access.js';
|
||||
import type { TableCommitInput, TableFileInput } from './imports.schemas.js';
|
||||
|
||||
@@ -46,9 +46,9 @@ export const IMPORT_FIELDS: Record<
|
||||
{ key: 'courseName', label: '课程', required: false, synonyms: ['课程', '科目', 'course', 'courseName'] },
|
||||
],
|
||||
students: [
|
||||
// 学生只有名单没有账号（不能登录、无密码），模板不再有"初始密码"列
|
||||
{ key: 'username', label: '用户名', required: true, synonyms: ['用户名', 'username', '学号', '账号'] },
|
||||
{ key: 'name', label: '姓名', required: true, synonyms: ['姓名', 'name', '学生', '学生姓名'] },
|
||||
{ key: 'password', label: '初始密码', required: false, synonyms: ['密码', 'password', '初始密码'] },
|
||||
],
|
||||
teachers: [
|
||||
{ key: 'username', label: '用户名', required: true, synonyms: ['用户名', 'username', '工号', '账号'] },
|
||||
@@ -371,7 +371,6 @@ export async function commitStudents(user: TokenPayload, input: TableCommitInput
|
||||
const rowNumber = index + 2;
|
||||
const username = cellValue(row, parsed.columns, input.mapping, 'username');
|
||||
const name = cellValue(row, parsed.columns, input.mapping, 'name');
|
||||
const password = cellValue(row, parsed.columns, input.mapping, 'password');
|
||||
|
||||
if (!username || !name) {
|
||||
errors.push({ row: rowNumber, message: '用户名与姓名都必须填写' });
|
||||
@@ -395,14 +394,14 @@ export async function commitStudents(user: TokenPayload, input: TableCommitInput
|
||||
await prisma.user.update({ where: { id: existing.id }, data: { name, classId: classId } });
|
||||
updated += 1;
|
||||
} else {
|
||||
const initialPassword = password || env.defaultStudentPassword;
|
||||
await prisma.user.create({
|
||||
data: {
|
||||
username,
|
||||
name,
|
||||
role: 'STUDENT',
|
||||
classId: classId,
|
||||
passwordHash: await bcrypt.hash(initialPassword, 10),
|
||||
// 学生不设密码（空串占位，登录 403 判定在密码校验之前），见"学生只有名单没有账号"
|
||||
passwordHash: '',
|
||||
},
|
||||
});
|
||||
inserted += 1;
|
||||
@@ -478,7 +477,7 @@ export async function commitTeachers(user: TokenPayload, input: TableCommitInput
|
||||
username,
|
||||
name,
|
||||
role: parseTeacherRole(roleCell) ?? 'TEACHER',
|
||||
passwordHash: await bcrypt.hash(initialPassword, 10),
|
||||
passwordHash: await hashPassword(initialPassword),
|
||||
},
|
||||
});
|
||||
inserted += 1;
|
||||
|
||||
Reference in new issue
Block a user