LoveChengke
19c2aa07b2
文档站（`docs/` 就是 docfx 项目，发布在 https://lovechengke.github.io/ClassHelper/）： - 四章 + 常见问题 + 完整参考，共 44 页：快速上手（8 页）/ 应用帮助（10 页）/ 管理运维（6 页）/ 开发文档（11 页）。信息架构照 ClassIsland 文档站来： 顶栏分章、左侧章节导航、右侧本页目录、上一页 / 下一页、站内搜索、深色主题跟随系统； - 自定义模板覆盖（`templates/classhelper/`）：把 docfx modern 模板那套英文 UI 文案 （In this article / Improve this doc / Next…）换成中文，补 GitHub 入口与版本徽标， 并加一层只调排版与配色的 `public/main.css`（不动 DOM 结构）； - 站点顶栏的版本徽标取自根 `package.json`（`docs/build.mjs` 用 `--metadata` 注入）， 不在文档里写第二份 —— 否则一定漂； - 404 页单独生成：GitHub Pages 的项目页挂在 `/<仓库名>/` 子路径下，而浏览器是按**被请求的路径** 解析页面里的相对链接的，所以 `<base>` 必须钉到站点根，由 `build.mjs`（本地 `./`）与 workflow（CI 传 `/<仓库名>/`）分别注入； - 构建前清空 `_site`：docfx 只覆盖不清理，删掉或改名的页面会以旧文件留在目录里， 而 Pages 上传的是整个目录。 版本迭代（**每一次 releases，不是每一次提交**）： - 新增 `scripts/version.mjs`。这个仓库里同一个版本号散在 **10 个文件**里（5 份 `package.json`、 `deploy/package.runtime.json`、两个 compose 的镜像 tag、插件 `manifest.yml`、以及插件 C# 里的 `PluginVersion` 常量），手工改必然漏一处，而漏掉的那处**不会报错**，只在某个不常走的分支上 表现为"版本号对不上"。现在收口成两条命令：`pnpm version:check`（逐处比对，不一致 exit 1） 与 `pnpm version:bump patch|minor|major`（一次改写全部 10 处，任何一处匹配不到或匹配到多处 就直接失败退出，不做尽力而为的部分改写）； - `AGENTS.md` 新增 §4.4「版本迭代（每一次 releases，不是每一次提交）」：写清版本号落在哪 10 处、 完整发布命令序列（体检 → 验收 → `dist:all` → 哈希清单 → 推 master → `gh release create` → Linux 包由 CI 合并哈希行），以及"已发布的版本号不要复用"的理由。 其它： - `.github/workflows/docs.yml`：推 master（`docs/**` / `package.json` / workflow 自身有变）即构建并 部署到 Pages；构建带 `--check`，把 docfx 的警告当错误 —— 最常见的警告是"某个 `.md` 没被任何 `toc.yml` 引用"，那种页面有内容但没有侧边栏，属于必须修掉的疏漏； - docs 目录重组后的引用同步：`production` / `mysql` / `linux-deploy` / `winisland-design-tokens` 移到新位置后，AGENTS.md、`deploy/`、`scripts/`、客户端源码注释里的路径引用一并更新； - 文档站只发布 `docs/` 这一棵树，页面里指向树外的相对链接（`../AGENTS.md` 等）改成 GitHub 绝对 URL， 否则上线全是 404； - 图标派生清单补上文档站模板里的 `logo.png` 与 `favicon.png`（`pnpm icons` 一并生成， 仍然只有一个图形源 `build/classhelper.{png,ico}`）； - `docs/_site` 进 `.gitignore` / `.prettierignore` 与 ESLint ignores； - 根脚本补 `version:check` / `version:bump` / `docs:build` / `docs:serve` / `docs:check`。
86 lines
4.3 KiB
Markdown
86 lines
4.3 KiB
Markdown
---
|
||
title: 角色与权限
|
||
description: 权限矩阵、实现位置，以及"前端隐藏 ≠ 权限"这条纪律。
|
||
---
|
||
|
||
# 角色与权限
|
||
|
||
## 矩阵在哪
|
||
|
||
**唯一一份**在 `packages/shared/src/permissions.ts`：
|
||
|
||
- 后端 `lib/access.ts` 复用它做断言；
|
||
- 两端前端用它隐藏入口；
|
||
- 验收脚本按它逐条断言。
|
||
|
||
所以不存在"前端一套后端一套"。改权限就改这一个文件（改完记得 `pnpm build:shared`）。
|
||
|
||
## 角色判定
|
||
|
||
班级内的角色由「账号角色 + 与该班级的关系」共同决定：
|
||
|
||
| 角色 | 判定方式 | 可见范围 |
|
||
| ------------------ | ------------------------------ | -------------------------- |
|
||
| `ADMIN` 管理员 | `User.role = ADMIN` | 全部班级 |
|
||
| 班主任 `HEAD` | `Class.teacherId === 当前用户` | 本班 |
|
||
| 科任老师 `SUBJECT` | `ClassTeacher` 中存在当前用户 | 被分配的班级 |
|
||
| 学生 `STUDENT` | `User.classId` / 班级账号 | 自己的班级（只读业务数据） |
|
||
| `NONE` | 与这个班没有任何关系 | 什么都看不到 |
|
||
|
||
判定函数是 `resolveClassRole()`。
|
||
|
||
## 权限矩阵
|
||
|
||
| 操作 | 管理员 | 班主任 | 科任老师 |
|
||
| -------------------------------------------------- | :----: | :----------: | :------: |
|
||
| 班级创建 / 修改 / 删除 | ✅ | ❌ | ❌ |
|
||
| 分配班主任与科任老师 | ✅ | ❌ | ❌ |
|
||
| 学生名单管理（增删 / 导入） | ✅ | ❌ | ❌ |
|
||
| 教师录入（新建 / 导入名单 / 修改密码） | ✅ | ❌ | ❌ |
|
||
| 数据库管理（备份 / 导入导出 / 一键切换） | ✅ | ❌ | ❌ |
|
||
| 课表管理（增删改 / 时间配置导入） | ✅ | ✅（仅本班） | ❌ |
|
||
| 布置作业 | ✅ | ✅ | ✅ |
|
||
| 叫人 | ✅ | ✅ | ✅ |
|
||
| 发布通知 | ✅ | ✅ | ✅ |
|
||
| 成绩录入 / 修改 / 导入（仅本班） | ✅ | ✅（仅本班） | ❌ |
|
||
| 班级密码维护（`PATCH /classes/:id/class-account`） | ✅ | ❌ | ❌ |
|
||
|
||
## 实现要点
|
||
|
||
**路由级只做角色过滤**：`requireRole('ADMIN', 'TEACHER')`。
|
||
|
||
**班级维度的判断在服务层**：`src/lib/access.ts` 提供
|
||
|
||
```
|
||
assertCanManageClasses / assertCanAssignTeachers / assertCanManageRoster
|
||
assertCanManageSchedule / assertCanPublishContent / assertCanManageGrades
|
||
```
|
||
|
||
**列表数据用 `resolveClassScope()` 收敛**（`classId in [...]`），单条接口直接断言；
|
||
越权一律 403。
|
||
|
||
**鉴权中间件会回查数据库**（`middleware/auth.ts`）：JWT 校验之后重新读一次用户与班级关系，
|
||
所以改了班级 / 角色会**立即生效**，不用等令牌过期。班级会话则回查 `Class` 表。
|
||
|
||
## 前端隐藏 ≠ 权限
|
||
|
||
前端的隐藏只是"别让人看见入口"：
|
||
|
||
- 教师登录时侧边栏不显示「班级管理 / 学生管理 / 教师管理 / 数据库管理」；
|
||
- 课表页的增删改按钮只对「管理员或本班班主任」显示；
|
||
- 成绩页的录入 / 删除按钮同理。
|
||
|
||
但这些页面**直接输网址也进不去**（路由 `meta.roles` 会把非管理员挡回仪表盘），
|
||
而且**所有写入请求服务端都会再断言一次**。绕过菜单、绕过前端，一样 403。
|
||
|
||
> 新增视图时别忘了两处：路由的 `meta.roles` + 服务层对应 service 里的 `assertCanXxx`。
|
||
> 只做其中一个都等于没做。
|
||
|
||
## 学生账号的两个反向约束
|
||
|
||
1. **学生不能登录**。`/auth/login` 遇到 `role=STUDENT` 直接 403；
|
||
且**角色判定在密码校验之前** —— 否则"密码错(401) / 密码对但学生账号已停用(403)"的差异，
|
||
会把学生账号密码变成可离线验证的预言机。
|
||
2. **学生没有任何密码接口**。`POST /students/:id/reset-password` 已删除（调用返回 404），
|
||
新建学生也不设密码（`passwordHash` 是空串占位）。
|