## 权限矩阵(前后端共用一份) - 新增 `packages/shared/src/permissions.ts`:`ClassRole`(ADMIN/HEAD/SUBJECT/STUDENT/NONE)、 `resolveClassRole()`、`canManageClasses/AssignTeachers/Roster/Schedule/Courses/PublishContent/ManageGrades/Import` 与 `PERMISSION_MATRIX`(README 与验收脚本据此展开)。 - 后端 `lib/access.ts`:新增 `resolveUserClassRole()`(`Class.teacherId` → 班主任,`ClassTeacher` → 科任) 与 `assertCanManageClasses/AssignTeachers/Roster/Schedule/PublishContent/ManageGrades`; 各 service 在**服务层**断言(路由仅做角色过滤),越权统一 403。 - 收紧项:班级增删改、班主任/科任分配、学生名单与账号 → 仅 ADMIN; 课表/课程增删改 → ADMIN 或本班班主任;成绩录入/修改/批量 → 仅 ADMIN(按需求清单); 作业/通知/叫人 → ADMIN、班主任、科任皆可。 - 读权限保持不变:教师仍可查看自己班级的课表/作业/通知/成绩列表与统计。 ## 前端按同一矩阵隐藏入口 - 侧边栏:教师端不再显示「班级管理 / 学生管理 / 成绩录入」(管理员仍是 7 项)。 - 班级页:新建/编辑/删除按钮仅管理员可见;课表页:增删改按钮仅"管理员或本班班主任"可见; 成绩页:录入/批量/删除按钮仅管理员可见。 - **叫人入口调整**:教师需要叫人,而「学生管理」是管理员专属,因此教师入口移到 「通知发布 → 叫人」(选班级 → 选学生 → 快捷短语/自定义消息;名单走 `/classes/:id/students`, 不使用管理员专属的 `/students`);管理员在学生管理页仍保留逐行「叫人」。 ## 顺手修掉的两个真实缺陷 - `NotificationsView.openCreate()`:班级列表异步加载期间点「发布通知」会导致「目标班级」为空、 校验失败且**静默不发布**;现在打开弹窗前会确保班级已加载(冒烟同步等待下拉就绪)。 - `desktop-client/scripts/smoke.mjs`:上一次冒烟被强杀后配置目录仍被句柄占用,`rmSync` 报 ENOTEMPTY 直接让冒烟启动失败;改为按进程号使用独立目录并容错清理。 ## 验证 - `pnpm verify:e2e` **82/82** ✅:新增 14 项角色权限断言(班主任/科任建班被拒、班主任删班被拒、 班主任/科任分配人员被拒、管理员分配与取消成功、科任管理课表被拒、科任可布置作业、 科任/班主任录入成绩被拒、管理员录入成功),并把历史用例中"仅管理员可执行"的操作切到管理员令牌。 - `pnpm verify:web` **17/17** ✅:新增「教师端隐藏无权入口」断言(可见菜单=仪表盘/课表/作业/通知, 越权入口=[]),叫人入口改到通知页后仍验证弹窗、8 条快捷短语、自定义输入与可选中态。 - `pnpm verify:desktop` **34/34** ✅;`lint` / `format:check` / `typecheck` 全绿。 - 数据清理:清掉历史遗留的测试班级与 4 条探针课表,演示数据恢复为 3 个班级。
108 lines
3.5 KiB
TypeScript
108 lines
3.5 KiB
TypeScript
import { Router } from 'express';
|
|
import { resolveCurrentWeek } from '@classhelper/shared';
|
|
import { env } from '../../config/env.js';
|
|
import { sendCreated, sendOk } from '../../lib/http.js';
|
|
import { idParamSchema } from '../../lib/schemas.js';
|
|
import { authenticate, getAuthUser, requireRole } from '../../middleware/auth.js';
|
|
import { validate, validatedParams, validatedQuery } from '../../middleware/validate.js';
|
|
import { defineModule } from '../module.types.js';
|
|
import {
|
|
classStatusQuerySchema,
|
|
createScheduleSchema,
|
|
gridQuerySchema,
|
|
listSchedulesQuerySchema,
|
|
updateScheduleSchema,
|
|
type CreateScheduleInput,
|
|
type UpdateScheduleInput,
|
|
} from './schedules.schemas.js';
|
|
import * as scheduleService from './schedules.service.js';
|
|
|
|
const router = Router();
|
|
router.use(authenticate());
|
|
|
|
/** GET /api/schedules?classId=&week=&dayOfWeek= - 课表列表 */
|
|
router.get('/', validate({ query: listSchedulesQuerySchema }), async (req, res) => {
|
|
const user = getAuthUser(req);
|
|
const query = validatedQuery<{ classId?: string; week?: number; dayOfWeek?: number }>(req);
|
|
sendOk(res, await scheduleService.listSchedules(user, query), '获取课表成功');
|
|
});
|
|
|
|
/** GET /api/schedules/grid?classId=&week= - 周视图(7 列结构) */
|
|
router.get('/grid', validate({ query: gridQuerySchema }), async (req, res) => {
|
|
const user = getAuthUser(req);
|
|
const { classId, week } = validatedQuery<{ classId?: string; week?: number }>(req);
|
|
sendOk(
|
|
res,
|
|
await scheduleService.getScheduleGrid(user, {
|
|
classId,
|
|
week: week ?? resolveCurrentWeek(env.termStartDate),
|
|
}),
|
|
'获取周视图成功',
|
|
);
|
|
});
|
|
|
|
/**
|
|
* GET /api/schedules/current?classId=&at= - 班级当前上课状态。
|
|
* 客户端灵动岛(上课期间隐藏、下课后弹出)与 Web 端"上课时段发布紧急通知"
|
|
* 的全屏二次确认都基于它;`at` 为诊断/联调用时间覆盖。
|
|
*/
|
|
router.get('/current', validate({ query: classStatusQuerySchema }), async (req, res) => {
|
|
const user = getAuthUser(req);
|
|
const { classId, at } = validatedQuery<{ classId?: string; at?: string }>(req);
|
|
const status = await scheduleService.getClassStatus(user, {
|
|
classId,
|
|
at: at ? new Date(at) : undefined,
|
|
});
|
|
sendOk(res, status, status.inClass ? '当前处于上课时间段' : '当前不在上课时间段');
|
|
});
|
|
|
|
/** POST /api/schedules - 新增课表 */
|
|
router.post(
|
|
'/',
|
|
requireRole('ADMIN', 'TEACHER'),
|
|
validate({ body: createScheduleSchema }),
|
|
async (req, res) => {
|
|
const user = getAuthUser(req);
|
|
sendCreated(
|
|
res,
|
|
await scheduleService.createSchedule(user, req.body as CreateScheduleInput),
|
|
'课表创建成功',
|
|
);
|
|
},
|
|
);
|
|
|
|
/** PATCH /api/schedules/:id - 修改课表 */
|
|
router.patch(
|
|
'/:id',
|
|
requireRole('ADMIN', 'TEACHER'),
|
|
validate({ params: idParamSchema, body: updateScheduleSchema }),
|
|
async (req, res) => {
|
|
const user = getAuthUser(req);
|
|
const { id } = validatedParams<{ id: string }>(req);
|
|
sendOk(
|
|
res,
|
|
await scheduleService.updateSchedule(user, id, req.body as UpdateScheduleInput),
|
|
'课表更新成功',
|
|
);
|
|
},
|
|
);
|
|
|
|
/** DELETE /api/schedules/:id - 删除课表 */
|
|
router.delete(
|
|
'/:id',
|
|
requireRole('ADMIN', 'TEACHER'),
|
|
validate({ params: idParamSchema }),
|
|
async (req, res) => {
|
|
const user = getAuthUser(req);
|
|
const { id } = validatedParams<{ id: string }>(req);
|
|
await scheduleService.deleteSchedule(user, id);
|
|
sendOk(res, { id }, '课表已删除');
|
|
},
|
|
);
|
|
|
|
export const schedulesModule = defineModule({
|
|
name: 'schedules',
|
|
basePath: '/schedules',
|
|
router,
|
|
});
|