LoveChengke
9d5ac7adf9
学生、任课关系、周次口径三处长期靠约定维持的事情，改为由数据模型保证。 学生不是账号 - 拆出独立 Student 表，没有 passwordHash / role / 任何登录字段 - 「学生不能登录」由表结构保证，不再靠「登录前判 role 再 403」的代码分支 - 三张个人数据表外键 userId → studentId；删掉 Enrollment 与 ClassTeacher - 学生一律称「学号」、教师一律称「工号」，「学生账号」这个概念消失 任课关系唯一来源 = Course（班级 + 科目 + 教师） - 班主任 = Class.teacherId，科任 = Course.teacherId，同一人两处指向同一账号、不重复建号 - 作业与成绩按科目再收一道：挂科目只由该科任课老师改，没挂科目归班主任 / 管理员 - 新增「任课教师分配」与「班级教师批量导入」（带「使用工号匹配」开关） 成绩与名单 - 成绩等级：百分制 / 等级制 A·B·C·D / 自定义，支持单个与批量改等级 - 按学号查成绩明细（教师端 + 班级端 + 设备令牌），受按班开关控制 - 调班 / 转出（单个与批量）+ 可查历史；学号不变、历史作业成绩留原归属 - 毕业归档页（按年度记录毕业班级 / 毕业生 / 转出学生 / 该届通知与作业） - 学年升级（未毕业不归档、数据沿用）；班级称呼改为「2026级1班」 ClassHelper 班级端在线状态 - Web 端显示 班级 / 设备名 / 设备号 / 在线离线 / 最后在线 / 最后心跳 - lastHeartbeatAt 驱动 60 秒在线窗口，与只表示「带状态上报」的 lastSeenAt 分开 学期周次 - 新增 TermWeek（classId 空串 = 全校默认），管理员可用日期范围选择器逐周配置 - 一键按开学日期生成整学期；联网拉取调休建议（只给建议、不改数据，无外网失败属正常） - 改周次后随课表下发给教室的 ClassHelper 班级端 课表方向反转 - 主方向改为「服务端 → 教室」自动下发；教室不再自动回传 - 取教室课表改为手动动作（点击前弹警告），插件按待办标记在下一次心跳补报 改名 - 班级小助手 → ClassHelper：界面、窗口标题、托盘、灵动岛、EXE、安装包、 安装目录、systemd 描述、插件清单与设置页、官网、文档站、README BREAKING CHANGE: 产品名与 EXE 名变更（班级小助手.exe → ClassHelper.exe）， 安装目录随之改变，不支持覆盖安装，需先卸载旧版。 服务端首次启动会自动应用 6 个数据库迁移（学生行按 id 原样搬迁，历史数据不丢）， 升级前请先备份。
60 lines
2.2 KiB
TypeScript
60 lines
2.2 KiB
TypeScript
import jwt from 'jsonwebtoken';
|
|
import type { SignOptions } from 'jsonwebtoken';
|
|
import type { UserRole } from '@classhelper/shared';
|
|
import { env } from '../config/env.js';
|
|
import { ApiError } from './http.js';
|
|
|
|
/** JWT 载荷（同时作为 req.auth.user 的类型来源） */
|
|
export interface TokenPayload {
|
|
sub: string;
|
|
/** 教师/管理员的工号，或 ClassHelper 班级端的班级码 */
|
|
username: string;
|
|
name: string;
|
|
role: UserRole;
|
|
classId: string | null;
|
|
/** true 表示「ClassHelper 班级端」登录：sub 是班级 id，而非某个账号 */
|
|
classSession?: boolean;
|
|
/** 班级端的班级码（便于日志/审计） */
|
|
classCode?: string;
|
|
}
|
|
|
|
export function signToken(payload: TokenPayload): string {
|
|
// jsonwebtoken 的 expiresIn 类型为 ms.StringValue，这里由 .env 提供字符串，做一次显式收窄
|
|
const options = { expiresIn: env.jwtExpiresIn } as unknown as SignOptions;
|
|
return jwt.sign({ ...payload }, env.jwtSecret, options);
|
|
}
|
|
|
|
/** 校验并解析 token，失败统一抛出 401 */
|
|
export function verifyToken(token: string): TokenPayload {
|
|
try {
|
|
const decoded = jwt.verify(token, env.jwtSecret);
|
|
if (typeof decoded === 'string') throw new Error('unexpected token payload');
|
|
|
|
const record = decoded as Record<string, unknown>;
|
|
const role = record.role;
|
|
if (role !== 'ADMIN' && role !== 'TEACHER' && role !== 'CLASS_DEVICE') {
|
|
throw new Error('unexpected role in token');
|
|
}
|
|
|
|
return {
|
|
sub: String(record.sub ?? ''),
|
|
username: String(record.username ?? ''),
|
|
name: String(record.name ?? ''),
|
|
role,
|
|
classId: record.classId ? String(record.classId) : null,
|
|
classSession: record.classSession === true,
|
|
classCode: record.classCode ? String(record.classCode) : undefined,
|
|
};
|
|
} catch {
|
|
throw ApiError.unauthorized('登录状态已失效，请重新登录');
|
|
}
|
|
}
|
|
|
|
/** 从 Authorization 头中提取 Bearer token */
|
|
export function extractBearerToken(headerValue: string | undefined): string | null {
|
|
if (!headerValue) return null;
|
|
const [scheme, token] = headerValue.split(' ');
|
|
if (!token || scheme.toLowerCase() !== 'bearer') return null;
|
|
return token.trim();
|
|
}
|