Files
competition-website/app/model/bigQuestion.js

93 lines
2.6 KiB
JavaScript
Raw Normal View History

feat(big-question): 中职/高职组「综合大题」在线作答 + 封堵 auth 成绩泄露三通道 ## 一、需求变更:中职/高职组 Word 文件上传题 → 在线「综合大题」 按 2026-09-21 需求变更,中职组 / 高职组取消 Word 文件上传题,改为在线作答 综合大题(1 道大题 × 3 个小问 × 每小问 10 分 = 大题 30 分)。 - 新增表(迁移 023/024) · `big_questions` —— 题库(题干富文本含表格 + 三小问提示语 + 评分口径) · `big_question_answers` —— 作答(抽题快照 + 三小问答案 + 按小问得分) 两份迁移同时提供 `.sql`(生产直跑)与 `.js`(本地/CI 幂等执行)。 - 新增 model:`app/model/bigQuestion.js`、`app/model/bigQuestionAnswer.js` - 新增 service:`app/service/bigQuestion.js`(抽题 / 保存答案 / 评分核心逻辑) - 考生端接口(`app/controller/exam.js`) · `GET /api/exam/:group/big-question` —— 首次抽题并落库题干快照, 后续一律返回同一道题(**幂等**,防止同一考生拿到不同题干引发纠纷) · `POST /api/exam/:group/big-answer` —— 保存三小问答案,带考试窗口门控 - 管理端接口(`app/controller/admin.js`) · 题库 CRUD:`/api/admin/big-questions/:group[/:id]` · 作答查证:`GET /api/admin/big-answers/:group`(考生 → 抽到的题 → 三小问 → 提交时间) · 按小问评分:`PUT /api/admin/big-answers/:group/:uid/scores` - 服务端封堵越界数据:`app/controller/exam.js` 对中职/高职组的 Word 上传接口 一并拒绝(前端入口已移除,但直调 API 仍可绕过)。 **所有新增读写仅落在新增的两张表,不触碰任何既有表结构。** ## 二、安全修复(铁律 15 成绩泄露 —— auth 通道缺口) 原有成绩发布门控只覆盖 4 条通道,遗漏了 auth 的**三条同源通道**:三处都直接 回传 `toJSON()`,在 `score_published_<group> = false`(未发布)时照样下发成绩, 而同期 `GET /api/score` 正确返回 `null`。 - `POST /api/auth/login` —— 实测未发布态回传 `score` - `GET /api/auth/current-user` —— 全字段 `toJSON`,连带下发分项 - `POST /api/auth/refresh` —— 全字段 `toJSON`,且前端 `doSilentRefresh()` 会把响应 `user` 写入 `localStorage` 与 Pinia,等效于登录通道; 实测泄漏 `score` + `exam_score` + `word_score` + `ppt_score` 共 4 个字段 修复方式:新增 `AuthService.toClientUser()` 作为**唯一出口**,三处全部收敛, 禁止各自直接 `toJSON`。口径: - 该组已发布 → 保留 `score`;未发布 / 查询异常 → 剔除 `score`(异常按未发布,安全默认) - `exam_score` / `word_score` / `ppt_score` **任何情况下都不下发** (前端不使用;保留会形成"总分虽隐藏、分项可加总"的旁路) 门禁 `scripts/verify_score_leak_all_channels.py` 相应从 14 项扩到 20 项, 新增通道⑤/⑥/⑦断言(含"发布后 score 必须恢复"的**正向对照**,防止 "永不回传"式过度封堵造成假绿),并经变异注入自检证明断言可证伪。 ## 三、移除已弃用的 Word 模板 中职 / 高职各 3 个历史 Word 模板(`app/public/templates/{zhongzhi,gaozhi}/*.docx`) 随需求一并移除;目录保留 `.gitkeep` 以维持路径存在。 --- 验证:G10 铁律15 门禁 20/20 PASS(含变异自检,EXIT=0)、G9 铁律14 门禁 22/22 PASS、 窗口哨兵残留自检 6/6 PASS。前端配套改动见前端仓库提交 1bfe007。
2026-09-21 11:57:58 +08:00
'use strict';
/**
* 综合大题模型 - BigQuestion
*
* 对应 big_questions 表(2026-09-21 新增)。
* 中职组(zhongzhi) / 高职组(gaozhi) 取消 Word 文件上传题后,改为从本表随机抽取一道大题:
* 题干 = 文字描述 + 富文本表格(HTML),下设三小问,每小问 score_per_sub 分(默认 10),
* 大题总分 total_score(默认 30)。
*
* 说明:本模型为**新增隔离模型**,与既有 word_questions(已弃用)互不影响,
* 也不参与 choice_questions / judge_questions 客观题链路。
*/
module.exports = app => {
const { STRING, INTEGER, DATE, TEXT } = app.Sequelize;
// 分数列统一走共享工厂(DECIMAL(6,2) + Number 兜底,见 app/lib/decimal_score.js)
R20:客观题分值口径 + 大题一位小数评分 + 页面刷新修复 + 大题导出 Word A1/A2 客观题: - 清理题库占位题(答案恒 A/true、分值恒 5),客观题分值硬约束为 1 分 - 新增 scripts/check_question_bank_health.py(带变异注入自检,已验证判别力) - ci-gates.sh 由 9 步扩为 10 步,纳入题库健康门禁 B 大题评分一位小数: - 新增 app/lib/decimal_score.js:DECIMAL(6,1) + getter 兜底,单点收口 「DB 列 / model 声明 / dialectOptions.decimalNumbers」三处必须同时成立 - 10 个 model 的 score 字段改走该工厂 - database/migrations/025:17 列 INT → DECIMAL(6,1)(6 列题目分值保持 int) - service/bigQuestion.js:setSubScores 用 Math.round(n*10)/10 收敛,不再抹成整数 C 页面状态刷新: - 修复 onQuestionTypeChange 的 `bigQuestions.length === 0` 守卫(切组后旧数组仍非空 ⇒ 永不重新拉取) - 修复评分后只刷一半(saveBigScores / saveExamScore 各只刷一侧列表) - 收敛为唯一刷新入口 refreshQuestionData();ensureBigData 改按「数据属于哪个组」 判定;fetchBigQuestions/fetchBigAnswers 增加组别竞态守卫 D 大题导出 Word(单题 / 批量 / 全部): - 新增 app/lib/docx.js:零新依赖手写 OOXML(复用已有 archiver@8),支持 p/strong/ span/a/br/table/ul-ol 子集,具名捕获组词法解析,pPr 严格排在 runs 之前 - service.bigQuestion.exportQuestions + controller.exportBigQuestions + GET /api/admin/big-questions/:group/export - 前端导出选中/全部两按钮 + 表格多选(reserve-selection) 计划外发现并修复(已在报告中披露): - 管理端跨组写分越权:setSubScores 定位作答行时缺 group 约束,可用任意组的路径 改写他组考生成绩(读写不对称:读取侧有 where:{group},写入侧没有) ⇒ 已补 group 约束,并区分「不属于本组」与「尚未抽题」两种文案 - 导出路由注册顺序:export 原注册在 :group/:id 之后(当时因后者仅 PUT/DELETE 而 未暴露问题),已前移以消除「将来新增 GET /:group/:id 会吞掉 export」的隐患 验证(全部实测,非仅看退出码): - ci-gates.sh 10/10 全绿;四连门禁 52/0 · 22/0 · 20/0 · 46/0 - 端到端探针 probe_d_03(导出+小数)ALL PASS;probe_e_01(切组刷新)22/22 ALL PASS - 前端构建 VITE_EXIT=0 未 push:须先上线验证通过再单独授权。
2026-09-23 18:29:50 +08:00
const decimalScore = require('../lib/decimal_score')(app);
feat(big-question): 中职/高职组「综合大题」在线作答 + 封堵 auth 成绩泄露三通道 ## 一、需求变更:中职/高职组 Word 文件上传题 → 在线「综合大题」 按 2026-09-21 需求变更,中职组 / 高职组取消 Word 文件上传题,改为在线作答 综合大题(1 道大题 × 3 个小问 × 每小问 10 分 = 大题 30 分)。 - 新增表(迁移 023/024) · `big_questions` —— 题库(题干富文本含表格 + 三小问提示语 + 评分口径) · `big_question_answers` —— 作答(抽题快照 + 三小问答案 + 按小问得分) 两份迁移同时提供 `.sql`(生产直跑)与 `.js`(本地/CI 幂等执行)。 - 新增 model:`app/model/bigQuestion.js`、`app/model/bigQuestionAnswer.js` - 新增 service:`app/service/bigQuestion.js`(抽题 / 保存答案 / 评分核心逻辑) - 考生端接口(`app/controller/exam.js`) · `GET /api/exam/:group/big-question` —— 首次抽题并落库题干快照, 后续一律返回同一道题(**幂等**,防止同一考生拿到不同题干引发纠纷) · `POST /api/exam/:group/big-answer` —— 保存三小问答案,带考试窗口门控 - 管理端接口(`app/controller/admin.js`) · 题库 CRUD:`/api/admin/big-questions/:group[/:id]` · 作答查证:`GET /api/admin/big-answers/:group`(考生 → 抽到的题 → 三小问 → 提交时间) · 按小问评分:`PUT /api/admin/big-answers/:group/:uid/scores` - 服务端封堵越界数据:`app/controller/exam.js` 对中职/高职组的 Word 上传接口 一并拒绝(前端入口已移除,但直调 API 仍可绕过)。 **所有新增读写仅落在新增的两张表,不触碰任何既有表结构。** ## 二、安全修复(铁律 15 成绩泄露 —— auth 通道缺口) 原有成绩发布门控只覆盖 4 条通道,遗漏了 auth 的**三条同源通道**:三处都直接 回传 `toJSON()`,在 `score_published_<group> = false`(未发布)时照样下发成绩, 而同期 `GET /api/score` 正确返回 `null`。 - `POST /api/auth/login` —— 实测未发布态回传 `score` - `GET /api/auth/current-user` —— 全字段 `toJSON`,连带下发分项 - `POST /api/auth/refresh` —— 全字段 `toJSON`,且前端 `doSilentRefresh()` 会把响应 `user` 写入 `localStorage` 与 Pinia,等效于登录通道; 实测泄漏 `score` + `exam_score` + `word_score` + `ppt_score` 共 4 个字段 修复方式:新增 `AuthService.toClientUser()` 作为**唯一出口**,三处全部收敛, 禁止各自直接 `toJSON`。口径: - 该组已发布 → 保留 `score`;未发布 / 查询异常 → 剔除 `score`(异常按未发布,安全默认) - `exam_score` / `word_score` / `ppt_score` **任何情况下都不下发** (前端不使用;保留会形成"总分虽隐藏、分项可加总"的旁路) 门禁 `scripts/verify_score_leak_all_channels.py` 相应从 14 项扩到 20 项, 新增通道⑤/⑥/⑦断言(含"发布后 score 必须恢复"的**正向对照**,防止 "永不回传"式过度封堵造成假绿),并经变异注入自检证明断言可证伪。 ## 三、移除已弃用的 Word 模板 中职 / 高职各 3 个历史 Word 模板(`app/public/templates/{zhongzhi,gaozhi}/*.docx`) 随需求一并移除;目录保留 `.gitkeep` 以维持路径存在。 --- 验证:G10 铁律15 门禁 20/20 PASS(含变异自检,EXIT=0)、G9 铁律14 门禁 22/22 PASS、 窗口哨兵残留自检 6/6 PASS。前端配套改动见前端仓库提交 1bfe007。
2026-09-21 11:57:58 +08:00
return app.model.define('BigQuestion', {
id: {
type: INTEGER,
primaryKey: true,
autoIncrement: true,
comment: '大题ID',
},
question_uid: {
type: STRING(64),
allowNull: false,
comment: '大题稳定标识(全局唯一,形如 big_12)',
},
group: {
type: STRING(20),
allowNull: false,
comment: '组别:zhongzhi/gaozhi',
},
title: {
type: STRING(200),
allowNull: false,
comment: '大题标题',
},
description: {
type: TEXT('medium'),
allowNull: true,
comment: '题干富文本 HTML(含表格)',
},
sub_prompt_1: {
type: TEXT,
allowNull: true,
comment: '第1小问题干',
},
sub_prompt_2: {
type: TEXT,
allowNull: true,
comment: '第2小问题干',
},
sub_prompt_3: {
type: TEXT,
allowNull: true,
comment: '第3小问题干',
},
R20:客观题分值口径 + 大题一位小数评分 + 页面刷新修复 + 大题导出 Word A1/A2 客观题: - 清理题库占位题(答案恒 A/true、分值恒 5),客观题分值硬约束为 1 分 - 新增 scripts/check_question_bank_health.py(带变异注入自检,已验证判别力) - ci-gates.sh 由 9 步扩为 10 步,纳入题库健康门禁 B 大题评分一位小数: - 新增 app/lib/decimal_score.js:DECIMAL(6,1) + getter 兜底,单点收口 「DB 列 / model 声明 / dialectOptions.decimalNumbers」三处必须同时成立 - 10 个 model 的 score 字段改走该工厂 - database/migrations/025:17 列 INT → DECIMAL(6,1)(6 列题目分值保持 int) - service/bigQuestion.js:setSubScores 用 Math.round(n*10)/10 收敛,不再抹成整数 C 页面状态刷新: - 修复 onQuestionTypeChange 的 `bigQuestions.length === 0` 守卫(切组后旧数组仍非空 ⇒ 永不重新拉取) - 修复评分后只刷一半(saveBigScores / saveExamScore 各只刷一侧列表) - 收敛为唯一刷新入口 refreshQuestionData();ensureBigData 改按「数据属于哪个组」 判定;fetchBigQuestions/fetchBigAnswers 增加组别竞态守卫 D 大题导出 Word(单题 / 批量 / 全部): - 新增 app/lib/docx.js:零新依赖手写 OOXML(复用已有 archiver@8),支持 p/strong/ span/a/br/table/ul-ol 子集,具名捕获组词法解析,pPr 严格排在 runs 之前 - service.bigQuestion.exportQuestions + controller.exportBigQuestions + GET /api/admin/big-questions/:group/export - 前端导出选中/全部两按钮 + 表格多选(reserve-selection) 计划外发现并修复(已在报告中披露): - 管理端跨组写分越权:setSubScores 定位作答行时缺 group 约束,可用任意组的路径 改写他组考生成绩(读写不对称:读取侧有 where:{group},写入侧没有) ⇒ 已补 group 约束,并区分「不属于本组」与「尚未抽题」两种文案 - 导出路由注册顺序:export 原注册在 :group/:id 之后(当时因后者仅 PUT/DELETE 而 未暴露问题),已前移以消除「将来新增 GET /:group/:id 会吞掉 export」的隐患 验证(全部实测,非仅看退出码): - ci-gates.sh 10/10 全绿;四连门禁 52/0 · 22/0 · 20/0 · 46/0 - 端到端探针 probe_d_03(导出+小数)ALL PASS;probe_e_01(切组刷新)22/22 ALL PASS - 前端构建 VITE_EXIT=0 未 push:须先上线验证通过再单独授权。
2026-09-23 18:29:50 +08:00
score_per_sub: decimalScore('score_per_sub', '每小题分值', { allowNull: false, defaultValue: 10 }),
total_score: decimalScore('total_score', '大题总分', { allowNull: false, defaultValue: 30 }),
feat(big-question): 中职/高职组「综合大题」在线作答 + 封堵 auth 成绩泄露三通道 ## 一、需求变更:中职/高职组 Word 文件上传题 → 在线「综合大题」 按 2026-09-21 需求变更,中职组 / 高职组取消 Word 文件上传题,改为在线作答 综合大题(1 道大题 × 3 个小问 × 每小问 10 分 = 大题 30 分)。 - 新增表(迁移 023/024) · `big_questions` —— 题库(题干富文本含表格 + 三小问提示语 + 评分口径) · `big_question_answers` —— 作答(抽题快照 + 三小问答案 + 按小问得分) 两份迁移同时提供 `.sql`(生产直跑)与 `.js`(本地/CI 幂等执行)。 - 新增 model:`app/model/bigQuestion.js`、`app/model/bigQuestionAnswer.js` - 新增 service:`app/service/bigQuestion.js`(抽题 / 保存答案 / 评分核心逻辑) - 考生端接口(`app/controller/exam.js`) · `GET /api/exam/:group/big-question` —— 首次抽题并落库题干快照, 后续一律返回同一道题(**幂等**,防止同一考生拿到不同题干引发纠纷) · `POST /api/exam/:group/big-answer` —— 保存三小问答案,带考试窗口门控 - 管理端接口(`app/controller/admin.js`) · 题库 CRUD:`/api/admin/big-questions/:group[/:id]` · 作答查证:`GET /api/admin/big-answers/:group`(考生 → 抽到的题 → 三小问 → 提交时间) · 按小问评分:`PUT /api/admin/big-answers/:group/:uid/scores` - 服务端封堵越界数据:`app/controller/exam.js` 对中职/高职组的 Word 上传接口 一并拒绝(前端入口已移除,但直调 API 仍可绕过)。 **所有新增读写仅落在新增的两张表,不触碰任何既有表结构。** ## 二、安全修复(铁律 15 成绩泄露 —— auth 通道缺口) 原有成绩发布门控只覆盖 4 条通道,遗漏了 auth 的**三条同源通道**:三处都直接 回传 `toJSON()`,在 `score_published_<group> = false`(未发布)时照样下发成绩, 而同期 `GET /api/score` 正确返回 `null`。 - `POST /api/auth/login` —— 实测未发布态回传 `score` - `GET /api/auth/current-user` —— 全字段 `toJSON`,连带下发分项 - `POST /api/auth/refresh` —— 全字段 `toJSON`,且前端 `doSilentRefresh()` 会把响应 `user` 写入 `localStorage` 与 Pinia,等效于登录通道; 实测泄漏 `score` + `exam_score` + `word_score` + `ppt_score` 共 4 个字段 修复方式:新增 `AuthService.toClientUser()` 作为**唯一出口**,三处全部收敛, 禁止各自直接 `toJSON`。口径: - 该组已发布 → 保留 `score`;未发布 / 查询异常 → 剔除 `score`(异常按未发布,安全默认) - `exam_score` / `word_score` / `ppt_score` **任何情况下都不下发** (前端不使用;保留会形成"总分虽隐藏、分项可加总"的旁路) 门禁 `scripts/verify_score_leak_all_channels.py` 相应从 14 项扩到 20 项, 新增通道⑤/⑥/⑦断言(含"发布后 score 必须恢复"的**正向对照**,防止 "永不回传"式过度封堵造成假绿),并经变异注入自检证明断言可证伪。 ## 三、移除已弃用的 Word 模板 中职 / 高职各 3 个历史 Word 模板(`app/public/templates/{zhongzhi,gaozhi}/*.docx`) 随需求一并移除;目录保留 `.gitkeep` 以维持路径存在。 --- 验证:G10 铁律15 门禁 20/20 PASS(含变异自检,EXIT=0)、G9 铁律14 门禁 22/22 PASS、 窗口哨兵残留自检 6/6 PASS。前端配套改动见前端仓库提交 1bfe007。
2026-09-21 11:57:58 +08:00
sort_order: {
type: INTEGER,
allowNull: false,
defaultValue: 0,
comment: '排序',
},
status: {
type: INTEGER,
allowNull: false,
defaultValue: 1,
comment: '状态:1=启用(参与抽题),0=停用',
},
created_at: {
type: DATE,
defaultValue: app.Sequelize.NOW,
comment: '创建时间',
},
updated_at: {
type: DATE,
defaultValue: app.Sequelize.NOW,
comment: '更新时间',
},
}, {
tableName: 'big_questions',
timestamps: true,
createdAt: 'created_at',
updatedAt: 'updated_at',
});
};