|
|
37d07907a1
|
feat(big-question): 录入侧防呆——题干不得含「可直抄的答案」（R27）
背景（2026-09-28 测试人员实测反馈）：
「答题时大题部分有参考答案。」初判怀疑前端未区分 / 评分系统未隔离，
实测两条均被证伪：
· 前端 Competition.vue 仅渲染 description / sub_prompts，无答案区块；
· 后端 buildSnapshot() / getForCandidate() 返回字段无 answer；
· 建表 DDL 023-024 的 big_questions 无答案列；
· 真实联调 question 字段 = [big_question_uid, description, score_per_sub,
snapshot_at, sub_prompts, title, total_score]。
⇒ 泄露 100% 来自**题库录入内容**：中职组启用题 id=38 的题干内嵌
「指令输入示例」（>OFFMSG,COM1*4A 等三条），而第 3 小问正是问这些指令。
为什么守点是录入入口：
抽题快照 question_snapshot **抽题即固化**（防纠纷设计）⇒ 事后改题库
**撤不回**已抽考生看到的版本；下发链路本身无泄漏点 ⇒ 只能在录入时拦。
改动：
· 新增 detectAnswerLeak()：扫 title / description / sub_prompt_1..3
① 「参考答案 / 标准答案 / 评分标准 / 评分细则 / 答案要点」字样；
② 带**字面参数**的指令示例（>CMD,值*两位十六进制校验码）。
· validateQuestionPayload() 内调用 ⇒ create 与 update **同源**拦截；
命中返回 code=SUSPECT_ANSWER_LEAK，message 直接教会管理员怎么改。
· 兼容 > 与裸 > 两种存储形态。
边界（刻意为之，勿收紧）：
格式定义（参数用方括号占位，如 >OFFMSG[,Port[,Message]]*CS）**不拦** ——
校验码限定「两位十六进制」天然排除占位符 *CS（S 非 hex）。
向考生提供指令**手册**是允许的；等同于答案的**成品**才不允许。
—— 与同日数据修复口径一致（只删示例、保留格式定义）。
实测（后端已重启加载新码，5/5 PASS）：
① 合法格式定义题 → 放行（code=0，新增 1 行）
② 含指令示例 → 拒绝 HTTP200 code=400，**未落库**
③ 含「参考答案」字样 → 拒绝，未落库
④ PUT 更新路径 → 同样拒绝，且原内容未被改写
⑤ 清理复原：行数与 MAX(id) 回到基线
|
2026-09-28 11:58:14 +08:00 |
|
|
|
079c1b31c9
|
R20：客观题分值口径 + 大题一位小数评分 + 页面刷新修复 + 大题导出 Word
A1/A2 客观题：
- 清理题库占位题（答案恒 A/true、分值恒 5），客观题分值硬约束为 1 分
- 新增 scripts/check_question_bank_health.py（带变异注入自检，已验证判别力）
- ci-gates.sh 由 9 步扩为 10 步，纳入题库健康门禁
B 大题评分一位小数：
- 新增 app/lib/decimal_score.js：DECIMAL(6,1) + getter 兜底，单点收口
「DB 列 / model 声明 / dialectOptions.decimalNumbers」三处必须同时成立
- 10 个 model 的 score 字段改走该工厂
- database/migrations/025：17 列 INT → DECIMAL(6,1)（6 列题目分值保持 int）
- service/bigQuestion.js：setSubScores 用 Math.round(n*10)/10 收敛，不再抹成整数
C 页面状态刷新：
- 修复 onQuestionTypeChange 的 `bigQuestions.length === 0` 守卫（切组后旧数组仍非空
⇒ 永不重新拉取）
- 修复评分后只刷一半（saveBigScores / saveExamScore 各只刷一侧列表）
- 收敛为唯一刷新入口 refreshQuestionData()；ensureBigData 改按「数据属于哪个组」
判定；fetchBigQuestions/fetchBigAnswers 增加组别竞态守卫
D 大题导出 Word（单题 / 批量 / 全部）：
- 新增 app/lib/docx.js：零新依赖手写 OOXML（复用已有 archiver@8），支持 p/strong/
span/a/br/table/ul-ol 子集，具名捕获组词法解析，pPr 严格排在 runs 之前
- service.bigQuestion.exportQuestions + controller.exportBigQuestions +
GET /api/admin/big-questions/:group/export
- 前端导出选中/全部两按钮 + 表格多选（reserve-selection）
计划外发现并修复（已在报告中披露）：
- 管理端跨组写分越权：setSubScores 定位作答行时缺 group 约束，可用任意组的路径
改写他组考生成绩（读写不对称：读取侧有 where:{group}，写入侧没有）
⇒ 已补 group 约束，并区分「不属于本组」与「尚未抽题」两种文案
- 导出路由注册顺序：export 原注册在 :group/:id 之后（当时因后者仅 PUT/DELETE 而
未暴露问题），已前移以消除「将来新增 GET /:group/:id 会吞掉 export」的隐患
验证（全部实测，非仅看退出码）：
- ci-gates.sh 10/10 全绿；四连门禁 52/0 · 22/0 · 20/0 · 46/0
- 端到端探针 probe_d_03（导出+小数）ALL PASS；probe_e_01（切组刷新）22/22 ALL PASS
- 前端构建 VITE_EXIT=0
未 push：须先上线验证通过再单独授权。
|
2026-09-23 18:29:50 +08:00 |
|
|
|
8ef18da395
|
feat(big-question): 中职/高职组「综合大题」在线作答 + 封堵 auth 成绩泄露三通道
## 一、需求变更：中职/高职组 Word 文件上传题 → 在线「综合大题」
按 2026-09-21 需求变更，中职组 / 高职组取消 Word 文件上传题，改为在线作答
综合大题（1 道大题 × 3 个小问 × 每小问 10 分 = 大题 30 分）。
- 新增表（迁移 023/024）
· `big_questions` —— 题库（题干富文本含表格 + 三小问提示语 + 评分口径）
· `big_question_answers` —— 作答（抽题快照 + 三小问答案 + 按小问得分）
两份迁移同时提供 `.sql`（生产直跑）与 `.js`（本地/CI 幂等执行）。
- 新增 model：`app/model/bigQuestion.js`、`app/model/bigQuestionAnswer.js`
- 新增 service：`app/service/bigQuestion.js`（抽题 / 保存答案 / 评分核心逻辑）
- 考生端接口（`app/controller/exam.js`）
· `GET /api/exam/:group/big-question` —— 首次抽题并落库题干快照，
后续一律返回同一道题（**幂等**，防止同一考生拿到不同题干引发纠纷）
· `POST /api/exam/:group/big-answer` —— 保存三小问答案，带考试窗口门控
- 管理端接口（`app/controller/admin.js`）
· 题库 CRUD：`/api/admin/big-questions/:group[/:id]`
· 作答查证：`GET /api/admin/big-answers/:group`（考生 → 抽到的题 → 三小问 → 提交时间）
· 按小问评分：`PUT /api/admin/big-answers/:group/:uid/scores`
- 服务端封堵越界数据：`app/controller/exam.js` 对中职/高职组的 Word 上传接口
一并拒绝（前端入口已移除，但直调 API 仍可绕过）。
**所有新增读写仅落在新增的两张表，不触碰任何既有表结构。**
## 二、安全修复（铁律 15 成绩泄露 —— auth 通道缺口）
原有成绩发布门控只覆盖 4 条通道，遗漏了 auth 的**三条同源通道**：三处都直接
回传 `toJSON()`，在 `score_published_<group> = false`（未发布）时照样下发成绩，
而同期 `GET /api/score` 正确返回 `null`。
- `POST /api/auth/login` —— 实测未发布态回传 `score`
- `GET /api/auth/current-user` —— 全字段 `toJSON`，连带下发分项
- `POST /api/auth/refresh` —— 全字段 `toJSON`，且前端 `doSilentRefresh()`
会把响应 `user` 写入 `localStorage` 与 Pinia，等效于登录通道；
实测泄漏 `score` + `exam_score` + `word_score` + `ppt_score` 共 4 个字段
修复方式：新增 `AuthService.toClientUser()` 作为**唯一出口**，三处全部收敛，
禁止各自直接 `toJSON`。口径：
- 该组已发布 → 保留 `score`；未发布 / 查询异常 → 剔除 `score`（异常按未发布，安全默认）
- `exam_score` / `word_score` / `ppt_score` **任何情况下都不下发**
（前端不使用；保留会形成"总分虽隐藏、分项可加总"的旁路）
门禁 `scripts/verify_score_leak_all_channels.py` 相应从 14 项扩到 20 项，
新增通道⑤/⑥/⑦断言（含"发布后 score 必须恢复"的**正向对照**，防止
"永不回传"式过度封堵造成假绿），并经变异注入自检证明断言可证伪。
## 三、移除已弃用的 Word 模板
中职 / 高职各 3 个历史 Word 模板（`app/public/templates/{zhongzhi,gaozhi}/*.docx`）
随需求一并移除；目录保留 `.gitkeep` 以维持路径存在。
---
验证：G10 铁律15 门禁 20/20 PASS（含变异自检，EXIT=0）、G9 铁律14 门禁 22/22 PASS、
窗口哨兵残留自检 6/6 PASS。前端配套改动见前端仓库提交 1bfe007。
|
2026-09-21 11:57:58 +08:00 |
|
