hyzl-agent-backEnd/competition-website
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
39 Commits 1 Branch 0 Tags
5392345078e22ab00f10ecb37ee9680f18cd1737
Commit Graph

8 Commits

Author SHA1 Message Date
qubiaobiao
5392345078 feat(score): R173/R174 大题成绩 Excel 导入（三小问四列制）+ 三节点备份调度器与四项修复 
成绩导入（R173 落地 → R174 改为三小问四列制）
- app/lib/bigScoreImport.js（新增 · 判据唯一真相源 · 零依赖：不 require Egg / 不连库 / 不读文件）
  · R174 删除 splitScoreAcrossSubs（均分），改为 scoreSubs 逐项取值
  · 留空 SUB_MISSING（整行拒绝，⛔ 不按 0 分）· 非数值 SUB_INVALID · 超单问上限 SUB_OUT_OF_RANGE
  · 文件级 LEGACY_TEMPLATE（旧两列模板）与 SUB_COLUMNS_MISSING（缺一小问整列）⇒ 整份拒绝
  · 定位键必须带 group：(group, team_uid)，因 team_uid 跨组重号
- app/service/bigQuestion.js
  · buildScoreTemplate 改四列 + 说明书重写（删均分段，补"三列必须全填"与"旧模板不再支持"）
  · previewScoreImport 回带 subRaws/subs/total；importScores 逐项写 setSubScores
  · ⛔ 不新增第二条写成绩通路：仍只走 setSubScores → admin.updateScores
- app/lib/docx.js：run 支持 color（6 位 hex）；w:color 必须排在 w:sz 之前（CT_RPr sequence）
- app/controller/admin.js + app/router.js：import-template / import-preview（零写入）/ import-scores
  · 上传内存解析不落盘（app/public 对静态服务开放 ⇒ 成绩表可被猜名下载）

节点备份调度器（R168/R170）
- app/lib/nodeBackupScheduler.js（新增）：考试开始前 30min / 结束后 10min / 成绩发布瞬间
  · 幂等键 group:node:fireAtISO（时间点即身份）；overdue 判定用 clamp:false 的数学时刻
  · 非生产 enabled 强制 false 且 fail-safe（与 DEPLOY_ENV_LOCAL_SKIP_PREFIXES 同源）
- config/config.default.js：config.nodeBackup 四项路径全走环境变量，默认值只覆盖本地
  （生产目录布局与仓库不一致，⛔ 不许用 __dirname 推导）
- app.js：启动构造单例 + hydrate 未到期计划

缺陷修复
- app/controller/admin.js：R161 临时文件路径移到 try 外声明，否则导入抛错即跳过清理
- app/service/admin.js：R166「已答 N / N 题」恒真显示（原 totalQuestions = answeredCount）
- app/service/upload.js + app/controller/upload.js：R157/R162 删除结果计数 + @no-temp-cleanup 标注

测试
- .gitignore + test/lib.test.js：R134 候选 ㊴ —— test/* + !test/*.test.js，
  使第 26 步裸 mocha 在干净检出上可复现（改前 rc=1 ↔ 改后 23 passing）
 2026-10-19 13:03:48 +08:00
qubiaobiao
95ad1adca4 fix(deps): xlsx → @e965/xlsx@0.20.3（消除两处已知 high 供应链漏洞） 
背景：npm 上的 xlsx 永久冻结在 0.18.5（SheetJS 已停止向 npm 发布），该版本含
CVE-2023-30533（原型污染，0.19.3 修复）与 CVE-2024-22363（ReDoS，0.20.2 修复）两处 high，
而 npm 上**不存在**修复版本——官方修复版只发自家 CDN。

选型判据=CDN 可达性：本机实测 cdn.sheetjs.com 不可达（curl rc=35 schannel 吊销离线；
--ssl-no-revoke 后 rc=28 超时），采用官方 CDN tarball 会把「依赖能否装上」变成部署单点。
故改用 npm 上忠实转发官方 CDN 构建的 @e965/xlsx（0.20.3，含上述两处修复、零依赖、
API 与 xlsx 全等）。未选 exceljs：其 API 完全不同，11 个调用点需全量重写且写入变异步，
风险直接落在承载生产导入路径的代码上。

- package.json：xlsx@^0.18.0 → @e965/xlsx@^0.20.3
- app/service/admin.js（成绩导出 / 客观题模板 / 报名表导入 / 客观题导入）
  app/service/bigQuestion.js（综合大题模板 / 综合大题导入）：仅改 require 包名，
  业务逻辑零改动（共 6 条路径 / 11 个调用点）
- package-lock.json：移除 xlsx 及其 7 个传递依赖（cfb/codepage/ssf/wmf/word/adler-32/frac），
  净 −7 包

验证：API 面 + 写读往返 PASS；差分测试 24/24（含畸形尺寸样本与 201 行模板）；
真实 HTTP 回归 6 条路径 PASS（写 3/3 均 PK 头、读 3/3 正效应且落库计数吻合）；
跨库往返 6/6；npm audit 中 xlsx 命中【无】（backend high 23 → 22）。
 2026-10-10 15:15:37 +08:00
qubiaobiao
15c9ab6f91 fix(big-question): 小问改为与后台一致的「选填」，模板说明补充常见疑问 
去掉 Excel 导入里「三个小问必须全部填写」的硬拦截：后台手工录入的弹窗标签写明
「可留空」，且 validateQuestionPayload 对小问无非空校验 ⇒ 导入比手工更严会让测试人员
困惑「手工能录、Excel 被拒」。现行为与后台一致，「建议三问写全」改为在模板说明中提示。

模板「填写说明」新增【常见疑问】5 问（29 行 → 46 行），直接回答：排序/状态填 0
是否有误、为何建议状态 0、导入后是否会一直不参与考试、题干与题干HTML 填哪个、小问能否留空。
「排序」补上「数值越小越靠前」（此前说明缺失，与后台弹窗标签不一致）；
「状态」补上「1=启用（参与随机抽题）· 0=停用」的完整语义与启用操作路径。
 2026-10-08 10:23:49 +08:00
qubiaobiao
154338e5dd feat(big-question): 综合大题 Excel 模板下载 + 批量导入（R73） 
新增 GET /api/admin/big-questions/:group/template —— 生成自解释模板：
数据 sheet 排第 1（导入侧按 SheetNames[0] 解析，是承重契约）+「填写说明」sheet，
含列名含义/状态建议/常见被拒原因，让测试人员下载即会用，不依赖外部文档。

新增 POST /api/admin/big-questions/:group/import-excel —— 逐行调用
service.bigQuestion.createQuestion，标题长度/三小问/分值/泄题检测(detectAnswerLeak)
全部自动继承，与手工录入同一入口同一校验；批量导入绝不成为绕过防呆的后门。
组别以 URL :group 为准，忽略表格里的组别列；同组内标题重复即跳过并报错；
状态缺省 0（停用），批量录入的题未经人工校对不直接进抽题池。

客观题模板 buildQuestionTemplate 同步加「填写说明」sheet：数据 sheet 仍排第 1、
原 8 列不变，故 importQuestionsFromExcel 的 SheetNames[0] 解析不受影响（已离线验证）。
路由顺序硬约束：含具体段的 template / import-excel 必须排在通配段 /:id 之前。
 2026-10-08 10:08:41 +08:00
qubiaobiao
2ab0991310 fix(admin): 复核页选择题选项渲染修复 + 阅卷导出 Word + 评分两位小数（R28） 
针对测试人员反馈的四项：
1) 复核明细「选择题大量空白」：options 为 text 列存 JSON 字符串，原先被原样透传，
   前端 v-for 对字符串逐字符迭代（op.key/op.text 皆 undefined）⇒ 每字符渲染一行。
   新增 parseOptions()（仅 string 才 JSON.parse，失败降级 null）。
2) 选项与答案不随机：仅题目用 RAND() 抽题，normalizeQuestion 无 shuffle，字母无歧义。
3) 评分精度：DECIMAL(6,1) -> DECIMAL(6,2)，migration 026 覆盖 17 列（与 025 同范围），
   lib/decimal_score.js 与 11 个 model 注释同步；汇总收敛 round2（×100/100）。
4) 阅卷导出：GET /api/admin/big-answers/:group/export?ids=
   单选考生 -> 直接 .docx；多位/全部 -> 每位考生单独 .docx 打包 .zip。
   路由为 3 段，注册在 :group 通配段之前。

验证：verify_big_question 51 PASS/1 FAIL（唯一 FAIL=测试人员新数据，非本次改动）、
verify_score_leak_all_channels 24/24、verify_question_no_answer_leak 4/3/0/1。
 2026-09-28 15:50:46 +08:00
qubiaobiao
37d07907a1 feat(big-question): 录入侧防呆——题干不得含「可直抄的答案」（R27） 
背景（2026-09-28 测试人员实测反馈）：
  「答题时大题部分有参考答案。」初判怀疑前端未区分 / 评分系统未隔离，
  实测两条均被证伪：
    · 前端 Competition.vue 仅渲染 description / sub_prompts，无答案区块；
    · 后端 buildSnapshot() / getForCandidate() 返回字段无 answer；
    · 建表 DDL 023-024 的 big_questions 无答案列；
    · 真实联调 question 字段 = [big_question_uid, description, score_per_sub,
      snapshot_at, sub_prompts, title, total_score]。
  ⇒ 泄露 100% 来自**题库录入内容**：中职组启用题 id=38 的题干内嵌
    「指令输入示例」（>OFFMSG,COM1*4A 等三条），而第 3 小问正是问这些指令。

为什么守点是录入入口：
  抽题快照 question_snapshot **抽题即固化**（防纠纷设计）⇒ 事后改题库
  **撤不回**已抽考生看到的版本；下发链路本身无泄漏点 ⇒ 只能在录入时拦。

改动：
  · 新增 detectAnswerLeak()：扫 title / description / sub_prompt_1..3
      ① 「参考答案 / 标准答案 / 评分标准 / 评分细则 / 答案要点」字样；
      ② 带**字面参数**的指令示例（>CMD,值*两位十六进制校验码）。
  · validateQuestionPayload() 内调用 ⇒ create 与 update **同源**拦截；
    命中返回 code=SUSPECT_ANSWER_LEAK，message 直接教会管理员怎么改。
  · 兼容 > 与裸 > 两种存储形态。

边界（刻意为之，勿收紧）：
  格式定义（参数用方括号占位，如 >OFFMSG[,Port[,Message]]*CS）**不拦** ——
  校验码限定「两位十六进制」天然排除占位符 *CS（S 非 hex）。
  向考生提供指令**手册**是允许的；等同于答案的**成品**才不允许。
  —— 与同日数据修复口径一致（只删示例、保留格式定义）。

实测（后端已重启加载新码，5/5 PASS）：
  ① 合法格式定义题 → 放行（code=0，新增 1 行）
  ② 含指令示例 → 拒绝 HTTP200 code=400，**未落库**
  ③ 含「参考答案」字样 → 拒绝，未落库
  ④ PUT 更新路径 → 同样拒绝，且原内容未被改写
  ⑤ 清理复原：行数与 MAX(id) 回到基线
 2026-09-28 11:58:14 +08:00
qubiaobiao
079c1b31c9 R20：客观题分值口径 + 大题一位小数评分 + 页面刷新修复 + 大题导出 Word 
A1/A2 客观题：
- 清理题库占位题（答案恒 A/true、分值恒 5），客观题分值硬约束为 1 分
- 新增 scripts/check_question_bank_health.py（带变异注入自检，已验证判别力）
- ci-gates.sh 由 9 步扩为 10 步，纳入题库健康门禁

B 大题评分一位小数：
- 新增 app/lib/decimal_score.js：DECIMAL(6,1) + getter 兜底，单点收口
  「DB 列 / model 声明 / dialectOptions.decimalNumbers」三处必须同时成立
- 10 个 model 的 score 字段改走该工厂
- database/migrations/025：17 列 INT → DECIMAL(6,1)（6 列题目分值保持 int）
- service/bigQuestion.js：setSubScores 用 Math.round(n*10)/10 收敛，不再抹成整数

C 页面状态刷新：
- 修复 onQuestionTypeChange 的 `bigQuestions.length === 0` 守卫（切组后旧数组仍非空
  ⇒ 永不重新拉取）
- 修复评分后只刷一半（saveBigScores / saveExamScore 各只刷一侧列表）
- 收敛为唯一刷新入口 refreshQuestionData()；ensureBigData 改按「数据属于哪个组」
  判定；fetchBigQuestions/fetchBigAnswers 增加组别竞态守卫

D 大题导出 Word（单题 / 批量 / 全部）：
- 新增 app/lib/docx.js：零新依赖手写 OOXML（复用已有 archiver@8），支持 p/strong/
  span/a/br/table/ul-ol 子集，具名捕获组词法解析，pPr 严格排在 runs 之前
- service.bigQuestion.exportQuestions + controller.exportBigQuestions +
  GET /api/admin/big-questions/:group/export
- 前端导出选中/全部两按钮 + 表格多选（reserve-selection）

计划外发现并修复（已在报告中披露）：
- 管理端跨组写分越权：setSubScores 定位作答行时缺 group 约束，可用任意组的路径
  改写他组考生成绩（读写不对称：读取侧有 where:{group}，写入侧没有）
  ⇒ 已补 group 约束，并区分「不属于本组」与「尚未抽题」两种文案
- 导出路由注册顺序：export 原注册在 :group/:id 之后（当时因后者仅 PUT/DELETE 而
  未暴露问题），已前移以消除「将来新增 GET /:group/:id 会吞掉 export」的隐患

验证（全部实测，非仅看退出码）：
- ci-gates.sh 10/10 全绿；四连门禁 52/0 · 22/0 · 20/0 · 46/0
- 端到端探针 probe_d_03（导出+小数）ALL PASS；probe_e_01（切组刷新）22/22 ALL PASS
- 前端构建 VITE_EXIT=0

未 push：须先上线验证通过再单独授权。
 2026-09-23 18:29:50 +08:00
qubiaobiao
8ef18da395 feat(big-question): 中职/高职组「综合大题」在线作答 + 封堵 auth 成绩泄露三通道 
## 一、需求变更：中职/高职组 Word 文件上传题 → 在线「综合大题」

按 2026-09-21 需求变更，中职组 / 高职组取消 Word 文件上传题，改为在线作答
综合大题（1 道大题 × 3 个小问 × 每小问 10 分 = 大题 30 分）。

- 新增表（迁移 023/024）
  · `big_questions`        —— 题库（题干富文本含表格 + 三小问提示语 + 评分口径）
  · `big_question_answers` —— 作答（抽题快照 + 三小问答案 + 按小问得分）
  两份迁移同时提供 `.sql`（生产直跑）与 `.js`（本地/CI 幂等执行）。
- 新增 model：`app/model/bigQuestion.js`、`app/model/bigQuestionAnswer.js`
- 新增 service：`app/service/bigQuestion.js`（抽题 / 保存答案 / 评分核心逻辑）
- 考生端接口（`app/controller/exam.js`）
  · `GET  /api/exam/:group/big-question` —— 首次抽题并落库题干快照，
    后续一律返回同一道题（**幂等**，防止同一考生拿到不同题干引发纠纷）
  · `POST /api/exam/:group/big-answer`   —— 保存三小问答案，带考试窗口门控
- 管理端接口（`app/controller/admin.js`）
  · 题库 CRUD：`/api/admin/big-questions/:group[/:id]`
  · 作答查证：`GET /api/admin/big-answers/:group`（考生 → 抽到的题 → 三小问 → 提交时间）
  · 按小问评分：`PUT /api/admin/big-answers/:group/:uid/scores`
- 服务端封堵越界数据：`app/controller/exam.js` 对中职/高职组的 Word 上传接口
  一并拒绝（前端入口已移除，但直调 API 仍可绕过）。

**所有新增读写仅落在新增的两张表，不触碰任何既有表结构。**

## 二、安全修复（铁律 15 成绩泄露 —— auth 通道缺口）

原有成绩发布门控只覆盖 4 条通道，遗漏了 auth 的**三条同源通道**：三处都直接
回传 `toJSON()`，在 `score_published_<group> = false`（未发布）时照样下发成绩，
而同期 `GET /api/score` 正确返回 `null`。

- `POST /api/auth/login`         —— 实测未发布态回传 `score`
- `GET  /api/auth/current-user`  —— 全字段 `toJSON`，连带下发分项
- `POST /api/auth/refresh`       —— 全字段 `toJSON`，且前端 `doSilentRefresh()`
  会把响应 `user` 写入 `localStorage` 与 Pinia，等效于登录通道；
  实测泄漏 `score` + `exam_score` + `word_score` + `ppt_score` 共 4 个字段

修复方式：新增 `AuthService.toClientUser()` 作为**唯一出口**，三处全部收敛，
禁止各自直接 `toJSON`。口径：
- 该组已发布 → 保留 `score`；未发布 / 查询异常 → 剔除 `score`（异常按未发布，安全默认）
- `exam_score` / `word_score` / `ppt_score` **任何情况下都不下发**
  （前端不使用；保留会形成"总分虽隐藏、分项可加总"的旁路）

门禁 `scripts/verify_score_leak_all_channels.py` 相应从 14 项扩到 20 项，
新增通道⑤/⑥/⑦断言（含"发布后 score 必须恢复"的**正向对照**，防止
"永不回传"式过度封堵造成假绿），并经变异注入自检证明断言可证伪。

## 三、移除已弃用的 Word 模板

中职 / 高职各 3 个历史 Word 模板（`app/public/templates/{zhongzhi,gaozhi}/*.docx`）
随需求一并移除；目录保留 `.gitkeep` 以维持路径存在。

---
验证：G10 铁律15 门禁 20/20 PASS（含变异自检，EXIT=0）、G9 铁律14 门禁 22/22 PASS、
窗口哨兵残留自检 6/6 PASS。前端配套改动见前端仓库提交 1bfe007。
 2026-09-21 11:57:58 +08:00