3 Commits

Author	SHA1	Message	Date
qubiaobiao	ae436c01ca	fix(auth): seeder 002 改种 admins + 默认口令守卫补 'admin'（候选⑳/㉑） ... 候选⑳：002-seed-admin.js 原 bulkInsert 到 accounts 表（row 含 role/name_cn/salt 等列），但登录链路读 admins 表（service/auth.js:101 findAdmin() → model/admin.js:49 tableName='admins'）⇒ 原写法属死写入，种下的行永不被登录读取。改为写入 admins 并按 其真实列契约（id/username/password/created_at/updated_at）重写 row；down() 同步改 bulkDelete('admins', {username:'admin'})。前置已全仓 grep 确认 accounts.role='admin' 零消费点（后端 4 处 Account 用法均按 id_number/uid 定位；role==='admin' 5 处判定全 作用于 JWT payload / 前端本地态）。 候选㉑：DEFAULT_ADMIN_PASSWORDS 原为 ['admin123','admin123456']，不含 'admin'，而 schema.sql 建库路径的初始口令恰为 admin ⇒ 生产未改密时该口令可绕过 4005 守卫 （verifyPassword 兼容 SHA256 ⇒ 可直接登录）。已补入 'admin'。结构性缺口（口令字面 判据 ⇒ 未枚举的默认口令均绕过）未消除，登记为 BACKLOG 候选㉒。 同源引用同步（就地更正、零删除）：schema.sql:213-218 注释、docs/modules.md:581 注释（含行号引用 378→387）。 验证：node --check 通过；R111 判别力自证 22/22 PASS + 4 项变异全红； verify_no_secrets HIGH 0 / CAND 2（与基线一致 ⇒ 零新增）；verify_tautology_guard PASS；verify_constant_shape_guard PASS。	2026-10-14 10:47:51 +08:00
qubiaobiao	6d3fbd62b4	security(seeders): 初始管理员 seeder 支持 ADMIN_INIT_PASSWORD 覆盖（R110-B5①b） ... - 002-seed-admin.js：口令改为「内置 bcrypt 哈希默认 + ADMIN_INIT_PASSWORD 环境变量覆盖」； 提供环境变量时以 bcrypt.hashSync(值,10) 重算哈希、salt 取哈希前 29 字符（bcrypt 盐前缀）。 - 默认分支保持原哈希不变 ⇒ 既有开发/演示链路（admin123）零回归。 - 本文件⛔不落盘任何明文口令（铁律 25）；凭据扫描 CAND 计数 2 → 2（零新增，可见性无损）。	2026-10-14 10:22:53 +08:00
WorkBuddy	a303cf2d53	chore: 后端首次基线提交 ... 运行必须源码：app/(controller/model/service/middleware/lib/utils/validate/router)、config/、database/(migrations/seeders/sql)、启动脚本、app/public/templates 模板。 已忽略运行非必须：node_modules/、logs/、run/、app/public 运行时上传数据、.env*、构建/缓存产物。	2026-08-17 12:25:42 +08:00