|
|
ae436c01ca
|
fix(auth): seeder 002 改种 admins + 默认口令守卫补 'admin'（候选⑳/㉑）
候选⑳：002-seed-admin.js 原 bulkInsert 到 accounts 表（row 含 role/name_cn/salt
等列），但登录链路读 admins 表（service/auth.js:101 findAdmin() → model/admin.js:49
tableName='admins'）⇒ 原写法属死写入，种下的行永不被登录读取。改为写入 admins 并按
其真实列契约（id/username/password/created_at/updated_at）重写 row；down() 同步改
bulkDelete('admins', {username:'admin'})。前置已全仓 grep 确认 accounts.role='admin'
零消费点（后端 4 处 Account 用法均按 id_number/uid 定位；role==='admin' 5 处判定全
作用于 JWT payload / 前端本地态）。
候选㉑：DEFAULT_ADMIN_PASSWORDS 原为 ['admin123','admin123456']，不含 'admin'，而
schema.sql 建库路径的初始口令恰为 admin ⇒ 生产未改密时该口令可绕过 4005 守卫
（verifyPassword 兼容 SHA256 ⇒ 可直接登录）。已补入 'admin'。结构性缺口（口令字面
判据 ⇒ 未枚举的默认口令均绕过）未消除，登记为 BACKLOG 候选㉒。
同源引用同步（就地更正、零删除）：schema.sql:213-218 注释、docs/modules.md:581
注释（含行号引用 378→387）。
验证：node --check 通过；R111 判别力自证 22/22 PASS + 4 项变异全红；
verify_no_secrets HIGH 0 / CAND 2（与基线一致 ⇒ 零新增）；verify_tautology_guard
PASS；verify_constant_shape_guard PASS。
|
2026-10-14 10:47:51 +08:00 |
|
|
|
a2e24aba2a
|
feat(auth): 口令强度策略（弱口令黑名单 / 账号派生值 / 长度上限）
背景（R61 实测）：浏览器密码管理器在「设置密码」页预填 123456，考生若直接提交，该口令即成为其账号真实口令；而后端此前仅由 validate 校验「长度 >= 6」，弱口令完全合法。R62 已从前端修掉预填，本次补齐后端这道闸门。
- app/lib/passwordPolicy.js + password_blacklist.json：口令策略唯一事实来源。黑名单刻意做成纯 JSON，供 Node 运行时与运维脚本共用，避免两份清单漂移。
- controller/auth.js：activate() 与 resetPassword() 接入策略（错误码 2001 / 7001），位置在 validate 之后、短信校验之前（纯本地计算、无副作用、快速失败）。
- validate/index.js：补 max:20，与前端 el-form 规则对齐（此前只有前端限制长度上限）。
- scripts/_db.cjs：DB 配置解析唯一入口；scan_weak_password_accounts.cjs：存量弱口令只读扫描器；verify_password_policy_api.cjs：真接口验证（含「强口令通过」正向对照臂，防假绿）。
|
2026-09-30 11:56:35 +08:00 |
|
|
|
23604f2718
|
feat(exam/auth): 登录闸门 + 交卷稳定性加固（R4-R8）
R4 登录/交卷背压闸门
- app/middleware/concurrency_guard.js: 新增。超限即 429 + Retry-After（立即拒绝式，
不排队；实测 429 P50=34ms）。RETRY_AFTER 收敛为单一有依据常量 = '2'
（≈1.8 个满载窗口；实测 bcryptjs 1129ms / 原生 265ms 每窗口）。
配额：LOGIN_MAX=16 / SUBMIT_MAX=24 / HEAVY_REQ_MAX=20，各 *REQ_MAX 覆盖。
- config/config.default.js: 闸门配额与连接池容量配置；DB dialect 锁 mysql。
R7 顺序红线 + R8 Retry-After 同源 + 原生 bcrypt
- 3 处硬编码 '2' 收敛为单一常量；补"勿因换实现而删闸门"红线注释。
- bcryptjs -> bcrypt@6（N-API，Windows/Linux 均免编译；drop-in，存量哈希 $2b$10$ 兼容）。
- app/model/account.js / app/service/auth.js: 同步哈希实现注释（D4 全族 5 处陈旧
SHA256 注释修正）。
答题链路与综合大题
- app/controller/exam.js: 中职/高职综合大题接口（GET big-question / POST big-answer，
逐问 2000 字上限校验）；uploadWord 对中职/高职封堵（400）。
- app/service/exam.js: 抽题快照 question_snapshot 落库、答案归集键修正。
- app/controller/auth.js / app/service/auth.js: toClientUser() 唯一出口，
未发布态按组剔除 score，exam_score/word_score/ppt_score 任何情况下不下发。
- app/router.js: 新增大题与管理端路由。
- app/extend/helper.js: 下载文件名 RFC5987 编码（禁双重编码）。
- app.js: 池容量断言按 env 区分单/多 worker（防 dev 假日志）。
验证：ci-gates.sh 9/9 全绿；verify_login_guard.py 28/28（含 D 组变异 9/9）；
真实登录/抽题/交卷端到端 code=0；前端构建 BUILD_RC=0。
|
2026-09-22 09:16:55 +08:00 |
|
|
|
8ef18da395
|
feat(big-question): 中职/高职组「综合大题」在线作答 + 封堵 auth 成绩泄露三通道
## 一、需求变更：中职/高职组 Word 文件上传题 → 在线「综合大题」
按 2026-09-21 需求变更，中职组 / 高职组取消 Word 文件上传题，改为在线作答
综合大题（1 道大题 × 3 个小问 × 每小问 10 分 = 大题 30 分）。
- 新增表（迁移 023/024）
· `big_questions` —— 题库（题干富文本含表格 + 三小问提示语 + 评分口径）
· `big_question_answers` —— 作答（抽题快照 + 三小问答案 + 按小问得分）
两份迁移同时提供 `.sql`（生产直跑）与 `.js`（本地/CI 幂等执行）。
- 新增 model：`app/model/bigQuestion.js`、`app/model/bigQuestionAnswer.js`
- 新增 service：`app/service/bigQuestion.js`（抽题 / 保存答案 / 评分核心逻辑）
- 考生端接口（`app/controller/exam.js`）
· `GET /api/exam/:group/big-question` —— 首次抽题并落库题干快照，
后续一律返回同一道题（**幂等**，防止同一考生拿到不同题干引发纠纷）
· `POST /api/exam/:group/big-answer` —— 保存三小问答案，带考试窗口门控
- 管理端接口（`app/controller/admin.js`）
· 题库 CRUD：`/api/admin/big-questions/:group[/:id]`
· 作答查证：`GET /api/admin/big-answers/:group`（考生 → 抽到的题 → 三小问 → 提交时间）
· 按小问评分：`PUT /api/admin/big-answers/:group/:uid/scores`
- 服务端封堵越界数据：`app/controller/exam.js` 对中职/高职组的 Word 上传接口
一并拒绝（前端入口已移除，但直调 API 仍可绕过）。
**所有新增读写仅落在新增的两张表，不触碰任何既有表结构。**
## 二、安全修复（铁律 15 成绩泄露 —— auth 通道缺口）
原有成绩发布门控只覆盖 4 条通道，遗漏了 auth 的**三条同源通道**：三处都直接
回传 `toJSON()`，在 `score_published_<group> = false`（未发布）时照样下发成绩，
而同期 `GET /api/score` 正确返回 `null`。
- `POST /api/auth/login` —— 实测未发布态回传 `score`
- `GET /api/auth/current-user` —— 全字段 `toJSON`，连带下发分项
- `POST /api/auth/refresh` —— 全字段 `toJSON`，且前端 `doSilentRefresh()`
会把响应 `user` 写入 `localStorage` 与 Pinia，等效于登录通道；
实测泄漏 `score` + `exam_score` + `word_score` + `ppt_score` 共 4 个字段
修复方式：新增 `AuthService.toClientUser()` 作为**唯一出口**，三处全部收敛，
禁止各自直接 `toJSON`。口径：
- 该组已发布 → 保留 `score`；未发布 / 查询异常 → 剔除 `score`（异常按未发布，安全默认）
- `exam_score` / `word_score` / `ppt_score` **任何情况下都不下发**
（前端不使用；保留会形成"总分虽隐藏、分项可加总"的旁路）
门禁 `scripts/verify_score_leak_all_channels.py` 相应从 14 项扩到 20 项，
新增通道⑤/⑥/⑦断言（含"发布后 score 必须恢复"的**正向对照**，防止
"永不回传"式过度封堵造成假绿），并经变异注入自检证明断言可证伪。
## 三、移除已弃用的 Word 模板
中职 / 高职各 3 个历史 Word 模板（`app/public/templates/{zhongzhi,gaozhi}/*.docx`）
随需求一并移除；目录保留 `.gitkeep` 以维持路径存在。
---
验证：G10 铁律15 门禁 20/20 PASS（含变异自检，EXIT=0）、G9 铁律14 门禁 22/22 PASS、
窗口哨兵残留自检 6/6 PASS。前端配套改动见前端仓库提交 1bfe007。
|
2026-09-21 11:57:58 +08:00 |
|
WorkBuddy
|
a303cf2d53
|
chore: 后端首次基线提交
运行必须源码：app/(controller/model/service/middleware/lib/utils/validate/router)、config/、database/(migrations/seeders/sql)、启动脚本、app/public/templates 模板。
已忽略运行非必须：node_modules/、logs/、run/、app/public 运行时上传数据、.env*、构建/缓存产物。
|
2026-08-17 12:25:42 +08:00 |
|
