hyzl-agent-backEnd/competition-website
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
9 Commits 1 Branch 0 Tags
cbc05ed4e75423983a200c440b3326fbeef3343e
Commit Graph

4 Commits

Author SHA1 Message Date
qubiaobiao
079c1b31c9 R20：客观题分值口径 + 大题一位小数评分 + 页面刷新修复 + 大题导出 Word 
A1/A2 客观题：
- 清理题库占位题（答案恒 A/true、分值恒 5），客观题分值硬约束为 1 分
- 新增 scripts/check_question_bank_health.py（带变异注入自检，已验证判别力）
- ci-gates.sh 由 9 步扩为 10 步，纳入题库健康门禁

B 大题评分一位小数：
- 新增 app/lib/decimal_score.js：DECIMAL(6,1) + getter 兜底，单点收口
  「DB 列 / model 声明 / dialectOptions.decimalNumbers」三处必须同时成立
- 10 个 model 的 score 字段改走该工厂
- database/migrations/025：17 列 INT → DECIMAL(6,1)（6 列题目分值保持 int）
- service/bigQuestion.js：setSubScores 用 Math.round(n*10)/10 收敛，不再抹成整数

C 页面状态刷新：
- 修复 onQuestionTypeChange 的 `bigQuestions.length === 0` 守卫（切组后旧数组仍非空
  ⇒ 永不重新拉取）
- 修复评分后只刷一半（saveBigScores / saveExamScore 各只刷一侧列表）
- 收敛为唯一刷新入口 refreshQuestionData()；ensureBigData 改按「数据属于哪个组」
  判定；fetchBigQuestions/fetchBigAnswers 增加组别竞态守卫

D 大题导出 Word（单题 / 批量 / 全部）：
- 新增 app/lib/docx.js：零新依赖手写 OOXML（复用已有 archiver@8），支持 p/strong/
  span/a/br/table/ul-ol 子集，具名捕获组词法解析，pPr 严格排在 runs 之前
- service.bigQuestion.exportQuestions + controller.exportBigQuestions +
  GET /api/admin/big-questions/:group/export
- 前端导出选中/全部两按钮 + 表格多选（reserve-selection）

计划外发现并修复（已在报告中披露）：
- 管理端跨组写分越权：setSubScores 定位作答行时缺 group 约束，可用任意组的路径
  改写他组考生成绩（读写不对称：读取侧有 where:{group}，写入侧没有）
  ⇒ 已补 group 约束，并区分「不属于本组」与「尚未抽题」两种文案
- 导出路由注册顺序：export 原注册在 :group/:id 之后（当时因后者仅 PUT/DELETE 而
  未暴露问题），已前移以消除「将来新增 GET /:group/:id 会吞掉 export」的隐患

验证（全部实测，非仅看退出码）：
- ci-gates.sh 10/10 全绿；四连门禁 52/0 · 22/0 · 20/0 · 46/0
- 端到端探针 probe_d_03（导出+小数）ALL PASS；probe_e_01（切组刷新）22/22 ALL PASS
- 前端构建 VITE_EXIT=0

未 push：须先上线验证通过再单独授权。
 2026-09-23 18:29:50 +08:00
qubiaobiao
a019df510d chore(security): 处置已入库的本地 DB 口令（P1-P3；P4 改历史不做） 
背景（R14 登记的 §16.3）：
  git grep -l "74191221" HEAD 曾命中 7 个文件，全为本地 MariaDB root 口令
  （已核实无生产凭据）。本次按登记项执行 P1-P3；P4（git filter-repo 改写
  历史）明确不做。

P1  database/config.json（dev/test 两段明文口令）
  - 加入 .gitignore
  - 新增 database/config.json.example（口令为 CHANGE_ME 占位符）
  - git rm --cached（保留磁盘文件，本地 sequelize-cli 不受影响）
  - 注意：这是对共享仓库的文件移除。push 后其他克隆需
    cp database/config.json.example database/config.json 并填入口令。

P2  五个脚本口令环境变量化（去明文兜底）
  - add_word_cols.js / add_wx_link.js / show_tables.js / seed-carousel.js
    内联 '74191221' 改为 process.env.DB_PASSWORD（另支持 DB_HOST/DB_USER/DB_NAME）
  - scripts/diagnose_upload_download.cjs：process.env.DB_PASS || '74191221'
    改为 process.env.DB_PASS；用法注释中的示例口令改为占位符
  - 有意的行为变更：未注入 DB_PASSWORD 时明确失败，不再静默使用公开口令

P3  config/config.default.js 消除「生产静默回退公开口令」
  - sequelize.password 去掉 || '74191221'
  - redis.client.password 去掉 || '74191221'
  - 生产安全守卫新增 DB_PASSWORD 缺失阻断（与 JWT_SECRET/APP_KEYS 同源同形）
  - deploy/.env.production 本就含 DB_PASSWORD ⇒ 现网零影响

验证（全部实测）：
  - git grep 74191221 工作树零命中（HEAD 仍有，属 P4 不做范围）
  - 裸启动（无任何 DB 变量）成功：本地口令由 config.local.js 提供
  - 端到端：health db:ok + admin-login code=0
  - MySQL 侧独立取证：processlist = root @ competition_db
  - 变异测试（改坏 config.local.js 口令）⇒ 报 1045 且用户名仍为 root
    ⇒ 同证 P3 兜底确已移除 + R18 的生产账号过滤仍生效
  - P2 双向验证：无 DB_PASSWORD 失败 / 注入后正常列 27 张表
  - 门禁四连：verify_scoring_e2e 17/0、verify_exam_submit_integrity 46/0、
    verify_big_question --cleanup（清理+窗口还原）、check_no_proxy_guard 5 变异全检出
 2026-09-23 16:34:08 +08:00
qubiaobiao
8ef18da395 feat(big-question): 中职/高职组「综合大题」在线作答 + 封堵 auth 成绩泄露三通道 
## 一、需求变更：中职/高职组 Word 文件上传题 → 在线「综合大题」

按 2026-09-21 需求变更，中职组 / 高职组取消 Word 文件上传题，改为在线作答
综合大题（1 道大题 × 3 个小问 × 每小问 10 分 = 大题 30 分）。

- 新增表（迁移 023/024）
  · `big_questions`        —— 题库（题干富文本含表格 + 三小问提示语 + 评分口径）
  · `big_question_answers` —— 作答（抽题快照 + 三小问答案 + 按小问得分）
  两份迁移同时提供 `.sql`（生产直跑）与 `.js`（本地/CI 幂等执行）。
- 新增 model：`app/model/bigQuestion.js`、`app/model/bigQuestionAnswer.js`
- 新增 service：`app/service/bigQuestion.js`（抽题 / 保存答案 / 评分核心逻辑）
- 考生端接口（`app/controller/exam.js`）
  · `GET  /api/exam/:group/big-question` —— 首次抽题并落库题干快照，
    后续一律返回同一道题（**幂等**，防止同一考生拿到不同题干引发纠纷）
  · `POST /api/exam/:group/big-answer`   —— 保存三小问答案，带考试窗口门控
- 管理端接口（`app/controller/admin.js`）
  · 题库 CRUD：`/api/admin/big-questions/:group[/:id]`
  · 作答查证：`GET /api/admin/big-answers/:group`（考生 → 抽到的题 → 三小问 → 提交时间）
  · 按小问评分：`PUT /api/admin/big-answers/:group/:uid/scores`
- 服务端封堵越界数据：`app/controller/exam.js` 对中职/高职组的 Word 上传接口
  一并拒绝（前端入口已移除，但直调 API 仍可绕过）。

**所有新增读写仅落在新增的两张表，不触碰任何既有表结构。**

## 二、安全修复（铁律 15 成绩泄露 —— auth 通道缺口）

原有成绩发布门控只覆盖 4 条通道，遗漏了 auth 的**三条同源通道**：三处都直接
回传 `toJSON()`，在 `score_published_<group> = false`（未发布）时照样下发成绩，
而同期 `GET /api/score` 正确返回 `null`。

- `POST /api/auth/login`         —— 实测未发布态回传 `score`
- `GET  /api/auth/current-user`  —— 全字段 `toJSON`，连带下发分项
- `POST /api/auth/refresh`       —— 全字段 `toJSON`，且前端 `doSilentRefresh()`
  会把响应 `user` 写入 `localStorage` 与 Pinia，等效于登录通道；
  实测泄漏 `score` + `exam_score` + `word_score` + `ppt_score` 共 4 个字段

修复方式：新增 `AuthService.toClientUser()` 作为**唯一出口**，三处全部收敛，
禁止各自直接 `toJSON`。口径：
- 该组已发布 → 保留 `score`；未发布 / 查询异常 → 剔除 `score`（异常按未发布，安全默认）
- `exam_score` / `word_score` / `ppt_score` **任何情况下都不下发**
  （前端不使用；保留会形成"总分虽隐藏、分项可加总"的旁路）

门禁 `scripts/verify_score_leak_all_channels.py` 相应从 14 项扩到 20 项，
新增通道⑤/⑥/⑦断言（含"发布后 score 必须恢复"的**正向对照**，防止
"永不回传"式过度封堵造成假绿），并经变异注入自检证明断言可证伪。

## 三、移除已弃用的 Word 模板

中职 / 高职各 3 个历史 Word 模板（`app/public/templates/{zhongzhi,gaozhi}/*.docx`）
随需求一并移除；目录保留 `.gitkeep` 以维持路径存在。

---
验证：G10 铁律15 门禁 20/20 PASS（含变异自检，EXIT=0）、G9 铁律14 门禁 22/22 PASS、
窗口哨兵残留自检 6/6 PASS。前端配套改动见前端仓库提交 1bfe007。
 2026-09-21 11:57:58 +08:00
WorkBuddy
a303cf2d53 chore: 后端首次基线提交 
运行必须源码：app/(controller/model/service/middleware/lib/utils/validate/router)、config/、database/(migrations/seeders/sql)、启动脚本、app/public/templates 模板。
已忽略运行非必须：node_modules/、logs/、run/、app/public 运行时上传数据、.env*、构建/缓存产物。
 2026-08-17 12:25:42 +08:00