fix(security): 修复上传名单文件可被 URL 直连访问（nginx 下可 getshell）
严重漏洞：roster_import 使用 $_FILES 的原始扩展名拼 roster_YYYYMMDD_HHMMSS.<ext>
落在 Web 根目录内的 data/uploads/，既无扩展名白名单（可上传 .php），文件名又
可按秒枚举；而 bootstrap 只写了 data/.htaccess，nginx 不读 .htaccess，
生产环境（nginx + PHP-FPM）下可直接远程代码执行。
修复（api.php roster_import 四层防护）：
- 扩展名白名单：仅 xlsx / xlsm / csv / txt
- 随机文件名：bin2hex(random_bytes(16))，杜绝枚举
- 解析完成后 @unlink 立即删除，Web 目录下不留存任何上传文件
- 20MB 大小限制 + UPLOAD_ERR 检查
加固（bootstrap.php）：data 及 cache/uploads/snapshots 每个目录都写
.htaccess（Deny from all）+ index.html 占位；README 与文档补充 nginx
location ^~ /data/ { deny all; return 404; } 规则。
测试：新增 e2e tools/test-upload-guard.js（11 断言，覆盖 .php/.phtml 被拒、
无残留、合法 csv 导入成功且即删、无可枚举文件名），并入 tests/run-all.sh。
全套 90 项通过。
docs: 新增 VitePress 文档站（18 页）
- 使用指南 12 页：简介/部署/快速上手/系统设置/名单管理/统计口径/试卷设置/
快照趋势异常/导出打印/数据看板/随机抽取/常见问题
- 安全 2 页：安全总览（含本次漏洞复盘）与部署加固清单（P0-P2）
- 开发 4 页：架构与目录/接口一览/SQLite 存储/测试
- 配图迁移至 docs/public/images/；.gitignore 忽略文档构建产物
This commit is contained in:
+106
@@ -0,0 +1,106 @@
|
||||
# 接口一览
|
||||
|
||||
所有接口统一走 `api.php?action=<name>`，响应为 JSON：
|
||||
|
||||
```jsonc
|
||||
// 成功
|
||||
{ "ok": true, "data": { ... } }
|
||||
// 失败
|
||||
{ "ok": false, "error": "错误信息" }
|
||||
```
|
||||
|
||||
- 未登录时返回 `{ "ok": false, "error": "...", "auth": false }`，前端会清会话并跳登录页；
|
||||
- **写操作**必须在 JSON 体里带 `_csrf` 字段（或 `X-CSRF-Token` 头），
|
||||
令牌从 `config_get` 接口获取。
|
||||
|
||||
## 写操作白名单
|
||||
|
||||
`config_save`、`roster_save`、`roster_import`、`roster_clear`、
|
||||
`snapshot_save`、`snapshot_delete`、`unmatched_map`、`project_config_save`
|
||||
|
||||
## 接口清单
|
||||
|
||||
### 认证与配置
|
||||
|
||||
| Action | 方法 | 参数 | 说明 |
|
||||
| --- | --- | --- | --- |
|
||||
| `auth_check` | GET | — | 是否已登录 |
|
||||
| `config_get` | GET | — | 返回配置（密码不回显）+ `csrf_token` + `storage` / `db_driver` / `db_connected` |
|
||||
| `config_save` | POST | JSON 配置对象 | 保存；返回 `conn_changed` 与 `ping` 结果 |
|
||||
| `config_test` | POST | 连接信息 | 测试连接，不落库 |
|
||||
| `ping` | GET | — | 探测卷王是否可达 |
|
||||
| `diag` | GET | — | 诊断信息（存储后端、DB 状态等） |
|
||||
|
||||
> **只有连接信息（地址 / 前缀 / 账号 / 密码 / 证书校验）变化时**，`config_save` 才会清除令牌并重新登录。
|
||||
|
||||
### 数据
|
||||
|
||||
| Action | 方法 | 参数 | 说明 |
|
||||
| --- | --- | --- | --- |
|
||||
| `projects` | GET | — | 卷王项目（问卷 / 考试）列表 |
|
||||
| `data` | GET | `projectId`、`nameQid`、`force` | 主系统数据：统计、成绩行、名单、缺考、未匹配、异常 |
|
||||
| `dashboard` | GET | `projectId`、`nameQid`、`force` | 按班级 / 组别聚合的看板数据 |
|
||||
|
||||
`data` 响应关键字段：
|
||||
|
||||
```
|
||||
stats { total, submitted, absent, rate, avg, pass_rate, max, min, avg_duration }
|
||||
rows[] { sid, name, cls, grp, score, best_score, attempts, attempts_list[],
|
||||
submit_ts, submit_at, last_submit_ts, duration, duration_txt }
|
||||
roster[] { sid, name, cls, grp, login }
|
||||
absent[] 缺考名单
|
||||
unmatched[] 未匹配答卷
|
||||
anomalies { fast_high[], frequent[], identical[] }
|
||||
project_cfg 本卷配置
|
||||
_cache { cached, at }
|
||||
```
|
||||
|
||||
### 名单
|
||||
|
||||
| Action | 方法 | 参数 | 说明 |
|
||||
| --- | --- | --- | --- |
|
||||
| `roster` | GET | — | 名单与元信息 |
|
||||
| `roster_import` | POST | `multipart`：`file`、`mode=replace\|append` | 导入（扩展名白名单 + 随机名 + 解析后即删） |
|
||||
| `roster_save` | POST | JSON `{ students: [...] }` | 全量替换（DELETE + INSERT） |
|
||||
| `roster_clear` | POST | — | 清空 |
|
||||
| `unmatched_map` | POST | JSON `{ name, sid, cls, grp, login }` | 未匹配答卷补入名单（学号已存在则更新姓名） |
|
||||
|
||||
### 每卷配置
|
||||
|
||||
| Action | 方法 | 参数 | 说明 |
|
||||
| --- | --- | --- | --- |
|
||||
| `project_config` | GET | `projectId` | 返回 `cfg`、`effective`（生效值）、`global`（全局默认） |
|
||||
| `project_config_save` | POST | JSON `{ full_score, pass_rate, exempt[] }` | 留空/0 = 清除该项，回落全局 |
|
||||
|
||||
### 快照
|
||||
|
||||
| Action | 方法 | 参数 | 说明 |
|
||||
| --- | --- | --- | --- |
|
||||
| `snapshot_save` | POST | `projectId`、JSON `{ label }` | 保存当前成绩快照 |
|
||||
| `snapshot_list` | GET | `projectId` | 列表 |
|
||||
| `snapshot_delete` | POST | `projectId`、JSON `{ file }` | 删除 |
|
||||
| `snapshot_trend` | GET | `projectId`（可逗号分隔多个，跨卷对比） | 趋势 |
|
||||
|
||||
### 导出
|
||||
|
||||
| Action | 方法 | 参数 | 说明 |
|
||||
| --- | --- | --- | --- |
|
||||
| `export` | GET | `projectId`、`cls`、`grp`、`mode=latest`、`split=cls`、`sort`、`cols` | 成绩明细 `.xlsx` |
|
||||
| `export_absent` | GET | 同上 | 缺考名单 `.xlsx` |
|
||||
| `draw_export` | GET | `type=import\|list` | 白名单导入模板 / 白名单列表 |
|
||||
|
||||
`sort` 取值：`time` / `sid` / `score_desc` / `score_asc`。
|
||||
|
||||
## 前端调用约定
|
||||
|
||||
```js
|
||||
// 读
|
||||
const d = await api('data', { params: { projectId, force: 1 } })
|
||||
// 写：api() 会自动注入 _csrf
|
||||
await api('roster_save', { json: { students } })
|
||||
```
|
||||
|
||||
## 相关
|
||||
|
||||
- [架构与目录](./architecture.md)
|
||||
- [测试](./testing.md)
|
||||
@@ -0,0 +1,110 @@
|
||||
# 架构与目录
|
||||
|
||||
## 技术栈
|
||||
|
||||
- **后端**：PHP 8（过程式 + 少量静态类），零 Composer 依赖
|
||||
- **前端**：原生 HTML / CSS / JavaScript（无框架、无构建步骤）
|
||||
- **存储**：SQLite（PDO），缺失 `pdo_sqlite` 时自动降级为 JSON 文件
|
||||
- **外部依赖**：仅卷王（SurveyKing）开放 API
|
||||
|
||||
## 目录结构
|
||||
|
||||
```
|
||||
ny-exam-platform/
|
||||
├─ index.php 主系统页面（服务端渲染骨架 + 前端挂载）
|
||||
├─ dashboard.php 数据看板页面
|
||||
├─ draw.php 随机抽取页面
|
||||
├─ login.php / logout.php 登录与登出
|
||||
├─ api.php 所有后端接口（单一入口，?action=xxx）
|
||||
├─ bootstrap.php 常量、自动加载、配置读写、CSRF、限流、公共函数
|
||||
├─ lib/
|
||||
│ ├─ SurveyKingClient.php 卷王 API 客户端（登录 / 令牌 / 项目 / 答卷）
|
||||
│ ├─ DataService.php 数据组装：姓名→学号匹配、统计、去重、异常检测
|
||||
│ ├─ Roster.php 名单管理（xlsx/csv 导入、列识别、持久化）
|
||||
│ ├─ Db.php SQLite 封装（三方言兼容的 DDL 与 upsert）
|
||||
│ ├─ DataCache.php 结果缓存（TTL + flock 防惊群）
|
||||
│ ├─ Snapshot.php 成绩快照与趋势
|
||||
│ ├─ XlsxReader.php 零依赖 XLSX 读取
|
||||
│ └─ XlsxWriter.php 零依赖 XLSX 写入（支持多工作表）
|
||||
├─ assets/ style.css / app.js / draw.js
|
||||
├─ data/ 运行时数据（需可写，已 gitignore）
|
||||
│ ├─ ny.db SQLite 主库
|
||||
│ ├─ config.json 配置（文件备份）
|
||||
│ ├─ roster.json 名单（文件备份）
|
||||
│ ├─ project_config.json 每卷配置（文件备份）
|
||||
│ ├─ cache/ 卷王令牌 + 结果缓存
|
||||
│ ├─ uploads/ 导入临时目录（解析后即删）
|
||||
│ └─ snapshots/ 成绩快照
|
||||
├─ tests/ PHP 自测 + 一键运行脚本
|
||||
├─ tools/ mock 服务与 Node e2e
|
||||
└─ docs/ 本文档站（VitePress）
|
||||
```
|
||||
|
||||
## 请求流程
|
||||
|
||||
```
|
||||
浏览器 ──► api.php?action=data
|
||||
│
|
||||
├─► ny_is_auth() 未登录 → 401 + {auth:false}
|
||||
├─► 写操作 → ny_csrf_ok() 校验
|
||||
├─► ny_build_data()（带结果缓存）
|
||||
│ └─► DataService::build()
|
||||
│ ├─► SurveyKingClient::listAnswers() 拉卷王答卷
|
||||
│ ├─► Roster::all() 读名单
|
||||
│ ├─► 姓名 → 学号匹配
|
||||
│ ├─► dedupe（决定代表成绩）
|
||||
│ └─► 统计 / 异常检测
|
||||
└─► ny_resolve_score_cfg() 解析本卷满分与合格率
|
||||
└─► ny_ok(JSON)
|
||||
```
|
||||
|
||||
## 关键设计
|
||||
|
||||
### 单一入口 + 白名单
|
||||
|
||||
`api.php` 用 `switch ($action)` 分发。所有写操作集中在 `$WRITE_ACTIONS` 白名单里统一校验 CSRF，
|
||||
新增写接口时**必须**把 action 加进该数组。
|
||||
|
||||
### 配置双写
|
||||
|
||||
`ny_save_config()` 同时写 SQLite 与 `data/config.json`；`ny_load_config()` 优先读库，
|
||||
库为空时自动从文件迁回。这样即使数据库不可用，也不会静默回落到出厂的 `admin/123456`。
|
||||
|
||||
### 只在连接信息变化时才重新登录
|
||||
|
||||
`config_save` 会比较 `base_url / api_prefix / username / password / verify_ssl` 五项，
|
||||
只有真变化才删除令牌缓存并重新 ping。修改满分、布局、刷新间隔不会打断数据刷新。
|
||||
|
||||
### 结果缓存
|
||||
|
||||
`DataCache` 以「配置 + 名单指纹 + 试卷 ID」为键缓存构建结果，默认 TTL 15 秒；
|
||||
用 `flock` 防止并发惊群。名单指纹（`Roster::fingerprint()`）参与缓存键，改名单会自动失效。
|
||||
点「立即刷新」带 `force=1` 跳过缓存。
|
||||
|
||||
### 内存防护
|
||||
|
||||
拉取卷王答卷时单页条数被夹在 20–200 之间，避免单页响应过大导致
|
||||
`json_decode` 一次性撑爆内存（曾出现过 128M 耗尽的问题）。
|
||||
|
||||
### 零依赖 XLSX
|
||||
|
||||
- 读取：`XlsxReader` 直接解析 ZIP（优先 `ZipArchive`，无 `zip` 扩展时用内置实现）与 XML；
|
||||
- 写入：`XlsxWriter` 手写 ZIP（stored 模式），单元格统一写共享字符串 +
|
||||
`numFmtId=49` 文本样式，天然防公式注入、防长学号变科学计数法；
|
||||
- `renderMulti()` 支持多工作表，表名做 31 字截断与 `(2)` 去重。
|
||||
|
||||
## 前端要点
|
||||
|
||||
| 主题 | 实现 |
|
||||
| --- | --- |
|
||||
| 大表格 | 虚拟滚动（占位行 + 可视区渲染），`ROW_H=41`，overscan 12 |
|
||||
| 自动刷新 | `setTimeout` 链 + 失败指数退避；`visibilitychange` 时后台暂停 |
|
||||
| 提示 | 顶部 Toast 系统，`showAlert(msg, type)` 4 种颜色，最多 5 条 |
|
||||
| 全屏 | `document.exitFullscreen()`（注意不是 `documentElement`） |
|
||||
| 事件绑定 | 表格行点击用**事件委托**挂在 `#tbody` 上，避免内联 `onclick` 作用域问题 |
|
||||
|
||||
## 相关
|
||||
|
||||
- [接口一览](./api.md)
|
||||
- [数据存储（SQLite）](./database.md)
|
||||
- [测试](./testing.md)
|
||||
@@ -0,0 +1,113 @@
|
||||
# 数据存储（SQLite）
|
||||
|
||||
平台使用 **SQLite 单文件数据库** `data/ny.db`，零配置、无需额外服务。
|
||||
|
||||
## 启用条件与降级
|
||||
|
||||
```php
|
||||
Db::isConfigured() // 是否有 pdo_sqlite 扩展
|
||||
Db::isConnected() // 是否真的连上了
|
||||
Db::lastError() // 失败原因
|
||||
```
|
||||
|
||||
| 环境 | 行为 |
|
||||
| --- | --- |
|
||||
| 有 `pdo_sqlite` | 使用 `data/ny.db`（同时继续双写 JSON 文件作为备份） |
|
||||
| 无 `pdo_sqlite` | 整体降级为 JSON 文件存储，功能不受影响 |
|
||||
|
||||
> 前端可通过 `config_get` 返回的 `storage`（`db` / `file`）判断当前用的是哪种。
|
||||
|
||||
## 连接参数
|
||||
|
||||
连接建立时施加的 PRAGMA：
|
||||
|
||||
```sql
|
||||
PRAGMA journal_mode = WAL; -- 读写并发
|
||||
PRAGMA synchronous = NORMAL;
|
||||
PRAGMA busy_timeout = 5000; -- 写锁等待 5 秒
|
||||
PRAGMA foreign_keys = ON;
|
||||
```
|
||||
|
||||
连接**每请求只尝试一次**，失败后返回 `null` 而非抛异常，保证上层能优雅降级。
|
||||
|
||||
## 表结构
|
||||
|
||||
所有建表 / 加列都是**幂等**的（`CREATE TABLE IF NOT EXISTS` + `PRAGMA table_info` 探测后 `ALTER TABLE`），可重复执行。
|
||||
|
||||
### `ny_settings` — 全局配置
|
||||
|
||||
| 列 | 类型 | 说明 |
|
||||
| --- | --- | --- |
|
||||
| `k` | TEXT PK | 键，目前只有 `config` |
|
||||
| `v` | TEXT | 整份配置的 JSON |
|
||||
| `updated_at` | — | 更新时间 |
|
||||
|
||||
### `ny_roster` — 学号名单
|
||||
|
||||
| 列 | 类型 | 说明 |
|
||||
| --- | --- | --- |
|
||||
| `sid` | TEXT PK | 学号 |
|
||||
| `name` | TEXT | 姓名 |
|
||||
| `cls` | TEXT | 班级 |
|
||||
| `grp` | TEXT | 组别 |
|
||||
| `login` | TEXT | 登陆账号（仅用于抽取页白名单导出） |
|
||||
| `sort` | INTEGER | 排序 |
|
||||
|
||||
> `login` 列是后期加入的，旧库会在启动时自动 `ALTER TABLE ADD COLUMN`（幂等）。
|
||||
|
||||
### `ny_project_config` — 每卷独立配置
|
||||
|
||||
| 列 | 类型 | 说明 |
|
||||
| --- | --- | --- |
|
||||
| `project_id` | TEXT PK | 卷王试卷 ID |
|
||||
| `config_json` | TEXT | `{ full_score, pass_rate, exempt[] }` |
|
||||
| `updated_at` | — | 更新时间 |
|
||||
|
||||
## 迁移策略
|
||||
|
||||
首次在有 SQLite 的环境运行时：
|
||||
|
||||
1. `ny_settings` 为空 → 从 `data/config.json` 迁入；
|
||||
2. `ny_roster` 为空 → 从 `data/roster.json` 迁入（`Roster::migrateFileToDbOnce()`）；
|
||||
3. 每卷配置同理从 `data/project_config.json` 迁入。
|
||||
|
||||
**迁移只发生在目标表为空时**，不会覆盖已入库的数据；重复执行安全。
|
||||
|
||||
## 读写路径
|
||||
|
||||
| 数据 | 主存储 | 备份 |
|
||||
| --- | --- | --- |
|
||||
| 配置 | `ny_settings['config']` | `data/config.json` |
|
||||
| 名单 | `ny_roster` | `data/roster.json` |
|
||||
| 每卷配置 | `ny_project_config` | `data/project_config.json` |
|
||||
| 成绩快照 | 文件系统 `data/snapshots/` | — |
|
||||
| 结果缓存 | 文件系统 `data/cache/` | — |
|
||||
| 卷王令牌 | 文件系统 `data/cache/token.json` | — |
|
||||
|
||||
`ny_save_config()` 双写：先写库，再写文件。这样即使数据库突然不可用，也不会静默回落到出厂默认值。
|
||||
|
||||
## 维护
|
||||
|
||||
```bash
|
||||
# 备份（推荐：直接复制文件）
|
||||
cp data/ny.db data/ny.db.bak
|
||||
|
||||
# 完整性检查
|
||||
php -r '$p=new PDO("sqlite:data/ny.db"); var_dump($p->query("PRAGMA integrity_check")->fetchAll());'
|
||||
|
||||
# 手动查看名单
|
||||
php -r '$p=new PDO("sqlite:data/ny.db"); print_r($p->query("SELECT * FROM ny_roster LIMIT 5")->fetchAll(PDO::FETCH_ASSOC));'
|
||||
```
|
||||
|
||||
::: tip 命令行加载扩展
|
||||
PHP CLI 常常不加载 Web 端已启用的扩展，需要显式指定：
|
||||
|
||||
```bash
|
||||
php -d extension_dir="C:/php/ext" -d extension=pdo_sqlite script.php
|
||||
```
|
||||
:::
|
||||
|
||||
## 相关
|
||||
|
||||
- [架构与目录](./architecture.md)
|
||||
- [接口一览](./api.md)
|
||||
@@ -0,0 +1,98 @@
|
||||
# 测试
|
||||
|
||||
回归测试分两类：**PHP 自测**（纯逻辑断言）与 **Node e2e**（起 mock 服务 + PHP 内置服务器，走真实 HTTP）。
|
||||
|
||||
## 一键运行
|
||||
|
||||
```bash
|
||||
bash tests/run-all.sh
|
||||
```
|
||||
|
||||
脚本会依次执行：
|
||||
|
||||
| 文件 | 类型 | 覆盖 |
|
||||
| --- | --- | --- |
|
||||
| `tests/test-aggregate.php` | PHP | 聚合、去重、考试次数、排序 |
|
||||
| `tests/test-new-features.php` | PHP | 异常检测、快照、趋势、XLSX 多表 |
|
||||
| `tools/test-xlsxwriter.php` | PHP | XLSX 写入与 ZIP 打包 |
|
||||
| `tools/test-config-save.js` | Node e2e | 配置保存、连接变化检测、每卷配置隔离、CSRF |
|
||||
| `tools/test-draw-alloc.js` | Node e2e | 随机抽取名额分配（加权 / 自定义 / 守恒 fuzz） |
|
||||
|
||||
可通过环境变量覆盖运行时路径：
|
||||
|
||||
```bash
|
||||
PHP_BIN=/usr/bin/php NODE_BIN=$(which node) bash tests/run-all.sh
|
||||
```
|
||||
|
||||
## 单独运行 PHP 自测
|
||||
|
||||
```bash
|
||||
php -d extension_dir="C:/php/ext" -d extension=pdo_sqlite tests/test-aggregate.php
|
||||
php tests/test-new-features.php
|
||||
```
|
||||
|
||||
输出为逐条 `✓ / ✗` 断言，结尾给出通过数 / 总数，失败时非零退出。
|
||||
|
||||
## 单独运行 Node e2e
|
||||
|
||||
e2e 需要两个进程：
|
||||
|
||||
1. **mock 卷王服务**（必须在 `tools/` 目录下启动，内部用 `__dirname` 解析相对路径）：
|
||||
|
||||
```bash
|
||||
cd tools
|
||||
node mock-server.js # 默认监听 19911
|
||||
```
|
||||
|
||||
2. **PHP 内置服务器**（端口 18081）：
|
||||
|
||||
```bash
|
||||
php -S 127.0.0.1:18081
|
||||
```
|
||||
|
||||
然后：
|
||||
|
||||
```bash
|
||||
node tools/test-config-save.js
|
||||
node tools/test-draw-alloc.js
|
||||
```
|
||||
|
||||
::: warning 测试会污染 `data/`
|
||||
e2e 会备份并修改 `data/ny.db`、`data/config.json`、`data/roster.json`，
|
||||
并在结束后恢复。若中途异常中断，请手动检查并还原：
|
||||
|
||||
```bash
|
||||
git status data/ # data/ 已被 gitignore，需手工核对
|
||||
```
|
||||
|
||||
另外测试前请删除 `data/login_fail.json`，否则可能触发登录限流。
|
||||
:::
|
||||
|
||||
## 写新测试时注意
|
||||
|
||||
| 陷阱 | 说明 |
|
||||
| --- | --- |
|
||||
| CSRF | 写接口必须带 `_csrf`，e2e 里先从 `config_get` 取全局 token |
|
||||
| DB 优先 | 配置读的是 **DB 优先**，只备份 `config.json` 不够，必须一起备份 `data/ny.db` |
|
||||
| `/tmp` 路径 | Node 在 Windows 下会把 `/tmp/x.js` 解析成 `C:\tmp\x.js`，脚本请写在项目目录内 |
|
||||
| `json_decode` | 必须传 `true` 得到关联数组，否则 `is_array(stdClass)` 为 `false` 会静默跳过 |
|
||||
| mock 账号 | mock-server 接受账号 `mock` |
|
||||
|
||||
## 手工冒烟清单
|
||||
|
||||
改完代码建议至少过一遍：
|
||||
|
||||
- [ ] 登录 → 主页面三张卡片有数字
|
||||
- [ ] 切换班级 → 卡片与表格联动
|
||||
- [ ] 点某一行 → 能看到该学生的每次提交
|
||||
- [ ] 导入含 `.php` 后缀的文件 → 被拒绝
|
||||
- [ ] 导入正常 `.xlsx` → 成功，且 `data/uploads/` 为空
|
||||
- [ ] 导出成绩 / 导出缺考 → 能打开，学号不是科学计数法
|
||||
- [ ] 打印预览 → 默认成绩降序
|
||||
- [ ] 数据看板全屏进入 / 退出都正常
|
||||
- [ ] 随机抽取 → 名额守恒
|
||||
|
||||
## 相关
|
||||
|
||||
- [架构与目录](./architecture.md)
|
||||
- [接口一览](./api.md)
|
||||
Reference in New Issue
Block a user