 nxxy335
|
0ba9c7c33c
|
feat(export): 多考试对比导出（横向交叉表）
新增 export_multi 接口与多考试选择弹窗：
- 第一行显示考试名称，前两列固定为学号/姓名，默认按学号排序
- 每场考试成绩可选「最新成绩」或「最高成绩」（latest 跳过 temp_save 草稿，highest 取跨全部尝试最高分）
- 学生取并集（任一考试有提交即纳入），未考的考试单元格留空
- 纯逻辑抽离到 lib/multi_export.php，新增 26 项回归测试（tests/test-multi-export.php）
|
2026-09-25 08:32:24 +08:00 |
|
|
nxxy335
|
f661862d46
|
fix(auth): 修复登录后反复报未配置账号并跳回登录页的死循环
根因：ny_save_config 只写不校验，Db::settingsSet 内部吞异常且返回 void。
data/ 目录不可写时登录页照常显示登录成功，但下一请求读到的账号仍是空的
→ 抛未配置卷王登录账号 → 前端 auth 打标 → 跳登录页 → 无限循环。
修复：
- Db::settingsSet 改返回 bool 并回读校验；新增 settingsDelete
- ny_save_config 双写后均做回读校验，失败写入 ny_config_save_error()
- 新增 ny_config_diag()/ny_session_usable()，暴露来源/可写性/是否已存账号
- ny_load_config 把 null 账号强制成空字符串（脏数据不再伪装成未配置）
- login.php 存凭据后回读确认，存不住/会话不可写直接报错而不是假成功
- login.php 账号为空时页面直接给出 data 目录写权限提示
- config_save 合并逻辑抽成 ny_apply_config_input：账号/密码不许被改空
- 鉴权失败响应带 extra.diag，前端 401 也算 auth
- 前端防死循环：刚登录 120s 内或已跳 2 次则停止自动跳转，弹窗给出真实原因+诊断
测试：新增 tests/test-config-persist.php(29) 与 tools/test-login-loop.js(19)；
run-all.sh 纳入两者。全套 148+48=196 项通过。
|
2026-09-14 08:44:09 +08:00 |
|
|
nxxy335
|
94ac381579
|
完成批次 L-R：限流移除/白名单驱动/打印增强/全屏/表格对齐/主题变量/滚动闪烁修复
- 移除登录失败限流；fix-config.php 修正 e2e 串味的 127.0.0.1 连接
- 白名单驱动缺/待考名单（DataService + SurveyKingClient::getWhitelist，复用已取 survey）
- 打印成绩明细增强（范围/合格列默认关/去页脚）；看板全屏占满；表格 vertical-align:middle；隐藏登陆账号；导入默认追加
- 主题变量收口（:root 新增 brand/primary-2/ok-2 等，替换硬编码渐变）；删死规则
- 表头/数据列对齐修复（index 未匹配表、dashboard 成员榜、draw 结果/历史/排除表）；看板占位卡片配色一致
- 修复滚动闪烁：row-drop-in 动画经 _dropAnim 门控，仅强制重绘时播放
- 测试：新增 test-whitelist.js；run-all.sh 全绿 132
|
2026-09-13 10:25:48 +08:00 |
|
|
nxxy335
|
804b04de60
|
移除登录失败限流；修复连接信息被 e2e 串味为 127.0.0.1
- bootstrap.php/login.php：整体移除「5 次失败锁 10 分钟」限流，登录失败仅即时提示原因
- 新增 tools/fix-config.php：一键双写修正连接地址（默认 exam.nxxy335.top），清空账号密码让用户重输真实卷王凭据
- NY_DATA 隔离落地：run-all.sh 给写配置的 e2e 指向临时目录；修 Windows Git Bash /c/... 路径规范化 bug；.ny-test-data 加 .gitignore
- 清理 dead throttle 引用（e2e 脚本 + docs）
- 修 login.php 真实 bug：ny_is_auth() 分支在加载 $cfg 前引用导致 Undefined variable 警告
- 全量测试 116 通过（PHP 44 + e2e 72）
|
2026-09-11 17:25:22 +08:00 |
|
|
nxxy335
|
25a2e8a42c
|
文档部署到 /ny-exam-platform 子路径 + 移除快照/趋势/异常 + 打印与 UI 全面完善
文档站（#88）
- base 默认改为 /ny-exam-platform/，可用 DOCS_BASE=/ 覆盖本地预览
- 新增 DOCS_OUT 环境变量，避免构建时清空输出目录失败导致产物半截
- 新增 tools/docs-preview.js：按子路径重写路由的本地预览服务
- 删除 docs/guide/snapshot.md，同步清理全部相关文档
移除存快照 / 趋势 / 异常（#89）
- 后端：删除 api.php 的 snapshot_save/list/delete/trend 四个 action 与
$WRITE_ACTIONS 中的同名条目；删除 lib/Snapshot.php 与自动加载注册；
DataService 移除 detectAnomalies() 及其调用
- 前端：移除三个按钮与三个弹窗、相关 JS 处理与 state 字段
- 测试：移除对应用例，补充 5 条名单导入列识别断言（17+9+18+32+29+11 全过）
打印完善（#90）
- 改用隐藏 iframe 输出，规避弹窗拦截；@page A4 支持纵向/横向
- 表头每页重复、行内不跨页断开、全表连续名次、可选「是否合格」列
- 分组小计（人数/平均/最高/最低/合格人数与合格率）、可附缺考名单另起一页
- 末尾签字栏；缺考名单打印改为同一套输出
UI / 交互 / Bug 修复（#91）
- dashboard.php：补「← 主系统 / 退出」入口（此前全屏后无法离开）；
修复成员下钻 onclick 里 JSON.stringify 双引号提前闭合属性导致点击报错，
改为 data-sid 事件委托；补 Esc 关弹窗；后台标签页暂停轮询、切回自动补拉；
刷新中断原因写入 title；数值字段统一兜底，避免 NaN / undefined%
- draw.php / draw.js：结果表新增「登陆账号」列（导出前可核对，缺失显示 学号 ⚠）；
弹窗只关最上层且支持 Esc；「全部」改为跟随候选池，手工改人数即解除；
候选池不足时给出明确提示；自定义比例框隐藏时清空，避免旧权重被误读
- app.js / dashboard.php：成绩着色改为按「占本卷满分的百分比」判断，
修复满分不是 100 时整列误标红
- style.css：数值列右对齐；新增 subbar、draw-stage-sub；
看板顶栏窄屏下拉与按钮换行，消除横向滚动
|
2026-09-11 16:23:08 +08:00 |
|
|
nxxy335
|
a3be81b261
|
fix(security): 修复上传名单文件可被 URL 直连访问（nginx 下可 getshell）
严重漏洞：roster_import 使用 $_FILES 的原始扩展名拼 roster_YYYYMMDD_HHMMSS.<ext>
落在 Web 根目录内的 data/uploads/，既无扩展名白名单（可上传 .php），文件名又
可按秒枚举；而 bootstrap 只写了 data/.htaccess，nginx 不读 .htaccess，
生产环境（nginx + PHP-FPM）下可直接远程代码执行。
修复（api.php roster_import 四层防护）：
- 扩展名白名单：仅 xlsx / xlsm / csv / txt
- 随机文件名：bin2hex(random_bytes(16))，杜绝枚举
- 解析完成后 @unlink 立即删除，Web 目录下不留存任何上传文件
- 20MB 大小限制 + UPLOAD_ERR 检查
加固（bootstrap.php）：data 及 cache/uploads/snapshots 每个目录都写
.htaccess（Deny from all）+ index.html 占位；README 与文档补充 nginx
location ^~ /data/ { deny all; return 404; } 规则。
测试：新增 e2e tools/test-upload-guard.js（11 断言，覆盖 .php/.phtml 被拒、
无残留、合法 csv 导入成功且即删、无可枚举文件名），并入 tests/run-all.sh。
全套 90 项通过。
docs: 新增 VitePress 文档站（18 页）
- 使用指南 12 页：简介/部署/快速上手/系统设置/名单管理/统计口径/试卷设置/
快照趋势异常/导出打印/数据看板/随机抽取/常见问题
- 安全 2 页：安全总览（含本次漏洞复盘）与部署加固清单（P0-P2）
- 开发 4 页：架构与目录/接口一览/SQLite 存储/测试
- 配图迁移至 docs/public/images/；.gitignore 忽略文档构建产物
|
2026-09-10 22:42:13 +08:00 |
|
|
nxxy335
|
0fd880624f
|
feat: 完善/优化/新增大批次 + 安全加固 + 性能优化
- 修复再次提交不置顶（排序键改用 last_submit_ts）
- 后端结果缓存 + 并发锁（DataCache / ny_build_data / Roster 指纹失效）
- 导出 xlsx 多表：按最新成绩 / 按班级分表 / 可选列
- 名单管理：新增改弹窗、删除多选+二次确认、登陆账号列
- 安全：CSRF token + 登录失败限流（5次锁10分钟）
- 未匹配答卷一键加入名单（unmatched_map）
- 缺考名单增强：复制学号/姓名、按班统计、打印
- 成绩快照 + 跨卷趋势（Snapshot）
- 异常检测线索（短时长高分/高频重考/雷同成绩）
- 前端性能：虚拟滚动、搜索防抖、后台暂停、失败退避
- 测试沉淀：test-new-features.php + run-all.sh
|
2026-09-10 17:59:45 +08:00 |
|