 nxxy335
|
804b04de60
|
移除登录失败限流；修复连接信息被 e2e 串味为 127.0.0.1
- bootstrap.php/login.php：整体移除「5 次失败锁 10 分钟」限流，登录失败仅即时提示原因
- 新增 tools/fix-config.php：一键双写修正连接地址（默认 exam.nxxy335.top），清空账号密码让用户重输真实卷王凭据
- NY_DATA 隔离落地：run-all.sh 给写配置的 e2e 指向临时目录；修 Windows Git Bash /c/... 路径规范化 bug；.ny-test-data 加 .gitignore
- 清理 dead throttle 引用（e2e 脚本 + docs）
- 修 login.php 真实 bug：ny_is_auth() 分支在加载 $cfg 前引用导致 Undefined variable 警告
- 全量测试 116 通过（PHP 44 + e2e 72）
|
2026-09-11 17:25:22 +08:00 |
|
|
nxxy335
|
f271066266
|
docs: 支持 DOCS_OUT 自定义输出目录（环境禁止清空 dist 时可输出到新目录）
|
2026-09-10 23:40:28 +08:00 |
|
|
nxxy335
|
58f9c8433a
|
chore: 移除误提交的 VitePress 临时文件并忽略之
|
2026-09-10 22:44:39 +08:00 |
|
|
nxxy335
|
a3be81b261
|
fix(security): 修复上传名单文件可被 URL 直连访问（nginx 下可 getshell）
严重漏洞：roster_import 使用 $_FILES 的原始扩展名拼 roster_YYYYMMDD_HHMMSS.<ext>
落在 Web 根目录内的 data/uploads/，既无扩展名白名单（可上传 .php），文件名又
可按秒枚举；而 bootstrap 只写了 data/.htaccess，nginx 不读 .htaccess，
生产环境（nginx + PHP-FPM）下可直接远程代码执行。
修复（api.php roster_import 四层防护）：
- 扩展名白名单：仅 xlsx / xlsm / csv / txt
- 随机文件名：bin2hex(random_bytes(16))，杜绝枚举
- 解析完成后 @unlink 立即删除，Web 目录下不留存任何上传文件
- 20MB 大小限制 + UPLOAD_ERR 检查
加固（bootstrap.php）：data 及 cache/uploads/snapshots 每个目录都写
.htaccess（Deny from all）+ index.html 占位；README 与文档补充 nginx
location ^~ /data/ { deny all; return 404; } 规则。
测试：新增 e2e tools/test-upload-guard.js（11 断言，覆盖 .php/.phtml 被拒、
无残留、合法 csv 导入成功且即删、无可枚举文件名），并入 tests/run-all.sh。
全套 90 项通过。
docs: 新增 VitePress 文档站（18 页）
- 使用指南 12 页：简介/部署/快速上手/系统设置/名单管理/统计口径/试卷设置/
快照趋势异常/导出打印/数据看板/随机抽取/常见问题
- 安全 2 页：安全总览（含本次漏洞复盘）与部署加固清单（P0-P2）
- 开发 4 页：架构与目录/接口一览/SQLite 存储/测试
- 配图迁移至 docs/public/images/；.gitignore 忽略文档构建产物
|
2026-09-10 22:42:13 +08:00 |
|
|
nxxy335
|
153c732220
|
feat: 登录门认证 + 每套试卷独立满分等增强
- 登录门：进入页面先输入系统网址/API路由/账号/密码，测试连接通过后才显示登录按钮，登录后才进入主界面；密码每次需输入，防止依赖一次配置直接查看数据
- 每套试卷独立满分配置（设置中按当前试卷单独设置，合格率按 ≥60% 满分计算）
- 班级联动统计与面板计数（成绩明细/缺考名单标题计数随班级过滤）
- 移除最高/最低分获得者显示
- 平均用时不换行（避免“秒”字换行）
- 卷王地址默认 https://exam.nxxy335.top，默认勾选校验 HTTPS 证书
- 统计卡片含合格率（≥60% 满分）
- .gitignore 排除 data/（账号密码/令牌/学生名单，禁止入库）
|
2026-09-08 15:22:04 +08:00 |
|