 nxxy335
|
a3be81b261
|
fix(security): 修复上传名单文件可被 URL 直连访问（nginx 下可 getshell）
严重漏洞：roster_import 使用 $_FILES 的原始扩展名拼 roster_YYYYMMDD_HHMMSS.<ext>
落在 Web 根目录内的 data/uploads/，既无扩展名白名单（可上传 .php），文件名又
可按秒枚举；而 bootstrap 只写了 data/.htaccess，nginx 不读 .htaccess，
生产环境（nginx + PHP-FPM）下可直接远程代码执行。
修复（api.php roster_import 四层防护）：
- 扩展名白名单：仅 xlsx / xlsm / csv / txt
- 随机文件名：bin2hex(random_bytes(16))，杜绝枚举
- 解析完成后 @unlink 立即删除，Web 目录下不留存任何上传文件
- 20MB 大小限制 + UPLOAD_ERR 检查
加固（bootstrap.php）：data 及 cache/uploads/snapshots 每个目录都写
.htaccess（Deny from all）+ index.html 占位；README 与文档补充 nginx
location ^~ /data/ { deny all; return 404; } 规则。
测试：新增 e2e tools/test-upload-guard.js（11 断言，覆盖 .php/.phtml 被拒、
无残留、合法 csv 导入成功且即删、无可枚举文件名），并入 tests/run-all.sh。
全套 90 项通过。
docs: 新增 VitePress 文档站（18 页）
- 使用指南 12 页：简介/部署/快速上手/系统设置/名单管理/统计口径/试卷设置/
快照趋势异常/导出打印/数据看板/随机抽取/常见问题
- 安全 2 页：安全总览（含本次漏洞复盘）与部署加固清单（P0-P2）
- 开发 4 页：架构与目录/接口一览/SQLite 存储/测试
- 配图迁移至 docs/public/images/；.gitignore 忽略文档构建产物
|
2026-09-10 22:42:13 +08:00 |
|
|
nxxy335
|
0fd880624f
|
feat: 完善/优化/新增大批次 + 安全加固 + 性能优化
- 修复再次提交不置顶（排序键改用 last_submit_ts）
- 后端结果缓存 + 并发锁（DataCache / ny_build_data / Roster 指纹失效）
- 导出 xlsx 多表：按最新成绩 / 按班级分表 / 可选列
- 名单管理：新增改弹窗、删除多选+二次确认、登陆账号列
- 安全：CSRF token + 登录失败限流（5次锁10分钟）
- 未匹配答卷一键加入名单（unmatched_map）
- 缺考名单增强：复制学号/姓名、按班统计、打印
- 成绩快照 + 跨卷趋势（Snapshot）
- 异常检测线索（短时长高分/高频重考/雷同成绩）
- 前端性能：虚拟滚动、搜索防抖、后台暂停、失败退避
- 测试沉淀：test-new-features.php + run-all.sh
|
2026-09-10 17:59:45 +08:00 |
|
|
nxxy335
|
0174b2abc2
|
fix: 考试次数与历史始终展示全部提交（不再被 dedupe 吞成 1 条）
- aggregateByStudent 修复：attempts(真实次数) 与 attempts_list(每次提交明细)
无论 dedupe 取值都使用全部提交；dedupe 仅决定主明细表代表成绩取最新
还是最高分。此前 dedupe=true（默认）把 attempts 写成 1、attempts_list 只留
最新一份，导致考试次数列和点击历史都只显示 1 条，多次刷题数据丢失。
- best_score 改为跨全部尝试的真实最高分，修复历史弹窗标题最高分错误。
- 新增 tests/test-aggregate.php 覆盖：11次/2次/1次提交、dedupe 两种取值、
重考低分、导出展开全部记录，共 17 项断言全部通过。
数据印证：第二周测试(1).xlsx 共 146 份提交 / 35 人，31 人多次提交
（最多 11 次），修复后考试次数与历史均完整呈现。
|
2026-09-10 10:41:42 +08:00 |
|