nxxy335
a3be81b261
严重漏洞：roster_import 使用 $_FILES 的原始扩展名拼 roster_YYYYMMDD_HHMMSS.<ext>
落在 Web 根目录内的 data/uploads/，既无扩展名白名单（可上传 .php），文件名又
可按秒枚举；而 bootstrap 只写了 data/.htaccess，nginx 不读 .htaccess，
生产环境（nginx + PHP-FPM）下可直接远程代码执行。
修复（api.php roster_import 四层防护）：
- 扩展名白名单：仅 xlsx / xlsm / csv / txt
- 随机文件名：bin2hex(random_bytes(16))，杜绝枚举
- 解析完成后 @unlink 立即删除，Web 目录下不留存任何上传文件
- 20MB 大小限制 + UPLOAD_ERR 检查
加固（bootstrap.php）：data 及 cache/uploads/snapshots 每个目录都写
.htaccess（Deny from all）+ index.html 占位；README 与文档补充 nginx
location ^~ /data/ { deny all; return 404; } 规则。
测试：新增 e2e tools/test-upload-guard.js（11 断言，覆盖 .php/.phtml 被拒、
无残留、合法 csv 导入成功且即删、无可枚举文件名），并入 tests/run-all.sh。
全套 90 项通过。
docs: 新增 VitePress 文档站（18 页）
- 使用指南 12 页：简介/部署/快速上手/系统设置/名单管理/统计口径/试卷设置/
快照趋势异常/导出打印/数据看板/随机抽取/常见问题
- 安全 2 页：安全总览（含本次漏洞复盘）与部署加固清单（P0-P2）
- 开发 4 页：架构与目录/接口一览/SQLite 存储/测试
- 配图迁移至 docs/public/images/；.gitignore 忽略文档构建产物
83 lines
3.8 KiB
Markdown
83 lines
3.8 KiB
Markdown
# 快速上手
|
|
|
|
从零到看到第一行成绩，一共四步。
|
|
|
|
## 第 1 步：登录
|
|
|
|
浏览器打开站点根路径，会直接进入登录页。
|
|
|
|
::: info 本平台没有独立账号体系
|
|
登录时填写的**就是卷王后台的管理员账号与密码**——平台用这组账密向卷王换取令牌。
|
|
连接信息（卷王地址、接口前缀）已在 `data/config.json` 中预置，登录页只要求账号与密码。
|
|
:::
|
|
|
|
- 账号：卷王后台管理员账号（默认带出配置中的值，可现场改）
|
|
- 密码：卷王后台密码
|
|
|
|
登录成功后账密会写回配置并持久化，这样令牌失效时平台能自动重新登录。
|
|
连续失败 5 次会锁定 10 分钟。
|
|
|
|
## 第 2 步：配置连接信息
|
|
|
|
右上角 **设置** → 填写：
|
|
|
|
| 配置项 | 示例 | 说明 |
|
|
| --- | --- | --- |
|
|
| 卷王系统地址 | `https://exam.nxxy335.top` | 结尾不要带 `/` |
|
|
| 接口前缀 | `/api` | 社区版默认 `/api` |
|
|
| 登录账号 / 密码 | — | 保存后不会回显密码，留空表示不修改 |
|
|
| 姓名题关键词 | `姓名,名字,学生姓名` | 用于自动识别哪道题填的是姓名 |
|
|
| 全局默认满分 | `100` | **每套试卷的满分请在主页面「试卷设置」里单独设** |
|
|
| 全局默认合格率 | `60` | 百分比，60 表示"≥满分的 60%"为合格 |
|
|
| 校验 HTTPS 证书 | 勾选 | 自签名证书可取消勾选 |
|
|
| 默认刷新间隔 | `15` | 秒 |
|
|
|
|
先点 **测试连接**，出现「连接成功」后再点 **保存**。
|
|
|
|
|
|
|
|
::: warning 保存时机
|
|
只有**连接信息**（地址 / 前缀 / 账号 / 密码 / 证书校验）发生变化时，保存才会清除本地令牌并重新登录卷王。
|
|
修改满分、合格率、布局等其它项不会打断当前数据刷新。
|
|
:::
|
|
|
|
## 第 3 步：导入学号名单
|
|
|
|
右上角 **名单管理 <b>0</b>** → 点击或拖拽文件 → 选择 **覆盖 / 追加** → **保存名单**。
|
|
|
|
名单文件支持 `.xlsx` / `.xlsm` / `.csv` / `.txt`，至少包含：
|
|
|
|
| 学号 | 姓名 | 班级（可选） | 组别（可选） |
|
|
| --- | --- | --- | --- |
|
|
| 2023001 | 张三 | 1班 | A |
|
|
| 2023002 | 李四 | 1班 | B |
|
|
|
|
- 表头名称不严格要求，程序按关键词识别（如「学号 / 学籍号 / 编号」均可）；
|
|
- **班级**列存在时，成绩明细会多出班级列，并支持按班级筛选与联动统计；
|
|
- **组别**列用于分组打印与随机抽取的分组比例；
|
|
- 也可以直接在弹窗里 **+ 新增** 逐条录入，勾选后 **删除选中**（二次确认）。
|
|
|
|
| 安全说明 |
|
|
| --- |
|
|
| 上传文件会先落盘到 `data/uploads/` 后立即解析再删除，扩展名白名单 + 随机文件名，不会残留可供 URL 直连访问的文件。详见 [安全总览](../security/)。 |
|
|
|
|
## 第 4 步：选择试卷，开始看数据
|
|
|
|
回到主页面，左上角 **问卷 / 考试** 下拉选择目标试卷，数据会自动拉取并按设定的间隔刷新。
|
|
|
|
- **姓名字段**默认为「自动识别」，若学号大面积为空，可手动指定正确的题目；
|
|
- 顶部 **班级 / 组别** 下拉可切片，统计卡片会同步联动；
|
|
- 新提交的答卷整行绿色高亮，30 秒后自动清除，也可手动「清除高亮」；
|
|
- 若某份试卷满分不是 100，点 **试卷设置** 单独配置。
|
|
|
|
## 常见问题速查
|
|
|
|
| 现象 | 排查方向 |
|
|
| --- | --- |
|
|
| 提示"无法连接卷王系统" | 地址 / 端口 / 防火墙 / 接口前缀 / 账密；在服务器本机 `curl http://127.0.0.1:1991/api/system` 验证 |
|
|
| 学号列为空 | 姓名不一致（空格、别名）；手动指定姓名字段；在设置中补充关键词 |
|
|
| 成绩全是 `-` | 该问卷不是考试模式或未开启自动评分，卷王未返回 `examScore` |
|
|
| 时长全是 `-` | 答卷 `metaInfo.answerInfo` 中没有起止时间（例如后台手动录入） |
|
|
|
|
完整列表见 [常见问题](./faq.md)。
|