nxxy335
a3be81b261
严重漏洞：roster_import 使用 $_FILES 的原始扩展名拼 roster_YYYYMMDD_HHMMSS.<ext>
落在 Web 根目录内的 data/uploads/，既无扩展名白名单（可上传 .php），文件名又
可按秒枚举；而 bootstrap 只写了 data/.htaccess，nginx 不读 .htaccess，
生产环境（nginx + PHP-FPM）下可直接远程代码执行。
修复（api.php roster_import 四层防护）：
- 扩展名白名单：仅 xlsx / xlsm / csv / txt
- 随机文件名：bin2hex(random_bytes(16))，杜绝枚举
- 解析完成后 @unlink 立即删除，Web 目录下不留存任何上传文件
- 20MB 大小限制 + UPLOAD_ERR 检查
加固（bootstrap.php）：data 及 cache/uploads/snapshots 每个目录都写
.htaccess（Deny from all）+ index.html 占位；README 与文档补充 nginx
location ^~ /data/ { deny all; return 404; } 规则。
测试：新增 e2e tools/test-upload-guard.js（11 断言，覆盖 .php/.phtml 被拒、
无残留、合法 csv 导入成功且即删、无可枚举文件名），并入 tests/run-all.sh。
全套 90 项通过。
docs: 新增 VitePress 文档站（18 页）
- 使用指南 12 页：简介/部署/快速上手/系统设置/名单管理/统计口径/试卷设置/
快照趋势异常/导出打印/数据看板/随机抽取/常见问题
- 安全 2 页：安全总览（含本次漏洞复盘）与部署加固清单（P0-P2）
- 开发 4 页：架构与目录/接口一览/SQLite 存储/测试
- 配图迁移至 docs/public/images/；.gitignore 忽略文档构建产物
49 lines
1.8 KiB
Markdown
49 lines
1.8 KiB
Markdown
# 数据看板
|
|
|
|
数据看板（`dashboard.php`）是**面向投屏 / 大屏**的汇总视图，适合考试进行中实时监控提交进度。
|
|
|
|
从主页面顶部导航 **📊 数据看板** 打开（新标签页）。
|
|
|
|
## 顶部操作
|
|
|
|
| 控件 | 说明 |
|
|
| --- | --- |
|
|
| 问卷 / 考试 | 选择要展示的试卷 |
|
|
| 班级 | 选择后只展示该班级（需先选试卷） |
|
|
| 自动刷新开关 + 间隔 | 与主页面一致的 5 / 10 / 15 / 30 / 60 / 120 秒 |
|
|
| 刷新 | 立即拉取一次（跳过缓存） |
|
|
| ⛶ 全屏 | 进入 / 退出全屏，布局自动铺满 |
|
|
|
|
## 汇总卡片
|
|
|
|
`总人数 / 已提交 / 缺考 / 提交率 / 平均分 / 合格率(≥X%满分)`
|
|
|
|
合格率卡片的阈值标签会随 [每卷配置](./project-config.md) 实时变化。
|
|
|
|
## 班级 / 组别下钻
|
|
|
|
看板主体按**班级**分块，每块内再按**组别**对比，指标与统计口径完全相同：
|
|
总人数、已提交、缺考、提交率、平均分、合格率、最高分、最低分、平均用时。
|
|
|
|
点击班级内任意成员可查看其**每一次提交**（时间、成绩、时长），最高分有标记。
|
|
|
|
> 未分班的人归入「（未分班）」，未分组的人归入「（未分组）」，不会丢失。
|
|
|
|
## 常见问题
|
|
|
|
### 全屏按钮点了没反应
|
|
|
|
- 浏览器要求全屏必须由**用户手势**触发，脚本自动调用 `requestFullscreen()` 会被拒绝；
|
|
- 退出全屏调用的是 `document.exitFullscreen()`（注意不是 `document.documentElement`），
|
|
平台已修正过这一点；
|
|
- 若页面被嵌在 `<iframe>` 中，需要给 iframe 加 `allowfullscreen` 属性。
|
|
|
|
### 数据不更新
|
|
|
|
确认自动刷新开关打开；若结果缓存时间较长，点 **刷新** 会带 `force=1` 跳过缓存。
|
|
|
|
## 相关
|
|
|
|
- [成绩明细与统计口径](./scores.md)
|
|
- [系统设置](./settings.md)
|