ny-exam-platform/docs/index.md at a3be81b26110c9962992645104e392279691413a

Files

T

nxxy335 a3be81b261 fix(security): 修复上传名单文件可被 URL 直连访问（nginx 下可 getshell）

严重漏洞：roster_import 使用 $_FILES 的原始扩展名拼 roster_YYYYMMDD_HHMMSS.<ext>
落在 Web 根目录内的 data/uploads/，既无扩展名白名单（可上传 .php），文件名又
可按秒枚举；而 bootstrap 只写了 data/.htaccess，nginx 不读 .htaccess，
生产环境（nginx + PHP-FPM）下可直接远程代码执行。

修复（api.php roster_import 四层防护）：
- 扩展名白名单：仅 xlsx / xlsm / csv / txt
- 随机文件名：bin2hex(random_bytes(16))，杜绝枚举
- 解析完成后 @unlink 立即删除，Web 目录下不留存任何上传文件
- 20MB 大小限制 + UPLOAD_ERR 检查

加固（bootstrap.php）：data 及 cache/uploads/snapshots 每个目录都写
.htaccess（Deny from all）+ index.html 占位；README 与文档补充 nginx
location ^~ /data/ { deny all; return 404; } 规则。

测试：新增 e2e tools/test-upload-guard.js（11 断言，覆盖 .php/.phtml 被拒、
无残留、合法 csv 导入成功且即删、无可枚举文件名），并入 tests/run-all.sh。
全套 90 项通过。

docs: 新增 VitePress 文档站（18 页）
- 使用指南 12 页：简介/部署/快速上手/系统设置/名单管理/统计口径/试卷设置/
  快照趋势异常/导出打印/数据看板/随机抽取/常见问题
- 安全 2 页：安全总览（含本次漏洞复盘）与部署加固清单（P0-P2）
- 开发 4 页：架构与目录/接口一览/SQLite 存储/测试
- 配图迁移至 docs/public/images/；.gitignore 忽略文档构建产物

2026-09-10 22:42:13 +08:00

2.5 KiB

Raw Blame History

layout, hero, features

layout

hero

features

home

name

text

tagline

image

actions

NY 问卷考试系统数据平台

考试成绩实时统计与名单管理

基于 PHP 8 + 卷王（SurveyKing）社区版开放 API · 零 Composer 依赖 · 开箱即用

src	alt
/images/home.png	NY 问卷考试系统数据平台

theme	text	link
brand	快速上手	/guide/quickstart

theme	text	link
alt	环境要求与部署	/guide/install

theme	text	link
alt	安全加固清单	/security/hardening

icon	title	details
🔗	直连卷王	自动完成 RSA 加密登录、JWT / sk-token 令牌缓存，选择试卷即拉取全部答卷。

icon	title	details
🧩	姓名自动关联学号	用答卷中的「姓名」题匹配名单，未匹配答卷单独成面板，支持一键补入名单。

icon	title	details
📊	多维度统计	总人数 / 已提交 / 缺考 / 提交率 / 平均分 / 合格率 / 最高最低分 / 平均用时，按班级即时联动。

icon	title	details
⚙️	每卷独立配置	满分、合格率、免考名单按试卷隔离设置，互不干扰；未设置时回落到全局默认值。

icon	title	details
📈	快照与趋势	随时保存成绩快照，横向对比每名学生在多个时间点的成绩变化，并给出异常线索。

icon	title	details
🎲	随机抽取	按班级 / 组别均衡或加权抽取，累计去重、排除管理、历史批次与白名单导出。

icon	title	details
📤	导出与打印	零依赖生成 .xlsx，支持多工作表、最新成绩视图、成绩明细与缺考名单打印。

icon	title	details
🔒	安全内建	会话登录、CSRF 令牌、登录失败限流，上传文件白名单 + 随机名 + 解析后即删。

三分钟了解它

平台由三个页面组成，顶部导航栏可自由切换：

页面	入口	用途
主系统	`index.php`	成绩明细、统计卡片、名单管理、快照 / 趋势 / 异常、导出与打印
数据看板	`dashboard.php`	大屏展示，适合投屏实时监控提交进度
随机抽取	`draw.php`	从名单或某试卷已提交人员中随机抽取，支持白名单导出

::: tip 还没部署？先看环境要求与部署，再按快速上手完成连接配置与名单导入，全程不需要写一行代码。 :::

2.5 KiB Raw Blame History

三分钟了解它

2.5 KiB

Raw Blame History