Files

T

nxxy335 a3be81b261 fix(security): 修复上传名单文件可被 URL 直连访问（nginx 下可 getshell）

严重漏洞：roster_import 使用 $_FILES 的原始扩展名拼 roster_YYYYMMDD_HHMMSS.<ext>
落在 Web 根目录内的 data/uploads/，既无扩展名白名单（可上传 .php），文件名又
可按秒枚举；而 bootstrap 只写了 data/.htaccess，nginx 不读 .htaccess，
生产环境（nginx + PHP-FPM）下可直接远程代码执行。

修复（api.php roster_import 四层防护）：
- 扩展名白名单：仅 xlsx / xlsm / csv / txt
- 随机文件名：bin2hex(random_bytes(16))，杜绝枚举
- 解析完成后 @unlink 立即删除，Web 目录下不留存任何上传文件
- 20MB 大小限制 + UPLOAD_ERR 检查

加固（bootstrap.php）：data 及 cache/uploads/snapshots 每个目录都写
.htaccess（Deny from all）+ index.html 占位；README 与文档补充 nginx
location ^~ /data/ { deny all; return 404; } 规则。

测试：新增 e2e tools/test-upload-guard.js（11 断言，覆盖 .php/.phtml 被拒、
无残留、合法 csv 导入成功且即删、无可枚举文件名），并入 tests/run-all.sh。
全套 90 项通过。

docs: 新增 VitePress 文档站（18 页）
- 使用指南 12 页：简介/部署/快速上手/系统设置/名单管理/统计口径/试卷设置/
  快照趋势异常/导出打印/数据看板/随机抽取/常见问题
- 安全 2 页：安全总览（含本次漏洞复盘）与部署加固清单（P0-P2）
- 开发 4 页：架构与目录/接口一览/SQLite 存储/测试
- 配图迁移至 docs/public/images/；.gitignore 忽略文档构建产物

2026-09-10 22:42:13 +08:00

3.1 KiB

Raw Blame History

平台简介

NY 问卷考试系统数据平台是一个零第三方运行依赖的 PHP 8 应用，直接对接卷王问卷系统（SurveyKing）社区版 v1.13 的开放 API。

它不改变卷王本身的任何数据，只读拉取答卷，然后在本地做「姓名 → 学号」关联、统计聚合、导出与展示。

它能解决什么问题

卷王自带的考试统计偏"问卷视角"，而实际教学/培训场景通常需要的是"名单视角"：

谁没考（而不是谁考了）—— 需要拿完整名单去比对；
某个班 / 某个组的成绩分布如何 —— 需要按班级、组别切片；
同一个人考了多次，该看哪一次 —— 需要去重策略 + 完整的考试次数；
不同试卷满分不同 —— 需要每卷独立的满分与合格率；
成绩要交给教务系统 —— 需要干净的 .xlsx 导出；
要抽查 / 抽考 —— 需要可去重、可留痕的随机抽取。

功能总览

主系统 `index.php`

模块	说明
试卷切换	下拉选择卷王中的问卷 / 考试，自动拉取该卷全部答卷
姓名关联	自动识别答卷中的「姓名」题，也可手动指定字段；未匹配答卷单独面板 + 一键补入名单
统计卡片	名单总人数、已提交、缺考、平均分、最高分、最低分、合格率、平均用时；选择班级后全部联动
成绩明细	虚拟滚动（无分页）、点击表头排序、搜索、考试次数、新提交绿色高亮（30 秒自动清除）
缺考名单	名单中有但未提交的人，支持复制学号 / 姓名、打印
试卷设置	为当前选中的试卷单独设置满分 / 合格率 / 免考名单，试卷间互相隔离
快照 / 趋势	保存带标签的时间点快照，横向对比每名学生成绩变化
异常检测	短时长高分、高频重考、雷同成绩三类线索
导出 / 打印	成绩明细、缺考名单 `.xlsx`；成绩明细按成绩降序打印，可选分组对比

数据看板 `dashboard.php`

大屏看板，适合投屏。支持全屏切换与自动刷新。

随机抽取 `draw.php`

从「学号名单」或「某试卷已提交人员」中随机抽取，支持：

按班级 / 组别筛选；
名额分配四种模式：按人数加权（默认）、各组均分、自定义比例、不分组；
排除已抽中（本次会话内去重）、排除管理（手动指定不参与的人）；
历史批次留痕、白名单导入模板 / 白名单列表导出。

设计约束

零 Composer 依赖：不使用任何 PHP 第三方库，XLSX 读写、ZIP 打包均由仓库内代码完成；
不修改卷王数据：全程只读（登录 + 项目列表 + 答卷列表 + 答卷详情）；
可降级：没有 zip 扩展时用内置解析器读 xlsx；没有 pdo_sqlite 时自动回落到 JSON 文件存储；
单目录部署：整个目录复制到站点目录即可，只需保证 data/ 可写。

3.1 KiB Raw Blame History