xuyue/OJ2 - OJ2 - Gitea: Git with a cup of tea

xuyue/OJ2

Fork 0

Commit Graph

Author	SHA1	Message	Date
yuetsh	359b91ab4d	docs(阶段3): 记录 7 条 Minor 的逐条结论其中两条判为无需改动并说明理由：M-2（user-progress 的 realName）已被 F2 的 sampleUser 默认关闭开关覆盖，现在与旧后端一样返回 null；M-3（练习答案下发）旧后端逐字相同，属教程练习「客户端比对」的既有设计，不是本次重写引入的回归。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-07 07:01:13 -06:00
yuetsh	cb6d42363b	docs(阶段3): 修复波复评通过，安全 findings 收口 8 条（F1-F6 + 收尾 F4b/F5b）全部 ADDRESSED，修复 diff 内无新引入破坏。复评补上了控制方没验充分的 F4b：真造了一条比赛提交，确认数据库存真值而 API 返回给本人的是 info:{} / ip:null / contestId:null。另核实 sampleUser() 是真正的默认关闭开关（覆盖全部 14 个下发点）、 isRegularUser 全仓确实只有一个调用点、.env 加载器优先级正确、限流参数与旧后端 options/options.py 逐值吻合。评审产物从 gitignore 的 .superpowers/sdd/ 归档进 docs/specs/ 以免丢失。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-07 06:26:20 -06:00
yuetsh	9c04b00e3f	docs(阶段3): 权限与泄露双评审报告 + 合并修复清单两份评审独立进行、互不知情，各自命中同两条问题（匿名可读用户档案、 realName 无条件下发），独立复现提高可信度。严重度取更严一方 —— 使用者是中职学生，姓名邮箱班级属个人信息。 3 Critical / 3 Important，F1-F3 已由控制方独立实跑复现。无敏感字段泄露、无泄题，比赛权限重建得最好。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-07 01:43:55 -06:00

Author

SHA1

Message

Date

yuetsh

359b91ab4d

docs(阶段3): 记录 7 条 Minor 的逐条结论

其中两条判为无需改动并说明理由：M-2（user-progress 的 realName）已被 F2 的
sampleUser 默认关闭开关覆盖，现在与旧后端一样返回 null；M-3（练习答案下发）
旧后端逐字相同，属教程练习「客户端比对」的既有设计，不是本次重写引入的回归。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-07 07:01:13 -06:00

yuetsh

cb6d42363b

docs(阶段3): 修复波复评通过，安全 findings 收口

8 条（F1-F6 + 收尾 F4b/F5b）全部 ADDRESSED，修复 diff 内无新引入破坏。

复评补上了控制方没验充分的 F4b：真造了一条比赛提交，确认数据库存真值
而 API 返回给本人的是 info:{} / ip:null / contestId:null。

另核实 sampleUser() 是真正的默认关闭开关（覆盖全部 14 个下发点）、
isRegularUser 全仓确实只有一个调用点、.env 加载器优先级正确、
限流参数与旧后端 options/options.py 逐值吻合。

评审产物从 gitignore 的 .superpowers/sdd/ 归档进 docs/specs/ 以免丢失。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-07 06:26:20 -06:00

yuetsh

9c04b00e3f

docs(阶段3): 权限与泄露双评审报告 + 合并修复清单

两份评审独立进行、互不知情，各自命中同两条问题（匿名可读用户档案、
realName 无条件下发），独立复现提高可信度。严重度取更严一方 ——
使用者是中职学生，姓名邮箱班级属个人信息。

3 Critical / 3 Important，F1-F3 已由控制方独立实跑复现。
无敏感字段泄露、无泄题，比赛权限重建得最好。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-07 01:43:55 -06:00

3 Commits