|
|
95625d6711
|
refactor: 另外两处守卫也收到注册行上
走查题单进度时撞到 `/problem-sets/:id/user-progress` 对学生 403 —— 那是**正确**的
（它是给教师看全班进度的），但守卫又写在 handler 体内。评审的 M3 只列了 3 处，
按同一模式扫全仓，还有 2 处：
content.ts POST /messages isSuperAdmin
problemset.ts GET /problem-sets/:id/user-progress isTeacherOrAbove
改用 requireSuperAdmin / requireTeacher，理由同 M3：守卫要能从注册行上看出来，
不然下一个人加同类端点容易漏掉那个 if。
实测档位没变：学生两条都 403，教师看全班进度 200。
路由遮蔽检查仍然干净。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
|
2026-08-08 06:28:44 -06:00 |
|
|
|
cebaa87b13
|
fix(Minor M-1): 站内信内嵌提交改用独立 schema，并修复题号链接
两件事：
1. 内嵌的 submission 之前复用 submissionDetailSchema 并把 info / ip 写死成空值，
于是键仍留在响应里。旧 SubmissionSafeModelSerializer 是 exclude，这三个键
根本不出现。改成独立的 embeddedSubmissionSchema —— 形状对上了，将来有人
把空值改成真值也不会变成泄露，因为这里压根没有这三个字段。
2. 顺带修掉一个评审没覆盖的真回归：内嵌 submission 给的是 problemId（数字主键），
而旧 serializer 的 problem 是 SlugRelatedField(slug_field="_id")，即展示用题号。
oj/user/message.vue:20 拿它拼 /problem/<题号>，迁移后拼出的是 /problem/undefined，
题号那一栏也是空的。改为下发 problem，实测返回 "1004"。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
|
2026-08-07 07:01:13 -06:00 |
|
|
|
b4b61af6b0
|
fix(阶段3): 匿名不可读用户档案，真名改为默认不下发
F1：GET /profiles/:username 只挂了 optionalAuth、handler 内无登录判断，
匿名可读 email、adminType、className、lastLogin。用户名又能经 /rankings/users
公开枚举，等于可以无 cookie 批量收集全校学生的邮箱与最后登录时间。
handler 开头补上未登录即返回空，对齐旧后端 account/views/oj.py 的
UserProfileAPI.get 首行 `if not user.is_authenticated: return self.success()`。
F2：旧后端把「是否下发真名」做成 UsernameSerializer(need_real_name=False)
的默认关闭开关，全仓 11 处调用只有比赛榜单一处显式打开；新后端没搬这一层，
真名随用户对象无条件下发，13 个下发点里 8 个匿名可达。
这里补回同一层：helpers.ts 新增 sampleUser()，realName 默认不下发，
需要的地方显式传 { includeRealName: true }。12 个下发点改为走这个函数，
只有比赛榜单一处打开（对齐 contest/serializers.py:84 的 is_contest_admin）。
没有逐处删字段 —— 那样下次新增端点还会重犯。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
|
2026-08-07 01:59:05 -06:00 |
|
|
|
8c00cdc947
|
feat(阶段3): oj 侧端点铺开（基线提交，未经评审）
由外部 agent (Codex) 在本会话额度中断期间完成。原样提交作为基线，
后续修复单独成 commit，便于区分与回退。
覆盖 oj 侧 65 个端点，新增 9 组路由（account/achievement/ai/classroom/
content/contest/flowchart/problemset/site）与对应 Zod 契约。
已核验：tsc --noEmit 退出码 0；API 可启动；/api/problems 返回真实数据；
judge 与 flowchart worker 均 ready。
未核验：权限边界与数据泄露，评审进行中。
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
|
2026-08-07 01:25:36 -06:00 |
|
