5 Commits

Include renames

Author	SHA1	Message	Date
xuyueandClaude Opus 5	ed56a209ea	chore(格式): Prettier 统一到全仓，后端和契约一次性格式化 ... 原来只有 `apps/web` 在 Prettier 下（配置在 `apps/web/.prettierrc.toml`、脚本在 web 的 package.json），后端和契约从来没格式化过 —— 手写在 100 列上下，`db/schema.ts` 还是 drizzle-kit pull 留下的 tab 缩进。两套口径分叉久了，跨端改一处就得记着「这边 什么风格」。 - 配置搬到根目录 `.prettierrc.toml`，内容不变（`semi=false`，其余全默认， printWidth 80 —— 和前端已有的格式一致，不另立一套宽度）； - 脚本统一成根目录 `bun run fmt`，覆盖 `apps/*/src`、`apps/web/tests` 和两个构建 配置；web 自己那份 `fmt` 和重复的 prettier 依赖删掉； - `.prettierignore` 挡掉两类不该碰的：drizzle-kit 生成的 `src/db/meta/` 结构快照 （它是 db:generate 的比对输入，只该由 drizzle-kit 写）、unplugin 每次 dev 都会 重写的 `auto-imports.d.ts` / `components.d.ts`； - 全量跑了一遍。纯格式，无行为改动：api typecheck / check:routes / check:ast、 前端 type-check 全过，起 api 打了接口确认正常。前端这 39 个文件的小改动是 prettier 版本漂移（类型断言的换行口径变了），不是新配置带来的。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-09-16 08:27:34 -06:00
xuyueandClaude Opus 5	a2f67eebf6	perf(用户导入): 批量导入从几秒降到半秒 ... 导入一个班（45 人）要转好几秒，慢的全在密码哈希这一处： - 哈希在重名检查之前算。老师习惯把同一份名单粘两次，那种情况要白等 一整个班的 argon2 才看到 409。把校验和重名查询提到前面，这条路径 现在是 5.6ms 返回。 - 45 次 argon2 串行 await。改成固定 4 路并发池；不用 Promise.all 是因为 oj-api 的 mem_limit 只有 512m，一个年级 300 人全量并发撑不住。 - argon2id 参数从 Bun 默认的 m=64MiB 显式降到 OWASP 推荐下限 m=19MiB， 单次 140ms → 20ms。参数编码在哈希串里，存量账号照常验证、不用迁移， 旧的 pbkdf2 那条分支也不受影响。 45 人端到端 2.04s → 0.55s。验过：旧 m=65536 的哈希、新 m=19456 的哈希、 Django 的 pbkdf2 三种都能正常登录，错误密码照常拒绝。 顺带把生成页下载的 CSV 裁成用户名和密码两列 —— 发给学生的就这两样。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01QqqZwxtXLo2GTqMi51C94D	2026-09-01 00:28:16 -06:00
xuyueandClaude Opus 5	dd6a6a04eb	refactor(密码): 删掉 PASSWORD_HASH_UPGRADE，无条件写 argon2 ... 上一个 commit 把五个写入点收进 hashPassword，顺手把开关默认值翻成了 true 并 留下 false 分支当退路。这个退路是假的，删掉。 **开关只能拦住将来，修不了已经发生的。** 等真到了要把旧站拉回来的那天，活跃 账号早就都被登录/重置密码升成 argon2 了，这时候设 `=false` 一个也救不回来。 正经退路是切换手册「万一已经改坏了」那节的脚本 —— 拿 `raw_password` 重算 Django 的 `make_password`，能修已经变成 argon2 的账号。留着一个永远轮不到它 上场的开关，只是给后来人多一件要读懂的东西。 删掉的：`config.passwordHashUpgrade`、`hashDjangoPbkdf2` 和它那套 Django 参数 （1200000 迭代 / 22 位 salt / RANDOM_STRING_CHARS）、两个 compose 里的 `PASSWORD_HASH_UPGRADE` env。auth.ts 的登录升级变成无条件。 保留的： - `hashPassword()` —— 虽然现在只是一行 argon2，但「只有一个地方写密码」正是上 一个 commit 的重点。五处各写各的才是当初那个 bug 的根。 - `verifyPassword` 的 **pbkdf2 分支** —— 生产库 1710 个账号全是 Django 写的 pbkdf2（迭代次数 120000～1200000），只会在各自下次登录时才迁移。删了就是 全站登不上。代码注释里写死了这句话。 - 切换手册里的 `raw_password` 恢复脚本，以及回滚流程里新加的「密码要额外处理」 那一步。 ## 验证 改完重跑了一遍关键路径（临时造一个 Django 生成的 120000 迭代老哈希）： - 存量账号登录 200 → 哈希变成 argon2 → 再登 200 → 错密码 401 - 后台重置密码 → argon2 → 新密码能登录 - 注册 → argon2 → 能登录 tsc(apps/api) 0 error、check:routes 168 条无遮蔽、vue-tsc 0 error、build 通过、 两个 compose `config -q` 通过。测试用户已删干净。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-25 23:50:55 -06:00
xuyueandClaude Opus 5	694e147a21	fix(密码): 五个写入点统一走 hashPassword，默认切 argon2 ... ## 那道「单向门」其实一直开着 `PASSWORD_HASH_UPGRADE` 是并行试跑第一天撞出来的补丁：新后端把 Django 的 pbkdf2 升级成 argon2 之后，旧后端验不了，登录过新站的学生回滚就登不上 （phase5 切换手册里记着这件事）。当时的修法是给**登录时的自动升级**加个开关， 默认关闭。 但写密码的地方有五个，开关只管住了一个： POST /users 注册 PUT /admin/users/:id 管理员改密码 POST /admin/users 批量导入用户 POST /admin/users/:id/reset-password 重置密码 ← 老师天天在用 登录成功后的自动升级 ← 只有这一处受开关管 后面四处无条件 `Bun.password.hash(argon2id)`。也就是说开关关得好好的， **老师给学生点一次「重置密码」，那个账号就回不去旧站了** —— 而「老师帮学生 查/改密码」正是这套系统的日常功能，`raw_password` 那一列存在的理由就是它。 所以那半年里「默认关闭 = 回滚安全」是个假象。 ## 改法 五处统一走 `auth/password.ts` 的 `hashPassword()`，开关两个方向都变成真的： - `true`：五处全写 argon2id，登录时把存量 pbkdf2 顺手升级掉。 - `false`：五处全写 Django 格式的 `pbkdf2_sha256$1200000$<22位salt>$<base64>`， 登录时也不动存量哈希 —— 两边都验得了。 新加的 `hashDjangoPbkdf2` 逐项对齐 Django 6 的 `PBKDF2PasswordHasher`： 1200000 迭代、22 位 salt、`RANDOM_STRING_CHARS` 字符集、sha256/32 字节。 **默认值定成 `true`** —— 旧站今天下线了，没有回滚路径要照顾。要把旧站拉回来 就先设 `PASSWORD_HASH_UPGRADE=false`，切换手册三处说明都改了。 ⚠️ `verifyPassword` 的 pbkdf2 分支**永远不能删**，代码和注释里都写了：生产库 1710 个账号全是 Django 写的 pbkdf2（迭代次数 120000～1200000，跨了好几个 Django 版本），它们只会在各自下次登录时才升级成 argon2。 ## 顺带：dev seed 只有学生号 `seed:dev` 只建 `student`（普通用户），本机想测后台得手工往库里塞 email 和 user_profile —— 而缺 user_profile 的表现极其隐蔽：`/api/me` 返回 profile-not-found → 前端 getMyProfile 抛异常 → localStorage 的 authed 存不进去 → **所有 /admin 路由被守卫静默弹回首页**，不报错。我在这上面卡了很久。 现在 seed 同时建学生和超管（`devadmin` / `devadmin123`），profile 和 email 一起 建好，并且写密码也走 hashPassword。另外加了一道防呆：DATABASE_URL 不是本机时 直接拒绝执行 —— 这个脚本会重置密码并把明文写进 raw_password，其中一个还是超管， 对着生产库跑一次就是把超管密码改掉。要绕过设 `OJ2_SEED_FORCE=true`。 ## 验证 全程拿**旧后端那个真的 Django venv** 对打，不是照着文档推： - 事实核对：Bun 写的 `$argon2id$…` 在 Django 里 `identify_hasher` 抛 `Unknown password hashing algorithm ''`；换成 Django 格式 `argon2$argon2id$…` 能识别，但 `verify()` 抛 `Couldn't load 'Argon2PasswordHasher' algorithm library: No module named 'argon2'`（旧后端确实没装 argon2-cffi）。 原注释说的「格式对了也验不了」结论对，机制略有出入。 - 双向互验：OJ2 写的哈希 Django `check_password` 通过、错密码不通过； Django `make_password` 写的哈希 OJ2 `verifyPassword` 也认。 - 默认（argon2）：拿 Django 现造一个 120000 迭代的老哈希塞进库，登录 200 → 哈希变成 argon2 → 再登一次仍 200。 - 退路（`=false`）：同一个老哈希登录 200 且**哈希不变**；走后台「重置密码」 之后落库是 `pbkdf2_sha256$1200000$…`，**旧站的 Django 验这个新密码通过**。 - 一次 1200000 迭代约 107ms（写密码时的开销；验旧哈希的开销本来就在）。 - tsc(apps/api) 0 error、check:routes 168 条无遮蔽、vue-tsc 0 error、build 通过。 测试用户（pwtest1 / legacyuser）已删干净，本机库用新 seed 复位。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-08-25 23:47:02 -06:00
xuyue	ec274419c3	Build Phase 2 judge vertical slice	2026-08-06 22:42:39 -06:00