xuyue/OJ2
1
0 Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
404 Commits 1 Branch 0 Tags
96ce9725b2e8f5f7d0d9131cc6f14118c02f4243
Commit Graph
6 Commits
Author SHA1 Message Date
xuyueandClaude Opus 5 498fc1ceca fix(后台): 会话吊销、导入查重、练习题校验，以及一批后台页面的小毛病
Deploy / deploy (push) Has been cancelled
Details 
后台代码审查后的一批修复。

后端：
- 改密码 / 重置密码 / 禁用账号现在真的把该用户所有设备的会话删掉。原来只
  publishSessionRevoked 广播断 WebSocket，HTTP 拿着旧 cookie 照样能用到会话
  自然过期 —— 给被盗用的账号改密码等于没改。为此在 Redis 里补了反向索引
  user-sessions:<id>（createSession 写入、登出和失效路径清理、跟着会话续期）。
- 导入用户补齐校验：邮箱走 z.email()、批内查重、库内查重，用户名和邮箱各报各的；
  用户名和邮箱都归一成小写，和登录的 lower(username) 比较口径对齐。以前导入这条
  路什么都不查，而前端占位邮箱按「班级+批内序号」拼，同一个班导第二批必然重号，
  那两个账号从此在后台保存一次就撞 409、再也改不动。前端生成的占位邮箱同步加了
  每批随机后缀。
- PUT /users/:id 的邮箱查重改比 lower(email)，存量大小写混着的数据也能拦住。
- 删用户的裸 catch 收窄成只认外键冲突 23503（顺 cause 链找，drizzle 0.45 把驱动
  错误包了一层），别的错照常抛 500，不再把连接故障说成「该用户还有历史数据」。
- 练习题 data 补语义校验（services/exercise.ts）：没有 {{空位}} 的填空题、空选项的
  选择题、越界的下标等一律拒收。以前后端零校验，坏数据只有学生端会撞到。
- PUT /judge-servers/:id 改用 queryInteger，非数字 id 回 404 而不是 500。
- 比赛克隆不加归属校验是**有意的**（快速再开一场以前的比赛；保密边界在师生之间不在
  教师之间），把这条政策和它的副作用写进注释，免得反复被当成漏洞。

前端：
- 编辑用户弹窗的「班级」输入框改成只读 —— 它一直是个改了没用的控件，班级由后端从
  用户名推导。
- 新建用户预填唯一占位邮箱、角色默认改成实际会建出来的 Regular User、密码留空直接拦。
- 比赛题目列表的列过滤写的是 top_reaction，实际 key 是 topReaction，空列一直没被滤掉。
- AI 生成流程图加 try/finally，接口失败不再把按钮卡在 loading。
- 单个判题机删除后刷新表格；后台首页显示在线判题机数量（后端一直在下发）。
- 下载测试点失败时读 Blob 里的错误信封弹提示，不再毫无反应。
- 练习题编辑器补上和后端一致的前置校验。

验证：tsc / vue-tsc / vite build / check:routes 全过；后端每条改动都在本机起服务
实跑确认（会话吊销、导入各种重复、练习题七种题型、外键 409、非数字 id）。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01RC5uL72UY9aZFuTvUKe2jv
 2026-09-06 08:41:54 -06:00
xuyueandClaude Opus 5 0b7b08f2cc refactor(前端): 去掉 { error, data } 信封，api2 改名 api
Deploy / deploy (push) Has been cancelled
Details 
信封是 Django 时代的形状：拦截器手工造一个**恒为 null** 的 error 字段，再把
真正的载荷塞进 data。后端 http.ts 的 success 其实只返回 { data }，那个 error
从头到尾没人用 —— 全站成功路径读 res.error 的只有 admin/api.ts 的
resetPassword 一处，而它自己就是个把信封拆开再重新包一遍的 shim。

代价是每个调用点都要 .data 一次：47 个组件、3 个 api 层文件、200 多处。
现在拦截器直接返回 response.data.data，ApiResponse<T> 退化成 T，文件末尾那句
`as unknown as Api2Client` 的类型谎言也少了一层。失败路径不动，仍然 reject
`{ error: 错误码, data: 文案 }` —— 和成功路径不对称是故意的，成功没有错误码
可言，接口注释里写清楚了。

顺带把 api2 改回 api：utils/ 下早就没有 api.ts 了，"2" 是迁移期用来和旧
client 区分的，现在只剩下让人多想一秒的作用。

## 怎么改的

**没有全局 sed。** 先把客户端的返回类型从 Promise<ApiResponse<T>> 改成
Promise<T>，让 vue-tsc 把每一处报出来（210 条），再按它给的 file:line:col
精确删 `.data`（192 处），剩下的手工处理：

- 6 处 `const { data } = await ...` 解构 → `const data = await ...`
- 3 个 api 层函数（getProfile / getProblem / getSubmission）自己手工造信封，
  改成直接返回值；getProfile 的返回类型跟着从 ApiResponse<Profile|null>
  变成 Profile|null

**类型检查抓不到的，人工把剩下的每一处 `.data` 过了一遍** —— 载荷本身带
data 字段、或者载荷是索引签名时，`res.data` 照样过类型。这一遍捞出三条真 bug：

- `getTutorialList` 的载荷是 `{ [key: string]: TutorialListItem[] }`（按
  python / c 分组）。索引签名让 `res.data` 编译通过、运行时是 undefined ——
  改完信封之后教程列表会**两个 tab 全空且不报错**。实跑确认过修好了。
- `createExercise` / `updateExercise` 返回 `res.data`，而 Exercise 自己有
  data 字段（练习内容）。两个调用方都不看返回值，所以类型和运行时都不响。
- `getSimilarProblems` 的 `.then(r => ({ ...r, data: r.data.map(...) }))`
  删掉 .data 之后变成往对象里摊一个数组，能跑但形状是错的。

另外两处是**对的**，加了注释免得下次被"顺手清理"掉：
StatisticsPanel 的 `res.data` 是契约 submissionStatisticsSchema 自己的 data
字段（每个学生一行）；download.ts 是独立 axios 实例，`res.data` 是 axios 的
响应体（zip 二进制，不走信封）。

## 验证

tsc(apps/api) 0 error、check:routes 168 条无遮蔽、vue-tsc 0 error、vite build
通过。**因为这改动碰的是每一个请求，静态检查不够，起了全套服务用浏览器实跑：**

- oj 侧 12 个页面 + 后台 13 个页面逐个打开，断言没有重定向、console 无报错。
- 关键页面进一步断言渲染出了真数据（后台用户列表 3 行、题目列表 10 行、
  站点配置表单三个输入框有值、教程列表分组正确）。
- 三条写路径实打：重置密码（库里 student123 → 531554，表格当场刷新）、
  公告可见性开关（走 getAnnouncement + editAnnouncement，就是手改解构那处，
  库里 visible t → f）、提交代码（POST → 判题机真跑出 -2 → 提交列表和详情页
  都正确渲染状态、语言、代码）。
- /rank 有一条 `{error: "class-missing"}` 的未捕获 reject，stash 掉本次改动
  复现同样报错，**是既有问题**，不在本次范围内。

本地 dev 库为了打通后台测试改了三处，都只影响本机：devadmin 补了 email 和
user_profile 行（原来缺这两样，getProfile 报 profile-not-found，AUTHED 存不
进去，所有 /admin 路由被守卫弹回首页）、密码重置成 devpass123。冒烟用的教程/
公告/提交三条测试数据已删干净，题目和用户的提交计数也回滚了。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
 2026-08-25 22:42:20 -06:00
xuyueandClaude Opus 5 1198895b54 refactor(前端): vue-tsc 清零，type-check 可以当 CI 门禁了 
接上 vue-tsc 时有 143 条既有错误，上一批迁移带走 89 条，这里把剩下的清完。

大部分是噪音（未使用的回调参数、死变量、少数 unknown），但里面躺着两个真问题：

- 个人主页查不存在的用户会抛：getProfile 返回 null 时后面照样取
  .acmProblemsStatus，靠 `!` 压着。加了早返回。
- getProblemSetProgress 我上一批标错了类型：后台这个接口返回的是裸数组，
  不是分页信封（和 oj 侧的 /user-progress 不一样）。已改正并加注释区分。

其余处理：

- 未使用的回调参数按 TS 约定加 `_` 前缀（v-for 的项、供子类重写的空钩子、
  路由守卫的 from）；确认无用的局部变量直接删（clickX/clickY 算了点击位置
  但飞出方向用的是随机角度，hasToday 下面已经用 lastDateOnly 判过，
  prefix 算了周/月但标签里没用上）。
- App.vue 的 highlight.js 注册：Promise.all([...]).then(m => m.map(x => x.default))
  会把元组塌成 (HLJSApi | LanguageFn)[]，hljs 上就找不到 registerLanguage。
  改成逐个取 .default。
- 给一批 api 补上契约类型（getMetrics / getHitokoto / getTutorials /
  formatCode / getProblemBeatRate / getClassUsernames 等），契约相应补了
  8 个 z.infer 导出。
- ContestRank.submissionInfo 和 AcmHelperItem.acInfo 在 api 边界窄化成
  SubmissionInfo —— 契约里是 Record<string, unknown>（JSONB 原文）。
- FlowchartEditor 的 TS2589：vue-flow 的 Node 嵌套太深，ref<Node[]>([]) 的
  UnwrapRef 推导撞上实例化层级上限，改成 ref([]) as Ref<Node[]>。
- api2.ts 的响应拦截器**故意**不返回 AxiosResponse（要把 { data } 信封剥掉），
  类型上确实说不通，没硬掰，写注释说明为什么用断言。
- 题目列表的「随机」按钮在模板里一直是注释状态，对应的 getRandom 和
  getRandomProblemID 一并删除（后端 /problems/random 保留不动）。

验证：vue-tsc 0 条，apps/api tsc、check:routes、web build 全通过；
修过 key 的列都打接口确认过字段真实存在。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
 2026-08-25 14:04:10 -06:00
xuyueandClaude Opus 5 2edb8cfb0d fix(前端): 我改 /api2 前缀时漏了 5 处；修 4 个字段名不匹配；收紧 .gitignore 
浏览器走查 + 真实 AI 调用暴露出来的，都是「接口好的、界面坏的」，
只靠脚本打 API 永远发现不了。

## 一、AI 功能和测试用例下载全都会 404（我今天造成的）

把 api2.ts 的 baseURL 从 /api2 改成 /api 时，只改了走 axios 实例的调用，
漏掉 5 处不走它的：

  oj/store/ai.ts                        AI 题解分析     原生 fetch("/api2/...")
  oj/problem/.../SubmissionResult.vue   AI 提示         原生 fetch
  oj/rank/list.vue                      AI 班级分析     原生 fetch
  oj/class/pk.vue                       AI 班级 PK      原生 fetch
  utils/download.ts                     测试用例下载    独立 axios，baseURL "/api2/admin"

生产的 Caddy 只认 /api，这 5 条全是 404。阶段 0 的端点清单里就写着
「盲点 2：4 处用原生 fetch」「盲点 3：download.ts 是独立 axios 实例」——
我今天读过那份文档，还是漏了。

修完实测四条 AI 链路全通（真实 DeepSeek 调用）：
  /api/ai/analysis          200  SSE 176 分片 5.2s  start→delta→done→end 完整
  /api/ai/hint              200  2.4s  且未泄露参考答案
  /api/ai/class-analysis    200  12.6s
  /api/ai/class-pk-analysis 200  12.6s
落库确认（ai_analysis 新增，model=deepseek-v4-flash 与旧后端一致）。
hint 对别人的提交回 404 是**正确**的，它用 userId 限定只能看自己的。

## 二、4 个字段名永久对不上（重写引入的回归）

适配器只在**大写字母**前插下划线：`top10Avg` → `top10_avg`；
而旧 Django 给的是 `top_10_avg`（数字前也有）。前端还按旧名读。

影响比"三列空白"大：`row.top_10_avg.toFixed(2)` 在 undefined 上抛异常，
Vue 放弃整个子树 —— 班级PK 和班级排名页的**整个「分层统计」面板都不显示**
（Q1/Q3/四分位距/标准差/前10%/中间80%/后10%/人数 全没了），控制台还不报错。

修完实测：前10%均值 194.80、中间80%均值 93.79、后10%均值 49.40 全部出现。
写脚本按这个规律全仓扫过，确认只有这 4 个，改完复查归零。

## 三、.gitignore 差一点把生产库提交上去

原来只忽略 data/test_case/ 和 data/judge_server/，而 compose 会在
data/postgres/ 生成**整个数据库**（含 raw_password 明文列）、data/redis/、
data/backend/（学生上传的文件）。这次 `git add -A` 报权限错误才发现 ——
只因为 postgres 容器用别的 uid、目录读不了才没提交成功。改成忽略整个 data/。
已确认历史里从没提交过这些。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
 2026-08-08 05:37:24 -06:00
xuyueandClaude Opus 5 cd5dd16f3b feat(阶段4): 测试用例压缩包上传与下载 
POST  admin/test-cases
  GET   admin/problems/:id/test-cases   （返回 zip 二进制）

落盘格式必须与判题沙箱镜像的约定一致（沙箱直接读挂进去的目录），已用真判题验证：
上传 zip → 建题 → 提交 Python 解法 → 沙箱读到用例并判出 Accepted。

安全与健壮性上比旧后端多做的几件事：

- **zip slip 从设计上进不来**：不遍历压缩包条目，只按精确文件名（`N.in`/`N.out`/`N.sql`）
  取内容，条目名一律不参与路径拼接。实测带 `../../etc/passwd` 条目的包能正常处理，
  且只取到 1.in/1.out。
- 单文件 32MB、解压后总量 128MB、测试点数 500 的上限，防 zip bomb 与写满磁盘 ——
  旧后端一概没有，机房那台机器盘写满之后判题也会一起挂。
- 坏 zip 返回 400 而不是 500。

对齐旧后端的细节：CRLF→LF 归一；`stripped_output_md5` 按 Python `bytes.rstrip()`
的口径只剥尾部 ASCII 空白后再算（实测与 hashlib.md5 结果一致）；编号从 1 起连续、
遇缺口即停；SQL 包至少 2 个测试点（题目页会展示测试点 1 的期望结果，只有一个时
学生可以对照着硬编码 AC）；目录 0710、文件 0640。

## 顺带修掉一个只在判题时才暴露的路径 bug

config 里的相对路径（data/test_case、data/avatar、data/upload）原先按进程 cwd 解析，
而起服务的方式会把 cwd 切到 apps/api/，于是测试点落在 apps/api/data/ 下 ——
但 docker/compose.dev.yml 把**仓库根**的 data/test_case 挂进判题沙箱。两边不是同一个
目录，新传的测试点判题时会「找不到测试数据」，且只在真正判题时才暴露。
改成一律按仓库根解析，实测沙箱能看到新传的目录。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
 2026-08-07 16:42:54 -06:00
xuyue ae1fb329b5 feat(阶段1): 搬入 ojnext 为 apps/web，未改业务代码 2026-08-06 21:18:16 -06:00