yuetsh 9a63883f30 docs(阶段4评审): 更正一处对旧后端的错误判断 ...

对照表原写 DashboardInfoAPI / RandomUsernameAPI「旧后端任何人可读，含班级用户名
枚举」——不成立。两条都在 /api/admin/ 下，AdminRoleRequiredMiddleware
（account/middleware.py:36）在中间件层就要求登录且 is_admin_role()。
「无装饰器」是真的，「任何人可读」不是。

真实缺口只是「任何管理员可读，而非仅超管」，严重度差很多。
修旧后端时按这条去查，会白改一处不存在的漏洞。

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

2026-08-08 06:50:21 -06:00

..

2026-08-06-bun-backend-rewrite-design.md

docs: 更正本机开发环境约束 —— Docker 可用

2026-08-06 20:30:17 -06:00

endpoint-inventory.md

docs: 拿阶段 0 的权威清单核对交付，110/110 零缺口

2026-08-08 04:11:39 -06:00

phase3-coverage.md

docs(阶段5): 用生产快照跑完整切换演练

2026-08-08 02:13:59 -06:00

phase3-fix-list.md

docs(阶段3): 记录 7 条 Minor 的逐条结论

2026-08-07 07:01:13 -06:00

phase3-fix-report.md

docs(阶段3): 修复波复评通过，安全 findings 收口

2026-08-07 06:26:20 -06:00

phase3-review-authz.md

docs(阶段3): 权限与泄露双评审报告 + 合并修复清单

2026-08-07 01:43:55 -06:00

phase3-review-leakage.md

docs(阶段3): 权限与泄露双评审报告 + 合并修复清单

2026-08-07 01:43:55 -06:00

phase3-review-rereview.md

docs(阶段3): 修复波复评通过，安全 findings 收口

2026-08-07 06:26:20 -06:00

phase4-review-authz.md

docs(阶段4评审): 更正一处对旧后端的错误判断

2026-08-08 06:50:21 -06:00

phase4-review-sql-sandbox.md

fix(SQL 沙箱 Minor): 让题目的 memoryLimit 对学生真正生效

2026-08-08 02:27:35 -06:00

phase5-cutover-runbook.md

docs(阶段5): 补验 WebSocket 经 Caddy 与机房那套 compose

2026-08-08 03:33:00 -06:00

phase012-verification.md

docs: 阶段 0/1/2 出口标准核验 + 阶段 3 覆盖率对账

2026-08-07 01:25:36 -06:00

sample-data.sql

chore(阶段1): 题目样本导入脚本（不含用户数据）

2026-08-06 21:14:23 -06:00

schema.sql

chore(阶段0): 取回生产库 schema，解阻塞阶段 1

2026-08-06 20:20:54 -06:00