6 Commits

Include renames

Author	SHA1	Message	Date
xuyueandClaude Opus 5.5	325474bdb7	perf: 首屏 JS 减少 2/3、随机评分查询提速，WebSocket 防刷和登录限流 ... - prettier 点“整理”时才加载，编辑器页面按路由懒加载：首屏 JS 2345 KB → 766 KB - 随机评分先随机抽 64 个 rowid 挑选，抽不中再退回全表随机：6 万条提交时 50ms → 1ms - WebSocket 消息最大 64 KB；AI 回复中再发来的消息直接拒绝，不再排队 - 同一用户名 10 分钟失败 10 次、同一 IP 失败 100 次后暂停登录（返回 429，登录框显示提示） - 作品展的 iframe 加 loading="lazy" - 新增 ws.test.ts（正常生成、回复中再发消息、中途断开、握手失败）和随机评分、登录限流的测试 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-26 22:19:50 +08:00
xuyueandClaude Opus 5.5	03878f6cc2	fix: 提交列表和删除提交的慢查询，素材上传、登出和几处前端加载问题 ... 性能（6 万条提交、18 万条消息的测试库上测的） - 提交列表 join task_task 时用 +s.task_id，不再从任务表出发经 task_id 单列索引回表读 html/css/js 大行，改走 slim 覆盖索引：翻页 260-700ms → 4-18ms - 删除提交时先查出 id 再按等值删关联行：prompt_message.submission_id 几乎全是 NULL， 写成 IN (子查询) 时统计信息会让 SQLite 扫整张表 bug - 提交列表排序加 rowid 作次级键，同分的提交翻页不再重复或遗漏 - 素材文件名只允许字母数字和 - _ .（否则 422），覆盖同名文件改成写临时文件再 rename； 前端删除时对名字做 URL 编码 - 刷新 token 只是网络失败时不再强制登出；退出请求失败时界面也显示为已退出 - 历史面板加载中收到的刷新不再丢掉；成绩册只用最后一次请求的结果，打开时不再加载两次 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-26 22:03:51 +08:00
xuyueandClaude Opus 5.5	cdeb7c18ef	fix: 修复中危问题：注册接口、模型名、LLM 超时、WebSocket 断线、未公开任务泄露等 ... 服务端 - 删掉没人用的 /account/register，外网不能再批量注册小号 - 模型名只放行豆包和配置的 LLM_MODEL，浏览器里存的旧模型名换成默认模型； 聊天默认模型改读 LLM_MODEL - 流式生成改成 120 秒无数据才超时（另有 15 分钟总上限），思考模型不会被中途掐断； SSE 最后一行没有换行时不再丢内容 - WebSocket：token 无效 401、任务不存在 404，建对话失败时关闭连接； 引导出错时把没有回复的提问移出上下文 - 未公开的教程只有超管能看，未公开的挑战和素材管理员也能看，其他人 404 - Caddy：/media 加 CSP sandbox 和 nosniff，上传的 html/svg 直接打开不能跑脚本； 加 CORS，预览 iframe 里的代码可以读取字体和 fetch 素材 前端 - 新增 ReconnectingSocket：意外断开后退避重连，握手失败先刷新 token； 断线时清掉“生成中”状态，旧连接的事件不再改写新连接 - marked 扩展抽到 utils/markdown.ts：教程用独立实例，不再改全局 marked； 学生内容的渲染保留高亮，不带会渲染原始 HTML 的 preview 扩展 - 挑战页、创作页加载完成前离开时不再建立连接，离开时关闭引导弹窗 - 教程、提交列表、用户管理跟随浏览器前进后退；快速翻页只用最后一次结果， 改筛选条件不再请求两次 - 随机评分弹窗在 AI 回复完之后不再弹出 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-26 21:33:44 +08:00
xuyueandClaude Opus 5.5	73788c4595	fix: 修复学生代码窃取 token、提示词链 XSS 和打分没有上限的问题 ... - 运行提交代码的 iframe（编辑器预览、随机评分弹窗、/submission/:id、全屏预览） 加上 sandbox，不给 allow-same-origin，代码读不到 localStorage 里的 token - 提示词和 AI 回复的 markdown 渲染时转义原始 HTML，链接只放行 http(s)/mailto； ChainModal 也改用这个渲染函数 - 打分限定 1-5 分（超出返回 422），不能给自己的提交打分 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-26 21:33:26 +08:00
xuyueandClaude Opus 5.5	26827e31d5	feat: 登录改用 JWT（access token + refresh token），不再用 cookie ... - 登录返回 15 分钟的 access token（HS256，密钥 JWT_SECRET，未配置则每次启动随机） 和 14 天的 refresh token；请求带 Authorization: Bearer，WebSocket 用 ?token= - refresh token 只存 sha256，放在新表 auth_refresh_token（删除旧的 auth_session）； POST /account/refresh 换新的 access token，退出、改密码、封号时作废 - 带了无效或过期的 token 一律 401，前端据此刷新：快过期时提前刷新、并发请求只刷新一次， 401 时刷新后重试一次，refresh token 也失效才退出登录 - 不再用 cookie，去掉 CORS credentials 和写请求的 Origin 校验 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-26 19:10:55 +08:00
xuyueandClaude Opus 5.5	26f05d1d76	refactor: 后端从 Django 换成 Bun + SQLite ... Django 多个 worker 内存占用 1-2 GB，换成 Bun 单进程后约 25 MB， 同时去掉 Postgres 和 Redis，只剩 Caddy + Bun 两个容器。 - server/：Hono + bun:sqlite + Bun 原生 WebSocket，接口与原 django-ninja 保持兼容；表结构、时间/UUID 存储格式、密码哈希与 Django 一致，旧数据可直接使用 - 评分加权、贝叶斯平滑、成绩册的计算结果与原实现逐位一致（复刻 Python round/sum） - scripts/：Postgres → SQLite 迁移、新建超管、提示词层级标注、重算分数 - 前端：Django Admin 去掉后，用户新建/修改改为页面内弹窗； 非超管的挑战公开按钮置灰 - 权限不足返回 JSON 403（原来是重定向到不存在的登录页） - docker-compose / Caddyfile / dev.sh / CLAUDE.md 更新，删除 AGENTS.md - 服务器切换步骤见 docs/migrate-to-bun.md Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-26 17:45:09 +08:00