3 Commits

Include renames

Author	SHA1	Message	Date
xuyueandClaude Opus 5.5	40f3063b91	feat: 预览里的学生代码可以用 localStorage ... 预览 iframe 没有 allow-same-origin，访问 localStorage 会抛异常。现在在学生代码之前 注入一个替身（支持常用方法、属性读写、Object.keys 等）： - 自己的编辑器（教程、挑战、自由创作）：写入通过 postMessage 交给主页面，按“用户 + 任务” 存到本站 localStorage 的 preview-storage:* 下，下次渲染注入回去，刷新后数据还在 - 看别人的作品：只存在内存里 - 单个任务最多 10 万字符，总共 50 万字符，超出时先删最久没用的，不挤占登录 token 的配额 - 下载的 index.html 不带替身 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-26 21:55:31 +08:00
xuyueandClaude Opus 5.5	73788c4595	fix: 修复学生代码窃取 token、提示词链 XSS 和打分没有上限的问题 ... - 运行提交代码的 iframe（编辑器预览、随机评分弹窗、/submission/:id、全屏预览） 加上 sandbox，不给 allow-same-origin，代码读不到 localStorage 里的 token - 提示词和 AI 回复的 markdown 渲染时转义原始 HTML，链接只放行 http(s)/mailto； ChainModal 也改用这个渲染函数 - 打分限定 1-5 分（超出返回 422），不能给自己的提交打分 Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-26 21:33:26 +08:00
xuyueandClaude Opus 5.5	d1c6b8c201	chore: 将前端移动到 client/ 目录，准备合并为单仓库 ... Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>	2026-10-26 16:01:25 +08:00