lovife/xiaotutongxue
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
77 Commits 1 Branch 0 Tags
4e68d0e5da6c47fe47439fc01b7b3af9826d3b5b
Commit Graph

4 Commits

Author SHA1 Message Date
lovife b516a7c47b fix(tenant,log)!: 平台身份下用量统计算成全平台 + 5 处租户/日志缺陷 
做「平台运营的租户管理」时挖出来的，其中第 1 条与那个功能本身无关、但严重得多。

1) 🔴 GET /tenants/{id}/usage 一直算的是**全平台**的数。平台运营的 tenantId 是 0，而
   FillTenantLineHandler.ignoreTable() 对平台身份直接返回 true —— 整张表的租户过滤被关掉，
   于是 distinctStudents()（查 collect_roster）与存储量（查 collect_file）都不带租户条件，
   返回全平台数字却标着某一所学校的名字，运营会拿它去谈续费。而这个接口的调用者**一定是**
   平台运营（tenant:view 在 platformOnlyCodes 里），所以它从来只在"过滤被关掉"的上下文里跑过。
   ⚠️ 本地完全看不出来：实测 34 行 collect_roster、22 行 collect_file 全在 tenant_id=1，
   只有一所学校有数据时错误值与正确值**完全相等**。修法：统计段包进既有的 TenantScope.callAs，
   切走后 isPlatformAdmin() 变 false、过滤自动恢复；**没有**手写 tenant_id 条件 —— 那等于
   放弃拦截器的保护。

2) PUT /tenants/{id} 把手机号**明文**写进加密列（create 走 codec.encrypt，update 是裸赋值）。
   AesGcmCipher.decrypt 对非 Base64 直接抛（该类没有 dev 旁路）→ 存过一次电话，这所学校的
   详情页就永远打不开。库里 id=1 存的就是明文 13800138000。改为非空才加密写入（空 = 不修改），
   详情返回脱敏值；**读路径必须容错**（解密失败按明文处理 + WARN），否则故障形态是"永久 500"，
   看起来像系统坏了、而不是"库里有一行旧数据"。历史明文行不做迁移（迁移里拿不到密钥）。

3) 租户两个枚举"能建不能改"：tenantType 只放行 1~3（实体/DDL/契约/前端都是 4 值）、
   status 只放行 0/1（实体有 2 试用，而前端的状态筛选按钮里就有「试用」，选了永远是空列表）。
   已按真实枚举放开，报错文案与实体注释逐字对齐。

4) 开通/修改/停用租户原先一条日志都不写（只有给运维看的 log.warn/log.info）。新增
   MODULE_TENANT 与 CREATE_TENANT/UPDATE_TENANT/DISABLE_TENANT/ENABLE_TENANT —— 停用与启用
   不并进 UPDATE_TENANT：停用是这套系统里影响面最大的单个动作，出争议时第一个要看的就是这个
   区别。⚠️ 这些行的 tenant_id 是 0（写日志用的是**操作者**的上下文），查"这所学校被谁停过"
   要用 target_type=TENANT + target_id，**不能**用 tenantId 筛（反直觉，已写进常量注释）。

5) expireBefore 用 atStartOfDay() 与存进去的当天 23:59:59 比 → **差一天**，「今天到期」的租户
   查不出来（同型的坑在 LogController.parseTo 上修过一次，那次是"查 9 月 30 日查不到当天"）。
   改为补到当天末尾。格式不对返回 40001 并说明格式 —— **刻意不学** parseTo 的"当没传"：
   那侧是界面上的自由文本输入，静默忽略是为了"输错了也别让人看不到日志"；这侧的值只由界面按
   当前日期算出来，静默忽略筛选会让人以为"我按到期日筛过了"。

6) 顺带：
   - AUTO_CLOSE（定时任务自动截止）在 TaskService 里是**字符串字面量**、不在常量表里 ——
     也就是说"后端常量 ↔ 前端文案"这类检查**本来就扫不到它**，而它正是量最大的那类任务日志，
     界面上会原样回显英文码。提成常量（连带 STATUS_CHANGE 兜底名）。
   - 日志列表 SELECT 补 request_method/request_uri/extra_json 三个**轻字段**（实测一页 20 行
     约 2 KB），日志详情因此不需要新开接口；真正重的 request_param/duration_ms 全库 1758 行里
     **0 行有值**（从来没有 setXxx 过），不采集。
   - LoginLogVO 补 tenantId：平台运营看到的登录日志是**跨单位**的，没有这一列就分不清一行是
     哪所学校的，而"某个账号什么时候登进来的"一定得连着"哪个单位"一起回答。
   - 修正 LoginLogVO.userType 的 Javadoc：原来写着「1 超管 / 2 管理员 / 3 教师 / 4 学生」，
     与权威口径（1 平台运营 / 2 学校管理员 / 3 班主任 / 4 学生）错位 —— **同一个坑第三次出现**，
     该错位枚举曾导致"把班主任当成社会人员拒掉"。

新增检查 scripts/check-wiring.py 第 ⑩ 项：后端会写的动作码 ↔ PC 端 OPERATION_ACTIONS 的文案，
逐字核对（缺一个文案，日志页就会原样回显英文码）。**已反向验证**：删掉一条文案 → 报红 + exit 1。
⚠️ 写这个检查时踩到的坑：同文件里 MODULE_OPTIONS / TARGET_TYPE_OPTIONS 也是 { value: 'TASK' }
的形状，整文件扫会把模块名当成动作码收进来 —— 所以只从 OPERATION_ACTIONS 那个数组里取。

验证：python scripts/verify-all.py --with-e2e → **9 项全过 / 0 失败 / 0 跳过**（37 脚本 /
1617 断言）。e2e-m8-orgfile.py **74/74** —— 其中"用量只算这一所学校"这条**必须造夹具**才
证伪得了：它往新建的 E2E 租户**直插一行 collect_roster**（该表 NOT NULL 且无默认值的列只有 5 个，
不需要走导入夹具），再断言"接口值 == 库里 where tenant_id=1 的去重数"，并**额外断言
"全平台去重数 > 一号学校去重数"**，否则这条断言是空转的。e2e-m5-logs.py 44/44（回归）。
重打包重启后再验一次：/logs/logins 返回 tenantId、/tenants/1 返回 138****8000（而不是 500）——
判据是**看返回体里有没有新字段**，而不是"接口通了就算"。
 2026-10-13 14:04:48 +08:00
lovife 1f3c485ceb feat(role,scope)!: 角色与授权可配 + 需求收敛（4 角色 / 10 菜单 / 删两模块） 
角色与授权（交接摘要 §一·三十五）：
- 权限判定合并两个来源：内置角色按代码（BuiltinRole）、自定义角色按库
  （sys_role_permission）。实现放 module 层的 DbRoleGrantSource，security 只依赖
  接口 RoleGrantSource —— 否则角色服务要调 permissionChecker，两个包迟早成环
- 权限判定必须加缓存：此前是零 IO，而压测基线是"SQL 条数恒定"。缓存放 Redis，
  空结果也缓存（否则已删角色的 token 会把库打穿）、Redis 挂了退化成直读库、TTL 只兜底
- V18 建 sys_role.user_type（账号的 user_type 一直从角色反推，自定义角色不在代码映射里）
  与 sys_role_menu；8 个接口 + 错误码 40045；契约 119 -> 129
- 内置角色只读（权限码是前后端契约，做成可改 = 一次误操作就能把管理员锁在系统外）；
  平台级能力两道防线（界面禁用 + 服务端 40301）；防自锁；改完立即生效（写授权清缓存）
- RoleProvisioner 从"已存在就 continue"改成幂等回填 + 每日 03:20 定时任务 ——
  修的是"代码改了权限、已开通租户永远停在发放那一刻"，这种漂移不报错也没测试会红
- scripts/e2e-m10-role.py 77/77

需求收敛（交接摘要 §一·三十六，本节的数字为准）：
- 删副班主任 / 审核员两个内置角色（6 -> 4）、历史整理器（module/cleanup）、
  加入申请（module/join + 学生端 pages/join）、collect_task_org.deputy_user_ids 整列；
  审核范围三级回退 -> 两级，连带 6 个 mapper 的 LIKE '%,id,%' 分支
- V19 迁移处理存量：先解 sys_user_role 绑定再软删角色；账号只在"除这两个角色外没有
  别的角色"时才软删。必须迁而不能只删代码 —— 角色码删掉后 mergePermissions 返回空集，
  存量账号会"能登录、处处 40301"，不抛异常不打日志
- 契约 129 -> 119、错误码 59 -> 54、权限码 30 -> 28、PC 菜单 12 -> 10、
  小程序页 10 -> 9、原型 32 -> 29 屏、E2E 39 -> 37 个（断言 1695 条）
- UserService.list 对不认识的角色码由"静默丢掉过滤条件"改成失败关闭
  （之前传个不存在的 roleCode 会返回全校账号，且看起来完全正常）
- 品牌元信息同步改名「深学在线」：pom 名称、/doc.html 标题、配置与启动类注释、
  存储自检探针内容；学生端 app 名与全局导航栏标题
 2026-10-10 16:48:54 +08:00
lovife 0bbac7d228 feat(pc,platform): 验收走查修复（平台按学校代管 + 菜单/403/日志范围/分页） 
客户在验收里点出来的问题，一次改完。两段改动：

一、平台运营与租户范围（后端为主）
- 新增请求头 X-Tenant-Id：平台运营是唯一跨租户身份，租户拦截器对它整体关掉了过滤，
  于是「组织架构 / 账号管理 / 工作台」拿到的是所有租户混在一起的数据 —— 而只有一所
  学校有数据时，它和学校管理员看到的完全一样，看不出错（这是最危险的一点）。
  现在这些页面必须先选定学校，服务端再把本次请求的租户上下文换成目标租户：
  只认平台身份（其它身份带头一律忽略）、目标租户必须存在且启用。
- OrgService.tree / UserService.list 补显式 tenant_id 条件（原来只靠拦截器，而拦截器对
  平台不生效）；TaskService.seesWholeTenant 改用新的 LoginUser.isPlatformStaff() ——
  isPlatformAdmin 回答"当前租户是不是平台租户"，代管时它为 false，会让平台退化成普通
  用户（任务列表掉进"班主任只看自己带的班"分支，得到空列表）；PLATFORM_ADMIN 补
  TASK_VIEW（PRD §3.2「查看填报进度看板：平台运营 ✅」）。
- 操作日志对平台永远是空的：SQL 写死 tenant_id = 当前租户，而平台的 tenantId 是 0。
  按契约 §13.4 补 tenantId 参数与 log:viewAll：平台默认看全量、可指定某所学校；
  学校管理员恒为本租户，传别家返回 40301（不静默忽略，否则会让人以为"筛过了"）。
- 开放接口"推送重试"从未生效（F-112）：定时扫描缺 @InterceptorIgnore，异常被 log.warn
  吞掉；同一方法里"接入方已停用"那条 update 也没有租户上下文，会每 10 秒重试到永远。
  E2E 补了"真的重试了"的断言（原来只断言"安排了下次重试"）。

二、PC 端走查体验
- 去掉 3 条无用菜单（名单管理 / 表单设计器 / 材料规则）：功能都在「收集任务」行内入口，
  菜单里那一条点进去只有指路；后端菜单键同步删除，entryAt 那套机制一并删掉。
- 班主任点工作台必弹 403：工作台无条件调了要 org:view / progress:viewAll 的两个接口。
  403 走 HTTP 状态码，try/catch 拦不住它的弹窗 —— 改成按权限决定发不发请求。
- 操作日志：分页器被裁在可视区外（新增 .g-list-card 让表体自己滚、表头钉住、分页器留在
  卡片底部）+ 去掉页面上那段免责声明；收集任务的状态切换改成单独一行 tab；去掉顶栏假数据
  铃铛；配色按客户要求还原。

顺带修两处"检查器自己不严"：check-wiring 新增第 ⑦ 项（PC 端引用的权限码必须存在于
PermissionDef —— 本轮我自己把 progress:viewAll 写成 progress:view:all，判断恒为 false，
而编译 / typecheck / lint / E2E 全都不红）；verify-docs 的表格列数检查不再把 GFM 转义
竖线当成列分隔符。两个检查器都拿"故意写错的样例"试过，确认真的会红。

验证：typecheck / mvn package / check-wiring（未接线声明 0 条）/ verify-docs（22 项）全过；
e2e-m0 36、e2e-m1-orgs 48、e2e-m0-user 55、e2e-m5-logs 44、e2e-m5-notify-wiring 43、
e2e-m1-tenant-domain 6、e2e-m8-open 61 全绿；浏览器按角色逐个真点复验。
详见 docs/交接摘要.md §一·三十三 与 §一·三十四。
 2026-10-09 17:29:20 +08:00
lovife 9e78e1d239 feat(notify): 通知接线检查 + 修 F-101~F-111（模板对自动通知生效 / 催报真的会发 / 该发的通知都发了） 
起点：F-1/F-31/F-50/F-52 是同一个形状 —— 每处单看都对，编译/lint/review 全不红，只有从入口走一遍才暴露。先把这一类固化成命令，再按输出逐条修。

新增 scripts/check-wiring.py：权限码有没有地方校验、错误码有没有被引用、站内信模板有没有发送点、bizType 有没有被用过、菜单键 ↔ PC 端 XtMenu 双向核对。有意不接线的写进脚本上方例外表（带理由）。进 verify-all（第 5 项）与 CI 的 check 阶段。检查器自身修了三次假阳性：只数 @RequirePerm 漏掉服务层校验、按标识符数引用被同名常量骗过、注释里的提及被当成接线（改为先去 Java 注释再数）。

F-101 自动通知改走可配置模板（FR-1002 原来只兑现了手工发送那一半）：新增 NotifyTextResolver（单向依赖避开循环注入），库里改过的 > 内置；模板停用 = 这类通知不发且如实回 notifySent=false。F-102 加入申请三处通知（提交→审批人、通过/驳回→学生）。F-103 导出完成/失败通知发起人，正文不放签名 URL（模板里原本写着 {下载链接}，一并改掉）。F-104 自动催报从来没发出过任何一条（end_time = date::date 与库里的 23:59:59 永不相等，测试夹具用 SQL 摆的日期型恰好能匹配）+ 补 FR-1003 的「截止当日」。F-105 驳回达上限通知管理员（契约与注释都写了，代码只有一行日志）。F-106 字典/通知记录两个菜单没有任何角色持有（手册还写着去那里办）。F-107 6 个权限码挂到自己的接口。F-109 Map.of 不接受 null → 通知被吞成一行 warn。F-110/F-111 测试自身的两个坑。

验证：新增 e2e-m5-notify-wiring.py 43 条（改模板→真驳回→断言学生收到改过的那句、停用→一条不发、申请/审批/导出/催报/升级/菜单/权限各一节）；verify-all --with-e2e → 9 项全过 0 跳过，38 个脚本 / 1620 条断言 / 0 失败。
 2026-10-08 14:46:11 +08:00