MetaZone/MetaLab
Archived
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
108 Commits 1 Branch 1 Tag
b658eeb8e9aced0e60f0d715086c39af37ee3dfa
Commit Graph

108 Commits

This Branch
This Branch
All Branches
Author SHA1 Message Date
Victor_Jay
daf87f895b refactor: JWT 无状态认证替换为服务端 Session，修复记住我掉线问题 
- 新增 internal/session 包：Session 结构体、Store 接口、MemoryStore（内存+后台清理）、RedisStore 预留
- Cookie 从 3 个精简为 1 个 mlb_sid（HttpOnly），移除 JWT access/refresh cookie
- 会话过期采用滑动窗口：每次请求自动续期，记住我 30 天无操作过期
- AuthMiddleware/AuthAdmin/Maintenance 中间件改用 SessionManager.Validate()
- AuthService Login/Register/ConfirmRestore 去除 token 生成，返回 *model.User
- Controller 层在登录/注册后调用 SessionManager.Create 创建会话
- AdminService UpdateUserStatus/ResetUserToken 同步销毁 session 实现即时退登
- 改密/注销时通过 DestroyByUID 删除所有 session（替换 TokenVersion 检查）
- config.yaml 新增 session 配置段（idle_timeout/remember_timeout/cleanup_interval）
- TokenService/auth_parser/auth_token 标记废弃，移除 JWT 到期字段依赖
 2026-05-30 23:36:52 +08:00
Victor_Jay
53f84bfcc4 fix: 修复编辑模式下 Vditor 不加载稿件内容 
- 创作中心编辑文章时，after 回调中显式调用 vditor.setValue(initialMD)
- 修复 Vditor 3.x wysiwyg 模式下 value 选项可能不渲染内容的问题
 2026-05-30 21:29:29 +08:00
Victor_Jay
67444434b9 feat: 对接稿件审核通知系统 + 消息页面系统消息区域 
- 新增通知类型 post_approved / post_rejected
- PostService.Approve/Reject 完成后通知作者（通知失败不影响主流程）
- NotificationService 新增 NotifyPostApproved/NotifyPostRejected 方法
- 消息页面顶部增加系统消息标识和分隔线，之下为全部消息列表
- 稿件审核通过通知卡片点击跳转到 /posts/{id} 页面
- 稿件审核拒绝通知卡片点击跳转到 /studio/posts 创作中心
- 新增 postNotifier 接口遵循 ISP 原则
 2026-05-30 21:24:30 +08:00
Victor_Jay
fb94ce60ae fix: 维护期间登录一律返回统一提示，不泄露账号状态 
- 维护检查提前到 FindByEmail 之后、所有状态检查之前
- 非站长账号（不存在/已封禁/已锁定等）统一走模拟 bcrypt 防时序 → 返回维护提示
- 站长角色正常通过，走完整登录流程
- 旧实现：维护检查在 banned/locked/deleted 之后，会泄露账号状态
 2026-05-30 21:10:41 +08:00
Victor_Jay
c1357cf4af fix: 维护条对站长显示“正处于维护状态”提醒 + BuildPageData 注入 IsOwner 
- BuildPageData 新增 IsOwner 变量，所有前端页面可获取站长角色
- Nav 维护条：站长显示“社区正处于维护状态”（防止忘记关闭），非站长显示“仅站长可访问”
- 维护中间件 API 拦截验证：所有非 /api/auth/ 的 API 对非 Owner 返回 403，正确
 2026-05-30 21:06:32 +08:00
Victor_Jay
fe683900bb fix: 维护状态下登录页隐藏“立即注册”链接 2026-05-30 21:01:54 +08:00
Victor_Jay
1b4a74c23d fix: 维护开关初始状态显示与实际不符 
- maintenance.enabled 默认 false，但 JS 用 registration 同逻辑导致首次显示为 ON
- 分离 maintenance 判断：仅当保存过 true 时才显示 ON
- registration 保持原逻辑（默认 true，仅当 !== false 时 ON）
 2026-05-30 20:58:05 +08:00
Victor_Jay
6229c81f6e feat: 新增维护模式 + 修复注册关闭页面标题显示问题 
- 修复注册关闭时标题“创建账号”和副标题仍显示的问题，三态互斥（维护中 > 关闭注册 > 正常）
- 新增 maintenance.enabled 站点设置，默认关闭，仅 Owner 可见可调节
- 维护中间件：全局拦截，维护期间仅站长可访问，白名单放行登录相关路径
- 登录服务：维护期间仅 Owner 角色可登录，Register 优先检查维护状态
- Nav 模板新增维护通知条（黄色横幅）
- 管理后台站点设置新增“启用维护模式”开关
- BuildPageData 自动注入 IsMaintenance 到所有页面模板
 2026-05-30 20:54:23 +08:00
Victor_Jay
fb2eff5f23 feat: 注册关闭时页面隐藏表单并显示友好提示，保留登录入口 
- RegisterPage 传入 RegistrationEnabled 标志到模板
- 注册关闭时隐藏输入框和按钮，显示“当前暂不开放注册”提示
- 保留“已有账号？立即登录”链接
- API 层已有拦截（AuthService.Register 返回 403），无需修改
- authUseCase 接口新增 IsRegistrationEnabled 方法（ISP）
 2026-05-30 20:38:55 +08:00
Victor_Jay
90d17ed4b1 feat: 管理后台待审稿件置顶优先显示 
- FindAdminPageable 新增 pageResultsAdmin，使用 CASE WHEN 排序
- pending 和有 PendingBody 的 approved 帖子排在最前
- 其余帖子按创建时间倒序排在后面
 2026-05-30 20:33:14 +08:00
Victor_Jay
8bb87cd685 fix: 去掉独立修订表格，消除帖子重复显示 
- 移除管理后台独立的"修订待审核"表格区域
- 修订标识和按钮已在主列表中内联展示，无需额外表格
- PostsPage 不再额外查询 Revisions 列表
 2026-05-30 20:31:19 +08:00
Victor_Jay
95311704fe fix: 修订状态标识仅对作者可见，不公开显示 2026-05-30 20:28:59 +08:00
Victor_Jay
eabc1e7d3d feat: 已发布帖子编辑后进修订审核，通过前保持展示旧内容 
- Post 模型新增 PendingTitle/PendingBody 字段，分离已发布内容与待审修订
- Update: approved 帖子编辑写入 Pending 字段，不覆盖正文，不改变发布状态
- Approve: 有 PendingBody 时复制到正式字段后清空，无 PendingBody 走首次审核
- Reject: 有 PendingBody 时仅清空待审修订（保持已发布），无 PendingBody 走普通退回
- 新增 ListPendingRevisions 查询，管理后台独立展示"修订待审核"区域
- 详情页展示"修订审核中"标识，编辑页加载待审内容
- 通过修订后直接覆盖，不保留历史版本
 2026-05-30 20:24:43 +08:00
Victor_Jay
89fa50a013 fix: 锁定机制不再改变帖子状态，锁定与退回独立 
- Post 模型新增 IsLocked 字段，与 Status 解耦
- Lock 仅设 IsLocked=true（不改 Status），已通过帖子锁定后仍公开可见
- Unlock 仅设 IsLocked=false（不改 Status）
- Update/EditPage 编辑检查改用 IsLocked 而非 Status==locked
- Reject 与 Lock 独立，可单独退回或锁定+退回组合使用
- 新增 ErrPostCannotLock 错误哨兵
- 前端模板编辑按钮/锁定标识基于 IsLocked 渲染
 2026-05-30 20:08:41 +08:00
Victor_Jay
7659aee468 feat: 新增创作中心（/studio），支持数据概览、内容管理、草稿箱、写文章 
- 新增 StudioController，依赖 studioUseCase 接口，遵循 ISP 接口隔离
- PostRepo 新增 FindByUserIDAndStatus 方法，按用户+状态分页查询
- PostService 新增 ListByUser、GetOverview 及 StudioOverview 统计
- /studio 页面路由（概览/管理/草稿箱/写文章/数据分析）+ /api/studio API
- 复用 Vditor 编辑器，studio-editor.js 对接 /api/studio/posts 端点
- 新增 studio.css（B站风格三栏布局+统计卡片+状态筛选tabs）
- 模板引擎注册 add/subtract 函数，分页模板中直接使用
 2026-05-30 19:55:29 +08:00
Victor_Jay
bacfd4945d feat: 编辑器与帖子展示布局优化 + 新增个人空间 
- 编辑器投稿页布局优化：标题与编辑器高度动态适配，工具栏与内容区视觉对齐
- 稿件展示页布局优化：MD 渲染区与评论区视觉分离，代码块主题微调
- CSRF 中间件：图像上传端点豁免，解决 Vditor 拖拽/粘贴上传 403
- Post 状态映射、GetGinUser、SaveUploadedFile 提取至 common 包，遵循审计建议
- 新增个人空间功能：/space（需登录）重定向到 /space/:uid，/space/:uid 公开访问
- 空间页模板：参考 B 站布局，展示头像、用户名、个性签名、UID、加入时间及稿件列表
- 导航栏：用户名链接指向 /space，新增「设置」入口
- 分层实现：SpaceController → SpaceService → PostRepo.FindByUserID，严格 ISP 接口隔离
 2026-05-30 19:06:10 +08:00
Victor_Jay
40f0529cbf docs: 更新 README，移除暂停开发通知，补充 Vditor 编辑器与帖子功能 
- 移除状态 badge（status-hiatus）和暂停说明
- 技术栈新增 Vditor 3.11 编辑器
- 当前功能新增：帖子 CRUD、代码高亮、Shortcode 卡片、草稿、审核工作流
- 计划中去掉已完成的帖子系统，新增评论系统
 2026-05-30 15:59:06 +08:00
Victor_Jay
6ec12010f3 feat: Tiptap替换为Vditor + MD存储重构 + Shortcode卡片扩展 
- 编辑器：Tiptap 替换为 Vditor 3.11.2（wysiwyg 模式，本地托管 5.8MB，去 CDN）
- 存储：Body 字段从 HTML 改为 Markdown，去除 BodyHTML，新增 Excerpt 列表摘要
- 安全：去除 bluemonday 依赖（MD 纯文本无 XSS 风险），go.mod 已清理
- Shortcode：新增 [zone:type:params] 扩展语法，支持活动/游戏/投票/资源卡片
- 图片上传：POST /api/posts/upload-image 直接返回 Vditor 原生响应格式
- 草稿：localStorage 键名改为 draft_post_body_md，与旧 HTML 草稿隔离
- 详情页：Vditor.method.min.js 客户端 MD → HTML 渲染，去 highlight.js CDN
- 样式：去 Tiptap 样式 ~190 行，精简工具栏 CSS，新增卡片样式
- 文档：vditor-migration-plan.md 完整记录迁移决策、架构、用法
 2026-05-30 15:56:22 +08:00
Victor_Jay
c9808ab9b2 docs: 标注项目暂停开发及原因 
- 状态徽标从 dev 改为 hiatus

- 说明编辑器集成问题未解决

- 说明将先采用 Flarum 上线社区
v0.1.0 		2026-05-28 15:28:22 +08:00
Victor_Jay
fe81c879b0 fix: 修复代码块语法高亮丢失 + 语言标签注入 + 安全性增强 
- 新增 cdnjs.cloudflare.com CSP 白名单，允许加载 highlight.js
- 消毒策略放行 span 元素，保留 highlight.js 高亮 class
- 详情页和新帖子页引入 highlight.js 库和 GitHub 主题
- 代码块语言选择器默认 text，支持 prev/next 循环切换语言
- 代码块语言标签注入兼容 data-language 和 code class 双来源
- 修复 utils.js defer 导致 common.js 执行时 getCSRFToken 未定义
 2026-05-28 15:21:44 +08:00
Victor_Jay
91f2cbebc1 fix: 修复帖子提交审核权限缺失 + 防重复提交 + 分页逻辑复用 
- 修复 Submit API 缺少 uid 权限检查，任意登录用户可提交他人帖子审核
- 前端 handleSubmit 添加 submitting 锁和按钮禁用/恢复，防止重复提交
- 分页计算 TotalPages/PrevPage/NextPage 提取为 Pagination 方法，消除三处重复代码
 2026-05-28 14:47:14 +08:00
Victor_Jay
e45d66fb77 fix: 修复帖子相关逻辑的严重安全与错误处理问题 
- 修复 Service 层所有 FindByID 错误均返回 ErrUserNotFound 的严重 bug，新增 findPost/findPostWithAuthor 正确区分 gorm.ErrRecordNotFound 和数据库错误
- 新增帖子相关错误哨兵：ErrPostNotFound/ErrPostCannotEdit/ErrPostCannotSubmit/ErrPostCannotApprove/ErrPostCannotReject/ErrPostCannotUnlock
- 修复 ShowAPI 缺少权限控制，非 approved 帖子可被任意用户通过 API 获取
- 修复 EditPage 缺少权限检查，非作者可访问编辑页面
- 修复 Update/Delete API 中 uid 断言未做 ok 检查
- Controller 层区分业务错误和内部错误，避免透传 Service 层错误信息给客户端
- 将 postStore 接口从 post_service.go 移至 repository.go，与其他仓储接口保持一致
- 移除 new.html 中孤立的 </template> 标签
 2026-05-28 14:44:22 +08:00
Victor_Jay
36b18c0ffe feat: 代码块语法高亮 + 语言选择 + 样式统一 
- 引入 @tiptap/extension-code-block-lowlight + lowlight 实现代码语法高亮
- 工具栏新增语言下拉选择器，光标在代码块内时显示，支持 27 种常用语言
- 默认语言 text，高亮主题适配 MetaLab 深蓝背景 (#1a2332)
- 代码块语言标签用 JS 动态注入 DOM 元素（避免 ::before 在 overflow 容器中失效）
- 详情页同步代码块高亮和语言标签显示
- 编辑器与详情页样式统一：代码块暗色背景、引用蓝色边框、链接 accent 蓝
- sanitizePolicy 放行 data-language 属性和 hljs-* class
- 修复 import map 避免 keyed plugin 重复实例
- 修复详情页代码块开头空白行（移除多余的 padding-top）
- 修复语法错误（多余的闭合括号）
 2026-05-28 14:34:58 +08:00
Victor_Jay
69ba2fb01b refactor: ByteMD 迁移至 Tiptap WYSIWYG 编辑器 + Token 刷新优化 
- 移除 ByteMD CDN 资源和 goldmark 依赖，替换为 Tiptap ESM 模块
- 编辑器从源码编辑模式改为 WYSIWYG 所见即所得
- 移除 /api/posts/preview 预览接口（Tiptap 直接输出 HTML 无需后端渲染）
- 保留 UploadImage 图片上传接口和 bluemonday HTML 消毒
- 工具栏支持加粗、斜体、删除线、代码、标题、列表、引用、代码块、分割线、撤销/重做
- 支持图片粘贴/拖拽上传，Ctrl+S 快捷提交，F11 全屏，字数统计
- 优化 common.js：自动 401 拦截 Token 刷新，修复刷新死循环
- 草稿 localStorage 键名更新为 draft_post_body_html
 2026-05-28 11:21:53 +08:00
Victor_Jay
22a302315a feat: wangEditor 替换为 ByteMD Markdown 编辑器 
- 移除 wangEditor 5 库文件（1.27MB JS + 14KB CSS，含手动 hack）
- 集成 ByteMD 1.22.0（基于 CodeMirror 5，不依赖 contentEditable）
- 编辑器输出 Markdown 原文，后端 goldmark + bluemonday 双重防护渲染 HTML
- 删除 editor.js 中 scrollIntoView hack、code-lang-label DOM 注入、PreviewAPI 调用
- 清理 posts.css 中 ~200 行 wangEditor 样式覆盖（w-e-* 类名）
- 清理 show.html 中 code-lang-label JS 注入（goldmark 自带 language-xxx class）
- 更新 CSP 安全策略：移除 CodeMirror 注释，保留 esm.sh CDN
- go.mod：bluemonday 和 goldmark 均保留为直接依赖（纵深防御）
 2026-05-28 02:16:50 +08:00
Victor_Jay
804fd50edf fix: 修复编辑器代码块换行滚动跳动 + 移除视频和网络图片功能 
- 修复 wangeditor 选区同步 scrollIntoView 导致代码块换行大幅跳动的问题
  - 移除 getBoundingClientRect 替换 hack，改用元素自身真实位置计算滚动
  - 将 block 参数从 end 改为 nearest，behavior 从 smooth 改为 instant
- 修复 #editor-container 与 .w-e-scroll 双重滚动容器冲突
  - #editor-container 和 .w-e-text-container 设为 overflow:hidden
  - .w-e-scroll 作为唯一滚动容器设 overflow-y:auto
- updateCodeLabels 改为节流执行并保存/恢复滚动位置
- 新增 ensureCursorVisible 替代内置滚动保证光标可见
- 滚动同步函数统一引用 .w-e-scroll 容器
- 工具栏排除视频相关按钮和网络图片功能
- .gitignore 添加 .codebuddy
 2026-05-28 01:44:46 +08:00
Victor_Jay
2917562bf0 fix: 修复编辑器代码块样式不一致 + 提交 HTML 保留格式 + 详情页布局优化 
- 编辑器 pre code 移除 wangEditor 内置 border，与预览区样式统一
- 代码块语言标签 padding 加大并用 !important 对抗 wangEditor 全局重置
- 编辑器 ::before 伪元素仅作降级方案，避免与 JS 注入的 .code-lang-label 冲突
- 编辑器 pre padding-top 统一为 36px，font-size/line-height 对齐预览区
- 提交改用 editor.getHtml()，后端 sanitizeHTML 替代 renderMarkdown，保留富文本格式
- 详情页 post-detail-header 覆盖 common.css sticky，固定在文章卡片内
- 详情页增加白色卡片背景、圆角、阴影和内边距
- 详情页添加代码块语言标签 JS 注入
- 详情页用户名移除括号 UID 显示，移除管理按钮
 2026-05-28 00:53:02 +08:00
Victor_Jay
ec8fa3eb56 fix: 修复 wangEditor 布局、预览、图片上传和链接样式 
- 修复编辑区高度未撑满问题
- 预览改用 getHtml() 直接展示
- 图片上传改用 fetch + credentials:same-origin（修复 CSRF 403）
- 添加帖子正文链接蓝色+下划线样式
- 草稿改用 getHtml() 保存，恢复时正确还原格式
- 草稿改为每 300 字 + 停笔 10 秒双重触发
- 空编辑区不保存草稿
- 代码块语言标签通过 DOMParser 注入（编辑器 + 预览）
 2026-05-27 23:01:59 +08:00
Victor_Jay
9d17185e11 feat: 用 wangEditor 5 替换 CodeMirror 6 2026-05-27 20:24:56 +08:00
Victor_Jay
c326cbc104 fix: 改用 importmap + esm.sh 解决 CodeMirror 多实例冲突 
- 将 import 改回 bare specifier，通过 importmap 指向 esm.sh
- esm.sh 在同一构建上下文中能识别共享依赖，确保 @codemirror/state 单例
- 消除 "Unrecognized extension value" instanceof 检查错误
 2026-05-27 19:48:01 +08:00
Victor_Jay
799ac3c95c fix: 放宽 CSP 允许 esm.sh CDN 加载 CodeMirror 6 ESM 模块 
- script-src 添加 https://esm.sh，允许 CodeMirror 6 的 ESM import 加载
- connect-src 显式设为 self，确保 Markdown 预览 fetch 请求正常
- img-src 添加 blob:，支持粘贴图片场景
 2026-05-27 19:44:59 +08:00
Victor_Jay
cc527aaf19 fix: 移除 new.html 末尾多余的 {{end}} 导致模板编译 panic 2026-05-27 19:41:20 +08:00
Victor_Jay
9801edc313 refactor: 用 CodeMirror 6 重构 MD 编辑器，废弃自研 WYSIWYG 
- 引入 CodeMirror 6 (MIT) 替代 contenteditable WYSIWYG 编辑器，消除 execCommand 废弃 API 风险
- 全新全宽三栏布局：标题栏、工具栏、编辑区+可切换预览、状态栏
- 工具栏新增删除线/H1/H4/任务列表/表格/预览切换/全屏按钮
- 支持粘贴图片自动上传 (Ctrl+V)、拖拽上传、上传进度反馈
- 代码块语言下拉选择器替代 prompt() 弹窗，支持搜索和键盘导航
- 自动保存草稿 (30s 防抖，localStorage + 后端静默保存)
- 分屏实时预览 (Ctrl+Shift+P)，编辑器与预览区双向滚动同步
- 字数/行数/阅读时间统计、全屏编辑 (F11)
- 快捷键：Ctrl+B/I/K/`/Shift+I/S/Shift+P + Tab/Shift+Tab
- 删除旧的 htmlToMarkdown、syncMarkdownToWysiwyg、mode-tab 等废弃代码
- 后端 API 零改动，仅移除控制器中不再需要的 ExtraJS 字段
 2026-05-27 19:38:42 +08:00
Victor_Jay
8a8d801187 fix: 修复帖子系统5项缺陷 + 代码块插入位置/language-class/分割线占位 
- 作者显示 用户名(UID): 修正Post.AuthorName GORM标签从 -:all 改为 -:migration;<-:false;column:author_name
- 审核流程: 帖子详情页新增"提交审核"按钮(draft/rejected时作者可见)
- 图片上传: 新增 POST /api/posts/upload-image 端点,限制5MB/jpg/png/gif/webp
- 代码块语言标注: 工具栏插入代码块时弹出语言输入框,生成 language-xxx class
- 状态中文显示: 管理后台/帖子详情页状态改为 PostStatusDisplayNames 映射
- 修复代码块插入位置错误: init时调用switchMode同步DOM; 无选区时appendChild; 防<pre>嵌套
- 修复 bluemonday.UGCPolicy() 剥离 code/pre 的 class 属性,显式 AllowAttrs("class")
- 修复分割线工具栏插入多余text占位符: hr/link/image以外不强制填占位文本
 2026-05-27 19:22:47 +08:00
Victor_Jay
1830f10e24 fix: 修复 WYSIWYG 清空内容 + 分屏工具栏 + XSS 防御(bulemondy消毒) 2026-05-27 18:45:15 +08:00
Victor_Jay
174d715e50 fix: 修复 CSRF 缺失 + 重写编辑器为三模式（所见即所得/源码/分屏） 
CSRF 修复：
- /posts/new 和 /posts/:id/edit 原在独立 postPages group 中，仅含 Required 中间件，缺少 CSRF 下发
- 移动到 pages group（含 CSRF 中间件），用 per-route d.authMdw.Required() 弥补登录校验
- 同时消除 /posts/:id 与 /posts/new 潜在的路由冲突

编辑器重写：
- 添加三种编辑模式切换标签：所见即所得 / 源码 / 分屏预览
- 所见即所得（默认）：contenteditable 编辑区 + 工具条（execCommand）
  支持加粗、斜体、H2/H3、链接、图片、引用、代码、列表、分割线
- 源码：纯 textarea，textarea 作为数据源始终保存 markdown 原文
- 分屏：左 textarea 编辑 + 右实时渲染预览（API 渲染）
- 模式切换时自动同步：WYSIWYG → HTML → Markdown → textarea
- 工具条在 WYSIWYG 模式用 execCommand，源码模式用文本包裹语法

实现细节：
- contenteditable ← textarea 双向同步（WYSIWYG 模式）
- 基本 HTML→Markdown 转换器（strong/em/h1-h6/a/pre/code/li/blockquote/img）
- 分屏布局用 JS toggled .split-mode class（非 :has()，兼容 Firefox）
- 编辑器初始时自动进 WYSIWYG 模式渲染已有内容
 2026-05-27 18:35:13 +08:00
Victor_Jay
03a01a09be feat: 实现内容系统 MVC（Post CRUD + 审核流转） 
按 content-system.md 设计文档，实现帖子内容系统的最小可行 MVC。

新增：
- Model: Post 模型，含 5 种状态（draft/pending/approved/rejected/locked）
- Repository: post_repo.go，分页查询（前台 approved 列表 + 后台全状态筛选）
- Service: post_service.go，核心业务逻辑（状态流转、Markdown 渲染 Goldmark）
- Controller: post_controller + admin_post_controller，SSR 页面 6 个 + API 13 个
- Template: 列表/详情/编辑器/404 + 管理员列表，各配 CSS/JS
- 路由: /posts, /posts/:id, /posts/new, /posts/:id/edit, REST API, Admin API
- gomod: + github.com/yuin/goldmark v1.8.2

修改：
- Main: AutoMigrate Post 表
- Router: deps 注册 PostService/Controller，路由注册
- Nav: 新增“帖子”导航链接
- Admin Sidebar: 新增“内容管理”入口

设计：
- 审核开关复用 audit.enabled，开启时帖子为 draft，关闭后直接 approved
- 仅 approved 公开可见，作者/admin 可预览非公开状态帖子
- 严格分层 ISP 接口: Controller → postUseCase, Service → postStore, Repo → *PostRepo
- 状态保护: pending/locked 禁止编辑，rejected 编辑后自动重置为 draft
 2026-05-27 18:22:48 +08:00
Victor_Jay
fc65872882 docs: 内容系统改用 ID 链接，细化审核状态流转 
- 链接格式 slug → /posts/{id}
- 状态重定义: draft/pending/approved/rejected/locked
- 新增 rejected 退回状态（可重提）+ locked 锁定状态（禁止编辑）
- 支持退回+锁定（严重违规/侵权场景）
- 新增解除锁定、提交审核等 API
 2026-05-27 18:03:57 +08:00
Victor_Jay
2528ebd28a docs: 计划开发内容系统，新增设计文档 
- 内容模型 Post（Markdown + 渲染缓存）
- 分层架构对齐现有四层（model/repository/service/controller）
- 发帖审核流程（对接 AuditSubmission）
- SSR 页面 / API / 管理后台路由设计
- Markdown 安全策略（Goldmark + DOMPurify）
- MVP 范围 vs 后续迭代
 2026-05-27 17:54:21 +08:00
Victor_Jay
d29d388092 docs: 新增站点设置管理文档，移除 JS 死代码，同步 config.yaml 注释 
- 新增 docs/site-settings.md：站点设置全量文档（可配置项/架构/权限/API）
- config.yaml 补充 site.* / registration.* 运行时配置说明
- site-settings.js 移除已废弃的 site.brand 过滤项
 2026-05-27 15:52:56 +08:00
Victor_Jay
dfbd93c847 chore: 移除 site.brand 可配置功能，站点名称恢复硬编码 MetaLab 
考虑实际需求后，站点名称无需常改，移除前后端全部相关逻辑：
- config / middleware / helper 移除 site_brand 注入
- 页脚版权恢复硬编码 MetaLab
 2026-05-27 15:38:30 +08:00
Victor_Jay
ed1a969e68 feat(footer): 页脚新增管理面板入口链接（moderator+可见） 
chore: 站点名称保持硬编码 MetaLab，后台移除该设置项，恢复 Nav 双拼样式
       site.brand 后端逻辑保留，页脚仍可配置
 2026-05-27 15:33:03 +08:00
Victor_Jay
c492fc2489 tweak(admin): 页脚版权信息支持自定义/隐藏，空值时不显示分隔符 2026-05-27 15:16:10 +08:00
Victor_Jay
0b948cf70f feat(admin): 站点信息 + 注册开关可后台设置，模板动态渲染 
新增 4 项可配置站点设置（DB持久化+内存缓存，即时生效）：
- site.brand          品牌名（页面标题/页脚/管理面板，默认 MetaLab）
- site.framework      框架名（页脚标识，默认 MetaZone）
- site.copyright_start 版权起始年（页脚，默认 2024）
- registration.enabled 注册开关（关闭后禁止新用户注册，默认 true）

实现方式：
- InjectSiteInfo 中间件：全局注入 Brand/Framework/CopyrightStart 到 gin.Context
- BuildPageData 读取 context，所有 SSR 页面自动获取站点信息
- AuthService.Register 最先检查 IsRegistrationEnabled()
- 管理后台新增「基本设置」+「注册设置」区块，文本输入手动保存 + Toggle 即时生效
 2026-05-27 15:12:28 +08:00
Victor_Jay
7bc2dbd970 refactor: 拆分 middleware/router 为单一职责文件，新增站点设置管理页面 
middleware:
- 拆分 auth.go → auth.go + auth_token.go + auth_parser.go + auth_admin.go
- 拆分 csrf.go → csrf.go + csrf_token.go
- 拆分 ratelimit.go → ratelimit.go + ratelimit_core.go + ratelimit_cleanup.go
- 修复 import 未使用/缺失问题

router:
- 拆分 router.go → admin.go + api.go + frontend.go + deps_core.go + deps_extra.go

feat(admin): 站点设置管理页面
- 新增 SSR 页面 /admin/site-settings（仅 Owner）
- 审核开关 Toggle 即时保存
- 通用设置展示
- 侧边栏新增站点设置入口
- 注册 UpdateBoolSetting/GetBoolSetting API 路由
 2026-05-27 15:03:04 +08:00
Victor_Jay
a19b1fcb51 refactor: 拆分超标控制器文件至行数≤120行 
- auth_controller.go(238→54): 拆出auth_api_login.go(107)+auth_api_register.go(96)
- settings_controller.go(289→101): 拆出settings_api_profile(116)+account(59)+error_handlers(41)
- message_controller.go(129→85): 拆出message_page_controller.go(55)
- 所有拆分后文件均≤120行，符合code-style.md瘦控制器规范
 2026-05-27 13:57:08 +08:00
Victor_Jay
0cc903b44a refactor: 修复DRY分页 + LoD违规(RefreshToken业务逻辑下沉) 
- audit_service.List()使用common.Pagination替代手动分页计算
- RefreshToken封禁状态检查从控制器移至TokenService.RefreshAccessToken
- 消除控制器层业务逻辑，符合瘦控制器铁律
 2026-05-27 13:53:51 +08:00
Victor_Jay
f26da8f06e refactor: 清理死代码 + 修复ISP接口注释 
- 移除未使用的DTO类型(ChangePasswordRequest/DeleteAccountRequest)
- 移除service层未引用的错误重导出(auth_service/audit_service)
- 删除未使用的SiteSettingRepo(数据访问由config.SiteSettings直接处理)
- 删除未使用的FindByStatus方法(user_repo)
- 删除未使用的AutoMigrate方法(audit_repo/notification_repo)
- 删除未使用的PaginatedResult/NewPaginatedResult(pagination.go)
- 修复接口注释：notifProvider(5→4)、auditUseCase(4→3)、siteSettingUseCase(3→4)
- 移除auditStatusProvider未使用的FindByUsername方法
- 统一使用common.ErrXxx直接引用，消除跨service错误重导出耦合
 2026-05-27 13:52:42 +08:00
Victor_Jay
be91f5470b docs: 更新 README 功能列表 — 消息中心、账号安全、注销等新功能状态 2026-05-27 13:34:15 +08:00
Victor_Jay
0800ee2f3e feat: 消息通知中心 + 账号安全体系 + Bug修复 
## 新增功能

### 消息通知中心 (全新模块)
- 新增 MessageController / NotificationService / NotificationRepo
- SSR 消息页面 (/messages)：左侧边栏 + 右侧卡片列表，noindex 元标签
- 通知能力：列表分页、单条标为已读、一键全部标为已读
- 未读数角标 (1/66/99+)：侧边栏 + 导航栏铃铛图标
- 导航栏轮询 /api/messages/unread 每 60 秒刷新未读数
- 审核通过/驳回时自动 fire-and-forget 推送通知

### 密码修改
- ChangePassword：验证当前密码 → 新密码强度校验(8位+字母+数字) → 哈希更新
- 修改后递增 token_version 强制所有设备退登

### 账号自助注销
- DeleteAccount：验证密码 → 设置 deleted 状态 → 记录原因 → 吊销 JWT
- 注销后登录二次确认：Login 检测 deleted → 返回 confirm_restore
- ConfirmRestore 恢复账号，重新签发 token
- 注销页文案："账号将在 7 天后正式注销，期间可随时重新登录恢复"

### IP 审计记录
- 注册时记录 RegIP，登录时记录 LastLoginIP + LastLoginAt
- clientIP() 支持 X-Forwarded-For / X-Real-IP 反向代理

### 安全加固
- Login 防时序攻击：用户不存在时仍执行完整 bcrypt 比对
- FindByEmail 改用 Unscoped() 覆盖软删除用户
- 站长 (owner) 不允许自主注销，避免权限体系死锁

## Bug 修复

1. 注销按钮不触发：JS IIFE 中 profile 代码 return 阻塞了 account 标签页处理器注册
   → 拆分为两层 IIFE，profile 放在内层
2. label 缺少 for 属性导致控制台警告 → 全部补充 for 属性
3. 注销后未自动退登：DeleteAccount 只设状态未吊销 JWT → 末尾加 InvalidateSessions
4. 退登后重定向 500 panic：authenticateToken 中 err||versionMismatch 合并判断
   在 err=nil 但版本不匹配时返回 (nil,nil) → 拆为两个独立判断
   injectUserContext 增加 claims==nil / 类型断言空安全守卫
5. 注销后登录直接提示"登录成功"：FindByEmail 默认 scope 排除软删除记录
   → 改用 Unscoped()

## 文件变更
- 新建 17 个文件 (消息/审核/站点设置完整模块)
- 修改 25 个文件 (认证/设置/中间件/前端)
- 统计：+3229 / -161，42 files changed
 2026-05-27 13:32:45 +08:00