MetaZone/MetaLab
Archived
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
29 Commits 1 Branch 1 Tag
c326cbc10428fcf3f9783de14951e558a6f2d56a
Commit Graph

29 Commits

This Branch
This Branch
All Branches
Author SHA1 Message Date
Victor_Jay
c326cbc104 fix: 改用 importmap + esm.sh 解决 CodeMirror 多实例冲突 
- 将 import 改回 bare specifier，通过 importmap 指向 esm.sh
- esm.sh 在同一构建上下文中能识别共享依赖，确保 @codemirror/state 单例
- 消除 "Unrecognized extension value" instanceof 检查错误
 2026-05-27 19:48:01 +08:00
Victor_Jay
799ac3c95c fix: 放宽 CSP 允许 esm.sh CDN 加载 CodeMirror 6 ESM 模块 
- script-src 添加 https://esm.sh，允许 CodeMirror 6 的 ESM import 加载
- connect-src 显式设为 self，确保 Markdown 预览 fetch 请求正常
- img-src 添加 blob:，支持粘贴图片场景
 2026-05-27 19:44:59 +08:00
Victor_Jay
cc527aaf19 fix: 移除 new.html 末尾多余的 {{end}} 导致模板编译 panic 2026-05-27 19:41:20 +08:00
Victor_Jay
9801edc313 refactor: 用 CodeMirror 6 重构 MD 编辑器，废弃自研 WYSIWYG 
- 引入 CodeMirror 6 (MIT) 替代 contenteditable WYSIWYG 编辑器，消除 execCommand 废弃 API 风险
- 全新全宽三栏布局：标题栏、工具栏、编辑区+可切换预览、状态栏
- 工具栏新增删除线/H1/H4/任务列表/表格/预览切换/全屏按钮
- 支持粘贴图片自动上传 (Ctrl+V)、拖拽上传、上传进度反馈
- 代码块语言下拉选择器替代 prompt() 弹窗，支持搜索和键盘导航
- 自动保存草稿 (30s 防抖，localStorage + 后端静默保存)
- 分屏实时预览 (Ctrl+Shift+P)，编辑器与预览区双向滚动同步
- 字数/行数/阅读时间统计、全屏编辑 (F11)
- 快捷键：Ctrl+B/I/K/`/Shift+I/S/Shift+P + Tab/Shift+Tab
- 删除旧的 htmlToMarkdown、syncMarkdownToWysiwyg、mode-tab 等废弃代码
- 后端 API 零改动，仅移除控制器中不再需要的 ExtraJS 字段
 2026-05-27 19:38:42 +08:00
Victor_Jay
8a8d801187 fix: 修复帖子系统5项缺陷 + 代码块插入位置/language-class/分割线占位 
- 作者显示 用户名(UID): 修正Post.AuthorName GORM标签从 -:all 改为 -:migration;<-:false;column:author_name
- 审核流程: 帖子详情页新增"提交审核"按钮(draft/rejected时作者可见)
- 图片上传: 新增 POST /api/posts/upload-image 端点,限制5MB/jpg/png/gif/webp
- 代码块语言标注: 工具栏插入代码块时弹出语言输入框,生成 language-xxx class
- 状态中文显示: 管理后台/帖子详情页状态改为 PostStatusDisplayNames 映射
- 修复代码块插入位置错误: init时调用switchMode同步DOM; 无选区时appendChild; 防<pre>嵌套
- 修复 bluemonday.UGCPolicy() 剥离 code/pre 的 class 属性,显式 AllowAttrs("class")
- 修复分割线工具栏插入多余text占位符: hr/link/image以外不强制填占位文本
 2026-05-27 19:22:47 +08:00
Victor_Jay
1830f10e24 fix: 修复 WYSIWYG 清空内容 + 分屏工具栏 + XSS 防御(bulemondy消毒) 2026-05-27 18:45:15 +08:00
Victor_Jay
174d715e50 fix: 修复 CSRF 缺失 + 重写编辑器为三模式（所见即所得/源码/分屏） 
CSRF 修复：
- /posts/new 和 /posts/:id/edit 原在独立 postPages group 中，仅含 Required 中间件，缺少 CSRF 下发
- 移动到 pages group（含 CSRF 中间件），用 per-route d.authMdw.Required() 弥补登录校验
- 同时消除 /posts/:id 与 /posts/new 潜在的路由冲突

编辑器重写：
- 添加三种编辑模式切换标签：所见即所得 / 源码 / 分屏预览
- 所见即所得（默认）：contenteditable 编辑区 + 工具条（execCommand）
  支持加粗、斜体、H2/H3、链接、图片、引用、代码、列表、分割线
- 源码：纯 textarea，textarea 作为数据源始终保存 markdown 原文
- 分屏：左 textarea 编辑 + 右实时渲染预览（API 渲染）
- 模式切换时自动同步：WYSIWYG → HTML → Markdown → textarea
- 工具条在 WYSIWYG 模式用 execCommand，源码模式用文本包裹语法

实现细节：
- contenteditable ← textarea 双向同步（WYSIWYG 模式）
- 基本 HTML→Markdown 转换器（strong/em/h1-h6/a/pre/code/li/blockquote/img）
- 分屏布局用 JS toggled .split-mode class（非 :has()，兼容 Firefox）
- 编辑器初始时自动进 WYSIWYG 模式渲染已有内容
 2026-05-27 18:35:13 +08:00
Victor_Jay
03a01a09be feat: 实现内容系统 MVC（Post CRUD + 审核流转） 
按 content-system.md 设计文档，实现帖子内容系统的最小可行 MVC。

新增：
- Model: Post 模型，含 5 种状态（draft/pending/approved/rejected/locked）
- Repository: post_repo.go，分页查询（前台 approved 列表 + 后台全状态筛选）
- Service: post_service.go，核心业务逻辑（状态流转、Markdown 渲染 Goldmark）
- Controller: post_controller + admin_post_controller，SSR 页面 6 个 + API 13 个
- Template: 列表/详情/编辑器/404 + 管理员列表，各配 CSS/JS
- 路由: /posts, /posts/:id, /posts/new, /posts/:id/edit, REST API, Admin API
- gomod: + github.com/yuin/goldmark v1.8.2

修改：
- Main: AutoMigrate Post 表
- Router: deps 注册 PostService/Controller，路由注册
- Nav: 新增“帖子”导航链接
- Admin Sidebar: 新增“内容管理”入口

设计：
- 审核开关复用 audit.enabled，开启时帖子为 draft，关闭后直接 approved
- 仅 approved 公开可见，作者/admin 可预览非公开状态帖子
- 严格分层 ISP 接口: Controller → postUseCase, Service → postStore, Repo → *PostRepo
- 状态保护: pending/locked 禁止编辑，rejected 编辑后自动重置为 draft
 2026-05-27 18:22:48 +08:00
Victor_Jay
fc65872882 docs: 内容系统改用 ID 链接，细化审核状态流转 
- 链接格式 slug → /posts/{id}
- 状态重定义: draft/pending/approved/rejected/locked
- 新增 rejected 退回状态（可重提）+ locked 锁定状态（禁止编辑）
- 支持退回+锁定（严重违规/侵权场景）
- 新增解除锁定、提交审核等 API
 2026-05-27 18:03:57 +08:00
Victor_Jay
2528ebd28a docs: 计划开发内容系统，新增设计文档 
- 内容模型 Post（Markdown + 渲染缓存）
- 分层架构对齐现有四层（model/repository/service/controller）
- 发帖审核流程（对接 AuditSubmission）
- SSR 页面 / API / 管理后台路由设计
- Markdown 安全策略（Goldmark + DOMPurify）
- MVP 范围 vs 后续迭代
 2026-05-27 17:54:21 +08:00
Victor_Jay
d29d388092 docs: 新增站点设置管理文档，移除 JS 死代码，同步 config.yaml 注释 
- 新增 docs/site-settings.md：站点设置全量文档（可配置项/架构/权限/API）
- config.yaml 补充 site.* / registration.* 运行时配置说明
- site-settings.js 移除已废弃的 site.brand 过滤项
 2026-05-27 15:52:56 +08:00
Victor_Jay
dfbd93c847 chore: 移除 site.brand 可配置功能，站点名称恢复硬编码 MetaLab 
考虑实际需求后，站点名称无需常改，移除前后端全部相关逻辑：
- config / middleware / helper 移除 site_brand 注入
- 页脚版权恢复硬编码 MetaLab
 2026-05-27 15:38:30 +08:00
Victor_Jay
ed1a969e68 feat(footer): 页脚新增管理面板入口链接（moderator+可见） 
chore: 站点名称保持硬编码 MetaLab，后台移除该设置项，恢复 Nav 双拼样式
       site.brand 后端逻辑保留，页脚仍可配置
 2026-05-27 15:33:03 +08:00
Victor_Jay
c492fc2489 tweak(admin): 页脚版权信息支持自定义/隐藏，空值时不显示分隔符 2026-05-27 15:16:10 +08:00
Victor_Jay
0b948cf70f feat(admin): 站点信息 + 注册开关可后台设置，模板动态渲染 
新增 4 项可配置站点设置（DB持久化+内存缓存，即时生效）：
- site.brand          品牌名（页面标题/页脚/管理面板，默认 MetaLab）
- site.framework      框架名（页脚标识，默认 MetaZone）
- site.copyright_start 版权起始年（页脚，默认 2024）
- registration.enabled 注册开关（关闭后禁止新用户注册，默认 true）

实现方式：
- InjectSiteInfo 中间件：全局注入 Brand/Framework/CopyrightStart 到 gin.Context
- BuildPageData 读取 context，所有 SSR 页面自动获取站点信息
- AuthService.Register 最先检查 IsRegistrationEnabled()
- 管理后台新增「基本设置」+「注册设置」区块，文本输入手动保存 + Toggle 即时生效
 2026-05-27 15:12:28 +08:00
Victor_Jay
7bc2dbd970 refactor: 拆分 middleware/router 为单一职责文件，新增站点设置管理页面 
middleware:
- 拆分 auth.go → auth.go + auth_token.go + auth_parser.go + auth_admin.go
- 拆分 csrf.go → csrf.go + csrf_token.go
- 拆分 ratelimit.go → ratelimit.go + ratelimit_core.go + ratelimit_cleanup.go
- 修复 import 未使用/缺失问题

router:
- 拆分 router.go → admin.go + api.go + frontend.go + deps_core.go + deps_extra.go

feat(admin): 站点设置管理页面
- 新增 SSR 页面 /admin/site-settings（仅 Owner）
- 审核开关 Toggle 即时保存
- 通用设置展示
- 侧边栏新增站点设置入口
- 注册 UpdateBoolSetting/GetBoolSetting API 路由
 2026-05-27 15:03:04 +08:00
Victor_Jay
a19b1fcb51 refactor: 拆分超标控制器文件至行数≤120行 
- auth_controller.go(238→54): 拆出auth_api_login.go(107)+auth_api_register.go(96)
- settings_controller.go(289→101): 拆出settings_api_profile(116)+account(59)+error_handlers(41)
- message_controller.go(129→85): 拆出message_page_controller.go(55)
- 所有拆分后文件均≤120行，符合code-style.md瘦控制器规范
 2026-05-27 13:57:08 +08:00
Victor_Jay
0cc903b44a refactor: 修复DRY分页 + LoD违规(RefreshToken业务逻辑下沉) 
- audit_service.List()使用common.Pagination替代手动分页计算
- RefreshToken封禁状态检查从控制器移至TokenService.RefreshAccessToken
- 消除控制器层业务逻辑，符合瘦控制器铁律
 2026-05-27 13:53:51 +08:00
Victor_Jay
f26da8f06e refactor: 清理死代码 + 修复ISP接口注释 
- 移除未使用的DTO类型(ChangePasswordRequest/DeleteAccountRequest)
- 移除service层未引用的错误重导出(auth_service/audit_service)
- 删除未使用的SiteSettingRepo(数据访问由config.SiteSettings直接处理)
- 删除未使用的FindByStatus方法(user_repo)
- 删除未使用的AutoMigrate方法(audit_repo/notification_repo)
- 删除未使用的PaginatedResult/NewPaginatedResult(pagination.go)
- 修复接口注释：notifProvider(5→4)、auditUseCase(4→3)、siteSettingUseCase(3→4)
- 移除auditStatusProvider未使用的FindByUsername方法
- 统一使用common.ErrXxx直接引用，消除跨service错误重导出耦合
 2026-05-27 13:52:42 +08:00
Victor_Jay
be91f5470b docs: 更新 README 功能列表 — 消息中心、账号安全、注销等新功能状态 2026-05-27 13:34:15 +08:00
Victor_Jay
0800ee2f3e feat: 消息通知中心 + 账号安全体系 + Bug修复 
## 新增功能

### 消息通知中心 (全新模块)
- 新增 MessageController / NotificationService / NotificationRepo
- SSR 消息页面 (/messages)：左侧边栏 + 右侧卡片列表，noindex 元标签
- 通知能力：列表分页、单条标为已读、一键全部标为已读
- 未读数角标 (1/66/99+)：侧边栏 + 导航栏铃铛图标
- 导航栏轮询 /api/messages/unread 每 60 秒刷新未读数
- 审核通过/驳回时自动 fire-and-forget 推送通知

### 密码修改
- ChangePassword：验证当前密码 → 新密码强度校验(8位+字母+数字) → 哈希更新
- 修改后递增 token_version 强制所有设备退登

### 账号自助注销
- DeleteAccount：验证密码 → 设置 deleted 状态 → 记录原因 → 吊销 JWT
- 注销后登录二次确认：Login 检测 deleted → 返回 confirm_restore
- ConfirmRestore 恢复账号，重新签发 token
- 注销页文案："账号将在 7 天后正式注销，期间可随时重新登录恢复"

### IP 审计记录
- 注册时记录 RegIP，登录时记录 LastLoginIP + LastLoginAt
- clientIP() 支持 X-Forwarded-For / X-Real-IP 反向代理

### 安全加固
- Login 防时序攻击：用户不存在时仍执行完整 bcrypt 比对
- FindByEmail 改用 Unscoped() 覆盖软删除用户
- 站长 (owner) 不允许自主注销，避免权限体系死锁

## Bug 修复

1. 注销按钮不触发：JS IIFE 中 profile 代码 return 阻塞了 account 标签页处理器注册
   → 拆分为两层 IIFE，profile 放在内层
2. label 缺少 for 属性导致控制台警告 → 全部补充 for 属性
3. 注销后未自动退登：DeleteAccount 只设状态未吊销 JWT → 末尾加 InvalidateSessions
4. 退登后重定向 500 panic：authenticateToken 中 err||versionMismatch 合并判断
   在 err=nil 但版本不匹配时返回 (nil,nil) → 拆为两个独立判断
   injectUserContext 增加 claims==nil / 类型断言空安全守卫
5. 注销后登录直接提示"登录成功"：FindByEmail 默认 scope 排除软删除记录
   → 改用 Unscoped()

## 文件变更
- 新建 17 个文件 (消息/审核/站点设置完整模块)
- 修改 25 个文件 (认证/设置/中间件/前端)
- 统计：+3229 / -161，42 files changed
 2026-05-27 13:32:45 +08:00
Victor_Jay
053ca32a14 fix(avatar): WebP 解码未生效 — image.Decode 不支持 WebP，改用 webp.Decode 2026-05-27 01:10:29 +08:00
Victor_Jay
c3dec09dae feat(settings): 个人资料编辑 + 头像上传/裁切 + 自定义裁切弹窗 
**新增功能：**

用户名编辑：输入框替换静态文本，白名单验证(中文/英文/数字/下划线/连字符)，前端计数器(n/16)，utf8对齐PG VARCHAR，XSS防控。

个性签名编辑：Textarea，128字符上限，实时计数器。

头像上传管线：校验→解码→裁切→CatmullRom缩放→WebP二分编码≤100KB→原子写入(.tmp→os.Rename)。限制5MB,128-3840px,JPEG/PNG/WebP。输出512x512 WebP。文件名 {uid}_{timestamp}.webp。清理旧头像。

自定义裁切弹窗：浅色主题，固定裁切框+图片平移/缩放(1×-3×滚轮)，box-shadow遮罩,三等分网格。坐标映射pan/zoom→原图像素→subImage。

CSP修复：img-src允许data:URI(FileReader预览)。

**文件变更：**
修改: README, docs/{development,structure}.md, go.{mod,sum}, cmd/server/main.go, controller/settings, middleware/security, router, templates/settings/{index.html,css}
新增: internal/service/avatar_service.go, docs/settings.md
 2026-05-27 01:03:16 +08:00
Victor_Jay
debaa17127 feat(settings): 用户名校验强化、个性签名编辑、字符计数器及提示优化 
- 用户名校验改用白名单正则（中英文/数字/下划线/连字符），字符数计法统一
- 简介→个性签名，新增 textarea 可编辑，上限 128 字符
- 用户名+签名各增加实时字符计数器（x/16、x/128）
- API 合并为 PUT /api/settings/profile，一次提交两字段，按变更写入
- Toast 移至 NAV 下方，独立样式，5 秒自动消失
- 移除用户 ID 灰色底色，提示改为「个人资料已更新」
- 纯文本存储 + Go 模板自动转义防 XSS
 2026-05-27 00:03:09 +08:00
Victor_Jay
3937945b43 feat(admin): 管理首页标题修正、角色中文显示及用户总数补全 
- 修正 admin layout title 后缀为「MetaLab 管理面板」
- 当前角色从原始字符串改为中文显示（注入 RoleDisplayName）
- 补全管理首页「用户总数」统计，新增 CountUsers 方法
- 遵循 ISP 最小接口，Service 复用已有 CountSearchUsers
 2026-05-26 23:21:32 +08:00
Victor_Jay
403202be2b docs: 更新 README 以准确反映项目现状 
- Go 版本 1.25 → 1.26
- 修正 Token 模型描述：Refresh 分 7 天 session / 30 天记住我
- 将已实现的用户设置页从计划中移至当前功能
- 补充软删除登录时自动恢复的说明
 2026-05-26 21:21:30 +08:00
Victor_Jay
39d13993ba fix: 设计原则审查修复 — DIP/ISP, LoD, DRY, OCP, URL, 301缓存 
- P0 DIP+ISP: 全链路注入接口，消除零接口紧耦合
- P0 URL: auth 301→302，修复登出后浏览器缓存陷阱
- P1 DRY: JWT 认证逻辑收敛至 TokenService+中间件
- P2 DRY: 前后端角色/状态映射统一为 model 常量
- P2 LoD: 新增 SettingsController，router 不再跨层调 repo
- P2 URL: settings ?tab= → /settings/:tab 伪静态
- P3 OCP: 角色权限 map 化，告别硬编码 switch
 2026-05-26 21:12:19 +08:00
Victor_Jay
483fdd919f 初始化项目：基础设施 + 用户认证 + 后台管理系统 + AGPL 3.0 许可 2026-05-26 13:46:33 +08:00
Victor Jay
1315df6501 初始化项目 2026-05-26 13:14:19 +08:00