Victor_Jay
0800ee2f3e
## 新增功能 ### 消息通知中心 (全新模块) - 新增 MessageController / NotificationService / NotificationRepo - SSR 消息页面 (/messages)：左侧边栏 + 右侧卡片列表，noindex 元标签 - 通知能力：列表分页、单条标为已读、一键全部标为已读 - 未读数角标 (1/66/99+)：侧边栏 + 导航栏铃铛图标 - 导航栏轮询 /api/messages/unread 每 60 秒刷新未读数 - 审核通过/驳回时自动 fire-and-forget 推送通知 ### 密码修改 - ChangePassword：验证当前密码 → 新密码强度校验(8位+字母+数字) → 哈希更新 - 修改后递增 token_version 强制所有设备退登 ### 账号自助注销 - DeleteAccount：验证密码 → 设置 deleted 状态 → 记录原因 → 吊销 JWT - 注销后登录二次确认：Login 检测 deleted → 返回 confirm_restore - ConfirmRestore 恢复账号，重新签发 token - 注销页文案："账号将在 7 天后正式注销，期间可随时重新登录恢复" ### IP 审计记录 - 注册时记录 RegIP，登录时记录 LastLoginIP + LastLoginAt - clientIP() 支持 X-Forwarded-For / X-Real-IP 反向代理 ### 安全加固 - Login 防时序攻击：用户不存在时仍执行完整 bcrypt 比对 - FindByEmail 改用 Unscoped() 覆盖软删除用户 - 站长 (owner) 不允许自主注销，避免权限体系死锁 ## Bug 修复 1. 注销按钮不触发：JS IIFE 中 profile 代码 return 阻塞了 account 标签页处理器注册 → 拆分为两层 IIFE，profile 放在内层 2. label 缺少 for 属性导致控制台警告 → 全部补充 for 属性 3. 注销后未自动退登：DeleteAccount 只设状态未吊销 JWT → 末尾加 InvalidateSessions 4. 退登后重定向 500 panic：authenticateToken 中 err||versionMismatch 合并判断 在 err=nil 但版本不匹配时返回 (nil,nil) → 拆为两个独立判断 injectUserContext 增加 claims==nil / 类型断言空安全守卫 5. 注销后登录直接提示"登录成功"：FindByEmail 默认 scope 排除软删除记录 → 改用 Unscoped() ## 文件变更 - 新建 17 个文件 (消息/审核/站点设置完整模块) - 修改 25 个文件 (认证/设置/中间件/前端) - 统计：+3229 / -161，42 files changed
MetaLab
下一代开源技术社区——为构建者准备的纯粹空间
关于项目
MetaLab 是一个正在开发中的开源技术社区平台，旨在为开发者提供一个平等、纯粹、开放的技术交流空间。
当前状态：私有开发中。社区上线后将完全开源。
核心理念：
- 🎯 专注技术——代码、架构、逻辑与可验证的事实
- 🤝 平等交流——没有特权，每个成员权利平等
- 🔓 开放共享——鼓励开源、协作与知识共享
技术栈
| 类别 | 技术 | 版本 |
|---|---|---|
| 语言 | Go | 1.26 |
| Web 框架 | Gin | 1.12 |
| ORM | GORM | 1.31 |
| 数据库 | PostgreSQL | 16+ |
| 认证 | JWT (HS256) | v5 |
| 密码加密 | bcrypt (cost=12) | — |
| 配置 | Viper | 1.21 |
| 前端 | SSR 模板 (Gin HTML) + 原生 JS/CSS | — |
| 架构 | 分层六边形架构 | — |
当前功能
- ✅ 用户系统——注册、登录、登出
- ✅ 双 Token 认证——Access Token（15min）+ Refresh Token（7d session / 30d "记住我"）
- ✅ CSRF 保护——全站 CSRF Token
- ✅ 速率限制——API 调用频率控制
- ✅ 安全头——Content-Security-Policy 等安全响应头
- ✅ 管理后台——用户管理、角色权限控制
- ✅ 软删除——用户数据可恢复，登录时自动恢复
- ✅ 用户设置页——个人资料修改（用户名、个性签名、头像上传与裁切）
- ✅ 头像处理——JPEG/PNG/WebP 上传，方形裁切，512×512 WebP 编码 ≤100KB
- ✅ 多主题支持——可切换的前端主题系统
计划中
- 🔲 帖子系统（CRUD + Markdown）
- 🔲 话题/分类导航
- 🔲 邮箱验证
- 🔲 全文搜索
- 🔲 管理后台增强（内容审核、统计分析）
快速开始
# 克隆仓库
git clone git@git.metazone.cc:MetaZone/MetaLab.git
cd MetaLab
# 创建 .env 文件
cat > .env << EOF
DATABASE_PASSWORD=your_db_password
JWT_SECRET=your_jwt_secret
EOF
# 确保 PostgreSQL 运行中
# 默认连接: 127.0.0.1:5432, 数据库: metalab_dev
# 运行
go run cmd/server/main.go
启动后访问 http://localhost:8080。
项目结构
MetaLab/
├── cmd/server/ # 入口：初始化 → 启动
├── internal/
│ ├── config/ # 配置加载（YAML + .env）
│ ├── router/ # 路由注册
│ ├── controller/ # 控制器（参数绑定 → 调服务 → 返回）
│ │ └── admin/ # 后台控制器
│ ├── service/ # 业务逻辑层
│ ├── repository/ # 数据访问层（DAO）
│ ├── model/ # 数据模型 + DTO
│ ├── middleware/ # 中间件（认证/CSRF/限流/安全）
│ ├── common/ # 公共工具（响应/分页/加密）
│ └── theme/ # 主题/模板管理
├── templates/ # 前端模板（多主题）
│ ├── MetaLab-2026/ # 前台主题
│ └── admin/ # 后台模板
└── docs/ # 开发文档
许可
本项目采用 GNU Affero General Public License v3.0 (AGPL-3.0) 许可。
社区版（AGPL-3.0）：可自由使用、修改、分发，但修改后通过网络提供服务时必须公开源码。
商业授权：如需闭源部署、私有化修改或商业技术支持，请联系 metazone@foxmail.com 获取商业授权。
© 2024-2026 MetaZone | Built with ❤️ by MetaZone