|
|
f0bf450725
|
feat: 管理首页帖子总数统计（总数/已发布/待审核）
- PostRepo 新增 CountPostsByStatus 和 CountPending 方法
- Service 层定义 postAdminStatStore 接口 (ISP)
- AdminService 注入 postRepo，新增 PostStats 结构体和 GetPostStats 方法
- AdminController.Dashboard 调用 GetPostStats 并传参到模板
- Dashboard 帖子卡片显示总数 + 已发布 + 待审核（橙色徽章）
- DI 层将 AdminController 创建从 buildDepsCore 移至 buildDeps，以便注入 postRepo
|
2026-05-31 12:46:06 +08:00 |
|
|
|
12de8be0cf
|
feat: 管理首页新增会话存储后端状态展示
- 仪表盘新增「会话存储后端」卡片，显示 Redis/内存 模式
- 降级时显示「已降级」标签 + 降级说明
- 内存模式下显示活跃会话数
- 新增 stat-red / stat-desc / stat-badge / badge-warn CSS 样式
|
2026-05-31 11:38:31 +08:00 |
|
|
|
d9ba1cdf28
|
refactor: 移除 Session 架构下已无用的 TokenVersion 即时吊销机制
- 删除 UserRepo.IncrementTokenVersion/FindTokenVersion 方法
- 从 userAuthStore/userAdminStore 接口移除 IncrementTokenVersion
- 删除 middleware.tokenVersionStore 接口（中间件不再查询 token_version）
- auth_service: DeleteAccount/InvalidateSessions 仅调用 DestroyByUID
- admin_service: UpdateUserStatus/ResetUserToken 仅调用 DestroyByUID
- FindByIDForAuth/FindByIDUnscoped Select 移除 token_version 列
- 新架构下登出/改密/封禁统一走 sessionManager.DestroyByUID，无需 token_version
|
2026-05-30 23:38:42 +08:00 |
|
|
|
daf87f895b
|
refactor: JWT 无状态认证替换为服务端 Session，修复记住我掉线问题
- 新增 internal/session 包：Session 结构体、Store 接口、MemoryStore（内存+后台清理）、RedisStore 预留
- Cookie 从 3 个精简为 1 个 mlb_sid（HttpOnly），移除 JWT access/refresh cookie
- 会话过期采用滑动窗口：每次请求自动续期，记住我 30 天无操作过期
- AuthMiddleware/AuthAdmin/Maintenance 中间件改用 SessionManager.Validate()
- AuthService Login/Register/ConfirmRestore 去除 token 生成，返回 *model.User
- Controller 层在登录/注册后调用 SessionManager.Create 创建会话
- AdminService UpdateUserStatus/ResetUserToken 同步销毁 session 实现即时退登
- 改密/注销时通过 DestroyByUID 删除所有 session（替换 TokenVersion 检查）
- config.yaml 新增 session 配置段（idle_timeout/remember_timeout/cleanup_interval）
- TokenService/auth_parser/auth_token 标记废弃，移除 JWT 到期字段依赖
|
2026-05-30 23:36:52 +08:00 |
|
|
|
0800ee2f3e
|
feat: 消息通知中心 + 账号安全体系 + Bug修复
## 新增功能
### 消息通知中心 (全新模块)
- 新增 MessageController / NotificationService / NotificationRepo
- SSR 消息页面 (/messages)：左侧边栏 + 右侧卡片列表，noindex 元标签
- 通知能力：列表分页、单条标为已读、一键全部标为已读
- 未读数角标 (1/66/99+)：侧边栏 + 导航栏铃铛图标
- 导航栏轮询 /api/messages/unread 每 60 秒刷新未读数
- 审核通过/驳回时自动 fire-and-forget 推送通知
### 密码修改
- ChangePassword：验证当前密码 → 新密码强度校验(8位+字母+数字) → 哈希更新
- 修改后递增 token_version 强制所有设备退登
### 账号自助注销
- DeleteAccount：验证密码 → 设置 deleted 状态 → 记录原因 → 吊销 JWT
- 注销后登录二次确认：Login 检测 deleted → 返回 confirm_restore
- ConfirmRestore 恢复账号，重新签发 token
- 注销页文案："账号将在 7 天后正式注销，期间可随时重新登录恢复"
### IP 审计记录
- 注册时记录 RegIP，登录时记录 LastLoginIP + LastLoginAt
- clientIP() 支持 X-Forwarded-For / X-Real-IP 反向代理
### 安全加固
- Login 防时序攻击：用户不存在时仍执行完整 bcrypt 比对
- FindByEmail 改用 Unscoped() 覆盖软删除用户
- 站长 (owner) 不允许自主注销，避免权限体系死锁
## Bug 修复
1. 注销按钮不触发：JS IIFE 中 profile 代码 return 阻塞了 account 标签页处理器注册
→ 拆分为两层 IIFE，profile 放在内层
2. label 缺少 for 属性导致控制台警告 → 全部补充 for 属性
3. 注销后未自动退登：DeleteAccount 只设状态未吊销 JWT → 末尾加 InvalidateSessions
4. 退登后重定向 500 panic：authenticateToken 中 err||versionMismatch 合并判断
在 err=nil 但版本不匹配时返回 (nil,nil) → 拆为两个独立判断
injectUserContext 增加 claims==nil / 类型断言空安全守卫
5. 注销后登录直接提示"登录成功"：FindByEmail 默认 scope 排除软删除记录
→ 改用 Unscoped()
## 文件变更
- 新建 17 个文件 (消息/审核/站点设置完整模块)
- 修改 25 个文件 (认证/设置/中间件/前端)
- 统计：+3229 / -161，42 files changed
|
2026-05-27 13:32:45 +08:00 |
|
|
|
3937945b43
|
feat(admin): 管理首页标题修正、角色中文显示及用户总数补全
- 修正 admin layout title 后缀为「MetaLab 管理面板」
- 当前角色从原始字符串改为中文显示（注入 RoleDisplayName）
- 补全管理首页「用户总数」统计，新增 CountUsers 方法
- 遵循 ISP 最小接口，Service 复用已有 CountSearchUsers
|
2026-05-26 23:21:32 +08:00 |
|
|
|
39d13993ba
|
fix: 设计原则审查修复 — DIP/ISP, LoD, DRY, OCP, URL, 301缓存
- P0 DIP+ISP: 全链路注入接口，消除零接口紧耦合
- P0 URL: auth 301→302，修复登出后浏览器缓存陷阱
- P1 DRY: JWT 认证逻辑收敛至 TokenService+中间件
- P2 DRY: 前后端角色/状态映射统一为 model 常量
- P2 LoD: 新增 SettingsController，router 不再跨层调 repo
- P2 URL: settings ?tab= → /settings/:tab 伪静态
- P3 OCP: 角色权限 map 化，告别硬编码 switch
|
2026-05-26 21:12:19 +08:00 |
|
|
|
483fdd919f
|
初始化项目：基础设施 + 用户认证 + 后台管理系统 + AGPL 3.0 许可
|
2026-05-26 13:46:33 +08:00 |
|
