MetaZone/mce
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
226 Commits 1 Branch 0 Tags
b10828c851325c81405dc3eba910c80324fd69a5
Commit Graph

35 Commits

Author SHA1 Message Date
Victor_Jay
2449a27eb5 refactor: CSP nonce替代unsafe-inline, HSTS始终启用, router/api拆分, 管理后台+用户设置页拆分, DB健康降级, 时区配置, UID统一解析, CI接入
Some checks failed
CI / Lint + Build (push) Has been cancelled
Details 
审计修复:
- CSP: unsafe-inline移除, nonce替代; unsafe-eval保留供Vditor使用
- HSTS: 始终启用(不再依赖release模式)
- Controller Exp: common.GetGinExp包装, 不再直接读context
- UID解析: common.ParseUIDParam统一, follow/admin controller改用

重构:
- router/api.go(198行)拆为7个域文件: auth/settings/posts/comments/reactions/social/studio
- 管理后台站点设置: 单页拆为4个子页(brand/security/registration/content)+子菜单
- 前台用户设置页: 1201行拆为6个独立模板+6个独立JS文件

新增:
- DB健康检测中间件(middleware/db_health.go): 5s ping+降级页面
- 时区配置: config.yaml server.timezone→time.Local初始化
- .gitea/workflows/ci.yml: strict模式CI流水线
 2026-06-22 03:06:24 +08:00
Victor_Jay
97adf54d6d fix: golangci-lint 零告警通过 (57→0) + gofumpt/goimports 全量格式化 
## CI 修复 (P0/P1)

P0 — 编译阻塞:
  - interfaces.go: postUseCase ISP 接口移除不用的 Create/Update/Delete

P1 — 必须修复:
  - ST1000: 为 13 个包添加包注释 (common/config/model/service/...)
  - ST1005: redis_store.go 全部错误消息改为小写开头
  - errcheck (19处): defer Close()→闭包忽略, notifier.Create→_=, r.Run→检查error
  - errorlint (9处): switch-on-error→errors.Is 链, ==→errors.Is
  - ST1020/ST1022: 导出符号注释以符号名开头

P2 — 安全评审:
  - gosec (12处): G203/G301/G304/G306 添加 nolint 注释并附理由

P3 — 清理:
  - unused: 移除 hasUnicode/energyStore/current/energyAdminUseCase
  - gofumpt + goimports 全量格式化 (35+ 文件)
 2026-06-22 02:27:35 +08:00
Victor_Jay
1933ea86b4 feat: 注册准则阅读控制 + Footer 合规信息 
准则阅读（三层控制）：
- registration.show_guidelines — 弹窗/复选框模式
- registration.force_guidelines — 是否强制倒计时+滚动
- registration.guidelines_timer — 倒计时秒数

Footer 合规（8 字段，空值不显示，链接纯手写）：
- site.operator_name / site.icp_number / site.icp_license
- site.police_number / site.wenwangwen / site.algorithm_filing
- site.privacy_url / site.terms_url
- 新增 safeHTML 模板函数输出不转义 HTML
 2026-06-21 23:50:52 +08:00
Victor_Jay
0014bdb9ff feat: 品牌CMS配置化 + cookie_secure配置 
- config.yaml 新增 server.cookie_secure 配置项
- site_settings 新增 site_name/site_tagline/contact_email 站点信息
- SiteInfo 结构体扩展，支持运行时从 DB 读取站点品牌信息
- cookie.go 使用 cfg.Server.CookieSecure 替代 Mode!=debug 判断
- SetSessionCookie/ClearSessionCookie 支持 siteSettings 运行时覆盖
- 模板替换硬编码 MetaLab → {{.SiteName}}（nav/header/footer/home/login/register/guidelines/admin，12+处）
- 管理后台站点设置页新增站点名称/标语/联系邮箱输入项
- 页脚版权年份改为动态 CurrentYear
- 注册成功消息 CMS 化（后端+前端）
 2026-06-21 23:34:14 +08:00
MetaZone
a2e8242c21 chore: 全局包名路径从 metalab 更改为 mce 2026-06-21 16:55:46 +08:00
Victor_Jay
ca21ae7216 fix: 修复头像审核旧图裂开问题 + CSP 配置修复 
- 头像提交审核不再删除旧文件，审核通过后才删除旧头像文件
- 头像审核被拒时删除已上传的新头像文件，保留旧头像
- CSP style-src 移除 nonce 以启用 unsafe-inline（JS 动态样式需要）
- CSP script-src 移除 nonce 改用 unsafe-inline + unsafe-eval（Vditor 编辑器和动态样式需要）
 2026-06-02 22:26:01 +08:00
Victor_Jay
7fdea90ded feat: 敏感操作增加IP维度限流 
- RateLimiter 新增 AllowSensitive 方法（1分钟5次，超限封禁5分钟）
- 新增 SensitiveRateLimit Gin 中间件
- 改密（PUT /api/settings/password）增加限流保护
- 注销（POST /api/settings/delete-account）增加限流保护
- 签到（POST /api/level/checkin）增加限流保护
 2026-06-02 19:03:04 +08:00
Victor_Jay
77d8562916 fix: 添加 HSTS 响应头 
- SecurityHeaders 中间件增加 Strict-Transport-Security 头
- 仅在 release 模式下启用，避免开发环境 localhost 证书问题
 2026-06-02 18:33:59 +08:00
Victor_Jay
1cb7a832f1 fix: CSRF Token 日志脱敏 
- 移除 CSF 中间件日志中敏感 token 值的打印（移除 %q）
- MISMATCH 日志仅保留路径和长度信息
- OK 日志移除，避免生产环境中泄露 CSRF token
 2026-06-02 16:32:20 +08:00
Victor_Jay
53f18ca6ee fix: CSP 策略移除 unsafe-inline，改用 nonce 机制 
- SecurityHeaders 中间件生成随机 nonce，注入 context
- BuildPageData/BuildAdminPageData 将 CSPNonce 传递给模板
- 所有 19 个模板文件 <script> 标签添加 nonce 属性
- 移除所有内联事件处理（onclick/onerror），改用事件监听
- 移除所有 javascript:void(0) 链接，改用 # 号 + preventDefault
- utils.js 添加全局 avatar 图片加载失败回退处理
- common.js 登出按钮添加 preventDefault
- audit.js 关闭弹窗按钮改用事件监听
 2026-06-02 16:10:23 +08:00
Victor_Jay
8902af420e fix: 登录过期改为跳转登录页而非返回 JSON 
- Required 中间件区分页面请求(/api/ 前缀)与 SSR 页面请求，页面请求 302 跳转登录页携带 return URL
- 前端 doRefresh token 刷新失败时跳转登录页，避免静默失败
- 认证页面禁止重定向避免无限循环
 2026-06-01 12:19:18 +08:00
Victor_Jay
bbcd992614 feat: 封禁用户允许登录但禁止写操作 
- Session 结构体新增 Status 字段，Create/Validate 同步状态
- AuthService.Login 移除封禁检查，允许封禁用户登录
- 新增 BannedWriteGuard 中间件，拦截 POST/PUT/DELETE 写操作
- 封禁用户自动签到跳过
- 所有需登录的 API 路由组应用 BannedWriteGuard
- AdminService.UpdateUserStatus 保留 DestroyByUID 确保状态刷新
 2026-05-31 21:20:04 +08:00
Victor_Jay
a84fa5da61 fix: 修复等级升级后NAV仍显示旧等级的问题 
- CompleteTask等非签到路径触发升级后，session Exp未同步，导致下次页面渲染NAV仍用旧Exp计算等级
- tryAutoCheckIn改为始终对比session Exp与DB Exp并同步，不再仅限签到成功时
- 使用 newExp > s.Exp 确保Exp只增不减，防止异常返回0或主从延迟等场景导致积分回退
 2026-05-31 21:08:23 +08:00
Victor_Jay
fdb636f98f feat: 实现积分与等级系统 + 签到功能 + 下拉菜单优化 
- User 模型增加 exp 字段，等级规则 Lv0-Lv6
- 新增签到记录(UserCheckIn)与任务记录(UserTask)模型，唯一索引防重
- 自动签到：AuthMiddleware 验证会话后，基于 Asia/Shanghai 自然日自动签到 +5 经验
- 手动签到：下拉菜单"签到"按钮兜底，已签到显示"今日已签到"并禁用
- 首次任务经验：上传头像/设置用户名/设置个性签名各 +10，审核通过与直接更新均触发
- 经验值变动后自动比对等级，升级时通过通知系统发送"恭喜提升至 LvX"
- 下拉菜单重构：顶部头像+用户名+LvX 等级标签，菜单项增加左侧图标，优化布局样式
- 新增 API：POST /api/level/checkin、GET /api/level/info
 2026-05-31 20:58:14 +08:00
Victor_Jay
9fe87a7003 refactor: 重写导航栏布局与交互 
- 导航项重新排序：首页、投稿、信封图标、头像下拉菜单
- 铃铛图标替换为信封图标
- 用户名/设置/退出移入头像 hover 下拉菜单
- 设置改名为个人中心，退出改名为退出登录
- 头像点击跳转 /space，hover 展开下拉菜单
- 无头像时显示用户名首字彩色圆形占位
- Avatar 数据链路打通：Session→Middleware→BuildPageData→模板
- FindByIDForAuth 查询增加 avatar 列
- 新增 substr 模板函数
 2026-05-31 16:17:35 +08:00
Victor_Jay
55c408d86c fix: 审计问题全量修复 + RateLimiter 原子化重构 + CDN 本地化收紧 
- 安全：移除 CSP 中 esm.sh/cdnjs.cloudflare.com，highlight.js 主题已本地化 73 个文件
- 安全：StatusBanned 分支补 dummy hash 防时序攻击
- 安全：手写 constantTimeEq 替换为 crypto/subtle.ConstantTimeCompare
- Bug：锁定操作消息已删除→已锁定
- YAGNI：删除 12 个空预留模板目录
- KISS：删除 common.CheckPassword 薄封装，统一用 bcrypt 调用
- KISS：删除 tokenCtrl 别名字段，api.go 统一用 authCtrl
- RateLimiter：check()+recordFail 闭包模式重构为 try() 原子操作，消除竞态
- RateLimiter：新增 ClearIP() 方法，注册成功时清除 IP 计数
- 文档：修正 audit_service.go 注释编号跳跃(3→5→4)
- 文档：修正 deps_core.go 过清理→过期清理
 2026-05-31 11:13:32 +08:00
Victor_Jay
a62039e6bb fix: 登录/注册支持 redirect 参数，未登录跳转自动携带来源页 
- login.js/register.js 登录成功后优先跳转 redirect 参数指定页面
- 新增 common.RedirectToLogin 辅助函数，自动携带当前路径
- 替换所有 9 处硬编码 /auth/login 重定向
 2026-05-31 01:23:09 +08:00
Victor_Jay
d203447eb3 feat: 设置页新增登录管理 TAB 
- Session 结构体新增 IP、UserAgent、Remark 字段，登录/注册时记录设备信息
- Store 接口新增 ListByUID、DeleteByUIDExclude 方法，MemoryStore 完整实现
- SessionManager 新增 ListByUID、DestroyOtherByUID、UpdateRemark 方法
- 新增 UA 轻量解析器（session/ua.go），提取浏览器/OS/设备类型
- 新增 settings_api_sessions.go，提供列表/踢出/一键踢出/备注 4 个 API
- 控制器层声明 sessionManager 最小接口（ISP），SettingsController 注入依赖
- Auth 中间件注入 sid 到 gin context，支持识别当前会话
- 设置页左侧导航增加登录管理入口，tab 白名单新增 sessions
- 前端实现设备列表展示（浏览器/OS/设备图标/IP/时间）、当前设备标识、备注输入、踢出按钮、一键踢出
- settings.css 新增会话管理全套样式及响应式适配
 2026-05-30 23:58:37 +08:00
Victor_Jay
e3853071d6 chore: 清理 JWT 向后兼容残留，移除全部死代码 
- 删除 5 个空壳占位文件：auth_token.go/auth_parser.go/repository.go(middleware)/token_service.go/provider.go
- 移除 Config.JWT 字段、JWTConfig 结构体、JWT_SECRET 环境变量绑定
- 移除 config.yaml 中的 jwt 配置段
- 移除 model.User.TokenVersion 字段（session DestroyByUID 替代）
- 移除 service/repository.go 中已废弃的 userTokenStore 接口
 2026-05-30 23:42:27 +08:00
Victor_Jay
d9ba1cdf28 refactor: 移除 Session 架构下已无用的 TokenVersion 即时吊销机制 
- 删除 UserRepo.IncrementTokenVersion/FindTokenVersion 方法
- 从 userAuthStore/userAdminStore 接口移除 IncrementTokenVersion
- 删除 middleware.tokenVersionStore 接口（中间件不再查询 token_version）
- auth_service: DeleteAccount/InvalidateSessions 仅调用 DestroyByUID
- admin_service: UpdateUserStatus/ResetUserToken 仅调用 DestroyByUID
- FindByIDForAuth/FindByIDUnscoped Select 移除 token_version 列
- 新架构下登出/改密/封禁统一走 sessionManager.DestroyByUID，无需 token_version
 2026-05-30 23:38:42 +08:00
Victor_Jay
daf87f895b refactor: JWT 无状态认证替换为服务端 Session，修复记住我掉线问题 
- 新增 internal/session 包：Session 结构体、Store 接口、MemoryStore（内存+后台清理）、RedisStore 预留
- Cookie 从 3 个精简为 1 个 mlb_sid（HttpOnly），移除 JWT access/refresh cookie
- 会话过期采用滑动窗口：每次请求自动续期，记住我 30 天无操作过期
- AuthMiddleware/AuthAdmin/Maintenance 中间件改用 SessionManager.Validate()
- AuthService Login/Register/ConfirmRestore 去除 token 生成，返回 *model.User
- Controller 层在登录/注册后调用 SessionManager.Create 创建会话
- AdminService UpdateUserStatus/ResetUserToken 同步销毁 session 实现即时退登
- 改密/注销时通过 DestroyByUID 删除所有 session（替换 TokenVersion 检查）
- config.yaml 新增 session 配置段（idle_timeout/remember_timeout/cleanup_interval）
- TokenService/auth_parser/auth_token 标记废弃，移除 JWT 到期字段依赖
 2026-05-30 23:36:52 +08:00
Victor_Jay
6229c81f6e feat: 新增维护模式 + 修复注册关闭页面标题显示问题 
- 修复注册关闭时标题“创建账号”和副标题仍显示的问题，三态互斥（维护中 > 关闭注册 > 正常）
- 新增 maintenance.enabled 站点设置，默认关闭，仅 Owner 可见可调节
- 维护中间件：全局拦截，维护期间仅站长可访问，白名单放行登录相关路径
- 登录服务：维护期间仅 Owner 角色可登录，Register 优先检查维护状态
- Nav 模板新增维护通知条（黄色横幅）
- 管理后台站点设置新增“启用维护模式”开关
- BuildPageData 自动注入 IsMaintenance 到所有页面模板
 2026-05-30 20:54:23 +08:00
Victor_Jay
bacfd4945d feat: 编辑器与帖子展示布局优化 + 新增个人空间 
- 编辑器投稿页布局优化：标题与编辑器高度动态适配，工具栏与内容区视觉对齐
- 稿件展示页布局优化：MD 渲染区与评论区视觉分离，代码块主题微调
- CSRF 中间件：图像上传端点豁免，解决 Vditor 拖拽/粘贴上传 403
- Post 状态映射、GetGinUser、SaveUploadedFile 提取至 common 包，遵循审计建议
- 新增个人空间功能：/space（需登录）重定向到 /space/:uid，/space/:uid 公开访问
- 空间页模板：参考 B 站布局，展示头像、用户名、个性签名、UID、加入时间及稿件列表
- 导航栏：用户名链接指向 /space，新增「设置」入口
- 分层实现：SpaceController → SpaceService → PostRepo.FindByUserID，严格 ISP 接口隔离
 2026-05-30 19:06:10 +08:00
Victor_Jay
fe81c879b0 fix: 修复代码块语法高亮丢失 + 语言标签注入 + 安全性增强 
- 新增 cdnjs.cloudflare.com CSP 白名单，允许加载 highlight.js
- 消毒策略放行 span 元素，保留 highlight.js 高亮 class
- 详情页和新帖子页引入 highlight.js 库和 GitHub 主题
- 代码块语言选择器默认 text，支持 prev/next 循环切换语言
- 代码块语言标签注入兼容 data-language 和 code class 双来源
- 修复 utils.js defer 导致 common.js 执行时 getCSRFToken 未定义
 2026-05-28 15:21:44 +08:00
Victor_Jay
69ba2fb01b refactor: ByteMD 迁移至 Tiptap WYSIWYG 编辑器 + Token 刷新优化 
- 移除 ByteMD CDN 资源和 goldmark 依赖，替换为 Tiptap ESM 模块
- 编辑器从源码编辑模式改为 WYSIWYG 所见即所得
- 移除 /api/posts/preview 预览接口（Tiptap 直接输出 HTML 无需后端渲染）
- 保留 UploadImage 图片上传接口和 bluemonday HTML 消毒
- 工具栏支持加粗、斜体、删除线、代码、标题、列表、引用、代码块、分割线、撤销/重做
- 支持图片粘贴/拖拽上传，Ctrl+S 快捷提交，F11 全屏，字数统计
- 优化 common.js：自动 401 拦截 Token 刷新，修复刷新死循环
- 草稿 localStorage 键名更新为 draft_post_body_html
 2026-05-28 11:21:53 +08:00
Victor_Jay
22a302315a feat: wangEditor 替换为 ByteMD Markdown 编辑器 
- 移除 wangEditor 5 库文件（1.27MB JS + 14KB CSS，含手动 hack）
- 集成 ByteMD 1.22.0（基于 CodeMirror 5，不依赖 contentEditable）
- 编辑器输出 Markdown 原文，后端 goldmark + bluemonday 双重防护渲染 HTML
- 删除 editor.js 中 scrollIntoView hack、code-lang-label DOM 注入、PreviewAPI 调用
- 清理 posts.css 中 ~200 行 wangEditor 样式覆盖（w-e-* 类名）
- 清理 show.html 中 code-lang-label JS 注入（goldmark 自带 language-xxx class）
- 更新 CSP 安全策略：移除 CodeMirror 注释，保留 esm.sh CDN
- go.mod：bluemonday 和 goldmark 均保留为直接依赖（纵深防御）
 2026-05-28 02:16:50 +08:00
Victor_Jay
c326cbc104 fix: 改用 importmap + esm.sh 解决 CodeMirror 多实例冲突 
- 将 import 改回 bare specifier，通过 importmap 指向 esm.sh
- esm.sh 在同一构建上下文中能识别共享依赖，确保 @codemirror/state 单例
- 消除 "Unrecognized extension value" instanceof 检查错误
 2026-05-27 19:48:01 +08:00
Victor_Jay
799ac3c95c fix: 放宽 CSP 允许 esm.sh CDN 加载 CodeMirror 6 ESM 模块 
- script-src 添加 https://esm.sh，允许 CodeMirror 6 的 ESM import 加载
- connect-src 显式设为 self，确保 Markdown 预览 fetch 请求正常
- img-src 添加 blob:，支持粘贴图片场景
 2026-05-27 19:44:59 +08:00
Victor_Jay
dfbd93c847 chore: 移除 site.brand 可配置功能，站点名称恢复硬编码 MetaLab 
考虑实际需求后，站点名称无需常改，移除前后端全部相关逻辑：
- config / middleware / helper 移除 site_brand 注入
- 页脚版权恢复硬编码 MetaLab
 2026-05-27 15:38:30 +08:00
Victor_Jay
0b948cf70f feat(admin): 站点信息 + 注册开关可后台设置，模板动态渲染 
新增 4 项可配置站点设置（DB持久化+内存缓存，即时生效）：
- site.brand          品牌名（页面标题/页脚/管理面板，默认 MetaLab）
- site.framework      框架名（页脚标识，默认 MetaZone）
- site.copyright_start 版权起始年（页脚，默认 2024）
- registration.enabled 注册开关（关闭后禁止新用户注册，默认 true）

实现方式：
- InjectSiteInfo 中间件：全局注入 Brand/Framework/CopyrightStart 到 gin.Context
- BuildPageData 读取 context，所有 SSR 页面自动获取站点信息
- AuthService.Register 最先检查 IsRegistrationEnabled()
- 管理后台新增「基本设置」+「注册设置」区块，文本输入手动保存 + Toggle 即时生效
 2026-05-27 15:12:28 +08:00
Victor_Jay
7bc2dbd970 refactor: 拆分 middleware/router 为单一职责文件，新增站点设置管理页面 
middleware:
- 拆分 auth.go → auth.go + auth_token.go + auth_parser.go + auth_admin.go
- 拆分 csrf.go → csrf.go + csrf_token.go
- 拆分 ratelimit.go → ratelimit.go + ratelimit_core.go + ratelimit_cleanup.go
- 修复 import 未使用/缺失问题

router:
- 拆分 router.go → admin.go + api.go + frontend.go + deps_core.go + deps_extra.go

feat(admin): 站点设置管理页面
- 新增 SSR 页面 /admin/site-settings（仅 Owner）
- 审核开关 Toggle 即时保存
- 通用设置展示
- 侧边栏新增站点设置入口
- 注册 UpdateBoolSetting/GetBoolSetting API 路由
 2026-05-27 15:03:04 +08:00
Victor_Jay
0800ee2f3e feat: 消息通知中心 + 账号安全体系 + Bug修复 
## 新增功能

### 消息通知中心 (全新模块)
- 新增 MessageController / NotificationService / NotificationRepo
- SSR 消息页面 (/messages)：左侧边栏 + 右侧卡片列表，noindex 元标签
- 通知能力：列表分页、单条标为已读、一键全部标为已读
- 未读数角标 (1/66/99+)：侧边栏 + 导航栏铃铛图标
- 导航栏轮询 /api/messages/unread 每 60 秒刷新未读数
- 审核通过/驳回时自动 fire-and-forget 推送通知

### 密码修改
- ChangePassword：验证当前密码 → 新密码强度校验(8位+字母+数字) → 哈希更新
- 修改后递增 token_version 强制所有设备退登

### 账号自助注销
- DeleteAccount：验证密码 → 设置 deleted 状态 → 记录原因 → 吊销 JWT
- 注销后登录二次确认：Login 检测 deleted → 返回 confirm_restore
- ConfirmRestore 恢复账号，重新签发 token
- 注销页文案："账号将在 7 天后正式注销，期间可随时重新登录恢复"

### IP 审计记录
- 注册时记录 RegIP，登录时记录 LastLoginIP + LastLoginAt
- clientIP() 支持 X-Forwarded-For / X-Real-IP 反向代理

### 安全加固
- Login 防时序攻击：用户不存在时仍执行完整 bcrypt 比对
- FindByEmail 改用 Unscoped() 覆盖软删除用户
- 站长 (owner) 不允许自主注销，避免权限体系死锁

## Bug 修复

1. 注销按钮不触发：JS IIFE 中 profile 代码 return 阻塞了 account 标签页处理器注册
   → 拆分为两层 IIFE，profile 放在内层
2. label 缺少 for 属性导致控制台警告 → 全部补充 for 属性
3. 注销后未自动退登：DeleteAccount 只设状态未吊销 JWT → 末尾加 InvalidateSessions
4. 退登后重定向 500 panic：authenticateToken 中 err||versionMismatch 合并判断
   在 err=nil 但版本不匹配时返回 (nil,nil) → 拆为两个独立判断
   injectUserContext 增加 claims==nil / 类型断言空安全守卫
5. 注销后登录直接提示"登录成功"：FindByEmail 默认 scope 排除软删除记录
   → 改用 Unscoped()

## 文件变更
- 新建 17 个文件 (消息/审核/站点设置完整模块)
- 修改 25 个文件 (认证/设置/中间件/前端)
- 统计：+3229 / -161，42 files changed
 2026-05-27 13:32:45 +08:00
Victor_Jay
c3dec09dae feat(settings): 个人资料编辑 + 头像上传/裁切 + 自定义裁切弹窗 
**新增功能：**

用户名编辑：输入框替换静态文本，白名单验证(中文/英文/数字/下划线/连字符)，前端计数器(n/16)，utf8对齐PG VARCHAR，XSS防控。

个性签名编辑：Textarea，128字符上限，实时计数器。

头像上传管线：校验→解码→裁切→CatmullRom缩放→WebP二分编码≤100KB→原子写入(.tmp→os.Rename)。限制5MB,128-3840px,JPEG/PNG/WebP。输出512x512 WebP。文件名 {uid}_{timestamp}.webp。清理旧头像。

自定义裁切弹窗：浅色主题，固定裁切框+图片平移/缩放(1×-3×滚轮)，box-shadow遮罩,三等分网格。坐标映射pan/zoom→原图像素→subImage。

CSP修复：img-src允许data:URI(FileReader预览)。

**文件变更：**
修改: README, docs/{development,structure}.md, go.{mod,sum}, cmd/server/main.go, controller/settings, middleware/security, router, templates/settings/{index.html,css}
新增: internal/service/avatar_service.go, docs/settings.md
 2026-05-27 01:03:16 +08:00
Victor_Jay
39d13993ba fix: 设计原则审查修复 — DIP/ISP, LoD, DRY, OCP, URL, 301缓存 
- P0 DIP+ISP: 全链路注入接口，消除零接口紧耦合
- P0 URL: auth 301→302，修复登出后浏览器缓存陷阱
- P1 DRY: JWT 认证逻辑收敛至 TokenService+中间件
- P2 DRY: 前后端角色/状态映射统一为 model 常量
- P2 LoD: 新增 SettingsController，router 不再跨层调 repo
- P2 URL: settings ?tab= → /settings/:tab 伪静态
- P3 OCP: 角色权限 map 化，告别硬编码 switch
 2026-05-26 21:12:19 +08:00
Victor_Jay
483fdd919f 初始化项目：基础设施 + 用户认证 + 后台管理系统 + AGPL 3.0 许可 2026-05-26 13:46:33 +08:00