AskaEth
8dd599bd97
先把「实机复测」能在这台 Linux 机器上验的全部自己验掉（真服务端 + 真 Chromium + 真样本），
六批全部通过，另挖出 16 条缺陷，逐条修完并复验：
导入
- 坏字节被静默替换成 U+FFFD 却报「组别不存在」→ 检测 RuneError 回 400 + 可操作中文文案
- UTF-16 无 BOM 误报「缺少列 event_code」→ 保守判据识别并正确解码
- CSV 语法错只有英文 → 中文提示，英文原文保留在 detail
- 表头缺列补「第 1 行应是表头」的指向
导出
- 名次列宽 8 → 11（放得下「3（并列）」，Excel 里不再硬裁）
- 运动员/队列宽 18 → 24（含奖牌明细的同一列）
- 聚合流水行补组别（仅单位在该小项只参加一个组别时回推；多组别宁可留空也不猜）
- docProps 作者从 excelize 默认的 xuri 改成中性名 + 真实导出时间
- Content-Disposition 补 ASCII 退化 filename（9 个下载端点，含此前没有测试的 project.zip）
错误分级与限流
- 未知大屏指令 500 → 400 VALIDATION_FAILED（传输层真失败仍走 5xx）
- 5xx 的 ERROR 日志补 role / ip（4xx 的 WARN 一直有）
- 写限流 30 → 120 次/分钟/用户（登录 5 次/分/IP 不动，性质不同）
- 赛事名含非法字符时导出给 400 + 可操作提示（原来永远 500「服务端异常」）
大屏与基础设施
- 实时赛况 2 栏成绩末位被裁（1:09.00 显示成 1:09.0）→ 成绩列按内容定宽 + nowrap；
字号不缩，让位给可省略号截断的运动员列。真 Chromium 实测 slack −45px → +6px、0 裁切、
scrollWidth 恒 1920（无横向滚动条）；顺带修掉 1 栏长成绩同样被裁 8px 的问题
- logging 启动即预建两个日志目录（原来 interceptions/ 懒创建，现场会以为日志坏了）
- C→S 裸帧由静默忽略改为 WARN，并把「要套 {event,data} 外壳」写进日志
- 建单位/大项漏传 active 不再静默建成「停用」（新增 decodeJSONPresence 按键是否存在判意图）
文档
- README 单位 logo 措辞收窄到「大屏端」（管理端只负责上传配置）
- 导入规范补三类编码报错说明 + 现场另存结论 + 限流提示
- 部署指南补「导出前先看赛事名称」与「切换后怎么确认真的切过去了」
- devdocs 05/08/13 同步（含第三十五轮的完整记录与教训）
自检：服务端 13 包连跑两遍全绿；前端 257 例；vue-tsc + build 通过；Console 18 文件。
版本号 dev_0.1.4 → dev_0.1.5。
88 lines
3.3 KiB
Go
88 lines
3.3 KiB
Go
package httpapi_test
|
|
|
|
import (
|
|
"fmt"
|
|
"io"
|
|
"log/slog"
|
|
"net/http"
|
|
"testing"
|
|
|
|
"golang.org/x/crypto/bcrypt"
|
|
|
|
"git.yeij.top/AskaEth/Scoreboard/server/internal/auth"
|
|
"git.yeij.top/AskaEth/Scoreboard/server/internal/httpapi"
|
|
)
|
|
|
|
// 写限流要真的拦得住（默认 120 次/分钟/用户）：
|
|
// 之前没有任何 429 用例，限流键名写错、中间件漏挂都测不出来。
|
|
// 这里把阈值压到 2，避免为了触发限流跑 31 次写请求。
|
|
func TestWriteRateLimitReturns429(t *testing.T) {
|
|
env := newTestEnvWith(t, func(o *httpapi.Options) {
|
|
o.Auth = auth.New(o.System, auth.Options{
|
|
Logger: slog.New(slog.NewTextHandler(io.Discard, nil)),
|
|
BcryptCost: bcrypt.MinCost,
|
|
WritePerMinute: 2,
|
|
})
|
|
})
|
|
env.createUser("recorder", "recorder-pass", "recorder")
|
|
client, _ := env.client()
|
|
env.login(client, "recorder", "recorder-pass")
|
|
|
|
for i := 1; i <= 2; i++ {
|
|
status, body := env.do(client, http.MethodPost, "/api/teams",
|
|
map[string]any{"code": fmt.Sprintf("T%d", i), "name": "测试单位"}, true)
|
|
if status != http.StatusOK {
|
|
t.Fatalf("第 %d 次写在阈值内应放行，得到 %d %+v", i, status, body.Error)
|
|
}
|
|
}
|
|
|
|
status, body := env.do(client, http.MethodPost, "/api/teams",
|
|
map[string]any{"code": "T9", "name": "超限单位"}, true)
|
|
if status != http.StatusTooManyRequests {
|
|
t.Fatalf("超出阈值应 429，得到 %d %+v", status, body.Error)
|
|
}
|
|
if body.Error == nil || body.Error.Code != "RATE_LIMITED" {
|
|
t.Fatalf("429 的错误码应为 RATE_LIMITED，得到 %+v", body.Error)
|
|
}
|
|
|
|
// 读操作不占写配额：限流只管写，不然大屏轮询会把录入员挤掉。
|
|
if status, _ := env.do(client, http.MethodGet, "/api/teams", nil, false); status != http.StatusOK {
|
|
t.Fatalf("读操作不该被写限流拦住，得到 %d", status)
|
|
}
|
|
}
|
|
|
|
// CSRF 的反向用例：已登录用户写了但没带（或带错）X-CSRF-Token，必须 403。
|
|
// 只有正例的话，「忘了校验」和「校验通过」看起来一模一样。
|
|
func TestCSRFRejectsWriteWithoutToken(t *testing.T) {
|
|
env := newTestEnv(t)
|
|
env.createUser("recorder", "recorder-pass", "recorder")
|
|
client, _ := env.client()
|
|
env.login(client, "recorder", "recorder-pass")
|
|
|
|
status, body := env.do(client, http.MethodPost, "/api/teams",
|
|
map[string]any{"code": "C1", "name": "缺 token 的单位"}, false)
|
|
if status != http.StatusForbidden {
|
|
t.Fatalf("缺 CSRF token 的写请求应 403，得到 %d %+v", status, body.Error)
|
|
}
|
|
if body.Error == nil || body.Error.Code != "FORBIDDEN" {
|
|
t.Fatalf("403 的错误码应为 FORBIDDEN，得到 %+v", body.Error)
|
|
}
|
|
|
|
// 带一个与 Cookie 不一致的 token 同样要拦，且数据不能落库。
|
|
status, _ = env.doH(client, http.MethodPost, "/api/teams",
|
|
map[string]any{"code": "C2", "name": "错 token 的单位"}, false,
|
|
map[string]string{"X-CSRF-Token": "not-the-cookie-value"})
|
|
if status != http.StatusForbidden {
|
|
t.Fatalf("CSRF token 不匹配应 403，得到 %d", status)
|
|
}
|
|
status, list := env.do(client, http.MethodGet, "/api/teams", nil, false)
|
|
if status != http.StatusOK {
|
|
t.Fatalf("读取单位列表失败，得到 %d", status)
|
|
}
|
|
for _, team := range decodeData[[]map[string]any](t, list) {
|
|
if code, _ := team["code"].(string); code == "C1" || code == "C2" {
|
|
t.Fatalf("被 CSRF 拦下的请求不该写进库：%+v", team)
|
|
}
|
|
}
|
|
}
|