AskaEth
13f1f03cd0
P0（9 条全修）： - 多通道项目奖牌重复计数：domain 层按 (EventID,CategoryID,EntryID/Subject) 去重， 通道优先级 athlete→team→id - 「只排名不计分」项目（scored:false）不再进奖牌榜，REST/WS/导出口径统一 - aggregate 流水 entry_id 恒 NULL 导致重算后分数翻倍：作废范围改按 event+category 定位 - 已发布成绩仍可被「存草稿」覆盖并清空 rank：服务端 409 STATE_INVALID + 前端禁编辑 - voidResult / 规则导入重算后名次不回写：接住 Ranked 调 applyComputedRanks - 赛事包覆盖导入可能「旧项目已删、新项目没成」：先改名成功再清理，失败回滚 - 导入赛事包可覆盖正在运行的赛事目录：name==当前项目直接 400 - Console spawn 失败后守护器永久卡死：清 child/pid + 调度重启 + stop 超时兜底 - /ws 快照向非 admin 下发 admin-only 配置：按角色裁剪 settings P1（计分口径 / 契约 / 现场）： - standings.tieBreak 三处接线；profiles[].recordBonusMode 生效；破纪录校验 RecordEligible 与 entry 归属；破纪录登记校验已发布成绩 - export.loadRanked 与主路径对齐；ListBackups reason 解析；CLI backup 前缀修正 （原来只增不减会撑爆磁盘）；单位积分明细/导出统一权重折算；停用单位展示 - 规则导入原子化（重算并入同一事务）+ 返回 compatible/affectedEventCount/ recalculatedLedgerRows；登录审计 user_id 修正 - WS 策略性断开用 Close(code,reason)；HelloMessage 补 page/instanceId； 实例注册表清理；settings/单位/项目写操作补 change_log 触发大屏刷新 - 大屏：全量快照不再被版本守卫丢弃；个人积分榜刷新；公告返回页/轮播；行数截断； REST 竞态；1008 停止重连；握手超时；时区补 Z；401 仅 AUTH_REQUIRED 才登出 - 管理端：published 行禁编辑；saveDraft 补 unit（1:06.33 显示）；前端预览改用服务端 points；空成绩行不再恒「已修改」；修订详情按 id 拉取；切项目请求序号与 dirty 保护； 发布后刷新项目状态；NAV/路由按角色过滤；recorder 不再打 admin-only 接口 - Console：大屏窗口销毁后重建；大屏 URL 复用 host 归一化；backup.bat 改纯 ASCII （已在 Meowhome 实跑验证） 自检：服务端 gofmt/build/vet 通过、12 包测试全绿；前端 vue-tsc + build 通过、 node --test 24/24；console check-syntax 12 文件通过。
88 lines
3.0 KiB
Go
88 lines
3.0 KiB
Go
package httpapi_test
|
|
|
|
import (
|
|
"database/sql"
|
|
"fmt"
|
|
"net/http"
|
|
"strings"
|
|
"testing"
|
|
|
|
"git.yeij.top/AskaEth/Scoreboard/server/internal/auth"
|
|
)
|
|
|
|
// 登录审计必须落在真实用户上：请求 ctx 里仍是 guest，靠 AuditEntry.ActorID 补（P1-13）。
|
|
func TestLoginAuditRecordsUserID(t *testing.T) {
|
|
env := newTestEnv(t)
|
|
userID := env.createUser("recorder", "recorder-pass", "recorder")
|
|
client, _ := env.client()
|
|
env.login(client, "recorder", "recorder-pass")
|
|
|
|
var auditUser sql.NullInt64
|
|
if err := env.ev.QueryRow(
|
|
`SELECT user_id FROM audit_logs WHERE action = 'auth.login' ORDER BY id DESC LIMIT 1`).Scan(&auditUser); err != nil {
|
|
t.Fatalf("查询登录审计: %v", err)
|
|
}
|
|
if !auditUser.Valid || auditUser.Int64 != userID {
|
|
t.Fatalf("登录审计 user_id 应为 %d，得到 %+v", userID, auditUser)
|
|
}
|
|
|
|
// 按 userId 过滤必须能查到这条登录记录。
|
|
env.createUser("admin", "admin-pass", "admin")
|
|
adminClient, _ := env.client()
|
|
env.login(adminClient, "admin", "admin-pass")
|
|
_, env2 := env.do(adminClient, http.MethodGet, fmt.Sprintf("/api/audit-logs?userId=%d", userID), nil, false)
|
|
page := decodeData[map[string]any](t, env2)
|
|
items, _ := page["items"].([]any)
|
|
found := false
|
|
for _, raw := range items {
|
|
item, ok := raw.(map[string]any)
|
|
if !ok {
|
|
continue
|
|
}
|
|
if item["action"] == "auth.login" && item["userId"] == float64(userID) {
|
|
found = true
|
|
}
|
|
}
|
|
if !found {
|
|
t.Fatalf("按 userId 过滤应能查到登录审计，得到 %+v", items)
|
|
}
|
|
}
|
|
|
|
// 跨站登录（login CSRF）必须被同源校验挡住（P2-6）。
|
|
func TestLoginRejectsCrossOrigin(t *testing.T) {
|
|
env := newTestEnv(t)
|
|
env.createUser("recorder", "recorder-pass", "recorder")
|
|
client, _ := env.client()
|
|
|
|
body := map[string]any{"username": "recorder", "password": "recorder-pass"}
|
|
status, env2 := env.doH(client, http.MethodPost, "/api/auth/login", body, false,
|
|
map[string]string{"Origin": "http://evil.example"})
|
|
if status != http.StatusForbidden || env2.Error == nil || env2.Error.Code != "FORBIDDEN" {
|
|
t.Fatalf("跨站登录应 403 FORBIDDEN，得到 %d %+v", status, env2.Error)
|
|
}
|
|
|
|
// 同源（Origin 与 Host 一致）仍可登录。
|
|
status, env2 = env.doH(client, http.MethodPost, "/api/auth/login", body, false,
|
|
map[string]string{"Origin": env.server.URL})
|
|
if status != http.StatusOK || !env2.OK {
|
|
t.Fatalf("同源登录应 200，得到 %d %+v", status, env2.Error)
|
|
}
|
|
}
|
|
|
|
// 超过 bcrypt 72 字节上限的新密码必须 400，而不是被静默截断（P2-6）。
|
|
func TestChangePasswordRejectsTooLong(t *testing.T) {
|
|
env := newTestEnv(t)
|
|
env.createUser("recorder", "recorder-pass", "recorder")
|
|
client, _ := env.client()
|
|
env.login(client, "recorder", "recorder-pass")
|
|
|
|
tooLong := strings.Repeat("a", auth.MaxPasswordBytes+1)
|
|
status, env2 := env.do(client, http.MethodPost, "/api/auth/password", map[string]any{
|
|
"currentPassword": "recorder-pass",
|
|
"newPassword": tooLong,
|
|
}, true)
|
|
if status != http.StatusBadRequest {
|
|
t.Fatalf("超长新密码应 400，得到 %d %+v", status, env2.Error)
|
|
}
|
|
}
|