 kurihada
|
ce76980fe5
|
refactor(P0): JWT 认证、并发安全、错误日志三项安全加固
- 新增 JWT httpOnly cookie 认证链路 (jose)，登录/注册签发 token，
所有用户和盲盒 API 改为从 cookie 提取 userId，不再信任客户端传值
- 新增 /api/auth/logout 端点清除认证 cookie
- GET /api/user 区分 owner/非 owner，非 owner 不暴露 email
- atomicUpdateRoom 新增 per-room 应用层互斥锁，防止 SQLite 下并发 lost update
- 修复 getRoomData 中 fire-and-forget delete 改为 await
- 37 个静默 catch 块跨 17 个文件添加 console.error 日志
- 新增 REFACTOR_PLAN.md 全景分析文档
|
2026-03-02 17:24:26 +08:00 |
|
|
kurihada
|
9c7f18e0fa
|
fix: 用户名唯一性竞态处理 + 密码长度上限 + JSON.parse 安全
- #6: register/user PUT 捕获 P2002 返回 409，apiHandler 全局兜底
- #8: GET /api/user 的 JSON.parse(preferences) 加 try/catch 防崩溃
- #12: 密码校验加 128 字符上限防 DoS
- #29: ApiError.name 设为 "ApiError" 便于调试
|
2026-02-26 20:14:02 +08:00 |
|
|
kurihada
|
1229bb849b
|
refactor: 提取 validation.ts 和 amap.ts，统一 API 路由校验逻辑
新增 validation.ts（用户名/密码/邮箱/内容/房间名/必填字段校验）
和 amap.ts（AMAP API key 校验），消除 7 个路由中的重复验证代码。
|
2026-02-26 19:22:17 +08:00 |
|
|
kurihada
|
0595887480
|
refactor: 引入 apiHandler + ApiError，消除 20 个路由的 try/catch 样板
- 新增 src/lib/api.ts：ApiError 错误类 + apiHandler 统一包装器
- 20 个 API 路由统一使用 apiHandler，删除重复的 try/catch 块
- 验证错误改用 throw new ApiError()，减少嵌套层级
- join/manage 路由的错误码映射改为直接抛出 ApiError
- 删除已无引用的 errorResponse 辅助函数
- 净减 273 行代码
|
2026-02-26 18:08:47 +08:00 |
|
|
kurihada
|
04c7b547aa
|
feat: 用户名密码登录注册系统
- 新增 /api/auth/register 和 /api/auth/login 接口，使用 bcryptjs 哈希密码
- User 模型改为 username + passwordHash，id 自动生成 cuid
- 新增 AuthModal 组件（登录/注册双标签页），替换旧的 ProfileSetupModal
- 重写 /profile 页面：支持修改用户名、密码、头像、绑定邮箱、退出登录
- /api/user PUT 支持密码修改（需验证当前密码）和用户名唯一性校验
- 游客模式保留，右上角显示"登录"按钮；登录后显示头像和用户名
- 全局 nickname -> username 重命名（types、SwipeDeck、RoomManageModal、buildRoomStatus）
- 新增 logout() 清除登录态并重新生成游客 UUID
|
2026-02-25 00:21:03 +08:00 |
|