track

duxingchen/track

Fork 0

Commit Graph

Author	SHA1	Message	Date
duxingchen	8c54a38f55	security: API鉴权补全 + SQL拼接隐患消除 1. materials.py - get_material_groups和get_material_items补全Depends(get_current_user) - 移除TYPE_FILTER="1=1"死代码及4处f-string SQL拼接 - 全部SQL改为纯参数化text()查询 2. notifications.py - list_notifications废弃user_id查询参数（越权漏洞） - user_id强制从JWT Token解析，防止篡改参数偷看他人通知 - mark_notification_read补全鉴权	2026-08-12 12:03:12 +08:00
duxingchen	40a2d87345	fix: 消息通知页不能点进详情 — 补全 product_serial_number 问题: 点击通知卡片跳转 detail?taskId=xxx，但 detail.vue onLoad 只认 serial 参数导致空白页修复: 1. 后端 NotificationResponse 新增 product_serial_number 字段 2. 后端 notifications API 联表 tasks+products 批量填充 serial 3. 前端 notify/index.vue handleCardTap 优先用 product_serial_number 跳转，兜底从 content 正则解析 4. 前端 detail.vue onLoad 新增 taskId 兜底 → doQueryByTask 反查 product_sn	2026-08-11 15:56:25 +08:00
duxingchen	b71c5a2d07	feat: 双Token认证(Access 2h/Refresh 7d) + 通知系统(转交/驳回自动推送)	2026-08-07 11:44:04 +08:00

Author

SHA1

Message

Date

duxingchen

8c54a38f55

security: API鉴权补全 + SQL拼接隐患消除

1. materials.py
   - get_material_groups和get_material_items补全Depends(get_current_user)
   - 移除TYPE_FILTER="1=1"死代码及4处f-string SQL拼接
   - 全部SQL改为纯参数化text()查询

2. notifications.py
   - list_notifications废弃user_id查询参数（越权漏洞）
   - user_id强制从JWT Token解析，防止篡改参数偷看他人通知
   - mark_notification_read补全鉴权

2026-08-12 12:03:12 +08:00

duxingchen

40a2d87345

fix: 消息通知页不能点进详情 — 补全 product_serial_number

问题: 点击通知卡片跳转 detail?taskId=xxx，但 detail.vue onLoad 只认 serial 参数导致空白页

修复:
1. 后端 NotificationResponse 新增 product_serial_number 字段
2. 后端 notifications API 联表 tasks+products 批量填充 serial
3. 前端 notify/index.vue handleCardTap 优先用 product_serial_number 跳转，兜底从 content 正则解析
4. 前端 detail.vue onLoad 新增 taskId 兜底 → doQueryByTask 反查 product_sn

2026-08-11 15:56:25 +08:00

duxingchen

b71c5a2d07

feat: 双Token认证(Access 2h/Refresh 7d) + 通知系统(转交/驳回自动推送)

2026-08-07 11:44:04 +08:00

3 Commits