duxingchen 8c54a38f55 security: API鉴权补全 + SQL拼接隐患消除 ...

1. materials.py
   - get_material_groups和get_material_items补全Depends(get_current_user)
   - 移除TYPE_FILTER="1=1"死代码及4处f-string SQL拼接
   - 全部SQL改为纯参数化text()查询

2. notifications.py
   - list_notifications废弃user_id查询参数（越权漏洞）
   - user_id强制从JWT Token解析，防止篡改参数偷看他人通知
   - mark_notification_read补全鉴权

2026-08-12 12:03:12 +08:00

..

v1

security: API鉴权补全 + SQL拼接隐患消除

2026-08-12 12:03:12 +08:00

__init__.py

初始提交：项目基础结构

2026-08-04 10:05:59 +08:00