 a620906209
|
d3a0d300c6
|
docs(openspec): 規格清理——補 Purpose、修正前端 repo 描述、補 admin 查詢端點
- auth-test-coverage：補歸檔後遺留的 TBD Purpose
- member-portal-ui：前端實際位於本 repo frontend/，修正獨立 repo 描述
- admin-auth：補 check-member / check-provider 端點規格
Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
|
2026-06-11 17:49:00 +08:00 |
|
|
a620906209
|
aeb8c975e2
|
security(auth): 移除公開 admin/register 端點，改由 app:create-admin 建立管理員
P0 漏洞：原 POST /api/admin/register 無任何防護，任何人可註冊管理員帳號。
- 移除路由、AuthController::registerAdmin、對應 Swagger 文件
- 新增 app:create-admin artisan command（密碼門檻 min:8）
- 補 AdminAccountCreationTest 防止端點被重新打開
- 同步 admin-auth 規格，並收錄 2026-06-11 稽核報告與路線圖文檔
Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
|
2026-06-11 17:36:33 +08:00 |
|
|
a620906209
|
d9f0fe11c6
|
security(auth): P1 Token Refresh + sessionStorage
- 新增三個 refresh 端點（member/provider/admin），revoke 舊 token 發行新 7 天 token
- axios.js / coachAxios.js：401 interceptor 改為 refresh-then-retry，含 isRefreshing queue 防並發、isRedirecting flag 防雙重 redirect
- auth.js / coachAuth.js / AuthCallbackView.vue：localStorage 全改為 sessionStorage
- echo.js / notificationAxios.js：同步改為 sessionStorage
- notifications.js：401 時停止 polling（stopPolling），不印 error log
- 新增 TokenRefreshTest.php（11 tests / 24 assertions）：refresh 成功/失效/跨角色 403
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>
|
2026-06-02 04:33:35 +08:00 |
|
|
a620906209
|
cb9c9a9385
|
security(auth): P0 認證安全強化
- Token 過期時間設為 7 天（sanctum.php expiration）
- prune-expired 每日排程清除過期 token 記錄
- Google OAuth redirect 改用 URL fragment（#token=）避免 token 出現在 server log
- SocialAuthController env() 改 config() 修正 config:cache 下 redirect 失效問題
- 登入端點加 rate limiting：member/provider throttle:5,1，admin throttle:3,1
- axios/coachAxios 加 401 response interceptor，token 過期自動登出
- 修正 migration SQLite 相容性（MODIFY COLUMN），Feature tests 從 7 通過恢復至 41
- 新增 AuthRateLimitTest（5 tests）驗證各角色頻率限制行為
Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>
|
2026-06-02 01:54:40 +08:00 |
|
|
a620906209
|
24145419b0
|
feat:實作 Admin Panel — 平台管理後台
後端：
- AdminStatsController：總會員/教練/課程數統計 API
- AdminUserController：會員與教練列表、詳情、啟用/停用、教練驗證（toggle 反轉語意）
- AdminOfferController：全平台課程列表與刪除
- routes/api.php：新增 /api/admin/stats、members、providers、offers 等路由
前端（frontend/）：
- adminAuth store、adminAxios（第三套獨立認證）
- /admin/* 路由群組 + requiresAdmin guard
- AdminNavBar、AdminLayout
- App.vue：isCoachPage → isBackofficePage（/coach/* 和 /admin/* 皆隱藏會員 NavBar）
- LoginView、DashboardView（統計卡片）
- MembersView、ProvidersView（含驗證操作）、OffersView（含刪除確認）
OpenSpec：
- 新增 specs：admin-auth / admin-user-management / admin-offer-management / admin-stats / admin-panel-ui
- 歸檔：openspec/changes/archive/2026-05-10-admin-panel
Co-Authored-By: Claude Sonnet 4.6 (1M context) <noreply@anthropic.com>
|
2026-05-10 04:07:13 +08:00 |
|