a620906209/CFDivePlatform
0
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
89 Commits 1 Branch 0 Tags
3c38d085bdc435c657a18be622ae596134e8a95e
Commit Graph

9 Commits

Author SHA1 Message Date
a620906209 3c38d085bd feat(offers): 未驗證教練的課程不對公開端點曝光 
is_verified 原本只有 Admin toggle 開關、無任何業務約束（稽核 P1-1）。
- DivingOffer 新增 visibleToPublic scope：provider_id null 或教練已驗證
- 公開 index/show 套用過濾，未驗證教練課程列表排除、詳情 404
- toggle-verified 後 flush diving_offers 快取標籤，切換立即生效
- 新增 provider-verification 規格（含已知限制註記）與 7 條可見性測試

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
 2026-06-11 17:42:43 +08:00
a620906209 aeb8c975e2 security(auth): 移除公開 admin/register 端點，改由 app:create-admin 建立管理員 
P0 漏洞：原 POST /api/admin/register 無任何防護，任何人可註冊管理員帳號。
- 移除路由、AuthController::registerAdmin、對應 Swagger 文件
- 新增 app:create-admin artisan command（密碼門檻 min:8）
- 補 AdminAccountCreationTest 防止端點被重新打開
- 同步 admin-auth 規格，並收錄 2026-06-11 稽核報告與路線圖文檔

Co-Authored-By: Claude Fable 5 <noreply@anthropic.com>
 2026-06-11 17:36:33 +08:00
a620906209 6f446f601f test(auth): 新增三角色登入/註冊/登出、P2 帳號鎖定、OAuth state 驗證測試 
新增 34 個 Feature 測試（AuthLoginTest 19、AuthLockoutTest 11、
AuthOAuthTest 4）涵蓋 member/provider/admin 的註冊、登入、登出與跨角色
隔離；P2 帳號鎖定的 Fixed Window 計數、companion cache key 與 email
正規化；以及 P2 OAuth state 的 CSRF 驗證與一次性消耗。

同時新增 .gitea/workflows/test.yml 在 push/PR 時於 CI 自動執行測試
（含 GD 等擴充套件安裝），並補上對應的 OpenSpec 變更文件
（proposal/design/spec/tasks，34 項驗收情境與測試 1:1 對應）。

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>
 2026-06-08 04:01:33 +08:00
a620906209 0dabc4ebb5 fix(test): 修正 AuthRateLimitTest 過期的 throttle 門檻斷言 
commit 2a0e9255（P2 帳號鎖定上線）已將 member/provider 登入的 IP throttle
從 5,1 調整為 10,1（避免 IP throttle 搶在帳號鎖定的 423 之前觸發 429），
但測試的迴圈次數與註解仍停留在舊版 5,1，導致預期 429 卻收到 401。
同步將迴圈次數改為 10、區塊註解改為 throttle:10,1，使其對齊現行設定。

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>
 2026-06-08 04:01:20 +08:00
a620906209 d9f0fe11c6 security(auth): P1 Token Refresh + sessionStorage 
- 新增三個 refresh 端點（member/provider/admin），revoke 舊 token 發行新 7 天 token
- axios.js / coachAxios.js：401 interceptor 改為 refresh-then-retry，含 isRefreshing queue 防並發、isRedirecting flag 防雙重 redirect
- auth.js / coachAuth.js / AuthCallbackView.vue：localStorage 全改為 sessionStorage
- echo.js / notificationAxios.js：同步改為 sessionStorage
- notifications.js：401 時停止 polling（stopPolling），不印 error log
- 新增 TokenRefreshTest.php（11 tests / 24 assertions）：refresh 成功/失效/跨角色 403

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>
 2026-06-02 04:33:35 +08:00
a620906209 cb9c9a9385 security(auth): P0 認證安全強化 
- Token 過期時間設為 7 天（sanctum.php expiration）
- prune-expired 每日排程清除過期 token 記錄
- Google OAuth redirect 改用 URL fragment（#token=）避免 token 出現在 server log
- SocialAuthController env() 改 config() 修正 config:cache 下 redirect 失效問題
- 登入端點加 rate limiting：member/provider throttle:5,1，admin throttle:3,1
- axios/coachAxios 加 401 response interceptor，token 過期自動登出
- 修正 migration SQLite 相容性（MODIFY COLUMN），Feature tests 從 7 通過恢復至 41
- 新增 AuthRateLimitTest（5 tests）驗證各角色頻率限制行為

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>
 2026-06-02 01:54:40 +08:00
a620906209 0bce40a5bf feat:實作通知系統 — 站內通知、Email 通知、Polling 機制 
後端
- 新增 6 個 Notification class（預約建立/確認/拒絕/取消/完成、收到評價），database + mail 雙 channel
- 新增 NotificationController（list / unread-count / markRead / markAllRead / destroy）
- 整合通知觸發至 MemberBookingController、ProviderBookingController、CompleteFinishedBookings、ReviewController
- 新增 notifications / jobs / failed_jobs migration
- Docker Compose 加入 queue-worker、mailpit service
- DivingOffer 補上 provider() 關聯

前端
- 新增 notificationStore（Polling 30s/60s 自適應 + Page Visibility API）
- 新增 NotificationBell（未讀 Badge）、NotificationDrawer（側邊通知中心）
- main.js：auth store init 前置於 router.use()，修正 beforeEach guard 時序問題
- notificationAxios：依路徑動態選擇 member/coach token
- NotificationDrawer：改用 new URL().pathname 提取 action_url 路徑

OpenSpec
- 歸檔 notification-system change
- 同步 notification-core / notification-email / notification-triggers specs 至主規格
- 更新 booking-lifecycle / review-lifecycle spec（補充通知觸發 requirement）

Co-Authored-By: Claude Sonnet 4.6 (1M context) <noreply@anthropic.com>
 2026-05-17 22:26:14 +08:00
a620906209 ca2ed14de3 feat:實作課程圖片上傳 — 封面 + 相簿管理 
後端：
- Migration：diving_offers 新增 cover_image 欄位、新增 course_images 表（含索引）
- CourseImage Model（CREATED_AT、url accessor）
- DivingOffer：cover_image_url accessor、hasMany courseImages、static::deleting() 孤兒清理
- CourseImageController：封面上傳/刪除、相簿上傳（max 3）/刪除，統一 mimes+size 驗證
- DivingOfferController：index/show 回傳加入 cover_image_url 與 images 陣列
- 修正 APP_URL 加入 port（:8080），Storage::url() 才能產生正確圖片連結

前端：
- courseImageApi.js：uploadCover/deleteCover/uploadImage/deleteImage
- CourseCard：有封面顯示 <img>，無封面顯示漸層佔位
- CourseDetailView：封面大圖 + 相簿縮圖橫列（點擊開新分頁）
- OfferFormView（編輯模式）：封面預覽/更換/刪除、相簿縮圖管理（達 3 張隱藏上傳按鈕）

基礎設施：
- docker-entrypoint.sh：加入 storage:link --force
- docker-compose.yml：移除 storage-data named volume（改用 bind mount，避免 Nginx 讀不到圖片）

測試：
- CourseImageTest.php：14 個 Feature Test 全部 PASS（Storage::fake）
  涵蓋：上傳成功/格式驗證/大小驗證/所有權、刪除/無封面不報錯、
        相簿上限/sort_order 遞增、孤兒清理

OpenSpec：
- course-images change 歸檔至 archive/2026-05-12-course-images
- 新增 specs/course-image-upload 主規格（含 bind mount 持久化說明）

Co-Authored-By: Claude Sonnet 4.6 (1M context) <noreply@anthropic.com>
 2026-05-12 03:54:45 +08:00
a620906209 3d7660a24c init 2025-05-11 03:45:17 +08:00