go_blog

61 Commits 12 Branches 0 Tags

3 Commits

Include renames

Author	SHA1	Message	Date
kevin	856d414295	feat: 用户管理接口 JSON 化——/api/admin/users CRUD - admin_user.go：userForm 加 json tags，parseUserFormJSON（绑定+去白， ID 取路由参数）；UserCreate/Update/Delete 校验错误改 APIError （400 校验、409 user_username_exists、403 自防/最后管理员、404 user_not_found、500），成功 {ok,redirect:?saved=1&msg=...} - i18n：新增 user_not_found（中英） - main.go：旧 POST /admin/users/new\|:id/edit\|:id/delete 移除，改 POST/PUT/DELETE /api/admin/users[/:id]（自防屏障保留） - user_form.html：表单改 blogAPI（FormID 分流 POST/PUT），错误内联 - user_list.html：删除改 blogDelete 委托 - p2/security 测试：环境路由同步 + 用户校验/注入用例改 JSON 断言（TestAdminUserPasswordAndEmailEnforcement、TestAdminUserRoutesRejectNonNumericIDs） - main_test 冒烟补用户 API 断言；go build/vet/test 全绿	2026-08-27 19:44:09 +08:00
kevin	38cd09f723	fix: 安全加固，修复 P0/P1 安全漏洞 P0（高危）: - 新增全局 CSRF 中间件（同步器令牌），覆盖全部 30 个表单与 AJAX 请求 - 修复附件上传/列表/删除越权（IDOR），增加 admin/上传者/文章作者所有权校验 - 登录/注册成功后会话轮换，修复会话固定 - 会话密钥改用 crypto/rand 生成，配置缺失 secret 时拒绝启动 P1（中危）: - session 与 comment_uid cookie 增加 Secure/SameSite 标志 - 新增安全响应头：CSP、X-Content-Type-Options、X-Frame-Options、HSTS 等 - 新增 web.trusted_proxies 配置，修复 X-Forwarded-For 伪造 - 修复浏览量记录 goroutine 访问已回收 gin.Context 的数据竞争补充 17 个安全回归测试（middleware/handlers），go test -race 全绿	2026-08-19 12:33:09 +08:00
kevin	cefaeac618	feat: add admin user management with role-based access and self-protection - Add AdminRequired middleware for admin-role routes - Add login status check to reject disabled/locked accounts - Add CRUD handlers (list, create, edit, delete) for users - Add user_list and user_form templates with role/status badges - Add nav entry and dashboard button for user management - Add dynamic user count on admin dashboard - Fix userIDFromSession to handle all numeric session types - Self-protection: cannot delete/disable self or demote last admin - Add EN/ZH i18n keys for all user management strings	2026-06-22 18:11:39 +08:00

Author

SHA1

Message

Date

kevin

856d414295

feat: 用户管理接口 JSON 化——/api/admin/users CRUD

- admin_user.go：userForm 加 json tags，parseUserFormJSON（绑定+去白，
  ID 取路由参数）；UserCreate/Update/Delete 校验错误改 APIError
  （400 校验、409 user_username_exists、403 自防/最后管理员、404
  user_not_found、500），成功 {ok,redirect:?saved=1&msg=...}
- i18n：新增 user_not_found（中英）
- main.go：旧 POST /admin/users/new|:id/edit|:id/delete 移除，
  改 POST/PUT/DELETE /api/admin/users[/:id]（自防屏障保留）
- user_form.html：表单改 blogAPI（FormID 分流 POST/PUT），错误内联
- user_list.html：删除改 blogDelete 委托
- p2/security 测试：环境路由同步 + 用户校验/注入用例改 JSON 断言
  （TestAdminUserPasswordAndEmailEnforcement、TestAdminUserRoutesRejectNonNumericIDs）
- main_test 冒烟补用户 API 断言；go build/vet/test 全绿

2026-08-27 19:44:09 +08:00

kevin

38cd09f723

fix: 安全加固，修复 P0/P1 安全漏洞

P0（高危）:
- 新增全局 CSRF 中间件（同步器令牌），覆盖全部 30 个表单与 AJAX 请求
- 修复附件上传/列表/删除越权（IDOR），增加 admin/上传者/文章作者所有权校验
- 登录/注册成功后会话轮换，修复会话固定
- 会话密钥改用 crypto/rand 生成，配置缺失 secret 时拒绝启动

P1（中危）:
- session 与 comment_uid cookie 增加 Secure/SameSite 标志
- 新增安全响应头：CSP、X-Content-Type-Options、X-Frame-Options、HSTS 等
- 新增 web.trusted_proxies 配置，修复 X-Forwarded-For 伪造
- 修复浏览量记录 goroutine 访问已回收 gin.Context 的数据竞争

补充 17 个安全回归测试（middleware/handlers），go test -race 全绿

2026-08-19 12:33:09 +08:00

kevin

cefaeac618

feat: add admin user management with role-based access and self-protection

- Add AdminRequired middleware for admin-role routes
- Add login status check to reject disabled/locked accounts
- Add CRUD handlers (list, create, edit, delete) for users
- Add user_list and user_form templates with role/status badges
- Add nav entry and dashboard button for user management
- Add dynamic user count on admin dashboard
- Fix userIDFromSession to handle all numeric session types
- Self-protection: cannot delete/disable self or demote last admin
- Add EN/ZH i18n keys for all user management strings

2026-06-22 18:11:39 +08:00