dsh f39f0f4320 fix: SECURITY_TODO #30 最后管理员防线事务化，消除 TOCTOU 竞态 ...

UserUpdate/UserDelete 的 adminCount<=1 计数与 Save/Delete 非原子，两个
并发的'降级/删除倒数第二位管理员'请求可同时通过检查，站点失去管理员
（MySQL 下真实窗口；SQLite 单写锁下窗口极小）。

- handlers/admin_user.go: 检查+写入包进 db.Transaction；
  ensureNotLastAdmin 在事务内锁定管理员集合后再计数：
  MySQL 用 SELECT ... FOR UPDATE（gorm clause.Locking）串行化
  并发事务；SQLite 无 FOR UPDATE，叠加进程内互斥锁 lastAdminMu
  （应用按设计单实例部署），计数在写锁串行化后重读
- 顺带修正：原实现中 f.Role 覆盖 user.Role 后检查恒为 true 的语义
  保留（基于原角色判定），避免降级检查被新值掩盖
- 测试: TestConcurrentLastAdminDowngrade（两位管理员并发降级：
  恰好 1 成功 1 拒绝、最终至少保留一位管理员；-race 通过）

2026-08-27 21:45:03 +08:00

..

admin_analytics.go

docs: 全部 Go 代码注释汉化

2026-08-27 19:03:03 +08:00

admin_comment.go

feat: 评论接口 JSON 化——/api/article/:slug/comments 与 admin 审核操作

2026-08-27 19:36:09 +08:00

admin_user.go

fix: SECURITY_TODO #30 最后管理员防线事务化，消除 TOCTOU 竞态

2026-08-27 21:45:03 +08:00

admin.go

docs: 全部 Go 代码注释汉化

2026-08-27 19:03:03 +08:00

api_test.go

test: 新增 api_test.go——/api 认证/越权/文章/评论/注册端到端断言

2026-08-27 19:59:25 +08:00

api.go

fix: 完成 P0 安全修复 #26——请求体大小限制防未认证内存耗尽 DoS

2026-08-27 21:23:19 +08:00

article.go

feat: 文章 CRUD 接口 JSON 化——/api/admin|my/articles

2026-08-27 19:40:02 +08:00

attachment.go

docs: 全部 Go 代码注释汉化

2026-08-27 19:03:03 +08:00

auth.go

fix: SECURITY_TODO #27 注册接口按 IP 限流（10 次/小时）防批量注册

2026-08-27 21:38:49 +08:00

bodylimit_test.go

fix: 完成 P0 安全修复 #26——请求体大小限制防未认证内存耗尽 DoS

2026-08-27 21:23:19 +08:00

comment.go

fix: SECURITY_TODO #28 评论提交按 IP 限流（5 条/分钟）防灌水刷屏

2026-08-27 21:39:28 +08:00

helpers.go

feat: footer 显示 Git 提交版本与编译时间（-ldflags 注入 buildinfo）

2026-08-27 20:14:28 +08:00

home.go

docs: 全部 Go 代码注释汉化

2026-08-27 19:03:03 +08:00

last_admin_test.go

fix: SECURITY_TODO #30 最后管理员防线事务化，消除 TOCTOU 竞态

2026-08-27 21:45:03 +08:00

login_ratelimit.go

feat: API 基建——/api JSON 接口统一契约与认证分支

2026-08-27 19:24:43 +08:00

my_articles.go

feat: 文章 CRUD 接口 JSON 化——/api/admin|my/articles

2026-08-27 19:40:02 +08:00

p2_validation_test.go

feat: 个人资料接口 JSON 化——POST /api/profile

2026-08-27 19:56:03 +08:00

p3_upload_test.go

test: 新增 api_test.go——/api 认证/越权/文章/评论/注册端到端断言

2026-08-27 19:59:25 +08:00

profile.go

feat: 个人资料接口 JSON 化——POST /api/profile

2026-08-27 19:56:03 +08:00

rate_limit.go

fix: SECURITY_TODO #27 注册接口按 IP 限流（10 次/小时）防批量注册

2026-08-27 21:38:49 +08:00

ratelimit_test.go

fix: SECURITY_TODO #28 评论提交按 IP 限流（5 条/分钟）防灌水刷屏

2026-08-27 21:39:28 +08:00

rss.go

docs: 全部 Go 代码注释汉化

2026-08-27 19:03:03 +08:00

security_test.go

fix: SECURITY_TODO #29 favicon/logo 上传增加魔数一致性校验

2026-08-27 21:41:02 +08:00

session_upload_security_test.go

feat: 个人资料接口 JSON 化——POST /api/profile

2026-08-27 19:56:03 +08:00

settings.go

fix: SECURITY_TODO #29 favicon/logo 上传增加魔数一致性校验

2026-08-27 21:41:02 +08:00

site_image_test.go

fix: SECURITY_TODO #29 favicon/logo 上传增加魔数一致性校验

2026-08-27 21:41:02 +08:00

upload_validator.go

docs: 全部 Go 代码注释汉化

2026-08-27 19:03:03 +08:00