feat(rbac): 落地角色权限模型（需求 7）——班级/人员/名单/成绩收紧到管理员，班主任管本班课表，科任仅作业·叫人·通知
## 权限矩阵（前后端共用一份） - 新增 `packages/shared/src/permissions.ts`：`ClassRole`（ADMIN/HEAD/SUBJECT/STUDENT/NONE）、 `resolveClassRole()`、`canManageClasses/AssignTeachers/Roster/Schedule/Courses/PublishContent/ManageGrades/Import` 与 `PERMISSION_MATRIX`（README 与验收脚本据此展开）。 - 后端 `lib/access.ts`：新增 `resolveUserClassRole()`（`Class.teacherId` → 班主任，`ClassTeacher` → 科任） 与 `assertCanManageClasses/AssignTeachers/Roster/Schedule/PublishContent/ManageGrades`； 各 service 在**服务层**断言（路由仅做角色过滤），越权统一 403。 - 收紧项：班级增删改、班主任/科任分配、学生名单与账号 → 仅 ADMIN； 课表/课程增删改 → ADMIN 或本班班主任；成绩录入/修改/批量 → 仅 ADMIN（按需求清单）； 作业/通知/叫人 → ADMIN、班主任、科任皆可。 - 读权限保持不变：教师仍可查看自己班级的课表/作业/通知/成绩列表与统计。 ## 前端按同一矩阵隐藏入口 - 侧边栏：教师端不再显示「班级管理 / 学生管理 / 成绩录入」（管理员仍是 7 项）。 - 班级页：新建/编辑/删除按钮仅管理员可见；课表页：增删改按钮仅"管理员或本班班主任"可见； 成绩页：录入/批量/删除按钮仅管理员可见。 - **叫人入口调整**：教师需要叫人，而「学生管理」是管理员专属，因此教师入口移到 「通知发布 → 叫人」（选班级 → 选学生 → 快捷短语/自定义消息；名单走 `/classes/:id/students`， 不使用管理员专属的 `/students`）；管理员在学生管理页仍保留逐行「叫人」。 ## 顺手修掉的两个真实缺陷 - `NotificationsView.openCreate()`：班级列表异步加载期间点「发布通知」会导致「目标班级」为空、 校验失败且**静默不发布**；现在打开弹窗前会确保班级已加载（冒烟同步等待下拉就绪）。 - `desktop-client/scripts/smoke.mjs`：上一次冒烟被强杀后配置目录仍被句柄占用，`rmSync` 报 ENOTEMPTY 直接让冒烟启动失败；改为按进程号使用独立目录并容错清理。 ## 验证 - `pnpm verify:e2e` **82/82** ✅：新增 14 项角色权限断言（班主任/科任建班被拒、班主任删班被拒、 班主任/科任分配人员被拒、管理员分配与取消成功、科任管理课表被拒、科任可布置作业、 科任/班主任录入成绩被拒、管理员录入成功），并把历史用例中"仅管理员可执行"的操作切到管理员令牌。 - `pnpm verify:web` **17/17** ✅：新增「教师端隐藏无权入口」断言（可见菜单=仪表盘/课表/作业/通知， 越权入口=[]），叫人入口改到通知页后仍验证弹窗、8 条快捷短语、自定义输入与可选中态。 - `pnpm verify:desktop` **34/34** ✅；`lint` / `format:check` / `typecheck` 全绿。 - 数据清理：清掉历史遗留的测试班级与 4 条探针课表，演示数据恢复为 3 个班级。
This commit is contained in:
LoveChengke committed
1 parent
71f43042ca
commit
30e4c36809
25 files changed
+760
-228
No files matched your search
+47
-16
@@ -1,4 +1,4 @@
|
||||
/**
|
||||
/**
|
||||
* Web 管理端 UI 冒烟测试（Electron 驱动真实浏览器内核）。
|
||||
*
|
||||
* 覆盖：
|
||||
@@ -29,17 +29,21 @@ const USERNAME = process.env.UI_SMOKE_USER ?? 'teacher1';
|
||||
const PASSWORD = process.env.UI_SMOKE_PASS ?? 'teacher123';
|
||||
const RESULT_FILE = process.env.UI_SMOKE_RESULT ?? '';
|
||||
|
||||
/** 侧边栏菜单：显示文案 -> 期望路由 */
|
||||
/**
|
||||
* 侧边栏菜单（教师账号 teacher1 可见的部分）。
|
||||
* 按新的角色权限模型：班级管理 / 学生管理 / 成绩录入 仅管理员可见，
|
||||
* 教师端不应出现这些入口（后端同时强校验），因此期望值只有 4 项。
|
||||
*/
|
||||
const MENU_ITEMS = [
|
||||
{ label: '仪表盘', path: '/dashboard' },
|
||||
{ label: '班级管理', path: '/classes' },
|
||||
{ label: '学生管理', path: '/students' },
|
||||
{ label: '课表管理', path: '/schedules' },
|
||||
{ label: '作业发布', path: '/homeworks' },
|
||||
{ label: '通知发布', path: '/notifications' },
|
||||
{ label: '成绩录入', path: '/grades' },
|
||||
];
|
||||
|
||||
/** 教师端必须隐藏的入口（前端隐藏 + 后端 403，双重保障） */
|
||||
const HIDDEN_MENU_LABELS = ['班级管理', '学生管理', '成绩录入'];
|
||||
|
||||
const results = [];
|
||||
function record(name, ok, detail = '') {
|
||||
results.push({ name, ok, detail });
|
||||
@@ -218,8 +222,15 @@ async function main() {
|
||||
if (!openButton) return { ok: false, detail: '未找到"发布通知"按钮' };
|
||||
openButton.click();
|
||||
|
||||
const dialog = await waitFor(() => document.querySelector('.el-dialog'));
|
||||
// 页面里同时存在「发布通知」与「叫人」两个弹窗，按标题精确定位
|
||||
const dialog = await waitFor(() =>
|
||||
Array.from(document.querySelectorAll('.el-dialog')).find((node) =>
|
||||
(node.querySelector('.el-dialog__title')?.textContent ?? '').includes('发布通知'),
|
||||
),
|
||||
);
|
||||
if (!dialog) return { ok: false, detail: '发布通知弹窗未打开' };
|
||||
// 等目标班级下拉选好值（班级列表是异步加载的，避免空值导致校验失败）
|
||||
await waitFor(() => (dialog.querySelector('.el-select__selected-item')?.textContent ?? '').trim().length > 0, 5000);
|
||||
|
||||
const titleItem = formItem(dialog, '标题');
|
||||
const contentItem = formItem(dialog, '内容');
|
||||
@@ -240,8 +251,12 @@ async function main() {
|
||||
if (!publish) return { ok: false, detail: '未找到"立即发布"按钮' };
|
||||
publish.click();
|
||||
|
||||
const mask = await waitFor(() => document.querySelector('.urgent-mask'), 10000);
|
||||
if (!mask) return { ok: false, detail: '上课时段发布紧急通知未弹出全屏警告' };
|
||||
const mask = await waitFor(() => document.querySelector('.urgent-mask'), 15000);
|
||||
if (!mask) {
|
||||
const errors = Array.from(dialog.querySelectorAll('.el-form-item__error')).map((n) => n.textContent.trim()).join('|');
|
||||
const tips = Array.from(document.querySelectorAll('.el-message')).map((n) => n.textContent.trim()).join('|');
|
||||
return { ok: false, detail: '未弹出全屏警告｜表单错误=' + (errors || '无') + '｜页面提示=' + (tips || '无') + '｜班级=' + ((dialog.querySelector('.el-select__selected-item')?.textContent ?? '').trim()) };
|
||||
}
|
||||
|
||||
const maskText = (mask.textContent ?? '').replace(/\\s+/g, ' ').trim();
|
||||
const periodText = (mask.querySelector('.urgent-period .period-value')?.textContent ?? '').trim();
|
||||
@@ -331,25 +346,41 @@ async function main() {
|
||||
})()`);
|
||||
record('Service Worker 已注册（浏览器可安装为应用）', Boolean(swInfo?.ok), String(swInfo?.detail ?? ''));
|
||||
|
||||
// 7.5 "叫人"入口（学生管理 → 叫人 → 快捷短语/自定义消息）
|
||||
// 7.5 权限入口隐藏（教师端不应出现班级/学生/成绩录入入口）
|
||||
const hiddenCheck = await win.webContents.executeJavaScript(`(() => {
|
||||
const labels = Array.from(document.querySelectorAll('.el-menu-item')).map((node) =>
|
||||
(node.textContent ?? '').trim(),
|
||||
);
|
||||
const leaked = ${JSON.stringify(HIDDEN_MENU_LABELS)}.filter((item) => labels.some((label) => label.startsWith(item)));
|
||||
return { labels, leaked };
|
||||
})()`);
|
||||
record(
|
||||
'教师端隐藏无权入口（班级管理/学生管理/成绩录入）',
|
||||
(hiddenCheck?.leaked ?? ['?']).length === 0,
|
||||
`可见菜单=[${(hiddenCheck?.labels ?? []).join(',')}] 越权入口=[${(hiddenCheck?.leaked ?? []).join(',')}]`,
|
||||
);
|
||||
|
||||
// 7.6 "叫人"入口（通知发布 → 叫人 → 快捷短语/自定义消息）
|
||||
const callDialog = await win.webContents.executeJavaScript(`(async () => {
|
||||
const menu = Array.from(document.querySelectorAll('.el-menu-item')).find((node) =>
|
||||
(node.textContent ?? '').trim().startsWith('学生管理'),
|
||||
(node.textContent ?? '').trim().startsWith('通知发布'),
|
||||
);
|
||||
if (!menu) return { ok: false, reason: '未找到学生管理菜单' };
|
||||
if (!menu) return { ok: false, reason: '未找到通知发布菜单' };
|
||||
menu.click();
|
||||
const deadline = Date.now() + 6000;
|
||||
while (Date.now() < deadline && location.pathname !== '/students') {
|
||||
while (Date.now() < deadline && location.pathname !== '/notifications') {
|
||||
await new Promise((resolve) => setTimeout(resolve, 80));
|
||||
}
|
||||
await new Promise((resolve) => setTimeout(resolve, 600));
|
||||
const callButton = Array.from(document.querySelectorAll('button')).find((node) =>
|
||||
(node.textContent ?? '').trim() === '叫人',
|
||||
);
|
||||
if (!callButton) return { ok: false, reason: '学生列表里没有"叫人"按钮' };
|
||||
if (!callButton) return { ok: false, reason: '通知页没有"叫人"按钮' };
|
||||
callButton.click();
|
||||
await new Promise((resolve) => setTimeout(resolve, 500));
|
||||
const dialog = document.querySelector('.el-dialog');
|
||||
await new Promise((resolve) => setTimeout(resolve, 700));
|
||||
const dialog = Array.from(document.querySelectorAll('.el-dialog')).find((node) =>
|
||||
(node.querySelector('.el-dialog__title')?.textContent ?? '').includes('叫人'),
|
||||
);
|
||||
if (!dialog) return { ok: false, reason: '叫人弹窗未打开' };
|
||||
const phrases = Array.from(dialog.querySelectorAll('.call-phrase')).map((node) => node.textContent.trim());
|
||||
const hasTextarea = Boolean(dialog.querySelector('textarea'));
|
||||
@@ -474,7 +505,7 @@ async function runMobileChecks(win) {
|
||||
await captureMobileShot(win, 'mobile-1-drawer');
|
||||
record(
|
||||
'手机端抽屉菜单（点汉堡滑出，菜单项完整）',
|
||||
drawerInfo?.open === true && drawerInfo?.items >= 7 && !/enter-from/.test(drawerInfo?.overlayClass ?? ''),
|
||||
drawerInfo?.open === true && drawerInfo?.items >= 4 && !/enter-from/.test(drawerInfo?.overlayClass ?? ''),
|
||||
`菜单项=${drawerInfo?.items} left=${drawerInfo?.left} aria-expanded=${drawerInfo?.expandAttr} ` +
|
||||
`transform=${drawerInfo?.transform} 遮罩类=${drawerInfo?.overlayClass}`,
|
||||
);
|
||||
|
||||
Reference in new issue
Block a user