diff --git a/README.md b/README.md index 54cd577..7e0aa8c 100644 --- a/README.md +++ b/README.md @@ -75,7 +75,7 @@ class-helper/ │ ├── prisma/migrations/ # 迁移历史（已生成并应用） │ ├── prisma/seed.ts # 种子数据 │ ├── prisma.config.ts # Prisma 7 配置（迁移/种子/连接串） - │ ├── scripts/verify-e2e.mjs # 后端端到端验收脚本（126 项） + │ ├── scripts/verify-e2e.mjs # 后端端到端验收脚本（133 项） │ └── src/ │ ├── app.ts # Express 装配（静态托管 + 探针 + 限流 + 模块挂载） │ ├── index.ts # 启动入口（自检/初始化 + HTTP + Socket.IO + 优雅退出） @@ -171,12 +171,12 @@ pnpm verify:desktop ```bash # 另开一个终端先启动后端：pnpm dev:server -pnpm verify:e2e # 后端 + REST + Socket.IO + RBAC + 上课时段拦截 + 叫人 + 导入 + 班级账号：126 项 -pnpm verify:web # Web 管理端真实点击（含权限入口隐藏、手机适配、叫人入口、紧急通知 + 导入弹窗）：18 项 +pnpm verify:e2e # 后端 + REST + Socket.IO + RBAC + 上课时段拦截 + 叫人 + 导入 + 班级账号：133 项 +pnpm verify:web # Web 管理端真实点击（含权限入口隐藏、手机适配、叫人入口、紧急通知 + 成绩/时间配置导入弹窗）：19 项 pnpm verify:desktop # Electron 客户端（含灵动岛动画/收回/已读/作业/叫人、真实链路、课表时间轴、个性化 10 项参数与托盘/退出无残留）：47 项 ``` -后端脚本验证**实时推送时延、作业完成、成绩下发、权限隔离、上课时段紧急通知拦截、导入与失败回滚、班级账号代全班操作**等 126 项， +后端脚本验证**实时推送时延、作业完成、成绩下发、权限隔离、上课时段紧急通知拦截、导入与失败回滚、班级账号代全班操作、老师端导入不越权**等 133 项， 实测通知 37ms、作业 26ms、成绩 25ms 到达（要求 < 5 秒），紧急通知 409 拦截与二次确认后发布均通过； 客户端脚本验证 preload 桥接、渲染进程、IndexedDB 读写、断网回退、**灵动岛四种状态切换**与联网集成 （**班级账号登录** + 四类数据 + Socket.IO），实测 47/47 通过；退出后再启动一次校验单实例锁与文件锁已释放。 @@ -220,8 +220,8 @@ pnpm verify:desktop # Electron 客户端（含灵动岛动画/收回/已读 | `pnpm dist:dir` | 打包客户端免安装目录 `release/win-unpacked`（含可执行文件，最快） | | `pnpm dist:win` | 打包客户端 nsis 安装包 + portable 单文件 EXE | | `pnpm dist:all` | 服务端安装程序 + 客户端安装程序一起打 | -| `pnpm verify:e2e` | 后端端到端验收（126 项，含角色权限矩阵、导入与班级账号，需服务端已启动） | -| `pnpm verify:web` | Web 管理端 UI 真实点击测试（Electron 驱动，18 项，含权限入口隐藏与导入弹窗） | +| `pnpm verify:e2e` | 后端端到端验收（133 项，含角色权限矩阵、导入与班级账号，需服务端已启动） | +| `pnpm verify:web` | Web 管理端 UI 真实点击测试（Electron 驱动，19 项，含权限入口隐藏与导入弹窗） | | `pnpm verify:desktop` | EXE 客户端冒烟验证（47 项，含灵动岛动画/收回/已读/作业/叫人、课表时间轴、个性化全参数） | | `pnpm typecheck` | 全仓库类型检查（含 `vue-tsc`） | | `pnpm lint` / `pnpm lint:fix` | ESLint 检查 / 自动修复 | @@ -267,7 +267,7 @@ pnpm verify:desktop # Electron 客户端（含灵动岛动画/收回/已读 实现位置：`src/composables/useResponsive.ts`（断点 + resize 监听）、`src/layouts/AdminLayout.vue`（抽屉/顶栏）、 `src/styles/index.css`（全局响应式规则）、各视图表格卡片加 `.table-card`。 -`pnpm verify:web` 的 18 项里，最后 10 项专门验证权限入口隐藏、手机端、叫人入口与 ClassIsland 时间配置导入弹窗（Electron 真实点击）： +`pnpm verify:web` 的 19 项里，最后 11 项专门验证权限入口隐藏、手机端、叫人入口、成绩导入入口与 ClassIsland 时间配置导入弹窗（Electron 真实点击）： | 校验项 | 实测结果 | | -------------------------------------- | -------------------------------------------------------------------- | @@ -736,7 +736,7 @@ POST /api/notifications { …, priority: "NORMAL" }（上课时段） | 布置作业 | ✅ | ✅ | ✅ | | 叫人 | ✅ | ✅ | ✅ | | 发布通知 | ✅ | ✅ | ✅ | -| 成绩录入 / 修改 / 导入 | ✅ | ❌ | ❌ | +| 成绩录入 / 修改 / 导入（仅本班） | ✅ | ✅（仅本班） | ❌ | 实现要点： @@ -751,19 +751,19 @@ POST /api/notifications { …, priority: "NORMAL" }（上课时段） 因此教师的叫人入口放在「通知发布 → 叫人」（选班级 → 选学生 → 快捷短语/自定义消息）， 管理员在学生管理里仍保留逐行「叫人」。 -> 行为变更提示：按需求"科任老师只有布置作业、叫人、通知权限""班主任另有本班课表管理权限"， -> 成绩录入与班级/名单管理已收紧为管理员专属；如需把成绩下放给班主任或科任老师， -> 只需调整 `packages/shared/src/permissions.ts` 里的 `canManageGrades()` 并同步断言。 +> **需求 6 与需求 7 的口径统一（已落地）**：需求 6 要求"成绩与表格导入……老师端与学生端班级账号 +> 均可用且不越权"，需求 7 的权限清单（班级增删改、人员分配、科任权限、班主任课表）并未把成绩 +> 收归管理员专属。因此成绩相关写入按"老师端可用 + 不越权"实现： > -> 需求 6 写的是"老师端与学生端班级账号均可用且不越权"，而本仓库按需求 7 的权限清单把 -> **成绩导入/录入实现为管理员专属**（`verify:e2e` 有两项断言"班主任/科任老师录入成绩 403"）。 -> 这是**有意保留的取舍**，等你确认后再按下面范围放开（约 6 处、一行核心判定）： +> | 能力 | 管理员 | 班主任 | 科任老师 | 学生 / 班级账号 | +> | -------------------------- | :----: | :-------: | :------: | :-------------: | +> | 录入 / 修改 / 删除成绩 | ✅ | ✅ 仅本班 | ❌ | ❌ | +> | 成绩模板下载 / 预览 / 导入 | ✅ | ✅ 仅本班 | ❌ | ❌ | +> | 学生名单模板 / 预览 / 导入 | ✅ | ❌ | ❌ | ❌ | +> | 课表时间配置导入 | ✅ | ✅ 仅本班 | ❌ | ❌ | > -> 1. `packages/shared/src/permissions.ts`：`canManageGrades()` 改为按班级角色判定（`ADMIN | HEAD`）； -> 2. `packages/server/src/lib/access.ts`：`assertCanManageGrades(user, classId)` 改为异步并用 `resolveUserClassRole`； -> 3. `packages/server/src/modules/grades/*`、`modules/imports/imports.module.ts`：路由从 `requireRole('ADMIN')` 放宽为 `ADMIN | TEACHER`，服务层按班级断言（科任仍 403）； -> 4. `packages/web-admin/src/views/{GradesView,StudentsView}.vue`：`isAdmin` 改为"管理员或本班班主任"； -> 5. `packages/server/scripts/verify-e2e.mjs`：班主任成绩断言由 403 改为 201（科任仍 403），本文件的权限矩阵同步更新。 +> 越权路径全部由**服务层**兜底（`assertCanManageGrades(user, classId)` → `resolveUserClassRole`）： +> 班主任跨班 403、科任老师 403、学生与班级账号 403，前端只是按同一矩阵隐藏/显示入口。 ## 模块化设计（可随时增删模块） @@ -839,7 +839,7 @@ pnpm db:migrate && pnpm db:seed | 成绩 / 名单表格导入（xlsx·xls·csv） | ✅ | 模板下载 + 预览映射 + 重复处理 + 行号级错误：`verify:e2e` 导入 22 项、`verify:web` 弹窗实测 | | ClassIsland 时间配置导入（覆盖 / 合并 / 回滚） | ✅ | 合法 200、非法 400 `IMPORT_INVALID` 且原配置仍为 3 节、merge 覆盖 1 新增 1 共 4 节 | | 安装版覆盖升级自动补迁移 | ✅ | 真实旧库升级日志：`升级安装：已应用 2 个迁移文件，跳过 34 个已存在对象`，`TimeLayout` 自动建表 | -| 学生端主体 = 班级（班级码 + 班级密码登录） | ✅ | `verify:e2e` 班级账号 19 项：登录 / 错误密码 401 / 跨班 403 / 发布 403 / 班级码重复 400 / 密码重置 / 班级码用后还原 | +| 学生端主体 = 班级（班级码 + 班级密码登录） | ✅ | `verify:e2e` 班级账号 19 项：登录 / 错误密码 401 / 跨班 403 / 发布 403 / 班级码重复 400 / 密码重置 / 班级码用后还原 | `n | 成绩与表格导入：老师端可用且不越权 | ✅ | 班主任预览/导入本班成绩 200、跨班 403、科任 403、名单导入与模板 403；Web 端班主任可见导入按钮并打开弹窗 | | 班级设备代全班操作（已读 · 完成 · 成绩总览） | ✅ | 标记已读写入 6 条（全班 6 人）、教师端 `readCount=6`、`completedCount=6`、`/grades/my` 全班成绩 | | 客户端只保留班级登录入口 | ✅ | `verify:desktop`：`login=高一(1)班 classSession=true`，导航「成绩」标题变为「本班成绩」 | | 能成功打包 Windows EXE | ✅ | `班级小助手-0.1.0-x64-setup.exe` / `-portable.exe` / `win-unpacked/*.exe`（见下表） | @@ -856,14 +856,14 @@ pnpm db:migrate && pnpm db:seed 当前实测： -| 验证 | 结果 | -| ----------------------------------------------------------------------------------------- | ----------------------------------- | -| `pnpm verify:e2e`（开发环境与**安装后的生产实例**各跑一次） | **126/126** ✅ | -| `pnpm verify:web`（Web 管理端真实点击 + 权限入口隐藏 + 手机适配 + 叫人 + 导入弹窗 + PWA） | **18/18** ✅ | -| `pnpm verify:desktop`（客户端冒烟 + 灵动岛动画/收回 + 个性化全参数 + 托盘与退出无残留） | **47/47** ✅ | -| `pnpm typecheck` / `pnpm lint` / `pnpm format:check` | 全部通过 ✅ | -| 安装程序完整生命周期（静默安装 → 启停脚本 → 卸载） | 通过 ✅ | -| Docker / Nginx 部署样例 | 文件已提供，本机无 Docker 未实测 ⚠️ | +| 验证 | 结果 | +| -------------------------------------------------------------------------------------------------- | ----------------------------------- | +| `pnpm verify:e2e`（开发环境与**安装后的生产实例**各跑一次） | **133/133** ✅ | +| `pnpm verify:web`（Web 管理端真实点击 + 权限入口隐藏 + 手机适配 + 叫人 + 成绩/时间配置导入 + PWA） | **19/19** ✅ | +| `pnpm verify:desktop`（客户端冒烟 + 灵动岛动画/收回 + 个性化全参数 + 托盘与退出无残留） | **47/47** ✅ | +| `pnpm typecheck` / `pnpm lint` / `pnpm format:check` | 全部通过 ✅ | +| 安装程序完整生命周期（静默安装 → 启停脚本 → 卸载） | 通过 ✅ | +| Docker / Nginx 部署样例 | 文件已提供，本机无 Docker 未实测 ⚠️ | ## 常见问题（本机环境已知坑） diff --git a/packages/server/scripts/verify-e2e.mjs b/packages/server/scripts/verify-e2e.mjs index 2b7ee18..d2be36e 100644 --- a/packages/server/scripts/verify-e2e.mjs +++ b/packages/server/scripts/verify-e2e.mjs @@ -622,8 +622,10 @@ async function main() { } // ---------------------------------------------------------------- 6.4 班级角色权限矩阵 - // 依据需求：班主任/科任老师不能增删改班级；仅管理员可分配人员； - // 科任老师仅作业/叫人/通知；班主任另可管理本班课表；成绩录入仅管理员。 + // 依据需求 7：班主任/科任老师不能增删改班级；仅管理员可分配人员； + // 科任老师仅作业/叫人/通知；班主任另可管理本班课表。 + // 结合需求 6（成绩与表格导入"老师端可用且不越权"）：成绩写入放开到**本班班主任**， + // 科任老师仍然 403，班主任跨班同样 403。 { record('管理员登录（用于权限矩阵校验）', Boolean(adminToken), '已在上文登录'); @@ -736,22 +738,45 @@ async function main() { }); record('科任老师录入成绩被拒绝（403）', subjectGrades.status === 403, `status=${subjectGrades.status}`); + // 需求 6：班主任可以录入**本班**成绩（老师端可用），科任老师与跨班仍然被拒 const headGrades = await api('/grades', { method: 'POST', token: teacherToken, body: { classId: classId, userId: studentUser?.id, - examName: '班主任越权成绩', + examName: '班主任本班成绩', score: 90, totalScore: 100, }, }); record( - '班主任录入成绩被拒绝（403，成绩仅管理员）', - headGrades.status === 403, + '班主任录入本班成绩成功（201，需求 6）', + headGrades.status === 201, `status=${headGrades.status}`, ); + if (headGrades.payload?.data?.id) { + await api(`/grades/${headGrades.payload.data.id}`, { method: 'DELETE', token: teacherToken }); + } + + if (foreignClass) { + const headCrossGrades = await api('/grades', { + method: 'POST', + token: teacherToken, + body: { + classId: foreignClass.id, + userId: studentUser?.id, + examName: '班主任跨班成绩', + score: 90, + totalScore: 100, + }, + }); + record( + '班主任录入他人班级成绩被拒绝（403）', + headCrossGrades.status === 403, + `status=${headCrossGrades.status}`, + ); + } const adminGrades = await api('/grades', { method: 'POST', @@ -874,8 +899,22 @@ async function main() { `status=${templateXlsxResponse.status} bytes=${templateXlsxBuffer.length}`, ); - const templateDenied = await api('/imports/template?kind=grades&format=csv', { token: teacherToken }); - record('教师下载成绩模板被拒绝（403）', templateDenied.status === 403, `status=${templateDenied.status}`); + // 需求 6：成绩模板对老师端开放（空白模板，不含任何业务数据）；名单模板仍仅管理员 + const teacherGradeTemplate = await api('/imports/template?kind=grades&format=csv', { token: teacherToken }); + record( + '班主任可下载成绩模板（需求 6：老师端可用）', + teacherGradeTemplate.status === 200, + `status=${teacherGradeTemplate.status}`, + ); + + const teacherRosterTemplate = await api('/imports/template?kind=students&format=csv', { + token: teacherToken, + }); + record( + '班主任下载名单模板被拒绝（403，名单仅管理员）', + teacherRosterTemplate.status === 403, + `status=${teacherRosterTemplate.status}`, + ); // 8.2 ClassIsland 课表时间配置：预览 -> 导入 -> 失败回滚 -> 合并 -> 越权 -> 清理 const sampleLayout = { @@ -1142,15 +1181,18 @@ async function main() { `失败=${gradesBroken.payload?.data?.failed} 首条=第 ${brokenErrors[0]?.row} 行：${brokenErrors[0]?.message ?? ''}`, ); - const gradesByTeacher = await api('/imports/table/commit', { + // 班主任（本班）重复导入 append 模式：已存在的记录应被跳过而不是报错（需求 6） + const gradesByHeadTeacher = await api('/imports/table/commit', { method: 'POST', token: teacherToken, body: { ...gradesCommitBody, mode: 'append' }, }); record( - '教师（非管理员）导入成绩被拒绝（403）', - gradesByTeacher.status === 403, - `status=${gradesByTeacher.status}`, + '班主任重复导入本班成绩按 append 跳过', + gradesByHeadTeacher.status === 200 && + (gradesByHeadTeacher.payload?.data?.skipped ?? 0) >= 1 && + (gradesByHeadTeacher.payload?.data?.inserted ?? -1) === 0, + `status=${gradesByHeadTeacher.status} 跳过=${gradesByHeadTeacher.payload?.data?.skipped} 新增=${gradesByHeadTeacher.payload?.data?.inserted}`, ); // 8.4 学生名单导入（仅管理员）+ 数据清理 @@ -1180,6 +1222,116 @@ async function main() { `新增=${studentsCommit.payload?.data?.inserted} 失败=${studentsCommit.payload?.data?.failed}`, ); + // 8.5 需求 6：表格导入在"老师端"可用且不越权 + // 班主任 → 本班成绩可预览/导入；科任 → 403；班主任 → 名单导入仍 403（人员管理仅管理员） + const teacherGradesPreview = await api('/imports/table/preview', { + method: 'POST', + token: teacherToken, + body: { kind: 'grades', fileName: 'grades.csv', contentBase64: gradesCsvBase64 }, + }); + record( + '班主任可预览成绩表（需求 6：老师端可用）', + teacherGradesPreview.status === 200 && (teacherGradesPreview.payload?.data?.totalRows ?? 0) === 3, + `status=${teacherGradesPreview.status} 行数=${teacherGradesPreview.payload?.data?.totalRows ?? '-'}`, + ); + + const teacherGradesCommit = await api('/imports/table/commit', { + method: 'POST', + token: teacherToken, + body: { + kind: 'grades', + classId, + fileName: 'grades.csv', + contentBase64: gradesCsvBase64, + mapping: { + username: '用户名', + name: '姓名', + examName: '考试名称', + score: '分数', + totalScore: '总分', + courseName: '课程', + }, + mode: 'upsert', + }, + }); + record( + '班主任可导入本班成绩（upsert）', + teacherGradesCommit.status === 200 && + (teacherGradesCommit.payload?.data?.inserted ?? 0) + + (teacherGradesCommit.payload?.data?.updated ?? 0) >= + 1, + `status=${teacherGradesCommit.status} 新增=${teacherGradesCommit.payload?.data?.inserted} 更新=${teacherGradesCommit.payload?.data?.updated} 失败=${teacherGradesCommit.payload?.data?.failed}`, + ); + + // teacher2 是高二(3)班的科任老师（班主任是 teacher1）——这才是真正的"科任"场景 + const subjectOnlyClass = classes.find((item) => item.name?.includes('高二(3)')) ?? null; + const subjectGradesImport = await api('/imports/table/commit', { + method: 'POST', + token: teacher2Token, + body: { + kind: 'grades', + classId: subjectOnlyClass?.id ?? classId, + fileName: 'grades.csv', + contentBase64: gradesCsvBase64, + mapping: { + username: '用户名', + name: '姓名', + examName: '考试名称', + score: '分数', + totalScore: '总分', + courseName: '课程', + }, + mode: 'upsert', + }, + }); + record( + '科任老师导入本班成绩被拒绝（403，需求 7）', + Boolean(subjectOnlyClass) && subjectGradesImport.status === 403, + `班级=${subjectOnlyClass?.name ?? '未找到高二(3)班'} status=${subjectGradesImport.status}`, + ); + + if (foreignClass) { + const crossGradesImport = await api('/imports/table/commit', { + method: 'POST', + token: teacherToken, + body: { + kind: 'grades', + classId: foreignClass.id, + fileName: 'grades.csv', + contentBase64: gradesCsvBase64, + mapping: { + username: '用户名', + name: '姓名', + examName: '考试名称', + score: '分数', + totalScore: '总分', + courseName: '课程', + }, + mode: 'upsert', + }, + }); + record( + '班主任向他人班级导入成绩被拒绝（403）', + crossGradesImport.status === 403, + `status=${crossGradesImport.status}`, + ); + } + + const teacherRosterPreview = await api('/imports/table/preview', { + method: 'POST', + token: teacherToken, + body: { + kind: 'students', + fileName: 'students.csv', + contentBase64: Buffer.from(`\ufeff用户名,姓名${NL}whatever,某人${NL}`, 'utf8').toString('base64'), + }, + }); + record( + '班主任预览学生名单模板被拒绝（403，名单仅管理员）', + teacherRosterPreview.status === 403, + `status=${teacherRosterPreview.status}`, + ); + const studentsByTeacher = await api('/imports/table/commit', { method: 'POST', token: teacherToken, diff --git a/packages/server/src/lib/access.ts b/packages/server/src/lib/access.ts index cdb128e..08d710d 100644 --- a/packages/server/src/lib/access.ts +++ b/packages/server/src/lib/access.ts @@ -157,11 +157,27 @@ export async function assertCanPublishContent(user: TokenPayload, classId: strin } } -/** 成绩录入 / 修改 / 导入：仅管理员 */ -export function assertCanManageGrades(user: TokenPayload): void { - if (!canManageGrades(user.role)) { - throw ApiError.forbidden('只有管理员可以录入、修改或导入成绩'); +/** + * 成绩录入 / 修改 / 导入：管理员，或**本班班主任**（需求 6"老师端可用且不越权"）。 + * 科任老师仍然被拒（需求 7：科任只有作业 / 叫人 / 通知）。 + * + * @param classId 目标成绩所属班级；不传时按"全局"判定（仅管理员可用，例如空白模板下载） + */ +export async function assertCanManageGrades(user: TokenPayload, classId?: string): Promise { + if (!classId) { + // 没有班级上下文（例如下载空白模板）：只有管理员可以执行 + if (user.role !== 'ADMIN') throw ApiError.forbidden('该操作需要指定班级，只有管理员可以全局执行'); + return; } + + const classRole = await resolveUserClassRole(user, classId); + if (canManageGrades(classRole)) return; + + throw ApiError.forbidden( + classRole === 'SUBJECT' + ? '科任老师不能录入或导入成绩，请联系班主任或管理员' + : '只能录入或导入自己担任班主任的班级的成绩', + ); } /** 学生的主班级，未分配班级时抛 403 */ diff --git a/packages/server/src/modules/grades/grades.module.ts b/packages/server/src/modules/grades/grades.module.ts index a3216db..6f120d3 100644 --- a/packages/server/src/modules/grades/grades.module.ts +++ b/packages/server/src/modules/grades/grades.module.ts @@ -1,4 +1,4 @@ -import { Router } from 'express'; +import { Router } from 'express'; import { sendCreated, sendOk } from '../../lib/http.js'; import { idParamSchema } from '../../lib/schemas.js'; import { authenticate, getAuthUser, requireRole } from '../../middleware/auth.js'; @@ -52,7 +52,7 @@ router.get( ); /** POST /api/grades - 录入单条成绩（广播 grade:updated） */ -router.post('/', requireRole('ADMIN'), validate({ body: createGradeSchema }), async (req, res) => { +router.post('/', requireRole('ADMIN', 'TEACHER'), validate({ body: createGradeSchema }), async (req, res) => { const user = getAuthUser(req); sendCreated( res, @@ -62,16 +62,21 @@ router.post('/', requireRole('ADMIN'), validate({ body: createGradeSchema }), as }); /** POST /api/grades/bulk - 批量录入 / 导入成绩 */ -router.post('/bulk', requireRole('ADMIN'), validate({ body: bulkCreateGradeSchema }), async (req, res) => { - const user = getAuthUser(req); - const grades = await gradeService.bulkCreateGrades(user, req.body as BulkCreateGradeInput); - sendCreated(res, { count: grades.length, items: grades }, `已录入 ${grades.length} 条成绩`); -}); +router.post( + '/bulk', + requireRole('ADMIN', 'TEACHER'), + validate({ body: bulkCreateGradeSchema }), + async (req, res) => { + const user = getAuthUser(req); + const grades = await gradeService.bulkCreateGrades(user, req.body as BulkCreateGradeInput); + sendCreated(res, { count: grades.length, items: grades }, `已录入 ${grades.length} 条成绩`); + }, +); /** PATCH /api/grades/:id - 修改成绩 */ router.patch( '/:id', - requireRole('ADMIN'), + requireRole('ADMIN', 'TEACHER'), validate({ params: idParamSchema, body: updateGradeSchema }), async (req, res) => { const user = getAuthUser(req); @@ -81,12 +86,17 @@ router.patch( ); /** DELETE /api/grades/:id - 删除成绩 */ -router.delete('/:id', requireRole('ADMIN'), validate({ params: idParamSchema }), async (req, res) => { - const user = getAuthUser(req); - const { id } = validatedParams<{ id: string }>(req); - await gradeService.deleteGrade(user, id); - sendOk(res, { id }, '成绩已删除'); -}); +router.delete( + '/:id', + requireRole('ADMIN', 'TEACHER'), + validate({ params: idParamSchema }), + async (req, res) => { + const user = getAuthUser(req); + const { id } = validatedParams<{ id: string }>(req); + await gradeService.deleteGrade(user, id); + sendOk(res, { id }, '成绩已删除'); + }, +); export const gradesModule = defineModule({ name: 'grades', diff --git a/packages/server/src/modules/grades/grades.service.ts b/packages/server/src/modules/grades/grades.service.ts index 73b4e94..65ec50c 100644 --- a/packages/server/src/modules/grades/grades.service.ts +++ b/packages/server/src/modules/grades/grades.service.ts @@ -106,7 +106,7 @@ export async function getGradeStats(user: TokenPayload, options: ListGradeOption } export async function createGrade(user: TokenPayload, input: CreateGradeInput): Promise { - assertCanManageGrades(user); + await assertCanManageGrades(user, input.classId); await assertStudentInClass(input.userId, input.classId); if (input.courseId) await assertCourseInClass(input.courseId, input.classId); @@ -127,7 +127,7 @@ export async function createGrade(user: TokenPayload, input: CreateGradeInput): /** 批量录入：同一个考试一次提交整班成绩 */ export async function bulkCreateGrades(user: TokenPayload, input: BulkCreateGradeInput): Promise { - assertCanManageGrades(user); + await assertCanManageGrades(user, input.classId); if (input.courseId) await assertCourseInClass(input.courseId, input.classId); const publishedAt = parseOptionalDate(input.publishedAt) ?? new Date(); @@ -163,7 +163,7 @@ export async function updateGrade( ): Promise { const current = await prisma.grade.findUnique({ where: { id: gradeId } }); if (!current) throw ApiError.notFound('成绩记录不存在'); - assertCanManageGrades(user); + await assertCanManageGrades(user, current.classId); if (input.courseId) await assertCourseInClass(input.courseId, current.classId); const updated = await prisma.grade.update({ @@ -189,7 +189,7 @@ export async function updateGrade( export async function deleteGrade(user: TokenPayload, gradeId: string): Promise { const current = await prisma.grade.findUnique({ where: { id: gradeId } }); if (!current) throw ApiError.notFound('成绩记录不存在'); - assertCanManageGrades(user); + await assertCanManageGrades(user, current.classId); await prisma.grade.delete({ where: { id: gradeId } }); emitToClass(current.classId, SOCKET_EVENTS.gradeUpdated, { ...toGradeDto({ ...current, course: null, student: null, class: null }), diff --git a/packages/server/src/modules/imports/imports.module.ts b/packages/server/src/modules/imports/imports.module.ts index 836cfb9..f15d01c 100644 --- a/packages/server/src/modules/imports/imports.module.ts +++ b/packages/server/src/modules/imports/imports.module.ts @@ -1,5 +1,5 @@ import { Router } from 'express'; -import { sendOk } from '../../lib/http.js'; +import { ApiError, sendOk } from '../../lib/http.js'; import { authenticate, getAuthUser, requireRole } from '../../middleware/auth.js'; import { validate, validatedBody, validatedQuery } from '../../middleware/validate.js'; import { defineModule } from '../module.types.js'; @@ -25,9 +25,12 @@ router.use(authenticate()); /** * GET /api/imports/template?kind=grades|students&format=csv|xlsx - 下载导入模板 - * 成绩模板=管理员；名单模板=管理员（与写入权限一致，不额外开入口） + * 成绩模板：管理员或班主任（空白模板，不含任何业务数据）；名单模板：仅管理员 */ -router.get('/template', requireRole('ADMIN'), (req, res) => { +router.get('/template', requireRole('ADMIN', 'TEACHER'), (req, res) => { + if (req.query.kind === 'students' && getAuthUser(req).role !== 'ADMIN') { + throw ApiError.forbidden('只有管理员可以导入学生名单'); + } const kind = req.query.kind === 'students' ? 'students' : 'grades'; const format = req.query.format === 'xlsx' ? 'xlsx' : 'csv'; if (format === 'xlsx') { @@ -46,16 +49,30 @@ router.get('/template', requireRole('ADMIN'), (req, res) => { /** * POST /api/imports/table/preview - 上传表格并预览（解析 + 必填列校验 + 建议字段映射） - * 仅管理员：与"成绩录入 / 名单管理"权限一致 + * 成绩：管理员或班主任；学生名单：仅管理员（与写入权限保持一致） */ -router.post('/table/preview', requireRole('ADMIN'), validate({ body: tableFileSchema }), (req, res) => { - sendOk(res, previewTable(validatedBody(req)), '表格解析成功'); -}); +router.post( + '/table/preview', + requireRole('ADMIN', 'TEACHER'), + validate({ body: tableFileSchema }), + (req, res) => { + const input = validatedBody(req); + if (input.kind === 'students' && getAuthUser(req).role !== 'ADMIN') { + throw ApiError.forbidden('只有管理员可以导入学生名单'); + } + sendOk(res, previewTable(input), '表格解析成功'); + }, +); -/** POST /api/imports/table/commit - 执行导入（字段映射 + 写入模式 + 结果统计） */ +/** + * POST /api/imports/table/commit - 执行导入（字段映射 + 写入模式 + 结果统计） + * + * 路由放行 ADMIN|TEACHER，真正的权限在 service 内按 kind + 班级二次校验： + * 成绩 → 管理员或本班班主任；学生名单 → 仅管理员；科任老师一律 403（需求 7）。 + */ router.post( '/table/commit', - requireRole('ADMIN'), + requireRole('ADMIN', 'TEACHER'), validate({ body: tableCommitSchema }), async (req, res) => { const result = await commitTable(getAuthUser(req), validatedBody(req)); diff --git a/packages/server/src/modules/imports/table-import.service.ts b/packages/server/src/modules/imports/table-import.service.ts index 156a87e..32ca4b0 100644 --- a/packages/server/src/modules/imports/table-import.service.ts +++ b/packages/server/src/modules/imports/table-import.service.ts @@ -221,7 +221,8 @@ function cellValue(row: string[], columns: string[], mapping: Record { - assertCanManageGrades(user); + // 成绩导入：管理员或本班班主任（需求 6）；科任 403 + await assertCanManageGrades(user, input.classId); const buffer = decodeBase64(input.contentBase64); const parsed = parseTable(buffer, input.fileName); diff --git a/packages/shared/src/permissions.ts b/packages/shared/src/permissions.ts index d191d4c..62a9259 100644 --- a/packages/shared/src/permissions.ts +++ b/packages/shared/src/permissions.ts @@ -4,7 +4,7 @@ import type { UserRole } from './types.js'; * 班级内的角色（相对"某一个班级"而言）。 * * - `ADMIN` 系统管理员：班级增删改、人员分配、全部数据 - * - `HEAD` 班主任（`Class.teacherId`）：本班课表 + 作业/通知/叫人 + * - `HEAD` 班主任（`Class.teacherId`）：本班课表 + 本班成绩（含导入）+ 作业/通知/叫人 * - `SUBJECT` 科任老师（`ClassTeacher`）：仅作业/通知/叫人 * - `STUDENT` 学生（个人账号或班级账号）：只读 * - `NONE` 与该班级无关 @@ -61,18 +61,26 @@ export function canPublishContent(classRole: ClassRole): boolean { return classRole === 'ADMIN' || classRole === 'HEAD' || classRole === 'SUBJECT'; } -/** 成绩录入/修改/导入：仅管理员（按需求 7 的权限清单） */ -export function canManageGrades(role: UserRole): boolean { - return role === 'ADMIN'; +/** + * 成绩录入 / 修改 / 导入：管理员，或**本班班主任**。 + * + * 需求 6 要求"成绩与表格导入……老师端与学生端班级账号均可用且不越权"， + * 而需求 7 的权限清单（班级增删改、人员分配、科任权限、班主任课表）并未把成绩收归管理员专属， + * 因此按"老师端可用 + 不越权"落地：班主任只能动**自己班上**的成绩， + * 科任老师依旧只有作业 / 叫人 / 通知权限（与需求 7 完全一致）。 + */ +export function canManageGrades(classRole: ClassRole): boolean { + return classRole === 'ADMIN' || classRole === 'HEAD'; } /** 可导入的数据类型 */ export type ImportKind = 'grades' | 'students' | 'scheduleTimes'; -/** 导入权限：成绩=管理员；名单=管理员；课表时间=管理员或本班班主任 */ +/** 导入权限：成绩=管理员或本班班主任；名单=仅管理员；课表时间=管理员或本班班主任 */ export function canImport(role: UserRole, classRole: ClassRole, kind: ImportKind): boolean { + if (kind === 'students') return canManageRoster(role); if (kind === 'scheduleTimes') return canManageSchedule(classRole); - return canManageGrades(role); + return canManageGrades(classRole); } /** 人类可读的权限矩阵（README / 设置页展示，单一事实来源） */ @@ -89,5 +97,5 @@ export const PERMISSION_MATRIX: readonly { { action: '布置作业', admin: true, head: true, subject: true }, { action: '叫人', admin: true, head: true, subject: true }, { action: '发布通知', admin: true, head: true, subject: true }, - { action: '成绩录入 / 修改 / 导入', admin: true, head: false, subject: false }, + { action: '成绩录入 / 修改 / 导入（仅本班）', admin: true, head: true, subject: false }, ]; diff --git a/packages/web-admin/src/layouts/AdminLayout.vue b/packages/web-admin/src/layouts/AdminLayout.vue index 2de4757..d49c026 100644 --- a/packages/web-admin/src/layouts/AdminLayout.vue +++ b/packages/web-admin/src/layouts/AdminLayout.vue @@ -18,8 +18,9 @@ const { isMobile } = useResponsive(); * 菜单项与可见角色（与后端 `@classhelper/shared/permissions` 矩阵保持一致）： * - 班级管理 / 学生管理：仅管理员（班主任与科任老师都没有班级增删改与人员分配权限） * - 课表管理：管理员 + 班主任（页面内再按"是否本班班主任"控制增删改按钮） + * - 成绩录入：管理员 + 教师；页面内只对"管理员或所选班级的班主任"显示写入/导入按钮 + * （需求 6：成绩与表格导入老师端可用且不越权；科任老师只能看，写入会被后端 403） * - 作业 / 通知：所有教师 - * - 成绩录入：仅管理员（成绩写入仅管理员；教师仍可在仪表盘查看汇总） */ const menuItems = [ { path: '/dashboard', title: '仪表盘', icon: 'Odometer', roles: ['ADMIN', 'TEACHER'] }, @@ -28,10 +29,10 @@ const menuItems = [ { path: '/schedules', title: '课表管理', icon: 'Calendar', roles: ['ADMIN', 'TEACHER'] }, { path: '/homeworks', title: '作业发布', icon: 'Notebook', roles: ['ADMIN', 'TEACHER'] }, { path: '/notifications', title: '通知发布', icon: 'Bell', roles: ['ADMIN', 'TEACHER'] }, - { path: '/grades', title: '成绩录入', icon: 'Trophy', roles: ['ADMIN'] }, + { path: '/grades', title: '成绩录入', icon: 'Trophy', roles: ['ADMIN', 'TEACHER'] }, ]; -/** 当前账号可见的菜单（教师看不到班级/学生/成绩录入等无权入口） */ +/** 当前账号可见的菜单（班级/学生管理仅管理员可见） */ const visibleMenuItems = computed(() => menuItems.filter((item) => (auth.role ? item.roles.includes(auth.role) : false)), ); diff --git a/packages/web-admin/src/views/GradesView.vue b/packages/web-admin/src/views/GradesView.vue index a4cefbe..251ea9f 100644 --- a/packages/web-admin/src/views/GradesView.vue +++ b/packages/web-admin/src/views/GradesView.vue @@ -20,8 +20,16 @@ import { useRealtimeStore } from '@/stores/realtime'; const auth = useAuthStore(); -/** 成绩写入仅管理员（教师仍可查看列表与统计，符合需求 7 的权限清单） */ -const isAdmin = computed(() => auth.role === 'ADMIN'); +/** + * 成绩写入/导入权限：管理员，或"所选班级的班主任"（需求 6：老师端可用且不越权）。 + * 科任老师只能查看列表与统计，写入会被后端 403（需求 7：科任仅作业/叫人/通知）。 + */ +const canManageGrades = computed(() => { + if (auth.role === 'ADMIN') return true; + if (auth.role !== 'TEACHER') return false; + const current = classes.value.find((item) => item.id === filter.classId); + return Boolean(current && current.teacherId === auth.user?.id); +}); const realtime = useRealtimeStore(); const loading = ref(false); @@ -295,9 +303,15 @@ onUnmounted(() => { - 单条录入 - 批量录入 - 导入表格 + + 单条录入 + + + 批量录入 + + + 导入表格 + @@ -358,7 +372,7 @@ onUnmounted(() => { diff --git a/scripts/ui-smoke/main.cjs b/scripts/ui-smoke/main.cjs index 88c295d..a047365 100644 --- a/scripts/ui-smoke/main.cjs +++ b/scripts/ui-smoke/main.cjs @@ -39,10 +39,11 @@ const MENU_ITEMS = [ { label: '课表管理', path: '/schedules' }, { label: '作业发布', path: '/homeworks' }, { label: '通知发布', path: '/notifications' }, + { label: '成绩录入', path: '/grades' }, ]; /** 教师端必须隐藏的入口（前端隐藏 + 后端 403，双重保障） */ -const HIDDEN_MENU_LABELS = ['班级管理', '学生管理', '成绩录入']; +const HIDDEN_MENU_LABELS = ['班级管理', '学生管理']; const results = []; function record(name, ok, detail = '') { @@ -355,7 +356,7 @@ async function main() { return { labels, leaked }; })()`); record( - '教师端隐藏无权入口（班级管理/学生管理/成绩录入）', + '教师端隐藏无权入口（班级管理/学生管理）', (hiddenCheck?.leaked ?? ['?']).length === 0, `可见菜单=[${(hiddenCheck?.labels ?? []).join(',')}] 越权入口=[${(hiddenCheck?.leaked ?? []).join(',')}]`, ); @@ -413,6 +414,56 @@ async function main() { })()`); await sleep(300); + // 7.65 需求 6：班主任（teacher1）在「成绩录入」页看到导入入口，且弹窗真实可用 + const gradesImportUi = await win.webContents.executeJavaScript(`(async () => { + const sleep = (ms) => new Promise((resolve) => setTimeout(resolve, ms)); + const menu = Array.from(document.querySelectorAll('.el-menu-item')).find((node) => + (node.textContent ?? '').trim().startsWith('成绩录入'), + ); + if (!menu) return { ok: false, reason: '班主任看不到「成绩录入」入口（需求 6 未生效）' }; + menu.click(); + const deadline = Date.now() + 6000; + while (Date.now() < deadline && location.pathname !== '/grades') await sleep(80); + await sleep(900); + + const importButton = Array.from(document.querySelectorAll('button')).find((node) => + (node.textContent ?? '').trim() === '导入表格', + ); + if (!importButton) return { ok: false, reason: '成绩页没有「导入表格」按钮（班主任应可导入本班成绩）' }; + importButton.click(); + await sleep(700); + + const dialog = Array.from(document.querySelectorAll('.el-dialog')).find((node) => + (node.querySelector('.el-dialog__title')?.textContent ?? '').includes('导入成绩表格'), + ); + if (!dialog) return { ok: false, reason: '导入弹窗未打开' }; + + const buttons = Array.from(dialog.querySelectorAll('button')).map((node) => (node.textContent ?? '').trim()); + return { + ok: true, + hasExcelTemplate: buttons.some((text) => text.includes('下载模板（Excel）')), + hasCsvTemplate: buttons.some((text) => text.includes('下载模板（CSV）')), + hasFileInput: Boolean(dialog.querySelector('input[type=file]')), + path: location.pathname, + }; + })()`); + record( + '班主任可用成绩导入入口（模板下载 + 选择文件）', + Boolean(gradesImportUi?.ok) && + gradesImportUi?.hasExcelTemplate === true && + gradesImportUi?.hasCsvTemplate === true && + gradesImportUi?.hasFileInput === true, + `path=${gradesImportUi?.path ?? '-'} Excel模板=${gradesImportUi?.hasExcelTemplate} CSV模板=${gradesImportUi?.hasCsvTemplate} 文件选择=${gradesImportUi?.hasFileInput}` + + `${gradesImportUi?.reason ? ` 原因=${gradesImportUi.reason}` : ''}`, + ); + await win.webContents.executeJavaScript(`(() => { + const buttons = Array.from(document.querySelectorAll('.el-dialog__footer button')); + const close = buttons.find((node) => (node.textContent ?? '').trim() === '关闭'); + if (close) close.click(); + return true; + })()`); + await sleep(300); + // 7.7 ClassIsland 时间配置导入弹窗（班主任可见：粘贴 JSON → 解析预览 → 确认导入） const layoutDialog = await win.webContents.executeJavaScript(`(async () => { const sleep = (ms) => new Promise((resolve) => setTimeout(resolve, ms));