xfy/yggdrasil
1
0
Fork 0
Code Issues Pull Requests Actions 1 Packages Projects Releases Wiki Activity
1,000 Commits 1 Branch 8 Tags
Commit Graph

249 Commits

Author SHA1 Message Date
xfy
65a7b1226f style: 全项目格式规范化（cargo fmt）+ Docker daemon 断连容错 
- 全项目 .rs 统一 cargo fmt 排版（换行/缩进/参数分行/导入排序）
- infra/docker: DOCKER_CLIENT 连接失败不 panic，降级返回 None
  （博客不依赖 Docker，panic=abort 下会导致整个进程崩溃）
- infra/mod: 去除多余空行
- database/mod: 模块声明按字母序重新排序
 2026-07-15 17:22:06 +08:00
xfy
acfdfb03f5 fix(image): 为 ImageFmt 别名补上 #[cfg(feature = "server")] 门控 
type ImageFmt = image::ImageFormat 未加 server feature 门控，
而 image crate 是 server-only 可选依赖。WASM 构建 (web feature)
解析到该别名时找不到 image crate，报 E0433。

detect_format (唯一使用方) 已有 #[cfg(feature = "server")]，
测试也在 #[cfg(all(test, feature = "server"))] 下，别名只需对齐门控。
 2026-07-15 13:30:38 +08:00
xfy
8efd8c8021 perf(image): cache_key 单次拼接 + detect_format 零分配后缀匹配
Some checks failed
CI / check (push) Has been cancelled
Details
CI / build (push) Has been cancelled
Details 
cache_key：旧实现 vec![path.to_string()] + 最多 6 个 format! + join，
最坏 9 次堆分配（path clone + 6 个参数 String + Vec 指针数组 + join String）。
改用 with_capacity + write! 直写，1 次分配。每次未命中缓存的图片请求都走。

detect_format：旧实现对整条路径 to_lowercase() 分配 String，只为查后缀。
改用 rsplit('.').next() 取后缀 + eq_ignore_ascii_case 零分配匹配。
每次图片请求调用 1-2 次。

注：rotate 在 resize 之前是刻意设计（让 w/h 作用于旋转后的最终方向），
不动以保持 URL 语义与缓存一致性。
 2026-07-15 11:48:59 +08:00
xfy
b269fcf205 perf(posts): list/search 零 capacity Vec 改 collect 预分配 + helpers retain 
list.rs 5 处、search.rs 1 处用 Vec::new()+循环 push，初始 capacity 为 0，
循环触发多次指数 realloc。rows.iter().map().collect() 用 slice 迭代器的
精确 size_hint 一次性预分配。首页/列表/搜索/标签分页路径。

helpers.rs row_to_post_list_item / row_to_post_full：tags 从
into_iter().filter().collect() 改 retain 原地过滤。unwrap_or_default()
已返回 owned Vec，旧写法重建第二个 Vec。每行文章记录省一次 Vec 分配。

顺带修 slugify 一个 dead store（prev_dash=false 后被 true 无条件覆盖）。
 2026-07-15 11:46:56 +08:00
xfy
a41a1d3ae1 perf(markdown): 消除双解析 + format! 改 write! 直写 
双解析：旧实现对同一份 md 调两次 Parser::new_ext（一遍收集标题、
一遍生成 HTML），等于两倍的 tokenize + 解析 CPU。现 collect 成
Vec<Event> 一次，两遍遍历复用（Event 内含 CowStr 借用 md 切片，
collect 后仍可重复借用）。解析 CPU 减半。

format! → write!：标题开始/结束、TOC li、runnable pre、language class
共 5 处在循环内用 format! 拼接 HTML 片段，每次先分配临时 String 再
push_str 复制进去、临时串立即丢弃。改用 write!(html, ...) 直写目标
String，零中间分配。N 个标题省约 3N 次临时分配。

顺带：html 与 toc_html 用 with_capacity 预分配（旧 String::new 多次 realloc）。

全部 68 个 markdown 测试通过。
 2026-07-15 11:41:55 +08:00
xfy
d4f8b463d2 perf(slug): slugify 单遍状态机重写，分配 4→1 
旧实现 4 次堆分配、3 遍扫描：
1. title.to_lowercase() 分配整串 String（中文/符号根本不受影响却全量拷）
2. split('-').filter().collect::<Vec<&str>>() 分配 Vec
3. parts.join('-') 再分配 String
4. slug.chars().take(100).collect() 截断又分配

新实现用 prev_dash 状态机在单遍内完成：拼音成词、ASCII 小写化、
分隔符合并去首尾、按 char 截断到 100。1 次预分配、1 遍扫描。

与同仓库 markdown.rs::slugify_heading 的单遍写法对齐。
全部 27 个 slug 测试通过（含拼音边界、连续 dash、首尾 dash、下划线保留）。
 2026-07-15 11:38:54 +08:00
xfy
604febde98 perf(upload): 消除 data.to_vec() 多次全文件深拷贝 
data 是引用计数的 Bytes，clone 廉价（原子 +1）。
- validate 路径：data.to_vec() → data.clone()，省一次全文件拷贝
- 转码闭包：original_data = data.to_vec() → data.clone()，
  仅在「保留原格式」回退分支才 to_vec() 出落盘所需 Vec<u8>
- 路径拼接：用 chrono DelayedFormat 内联，省 year/month/day 三个中间 String

5MB 图片上传：转码成功路径从 10MB 堆分配降到 0（仅 Bytes 引用计数）；
回退路径从 10MB 降到 5MB。
 2026-07-15 11:28:21 +08:00
xfy
6837b4cfa2 refactor(image): 合并维度读取函数，共享 image_reader_limits 
提取 read_webp_dimensions / read_image_dimensions 两个核心函数，
read_dimensions_by_mime 与 read_dimensions_from_bytes 各自只负责
格式映射（MIME→format / 扩展名→format），消除 zenwebp 调用与
into_dimensions 逻辑的双份实现。

附带收紧：read_dimensions_from_bytes 原用 with_guessed_format() 猜测
格式，现改为按扩展名显式匹配，避免猜测错误。

image_reader_limits() 改为 pub(crate)，upload.rs 的内联 limits 构造
（4 行逐字重复）改为调用共享函数。
 2026-07-14 15:13:21 +08:00
xfy
fade4e180f refactor: 删除死代码 CommentActions 组件 
components/comments/actions.rs (CommentActions) 零引用——评论管理
操作（通过/垃圾/删除）已在 pages/admin/comments.rs 用 BTN_SOLID_*
常量实现，actions.rs 是遗留的重复实现。

原计划将它的内联按钮样式提取为 BTN_PILL_* 常量统一，但确认零引用后
直接删除整个文件更干净。trash_comment re-export 补 allow(unused_imports)
（wasm-only import 在 server 构建触发的已知模式）。
 2026-07-14 15:09:41 +08:00
xfy
804bcfb7b7 refactor(upload): 抽取 upload_error() 消除 15 处 JSON 错误响应样板 
upload.rs 中 14 处 return Err((StatusCode::X, Json(json!({"success":
false, "error": MSG})))) + 1 处 map_err 同款 tuple，全部替换为
upload_error(status, msg) 单行调用。helper 接受 impl Serialize，
兼容 &str / String / 字面量等调用形式。
 2026-07-14 14:53:18 +08:00
xfy
8da678b3b4 refactor(cache): 抽取 invalidate_post_metadata() 封装 4 行失效组合 
文章写操作后总要一起失效 lists/tags/stats/search 四项元数据缓存。
新增 invalidate_post_metadata() 封装这个固定组合，替换 create/delete/
update/trash 中的 8 处重复 4 行序列。

保留定向失效（invalidate_post_by_slug / invalidate_tag_posts_for）
和批量回退路径（invalidate_all_post_caches + invalidate_search_results）
的显式调用——它们是按实际涉及数据细粒度控制的，不应被封装吞掉。
 2026-07-14 14:44:00 +08:00
xfy
22750ef89e refactor(api): 为 Response 类型添加构造器，消除 51 处样板 
CreatePostResponse 新增 err()/ok()/ok_msg() 构造器，消除 posts/
 下 34 处 { success, message, post_id, slug } 字面量构造。

CommentResponse 新增 error()/ok()/created() 构造器，消除 comments/
 下 17 处 { success, message, error_code, comment_id, ... } 字面量构造。

构造器只在 server function body 内调用，WASM 端因 cfg gate 剥离了
调用点，故加 #[cfg_attr(not(feature="server"), allow(dead_code))]。

行为完全不变（505 测试全过），代码量净减约 300 行样板。
 2026-07-14 14:36:56 +08:00
xfy
16caa7dd9e fix(comments): 统一 escape_html，修复代码块单引号未转义 
comments/markdown.rs 的本地 html_escape 只转义 4 个字符（漏单引号），
与规范实现 utils::html::escape_html（5 字符，'→&#x27;）不一致。

删除本地副本，改用 crate::utils::html::escape_html。评论代码块里的
单引号现在会被正确转义，与其他上下文的转义行为统一。
 2026-07-14 14:29:53 +08:00
xfy
b39afbb616 refactor: 删除死代码 (delayed_loading.rs / ui.rs EmptyState / 未用 re-export) 
- 删除 src/hooks/delayed_loading.rs：未在 hooks/mod.rs 注册，已被
  DelayedSkeleton 组件取代（mod.rs 注释已说明）
- 删除 src/components/ui.rs 的 EmptyState：零调用者，所有实际用法
  都走功能更全的 components/empty_state.rs::EmptyState
- 删除 api/posts/mod.rs 末尾的 render_markdown_enhanced / slug 工具
  re-export：调用方均使用完整路径 crate::api::{markdown,slug}::*，
  这两个跨模块短路径无引用
- 删除 api/comments/mod.rs 的 render_comment_markdown re-export：
  调用方用完整路径 crate::api::comments::markdown::render_comment_markdown

保留 auth.rs::invalidate_user_sessions：有完整文档说明的预留基础设施
（角色变更/封禁场景），非遗留垃圾。
 2026-07-14 14:27:31 +08:00
xfy
56f599574f feat(slug): 中文标题自动转拼音生成 URL slug 
文章 URL slug 与 markdown 标题锚点此前会吃掉中文字符：纯中文标题
退化成时间戳，混入 ascii 时只剩 ascii 片段。

引入 pinyin crate（纯 Rust、零依赖，安全交叉编译到 musl/FreeBSD），
slugify 与 slugify_heading 在字符过滤前先尝试 to_pinyin()：
- 汉字 → 无声调拼音，每字成词用 - 分隔（你好 → ni-hao）
- ASCII 字母数字与 -/_ 保留
- 多音字取默认读音，博客场景足够

示例：你好世界 → ni-hao-shi-jie；Rust 入门指南 → rust-ru-men-zhi-nan

is_valid_slug 不变（原本就允许 Unicode），手动输入中文 slug 仍可用。
pinyin 为 server-only optional 依赖，不进 WASM bundle。
 2026-07-13 18:04:35 +08:00
xfy
2310ed9abe fix(system): 备份恢复实际不写入数据 + 假成功 
三层叠加 bug 导致「恢复完成却零数据变更」:

1. 备份用 pg_dump 生成但无 --clean,脚本不含 DROP。恢复到已有数据的库时,
   CREATE TABLE 全部 'already exists',COPY public.posts 在第一行就因主键
   冲突中止(COPY 0),被软删的文章(deleted_at 非空)永远回不来。

2. psql 默认不带 ON_ERROR_STOP,即使满屏 ERROR 退出码仍是 0。run_restore
   只判断 status.success(),于是 tasks::update 误报 TaskStatus::Done——
   用户看到「恢复完成」但实际零写入。

3. 即使数据写进去,前端 moka 缓存(posts/tags/stats/search)和 SSR 世代号
   也不会失效,恢复后仍读旧数据。

修复:
- run_pg_dump_backup 加 --clean --if-exists,备份脚本自带 DROP IF EXISTS,
  恢复变为幂等的先删后建。
- run_restore 给 psql 加 -v ON_ERROR_STOP=1,任何 SQL 错误立即退出(码 3),
  status.success() 不再误判。
- 恢复成功后调用 invalidate_all_post_caches + invalidate_search_results
  + bump_global_generation,前端立即看到恢复的数据。

验证:建干净测试库跑完整反馈回路(3 篇 → 软删 2 篇 → 恢复),修复前 alive=1,
修复后 alive=3,exit 0。旧备份文件(无 DROP)在 ON_ERROR_STOP 下会正确报失败
而非假成功,需重新创建备份才能恢复。

根因假设(已通过最小反馈回路证实):pg_dump 无 --clean + psql 无 ON_ERROR_STOP +
缓存未失效三层叠加。hypothesis 来自 backup.rs 源码 + backups/*.sql 实际结构 +
psql 退出码语义实测。
 2026-07-13 15:57:34 +08:00
xfy
e50941ef24 fix(runner): propagate duration_ms through SSE done event 
The SSE streaming path hardcoded '耗时: -' because duration_ms was
never threaded through:

- docker.rs: OutputChunk::Done now carries duration_ms, computed from
  start_container to wait completion via Instant::elapsed
- sse.rs: DonePayload gains duration_ms, serialized into the done event
- runner.rs: WASM done callback formats the real duration instead of '-'

The polling fallback path already had correct duration via ExecResult;
only the SSE path was missing it.
 2026-07-13 10:09:15 +08:00
xfy
aa2d7f3f2d fix(runner): use python -u for unbuffered stdout streaming 
Python defaults to 4KB block buffering when stdout is a pipe (not a
TTY). Docker attach uses pipes, so print() output accumulated in the
buffer and only flushed when the process exited — the 3-second
sleep(1) loop appeared as a single dump at the end.

python -u (equivalent to PYTHONUNBUFFERED=1) forces line-level
flushing, so each print() is immediately written to the pipe and
picked up by the concurrent log reader → SSE → xterm.js.

Node/Go/Rust already line-buffer to pipes, so only Python needed the
flag. stdout/stderr separation is preserved (no TTY merge).
 2026-07-13 10:03:58 +08:00
xfy
60138ed6e1 feat(api): add SSE endpoint /api/exec/stream 
GET /api/exec/stream?task_id=X — pops the mpsc Receiver from
EXEC_STREAMS (one-shot, prevents duplicate consumers), wraps it in
ReceiverStream, maps OutputChunk → SSE Event (stdout/stderr/done).
keep_alive every 15s prevents reverse-proxy idle timeouts.

Route registration: dedicated sse_route with csrf_middleware but NO
TimeoutLayer (SSE is a long-lived connection; the 30s app-route timeout
would kill it). Auth + rate limit already enforced in start_exec_stream.

main.rs merge order: upload(300s) → export(120s) → sse(no timeout) →
app(30s) → static(none).
 2026-07-10 11:48:26 +08:00
xfy
1e556aa125 feat(runner): add SSE task registry and streaming executor 
progress.rs:
- EXEC_STREAMS DashMap: SSE handler pops rx by task_id (one-shot)
- StreamEntry wraps rx + created_at for TTL-based GC
- gc_old_tasks now cleans both EXEC_TASKS and EXEC_STREAMS

execute.rs:
- validate_exec_request: extracted shared whitelist + size check
- check_rate_limit_for_user: extracted shared admin-aware rate limit
- start_exec refactored to use both helpers (behavior unchanged)
- start_exec_stream: new server fn, same validation chain, spawns
  run_in_container_stream(tx) + writes EXEC_TASKS for polling fallback
 2026-07-10 11:45:20 +08:00
xfy
1584e01425 chore(deps): update all cargo and pnpm dependencies to latest versions 2026-07-09 18:12:54 +08:00
xfy
88558d73d3 fix(markdown): update unsupported-lang test to use ruby 
上一个提交为 code runner 加了 Rust 支持,rust 进入语言白名单后,
render_markdown_runnable_marker_on_unsupported_lang_ignored 里的
rust 用例失效(现在 rust 确实会挂 data-runnable)。改用确实不在
白名单的 ruby 作为不支持语言的样本。
 2026-07-09 11:50:57 +08:00
xfy
2f6f8e549d refactor(code-runner): default CODE_RUNNER_LANGUAGES to all-open 
CODE_RUNNER_LANGUAGES 未设置时，白名单不再默认为 python,node，
而是放行 LANGUAGES 注册表里的全部语言。该环境变量变为「可选的收窄开关」：
新增语言到注册表即可默认启用，无需再同步运维白名单（避免两边脱节，
如本次 go/rust 就因 .env 未同步白名单导致 is_supported_lang 拒绝）。

- RunnerConfig.languages: Vec<String> → Option<Vec<String>>，
  None 表示不限制
- is_supported_lang: Option 为 None 时直接放行注册表语言
- 测试 is_supported_lang_default_whitelist → is_supported_lang_default_all_open，
  断言 go/rust 在默认（未设白名单）下可用
 2026-07-09 11:02:04 +08:00
xfy
c624997c04 feat(code-runner): add Go and Rust language support 
为 Code Runner 新增 Go 和 Rust 两种编译型语言，沿用现有 base 镜像分层结构。

Go:
- run_cmd 直接用 go run（单条命令，内部编译+运行）
- 镜像把 GOCACHE/GOTMPDIR/GOPATH 重定向到 /tmp tmpfs
  （只读根文件系统下 /Users/issuser/.cache 不可写）
- default_limits: 1 核 / 256MB / 10s（编译冷启动比解释型慢）

Rust:
- rustc 编译 + 运行是两步，但 docker.rs 注入脚本用 exec 执行 run_cmd，
  exec 替换 shell 进程后 'A && B' 后半段不执行，
  因此镜像内置 /usr/local/bin/run-rust.sh wrapper 封装两步
- default_limits: 1 核 / 512MB / 15s（rustc 内存大、编译慢）

新增镜像与白名单后，默认 CODE_RUNNER_LANGUAGES=python,node,go,rust。
 2026-07-09 09:40:32 +08:00
xfy
9c3f2242ba feat(stats): add trash count to PostStats for posts page badge 
为合并回收站到 /admin/posts 的 tab 设计铺路：PostStats 新增 trash 字段，
统计 deleted_at IS NOT NULL 的文章数，供文章列表页「回收站」tab 角标使用。

- stats.rs: 条件聚合查询增加 trash 列，server/非 server 构造同步补字段
- models/post.rs: PostStats 加 pub trash: i64
- cache.rs: post_stats_cache_roundtrip 测试 fixture 补 trash 字段
 2026-07-08 16:40:32 +08:00
xfy
9231e993e4 fix(clippy): 修复两处预存 clippy 错误 
- execute.rs: ExecResult/ExecStatus 仅 server 端使用，加 cfg gate
  消除 WASM 目标的 unused_imports
- system.rs: in_scope 外层闭包保留 || execute_for_editor() 包装
  （Closure::new 要求 Fn 可重复调用，直接传闭包会 use-after-move），
  加 #[allow(clippy::redundant_closure)] 并注释原因

cargo clippy 双目标 -- -D warnings 均通过。
 2026-07-06 11:42:03 +08:00
xfy
6d0dd8bb6e feat(sql-console): SqlResultTable 组件骨架 + 模块挂载 2026-07-06 10:30:30 +08:00
xfy
c83b834c8b feat(code-runner): admin 跳过代码运行速率限制 
作者在 /admin/runner 沙箱调试代码块时，1 次/秒 + 50 次/天的读者限流
（RATE_LIMIT_CODE_EXEC_*）会频繁打断试运行。已登录 admin 改为跳过
check_code_exec_limit，仍受并发槽、资源钳制与源码大小校验约束。
 2026-07-05 14:32:56 +08:00
xfy
383e6f6b43 fix(db): expand source chain for all DB error logging 
The previous fix only covered migration errors. The same truncation
affected two more places, both because tokio_postgres::Error's Display
prints only "db error" while the real message lives in source():

- api/error.rs: AppError::{db_conn,query,tx} logged with {e}, so every
  runtime DB failure showed as "Query failed: db error". The
  constructors' bound is tightened from impl Display+Debug to
  impl std::error::Error so the source chain can be walked; the
  user-facing message stays sanitized (existing tests still pass).
- db/pool.rs: ensure_database formatted tokio_postgres::Error directly
  into the String returned to main.rs' exit(1) path, collapsing to
  "failed to query pg_database: db error" etc.

Adds a shared crate::db::format_with_sources helper (walks source()
with de-dup of placeholder layers) and reuses it from MigrateError's
Display, the AppError constructors, and pool.rs.
 2026-07-04 21:54:54 +08:00
xfy
f3eb93f320 docs(agents): document code runner and fix clippy/biome lint 
文档:
- AGENTS.md 新增「Code Runner」架构章节（三层架构 + WASM 可见性规则 +
  governor 0.8 无 per_day 的处理 + runner 镜像契约）
- Environment 段补齐 CODE_RUNNER_* 与 RATE_LIMIT_CODE_EXEC_* 环境变量

Lint 修复（clippy --all-targets --all-features -D warnings 全绿）:
- runner.rs/runner.rs: use_signal 冗余闭包 → 直接传 fn
- runner_config.rs: &*RUNNER_CONFIG 去 deref;assert_eq!(...false/true) → assert!
- markdown.rs: 局部变量 /// 改 //;Option.map().flatten() → and_then
- languages.rs: 删除从未读取的 LanguageDef.name 字段（语言名即 map key）
- docker.rs: start_container if let Err → ?;timeout match → is_err();
  嵌套 if 合并（修 task 2 遗留 + clippy 1.96 新 lint）
- pages/admin/posts.rs: use_signal 冗余闭包（预存 lint，顺带修绿）
- codemirror editor.ts: biome format 重排 setSchema 单行
 2026-07-03 18:57:25 +08:00
xfy
0e8b5fd7b7 feat(ui): scan and mount code-runner component client-side in reader 
采用 Dioxus vdom 友好的片段拆分（避免篡改 dangerous_inner_html 产物导致 hydration 冲突）:
- post_content.rs: split_content_fragments 把 content_html 拆成 Html/Runnable 片段,
  Runnable 作为 <CodeRunner> 组件穿插渲染;HTML 实体解码还原源码;6 个单测
- markdown.rs: 可运行 pre 增加 data-source（转义后的原始源码）, 供阅读器无损提取
- sanitizer.rs: 放行 pre 的 data-source 属性

(任务 7 的 data-source 增量一并在此提交)
 2026-07-03 18:35:57 +08:00
xfy
6b875e6ba5 feat(ui): create CodeRunner Dioxus UI component with async polling 
- runner.rs: CodeRunner 组件（源码展示 + Run 按钮 + 阶段/输出/错误区）
  spawn 提交 StartExec 后用 sleep_ms(WASM 友好) 轮询 GetExecResult，MAX_POLLS 兜底
  mut 信号加 cfg_attr 放行 server 的 unused_mut（AGENTS.md 约定）
  提前克隆 source/language 给 move 闭包，避免 rsx! 二次借用 (E0382)
- execute.rs: 修正双目标可见性——server fn 模块不能 cfg-gate
  共享类型 use 双目标可见，server-only 辅助 use 单独 gate（对齐 posts 模块约定）
- mod.rs: execute 不再 gate，languages/progress 仍 gate
 2026-07-03 18:28:52 +08:00
xfy
a77a2e3502 feat(markdown): support rendering and sanitizing runnable pre code-blocks 
- markdown.rs: CodeBlock 处理识别 `runnable` 标记 + 受支持语言，在 <pre> 上
  挂 data-runnable/data-lang/data-overrides；overrides JSON 经 escape_html 转义
  防属性注入；非可运行围栏的 language-xxx 改取纯语言 token（首个空白前）
- sanitizer.rs: clean_html 放行 <pre> 的 data-runnable/data-lang/data-overrides
- 新增 4 个 markdown 测试 + 2 个 sanitizer 测试覆盖转义/白名单/字段顺序
 2026-07-03 18:19:26 +08:00
xfy
9fe128d44d feat(api): implement StartExec and GetExecResult server functions 
- rate_limit.rs: 新增 CODE_EXEC 双层限流（per-second burst + 每日总额）
  governor 0.8 无 per_day，用 with_period(24h)+allow_burst 模拟
- execute.rs: StartExec（IP 提取/语言白名单/源码大小/入队/并发信号量/clamp/容器执行）
  + GetExecResult（轮询读取 DashMap）；系统异常脱敏，日志记详情
- .env.example: RATE_LIMIT_CODE_EXEC_PER_SEC 改为整数（governor 不支持小数）
 2026-07-03 18:15:59 +08:00
xfy
3f3bbf284c feat(api): add language registry and markdown fence info parser 2026-07-03 18:11:43 +08:00
xfy
9baa9da62f feat(api): implement in-memory task registry with gc 2026-07-03 18:10:20 +08:00
xfy
60fd6378b6 feat(api): define shared serialized structs for code runner 
Co-authored-by: plan docs/superpowers/plans/2026-07-03-code-runner.md Task 3
 2026-07-03 18:09:27 +08:00
xfy
0fe0387ea3 feat(admin/posts): 文章列表操作列新增「重建内容」按钮 
新增 rebuild_post_content_html(post_id) server function，从 DB 读取
content_md（事务内 FOR UPDATE 锁行）重新渲染 content_html/toc_html
并更新 word_count/reading_time，按影响范围精准失效列表、slug 单篇
与搜索缓存。

PostRow 操作列在「编辑」「删除」之间插入「重建内容」按钮（鼠尾草绿
文字样式），按行禁用并切换「重建中...」文案，成功/失败弹出浏览器
提示，与删除按钮的反馈模式一致。

为避免与单篇 rebuilding 信号冲突，将原批量重建工具条信号 renaming
为 batch_rebuilding。
 2026-07-03 10:13:15 +08:00
xfy
edee09596c test(api/markdown): 解耦 wrap_images_with_blur 并脱离文件系统依赖 
把 wrap_images_with_blur 拆成两部分:
- wrap_images_with_blur_with(html, dims_fn):纯函数核心,接受 dimensions
  查询闭包,不碰文件系统
- wrap_images_with_blur(html):薄包装,注入真实 get_image_dimensions

测试改用纯函数核心,注入确定性 dimensions(如 Some((800,600)) 或 None),
彻底脱离 uploads/ 真实文件依赖。此前的 aspect-ratio 测试硬编码了
/uploads/2026/06/18/...webp 真实路径——文件不存在则静默走缺省分支,
断言虽能过但实际验证内容被削弱。

新增覆盖(共 8 个 wrap 相关测试):
- --ar 缺省/有值两种路径
- rel_path 去查询的验证(用 RefCell 捕获 Fn 闭包入参)
- alt 保留(双层)/空 alt 不生成属性
- 斜杠分隔的 --ar 格式 + sanitizer 管线不破坏斜杠
 2026-07-02 17:39:15 +08:00
xfy
ab05c01f76 test(api/database): 备份恢复补单测 + 修复 backup_path 路径穿越漏洞 
backup.rs 是恢复流程的安全关键路径,此前无任何单测。本次:

提取纯函数(便于单测,无行为变更):
- is_valid_backup_filename:文件名白名单校验,替换三处内联 Regex
- parse_backup_mode:从 -- mode: 行提取模式值
- has_valid_signature:首行签名头校验

新增 15 个单测,覆盖:
- 文件名白名单(正常/路径穿越/特殊字符三类边界)
- backup_path 路径穿越纵深防御
- 签名校验(精确/前导空白/非系统文件/空内容)
- 模式解析(pg_dump/sql-fallback/缺失/空值/多次)

修复一个真实的路径穿越漏洞(测试驱动发现):
backup_path("/etc/passwd") 之前返回 /etc/passwd 而非 backups/——
因为 [BACKUP_DIR, filename].collect::<PathBuf>() 在 filename 为绝对
路径时会丢弃 BACKUP_DIR 前缀(PathBuf 语义),随后的 components 检查
在错位的路径上运行而漏判。改为先校验 filename 自身的 components
(只允许 Normal 段),从根上杜绝穿越。

注:第一道白名单 is_valid_backup_filename 已拒绝含 / 的文件名,
故该漏洞实际不可达;但纵深防御必须健壮,本修复使其名副其实。
 2026-07-02 17:37:07 +08:00
xfy
533cabb0b5 test(api/database): SQL 控制台护栏补表驱动单测 + 加固 
sql_console.rs 是 SQL 控制台的安全关键路径,此前无任何单测。本次:

测试(新增 24 个,覆盖护栏 1+2 全分支):
- check_guards: DROP SCHEMA/CREATE DATABASE 绝禁、DROP/TRUNCATE/ALTER
  需确认、UPDATE/DELETE 无 WHERE 绝禁(且 confirm 不能救)、多语句短路
- is_absolutely_forbidden: 大小写不敏感、误拦检查、报错名
- statement_type_name / is_read_only: AST 变体映射
- 两条安全不变量测试(见下)

加固(测试驱动发现的两个真实缺口):
1. 字符串预检 contains() 改为 token 序列匹配 is_absolutely_forbidden()——
   防多空格/制表符/换行绕过 DROP/CREATE DATABASE。
2. check_guards 补 Statement::CreateDatabase 绝禁分支——此前 sqlparser
   能解析 CREATE DATABASE(可绕过字符串预检进 AST),但 AST 层无对应分支,
   字符串预检是其唯一防线。现在双重拦截。

并锁定两条安全不变量,防止 sqlparser 升级时悄悄回退:
- DROP DATABASE 不可解析 → 字符串预检是唯一防线
- CREATE DATABASE 可解析 → 双重防线都生效
 2026-07-02 17:33:19 +08:00
xfy
291189fb77 fix(sanitizer): 折叠嵌套 if 修复 clippy::collapsible_if 
865871f 引入的 checkbox type 白名单逻辑用了嵌套 if，触发 rust 1.96
的 clippy::collapsible_if，导致 make clippy 直接失败。按 clippy 建议
合并为单个 if 链，行为不变。
 2026-07-02 16:36:05 +08:00
xfy
dcdd72a8c2 refactor(utils): 拆分 comment_storage 的时间/HTML 工具函数 
消除 server 端对 hooks 模块的跨层引用：

- escape_html（+ 两份重复实现：comment_storage 用 &#39;、helpers 用 &#x27;）
  统一到 utils/html.rs，单引号采用 HTML5 标准 &#x27;。
- now_millis / relative_label_from_millis / format_relative_time_iso 及其
  单元测试迁到 utils/time.rs，与既有 sleep_ms 同构（wasm32/非 wasm 双版本）。

调用方迁移：
- api/comments/helpers.rs：删掉本地 escape_html，format_relative_time 改引
  utils::time；其 escape_html 测试随之删除（utils/html.rs 已覆盖）。
- api/comments/create.rs：两处 helpers::escape_html 改 utils::html。
- api/markdown.rs：escape_heading_text 改 utils::html。
- components/comments/pending_item.rs：format_relative_time_iso 改从
  utils::time 引入；render_pending_content 留在 comment_storage（语义紧贴
  待审核评论）。
- hooks/comment_storage.rs：is_expired 的 now_millis 改引 utils::time。

comment_storage.rs 现在只剩结构体与 localStorage 读写，文件名即将自洽。
 2026-07-02 16:15:23 +08:00
xfy
865871f45c fix(markdown): 修复任务列表 checkbox 在前台被 sanitizer 剥离 
编辑器端已挂 TaskList/TaskItem,但前台渲染走 pulldown-cmark,其输出的
<input type="checkbox"> 不在 sanitizer 白名单内,被 remove_and_keep_content
剥离,导致任务列表在前台只剩裸 <li> 文本。

- sanitizer: 白名单放开 input,但强制 type="checkbox" 属性值校验
  - attrs_to_remove 增加 input.type 值校验,非 checkbox 一律删除属性
  - element_handler 末尾兜底:缺 type 或非 checkbox 的 input 整标签移除
    (void 元素无内容,remove() 不丢正文,封堵 type=image/text 等 XSS 滥用)
- 仅 clean_html 放开,clean_comment_html 保持不放开(评论无需任务列表)
- input.css 补 .md-content 任务列表样式(pulldown-cmark 裸 li>input 结构,
  用 :has() 识别,不支持 :has() 的浏览器降级为普通列表仍可读)
- 新增 sanitizer 5 个测试(白名单/XSS 边界)+ markdown 1 个端到端测试
 2026-07-02 13:22:37 +08:00
xfy
5426458f4a fix(docs): resolve rustdoc broken links and dead_code warnings
Some checks failed
CI / check (push) Failing after 5m18s
Details
CI / build (push) Has been skipped
Details 
doc 构建报 8 个 broken_intra_doc_links + dx 构建报 7 个 dead_code 警告。
两者根源相同:被引用的常量/类型/模块要么是 server-only(消费方都在
#[cfg(feature="server")] 块里),要么是跨 cfg 引用(host doc 构建看不到
wasm32-only 类型)。

dead_code:给 sql_console 的 MAX_ROWS/ABSOLUTELY_FORBIDDEN/GuardResult 与
backup 的 BACKUP_DIR/FILENAME_RE/BACKUP_SIGNATURE 加 #[cfg(feature="server")]
gate——这些都是安全护栏常量,消费方全在 server fn 体里,WASM 构建剥掉 fn 体后
常量即成死代码。sysinfo_sampler 的 WASM 桩 read_snapshot 加 allow(dead_code)
(与 codemirror_bridge 既有处理一致)。

rustdoc 链接:跨模块引用改全路径(crate::xxx),跨 cfg 引用(EditorHandle 在
wasm32 mod 内、host doc 构建不可见)转义为纯文本。

验证:cargo doc(0 warning)+ cargo check(default)+ wasm32 check 全部干净。
 2026-06-30 17:42:52 +08:00
xfy
0b6a076d78 feat(database): use real COUNT(*) for small tables, fall back to estimate for large 
row_estimate came from pg_class.reltuples, which is -1 for tables that
have never been ANALYZEd (the common case on a fresh/small DB), so the
admin table list showed -1 for every table — meaningless.

Replace row_estimate with row_count + row_count_estimated:
- total_size < 100MB: SELECT count(*) (real value, cost negligible on
  small tables; identifier quoted via PG escaping to stay injection-safe)
- total_size >= 100MB: fall back to reltuples estimate, flagged so the UI
  can prefix with ~

Frontend now shows real counts (1/2/14...) for small tables and ~N for
large ones; header copy updated to reflect the mixed source.
 2026-06-30 13:57:37 +08:00
xfy
36168f26d7 fix(database): cast extract(epoch)::double precision in active-connections query 
extract(epoch FROM now() - query_start) returns numeric (decimal) in
PostgreSQL, but the result was read as f64 via r.get(4). tokio-postgres
has no FromSql<f64> impl for the numeric type, so get_db_status panicked
at runtime with 'error deserializing column 4' (HTTP 500).

Cast to ::double precision (float8) to match query_duration_secs: Option<f64>.

Audited the remaining column mappings in status.rs to rule out further
type mismatches — all sound: reltuples::bigint->i64, native bigint size
columns->i64, last_vacuum/last_analyze timestamptz->DateTime<Utc>
(chrono feature enabled), schema_migrations.version TEXT->String,
count(*)::int->i32 (fixed previously).
 2026-06-30 13:51:48 +08:00
xfy
116286f80f fix(database): cast count(*)::int in get_db_status to match i32 field 
count(*) returns bigint (int8) in PostgreSQL, but the result was read as
i32 via conn_row.get(0). tokio-postgres's FromSql<i32> rejects an int8
column, so get_db_status panicked at runtime with
'error deserializing column 0' (HTTP 500).

Cast count(*)::int to int4, matching the adjacent setting::int column
and the total_connections/max_connections i32 struct fields. No other
queries in the file are affected: reltuples is already ::bigint -> i64,
size columns are native bigint -> i64, and system_status.rs reads its
count(*) as i64 correctly.
 2026-06-30 13:47:24 +08:00
xfy
ecf3c73715 fix(database): make src/api/database compile under WASM (web-only) build 
The /admin/system feature was never verified against the WASM frontend
target (dx serve builds src/main.rs with --features web and no server).
The entire src/api/database/ tree unconditionally pulled in server-only
crates (axum, sqlparser, dashmap, tokio, tokio_postgres, futures, regex)
and server-gated helpers (get_current_admin_user, parse_session_token,
get_user_by_token), so the frontend build failed with 43 errors.

Root cause + fixes (mirror the established settings.rs pattern):

- Gate server-only  imports behind #[cfg(feature = server)] in
  status/system_status/sql_console/schema/tasks/backup. The #[server] macro
  strips call sites but NOT use statements, so unresolved imports remained.
- Ungate  in main.rs: SystemSnapshot is a shared serde
  type referenced by ServerStatus.host on both targets; only the sampler
  task/SNAPSHOT static are internally server-gated.
- Gate  (pure Axum handler, zero WASM consumers) and the
  download_backup Axum handler in backup.rs.
- Move restore_backup's validation preamble (regex/backup_path/fs) inside
  the #[cfg(feature = server)] block; gate std::path/chrono::Utc imports.
- Add [[bin]] required-features=[server] for generate_highlight_css so the
  syntect-dependent build tool is skipped in web-only builds.

Genuine WASM bugs surfaced once the server bodies stopped masking them:

- system.rs: Closure import path (dioxus::prelude::wasm_bindgen ->
  wasm_bindgen, matching write.rs); setTimeout expects i32 not u32;
  editor_handle() -> editor_handle.read() (Signal is not Fn in 0.7).
- codemirror_bridge.rs: set_schema extern took &SqlSchema but SqlSchema is
  a serde type with no IntoWasmAbi. Changed both set_schema signatures to
  &JsValue; call site now serializes via serde-wasm-bindgen::to_value.
- system.rs: signals .set() inside spawn/use_future/onclick closures need
   bindings (incl. the *_f rebinding copies); added cfg_attr
  allow(unused_mut) on the 4 tab components, matching write.rs convention.

Verified: cargo check (default/server) clean; cargo check --features web
--target wasm32-unknown-unknown clean (0 errors); dx check clean; 411
cargo tests pass.
 2026-06-30 13:41:23 +08:00
xfy
37d7ec49eb fix(database): harden SQL console guards + review fixes 
最终 code review 发现的安全/正确性修复：

- C1 (critical): execute_one 改用 stmt.to_string() 重序列化的单条语句 SQL
  而非原始整段 SQL，保证执行的语句与护栏检查的 AST 一致；杜绝 allow_multi
  时整段 SQL 被重复执行、读写分类与实际执行解耦。
- C2 (critical): check_guards 在 AST 层结构性禁止 DROP SCHEMA（ObjectType
  匹配），不再仅靠字符串预检——防 SQL 注释/空白绕过。
- I2: 备份/恢复在 DATABASE_URL 为空时提前失败任务，而非传空串给 pg_dump/psql。
- I4: 回退备份进度计算用 u32 避免 >255 表时截断/溢出。
- I5: SQL 导出用真实表名（table 模式）而非硬编码 "export"。
- M7: 移除 SqlResult 中未使用的 total_estimate 字段。
 2026-06-29 19:24:06 +08:00