c237007111
docs: add production deployment guide
...
服务端的安全逻辑（会话 Cookie Secure 标志、限流按真实客户端 IP 聚合、
CSRF origin 校验）都默认前置反向代理并终结 TLS，但缺少一份成体系的部署
文档说明这一点。不知情的部署者直接把 3000 端口暴露到公网 HTTP 会同时踩中
cookie 无 Secure、限流退化/可伪造、CSRF Host 回退可绕过三个坑。
新增 docs/DEPLOYMENT.md：
- 醒目的前置警告，禁止裸暴露 3000 端口到公网 HTTP
- nginx + Caddy 最小配置示例（含 XFF 覆写、body 上限对齐应用侧 10 MiB、
代理超时对齐应用侧 300s）
- 生产环境必设变量三件套及 TRUSTED_PROXY_COUNT 设错的两种后果
- Docker 部署示例（绑定回环地址，反代作为唯一公网入口）
- 部署后验证清单
README 加「生产部署」节链接到该文档。代码无需修改——三个环境变量的保守
默认值与 .env.example 的警告注释设计上是正确的，缺口纯粹是文档。
2026-06-29 10:55:24 +08:00
9e9a3faeed
docs(plan): 新增 Dioxus 反模式清零实施计划
...
覆盖 antipatterns 文档点名的三类反模式的剩余项：
- Task 1: trash.rs 的 dirty 派生值改 use_memo（小）
- Task 2: 为已修复的 post_detail slug 反模式补回归测试（小）
- Task 3: 从 write_editor 抽取 CoverUploader 子组件（大）
god component 全量拆分（TrashPage 等）明确排除出本计划，列为后续独立计划。
Task 3 经核对真实源码（行号、API 调用、import 路径）写成「移动现有代码」式步骤。
2026-06-25 18:33:56 +08:00
6e2e261156
docs(plan): blur-up progressive image loading implementation plan
...
8 个任务的实现计划,对应 blur-up spec:
- Task 1: image.rs dimensions cache(moka sync + 读 header,webp 走 zenwebp)
- Task 2: sanitizer 扩展放行 data-src/class/style(仅文章)
- Task 3: markdown.rs img 包装成双层 wrapper(正则后处理)
- Task 4: input.css blur-up 样式(模糊占位 + opacity 淡入)
- Task 5: image_viewer.rs 双层结构(SSR 读 dimensions)
- Task 6: post-content.js IntersectionObserver 懒加载 + onload 淡入
- Task 7: .env.example IMAGE_DIMENSIONS_CACHE_TTL_SECS
- Task 8: 全量验证(cargo test/clippy/dx check/css + 手动清单)
每个任务含完整代码、行号、测试、commit。
2026-06-22 17:47:50 +08:00
987a0d9671
docs(spec): blur-up progressive image loading design
...
文章图片 blur-up 渐进加载设计文档,经 brainstorming 流程产出:
- 低分辨率占位图(?w=20,SSR 内嵌)+ 高清缩略图双层叠加
- 服务端读图片 header 拿真实尺寸生成 aspect-ratio(零 CLS)
- dimensions 用 moka sync cache 缓存(TTL 可配置,默认 24h)
- 三处图片位置统一(卡片封面/详情封面/正文图)
- Markdown 渲染器把 img 转双层 wrapper,post-content.js 懒加载高清
- sanitizer 扩展放行 data-src/class/style(仅文章,评论不动)
- 外链图不处理,JS 禁用时渐进降级到模糊占位图
webp 尺寸读取风险已排除(zenwebp info() 只读 header)。
验收标准 12 条。不含实现,仅设计。
2026-06-22 17:40:08 +08:00
c92ba6d648
docs(plan): editor image upload placeholder implementation plan
...
13 个任务的实现计划,对应 upload-placeholder spec:
- Task 1-3: UploadCoordinator(pending map / runUpload+retry / notifyRust)
- Task 4: 自定义 Image 扩展 + NodeView 类(三种态)
- Task 5-6: index.ts 接线 + slash-command 走 coordinator
- Task 7: NodeView 样式(遮罩/spinner/错误卡片)
- Task 8-12: write.rs(signal/轮询/提示/保存拦截/fetch 改造)
- Task 13: 全量验证(cargo test/clippy/dx check + 手动清单)
每个任务含完整代码、行号、构建/测试命令、commit。
2026-06-22 15:19:01 +08:00
055329107e
docs(spec): editor image upload placeholder and failure feedback design
...
CI / check (push) Failing after 4m45s
CI / build (push) Has been skipped
文章编辑器图片上传占位符与失败提示的设计文档
经 brainstorming 流程产出的 spec,涵盖:
- 自定义 Image 扩展 + NodeView 承载上传状态(uploading/error/done)
- UploadCoordinator 集中管理三个上传入口,按 upload-id 定位节点更新
- JS→Rust 轮询通道(window.__tiptap_uploads)传递上传事件与计数
- 顶部多条堆叠失败提示 + 编辑器内失败卡片(重试/移除)
- 保存拦截双重防护(counts 检查 + markdown 兜底扫描 blob:)
- write.rs fetch 改造,透传服务端中文错误消息
不含实现,仅设计。验收标准 11 条。
2026-06-22 15:09:38 +08:00
28fd38e6b8
docs(plan): remove stale references to removed comment APIs
2026-06-17 13:11:53 +08:00
d1c9cea683
refactor(cache): remove unused per-post comment count cache
2026-06-17 11:52:57 +08:00
03054d83e8
docs: add implementation plan for comment localStorage feature
...
8 tasks covering:
1. CommentResponse: add comment_id/avatar_url/depth fields
2. CheckPendingStatus server function
3. comment_storage hook (localStorage CRUD + TTL)
4. CommentSection: pending state in CommentContext
5. CommentList: merge approved + pending
6. PendingCommentItem component
7. CommentForm: auto-fill + save pending
8. Build + test verification
Fixes from subagent review:
- avatar_url/depth computed server-side (md5 not in WASM)
- Fix double mutable borrow in prune_all_expired
- Remove unused wasm_bindgen::JsCast imports
- Remove redundant is_expired filter in section.rs
- Fix double localStorage read in load_pending_comments
- Remove unused private helpers import in form.rs
2026-06-11 14:07:58 +08:00
fbda6373cc
docs: add comment localStorage persistence + pending visibility design spec
...
Two features:
- Auto-fill comment form (name/email/url) from localStorage
- Show pending comments with '审核中' badge to the submitting user
Key decisions:
- Two separate localStorage keys (author info + pending comments)
- Pending comments stored by server-returned ID, not user identity
- 7-day TTL with cleanup on page load via check_pending_status API
- Separate PendingCommentItem component (no PublicComment pollution)
- content_md only (no HTML in localStorage for XSS safety)
2026-06-11 13:52:28 +08:00
