ln-bi

391 Commits 8 Branches 0 Tags

3 Commits

Include renames

Author	SHA1	Message	Date
dsh-agent	9a9c9d08e1	refactor(stage4): 集中配置与启动校验，权限守卫 fail-closed，凭据移出仓库配置分层 - 新增 src/server/config.ts：环境变量集中读取 + 启动期校验。删除公开兜底密钥 ln-bi-default-secret：SSO 模式下 JWT_SECRET 缺失或短于 32 字符时 assertRuntimeConfig() 直接拒绝启动（已实测）。 - index.ts 不再自己读端口/环境；auth/config.ts 与 auth/login.ts 改为引用集中配置。权限守卫 - energy / scheduling / hydrogen-heatmap 的守卫由 “user 存在才校验” 改为 “无角色即拒绝”：user 缺失时按无权限处理，不再静默放行（fail-closed）。 - /api/ele/* 此前完全无鉴权，任何已登录用户都能写入电费表；现按能源域 (BI-LEADER-ENERGY) 守卫。接口契约 - 未匹配的 /api/* 由 200 text/html(SPA) 改为 404 application/json；未认证时仍是 401，避免向未授权调用方暴露路由是否存在。 - 新增全局 onError 返回 JSON 500。凭据治理（此前均为 git 跟踪文件中的明文） - Dockerfile 删除烧进镜像的 JWT_SECRET，改为必须运行时注入。 - docker-compose.yml 删除生产库口令/JWT 密钥/失效的 MILEAGE_DB_，改为强制注入写法；补齐 OSS_ 与 NODE_ENV/DEV_BYPASS_AUTH/BI_AUTH_*。 - woodpecker.yml 删除 Harbor base64 凭据改用 secret，pull_request 不再推镜像。 - 删除 scripts-tmp/（含生产库 root 口令）与已跟踪的 .DS_Store；.gitignore 补全。 - 文档中残留的里程库口令改为占位符。 lint / test(128) / build 全绿。	2026-09-11 10:19:07 +08:00
kkfluousandClaude Opus 4.7	200172f0af	feat(scheduling): role-based access + align list count with qualifiedCount ci/woodpecker/push/woodpecker Pipeline was successful Details - Gate 智能调度 module on BI-SCHEDULE-OPT role (or full-access roles) via shared canAccessScheduling helper, replacing hardcoded userId allowlist - Thread roles[] through JWT payload → middleware → frontend nav - Add router guard that 403s non-authorized users on /api/scheduling/* - Emit replace_qualified suggestion for every qualified vehicle so list count matches the 已完成考核目标 card; recalc qualifiedCount / hopelessCount post-permission-filter for card↔list consistency Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>	2026-04-17 15:42:21 +08:00
kkfluousandClaude Sonnet 4.6	86d5bc8738	feat(scheduling): add notify route and wire up scheduling router Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>	2026-04-16 20:23:29 +08:00

Author

SHA1

Message

Date

dsh-agent

9a9c9d08e1

refactor(stage4): 集中配置与启动校验，权限守卫 fail-closed，凭据移出仓库

配置分层
- 新增 src/server/config.ts：环境变量集中读取 + 启动期校验。
  删除公开兜底密钥 ln-bi-default-secret：SSO 模式下 JWT_SECRET 缺失或
  短于 32 字符时 assertRuntimeConfig() 直接拒绝启动（已实测）。
- index.ts 不再自己读端口/环境；auth/config.ts 与 auth/login.ts 改为引用集中配置。

权限守卫
- energy / scheduling / hydrogen-heatmap 的守卫由 “user 存在才校验” 改为
  “无角色即拒绝”：user 缺失时按无权限处理，不再静默放行（fail-closed）。
- /api/ele/* 此前完全无鉴权，任何已登录用户都能写入电费表；现按能源域
  (BI-LEADER-ENERGY) 守卫。

接口契约
- 未匹配的 /api/* 由 200 text/html(SPA) 改为 404 application/json；
  未认证时仍是 401，避免向未授权调用方暴露路由是否存在。
- 新增全局 onError 返回 JSON 500。

凭据治理（此前均为 git 跟踪文件中的明文）
- Dockerfile 删除烧进镜像的 JWT_SECRET，改为必须运行时注入。
- docker-compose.yml 删除生产库口令/JWT 密钥/失效的 MILEAGE_DB_*，
  改为强制注入写法；补齐 OSS_* 与 NODE_ENV/DEV_BYPASS_AUTH/BI_AUTH_*。
- woodpecker.yml 删除 Harbor base64 凭据改用 secret，pull_request 不再推镜像。
- 删除 scripts-tmp/（含生产库 root 口令）与已跟踪的 .DS_Store；.gitignore 补全。
- 文档中残留的里程库口令改为占位符。

lint / test(128) / build 全绿。

2026-09-11 10:19:07 +08:00

kkfluousandClaude Opus 4.7

200172f0af

feat(scheduling): role-based access + align list count with qualifiedCount

ci/woodpecker/push/woodpecker Pipeline was successful

Details

- Gate 智能调度 module on BI-SCHEDULE-OPT role (or full-access roles)
  via shared canAccessScheduling helper, replacing hardcoded userId allowlist
- Thread roles[] through JWT payload → middleware → frontend nav
- Add router guard that 403s non-authorized users on /api/scheduling/*
- Emit replace_qualified suggestion for every qualified vehicle so list
  count matches the 已完成考核目标 card; recalc qualifiedCount /
  hopelessCount post-permission-filter for card↔list consistency

Co-Authored-By: Claude Opus 4.7 (1M context) <noreply@anthropic.com>

2026-04-17 15:42:21 +08:00

kkfluousandClaude Sonnet 4.6

86d5bc8738

feat(scheduling): add notify route and wire up scheduling router

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

2026-04-16 20:23:29 +08:00