feat(编辑角色): editor 只能写并发布自己的文章
- D1 users 加 role 列（''/editor/admin），与 is_admin 成对写入 - Worker routes/editor.ts 放行 admin+editor，反代注入 X-Editor-Uid/User/Role（昵称 encodeURIComponent） - editor-api 引入 identify()：身份取自注入头或本机会话；文章归属记 frontmatter author_id - 编辑发布改精确 pathspec（只提交自己文章目录），管理员保持全量；空 pathspec 显式拦截 - 国内机直连登录改为转发 CF /user/access_token 校验，CF 不可达回退本机管理员 - handoff 签名覆盖身份（ts/uid/name/role），防编辑一键跳转变管理员 - admin.js：编辑只渲染「文章编辑」tab、作者框只读；用户管理加角色下拉 + 新建用户
This commit is contained in:
zqlit committed
1 parent
66c27c7b62
commit
d899cd793b
14 files changed
+1172
-139
No files matched your search
+53
-11
@@ -8,19 +8,54 @@
|
||||
只做这一件事：读写 `content/posts/<YYYY>/<目录>/index.md`，外加把图片放进文章同级目录，
|
||||
以及把改动 commit + push 触发上线。
|
||||
|
||||
**不做**：评论、AI 摘要、部署编排、用户体系、订阅……那些要么在 Worker 里，要么已经不需要了。
|
||||
**不做**：评论、AI 摘要、部署编排、订阅……那些在 Worker 里。
|
||||
账号体系也**不在这里**（见下节），本服务只认 Worker 转发时声明的身份。
|
||||
|
||||
## 角色：管理员 / 编辑（2026-10-05 加）
|
||||
|
||||
后台有两种角色，账号体系的唯一事实源是 **Cloudflare 侧 D1 的 `users.role` 列**
|
||||
（`''` 普通评论用户 / `'editor'` 编辑 / `'admin'` 管理员，与 `is_admin` 同步）：
|
||||
|
||||
| | 管理员 | 编辑 |
|
||||
|---|---|---|
|
||||
| 文章列表 | 全部 | **只有自己写的** |
|
||||
| 读 / 改 / 删 / 传图 | 任意文章 | **只能碰自己的**（越权一律 403） |
|
||||
| 发布 | 全量 `git add content static` | **只 add 自己名下的文章目录**（不会顺走别人未发布的改动） |
|
||||
| 新建文章 | 可指定作者 | 归属与署名由服务端钉死（伪造 `author_id` 无效） |
|
||||
| 评论/用户/设置/订阅 | ✓ | ✗（Worker 和本服务两层都拒） |
|
||||
|
||||
**归属怎么记**：文章 front matter 里的 `author_id`（= 后台用户 id，数字）。
|
||||
- 用 id 不用昵称 —— 管理员随时可能改昵称，按昵称比对会「丢文章」。
|
||||
- 老文章（改造前写的）没有这个字段 → 回退成按 `author` 昵称认领；
|
||||
编辑本人第一次保存时会自动补上 `author_id`，正式划到自己名下。
|
||||
- 服务端在保存/新建时**忽略**前端传来的 `author` / `author_id`，编辑永远改不了署名。
|
||||
|
||||
**身份怎么传进来**（两条通道，本服务不存任何账号）：
|
||||
|
||||
1. **Worker 反代通道**：请求带共享令牌 `X-Editor-Token`（浏览器拿不到），
|
||||
Worker 鉴权通过后注入 `X-Editor-Uid` / `X-Editor-User`（encodeURIComponent 过的昵称）/
|
||||
`X-Editor-Role`。令牌对得上，这组头就是可信的。
|
||||
只有令牌、没有身份头 → 按管理员处理（兼容 curl 调试和旧版 Worker）。
|
||||
2. **国内机直连通道**（浏览器直接开 writeapi.usj.cc/admin/）：`POST /admin/login` 把
|
||||
账号密码**转发给 Cloudflare 的 `/api/v2/user/access_token`** 校验，通过后签发本机
|
||||
HttpOnly Cookie 会话，会话里存 `{uid, name, role}`。写文章那条链路依然不出境。
|
||||
- Cloudflare 连不上时：本机管理员账号（`ADMIN_USER`/`ADMIN_PASS`）仍能登录（应急通道）；
|
||||
其它账号会收到 503「校验不了」，而不是误导性的 401。
|
||||
- 「国内线路」一键跳转（`/admin/handoff`）的 HMAC 签名覆盖 `时间戳+uid+名字+角色`
|
||||
—— **编辑跳过去还是编辑**，不会变成管理员。
|
||||
|
||||
## 三层结构
|
||||
|
||||
```
|
||||
浏览器 ──► Cloudflare Worker (api.200181.xyz) ──► editor-api (这台服务器上)
|
||||
/api/v2/editor/* 127.0.0.1:8017
|
||||
只做「登录鉴权 + 注入 X-Editor-Token 转发」 真正读写文件 / git
|
||||
只做「登录鉴权 + 注入令牌与身份转发」 真正读写文件 / git
|
||||
```
|
||||
|
||||
- 浏览器**永远接触不到** `EDITOR_TOKEN`：它只存在 Worker 的 secret 里。
|
||||
- 容器端口只绑宿主机 `127.0.0.1`，公网扫不到；外面那层是 nginx 的 `/editor-api/`。
|
||||
- 鉴权是复用后台已有的管理员登录（`isAdminRequest`），不用再造一套账号。
|
||||
- 鉴权复用后台登录会话：管理员和编辑都放行（`/editor/*` 只有文章相关接口），
|
||||
评论/用户/设置等其它后台模块仍然只认管理员。
|
||||
|
||||
## 环境变量
|
||||
|
||||
@@ -48,20 +83,23 @@
|
||||
|
||||
## 接口
|
||||
|
||||
除 `GET /health` 外一律要 `X-Editor-Token`，没有就 401。
|
||||
除 `GET /health` 外一律要凭据：`X-Editor-Token`（Worker 通道，附带身份头）
|
||||
或本机会话 Cookie（国内直连通道），没有就 401。
|
||||
|
||||
| 方法 | 路径 | 说明 |
|
||||
|---|---|---|
|
||||
| GET | `/health` | 健康检查（免鉴权） |
|
||||
| GET | `/posts?q=&page=&perPage=` | 列表（含 `slugConflict` 撞名标记） |
|
||||
| GET | `/posts?q=&page=&perPage=` | 列表（含 `slugConflict` 撞名标记；编辑只看到自己的） |
|
||||
| POST | `/posts` | 新建，body `{frontMatter:{title,...}, content}` |
|
||||
| GET | `/posts/:id` | 读单篇（**id = 目录名**，见下） |
|
||||
| PUT | `/posts/:id` | 保存，body `{content, frontMatter}` |
|
||||
| DELETE | `/posts/:id` | 移到回收目录 |
|
||||
| POST | `/upload?name=x.png&key=:id` | 原始二进制直传，落到文章同级目录 |
|
||||
| GET | `/git/status` | 分支 / 改动文件 / 最近提交 |
|
||||
| POST | `/git/publish` | `{message}` → add + commit + pull --rebase + push |
|
||||
| POST | `/upload?name=x.png&key=:id` | 原始二进制直传，落到文章同级目录（编辑必须带 key） |
|
||||
| GET | `/git/status` | 分支 / 改动文件 / 最近提交（编辑只看到自己目录的改动，返回里 `scoped:true`） |
|
||||
| POST | `/git/publish` | `{message}` → add + commit + pull --rebase + push（编辑只 add 自己的目录） |
|
||||
| POST | `/git/sync` | pull --rebase --autostash |
|
||||
| GET/POST | `/admin/session` `/admin/login` `/admin/logout` | 国内直连后台的登录会话 |
|
||||
| GET | `/admin/handoff?ts=&u=&n=&r=&t=` | 「国内线路」免登录跳转（签名覆盖身份） |
|
||||
|
||||
### 为什么用目录名当 id，不用 slug
|
||||
|
||||
@@ -94,17 +132,21 @@ BLOG_ROOT=E:/GitHub/blog node test/save-roundtrip.mjs
|
||||
# ③ 接口端到端（对真实仓库跑，测完自动还原）
|
||||
BLOG_ROOT=E:/GitHub/blog node server.mjs & # 另开终端
|
||||
node test/api-e2e.mjs http://127.0.0.1:8017 devtoken
|
||||
|
||||
# ④ 角色权限矩阵（自带一次性 git 仓库，不碰真仓库）
|
||||
node test/role-perm.mjs
|
||||
```
|
||||
|
||||
## 本地联调
|
||||
|
||||
```bash
|
||||
# 1) 后端
|
||||
# 1) 后端（角色测试可以直接指到 .editor-tmp/uitest/blog 那个一次性仓库）
|
||||
EDITOR_TOKEN=devtoken BLOG_ROOT=E:/GitHub/blog node server.mjs
|
||||
|
||||
# 2) Worker（blog-admin 目录）
|
||||
npx wrangler dev --port 8799
|
||||
# 2) Worker（blog-admin 目录）—— ★ 本机要先清代理环境变量，否则 wrangler dev 卡死在启动
|
||||
env -u http_proxy -u https_proxy -u HTTP_PROXY -u HTTPS_PROXY npx wrangler dev --port 8799
|
||||
# .dev.vars 里配 EDITOR_API_BASE=http://127.0.0.1:8017 EDITOR_TOKEN=devtoken
|
||||
# 本地 D1 要先给 users 加 role 列（线上同理，见部署清单）
|
||||
```
|
||||
|
||||
部署见 `部署清单.md`（根目录）的「文章编辑后端」一节。
|
||||
Reference in new issue
Block a user