2 Commits

Include renames

Author	SHA1	Message	Date
zqlit	68416366eb	fix(editor-api): 身份判定改为会话优先，防止配置漂移静默提权 ... identify() 原来「令牌优先」：令牌对得上就用 X-Editor-* 头的身份，没有头时默认 admin。 国内线路的 nginx 目前不注入令牌，但一旦配置回滚到「注入令牌」的旧版本，编辑的请求 会命中令牌分支 → 静默获得管理员权限（看到全部文章、能改别人的、能全量发布）。 改为「会话（真实的人）优先于共享令牌（服务身份）」，把边界写死在代码里而不是靠配置。 新增断言：编辑会话 + 管理员令牌头 → 仍按编辑身份。role-perm.mjs 47/47	2026-10-05 14:41:02 +08:00
zqlit	d899cd793b	feat(编辑角色): editor 只能写并发布自己的文章 ... - D1 users 加 role 列（''/editor/admin），与 is_admin 成对写入 - Worker routes/editor.ts 放行 admin+editor，反代注入 X-Editor-Uid/User/Role（昵称 encodeURIComponent） - editor-api 引入 identify()：身份取自注入头或本机会话；文章归属记 frontmatter author_id - 编辑发布改精确 pathspec（只提交自己文章目录），管理员保持全量；空 pathspec 显式拦截 - 国内机直连登录改为转发 CF /user/access_token 校验，CF 不可达回退本机管理员 - handoff 签名覆盖身份（ts/uid/name/role），防编辑一键跳转变管理员 - admin.js：编辑只渲染「文章编辑」tab、作者框只读；用户管理加角色下拉 + 新建用户	2026-10-05 14:34:56 +08:00