 Sakurasan
|
a234afe448
|
评论实时更新：SSE 订阅文章频道，发评/编辑/删除/审核通过即时刷新打开中的页面
- internal/hub：按文章 ID 的进程内发布/订阅，信号不携带内容（未审核评论不外泄）
- GET /api/comments/stream?post_id=N：SSE 长连 + 25s 心跳 + X-Accel-Buffering off
- 广播点：发评论、作者编辑/删除、后台审核通过、后台删除（与公开端共享同一 hub）
- 前端 EventSource 静默刷新（不亮加载态、不干扰正在输入/编辑的状态）
- requestLog 的 statusRecorder 补 Flush 透传——包装器没实现 Flusher 时流式端点整体不可用
|
2026-09-28 21:42:11 +08:00 |
|
|
Sakurasan
|
6108aca34c
|
缩略图懒生成 + 评论登录限流：时间线不再拉原图
- 新增 /uploads/thumb/{key}?w=：首访从存储端读一次原图，标准库盒均值缩放后
落盘 data/.thumbnail_cache（按内容哈希命名，天然失效）；失败写 .failed 冷却
一小时，非图片/超大一律 302 回原图，前端无感。原图路由改用 ServeContent，
补上视频拖动进度条所需的 Range 支持
- 前端 thumbURL/thumbifyHtml 接入两套 UI 的时间线配图、长文封面与短文正文，
并补 loading=lazy；详情页与灯箱仍用原图。/api/site 改为
{settings, uploads_public_base}，让前端识别哪些直链属于自家存储
- 后台登录的滑动窗口限速器抽成 internal/ratelimit 共享包（调用面不变），
新增：读者登录失败按 IP 20 次/10 分钟、评论写入按读者 5 条/分钟
（站主豁免，且只计成功写入）
|
2026-09-28 13:34:19 +08:00 |
|
|
Sakurasan
|
baf14ec6ca
|
评论登录新增 Google OAuth 与 Telegram Login Widget
- Google：授权码流程（openid email profile），handle 优先用已验证邮箱，头像取 picture
- Telegram：官方 widget 直接回传签名资料，后端按官方算法验签（secret=SHA256(bot_token)，除 hash 外全字段排序比对）+ auth_date 24h 时效
- providers 列表自动按配置下发（未配置的不显示）；widget 型带 bot 用户名
- 三个登录方式共用读者会话与 upsert；Telegram 走 POST 无跳转
- .env.example 补 ONE_GOOGLE_* / ONE_TELEGRAM_* 模板
|
2026-09-28 01:32:39 +08:00 |
|
|
Sakurasan
|
1a2db5ddac
|
管理员免登录直接评论：后台会话映射站主身份（免审核、不可被禁言）+ 评论作者字段对齐后端 user
- 公开 API 解析顺序：读者 cookie → 管理员 cookie（provider=admin 站主读者，名字取站点作者名）
- 站主发评论跳过禁言与审核；后台禁言接口拒绝站主身份
- CommentItem 读 c.author 改为 c.user（后端实际字段），站主徽章按 provider 判断
|
2026-09-28 00:43:25 +08:00 |
|
|
Sakurasan
|
8e9d98e261
|
OAuth 登录记住发起页：回调后回到登录前所在的前台 origin（开发时 3000/8080 分离不再落错站）
|
2026-09-28 00:15:17 +08:00 |
|
|
Sakurasan
|
cfd6948987
|
评论阶段二：GitHub OAuth 登录 + 评论表/用户表 + 先审后显开关 + 禁言 + 后台评论管理页
- auth 包：读者会话（one_reader，与后台令牌互斥）+ GitHub OAuth 客户端；Verify 校验 HMAC 与 reader: 前缀
- 公开 API：auth 五端点、评论列表（顶层可见+自己待审、回复内嵌）、发表（登录/禁言/开关/500 字校验）、10 分钟编辑窗、软删墓碑
- 管理端：评论列表（待审/已通过/全部）、通过、软删、读者列表、禁言切换
- 前台：登录卡/禁言卡；后台：评论管理页 + 设置页审核开关
|
2026-09-27 23:41:40 +08:00 |
|