xinyouhe/photo-live
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
222 Commits 1 Branch 0 Tags
aaea76b0e330bac0846d00192f2f254594de819c
Commit Graph

33 Commits

Author SHA1 Message Date
浅念 903962a46b feat(embed-slots): soft-delete slots — admin entry, ov shutdown via enabled=false snapshot 
- 契约 deleteEmbedSlot（DELETE /admin/embed-slots/{id} → 204 幂等；admin 专属）
- cn schema：embed_slots.deletedAt（迁移 20260923120000，本地已应用）
- softDelete：乐观锁 claim + outbox slot.updated（payload enabled 强制 false
  ——ov 副本无墓碑，enabled=false 快照即公开端 404 下线；priority=high）+ audit
- 列表/加载/更新过滤 deletedAt → 同码 404
- Admin 列表操作「删除」（确认：已接入网站将停止展示、不可恢复）
- API 56/56、admin 87/87 + build 全绿

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-23 13:37:39 +08:00
浅念 2618ad3163 feat(assets): album asset status — show current banner/cover/logo in admin branding tab 
- 契约 listAlbumAssetStatus（GET /albums/{albumId}/assets）：每 (kind,locale)
  最新 effective 行 + 现签 URL；权限同详情（可见即读）；deleted → 404
- 服务端 AssetsService.status（createdAt,id DESC 组内取首；presignGet 现签）
- Admin 品牌资产页签改造：进入即加载现状——三种 kind 卡片（预览图/未设置
  空态/设置时间），banner 分全局/zh/en 槽位；上传成功自动刷新（替换语义）
- API 56/56、admin 87/87 + build 全绿

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-23 10:51:53 +08:00
浅念 8e674a902e feat(albums): soft-delete albums (admin+owner, hidden & irreversible, both app entries) 
契约 deleteAlbum（DELETE /albums/{albumId} → 204 幂等）+ status enum 'deleted'：
- 服务端：softDelete（canView 404→canManage 403 防枚举；乐观锁 claim +
  outbox album.updated priority=high + audit album.delete）；列表/详情/更新/
  成员/资产/分类/水印/照片/展示位绑定全部 deleted→404；公开端 cn
  （status!=='active'）与 ov（isAlbumVisibleOv）天然屏蔽；ov 副本经
  album.updated 载荷 status 直投自动下线
- Admin：列表表格操作「删除」+ 详情页头「删除相册」（确认含不可恢复说明）
- App：操作面板「删除相册」（红字、二次确认、成功退回列表并刷新）
- 验证：API 56/56、App 397/397（analyze 0）、admin typecheck/lint/test/build 绿

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-23 10:13:08 +08:00
浅念 2f6b6afc92 feat(contracts,api): page-mode pagination + synced profile on admin users list 
Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-22 18:06:12 +08:00
浅念 66d1eb3e9f feat(embed,ui04): E01 v2 contract skeleton — displayMode/scrollSpeed/reactionsEnabled, v2 loader entry and fixed 195x280 shell 
- contracts: EmbedSlotSettings optional v2 fields (carousel default) + SlotSettingsPayload; gen + redocly green
- api: DTO validation + normalization full-set (cn manage + ov public projection share normalizeStoredSettings)
- embed-loader: params v2 parse/merge/url family, loader-v2.js fixed shell (border/radius/#10161E/safe-area, resize ignored, stack gap 12), dual-artifact build+sync; v1 source frozen
- viewer: EmbedPage v=2 branch, EmbedStream (viewport/track/real anchors/collapse/empty), stream.ts pure fns, i18n zh/en
- admin: types + utils (create default vertical-stream, clampScrollSpeed, v1/v2 snippet selection)
- tests: loader 36 (+9 v2), viewer 222, admin 82, api unit 51, v1 embed e2e 20, v2 E01 gate 2 (195x280 desktop+mobile cross-origin, no footer)

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-22 12:50:28 +08:00
浅念 8f4ad11bd5 feat(contracts,api): UI-01 cover, preview, scope=own and embed config extensions 
契约扩展（全部可选/可空，旧客户端零感知）+ cn/ov 实现 + e2e 权限矩阵：
- AlbumSummary += cover（kind=cover state=effective 最新行的短期签名 URL，
  列表/详情按页批量组装非 N+1；未配置为 null）
- AdminPhoto += preview{thumb,browse}（变体齐备且未删除才签发；隐藏仅
  admin/owner；协作者仅自己上传，scope=own 服务端过滤 uploaderId，
  成员资格逐请求裁决）
- listAlbumPhotos += scope=all|own（缺省 all 行为不变：仅 owner/admin，
  协作者 403；own 任何有效成员）
- EmbedSlotSettings += imageFit/offsetX/offsetBottom/zIndex（cn PATCH 校验
  → slot-state 投影 → ov 公开回读；settings 为 Json 列免迁移，读侧
  normalizeStoredSettings 兜旧形状默认值）
- Flutter 模型同步（SignedUrl/PhotoPreview/AlbumPhotoScope，可空容错）

e2e：ui01-contracts 9 例（封面选取/字节取回/N+1 计数断言、preview 权限
矩阵、scope 过滤与 403/404/400）+ embed ⑨ 配置链路；全量 e2e 257 通过。

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-21 14:09:35 +08:00
浅念 7385785504 feat(i18n): T15 full-stack language audit with coverage assertions 
- viewer/admin 错误码→文案映射按契约 ErrorCodes 枚举全集登记（机器守护
  spec 遍历枚举断言无缺漏 + 映射键在 zh/en 词条均存在 + locale 键集
  递归相等）；mobile 镜像补齐 DOWNLOAD_DISABLED（P4a 增补漏登）
- 漏译修复：viewer.photoRemoved en 侧缺失（审计测试捕获）；
  DOWNLOAD_DISABLED 观众侧专属文案 + useDownload 专属提示接线；
  admin apiMsg 增 RATE_LIMITED/ALBUM_NOT_PUBLIC/DOWNLOAD_DISABLED/
  SYNC_AUTH_FAILED 四码词条
- 运行时抽查：admin 主旅程 en 版 e2e（登录→相册管理全英文 + 偏好
  持久）；embed iframe lang=en 渲染与深链跟随 e2e（zh 侧既有用例覆盖）
- contracts 新增 ./errors 浏览器安全子路径（errors.ts 纯 TS）；
  admin 增 @photo/contracts devDep（仅测试消费）

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-20 23:44:27 +08:00
浅念 8f2c21d25a feat(viewer): embed carousel iframe with visibility pause 
P4b Task 4：宿主 loader 以 iframe 载入的轮播页（/embed/:slotToken，裸布局）。

- src/embed/feed.ts：纯函数集——A22 旧响应裁决（dispatch seq + configVersion
  双闸：过期/回看丢弃、等值差分合并、升值全量重置）、照片队列差分（新照片
  追加队尾、缺席淘汰、thumb 签名刷新）、interval/高度夹取、轮询退避；
- src/embed/useEmbedFeed.ts：取数编排（If-None-Match → 304 零处理）、轮询
  （查询 interval 覆盖 → EMBED_POLL_INTERVAL_MS，连续 5 失败 ×5 退避，成功
  归零；404/410 静默 collapse 隐藏自身）、A23 不可见暂停（document 隐藏 +
  IntersectionObserver 滚出视口 + 本地收起；恢复立即校准）、轮播 intervalMs
  切换；__embedPollMs e2e 注入点；
- src/embed/postMessage.ts：上行 resize/collapse（referrer origin 收敛，缺失
  退 '*'——载荷无敏感数据，宿主侧 loader source+origin 双校验）、下行 expand
  （event.source === window.parent 白名单）；
- EmbedPage.vue：交叉淡入淡出（仅 thumb 小图省流量）、点击 window.open 单图
  深链（noopener）、计数圆点、「照片即将上线」空态卡、×收起；lang 查询
  （auto→相册 defaultLocale）驱动嵌入词条子集；
- api client：fetchPublicEmbedSlot（304/ETag 分支，不走 apiRequest）；
- e2e：宿主夹具页 public/__test__/embed-host.html（仅测试资产）+ embed.spec 7
  用例（轮换/新标签深链/收起记忆/窄屏 sm/轮询增量/换绑重置/空态/幽灵槽）；
  helpers 增展示位 admin API 种子 + flushOutbox；
- vitest 18 用例（裁决矩阵/队列差分/夹取/退避/304/可见性状态机）。

配套修正：api CORS exposedHeaders ETag（跨源浏览器可读，304 语义成立）；
contracts 新增浏览器安全子路径 ./constants（根出口 re-export internal-sync
的 node:crypto 会打进浏览器包）；eslint ignore embed-loader 产物拷贝
（Task 3 起 viewer lint 红，先修）。

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-20 23:02:07 +08:00
浅念 aee4b7ac46 feat(api): embed slots with ov replica and public feed 
Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-20 22:22:19 +08:00
浅念 eb51069a12 feat(contracts): embed slots admin and public endpoints 
Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-20 21:49:09 +08:00
浅念 2bb6f291d3 feat(ov,viewer): two-tier download with wechat guidance 
P4a Task 4（T12 收口）：ov 域公开照片下载端点 + viewer 下载 UI。

- interactions 增 downloads：GET /public/albums/{token}/photos/{photoId}
  /download?variant=browse|original。两级开关（A18）：browse 需
  downloadEnabled；original 需叠加 originalDownloadEnabled（级联，browse 关
  则两者均 403 DOWNLOAD_DISABLED）。水印相册 browse 现签 watermark pattern
  key（browse-key 解析抽取 shared/ov-browse-key 与 public-ov 复用）；原图
  现签 originalObjectKey（SIGNED_URL_TTL）。来源 IP 固定窗限速
  （DOWNLOAD_WINDOW_REQUESTS/DOWNLOAD_WINDOW_SECONDS，env 可调）；零浏览
  计数写入（排除规则）。STORAGE_PORT_OV 经新 StorageOvModule 与 public-ov
  共享同一实例。
- 契约微调登记：PublicAlbum 增 readOnly 必返 downloadEnabled/
  originalDownloadEnabled（cn+ov 同形返回；public e2e 精确键断言同步）。
- viewer：lightbox 下载入口随开关渲染（无/单按钮/分体菜单两选项）、过期
  凭证静默重取一次、微信内置浏览器（MicroMessenger UA）出保存图片指引
  浮层（复制深链 + 反馈）替代直接下载；i18n zh/en 词条。
- tests：api e2e +7（开关矩阵 + URL/字节级断言、水印键一致、隐藏 404、
  限速 429、零计数行）；viewer vitest +9（UA/矩阵/菜单/重取/失败/指引/
  复制）；viewer Playwright +3（入口矩阵、微信 UA 浮层、真实端点 200 +
  签名 URL 模式）。

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-20 18:32:34 +08:00
浅念 243b2f8721 feat(worker): watermark versioning with atomic history regeneration 
Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-20 17:53:44 +08:00
浅念 8a8ad8a18d feat(contracts): p4a admin governance, watermark, download and usage endpoints 
P4a Task 1 契约扩展批次（36 → 51 operations，gen/redocly/枚举同步守护绿）：

- photos：POST /albums/{albumId}/photos/hide-batch（photoIds 1..200，逐项
  BatchHideResult {photoId, ok, code?}，部分成功语义，A16）；
- admin：POST /admin/albums/{albumId}/transfer（owner 交接，历史上传人不动，
  keepAsCollaborator，A17）；
- albums：POST/GET /albums/{albumId}/watermark-jobs（WatermarkConfig 版本化
  + 历史重生成任务 state/progress/total/failed，原子切换、原图永不覆盖，
  A18/A20）；
- interactions：GET /public/albums/{token}/photos/{photoId}/download
  （variant=browse|original 两级开关校验；**新增错误码 DOWNLOAD_DISABLED**，
  errors.ts 与 Error enum 两侧同步，A18）；
- admin 账号治理：GET /admin/users 统一为 listAdminUsers 双模式 + PATCH
  /admin/users/{userId} 与 reset-password / activate / deactivate；
- admin 用户同步：GET /admin/user-sync/{status,runs,errors} + POST runs
  手动补拉（互斥复用进行中批次，A29）；
- admin 用量：GET /admin/usage/summary + PUT thresholds（null 清除、
  即刻重评估，A23）。

偏差登记①——/admin/users 路径冲突（P1b lookupUsersByAccount）：P4a 决策
统一为双模式端点（前缀模式沿用 P1b 语义与任何已认证工作人员可用；管理
列表模式 query/status 过滤 + 游标 + 仅 admin），响应统一 AdminUserList
（AdminUser 字段超集，游标元信息随行）。消费方同步：admin 邀请搜索
（fetchLookupUsers/类型镜像，行为不变）与 api 过渡实现（仍仅前缀模式、
limit 对齐 1..100 缺省 20；管理列表模式与仅 admin 判定随 Task 6 落地，
users-lookup e2e 已按统一形状修订）。

偏差登记②——apps/mobile 手写镜像未随本次更新：其邀请流程仍按旧 3 字段
投影消费（AdminUserList 为超集，运行时兼容，mobile IT 不经该路径）；列
为 P4a 跟进项，仅当其 e2e 破坏时处理。

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-20 15:56:38 +08:00
浅念 31ba03de11 feat(api): password change endpoint and source device id on uploads 
P3 Task 3 契约增补批次（单一事实来源 openapi.yaml + cn 实现 + e2e）：

- POST /v1/auth/password-change（operationId changePassword，需求 4.1 的
  P1 契约缺口补齐）：Bearer + {oldPassword 1-128, newPassword 8-128} → 204；
  旧密码错误 401 AUTH_INVALID_CREDENTIALS；成功后事务内更新 argon2 哈希、
  撤销该用户除当前会话外的全部其他会话（当前会话保留，本人不下线）、写
  审计 auth.password_change。
- sourceDeviceId（A19 设备来源语义）：UploadInitRequest 可选 8-64 位设备
  标识；upload_sessions 落列（VARCHAR(64) utf8mb4_0900_bin，可空，存量
  行 NULL 兼容）；GET /uploads 条目回显；幂等重放不比对（first-writer，
  首次落库值不随重放漂移）。
- e2e：auth 增 4 例（未认证 401 / 新密码过短 400 / 旧密码错误 401 且会话
  无副作用 / 成功后他端会话撤销当前保留 + 新旧密码登录裁决 + 审计）；
  uploads 增 1 例（携带落库回显、换设备重放保留首值、缺省 null、长度
  越界 400）。api e2e 179 → 184；contracts gen/redocly/单测、worker、
  sync 门全绿。

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-19 00:59:39 +08:00
浅念 cdead49838 feat(viewer): likes, bubbles, visit reporting and hot sorting 
Task 10 viewer 互动化：

- 点赞：useLikes 批次状态机（500ms 防抖 / 5 次满额即冲 / 失败同 batchId
  退避重试 3 次后回滚丢弃），乐观计数 + 服务端 total 权威校准
  （countVersion 单调），大图与格子双入口；
- WS 实时：RealtimeClient 纯状态机（半频心跳、指数退避重连、三败降级、
  重连成功 resync 第 1 页重取），消息路由器做 likes.burst 自身过滤
  （originBatchIds 求交）、隐藏页暂停与减少动画下仅校准不出气泡；
  photo.hidden/deleted 即时移出序列并回退邻居大图；降级后 8s 轮询接管；
- 浏览上报：visitorId 跨标签 BroadcastChannel first-writer-wins 协调，
  可见时上报、requestId 持久幂等、网络失败指数重试；
- 排序：最新/热门 chips（热门走 ov 冷快照），大图打开期间禁用切换；
  顶栏「减少动画」偏好开关；
- 契约包新增 ./realtime 子路径出口（浏览器面不可引桶出口——其连带
  internal-sync 的 node:crypto 会被 Vite 外置化致整页崩溃）；
- e2e 注入钩子 __viewerWsUrl/__viewerWsRetryBaseMs/__viewerRealtimePollMs/
  __viewerBubbleMs 与 .activity[data-connection] 连接态锚。

vitest：viewer 105（新增 36：likes 批次 8、visitor 协调 5、上报门控 4、
路由 8、WS 状态机 7、排序 4）；Playwright：viewer 21（新增 likes.spec 7、
journey 补互动腿断言）。

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-18 19:52:27 +08:00
浅念 955bea49b5 feat(sync): stat snapshot return path with version replacement 
P2 Task 9 统计回传（ov→cn）：
- cn 迁移：albums 增 viewCountReplica/statsVersion/statsSyncedAt、
  photos 增 statsVersion（like_count 已有副本位；无 VARCHAR 新列不涉校对手决）
- cn 接收端 POST /v1/internal/sync/stat-snapshots（InternalSyncGuard）：
  整批单事务，逐快照 updateMany WHERE statsVersion < statVersion —— 仅更高
  statVersion 以权威 total 整体替换副本（绝不相加），重复/乱序幂等忽略；
  accepted 只数实际应用条数；views 应用同时推进 statsSyncedAt（A27 展示）
- ov 回传发送器 services/sync/stat-return.ts：聚合 outbox_stat_events 未发送
  行按（kind, photoId|albumId）取 MAX(statVersion) 折叠突发 → HMAC 推送 →
  200 后按计数器标记截至该版本全部源行 sentAt；失败留待下轮重发；main.ts
  第三循环 STAT_RETURN_INTERVAL_MS（默认 60s，env 可调）
- 契约 AlbumSummary + statsSyncedAt（string|null readOnly，+gen）；listAlbums/
  getAlbum 经 toSummaryResponse 暴露（管理 UI 列留 P4a）
- e2e（services/sync stat-return.e2e-spec，7 例）：逐次点赞回传替换式收敛
  （2→5→10 非累加）、浏览窗口去重回传 + statsSyncedAt、重复回传 accepted=0
  值不动（A27 不重复累计）、乱序高版本替换（total 可下调）+ 低版本忽略、
  发送端折叠只发最高版本且被折叠行随批确认、管理列表 likeCount/statsSyncedAt
  展示、新端点 401/400 守卫

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-18 18:45:43 +08:00
浅念 1f2a0c658f feat(ov): windowed dedup visit counting with retention cleanup 
Task 8 (P2): POST /public/albums/{token}/visits with visit_sessions
window dedup (VISIT_WINDOW_MINUTES), requestId idempotent replay
(echoes stored outcome; expired beyond VISIT_REQUEST_TTL_MINUTES
rejected), album_stats viewCount/statVersion authority + outbox_stat_events
views snapshots, WS stats.updated broadcast, visitorId+IP fixed-window
rate limit (VISIT_WINDOW_REQUESTS), and ov CleanupModule scheduler
(setInterval, CLEANUP_INTERVAL_MINUTES) deleting like_batches /
visit_requests / visit_sessions past their windows — totals never
touched. Contract prose aligned to replay semantics; constants
VISIT_WINDOW_REQUESTS / CLEANUP_INTERVAL_MINUTES added.

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-18 18:14:01 +08:00
浅念 85b2da3db5 feat(ov): idempotent batched likes and realtime broadcast 
P2 Task 7（点赞批次端点 + ov 实时网关）：
- interactions 模块（仅 ov 装配）：POST /public/albums/{token}/photos/
  {photoId}/likes——相册不可见/照片未发布 404、delta 1..20 与
  sessionId/batchId 1..64 校验 400；单事务 like_batches 唯一插入
  （P2002=幂等重试，batchAccepted=true 不重加）→ photos_ov.likeTotal/
  countVersion 原子自增回读 → outbox_stat_events(kind=likes) 兜底；
  Redis ov（REDIS_URL_OV）INCRBY+TTL 会话/IP 双窗口限流（默认
  500/2000，超限 429 RATE_LIMITED），幂等重试先于限流不耗额度
- 过期批次重放边界（24h 清理后的 batchId 重插会再次计入）：接受该
  边界——无永久账本可查（保留全量批次行违背清理策略），会话/IP 窗口
  上限即重放天然封顶（同一 sessionId 重放挤占自身额度），偏差已在
  likes.service 头注释登记，Task 8 统计侧按清理后语义处理
- realtime：ContractWsAdapter（契约 {type,...} 帧分发，ws 与 HTTP 同
  端口挂 /v1/realtime）+ RealtimeGateway 相册房间模型——subscribe 逐
  相册校验 isAlbumVisibleOv，失败回 error 帧且连接保持；应用层 ping→
  pong 回显 ts；传输层 HEARTBEAT_MS 周期 ping 踢死连接；点赞提交经
  EventEmitter2（单进程，多实例 Redis pub/sub 登记 P5）触发
  likes.burst 500ms 合并窗（delta 聚合、originBatchIds 供客户端过滤
  自身批次）；sync-inbox 应用事务提交后发 OV_PHOTO_APPLIED →
  photo.published/hidden/deleted 按房间广播（stale/duplicate/暂存/
  缺席即撤下不转发）
- 契约：REALTIME_WS_PATH、ServerMessage 增 error 帧（穷尽锁 7 成员
  + 类型测试）、LIKE_SESSION_WINDOW_DELTA/LIKE_IP_WINDOW_DELTA/
  LIKE_BURST_MERGE_MS 常量与 .env.example
- e2e（likes-realtime.e2e-spec.ts，6 用例）：A09 三批累加/幂等重试/
  outbox 行、小额度 429、ping/pong+幽灵 token error 帧连接保持、
  A10 双房间隔离（先证非空调订）、合并窗单 burst（delta 求和+双
  originBatchIds）、cn 隐藏→房间收 photo.hidden+隐藏后点赞 404；
  凡进程内起 AppOvModule 的 spec（sync×2/public-ov/emergency）补装
  ContractWsAdapter 与生产 main-ov 一致——api e2e 168（162+6）

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-18 17:51:55 +08:00
浅念 0fcf18cc5c feat(ov): public read api on replicas with hot sorting 
P2 Task 6（ov 公开读 API + viewer 切换）：
- ov 装配 PublicOvModule（仅 app-ov.module）：/public/albums/{token}、
  /photos、/photos/{id} 三端点同契约读 ov 副本——translations/categories
  自 JSON 列解析（防御性过滤），banner 经 ov 侧 STORAGE_PORT_OV 预签名
  （同本地 MinIO；只读属约定，真实 OSS 只读凭证 P5），viewCount 取
  album_stats 权威累计（无行默认 0；计数端点 Task 8 接线）
- 排序：latest=发布时间 keyset（shared/cursor.ts 同 cn）；hot=likeTotal
  desc + photoId desc 决胜，顺序按 `${albumId}|${category}` 短期快照
  （内存 TTL 默认 30s，HOT_SORT_TTL_MS 惰性读取）——计数逐请求现读、
  顺序冻结窗口内一致，偏移游标（base64url 整数）在快照内严格稳定；
  非法 sort 400 VALIDATION_FAILED（cn 不感知该参数）
- 契约：viewCount 放宽为 integer|null（cn null、ov 权威值）；
  listPublicPhotos 增 sort 枚举（latest|hot，缺省 latest）；
  PhotoPublishedPayload 增 categoryId——补上 Tasks 3/4 管线缺口
  （payloads/publish.service/sync-inbox 投影 + 关联测试随改）
- e2e（services/api/test/public-ov.e2e-spec.ts，7 用例）：双入口同进程
  起 cn+ov，cn API 种子→真实发送管线投递；断言相册/列表/单图与 cn
  深等（仅签名 URL 剔除）、banner 真字节、参数矩阵 400/404、hot 排序
  TTL 内快照（计数新/顺序旧）+TTL 过期翻转+偏移翻页、隐藏/下线/紧急
  停用逐态撤下
- viewer 切 ov：API 基址 VITE_API_BASE（缺省 http://127.0.0.1:8081，
  空串=同源网关；Vite 只读 apps/viewer/.env*，根 .env 对前端无效），
  移除 /v1 dev 代理（CORS_ORIGINS 增 127.0.0.1:5175 直连两形）；
  playwright webServer 增 dev:ov；e2e 夹具 flushSync(albumId)=cn
  bootstrap 快照 + deliverPendingOnce（sender 新导出）经真实管线投影
  种子，deleteSeededPhoto 改软删让墓碑可同步；14 个 Playwright 全绿
  （journey 管理/staffB 腿仍走 cn 8080）

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-18 17:05:56 +08:00
浅念 eac8da6d6c feat(ov): emergency disable channel independent of sync 
P2 Task 5（海外紧急停用入口）：
- ov 新增 POST /v1/internal/emergency/disable|enable（InternalSyncGuard
  HMAC，albumToken/albumId 恰好其一、都缺省 400；副本不存在 404
  ALBUM_NOT_FOUND）：直写 albums_ov.emergencyDisabled（唯一 ov 本地可写
  位），独立于同步版本链——更高版本 album.updated 重放不解除（e2e 断言
  entityVersion 推进而标志保持），恢复仅经显式 enable；幂等语义
  （alreadyDisabled/wasDisabled 入审计行）
- cn 侧不感知：无对应 cn 状态位、无反向同步（契约描述文档化）
- 审计：pino child（audit=emergency 字段常驻每行）结构化日志——偏差
  登记：计划原文「写 ov 侧日志文件」落地为字段标记而非独立文件通道
  （免新增文件 transport 依赖，P5 运维按字段路由聚合）；注入令牌
  EMERGENCY_AUDIT_LOGGER，测试覆写为内存目的地断言字段
- isAlbumVisibleOv 共享判定（status=active && publicEnabled &&
  !emergencyDisabled——镜像 cn 公开语义叠加本地停用位）：Task 6 公开
  API / Task 7 WS subscribe 的 404 ALBUM_NOT_PUBLIC 语义单一实现，
  判定矩阵单测锁定
- 契约 [internal] 增 emergency disable/enable 操作与 schema（gen 已跑、
  redocly 通过）；e2e：token/id 定位、幂等、enable 恢复、未签名 401、
  均缺省 400、未知相册 404、同步事件不解除

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-18 16:19:02 +08:00
浅念 36082c5a74 feat(sync): reconciliation scheduler with digest and bootstrap healing 
P2 Task 4（inbox 对账）：
- services/sync 新增 SyncReconciler（runOnce 可测；main 双循环，间隔
  SYNC_RECONCILE_INTERVAL_MS env 可调，CN_API_URL 指向 cn 入口）：每轮
  先按 album/category/photo/asset 逐类分页拉取 cn reconcile「当前状态
  事件」并直接签名推送到既有 content-batches 管道。sinceVersion 取 0
  （全量当前态）而非 per-type 已应用最大版本——cn reconcile 以类型级
  全局版本阈值过滤，类型内单实体滞后会被 max 掩蔽；ov 的 eventId 幂等
  + 版本单调把已追平实体全部判重（recon 确定性 eventId 重扫零成本），
  偏差登记：计划原文对账返回「缺失清单」，契约已定为可重放 SyncEvent
  数组（免建第二条拉取通道），openapi 描述同步更新
- cn 新增 POST /internal/sync/digest：每相册权威计数 {categoryCount,
  publishedPhotoCount, photoCount, assetCount}；ov 比对副本计数（照片
  取 [publishedPhotoCount, photoCount] 区间口径——hidden/deleted 照片
  若从未以 published 态同步过 ov 合法无行，缺席即撤下），不一致相册
  自动触发 cn bootstrap 重建；ov-only 相册（cn 行已删，bootstrap 无法
  表达删除）告警登记不自动处置
- 收敛语义两处落位：① sync-inbox 版本比较改「严格更旧才拒绝」——
  同版本新 eventId（bootstrap/reconcile 快照重发）为当前态幂等重断言
  应用，修复 ov 缺失副本行；A26 不受影响（更旧版本仍拒绝，cn 侧
  entityVersion 与状态一一对应）② album.updated 快照载荷（bootstrap/
  reconcile）携带分类全量清单，ov 存在即整体替换 albums_ov.categories
  ——修复错过的 category 墓碑（Task 3 登记边界：cn 行已删，无现存实体
  事件可重放，唯全量替换可收敛）
- e2e（reconcile.e2e-spec）：漏事件追赶（ov v1/cn v5 事件投后即失）→
  清扫追平；digest 修复缺失 photos_ov 行（bootstrap 重发 → 同版本
  重断言重建）；digest 修复丢失的分类墓碑（全量清单替换收敛）；稳态
  空转（applied=0、无 bootstrap）；Task 3 套件保持绿

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-18 16:18:31 +08:00
浅念 65726702f3 feat(sync): cn event coverage, bootstrap and outbox sender 
Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-18 15:21:41 +08:00
浅念 24327c5147 feat(contracts): p2 realtime, likes, visits and internal sync contracts 
Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-18 13:34:35 +08:00
浅念 c2a9cc51f3 feat(contracts): p1b asset upload, management photo list, account lookup 
Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-18 08:23:59 +08:00
浅念 47fb81ad31 chore(api): p1a final-review hygiene items 
- contracts: add NOT_FOUND error code (framework-level 404 for unknown
  routes); Error enum + regen committed
- api: 404 default mapping in AllExceptionsFilter now NOT_FOUND (was
  ALBUM_NOT_FOUND); business 404s unchanged via explicit ApiException codes
- api: extract configureApp (prefix/CORS/x-powered-by) shared by main-cn
  bootstrap and e2e; disable x-powered-by, asserted in e2e
- api: move parseCursor/parseLimit (+page-size bounds) from
  albums.controller to shared/pagination; members/uploads/public re-pointed
- infra: bind compose published ports to 127.0.0.1 (mysql/redis/minio);
  .env.example endpoints follow suit
- e2e: unknown-route 404 NOT_FOUND + x-powered-by absent cases added
  (api e2e 120 -> 122)

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-18 08:18:30 +08:00
浅念 a2a3ccd340 feat(api): idempotent upload session init with presigned credential 
POST /v1/uploads (Task 18, A03): @@unique(userId, clientTaskId) idempotency
anchor — same params return the original session (201, no duplicate photo);
param drift (album/bytes/contentType/extension) -> 409 UPLOAD_SESSION_CONFLICT.
photos.objectKey is set to the FINAL originals key at init while the session
holds the staging key; IDs come from an app-side cuid-like generator so both
self-referencing keys are written in one transaction. Credential is a real
MinIO presigned PUT (SIGNED_URL_TTL_SECONDS, lazily read). Permission order:
album invisible 404 -> member 403 -> uploadEnabled 409 -> size/ext 400 ->
category ownership 400. No audit on init (audit anchors on complete).

Pre-step for Task 19: QUEUE_PHOTO_PROCESS contract constant + lazy-safe
BullMQ queue producer (Redis down at boot must not crash the app; enqueue
failure only logs — sweep compensates). e2e reset now also wipes the MinIO
photo-live/dev prefix; jest maps @photo/storage to TS source.

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-17 22:42:13 +08:00
浅念 39cae26106 feat(api): password login, sliding renewal, revocable sessions 
- POST /v1/auth/password|refresh|logout per contract operationIds;
  long-lived single token (32B hex, DB stores sha256 only), sliding
  renewal without rotation, logout sets sessions.revokedAt.
- SessionGuard: Bearer -> session -> user eligibility (disabled/locked/
  pending revoke access); all failures map to 401 AUTH_TOKEN_EXPIRED.
- Anti-enumeration: unknown account / wrong password / status-blocked
  share one 401 AUTH_INVALID_CREDENTIALS; unknown-account path runs a
  dummy argon2 verify to equalize timing.
- Login rate limiting (P1): in-memory account+IP sliding window,
  5 failures / 15 min -> 429; success clears. Contract amendment
  (registered): new ErrorCodes.AUTH_RATE_LIMITED added to errors.ts +
  openapi Error enum + 429 response on /auth/password; generated types
  regenerated and committed. P1a single-instance limiter; P5 needs a
  Redis-backed implementation.
- Global ValidationPipe (APP_PIPE) enforces class-validator DTOs ->
  400 VALIDATION_FAILED via the existing exception filter.

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-17 21:17:16 +08:00
浅念 7d250ec342 feat(api): cn-app skeleton, toolchain, env loading convention 
Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-17 19:14:41 +08:00
浅念 f77ab5ae4b feat(contracts): outbox event contract types 
Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-17 18:18:06 +08:00
浅念 b4ee92de96 docs(contracts): locale fallback wording on public endpoints 
Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-17 18:11:21 +08:00
浅念 f6448bd006 fix(contracts): quality review fixes for p1a contracts 
- status enum active|archived -> active|offline (align requirement docs)
- UploadSessionState session-state semantics documented (no failed state)
- maxLength: clientTaskId 128 / filename 255 / cursor 512
- PublicPhoto width/height required (layout placeholders)
- reusable Unauthorized/InternalError responses (hybrid with inline op-specific codes)
- PublicAlbum.translations -> translation (single resolved object)
- contentType enum [jpeg/png/heic] (heic provisional pending G2)
- minLength 1 on title/name; publicToken pattern ^[0-9a-z]{20,32}$
- CursorPageMeta hasMore/nextCursor invariant documented
- public locale: silent fallback to defaultLocale (tech doc section 11)
- plan: upload_sessions state comment aligned; P1b adds management photo list + account lookup endpoints

Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-17 18:06:54 +08:00
浅念 1dae00eaef feat(contracts): p1a endpoint contracts 
Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-17 17:31:11 +08:00
浅念 656498d748 feat(contracts): openapi base, error codes, type generation 
Co-Authored-By: Claude Code <noreply@anthropic.com>
 2026-09-17 17:04:12 +08:00