@xiaobuyu/nodesign 0.0.1

package/server/api/admin.js

@@ -0,0 +1,187 @@
+/**
+ * server/api/admin.js — 内测管理接口（2026-07-30）
+ *
+ * 全部挂 adminGuard（authGuard 已在外层挂好 req.user）。用户/邀请码还是走
+ * curl / server/scripts/invite.mjs；问题库有页面（/admin/issues）。
+ *
+ *   POST   /api/admin/invites          {maxUses?, expiresInDays?} → 生成邀请码
+ *   GET    /api/admin/invites          邀请码列表（含用量）
+ *   PATCH  /api/admin/invites/:code    {maxUses} 改总次数（0 = 封死）
+ *   GET    /api/admin/users            用户列表 + 今日用量
+ *   PATCH  /api/admin/users/:id        {disabled?, dailyCostLimitUsd?, lifetimeCostLimitUsd?} 封禁/调限额
+ *   GET    /api/admin/issues           harness 问题库（按次数降序）+ 按工具聚合
+ *   PATCH  /api/admin/issues/:id       {status} open|ack|ignored|closed
+ *   DELETE /api/admin/issues/:id       删掉一条
+ */
+
+import express from 'express';
+import { adminGuard } from '../auth/middleware.js';
+import { createInvite, listInvites, getInvite, updateInvite, listUsers, getUserById, updateUser } from '../auth/users-store.js';
+import { tierOf, PLANS } from '../auth/tier.js';
+import { usedCostToday, usedCostTotal, usedTokensToday, limitFor } from '../lib/quota.js';
+import { listIssues, setIssueStatus, removeIssue, issueStats } from '../lib/issues-store.js';
+import { createNotice, listNotices, getActiveNotice, retireNotice, retireAllNotices } from '../lib/notice-store.js';
+import { flagCounts, listFlags, removeFlag, levelForKnob, LEVELS } from '../lib/moderation.js';
+
+const router = express.Router();
+router.use(adminGuard);
+
+router.post('/invites', (req, res) => {
+  const maxUses = Number(req.body?.maxUses) || 1;
+  const days = Number(req.body?.expiresInDays);
+  const expiresAt = Number.isFinite(days) && days > 0
+    ? new Date(Date.now() + days * 86400_000).toISOString() : null;
+  // grantLifetimeUsd：该码注册的号走终身额度（试用口径，不刷新）
+  const grant = Number(req.body?.grantLifetimeUsd);
+  const invite = createInvite({
+    createdBy: req.user.id,
+    maxUses: Math.max(1, Math.min(100, maxUses)),
+    expiresAt,
+    grantLifetimeUsd: Number.isFinite(grant) && grant > 0 ? grant : null,
+  });
+  res.status(201).json({ invite });
+});
+
+router.get('/invites', (_req, res) => {
+  res.json({ invites: listInvites() });
+});
+
+// 改可用次数（总次数口径）。0 或 ≤ 已用数 = 封死该码 —— 泄漏时的止血阀，
+// 所以这里不设下限 1，也不 clamp 到 100（长期公开码就是要给大数的）
+router.patch('/invites/:code', (req, res) => {
+  if (!getInvite(req.params.code)) return res.status(404).json({ error: 'invite not found' });
+  const maxUses = Number(req.body?.maxUses);
+  if (!Number.isInteger(maxUses) || maxUses < 0 || maxUses > 100000) {
+    return res.status(400).json({ error: 'maxUses 需为 0-100000 的整数（0 = 封死）' });
+  }
+  res.json({ invite: updateInvite(req.params.code, { maxUses }) });
+});
+
+router.get('/users', (_req, res) => {
+  const flags = flagCounts();                 // 内容外审标记（lib/moderation.js）
+  const users = listUsers().map(u => ({
+    ...u,
+    tier: tierOf(u),                          // admin | pro | basic（auth/tier.js 派生；前端章只认这个）
+    costToday: usedCostToday(u.id),           // 美元，闸门真口径
+    costTotal: usedCostTotal(u.id),           // 全史；试用号（lifetimeCostLimitUsd 非空）拿它对限额
+    tokensToday: usedTokensToday(u.id),       // 参考
+    effectiveDailyLimitUsd: limitFor(u),
+    flagsCount: flags.get(u.id) || 0,
+    effectiveModerationLevel: levelForKnob(u, 'subscription'),  // 订阅模型：默认档算完的实际生效值
+    effectiveModerationLevelApi: levelForKnob(u, 'api'),         // 本地/中转旋钮的生效值
+  }));
+  res.json({ users });
+});
+
+router.patch('/users/:id', (req, res) => {
+  const user = getUserById(req.params.id);
+  if (!user) return res.status(404).json({ error: 'user not found' });
+  const patch = {};
+  if (typeof req.body?.disabled === 'boolean') patch.disabled = req.body.disabled;
+  // 外审强度：null = 跟随默认档（按档位：basic strict / pro loose / admin off，auth/tier.js）
+  // 两个旋钮（08-20）：订阅模型 / 本地与中转（见 lib/moderation.js 文件头）
+  for (const key of ['moderationLevel', 'moderationLevelApi']) {
+    if (!(key in (req.body || {}))) continue;
+    const lv = req.body[key];
+    if (lv !== null && !LEVELS.includes(lv)) {
+      return res.status(400).json({ error: `${key} 需为 ${LEVELS.join('/')} 或 null` });
+    }
+    patch[key] = lv;
+  }
+  if ('localGen' in (req.body || {})) {
+    patch.localGen = !!req.body.localGen;
+  }
+  if ('plan' in (req.body || {})) {
+    // 08-21 晚：档位真相源（auth/tier.js）。订阅/生图/发布/外审默认档全从它派生；admin 的 plan 不可改（role 派生）
+    if (user.role === 'admin') return res.status(400).json({ error: 'admin 的档位由 role 派生，不可改' });
+    if (!PLANS.includes(req.body.plan)) return res.status(400).json({ error: `plan 需为 ${PLANS.join('/')}` });
+    patch.plan = req.body.plan;
+  }
+  // 07-31 起限额单位是美元。老字段 dailyTokenLimit 仍收（存量数据能改回去），
+  // 但它已经不参与闸门判断了 —— 真正生效的是 dailyCostLimitUsd。
+  for (const [key, label] of [['dailyCostLimitUsd', '美元'], ['lifetimeCostLimitUsd', '美元'], ['dailyTokenLimit', 'token']]) {
+    if (!(key in (req.body || {}))) continue;
+    const v = req.body[key];
+    if (v !== null && (!Number.isFinite(Number(v)) || Number(v) < 0)) {
+      return res.status(400).json({ error: `${key} 需为非负数（${label}）或 null` });
+    }
+    patch[key] = v === null ? null : Number(v);
+  }
+  res.json({ user: updateUser(user.id, patch) });
+});
+
+// ── 站内公告（2026-07-31）──
+// 一次只有一条生效（取最新）。发新的等于覆盖旧的，不用先下架。
+
+router.get('/notices', (_req, res) => {
+  res.json({ notices: listNotices(), active: getActiveNotice() });
+});
+
+router.post('/notices', (req, res) => {
+  try {
+    const notice = createNotice({
+      body: req.body?.body,
+      level: req.body?.level || 'info',
+      expiresInHours: req.body?.expiresInHours,
+    });
+    res.status(201).json({ notice });
+  } catch (err) {
+    res.status(400).json({ error: err.message });
+  }
+});
+
+router.delete('/notices/:id', (req, res) => {
+  if (req.params.id === 'all') return res.json({ retired: retireAllNotices() });
+  if (!retireNotice(req.params.id)) return res.status(404).json({ error: 'notice not found' });
+  res.status(204).end();
+});
+
+// ── 内容外审留证（2026-08-02）──
+// 拦截发生在 turn.js 闸门；这里只读账。连坐封禁自动发生（lib/moderation.js），
+// 解封走既有 PATCH /users/:id {disabled:false}。
+
+router.get('/moderation', (req, res) => {
+  const userId = typeof req.query.userId === 'string' && req.query.userId ? req.query.userId : null;
+  const limit = Math.min(500, Number(req.query.limit) || 100);
+  res.json({ flags: listFlags({ userId, limit }) });
+});
+
+router.delete('/moderation/:id', (req, res) => {
+  if (!removeFlag(req.params.id)) return res.status(404).json({ error: 'flag not found' });
+  res.status(204).end();
+});
+
+// ── harness 问题库（2026-07-30）──
+// 两个来源写同一张表：auto = PostToolUseFailure 自动记的工具失败；
+// agent = report_friction 主动报的摩擦。默认按次数降序 —— 一眼看到最该修的。
+
+router.get('/issues', (req, res) => {
+  const { status, source, kind } = req.query;
+  const limit = Math.min(500, Number(req.query.limit) || 200);
+  res.json({
+    issues: listIssues({
+      status: typeof status === 'string' && status !== 'all' ? status : undefined,
+      source: typeof source === 'string' && source !== 'all' ? source : undefined,
+      kind: typeof kind === 'string' && kind !== 'all' ? kind : undefined,
+      limit,
+    }),
+    stats: issueStats(),
+  });
+});
+
+router.patch('/issues/:id', (req, res) => {
+  try {
+    const issue = setIssueStatus(req.params.id, String(req.body?.status || ''));
+    if (!issue) return res.status(404).json({ error: 'issue not found' });
+    res.json({ issue });
+  } catch (err) {
+    res.status(400).json({ error: err.message });
+  }
+});
+
+router.delete('/issues/:id', (req, res) => {
+  if (!removeIssue(req.params.id)) return res.status(404).json({ error: 'issue not found' });
+  res.status(204).end();
+});
+
+export default router;

package/server/api/assets/docx-page.js

@@ -0,0 +1,103 @@
+/**
+ * assets/docx-page.js — `GET /:pid/docx-page` 的处理器。
+ *
+ * 画布上的缩略图和产物窗里的翻页吃的是同一份缓存：一次 LibreOffice 出整份，
+ * 翻页零成本（详见 lib/docx-pages.js）。给 `w` 就缩到那个宽度出 webp，
+ * 缩略图走这条 —— 不为小一号再起一次 soffice。
+ *
+ * 单开一个文件是因为它跟 assets.js 其余路由一行代码都不共享，而 assets.js
+ * 已经压在行数棘轮的上限上。（依赖用注入的，不去 import assets.js 的内部件 ——
+ * 那会绕成一个环。）
+ *
+ * ⚠️ 冷启第一次会真跑渲染（几百毫秒到两秒），前端要能等 —— **别在这条路上加
+ * 超时重试**，重试只会把同一份文档排进闸门两次。
+ */
+
+import path from 'node:path';
+import { promises as fs } from 'node:fs';
+import { pageImage, docPdf } from '../../lib/docx-pages.js';
+import { safeResolveRead } from '../../lib/safe-path.js';
+
+/** 缩略图宽度上限：再大就不是缩略图了，纯粹是让服务端白干 */
+const MAX_WIDTH = 2000;
+
+export function makeDocxPageHandler({ getSharedDir, guardProject }) {
+  return async (req, res, next) => {
+    try {
+      if (!guardProject(req, res)) return;
+      const rel = String(req.query.path || '').replace(/\\/g, '/');
+      if (!rel || !/\.docx$/i.test(rel)) return res.status(400).json({ error: 'path 得是一个 .docx' });
+
+      // ⚠️ 只做词法检查是不够的：工作区里一个指向 .env 的软链，路径逐字看都在
+      // 工作区内，soffice 会老老实实把明文渲成一张 PNG 发出去。而这条路走的是
+      // **没有沙盒的 server 进程**，绕开了给 agent 设的 permissions.deny。
+      // 判据收在 lib/safe-path.js，别在这儿再抄一遍。
+      const root = getSharedDir(req.params.pid);
+      const abs = await safeResolveRead(root, rel);
+      if (!abs) return res.status(403).json({ error: 'path escapes workspace' });
+
+      let stat;
+      try { stat = await fs.stat(abs); } catch { return res.status(404).json({ error: '找不到这份文档' }); }
+
+      // ETag 带 mtime + size：agent 一 rebuild 就换 key，浏览器自然重取
+      const w = Math.min(Math.max(0, Number(req.query.w) || 0), MAX_WIDTH);
+      const pageNo = Math.max(1, Number(req.query.page) || 1);
+      const etag = `"${stat.mtimeMs}-${stat.size}-${pageNo}-${w}"`;
+      if (req.headers['if-none-match'] === etag) return res.status(304).end();
+
+      let out;
+      try {
+        out = await pageImage(abs, pageNo, w ? { width: w } : {});
+      } catch (err) {
+        console.warn('[docx-page] render failed:', err.message);
+        return res.status(err.status || 500).json({
+          error: '渲染失败',
+          details: String(err.message || err).slice(0, 300),
+        });
+      }
+      res.set('ETag', etag);
+      res.set('Cache-Control', 'private, max-age=60');
+      // 页数给前端画翻页控件，省一次单独的请求
+      res.set('X-Docx-Pages', String(out.count));
+      res.type(out.mime).send(out.buf);
+    } catch (err) { next(err); }
+  };
+}
+
+/**
+ * `GET /:pid/docx-pdf` —— 整份 PDF，产物窗「PDF 视图」的 iframe 吃它。
+ * 跟页图同一份渲染缓存（docx → PDF 本来就是页图链路的中间站），同一套
+ * mtime ETag：agent 一 rebuild 浏览器自然重取，视图永不陈旧。
+ */
+export function makeDocxPdfHandler({ getSharedDir, guardProject }) {
+  return async (req, res, next) => {
+    try {
+      if (!guardProject(req, res)) return;
+      const rel = String(req.query.path || '').replace(/\\/g, '/');
+      if (!rel || !/\.docx$/i.test(rel)) return res.status(400).json({ error: 'path 得是一个 .docx' });
+      // 软链判据同上：收在 lib/safe-path.js，别抄
+      const root = getSharedDir(req.params.pid);
+      const abs = await safeResolveRead(root, rel);
+      if (!abs) return res.status(403).json({ error: 'path escapes workspace' });
+      let stat;
+      try { stat = await fs.stat(abs); } catch { return res.status(404).json({ error: '找不到这份文档' }); }
+      const etag = `"${stat.mtimeMs}-${stat.size}-pdf"`;
+      if (req.headers['if-none-match'] === etag) return res.status(304).end();
+      let out;
+      try {
+        out = await docPdf(abs);
+      } catch (err) {
+        console.warn('[docx-pdf] render failed:', err.message);
+        return res.status(err.status || 500).json({
+          error: '渲染失败',
+          details: String(err.message || err).slice(0, 300),
+        });
+      }
+      res.set('ETag', etag);
+      res.set('Cache-Control', 'private, max-age=60');
+      // inline：在浏览器的 PDF 阅读器里看，不触发下载（要文件走导出）
+      res.set('Content-Disposition', `inline; filename="${encodeURIComponent(path.basename(rel))}"`);
+      res.type('application/pdf').send(out.buf);
+    } catch (err) { next(err); }
+  };
+}

package/server/api/assets/helpers.js

@@ -0,0 +1,22 @@
+/**
+ * assets/helpers.js — assets 这一族路由共用的小纯函数。
+ *
+ * 为什么单独一个文件：2026-08-17 把便签路由拆出去时，这两个函数一个被落下、
+ * 一个被误带走 —— `node --check` 不报、vite build 不报、单测也不报，只有
+ * `no-undef.lint` 抓到了。给它们一个**双方都 import 的家**，这一类事故就
+ * 不会再随下一次拆分复发（谁也不用记得"这个函数该跟着谁走"）。
+ */
+
+/** 单层路径片段：不含分隔符、不含 `..`、不以点开头、长度可控 */
+export function safeSegment(s) {
+  return typeof s === 'string' && !!s && s.length <= 200
+    && !s.includes('/') && !s.includes('\\') && !s.includes('..') && !s.startsWith('.');
+}
+
+/** 便签 frontmatter：只认最简单的 `---\nsession: xxx\n---` 头，其余原样当正文 */
+export function parseNoteFrontmatter(raw) {
+  const m = /^---\n([\s\S]{0,500}?)\n---\n?/.exec(raw);
+  if (!m) return { body: raw, sessionId: null };
+  const sm = /(?:^|\n)session:\s*([A-Za-z0-9-]{8,64})\s*(?:\n|$)/.exec(m[1]);
+  return { body: raw.slice(m[0].length).replace(/^\n+/, ''), sessionId: sm ? sm[1] : null };
+}

package/server/api/assets/notes.js

@@ -0,0 +1,144 @@
+/**
+ * assets/notes.js — 便签（灵感便利贴）的增删改。
+ *
+ * 2026-08-17 从 assets.js 搬出来。这一族自成一体：只碰 `assets/notes/` 和
+ * `notes/` 两个目录，跟 assets.js 其余路由（产物清单、文件服务、文件夹操作）
+ * 不共享任何状态。搬它是因为 assets.js 压在行数棘轮上限上 ——
+ * 「想给胖文件加功能，先拆出去一块」，这是那条规矩兑现的样子。
+ *
+ * ⚠️ 依赖走**注入**不走 import：反过来 import assets.js 会绕成环。
+ */
+
+import express from 'express';
+import path from 'node:path';
+import { promises as fs } from 'node:fs';
+import { safeSegment, parseNoteFrontmatter } from './helpers.js';
+
+/**
+ * @param {object} deps
+ * @param {import('express').Router} deps.router
+ */
+export function mountNotesRoutes({ router, guardProject, getSharedDir, ensureProjectWorkspace, sanitizeFilename }) {
+  /**
+   * POST /:pid/notes — 新建灵感便签（第一个非文件上传类产物 kind）。
+   * body: { text, title? } → 写 shared/assets/notes/<ts>-<slug>.md。
+   * 便签就是 markdown 文件：agent 可 Read（assets/notes/ 在 cwd 软链下），
+   * 加入上下文托盘走和图片相同的 attachment 管道。
+   */
+  router.post('/:pid/notes', express.json(), async (req, res, next) => {
+    try {
+      if (!guardProject(req, res)) return;
+      const text = String(req.body?.text || '').trim();
+      if (!text) return res.status(400).json({ error: 'text required' });
+      if (text.length > 20_000) return res.status(400).json({ error: 'note too long (max 20k chars)' });
+      const sessionId = typeof req.body?.sessionId === 'string' && /^[A-Za-z0-9-]{8,64}$/.test(req.body.sessionId)
+        ? req.body.sessionId : null;
+  
+      await ensureProjectWorkspace(req.params.pid);
+      const notesDir = path.join(getSharedDir(req.params.pid), 'assets', 'notes');
+      await fs.mkdir(notesDir, { recursive: true });
+  
+      // slug：CJK 标题 sanitize 后是一串下划线，折叠+去边；没剩下有效字符就叫 note
+      const slug = sanitizeFilename(String(req.body?.title || text.slice(0, 24)))
+        .replace(/\.+$/, '').replace(/_+/g, '_').replace(/^_|_$/g, '') || 'note';
+      const filename = `${Date.now().toString(36)}-${slug}.md`;
+      // session 归属写进 frontmatter —— 前端按它把便签自动摆进对应工作区
+      const content = sessionId ? `---\nsession: ${sessionId}\n---\n\n${text}` : text;
+      await fs.writeFile(path.join(notesDir, filename), content, 'utf8');
+  
+      res.status(201).json({
+        artifact: {
+          kind: 'note', name: filename, path: `assets/notes/${filename}`,
+          size: Buffer.byteLength(content), mtime: new Date().toISOString(),
+          ext: '.md', isImage: false, text,
+          ...(sessionId ? { sessionId } : {}),
+        },
+      });
+    } catch (err) { next(err); }
+  });
+  
+  
+  /** DELETE /:pid/notes/:filename — 删便签（仅 notes/ 目录，单层名 + 落点校验） */
+  router.delete('/:pid/notes/:filename', async (req, res, next) => {
+    try {
+      if (!guardProject(req, res)) return;
+      const filename = req.params.filename;
+      if (!safeSegment(filename) || !filename.endsWith('.md')) {
+        return res.status(400).json({ error: 'invalid note filename' });
+      }
+      const notesDir = path.join(getSharedDir(req.params.pid), 'assets', 'notes');
+      const filePath = path.resolve(notesDir, filename);
+      if (!filePath.startsWith(notesDir + path.sep)) {
+        return res.status(400).json({ error: 'invalid note filename' });
+      }
+      try {
+        await fs.unlink(filePath);
+      } catch (err) {
+        if (err.code === 'ENOENT') return res.status(404).json({ error: 'note not found' });
+        throw err;
+      }
+      res.status(204).end();
+    } catch (err) { next(err); }
+  });
+  
+  /**
+   * 任务便利贴路由（2026-07-30）—— tasks/<任务>/notes/*.md 的用户侧写入口。
+   * agent 侧不走这里（它直接 Write 文件）；这两条给前端"共享头脑风暴"用：
+   * 用户在贴纸阅读浮层里改内容 / 删贴。
+   *
+   * 校验：任务名和文件名都可能是 CJK（决策.md），不能套 assets/notes 那条
+   * `[A-Za-z0-9._-]` 正则。改为否定式（禁路径分隔符 / .. / 隐藏文件）+
+   * resolve 后必须留在 shared/tasks 下的双保险。
+   */
+  function safeNoteSegment(s, { md = false } = {}) {
+    if (typeof s !== 'string' || !s || s.length > 200) return false;
+    if (s.includes('/') || s.includes('\\') || s.includes('..') || s.startsWith('.')) return false;
+    if (md && !s.endsWith('.md')) return false;
+    return true;
+  }
+  
+  function resolveTaskNote(pid, filename) {
+    const base = path.join(getSharedDir(pid), 'notes');
+    const file = path.resolve(base, filename);
+    if (!file.startsWith(base + path.sep)) return null;
+    return file;
+  }
+  
+  /** PUT /:pid/task-notes/:filename — 写/改便利贴（用户侧编辑） */
+  router.put('/:pid/task-notes/:filename', express.json(), async (req, res, next) => {
+    try {
+      if (!guardProject(req, res)) return;
+      const { filename } = req.params;
+      if (!safeNoteSegment(filename, { md: true })) {
+        return res.status(400).json({ error: 'invalid filename' });
+      }
+      const text = String(req.body?.text ?? '');
+      if (!text.trim()) return res.status(400).json({ error: 'text required' });
+      if (text.length > 20_000) return res.status(400).json({ error: 'note too long (max 20k chars)' });
+      const file = resolveTaskNote(req.params.pid, filename);
+      if (!file) return res.status(400).json({ error: 'invalid path' });
+      await fs.mkdir(path.dirname(file), { recursive: true });
+      await fs.writeFile(file, text, 'utf8');
+      res.json({ ok: true, path: `notes/${filename}` });
+    } catch (err) { next(err); }
+  });
+  
+  /** DELETE /:pid/task-notes/:filename — 删便利贴 */
+  router.delete('/:pid/task-notes/:filename', async (req, res, next) => {
+    try {
+      if (!guardProject(req, res)) return;
+      const { filename } = req.params;
+      if (!safeNoteSegment(filename, { md: true })) {
+        return res.status(400).json({ error: 'invalid filename' });
+      }
+      const file = resolveTaskNote(req.params.pid, filename);
+      if (!file) return res.status(400).json({ error: 'invalid path' });
+      try {
+        await fs.unlink(file);
+      } catch (err) {
+        if (err.code === 'ENOENT') return res.status(404).json({ error: 'note not found' });
+        throw err;
+      }
+      res.status(204).end();
+    } catch (err) { next(err); }
+  });}