chanjs 2.7.4 → 2.7.6

package/middleware/template.js

@@ -1,172 +1,132 @@
-import template from "art-template";
+import artTemplate from "art-template";
 import dayjs from "dayjs";
+import { createRequire } from "module";
 import relativeTime from "dayjs/plugin/relativeTime.js";
 import "dayjs/locale/zh-cn.js";
-import { createRequire } from 'module';
-import { importjs } from "../global/import.js";
+import { marked } from "marked";
 import { filterXSS } from "../security/xss-filter.js";
+import logger from "../utils/logger.js";
 
 const require = createRequire(import.meta.url);
-const { marked } = require('marked');
 
-// ============================================================
-// art-template 过滤器注册（原 extend/art-template.js，合并至此）
-// ============================================================
+// 初始化日期工具
 dayjs.extend(relativeTime);
-dayjs.locale('zh-cn');
-
-// 禁用原生模板引擎，防止模板直接调用 nodejs 语法
-template.defaults.native = false;
+dayjs.locale("zh-cn");
+// 关闭模板原生NodeJS语法，安全隔离
+artTemplate.defaults.native = false;
 
 /**
- * 日期格式化过滤器
- * @param {Date|string|number} date - 日期对象、日期字符串或时间戳
- * @param {string} format - 日期格式字符串
- * @returns {string} 格式化后的日期字符串
+ * 日期格式化
+ * @param {Date|string|number} date
+ * @param {string} format
+ * @returns {string}
  */
-template.defaults.imports.dateFormat = function (date, format) {
+artTemplate.defaults.imports.dateFormat = (date, format) => {
   if (!date) return "";
-  if (date instanceof Date || typeof date === "string" || typeof date === "number") {
-    date = dayjs(date);
-  } else {
-    return "";
-  }
-  return date.format(format);
+  const d = dayjs(["string", "number", "object"].includes(typeof date) ? date : null);
+  return d.isValid() ? d.format(format) : "";
 };
 
 /**
- * 相对时间过滤器（如"刚刚"、"5分钟前"、"3小时前"）
- * @param {Date|string|number} date - 日期对象、日期字符串或时间戳
- * @returns {string} 相对时间字符串
+ * 相对时间（刚刚/几分钟前）
+ * @param {Date|string|number} date
+ * @returns {string}
  */
-template.defaults.imports.timeAgo = function (date) {
+artTemplate.defaults.imports.timeAgo = date => {
   if (!date) return "";
   const d = dayjs(date);
-  if (!d.isValid()) return "";
-  return d.fromNow();
+  return d.isValid() ? d.fromNow() : "";
 };
 
 /**
- * 字符串截断过滤器
- * @param {string} str - 原始字符串
- * @param {number} length - 截断长度，默认10
- * @returns {string} 截断后的字符串
+ * 字符串截断
+ * @param {string} str
+ * @param {number} [length=10]
+ * @returns {string}
  */
-template.defaults.imports.truncate = (str, length = 10) => {
-  return str.length > length ? str.slice(0, length) + "..." : str;
-};
+artTemplate.defaults.imports.truncate = (str, length = 10) =>
+  str?.length > length ? `${str.slice(0, length)}...` : str || "";
 
 /**
- * 安全的 JSON 序列化过滤器（模板调试用）
- * @param {Object} obj - 要序列化的对象
- * @param {Array} keys - 可选，只返回指定的字段
- * @returns {string} JSON字符串
- * @description
- * 安全改进：用 Object.prototype.hasOwnProperty.call 防止原型污染
+ * 安全序列化JSON，防原型污染
+ * @param {any} obj
+ * @param {string[]} [keys] 指定输出字段
+ * @returns {string}
  */
-template.defaults.imports.safeStringify = (obj, keys) => {
-  if (!obj) return 'null';
-  if (keys && Array.isArray(keys) && keys.length > 0) {
-    const filteredObj = {};
-    keys.forEach(key => {
-      // 用原型上的方法调用，避免 obj 重写 hasOwnProperty 导致原型污染
-      if (Object.prototype.hasOwnProperty.call(obj, key)) {
-        filteredObj[key] = obj[key];
-      }
+artTemplate.defaults.imports.safeStringify = (obj, keys) => {
+  if (!obj) return "null";
+  if (Array.isArray(keys) && keys.length) {
+    const filtered = {};
+    keys.forEach(k => {
+      if (Object.prototype.hasOwnProperty.call(obj, k)) filtered[k] = obj[k];
     });
-    return JSON.stringify(filteredObj, null, 2);
+    return JSON.stringify(filtered, null, 2);
   }
   return JSON.stringify(obj, null, 2);
 };
 
 /**
- * 获取对象所有 key 的过滤器（调试查看数据结构）
- * @param {Object} obj - 要获取 key 的对象
- * @param {string} separator - 分隔符，默认换行
- * @returns {string} 所有 key 的字符串
+ * 获取对象key列表
+ * @param {object} obj
+ * @param {string} [separator="\n"]
+ * @returns {string}
  */
-template.defaults.imports.objKeys = (obj, separator) => {
-  if (!obj || typeof obj !== 'object') return '';
-  const sep = separator !== undefined ? separator : '\n';
-  return Object.keys(obj).join(sep);
-};
+artTemplate.defaults.imports.objKeys = (obj, separator = "\n") =>
+  typeof obj === "object" && obj ? Object.keys(obj).join(separator) : "";
 
 /**
- * Markdown 渲染过滤器
- * 自动检测内容是否为 Markdown 格式，渲染为 HTML
- * @param {string} content - 文章内容
- * @param {string} editorType - 编辑器类型，'md' 触发 Markdown 渲染
- * @param {number} allowScript - 是否允许 script，1 允许
- * @returns {string} 渲染后的 HTML
- * @description
- * 安全改进：
- * - 渲染后通过 filterXSS 过滤危险标签（script、onerror、onload 等）
- * - 仅在 allowScript=1 时跳过过滤（受信任内容）
+ * Markdown渲染 + XSS过滤
+ * @param {string} content
+ * @param {"md"|"rich"} [editorType="rich"]
+ * @param {0|1} [allowScript=0] 1=信任内容不做XSS过滤
+ * @returns {string}
  */
-template.defaults.imports.renderContent = (content, editorType = 'rich', allowScript = 0) => {
-  if (!content || typeof content !== 'string') return content || '';
-
+artTemplate.defaults.imports.renderContent = (content, editorType = "rich", allowScript = 0) => {
+  if (typeof content !== "string") return content || "";
   let html = content;
-  // Markdown 转换
-  if (editorType === 'md') {
+
+  if (editorType === "md") {
     try {
-      html = marked.parse(content);
-    } catch (err) {
-      console.error('[renderContent] Markdown 渲染失败:', err.message);
-      html = content;
+      // marked v4+ 支持异步扩展，返回 string | Promise<string>
+      // 同步场景下直接取结果；若返回 Promise 则降级为空字符串
+      const result = marked.parse(content);
+      html = typeof result === "string" ? result : "";
+    } catch (e) {
+      logger.error(`[renderContent] MD解析失败: ${e.message}`);
     }
   }
-  // 非 allowScript=1 时通过 filterXSS 完整过滤，移除 script/onevent 等危险内容
+
   if (Number(allowScript) !== 1) {
-    try {
-      html = filterXSS(html);
-    } catch (err) {
-      console.error('[renderContent] XSS 过滤失败:', err.message);
+    try { html = filterXSS(html); }
+    catch (e) {
+      logger.error(`[renderContent] XSS过滤失败: ${e.message}`);
     }
   }
   return html;
 };
 
-// ============================================================
-// 模板引擎中间件配置
-// ============================================================
-
 /**
- * 设置模板引擎中间件
- * @param {Object} app - Express 应用实例
- * @param {Object} config - 配置选项
- * @param {Array<string>} config.views - 模板目录数组
- * @param {string} config.NODE_ENV - 运行环境
- * @description
- * 为 Express 应用配置 art-template 模板引擎
- * 支持多个模板目录，自动添加 web 模块视图目录
- * @example
- * setTemplate(app, {
- *   views: ['./views'],
- *   NODE_ENV: 'development'
- * });
+ * art-template模板引擎中间件
+ * @param {express.Application} app
+ * @param {{views:string[],NODE_ENV:string}} config
  */
-export let setTemplate = (app, config) => {
+export const template = (app, config) => {
   const { views, NODE_ENV } = config;
-  const isProduction = NODE_ENV === "production" || NODE_ENV === "prd";
-  console.log("模板缓存->", isProduction);
-  const all = [...views];
+  const isProduction = ["production", "prd"].includes(NODE_ENV);
+  logger.info("模板缓存开启:", isProduction);
+
   app.set("view options", {
     debug: !isProduction,
     cache: isProduction,
     minimize: true,
   });
   app.set("view engine", "html");
-  app.set("views", all);
-  // 引擎加载容错：importjs 抛错时降级为内置默认 engineFn，避免启动失败
+  app.set("views", [...views]);
+
   try {
-    app.engine(".html", importjs("express-art-template"));
+    app.engine(".html", require("express-art-template"));
   } catch (err) {
-    console.error('[setTemplate] 加载 express-art-template 失败，降级默认引擎:', err.message);
-    const engineFn = (path, options, callback) => {
-      // 兜底：直接返回模板路径，避免渲染崩溃
-      callback(null, `<pre>Template engine fallback: ${path}</pre>`);
-    };
-    app.engine(".html", engineFn);
+    logger.error(`[template] 模板引擎加载失败，启用降级渲染: ${err.message}`);
+    app.engine(".html", (path, _, cb) => cb(null, `<pre>模板降级: ${path}</pre>`));
   }
-};
+};

package/middleware/validate.js

@@ -0,0 +1,79 @@
+/**
+ * 声明式参数校验中间件（基于 zod）
+ * 在 Controller 上定义 static rules，框架自动校验 req.body/req.query/req.params
+ */
+import { ValidationError } from "../core/errors.js";
+
+/**
+ * 写回校验结果：Express 5 的 req.query 为只读 getter，直接赋值会静默失败，
+ * 需用 defineProperty 定义自有属性遮蔽原型 getter。
+ * @private
+ */
+function setValidated(req, source, value) {
+  if (source === 'query') {
+    Object.defineProperty(req, 'query', {
+      value,
+      writable: true,
+      enumerable: true,
+      configurable: true,
+    });
+  } else {
+    req[source] = value;
+  }
+}
+
+/**
+ * 创建 zod 校验中间件
+ * @param {import('zod').ZodSchema} schema - zod schema
+ * @param {"body"|"query"|"params"} [source='body'] - 校验来源
+ * @returns {Function} Express 中间件
+ *
+ * @example
+ * // 在 Controller 上定义 rules
+ * class ArticleController extends Controller {
+ *   static rules = {
+ *     create: z.object({ title: z.string().min(1), content: z.string() }),
+ *   };
+ * }
+ *
+ * // router 中使用
+ * router.post('/create', validate(ArticleController.rules.create), ctrl.create.bind(ctrl));
+ */
+export function validate(schema, source = 'body') {
+  return (req, res, next) => {
+    const result = schema.safeParse(req[source]);
+    if (!result.success) {
+      const fields = result.error.issues?.map(i => i.path.join('.')) || [];
+      const msg = result.error.issues?.map(i => i.message).join('; ') || '参数校验失败';
+      const err = new ValidationError(msg, fields);
+      return next(err);
+    }
+    // 使用 setValidated 统一处理，解决 Express 5 req.query 只读问题
+    setValidated(req, source, result.data);
+    // 同时设置 req.validated 作为统一访问点（向后兼容）
+    req.validated = result.data;
+    next();
+  };
+}
+
+/**
+ * 批量校验多个来源
+ * @param {Object} schemas - { body?, query?, params? } 各来源的 zod schema
+ * @returns {Function} Express 中间件
+ */
+export function validateAll(schemas) {
+  return (req, res, next) => {
+    for (const [source, schema] of Object.entries(schemas)) {
+      if (!schema) continue;
+      const result = schema.safeParse(req[source]);
+      if (!result.success) {
+        const fields = result.error.issues?.map(i => `${source}.${i.path.join('.')}`) || [];
+        const msg = result.error.issues?.map(i => i.message).join('; ') || '参数校验失败';
+        const err = new ValidationError(msg, fields);
+        return next(err);
+      }
+      setValidated(req, source, result.data);
+    }
+    next();
+  };
+}