chanjs 2.8.1 → 2.8.3

package/core/Container.js

@@ -1,8 +1,8 @@
 import fs from "fs";
 import path from "path";
-import { pathToFileURL } from "url";
 import { Paths } from "../utils/paths.js";
 import { BaseComponent } from "./BaseComponent.js";
+import { importFile } from "./loader.js";
 import logger from "../utils/logger.js";
 
 const NAME_REGEX = /^[a-zA-Z][a-zA-Z0-9_-]*$/;
@@ -67,6 +67,11 @@ export class Container extends BaseComponent {
 
   /**
    * 物理加载文件、导入模块、安全校验
+   *
+   * 职责分层（组件加载唯一核心）：
+   * 1. 本方法只做「用户输入校验」（模块/文件名白名单 + 路径越界）与「存在性探测」
+   * 2. 文件导入统一委托 loader.importFile（access + pathToFileURL + default 提取 + IO 错误日志），
+   *    与 loadController/loadConfig 共享同一原语，避免两套导入实现行为漂移
    * @private
    */
   async _loadFile(moduleName, fileName, type = this._type) {
@@ -80,15 +85,17 @@ export class Container extends BaseComponent {
       throw new Error(`路径越界: ${filePath}`);
     }
 
+    // 存在性是预期内路径（按需探测），静默返回 null 交给 get 打 info 日志
     try {
       await fs.promises.access(filePath, fs.constants.R_OK);
     } catch {
       return null;
     }
 
-    // 统一 pathToFileURL（与 loader.js 一致，Windows/跨盘安全）
-    const mod = await import(pathToFileURL(filePath).href);
-    return mod.default;
+    // 项目约定组件必须是实例对象（export default new XxxService()）；
+    // 只导出类/函数的文件视为无效组件，不缓存不报错（与 loadController 的过滤口径一致）
+    const mod = await importFile(filePath);
+    return mod && typeof mod === "object" ? mod : null;
   }
 }
 

package/core/Repository.js

@@ -130,6 +130,19 @@ class Repository extends BaseComponent {
     if (!this.db) throw new Error("Database connection not available");
   }
 
+  /**
+   * 写操作 WHERE 防御（fail-closed）：条件字段全部非法时拒绝执行。
+   * 被丢弃的条件会让 del/update 退化为无 WHERE 的全表操作，统一在此拦截。
+   * @param {object} query WHERE 条件
+   * @returns {{success:false,code:number,msg:string,data:{}}|null} 非法返回错误体（调用方应 return），合法返回 null
+   */
+  #assertValidWhere(query) {
+    if (!Object.keys(query).some(f => SORT_FIELD_REGEX.test(f))) {
+      return { success: false, code: CODE_PARAM_INVALID, msg: "操作条件非法", data: {} };
+    }
+    return null;
+  }
+
   /** 当前连接的数据库客户端类型（knex client：mysql2 / pg / better-sqlite3 ...） */
   get _clientType() {
     return this.db?.client?.config?.client || "";
@@ -234,11 +247,10 @@ class Repository extends BaseComponent {
   async del(query={}) {
     this._checkDB();
     if (!Object.keys(query).length) return { success:false, code:CODE_PARAM_MISSING, msg:"参数缺失", data:{} };
-    // 防御纵深：若传入的查询条件字段全部非法（被 applyQuery 静默丢弃），
-    // 会生成不带 WHERE 的全表删除，这里 fail-closed 拒绝执行。
-    if (!Object.keys(query).some(f => SORT_FIELD_REGEX.test(f))) {
-      return { success:false, code:CODE_PARAM_INVALID, msg:"删除条件非法", data:{} };
-    }
+    // 防御纵深：条件字段全部非法（会被 applyQuery 静默丢弃）时，
+    // 会生成不带 WHERE 的全表删除，fail-closed 拒绝执行。
+    const invalid = this.#assertValidWhere(query);
+    if (invalid) return invalid;
     const rows = await applyQuery(this.db(this.tableName), query).del();
     return { success:true, code:CODE_OK, msg:"删除成功", data:{ affectedRows:rows } };
   }
@@ -269,9 +281,8 @@ class Repository extends BaseComponent {
       return { success:false, code:CODE_PARAM_INVALID, msg:"参数无效", data:{} };
     }
     // 防御纵深：与 del 同理，条件字段全部非法时会生成无 WHERE 的全表更新，fail-closed 拒绝。
-    if (!Object.keys(query).some(f => SORT_FIELD_REGEX.test(f))) {
-      return { success:false, code:CODE_PARAM_INVALID, msg:"更新条件非法", data:{} };
-    }
+    const invalid = this.#assertValidWhere(query);
+    if (invalid) return invalid;
     const rows = await applyQuery(this.db(this.tableName), query).update(this.#formatDate(data));
     return { success:true, code:CODE_OK, msg:"更新成功", data:{ affectedRows:rows } };
   }
@@ -299,18 +310,18 @@ class Repository extends BaseComponent {
       if (!item.query || !Object.keys(item.query).length) {
         return { success:false, code:CODE_PARAM_INVALID, msg:"批量更新条件不能为空", data:{} };
       }
-      // 防御纵深：与 update 同口径，条件字段全部非法时 fail-closed 拒绝，
+      // 防御纵深：与 del/update 同口径，条件字段全部非法时 fail-closed 拒绝，
       // 避免生成无 WHERE 的全表更新
-      if (!Object.keys(item.query).some(f => SORT_FIELD_REGEX.test(f))) {
-        return { success:false, code:CODE_PARAM_INVALID, msg:"批量更新条件非法", data:{} };
-      }
+      const invalid = this.#assertValidWhere(item.query);
+      if (invalid) return invalid;
     }
     const trx = await this.db.transaction();
     let total = 0;
     try {
+      // 与单条 update 同口径：条件统一过 applyQuery（操作符解析 + 非法字段过滤），不再裸用 knex where
       for (const { query, data } of updates) {
-        const row = await trx(this.tableName).where(query).update(this.#formatDate(data));
-        row === 0 && logger.info("[Repository] updateMany无匹配行", query);
+        const row = await applyQuery(trx(this.tableName), query).update(this.#formatDate(data));
+        row === 0 && logger.info(`[Repository] updateMany无匹配行 ${JSON.stringify(query)}`);
         total += row;
       }
       await trx.commit();

package/core/bootstrap/error-handler.js

@@ -68,7 +68,10 @@ export function registerErrorHandler(chan) {
     const userId = req.user?.id ?? "-";
 
     // 日志分级：业务错误 4xx → warn，系统错误 5xx → error（唯一打印点，杜绝重复刷屏）
-    const logFn = httpStatus < 500 ? logger.warn : logger.error;
+    // ⚠️ pino 的日志方法依赖 this，不能解引用后裸调（logFn = logger.warn; logFn(...) 会在
+    // pino/lib/tools.js 抛 TypeError: Cannot read properties of undefined (reading 'Symbol(pino.msgPrefix)')，
+    // 把真实的业务错误整个掩盖成 500），必须用箭头函数包一层保住 this
+    const logFn = httpStatus < 500 ? (msg) => logger.warn(msg) : (msg) => logger.error(msg);
     logFn(JSON.stringify({
       type: err.name || "UnknownError",
       message: describeError(err), // 递归解析 cause 根因，支持 AggregateError

package/core/bootstrap/middleware.js

@@ -7,7 +7,7 @@ import { BODY_LIMIT } from "../../config/index.js";
 
 /**
  * 注册核心中间件（顺序固化：不可随意调整）
- * WAF 前置 → Favicon → 静态 → Cookie → Body 解析 → WAF Body 检查 → CORS → 日志 → 模板 → 响应头
+ * WAF 前置 → 健康检查 → Favicon → 静态 → CORS → Cookie → Body 解析 → WAF Body 检查 → 日志 → 模板 → 响应头
  * @param {object} chan 框架实例
  */
 export async function registerCoreMiddleware(chan) {
@@ -21,18 +21,19 @@ export async function registerCoreMiddleware(chan) {
   favicon(app);
   // 3. 静态资源
   staticMw(app, cfg.statics ?? []);
+  // 3.5 CORS（前移到 body 之前：OPTIONS 预检无需等待 body 解析即返回；
+  //      WAF 拦截预检时响应也能携带 CORS 头，浏览器报错不再误导排障）
+  Cors(app, cfg.cors ?? {});
   // 4. Cookie
   cookie(app, cfg.cookieKey);
   // 5. 请求体解析
   body(app, cfg.BODY_LIMIT ?? BODY_LIMIT);
   // 5.1 WAF Body 检查（须在 body 解析之后）
   wafBody(app, cfg.waf ?? { enabled: false });
-  // 6. CORS
-  Cors(app, cfg.cors ?? {});
   // 7. 请求日志
   log(app, cfg.logger ?? {});
-  // 8. 模板渲染
-  template(app, { views: cfg.views ?? [], NODE_ENV: cfg.NODE_ENV ?? "dev" });
+  // 8. 模板渲染（NODE_ENV 兜底 production：与「默认生产口径」约束一致，生产默认开启模板缓存）
+  template(app, { views: cfg.views ?? [], NODE_ENV: cfg.NODE_ENV ?? "production" });
   // 9. 响应头
   header(app, { APP_NAME: cfg.APP_NAME ?? "ChanCMS", APP_VERSION: cfg.APP_VERSION ?? "1.0.0" });
 }

package/core/bootstrap/router-loader.js

@@ -19,7 +19,8 @@ async function registerRouterFile(filePath, app, router, config) {
       await register(app, router, config);
     }
   } catch (err) {
-    logger.error(`[RouterLoader] 路由文件加载失败: ${filePath}`, err);
+    // 详情必须拼进 msg 本身：logger 的 messageFormat 仅输出 msg 字段，第二参数会被 pino-pretty 忽略导致错误原因丢失
+    logger.error(`[RouterLoader] 路由文件加载失败: ${filePath}\n${err?.stack || err}`);
   }
 }
 

package/core/loader.js

@@ -23,9 +23,10 @@ export async function importFile(filepath) {
     const mod = await import(pathToFileURL(filepath).href);
     return mod.default ?? mod;
   } catch (err) {
+    // 详情必须拼进 msg 本身：logger 的 messageFormat 仅输出 msg 字段，第二参数会被 pino-pretty 忽略导致错误原因丢失
     if (err.code === "ENOENT") logger.error(`[Loader] 文件不存在: ${filepath}`);
     else if (err.code === "EACCES") logger.error(`[Loader] 无访问权限: ${filepath}`);
-    else logger.error(`[Loader] 导入失败 ${filepath}:`, err.message);
+    else logger.error(`[Loader] 导入失败 ${filepath}: ${err?.message || err}`);
     return null;
   }
 }

package/middleware/cookie.js

@@ -3,6 +3,11 @@ import logger from "../utils/logger.js";
 
 /**
  * Cookie解析中间件，支持签名校验
+ *
+ * 职责边界：本中间件只负责「解析」（含签名校验）；「写入侧」的安全属性
+ * （httpOnly / sameSite / secure / maxAge）由业务写入时的 res.cookie(name, value, opts)
+ * 决定，框架不越俎代庖。业务侧统一在 app/common/auth-cookie.js 收口：
+ * sameSite=prd:strict / dev:lax，secure 可配，httpOnly=false 为统一登录态方案的已确认权衡。
  * @param {express.Application} app Express实例
  * @param {string} [cookieKey] Cookie签名密钥
  */

package/package.json

@@ -1,7 +1,7 @@
 {
   "type": "module",
   "name": "chanjs",
-  "version": "2.8.1",
+  "version": "2.8.3",
   "description": "chanjs基于 Node.js + Express 5 的标准 HMVC 框架（NHMVC），纯 JavaScript（ESM）开发。",
   "main": "index.js",
   "module": "index.js",

package/utils/logger.js

@@ -11,7 +11,7 @@ const timestamp = () => {
 
 // 输出格式：时间 + 空格 + 正文（pino-pretty 默认模板是 [time]: msg，方括号和冒号去不掉，
 // 故忽略 time 字段、改由 messageFormat 把时间拼在行首）
-export const root = pino(
+const root = pino(
   { level: (process.env.LOG_LEVEL || "info").trim(), base: null, timestamp },
   pretty({
     colorize: false,
@@ -19,4 +19,51 @@ export const root = pino(
     messageFormat: "{time} {msg}",
   }),
 );
-export default root;
+
+/**
+ * 附加参数序列化：error/warn 的第二参（Error/对象）拼进消息本身。
+ *
+ * 背景：pino-pretty 的 messageFormat 字符串模板只渲染 msg 字段，
+ * 「logger.error(msg, err)」的 err 会被整体丢弃（连堆栈都不输出），
+ * 曾导致 Gather.js 加载失败只剩「导入失败 xxx.js:」空冒号、无法定位根因。
+ * 在封装层统一序列化，保证文档承诺的「第二参数自动解析堆栈」真实生效。
+ * @param {unknown[]} args error/warn 的除消息外全部参数
+ * @returns {string} 可读文本（Error 优先 stack，对象 JSON，其余 String）
+ */
+function serializeExtra(args) {
+  return args
+    .map(v => {
+      if (v == null) return "";
+      if (v instanceof Error) return v.stack || `${v.name}: ${v.message}`;
+      if (typeof v === "object") {
+        try { return JSON.stringify(v); } catch { return String(v); }
+      }
+      return String(v);
+    })
+    .filter(Boolean)
+    .join(" ");
+}
+
+/**
+ * 统一日志门面：与文档用法对齐（logger.error("xx", err) 自动带出堆栈）
+ * 全部级别统一将附加参数序列化进 msg（pino-pretty messageFormat 只渲染 msg 字段，
+ * 任何直接透传的第二参都会被丢弃），保证 info("xx", obj) 与 error 行为一致
+ */
+const logger = {
+  info(msg, ...extra) {
+    extra.length ? root.info(`${msg} ${serializeExtra(extra)}`) : root.info(msg);
+  },
+  debug: root.debug.bind(root),
+  trace: root.trace.bind(root),
+  fatal: root.fatal.bind(root),
+  child: root.child.bind(root),
+  warn(msg, ...extra) {
+    extra.length ? root.warn(`${msg} ${serializeExtra(extra)}`) : root.warn(msg);
+  },
+  error(msg, ...extra) {
+    extra.length ? root.error(`${msg} ${serializeExtra(extra)}`) : root.error(msg);
+  },
+};
+
+export { root };
+export default logger;

package/utils/signal.js

@@ -23,6 +23,8 @@ async function doShutdown(chan) {
 
   if (server) {
     try {
+      // 先断开空闲 keep-alive 连接，避免 server.close 等待存量长连接拖满停机超时
+      typeof server.closeIdleConnections === "function" && server.closeIdleConnections();
       await new Promise((resolve, reject) => server.close(err => (err ? reject(err) : resolve())));
       logger.info("[Chan] HTTP服务已停止接受新连接");
     } catch (e) {