chanjs 2.8.5 → 2.8.7

package/core/Repository.js

@@ -188,26 +188,21 @@ class Repository extends BaseComponent {
     return row;
   }
 
-  /**
-   * 查询全部。上限口径统一收口到 config.LIMIT_MAX（this.limit）：
-   * 未传 limit 时默认取 this.limit；显式传入的 limit 也会被钳制到 [1, this.limit]，
-   * 避免"all 默认 1000 / 分页上限 300"两套口径并存。
-   */
-  async all({ query={}, sort={}, fields=[], limit }={}) {
+  /** 查询全部，默认上限1000条 */
+  async all({ query={}, sort={}, fields=[], limit=1000 }={}) {
     const err = this._guard({ query });
     if (err) return err;
-    const size = Math.min(Math.max(Number(limit) || this.limit, 1), this.limit);
-    const list = await this._buildBaseQuery({query,sort,fields}).limit(size);
+    const list = await this._buildBaseQuery({query,sort,fields}).limit(limit);
     return { success:true, code:CODE_OK, msg:"查询成功", data: list };
   }
 
-  /** 分页偏移查询（limit 同 all() 口径，钳制到 config.LIMIT_MAX） */
+  /** 分页偏移查询 */
   async find({ query={}, sort={}, fields=[], limit, offset }={}) {
     const err = this._guard({ query });
     if (err) return err;
     let q = this._buildBaseQuery({query,sort,fields});
     typeof offset === 'number' && (q = q.offset(offset));
-    typeof limit === 'number' && (q = q.limit(Math.min(Math.max(limit, 1), this.limit)));
+    typeof limit === 'number' && (q = q.limit(limit));
     return { success:true, code:CODE_OK, msg:"查询成功", data: await q };
   }
 

package/core/bootstrap/middleware.js

@@ -4,7 +4,6 @@ import {
 } from "../../middleware/index.js";
 import { health } from "../../middleware/health.js";
 import { BODY_LIMIT } from "../../config/index.js";
-import logger from "../../utils/logger.js";
 
 /**
  * 注册核心中间件（顺序固化：不可随意调整）
@@ -18,19 +17,6 @@ export async function registerCoreMiddleware(chan) {
   await waf(app, cfg.waf ?? { enabled: false });
   // 1.5 健康检查端点（默认开启，config.health = {enabled,path} 可调；浅模式零 IO）
   app.use(health(chan, cfg.health ?? {}));
-  // 1.6 宿主全局中间件插槽：config.middleware 数组，按声明顺序注册。
-  //     元素支持两种形态：express 中间件本身 (req,res,next)；或工厂 () => express 中间件（需闭包 chan/config 时用）。
-  //     注册位置在核心链早期、模块路由之前，保证对所有响应（含静态资源）生效。
-  //     注意：app/router.js（loadCommonRouter）的执行时机在模块路由之后，app.use 在那里
-  //     只罩得住 404 兜底请求，安全响应头等全局策略应经本插槽注册而非写在 router.js。
-  for (const mw of cfg.middleware ?? []) {
-    const fn = typeof mw === "function" && mw.length <= 1 ? mw(chan) : mw;
-    if (typeof fn !== "function") {
-      logger.warn(`[Chan] config.middleware 含非法项（须为中间件或中间件工厂），已跳过: ${String(mw)}`);
-      continue;
-    }
-    app.use(fn);
-  }
   // 2. Favicon
   favicon(app);
   // 3. 静态资源

package/middleware/cors.js

@@ -11,7 +11,11 @@ export const Cors = (app, _cors = {}) => {
     origin: _cors.origin ?? false,
     methods: _cors.methods ?? ["GET", "POST"],
     allowedHeaders: _cors.allowedHeaders ?? ["Content-Type", "Authorization"],
-    credentials: !!_cors.credentials,
+    // credentials 用 getter 包裹：每次请求实时求值（支持 _cors.credentials 本身为 getter，
+    // 例如随 originList 在 "*" 与具体域名白名单间动态切换）。
+    // 背景：W3C 规定 ACAO:* 与 ACAC:true 不能同时出现（CSRF 风险），故当 originList 为 "*"
+    // （全放行）时必须 credentials=false；具体域名白名单时 credentials=true（跨域携带 Cookie）。
+    get credentials() { return !!_cors.credentials; },
     maxAge: _cors.maxAge ?? 600,
   };
   app.use(cors(safeOptions));

package/package.json

@@ -1,7 +1,7 @@
 {
   "type": "module",
   "name": "chanjs",
-  "version": "2.8.5",
+  "version": "2.8.7",
   "description": "chanjs基于 Node.js + Express 5 的标准 HMVC 框架（NHMVC），纯 JavaScript（ESM）开发。",
   "main": "index.js",
   "module": "index.js",
@@ -51,11 +51,11 @@
     "pg": "^8.23.0",
     "pino": "^9.5.0",
     "pino-http": "^10.3.0",
+    "pino-pretty": "^13.1.3",
     "serve-favicon": "^2.5.1",
     "xss": "^1.0.15"
   },
   "devDependencies": {
-    "pino-pretty": "^11.3.0",
     "zod": "^4.4.3"
   },
   "peerDependencies": {

package/utils/data-parse.js

@@ -27,8 +27,8 @@ export const arrToObj = (arr, keyField = "config_key", valueField = "config_valu
 };
 
 /**
- * 根据拼音/ID匹配分类，返回分类完整数据与分类ID
- * @param {string | number} py - 检索条件：拼音字符串 / 数字ID
+ * 根据 slug / ID 匹配分类，返回分类完整数据与分类ID
+ * @param {string | number} py - 检索条件：slug 字符串 / 数字ID
  * @param {Array<Object>} source - 分类数据源数组
  * @returns {{ cate: Object, id: string|number }}
  */
@@ -37,6 +37,6 @@ export function getChildrenId(py, source) {
     logger.warn("[getChildrenId] 数据源source不是数组", source);
     return { cate: {}, id: "" };
   }
-  const cate = source.find(item => item && typeof item === "object" && (item.pinyin === py || item.id === py)) || {};
+  const cate = source.find(item => item && typeof item === "object" && (item.slug === py || item.id === py)) || {};
   return { cate, id: cate.id ?? "" };
 }

package/utils/tree.js

@@ -77,7 +77,7 @@ export function tree(list, rootPid = 0, options = {}) {
 }
 
 /**
- * 根据节点ID向上追溯完整父级路径（通用版，剥离硬编码pinyin业务逻辑）
+ * 根据节点ID向上追溯完整父级路径（通用版，不耦合具体业务字段）
  * @param {number|string} targetId 目标节点ID
  * @param {Array<Object>} list 扁平源数组
  * @param {Object} [options={}] 配置