create-pardx-scaffold 0.1.0

package/template/apps/api/config.local.yaml

@@ -0,0 +1,397 @@
+app:
+  name: 'pardx'
+  ChineseName: 'Pardx'
+  version: '2.1.0'
+  apiVersion: '1' # API 版本号
+  minClientVersion: '0.0.1' # 最低兼容前端版本
+  port: 13100
+  logger: true
+  transport: 'TCP'
+  domain: 'pardx.ai'
+  MaxPageSize: 500
+  defaultPageSize: 100
+  defaultMiniPageSize: 30
+  canCreateTrail: true
+  defaultVendor: 'tos'
+  defaultBucketPublic: false
+  enableRetryMechanism: true
+  enableEnhancedLogging: true
+  maxRetries: 3
+  baseRetryDelay: 1000
+  nestLogOutput: 'both'
+  audioTranscribe:
+    statusUpdateMode: 'polling'
+    pollingInterval: 30
+  zones:
+    - zone: 'cn'
+      locale: 'zh-CN'
+      defaultPrivateBucket: 'tos-pardx-files'
+      defaultPublicBucket: 'tos-pardx-files'
+      transcodeBucket: 'tos-pardx-files'
+
+uploadConfig:
+  chrunkSize: 8388608 #1024 * 1024 * 8
+
+ipinfo:
+  url: 'https://ipinfo.io'
+  token: 'f23c2d43721815'
+
+# 功能开关配置
+# Provider 说明:
+#   - memory: 开发测试用，重启后重置
+#   - redis: 生产环境推荐，分布式一致，支持动态修改
+#   - unleash: 企业级，需部署 Unleash 服务器 (docker run -p 4242:4242 unleashorg/unleash-server)
+featureFlags:
+  provider: 'redis'
+  # Redis 配置
+  redis:
+    keyPrefix: 'pardx:feature:' # Redis 键前缀
+    defaultTTL: 0 # 默认过期时间 (秒), 0=永不过期
+  # 默认功能开关 (按类别组织)
+  defaultFlags:
+    # ========== 限流系统开关 ==========
+    rate-limit-enabled: true # 全局限流开关 (关闭后所有限流失效)
+    rate-limit-ai-generation: true # AI 生成限流开关
+    rate-limit-export: true # 导出限流开关
+    # ========== 业务熔断开关 (Kill Switch) ==========
+    kill-switch-ai-generation: false # AI 生成熔断 (true=熔断, false=正常)
+    kill-switch-batch-export: false # 批量导出熔断
+    # ========== 新功能灰度 (逐步开放) ==========
+    new-dashboard: false # 新版仪表盘
+    new-editor: false # 新版编辑器
+    # ========== Beta 功能 (内测用户) ==========
+    beta-ai-assistant: true # AI 助手
+    beta-auto-transcribe: false # 自动转写
+    # ========== 付费功能 (权益控制) ==========
+    premium-export: true # 高级导出
+    premium-collaboration: true # 高级协作
+    # ========== 系统开关 (运维控制) ==========
+    maintenance-mode: false # 维护模式
+    debug-mode: false # 调试模式
+
+# 限流配置
+# 说明:
+#   - enabled: 静态开关 (需重启生效)
+#   - featureFlag: 动态开关 (通过 Feature Flag 实时控制)
+#   - 两者同时为 true 时限流才生效
+rateLimit:
+  enabled: true # 静态开关
+  featureFlag: 'rate-limit-enabled' # 动态开关 (对应 featureFlags.defaultFlags)
+  # 默认限流配置 (无装饰器时的降级配置)
+  default:
+    limit: 100 # 每窗口请求数
+    window: 60 # 窗口时间 (秒)
+  # 各维度限流配置
+  dimensions:
+    ip:
+      limit: 200 # IP: 每分钟 200 次
+      window: 60
+    userId:
+      limit: 500 # 用户: 每分钟 500 次
+      window: 60
+    tenantId:
+      limit: 2000 # 租户: 每分钟 2000 次
+      window: 60
+    apiKey:
+      limit: 1000 # API Key: 每分钟 1000 次
+      window: 60
+  # Redis 配置
+  redis:
+    keyPrefix: 'pardx:ratelimit:' # Redis 键前缀
+  # 白名单 (不受限流限制)
+  whitelist:
+    ips:
+      - '127.0.0.1'
+      - '::1'
+      - '10.0.0.0/8' # 内网
+    userIds: [] # 管理员用户 ID
+    apiKeys: [] # 内部服务 API Key
+
+pinecone:
+  apiKey: 'cd14c373-cf91-4857-bdba-8384386193d5'
+
+# jwt 配置
+jwt:
+  secret: '0EHAmnd9i82n'
+  expireIn: 3600
+
+crypto:
+  key: 'ypV324cCAwEAAQ=='
+  iv: 'MIICIjANBgkqhkiG'
+
+cdn:
+  cn:
+    url: 'https://files.pardx.cn/images'
+    downloaderUrl: 'https://downloader.pardx.cn/cdn-cgi/files'
+    vodUrl: 'https://vod.pardx.cn/cdn-cgi/files'
+    thumbTemplate: ''
+  us:
+    url: 'https://image.dndshare.com/cdn-cgi/image'
+    downloaderUrl: 'https://pardxdownloader.hedespace.com/cdn-cgi/files'
+    vodUrl: 'https://pardxvod.hedespace.com/cdn-cgi/files'
+    thumbTemplate: ''
+
+redis:
+  - name: 'access'
+    key: 'pardx:session:access:'
+    expireIn: 600 # 10分钟
+  - name: 'session'
+    key: 'pardx:session:sess:'
+    expireIn: 2592000 # 30天
+  - name: 'refresh'
+    key: 'pardx:session:refresh:'
+    expireIn: 2592000 # 30天
+  - name: 'fileSystemFildId'
+    key: 'pardx:fileSystem:fildId:'
+    expireIn: -1
+  - name: 'fileSystemCallbackAuth'
+    key: 'pardx:fileSystem:callbackAuth:'
+    expireIn: 86400 # 24小时
+  - name: 'shortCode'
+    key: 'pardx:shortCode:'
+    expireIn: -1
+  - name: 'dailyQuestion'
+    key: 'pardx:daily-question:'
+    expireIn: 86400 # 24小时 (每天过期)
+  - name: 'checkInStatus'
+    key: 'pardx:check-in-status:'
+    expireIn: 86400 # 24小时 (每天过期)
+  - name: 'emailCodeDevice'
+    key: 'pardx:emailCode:device:'
+    expireIn: 180 # 3分钟
+  - name: 'emailCodeEmail'
+    key: 'pardx:emailCode:Email:'
+    expireIn: 180 # 3分钟
+  - name: 'emailCodePerDay'
+    key: 'pardx:emailCode:EmailNumPerDay:'
+    expireIn: 86400
+  - name: 'deviceCodePerDay'
+    key: 'pardx:emailCode:EmailNumOnDevicePerDay:'
+    expireIn: 86400
+  - name: 'emailCode'
+    key: 'pardx:verify:emailCode:'
+  - name: 'mobileCodeDevice'
+    key: 'pardx:mobileCode:device:'
+    expireIn: 1800 # 30分钟
+  - name: 'mobileCode'
+    key: 'pardx:verify:mobileCode:'
+    expireIn: 600 # 10分钟有效
+  - name: 'subscription'
+    key: 'pardx:subscription:'
+    expireIn: 600 # 10分钟
+  - name: 'subscriptionList'
+    key: 'pardx:subscription:list:'
+    expireIn: 300 # 5分钟（列表缓存时间较短，保证数据新鲜度）
+  - name: 'notificationList'
+    key: 'pardx:notification:list:'
+    expireIn: 300 # 5分钟（通知列表缓存时间较短，保证数据新鲜度）
+  - name: 'notificationStats'
+    key: 'pardx:notification:stats:'
+    expireIn: 60 # 1分钟（统计数据更新频繁，缓存时间更短）
+  - name: 'privateDownloadUrl'
+    key: 'pardx:file:fileurl:'
+    expireIn: 30 #1小时
+  - name: 'ipinfo'
+    key: 'pardx:ipinfo:ip:'
+    expireIn: 2592000 #30天
+  - name: 'transferSaveForlder'
+    key: 'pardx:transferSave:folderIds:'
+    expireIn: 86400
+  - name: 'recycleBinTask'
+    key: 'pardx:recycleTask:fileSystemIds:'
+    expireIn: 86400
+  - name: 'moveFolder'
+    key: 'pardx:moveFolder:folderIds:'
+    expireIn: 86400
+  # Long-term Memory System Cache (长期记忆系统缓存)
+  - name: 'userPreferences'
+    key: 'pardx:memory:preferences:'
+    expireIn: 300 # 5分钟 (参考 Python 最佳实践)
+  - name: 'memoryStats'
+    key: 'pardx:memory:stats:'
+    expireIn: 300 # 5分钟
+  - name: 'preferenceStats'
+    key: 'pardx:memory:preferenceStats:'
+    expireIn: 300 # 5分钟
+  - name: 'processTaskIdList' # 正在处理的taskId
+    key: 'pardx:processTaskList:taskId:'
+    expireIn: 86400
+  - name: 'taskFileList' # 正在处理的task里面剩余处理的fsIds
+    key: 'pardx:taskFileList:fsIds:'
+    expireIn: 86400
+  # ========== 业务实体缓存 (用于 @Cacheable 装饰器) ==========
+  - name: 'userInfo' # 用户信息缓存
+    key: 'pardx:cache:user:'
+    expireIn: 1800 # 30分钟，提升登录响应速度
+  - name: 'spaceInfo' # 空间信息缓存
+    key: 'pardx:cache:space:'
+    expireIn: 1800 # 30分钟
+  - name: 'planInfo' # 套餐信息缓存
+    key: 'pardx:cache:plan:'
+    expireIn: 300 # 5分钟，变更频率低，查询频繁
+  - name: 'permissions' # 权限配置缓存
+    key: 'pardx:cache:perm:'
+    expireIn: 600 # 10分钟，基础配置，变更少
+  - name: 'modulePermission' # 模块级权限缓存
+    key: 'pardx:cache:modulePerm:'
+    expireIn: 300 # 5分钟
+  - name: 'userRole' # 用户角色缓存 (包含 baseRole)
+    key: 'pardx:cache:userRole:'
+    expireIn: 3600 # 1小时
+  - name: 'userInfoCache' # 旧的用户缓存 (保持兼容)
+    key: 'pardx:user:'
+    expireIn: -1
+  - name: 'systemTask'
+    key: 'pardx:task:'
+    expireIn: -1
+  - name: 'stockTask'
+    key: 'pardx:stockTask:'
+    expireIn: 86400
+  - name: 'systemTaskListenerLock'
+    key: 'pardx:taskListener:'
+    expireIn: 15
+  - name: 'taskLock'
+    key: 'pardx:tasks:'
+    expireIn: 10
+  - name: 'tradeCache'
+    key: 'pardx:file:fileurl:'
+    expireIn: 30 #30s
+  - name: 'sseChannel'
+    key: 'pardx:sseChannel:'
+    expireIn: 86400
+  - name: 'wxAccessToken'
+    key: 'pardx:wx:accessToken:'
+    expireIn: 7200
+  - name: 'wxmpQrcode'
+    key: 'pardx:wxmp:qrcode:'
+    expireIn: 300
+  # ⚠️ P2: 流式识别会话数据持久化（Redis）
+  - name: 'streamingAsrSession'
+    key: 'pardx:streaming-asr:session:'
+    expireIn: 7200 # 2小时（与会话最大时长一致）
+
+buckets:
+  - bucket: 'pardx-files'
+    region: 'cn-shanghai'
+    zone: 'cn-shanghai'
+    endpoint: 'https://oss-cn-shanghai.aliyuncs.com'
+    internalEndpoint: 'https://oss-cn-shanghai.aliyuncs.com'
+    domain: 'https://pardx-files.oss-cn-shanghai.aliyuncs.com'
+    vendor: 'oss'
+    webhook: ''
+    locale: 'cn'
+    isPublic: true
+    isDefault: true
+  - bucket: 'pardx-ai'
+    region: 'cn-shanghai'
+    zone: 'cn-shanghai'
+    endpoint: 'https://oss-cn-shanghai.aliyuncs.com'
+    internalEndpoint: 'https://oss-cn-shanghai.aliyuncs.com'
+    domain: 'https://pardx-ai.oss-cn-shanghai.aliyuncs.com'
+    vendor: 'oss'
+    webhook: ''
+    locale: 'cn'
+    isPublic: true
+    isDefault: false
+  - bucket: 'pardx-image'
+    region: 'cn-shanghai'
+    zone: 'cn-shanghai'
+    endpoint: 'https://oss-cn-shanghai.aliyuncs.com'
+    internalEndpoint: 'https://oss-cn-shanghai.aliyuncs.com'
+    domain: 'https://pardx-image.oss-cn-shanghai.aliyuncs.com'
+    vendor: 'oss'
+    webhook: ''
+    locale: 'cn'
+    isPublic: true
+    isDefault: false
+  - bucket: 'pardx-transcoding'
+    region: 'cn-shanghai'
+    zone: 'cn-shanghai'
+    endpoint: 'https://oss-cn-shanghai.aliyuncs.com'
+    internalEndpoint: 'https://oss-cn-shanghai.aliyuncs.com'
+    domain: 'https://pardx-transcoding.oss-cn-shanghai.aliyuncs.com'
+    vendor: 'oss'
+    webhook: ''
+    locale: 'cn'
+    isPublic: true
+    isDefault: false
+  - bucket: 'tos-pardx-files'
+    region: 'cn-beijing'
+    zone: 'cn-beijing'
+    endpoint: 'https://tos-s3-cn-beijing.volces.com'
+    internalEndpoint: 'https://tos-s3-cn-beijing.ivolces.com'
+    domain: 'https://tos-pardx-files.tos-cn-beijing.volces.com'
+    tosEndpoint: 'tos-cn-beijing.volces.com'
+    tosInternalEndpoint: 'tos-cn-beijing.ivolces.com'
+    vendor: 'tos'
+    webhook: ''
+    locale: 'cn'
+    isPublic: false
+    isDefault: false
+
+# =============================================================================
+# Database Metrics and Monitoring Configuration
+# 数据库指标和监控配置
+# =============================================================================
+dbMetrics:
+  # Enable or disable metrics collection
+  # 启用或禁用指标收集
+  enabled: true
+
+  # Slow query thresholds in milliseconds
+  # 慢查询阈值（毫秒）
+  # - info: Queries >= this will be logged at INFO level
+  # - warn: Queries >= this will be logged at WARN level
+  # - error: Queries >= this will be logged at ERROR level
+  slowQueryThresholds:
+    info: 100 # >= 100ms: INFO level
+    warn: 500 # >= 500ms: WARN level
+    error: 1000 # >= 1000ms: ERROR level
+
+  # Whether to log query parameters
+  # 是否记录查询参数
+  logQueryParams: true
+
+  # Whether to log query results (can be verbose)
+  # 是否记录查询结果（可能会很冗长）
+  logQueryResult: false
+
+  # Maximum length of parameters to log (truncated if longer)
+  # 记录参数的最大长度（超过将被截断）
+  maxParamLogLength: 1000
+
+# =============================================================================
+# Transaction Configuration
+# 事务配置
+# =============================================================================
+transaction:
+  # Retry configuration for transient failures
+  # 瞬态失败的重试配置
+  retry:
+    # Enable retry by default for @Transactional decorator
+    # 默认为 @Transactional 装饰器启用重试
+    enabled: true
+
+    # Maximum retry attempts
+    # 最大重试次数
+    maxRetries: 3
+
+    # Base delay between retries in milliseconds
+    # 重试之间的基础延迟（毫秒）
+    baseDelay: 100
+
+    # Exponential backoff multiplier
+    # 指数退避倍数
+    backoffMultiplier: 2
+
+    # Maximum retry delay in milliseconds
+    # 最大重试延迟（毫秒）
+    maxDelay: 5000
+
+  # Default maximum wait time to acquire transaction lock (ms)
+  # 默认获取事务锁的最大等待时间（毫秒）
+  defaultMaxWait: 5000
+
+  # Default transaction timeout (ms)
+  # 默认事务超时时间（毫秒）
+  defaultTimeout: 30000

package/template/apps/api/libs/domain/auth/package.json

@@ -0,0 +1,11 @@
+{
+  "name": "@pardx/auth",
+  "version": "0.0.1",
+  "main": "src/index.ts",
+  "types": "src/index.ts",
+  "private": true,
+  "scripts": {
+    "build": "tsc -p tsconfig.lib.json",
+    "lint": "eslint \"src/**/*.ts\" --fix"
+  }
+}

package/template/apps/api/libs/domain/auth/src/README.md

@@ -0,0 +1,189 @@
+# Auth 模块使用指南
+
+## 概述
+
+Auth 模块提供了统一的认证和权限管理功能，集成了 JWT 认证和 RBAC（基于角色的访问控制）权限检查。
+
+## 基础认证
+
+### 启用 RBAC（默认）
+
+```typescript
+@Auth()  // 默认启用 RBAC 权限检查
+@Get('profile')
+async getProfile() { ... }
+```
+
+### 禁用 RBAC（仅做身份认证）
+
+```typescript
+@Auth('api', 'api', false)  // 第三个参数设为 false，禁用 RBAC
+@Get('public-data')
+async getPublicData() { ... }
+```
+
+### 管理员认证
+
+```typescript
+@Auth('admin')  // 管理员认证，默认启用 RBAC
+@Get('admin/users')
+async getUsers() { ... }
+```
+
+## RBAC 权限检查
+
+### 权限检查装饰器
+
+当使用 RBAC 装饰器时，会自动启用权限检查（即使 `enableRbac` 设为 `false`）：
+
+```typescript
+@Auth()
+@RequirePermission('team', 'create')  // 自动启用 RBAC
+@Post('teams')
+async createTeam() { ... }
+```
+
+### 可用的 RBAC 装饰器
+
+- `@RequirePermission(resource, action)` - 检查具体权限
+- `@RequireRole(...roles)` - 检查角色
+- `@RequireSuperAdmin()` - 检查超级管理员权限
+- `@RequireTeamAdmin()` - 检查团队管理员权限
+- `@RequireTeamMember()` - 检查团队成员权限
+- `@RequirePermissions(...permissions)` - 检查多个权限（需全部满足）
+- `@RequireTeamPermission(resource, action)` - 检查团队权限
+- `@RequirePermissionOrRole(permission, ...roles)` - 权限或角色（满足任一即可）
+
+## 细粒度模块权限（推荐）
+
+新的细粒度权限系统支持 `module:resource:action` 格式的权限控制，适用于功能模块级别的权限管理。
+
+### 装饰器
+
+- `@RequireModulePermission(module, resource, action)` - 检查单个模块权限
+- `@RequireAnyModulePermission(permissions)` - 满足任一权限即可
+- `@RequireAllModulePermissions(permissions)` - 必须满足所有权限
+
+### 使用示例
+
+```typescript
+// 示例1：知识库读取权限
+@Auth()
+@UseGuards(ModulePermissionGuard)
+@RequireModulePermission('content', 'knowledge', 'read')
+@Get('knowledge-base')
+async getKnowledgeBase() { ... }
+
+// 示例2：招聘模块 - 创建职位
+@Auth()
+@UseGuards(ModulePermissionGuard)
+@RequireModulePermission('recruitment', 'job', 'create')
+@Post('jobs')
+async createJob() { ... }
+
+// 示例3：满足任一权限
+@Auth()
+@UseGuards(ModulePermissionGuard)
+@RequireAnyModulePermission([
+    { module: 'content', resource: 'space', action: 'read' },
+    { module: 'content', resource: 'knowledge', action: 'read' },
+])
+@Get('content')
+async getContent() { ... }
+```
+
+### 权限格式
+
+权限采用三元组格式：`module:resource:action`
+
+| 字段 | 说明 | 示例 |
+|------|------|------|
+| module | 功能模块 | `content`, `recruitment`, `team`, `system` |
+| resource | 资源类型 | `knowledge`, `space`, `job`, `candidate` |
+| action | 操作类型 | `create`, `read`, `update`, `delete`, `*` |
+
+### 权限检查流程
+
+1. `ModulePermissionGuard` 从请求中提取 `teamId` 和 `userId`
+2. 调用 `ModulePermissionService.checkModulePermission()` 验证权限
+3. 权限数据来源：`TeamRole` + `TeamRoleModulePermission` 表
+
+### 统一角色模型
+
+系统采用统一角色模型，所有权限都通过 `TeamRole` 管理：
+
+- **`TeamMember.customRoleId`** → **`TeamRole`** → **权限**
+  - `baseRole`: 决定资源权限（Space/File）继承
+  - `permissions`: 决定模块权限（功能访问）
+
+⚠️ **重要**：`TeamMember.role` 字段已废弃，仅保留用于向后兼容。所有新代码应使用 `customRoleId` 获取角色信息。
+
+### 相关服务
+
+- `ModulePermissionService` - 权限检查服务（`@app/permission`）
+- `ModulePermissionGuard` - 权限守卫（`@app/permission`）
+- `PermissionTemplateService` - 权限模板服务（`@app/db`）
+
+### 双层权限架构
+
+系统采用双层权限架构：
+
+1. **模块权限层**（Module Permission）
+   - 功能级控制：用户能否访问某功能模块
+   - 使用 `@RequireModulePermission` 装饰器
+   - 数据存储：`TeamRole`, `TeamRoleModulePermission`
+
+2. **资源权限层**（Space/File Permission）
+   - 数据级控制：用户能否操作特定空间/文件
+   - 使用 `PermissionService` 和 `Collaboration` 模型
+   - 数据存储：`Space`, `Collaboration`, `SpaceRolePermission`
+
+详细文档请参考：`docs/权限系统优化及管理方案.md`
+
+## 传统 RBAC 权限检查
+
+### 使用示例
+
+```typescript
+// 示例1：仅身份认证，不需要权限检查
+@Auth('api', 'api', false)
+@Get('my-profile')
+async getMyProfile() { ... }
+
+// 示例2：身份认证 + 权限检查
+@Auth()
+@RequirePermission('team', 'create')
+@Post('teams')
+async createTeam() { ... }
+
+// 示例3：管理员 + 权限检查
+@Auth('admin')
+@RequireSuperAdmin()
+@Get('admin/users')
+async getAllUsers() { ... }
+
+// 示例4：禁用 RBAC，但使用装饰器（会自动启用）
+@Auth('api', 'api', false)
+@RequireRole('owner', 'admin')  // 装饰器存在，自动启用 RBAC
+@Get('teams')
+async getTeams() { ... }
+```
+
+## 参数说明
+
+### Auth 装饰器参数
+
+```typescript
+@Auth(authType?, guardType?, enableRbac?)
+```
+
+- `authType`: `'api' | 'admin'` - 认证类型，默认为 `'api'`
+- `guardType`: `'sse' | 'api'` - Guard 类型，默认为 `'api'`
+- `enableRbac`: `boolean` - 是否启用 RBAC 权限检查，默认为 `true`
+
+## 注意事项
+
+1. **默认行为**：`@Auth()` 默认启用 RBAC 权限检查
+2. **装饰器优先级**：如果使用了 RBAC 装饰器（如 `@RequirePermission`），即使 `enableRbac` 设为 `false`，也会自动启用权限检查
+3. **性能优化**：禁用 RBAC 可以避免不必要的数据库查询，适合不需要权限检查的公开接口
+4. **向后兼容**：不传 `enableRbac` 参数时，行为与之前一致（默认启用）

package/template/apps/api/libs/domain/auth/src/auth-validation.service.ts

@@ -0,0 +1,37 @@
+import { Injectable, Inject } from '@nestjs/common';
+import { WINSTON_MODULE_PROVIDER } from 'nest-winston';
+import { Logger } from 'winston';
+import { RedisService } from '@app/redis';
+import { CommonErrorCode } from '@repo/contracts/errors';
+import { apiError } from '@/filter/exception/api.exception';
+
+/**
+ * 认证验证服务
+ * MVP版本：简化版本，移除团队和空间相关验证
+ */
+@Injectable()
+export class AuthValidationService {
+  constructor(
+    private readonly redis: RedisService,
+    @Inject(WINSTON_MODULE_PROVIDER) private readonly logger: Logger,
+  ) {}
+
+  /**
+   * MVP: 基础验证方法（预留接口）
+   * 后续可扩展团队和空间验证
+   */
+  async validateAccess(
+    userId: string,
+    resourceId: string,
+    throwError: boolean = true,
+  ): Promise<boolean> {
+    // MVP: 简单验证用户ID是否存在
+    if (!userId) {
+      if (throwError) {
+        throw apiError(CommonErrorCode.UnAuthorized);
+      }
+      return false;
+    }
+    return true;
+  }
+}