node-resource-utils 0.0.0-stage → 1.1.7

package/resources/src/lib/theme.ts

@@ -0,0 +1,96 @@
+/**
+ * 全站视觉语言的出口 —— 颜色、字号、图表色板都从这里取，页面不许写死色值。
+ *
+ * 三件事：
+ *   1. `MILITARY`：语义色的**变量名**（不是字面色值）。
+ *      为什么：外观设置里可以换皮肤（原版 / 简洁 / 炫酷），
+ *      页面如果写死 #4E5F3C，换皮肤就换不动了。
+ *      `var(--wb-primary)` 会跟着 <html data-wb-skin> 自动变，
+ *      而 `lib/appearance.ts` 是这些变量的唯一来源。
+ *   2. `fs(px)`：字号工具。用户可调字号，页面写 `fs(13)` 就会跟着缩放；
+ *      直接写 `fontSize: 13` 会被固定住，在新皮肤/大字号下显得忽大忽小。
+ *   3. `CHART_COLORS` / `SEMANTIC`：图表用**字面值**（canvas 不认 CSS 变量）。
+ *      图表要跟随皮肤时用 `useAppearance().palette.chart`，不要用这里的常量。
+ *
+ * 语义色板（等级 / 状态这类有明确含义的分类）走 `SEMANTIC`，
+ * 别拿 CHART_COLORS 凑：通用色板首尾颜色太近，"优秀"和"不及格"会糊成一片。
+ */
+
+import { SKINS } from './appearance';
+
+/**
+ * 语义色 —— 值全是 CSS 变量，随皮肤切换。
+ *
+ * 用法：
+ *   style={{ color: MILITARY.primary }}
+ *   `1px solid ${MILITARY.border}`
+ * ⚠️ 不要拿去喂 ECharts / canvas / 需要参与计算的字符串拼接，
+ *    那些地方要真实色值（见 `chartPalette()` / `useAppearance().palette`）。
+ */
+export const MILITARY = {
+  /** 主色 */
+  primary: 'var(--wb-primary)',
+  primaryHover: 'var(--wb-primary-hover)',
+  primaryActive: 'var(--wb-primary-active)',
+  /** 主色上的文字色（深色皮肤的主色偏亮，这里会变成近黑） */
+  onPrimary: 'var(--wb-on-primary)',
+  /** 深主色：侧边栏、品牌区底色 */
+  primaryDark: 'var(--wb-primary-dark)',
+  primaryDeep: 'var(--wb-primary-deep)',
+  /** 浅底：图标底、标签底、表头 */
+  soft: 'var(--wb-soft)',
+  softStrong: 'var(--wb-soft-strong)',
+  /** 点缀色（徽标、强调数字、定位条） */
+  accent: 'var(--wb-accent)',
+  accentSoft: 'var(--wb-accent-soft)',
+  /** 画布与卡片 */
+  bg: 'var(--wb-bg)',
+  card: 'var(--wb-card)',
+  paper: 'var(--wb-paper)',
+  border: 'var(--wb-border)',
+  borderSoft: 'var(--wb-border-soft)',
+  /** 文字 */
+  text: 'var(--wb-text)',
+  textSecondary: 'var(--wb-text-2)',
+  textMuted: 'var(--wb-text-3)',
+  /** 语义色 */
+  success: 'var(--wb-success)',
+  warning: 'var(--wb-warning)',
+  error: 'var(--wb-error)',
+  successBg: 'var(--wb-success-bg)',
+  warningBg: 'var(--wb-warning-bg)',
+  errorBg: 'var(--wb-error-bg)',
+  /** 阴影与圆角（皮肤决定"硬边"还是"厚面板"） */
+  shadow: 'var(--wb-shadow)',
+  shadowSm: 'var(--wb-shadow-sm)',
+  radius: 'var(--wb-radius)',
+  radiusSm: 'var(--wb-radius-sm)',
+} as const;
+
+/** 语义状态：优秀 / 待处理 / 异常 / 中性。饼图、进度条、状态标签按语义取色 */
+export const SEMANTIC = {
+  good: MILITARY.success,
+  warn: MILITARY.warning,
+  bad: MILITARY.error,
+  neutral: MILITARY.textMuted,
+} as const;
+
+/**
+ * 字号工具：把设计稿里的 13px 换成"跟着用户字号设置走"的正文字号。
+ *
+ *   <span style={{ fontSize: fs(13) }}>
+ *
+ * 实现是 `13px * var(--wb-fs)`（0.9 / 1 / 1.1 / 1.2 四档）。
+ * 不要写成模板字符串拼 var()，读起来太吵；也不要忘了它只用于字号。
+ */
+export const fs = (px: number): string => `calc(${px}px * var(--wb-fs))`;
+
+/** 当前皮肤的字面色板（图表 / canvas 用）。默认返回原版，UI 里请用 useAppearance() */
+export const chartPalette = (): string[] => SKINS.classic.palette.chart;
+
+/**
+ * 图表默认色板（字面值）。
+ * ⚠️ 它不会跟着皮肤变 —— 需要跟随的图表请用 `useChartPalette()`（components/appearance）。
+ * 保留这个常量是为了兼容不关心皮肤的静态图表/图例。
+ */
+export const CHART_COLORS: string[] = SKINS.classic.palette.chart;

package/resources/src/lib/todos/feedback.ts

@@ -0,0 +1,86 @@
+import type { Prisma } from '@prisma/client';
+import type { SessionUser } from '@/auth';
+import { prisma } from '@/lib/prisma';
+import { isFeedbackAdmin } from '@/lib/feedback-access';
+import { isEnabled } from '@/lib/features';
+import type { TodoSource } from './types';
+
+/**
+ * 问题反馈的待办来源 —— 消息中心自带的示例接入。
+ *
+ * 与 `badge-count.ts` 共用同一套角色视角，避免出现
+ * 「侧边栏红点 3 条、待办中心 0 条」这种对不上账的情况：
+ *   - 管理员：全库 pending 反馈（他要干的活）
+ *   - 普通用户：自己提交的、管理员已回复、还没点开看的反馈
+ */
+
+const TYPE_LABEL: Record<string, string> = {
+  bug: '功能异常',
+  suggest: '体验建议',
+  data: '数据问题',
+  other: '其他',
+  account: '账号申诉',
+};
+
+const STATUS_LABEL: Record<string, string> = {
+  pending: '待处理',
+  doing: '处理中',
+  resolved: '已解决',
+  closed: '已关闭',
+};
+
+function whereOf(user: SessionUser): Prisma.FeedbackWhereInput {
+  if (isFeedbackAdmin(user)) {
+    return { deletedAt: null, status: 'pending' };
+  }
+  return {
+    deletedAt: null,
+    userId: user.id,
+    readAt: null,
+    reply: { not: null },
+    status: { not: 'closed' },
+  };
+}
+
+export const feedbackTodoSource: TodoSource = {
+  key: 'feedback',
+  name: '问题反馈',
+  description: '等待处理的反馈与未读回复',
+  icon: 'MessageOutlined',
+  order: 10,
+
+  visible: () => isEnabled('feedback'),
+
+  count: async (user) => prisma.feedback.count({ where: whereOf(user) }),
+
+  list: async (user, limit) => {
+    const admin = isFeedbackAdmin(user);
+    const rows = await prisma.feedback.findMany({
+      where: whereOf(user),
+      orderBy: { createdAt: 'desc' },
+      take: Math.min(50, Math.max(1, limit)),
+      select: {
+        id: true,
+        title: true,
+        type: true,
+        status: true,
+        username: true,
+        createdAt: true,
+      },
+    });
+
+    return rows.map((row) => ({
+      id: row.id,
+      title: row.title,
+      subtitle: admin
+        ? `${TYPE_LABEL[row.type] ?? '反馈'} · ${row.username}`
+        : `管理员已回复 · ${STATUS_LABEL[row.status] ?? row.status}`,
+      // 管理员带 status 参数，进去就是待处理列表；普通人直接定位到这条反馈
+      link: admin
+        ? `/feedback?id=${row.id}&status=pending`
+        : `/feedback?id=${row.id}`,
+      level: admin ? ('warning' as const) : ('info' as const),
+      createdAt: row.createdAt.toISOString(),
+    }));
+  },
+};

package/resources/src/lib/todos/index.ts

@@ -0,0 +1,73 @@
+import type { SessionUser } from '@/auth';
+import type { InboxTodoGroup } from '@/lib/inbox-types';
+import { feedbackTodoSource } from './feedback';
+import type { TodoSource } from './types';
+
+/**
+ * 待办来源注册表。
+ *
+ * 新模块只需在这里追加一行。消息中心会自动：
+ *   - 按 order 排序分组
+ *   - 只展示 visible(user) 为 true 的来源
+ *   - 聚合计数给顶栏铃铛
+ *
+ * 所有来源都失败时也只是空列表，不会让 /inbox 报错。
+ */
+export const TODO_SOURCES: TodoSource[] = [feedbackTodoSource];
+
+function visibleSources(user: SessionUser): TodoSource[] {
+  return TODO_SOURCES.filter((source) => {
+    try {
+      return source.visible(user);
+    } catch (e) {
+      console.error(`[inbox] 待办来源 ${source.key} 的 visible() 失败（已跳过）`, e);
+      return false;
+    }
+  }).sort((a, b) => a.order - b.order);
+}
+
+/** 聚合待办分组；单个来源失败只跳过它自己 */
+export async function listTodoGroups(
+  user: SessionUser,
+  limit = 20
+): Promise<InboxTodoGroup[]> {
+  const groups: (InboxTodoGroup | null)[] = await Promise.all(
+    visibleSources(user).map(async (source): Promise<InboxTodoGroup | null> => {
+      try {
+        const [count, items] = await Promise.all([
+          source.count(user),
+          source.list(user, limit),
+        ]);
+        if (count <= 0) return null;
+        return {
+          key: source.key,
+          name: source.name,
+          description: source.description,
+          icon: source.icon,
+          count,
+          items,
+        };
+      } catch (e) {
+        console.error(`[inbox] 待办来源 ${source.key} 查询失败（已跳过）`, e);
+        return null;
+      }
+    })
+  );
+
+  return groups.filter((group): group is InboxTodoGroup => group !== null);
+}
+
+/** 只要数字时走这里，避免把列表和明细也拉出来 */
+export async function countTodos(user: SessionUser): Promise<number> {
+  const counts = await Promise.all(
+    visibleSources(user).map(async (source) => {
+      try {
+        return await source.count(user);
+      } catch (e) {
+        console.error(`[inbox] 待办来源 ${source.key} 计数失败（已按 0 处理）`, e);
+        return 0;
+      }
+    })
+  );
+  return counts.reduce((sum, value) => sum + (Number.isFinite(value) ? value : 0), 0);
+}

package/resources/src/lib/todos/types.ts

@@ -0,0 +1,33 @@
+import type { SessionUser } from '@/auth';
+import type { InboxTodoItem } from '@/lib/inbox-types';
+
+/**
+ * 待办来源接口。
+ *
+ * ★ 新增业务模块时，如果它有「待我审批 / 待处理 / 未读」语义：
+ *   1. 在本目录新增一个 `<模块>.ts`，实现下面四个字段；
+ *   2. 到 `index.ts` 的 `TODO_SOURCES` 数组里注册一行。
+ *
+ * 统一返回「业务无关」的 InboxTodoItem，消息中心只负责聚合与展示，
+ * 不关心待办来自审批、反馈还是工单。某来源查库失败会被跳过，
+ * 不会拖垮整个消息中心。
+ */
+
+export type TodoSource = {
+  /** 全局唯一，用于 React key 与排障日志 */
+  key: string;
+  /** 来源名称，如「问题反馈」 */
+  name: string;
+  /** 一句话说明，展示在分组标题下 */
+  description?: string;
+  /** 菜单图标名（与 menu-icons 的映射表一致） */
+  icon?: string;
+  /** 越小越靠前 */
+  order: number;
+  /** 当前用户是否能看到该来源（权限、功能开关都在这里判断） */
+  visible: (user: SessionUser) => boolean;
+  /** 待办总数（可以大于 list 返回的条数） */
+  count: (user: SessionUser) => Promise<number>;
+  /** 最近待办；limit 由消息中心传入 */
+  list: (user: SessionUser, limit: number) => Promise<InboxTodoItem[]>;
+};

package/resources/src/lib/upload.ts

@@ -0,0 +1,106 @@
+import { promises as fs } from 'fs';
+import path from 'path';
+
+/**
+ * 本地文件上传。
+ *
+ * 演示系统用「项目根目录 uploads/」而不是对象存储：
+ * 内网单机、无云账号，落盘最省事；也不会因为网络问题让演示翻车。
+ * 真上生产换成 OSS 时，只需要替换本文件的两个函数实现。
+ */
+export const UPLOAD_ROOT = path.join(process.cwd(), 'uploads');
+
+/** 处理单个路径片段：去非法字符、拍平 `..`、去掉开头的点 */
+function sanitizeSegment(name: string): string {
+  return name
+    .replace(/[\\/:*?"<>|]/g, '_') // 文件系统非法字符
+    .replace(/\u0000/g, '')
+    .replace(/\.{2,}/g, '_') // 连续的 .. 一律拍扁
+    .replace(/^[.\s]+/, '') // 开头的 . / 空格（避免生成隐藏文件）
+    .trim();
+}
+
+/** 文件名兜底：空名字也要能存下去 */
+function safeBaseName(name: string): string {
+  return sanitizeSegment(name) || 'file';
+}
+
+/** 校验并拼出安全的绝对路径；越界直接抛错 */
+function resolveInside(root: string, ...parts: string[]): string {
+  const target = path.join(root, ...parts);
+  const rel = path.relative(root, target);
+  if (rel.startsWith('..') || path.isAbsolute(rel)) {
+    throw new Error('非法的文件路径');
+  }
+  return target;
+}
+
+/**
+ * 保存上传文件，返回可访问信息。
+ * 文件名前缀时间戳 + 随机串：避免同名覆盖，也让目录里的自然排序约等于上传顺序。
+ *
+ * ★ ownerId 传了就在旁边写一个同名 `.meta.json` 记录上传人，
+ *   下载时校验 —— 否则任何登录用户拿到文件名就能读别人上传的 Excel
+ *   （员工导入表、报表附件全在里面）。没传（老调用方）则不记录，下载放行。
+ */
+export async function saveUpload(
+  file: File,
+  dir = '',
+  ownerId?: string
+): Promise<{ name: string; size: number; path: string; url: string }> {
+  const original = file.name || 'file';
+  const ext = path.extname(original).toLowerCase();
+  const base = safeBaseName(path.basename(original, ext));
+  const name = `${Date.now()}-${Math.random().toString(36).slice(2, 8)}-${base}${ext}`;
+
+  // 注意：这里用 sanitizeSegment 而不是 safeBaseName。
+  // safeBaseName 对空串会兜底成 'file'，而 dir 为空是「直接放 uploads 根目录」，
+  // 用错了会把文件全塞进 uploads/file/ 这个凭空出现的子目录里。
+  const safeDir = dir
+    .split(/[\\/]+/)
+    .map((s) => sanitizeSegment(s))
+    .filter(Boolean)
+    .join(path.sep);
+
+  const target = resolveInside(UPLOAD_ROOT, safeDir, name);
+  await fs.mkdir(path.dirname(target), { recursive: true });
+
+  const buffer = Buffer.from(await file.arrayBuffer());
+  await fs.writeFile(target, buffer);
+
+  if (ownerId) {
+    await fs.writeFile(`${target}.meta.json`, JSON.stringify({ ownerId }), 'utf8');
+  }
+
+  return { name, size: buffer.length, path: target, url: `/api/files/${encodeURIComponent(name)}` };
+}
+
+/** 读上传文件的归属人；没有元数据（历史文件）返回 null，调用方按放行处理 */
+export async function uploadOwnerOf(name: string): Promise<string | null> {
+  try {
+    const raw = await fs.readFile(`${resolveUploadFile(name)}.meta.json`, 'utf8');
+    const parsed = JSON.parse(raw) as { ownerId?: string };
+    return parsed.ownerId ?? null;
+  } catch {
+    return null;
+  }
+}
+
+/** 只读取内容，不落盘 —— 文档解析、Excel 导入这类「一次性处理」用这个 */
+export async function readUpload(
+  file: File
+): Promise<{ filename: string; buffer: Buffer; ext: string }> {
+  const filename = file.name || 'file';
+  const ext = path.extname(filename).toLowerCase();
+  const buffer = Buffer.from(await file.arrayBuffer());
+  return { filename, buffer, ext };
+}
+
+/** 供下载路由使用：把 URL 里的名字解析成 uploads 下的绝对路径（带越界校验） */
+export function resolveUploadFile(name: string): string {
+  const decoded = decodeURIComponent(name);
+  if (decoded.includes('/') || decoded.includes('\\') || decoded.includes('..')) {
+    throw new Error('非法的文件名');
+  }
+  return resolveInside(UPLOAD_ROOT, decoded);
+}

package/resources/src/lib/utils.test.ts

@@ -0,0 +1,9 @@
+import { describe, expect, it } from 'vitest';
+import { cn } from './utils';
+
+describe('cn', () => {
+  it('合并类名并去重冲突', () => {
+    expect(cn('px-2', 'px-4')).toBe('px-4');
+    expect(cn('text-sm', false && 'hidden', 'font-bold')).toBe('text-sm font-bold');
+  });
+});

package/resources/src/lib/utils.ts

@@ -0,0 +1,6 @@
+import { clsx, type ClassValue } from 'clsx';
+import { twMerge } from 'tailwind-merge';
+
+export function cn(...inputs: ClassValue[]) {
+  return twMerge(clsx(inputs));
+}