labull-framework 0.1.0__tar.gz → 0.1.2__tar.gz

{labull_framework-0.1.0/labull_framework.egg-info → labull_framework-0.1.2}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: labull-framework
-Version: 0.1.0
+Version: 0.1.2
 Summary: Labull Framework: a pluggable Django app with Authing OIDC login and magic blocks
 Author: Labull Framework
 License-Expression: MIT
@@ -63,7 +63,7 @@ from labull_framework.urls import urlpatterns as labull_urls
 urlpatterns = [*labull_urls, path('admin/', admin.site.urls)]
 ```
 
-`wsgi.py` 里一行（**别漏**，补管理员与启动体检都在这里）：
+`wsgi.py` 里一行（**别漏**，重设管理员名单与启动体检都在这里）：
 
 ```python
 from labull_framework.magic_block.health import startup_once
@@ -93,7 +93,7 @@ CORS_ORIGIN=http://localhost:5173
 
 | 想要什么 | 怎么做 |
 |---|---|
-| **谁是管理员** | Django 的 `is_staff`（admin 里勾，或配 `BOOTSTRAP_ADMIN_WORK_IDS` 写工号） |
+| **谁是管理员** | 配 `BOOTSTRAP_ADMIN_WORK_IDS=工号,工号` —— 它是**声明式**的名单：启动时名单里的人补上 `is_staff`，**名单之外的一律清掉**（没配就是"一个管理员都没有"）。它不碰 `is_superuser`，所以别拿超管当后门 |
 | **看数据模型那一页** | 设 `LABULL_SCHEMA_CANVAS=on`，浏览器打开 `/` |
 | **导出一份模型形状** | `python manage.py labull_contract --out .labull/contract.json` |
 

{labull_framework-0.1.0 → labull_framework-0.1.2}/README-pypi.md

@@ -1,112 +1,112 @@
-# labull-framework
-
-一个可插拔的 **Django app**（import 名 `labull_framework`），提供两件事：
-
-- **Authing / OIDC 登录**：自带的认证后端，只用标准库 + PyJWT，不依赖任何 OIDC 客户端包。
-- **magic block**：一个 uuid + 一整个文件包就是一个功能块，住在数据库里、在沙箱 iframe 里渲染，
-  不重新编译、不重启；块可以带自己的后端 Python（`backend_open.py`）。
-
-另附一个可选的 **数据模型页**（`LABULL_SCHEMA_CANVAS=on` 才开）。
-
-## 安装
-
-```bash
-pip install labull-framework
-```
-
-## 接进一个 Django 项目
-
-`settings.py` 里三件事：
-
-```python
-from labull_framework.env import load_env_file
-load_env_file(BASE_DIR / '.env')            # ① 第一行：读 .env
-
-AUTH_USER_MODEL = 'labull_framework.User'   # ② 第一次 migrate 之前就要设好
-
-from labull_framework.settings import apply_platform_settings
-apply_platform_settings(globals())          # ③ 最后一行：把平台的设置补进来
-```
-
-`urls.py` 里一行：
-
-```python
-from labull_framework.urls import urlpatterns as labull_urls
-urlpatterns = [*labull_urls, path('admin/', admin.site.urls)]
-```
-
-`wsgi.py` 里一行（**别漏**，补管理员与启动体检都在这里）：
-
-```python
-from labull_framework.magic_block.health import startup_once
-startup_once()
-```
-
-然后：
-
-```bash
-python manage.py migrate
-python manage.py runserver
-```
-
-`.env` 最少要这几项：
-
-```ini
-DATABASE_URL=postgres://postgres:postgres@localhost:5432/app
-SSO_ISSUER=https://<你的域名>.authing.cn/oidc
-SSO_CLIENT_ID=<Authing 应用 ID>
-SSO_CLIENT_SECRET=<Authing 应用密钥>
-SSO_REDIRECT_URI=http://localhost:8000/auth/callback
-SSO_WEB_ORIGIN=http://localhost:5173
-CORS_ORIGIN=http://localhost:5173
-```
-
-`sqlite:///db.sqlite3` 也认，本地开发不必装数据库。
-
-| 想要什么 | 怎么做 |
-|---|---|
-| **谁是管理员** | Django 的 `is_staff`（admin 里勾，或配 `BOOTSTRAP_ADMIN_WORK_IDS` 写工号） |
-| **看数据模型那一页** | 设 `LABULL_SCHEMA_CANVAS=on`，浏览器打开 `/` |
-| **导出一份模型形状** | `python manage.py labull_contract --out .labull/contract.json` |
-
-## magic block
-
-一个块 = **一个 uuid + 一整个文件包**：
-
-```
-我的块/
-├─ index.open.html        入口（必备）
-├─ magic-block.open.yaml  清单（必备）：id / module / name / brief 四个键
-├─ 任意 js / css
-└─ backend_open.py        块自己的后端（可选）
-```
-
-块后端与项目里别的 Python 代码没有区别：
-
-```python
-from labull_framework.magic_block.sdk import MagicBackendAPI, errors
-
-class Order:
-    @MagicBackendAPI()                       # 省略 permission = 任何登录用户都能调
-    def list(self, ctx, params):
-        from modules.orders.models import Order
-        return [{'id': o.id} for o in Order.objects.all()[:20]]
-
-    @MagicBackendAPI(permission='labull_framework.edit_blocks')
-    def close(self, ctx, params):
-        if not params.get('id'):
-            raise errors.BadRequest('要给我一个 id')
-        return {'ok': True}
-```
-
-配置：环境变量里**带 `BLOCK_` 前缀**的才会进 `ctx.config`（`BLOCK_OCR_KEY=a` ⇒ `ctx.config['OCR_KEY']`）。
-
-## 运行环境
-
-- Python ≥ 3.10
-- Django ≥ 4.2（在 6.1 上验证过）
-- PyJWT（带 `crypto` 后端）
-
-## License
-
-MIT
+# labull-framework
+
+一个可插拔的 **Django app**（import 名 `labull_framework`），提供两件事：
+
+- **Authing / OIDC 登录**：自带的认证后端，只用标准库 + PyJWT，不依赖任何 OIDC 客户端包。
+- **magic block**：一个 uuid + 一整个文件包就是一个功能块，住在数据库里、在沙箱 iframe 里渲染，
+  不重新编译、不重启；块可以带自己的后端 Python（`backend_open.py`）。
+
+另附一个可选的 **数据模型页**（`LABULL_SCHEMA_CANVAS=on` 才开）。
+
+## 安装
+
+```bash
+pip install labull-framework
+```
+
+## 接进一个 Django 项目
+
+`settings.py` 里三件事：
+
+```python
+from labull_framework.env import load_env_file
+load_env_file(BASE_DIR / '.env')            # ① 第一行：读 .env
+
+AUTH_USER_MODEL = 'labull_framework.User'   # ② 第一次 migrate 之前就要设好
+
+from labull_framework.settings import apply_platform_settings
+apply_platform_settings(globals())          # ③ 最后一行：把平台的设置补进来
+```
+
+`urls.py` 里一行：
+
+```python
+from labull_framework.urls import urlpatterns as labull_urls
+urlpatterns = [*labull_urls, path('admin/', admin.site.urls)]
+```
+
+`wsgi.py` 里一行（**别漏**，重设管理员名单与启动体检都在这里）：
+
+```python
+from labull_framework.magic_block.health import startup_once
+startup_once()
+```
+
+然后：
+
+```bash
+python manage.py migrate
+python manage.py runserver
+```
+
+`.env` 最少要这几项：
+
+```ini
+DATABASE_URL=postgres://postgres:postgres@localhost:5432/app
+SSO_ISSUER=https://<你的域名>.authing.cn/oidc
+SSO_CLIENT_ID=<Authing 应用 ID>
+SSO_CLIENT_SECRET=<Authing 应用密钥>
+SSO_REDIRECT_URI=http://localhost:8000/auth/callback
+SSO_WEB_ORIGIN=http://localhost:5173
+CORS_ORIGIN=http://localhost:5173
+```
+
+`sqlite:///db.sqlite3` 也认，本地开发不必装数据库。
+
+| 想要什么 | 怎么做 |
+|---|---|
+| **谁是管理员** | 配 `BOOTSTRAP_ADMIN_WORK_IDS=工号,工号` —— 它是**声明式**的名单：启动时名单里的人补上 `is_staff`，**名单之外的一律清掉**（没配就是"一个管理员都没有"）。它不碰 `is_superuser`，所以别拿超管当后门 |
+| **看数据模型那一页** | 设 `LABULL_SCHEMA_CANVAS=on`，浏览器打开 `/` |
+| **导出一份模型形状** | `python manage.py labull_contract --out .labull/contract.json` |
+
+## magic block
+
+一个块 = **一个 uuid + 一整个文件包**：
+
+```
+我的块/
+├─ index.open.html        入口（必备）
+├─ magic-block.open.yaml  清单（必备）：id / module / name / brief 四个键
+├─ 任意 js / css
+└─ backend_open.py        块自己的后端（可选）
+```
+
+块后端与项目里别的 Python 代码没有区别：
+
+```python
+from labull_framework.magic_block.sdk import MagicBackendAPI, errors
+
+class Order:
+    @MagicBackendAPI()                       # 省略 permission = 任何登录用户都能调
+    def list(self, ctx, params):
+        from modules.orders.models import Order
+        return [{'id': o.id} for o in Order.objects.all()[:20]]
+
+    @MagicBackendAPI(permission='labull_framework.edit_blocks')
+    def close(self, ctx, params):
+        if not params.get('id'):
+            raise errors.BadRequest('要给我一个 id')
+        return {'ok': True}
+```
+
+配置：环境变量里**带 `BLOCK_` 前缀**的才会进 `ctx.config`（`BLOCK_OCR_KEY=a` ⇒ `ctx.config['OCR_KEY']`）。
+
+## 运行环境
+
+- Python ≥ 3.10
+- Django ≥ 4.2（在 6.1 上验证过）
+- PyJWT（带 `crypto` 后端）
+
+## License
+
+MIT

{labull_framework-0.1.0 → labull_framework-0.1.2}/labull_framework/admin.py

@@ -59,5 +59,5 @@ class MagicBlockAdmin(admin.ModelAdmin):
         return None
 
     def has_add_permission(self, request) -> bool:
-        # 块的 uuid 由开发者在前端写死（`<MagicBlockHost uuid="…">`），admin 里"新增"没有意义。
+        # 块的 uuid 由开发者在前端路由表里写死（`MagicBlockPage` 的 `props.uuid`），admin 里"新增"没有意义。
         return False

{labull_framework-0.1.0 → labull_framework-0.1.2}/labull_framework/apps.py

@@ -1,33 +1,33 @@
-from __future__ import annotations
-
-from django.apps import AppConfig
-
-
-class LabullConfig(AppConfig):
-    """这个 app 的登记项。
-
-    🔴 `ready()` 里**只挂一个钩子，不碰数据库**：Django 对"在 `ready()` 里查库"会明确警告
-    （`Accessing the database during app initialization is discouraged`），而且新项目第一次
-    `migrate` 时表还不存在 —— 那时查库会让**整个命令**起不来。
-
-    🔴 启动时要做的两件事（补管理员 → 全量体检）在 `wsgi.py` 里一行显式调用：
-        ```python
-        from labull_framework.magic_block.health import startup_once
-        startup_once()
-        ```
-        那一行是**契约**（函数名与签名都不要改）：`runserver` / gunicorn / uwsgi / ASGI
-        都从那里进来，所以它天然是"每个进程一次"的地方。
-    ⚠️ 它**不是** `post_migrate` 的替代：那个只在迁移之后发（管"库刚被改过"），
-        而启动体检只有 `startup_once()` 能做。
-    """
-
-    default_auto_field = 'django.db.models.BigAutoField'
-    name = 'labull_framework'
-    verbose_name = 'Labull Framework'
-
-    def ready(self) -> None:
-        # 延迟 import：此刻 app 注册表已经就绪，但避免模块级 import 造成加载顺序问题。
-        # 钩子是"库自己正常工作"的一部分（体检库里存着的块），**不是**对使用者项目的检查。
-        from .magic_block import health
-
-        health.install_hook()
+from __future__ import annotations
+
+from django.apps import AppConfig
+
+
+class LabullConfig(AppConfig):
+    """这个 app 的登记项。
+
+    🔴 `ready()` 里**只挂一个钩子，不碰数据库**：Django 对"在 `ready()` 里查库"会明确警告
+    （`Accessing the database during app initialization is discouraged`），而且新项目第一次
+    `migrate` 时表还不存在 —— 那时查库会让**整个命令**起不来。
+
+    🔴 启动时要做的两件事（重设管理员名单 → 全量体检）在 `wsgi.py` 里一行显式调用：
+        ```python
+        from labull_framework.magic_block.health import startup_once
+        startup_once()
+        ```
+        那一行是**契约**（函数名与签名都不要改）：`runserver` / gunicorn / uwsgi / ASGI
+        都从那里进来，所以它天然是"每个进程一次"的地方。
+    ⚠️ 它**不是** `post_migrate` 的替代：那个只在迁移之后发（管"库刚被改过"），
+        而启动体检只有 `startup_once()` 能做。
+    """
+
+    default_auto_field = 'django.db.models.BigAutoField'
+    name = 'labull_framework'
+    verbose_name = 'Labull Framework'
+
+    def ready(self) -> None:
+        # 延迟 import：此刻 app 注册表已经就绪，但避免模块级 import 造成加载顺序问题。
+        # 钩子是"库自己正常工作"的一部分（体检库里存着的块），**不是**对使用者项目的检查。
+        from .magic_block import health
+
+        health.install_hook()

labull_framework-0.1.2/labull_framework/auth/bootstrap.py

@@ -0,0 +1,75 @@
+"""启动时按 `BOOTSTRAP_ADMIN_WORK_IDS` **重设**谁是管理员 —— **这是"管理员名单"的唯一入口**。
+
+🔴 判据是**声明式**的：那份清单**就是**管理员名单。每次启动都拿它和数据库对一遍 ——
+   名单里的人补上 `is_staff=True`，**名单之外的（以及没有工号的）一律清成 `False`**。
+   于是"某人离职 / 不该再进 admin"这件事只需要从 `.env` 里删掉一个工号 + 重启，不必记得去 admin 里点。
+🔴 **没配 / 是空 ⇒ 把所有人的 `is_staff` 清掉**（"没配"的语义就是"管理员一个都没有"）。
+   ⚠️ 这是刻意选的**fail-closed**：`.env` 少写一行、部署时忘了带这个变量，后果是**没有人能进 /admin**
+      —— 而不是"上一个被删掉的人悄悄留着权限"。要救回来：把那一行补回去重启，
+      或者 `python manage.py shell` 里手动 `User.objects.filter(work_id='1001').update(is_staff=True)`。
+      ⚠️ 反过来说：**它不碰 `is_superuser`**（那是 Django 的另一层，拥有全部权限，不归这份名单管）。
+🔴 清单超过 `MAX_WORK_IDS` 时**只取前 200 个**（防误粘）—— 于是第 201 个之后的人会被停掉，
+   所以那一条 warning 必须显式说出来（不然症状是"名单明明写了，他就是进不去"）。
+"""
+
+from __future__ import annotations
+
+import logging
+
+from ..env import read_env
+from ..models import User
+
+logger = logging.getLogger(__name__)
+
+MAX_WORK_IDS = 200
+
+
+def sync_staff_work_ids() -> int:
+    """把 `is_staff` 重设成"只有名单里的人有"，回这次**真的**改了几个人（上岗 + 下岗）。
+
+    🔴 **永不抛**：这是启动路径，库连不上 / 表还没迁移都只该在日志里留一句 ——
+       重设管理员失败没有理由让整个后端起不来。
+    🔴 `update()` 的返回值是**匹配到的行数**，不是"真的改过的行数"（Django 不跳过"值本来就一样"的行）。
+       所以"这次动了几个人"必须先查一遍现状再算差集 —— 拿返回值当"改动数"的话，
+       同一条名单每启动一次都会报"改了 N 个"（真踩过：第二次仍然说改了 2 个），
+       而这个数字正是运维判断"这次启动有没有动过权限"的唯一线索。
+    🔴 判据是**名单**，不是"库里现在谁有 staff"：`work_id` 为 `NULL` 的行永远不在名单里
+       （SQL 的 `NULL IN (…)` / `NULL NOT IN (…)` 都是 unknown），所以"没有工号的人"会被清掉 ——
+       这是对的（认人只认工号），但也意味着**没有工号的人不可能当管理员**。
+    """
+    raw = read_env('BOOTSTRAP_ADMIN_WORK_IDS')
+    work_ids = [item.strip() for item in raw.split(',') if item.strip()]
+    if len(work_ids) > MAX_WORK_IDS:
+        logger.warning(
+            'BOOTSTRAP_ADMIN_WORK_IDS 有 %s 个工号，本次只认前 %s 个（上限 %s）：'
+            '**多出来的那些人会被停用**（名单就是全部管理员）—— 请拆成多批，或确认这一行是不是误粘了。',
+            len(work_ids), MAX_WORK_IDS, MAX_WORK_IDS,
+        )
+        work_ids = work_ids[:MAX_WORK_IDS]
+    if not work_ids:
+        logger.warning(
+            'BOOTSTRAP_ADMIN_WORK_IDS 没配 / 是空的：按"管理员一个都没有"处理，'
+            '会把所有人的 is_staff 清成 False（于是谁都进不了 /admin）。'
+            '要指定管理员就在 .env 里写一行 BOOTSTRAP_ADMIN_WORK_IDS=<工号>[,<工号>…]。'
+        )
+
+    try:
+        wanted = list(User.objects.filter(work_id__in=work_ids).values_list('pk', flat=True))
+        unwanted = list(
+            User.objects.filter(is_staff=True).exclude(work_id__in=work_ids).values_list('pk', flat=True)
+        )
+        # 🔴 `update()` 而不是逐个 `save()`：一条 SQL 就完事，也不碰 `date_joined` / `last_login`
+        #    这类自动字段（"改角色"不该让"这个人什么时候注册的"跟着变）。
+        # 🔴 两个 `.update()` 的 WHERE 里都要带 `is_staff` 那一半：不带的话每次启动都会真写一遍
+        #    （幂等没了、行锁白拿）。
+        added = User.objects.filter(pk__in=wanted).filter(is_staff=False).update(is_staff=True) if wanted else 0
+        removed = User.objects.filter(pk__in=unwanted).update(is_staff=False) if unwanted else 0
+    except Exception as error:  # noqa: BLE001 —— 见 docstring：启动路径永不抛
+        logger.error('按 BOOTSTRAP_ADMIN_WORK_IDS 重设 is_staff 失败（不影响启动）：%s', error)
+        return 0
+    if added or removed:
+        logger.info(
+            '按 BOOTSTRAP_ADMIN_WORK_IDS 重设管理员：设上 %s 个、清掉 %s 个（名单里有 %s 个工号）',
+            added, removed, len(work_ids),
+        )
+    return added + removed