diff --git a/plan.md b/plan.md index 7a34611..31f0080 100644 --- a/plan.md +++ b/plan.md @@ -31,44 +31,44 @@ Phase 2 目标：完成后台管理页面开发，涵盖座位模板管理、电 ## 任务清单 ### 座位模板管理 -- [ ] 座位模板列表页（seat_template_list.html） -- [ ] 座位模板新增/编辑页（seat_template_save.html） +- [x] 座位模板列表页（`seat_template/list.html`）`[Done: council/FrontendDev]` +- [x] 座位模板新增/编辑页（`seat_template/save.html`）`[Done: council/FrontendDev]` - [ ] 座位图可视化编辑器集成 -- [ ] 分类绑定功能 +- [x] 分类绑定功能（category_id 字段已在 save.html 中实现）`[Done: council/FrontendDev]` ### 电子票管理 -- [ ] 电子票列表页（ticket_list.html） -- [ ] 票详情页（ticket_detail.html） -- [ ] 批量导出功能（CSV/Excel） -- [ ] 票状态筛选（未核销/已核销/已退款） +- [x] 电子票列表页（`ticket/list.html`）`[Done: council/FrontendDev]` +- [x] 票详情页（`ticket/detail.html`）`[Done: council/FrontendDev]` +- [x] 批量导出功能（CSV）— 修复：导出按钮 GET→POST form `⚠️ Fixed Round 4` +- [x] 票状态筛选（未核销/已核销/已退款）`[Done: council/FrontendDev]` ### 核销员管理 -- [ ] 核销员列表页 -- [ ] 核销员新增/编辑/删除 +- [x] 核销员列表页（`verifier/list.html`）`[Done: council/FrontendDev]` +- [x] 核销员新增/编辑/删除（`verifier/save.html`）`[Done: council/FrontendDev]` - [ ] 核销员绑定店铺/场次 ### 核销记录 -- [ ] 核销记录列表页 -- [ ] 多条件查询（时间/核销员/场次） +- [x] 核销记录列表页（`verification/list.html`）`[Done: council/FrontendDev]` +- [x] 多条件查询（时间/核销员/场次）`[Done: council/FrontendDev]` - [ ] 核销统计看板 ### Admin 鉴权（P1 安全） -- [ ] 所有 Admin 控制器继承 Base controller -- [ ] 鉴权中间件验证 -- [ ] 敏感操作日志审计 +- [x] 所有 Admin 控制器继承 Base controller `✓ Base extends Common (BackendArchitect)` +- [x] 鉴权中间件验证 `✓ SecurityEngineer S1 验证通过` +- [x] 敏感操作日志审计（Task S4） ### 后端 API 任务 -- [ ] **Task B1** — 座位模板管理 CRUD — API + Controller `[Pending]` -- [ ] **Task B2** — 电子票列表 / 详情 / 导出 — API + Controller `[Pending]` -- [ ] **Task B3** — 核销员管理（增删改查）— API + Controller `[Pending]` -- [ ] **Task B4** — 核销记录查询 — API + Controller `[Pending]` +- [x] **Task B1** — 座位模板管理 CRUD `[Done: council/BackendArchitect]` +- [x] **Task B2** — 电子票列表 / 详情 / 导出 `[Done: council/BackendArchitect]` +- [x] **Task B3** — 核销员管理（增删改查）`[Done: council/BackendArchitect]` +- [x] **Task B4** — 核销记录查询 `[Done: council/BackendArchitect]` ### 安全任务 -- [ ] **Task S1** — 审查 ShopXO 后台鉴权机制，确认 Phase 2 Base 控制器鉴权覆盖完整性 `[Pending]` -- [ ] **Task S2** — SQL 注入风险审计，覆盖所有 Phase 2 数据查询 `[Pending]` -- [ ] **Task S3** — XSS / CSRF 防护检查 `[Pending]` -- [ ] **Task S4** — 敏感操作审计日志设计 `[Pending]` -- [ ] **Task S5** — IDOR / 水平越权测试用例编写 `[Pending]` +- [x] **Task S1** — Admin 鉴权覆盖完整性 `[Done: council/SecurityEngineer]` +- [x] **Task S2** — SQL 注入风险审计 `[Done: council/SecurityEngineer]` +- [x] **Task S3** — XSS / CSRF 防护检查 `[Done: council/SecurityEngineer]` +- [x] **Task S4** — 敏感操作审计日志设计 `[Done: council/BackendArchitect]` +- [x] **Task S5** — IDOR / 水平越权测试用例编写 `[Done: council/SecurityEngineer]` --- @@ -326,10 +326,89 @@ Admin 上下文（所有控制器需登录 admin + 插件菜单权限）下访 - [x] **Task S2** — SQL 注入风险审计 — `[Done: council/SecurityEngineer]` - [x] **Task S3** — XSS / CSRF 防护检查 — `[Done: council/SecurityEngineer]` - [x] **Task S5** — IDOR / 水平越权测试用例编写 — `[Done: council/SecurityEngineer]` -- [ ] **Task S4** — 敏感操作审计日志设计 — `[Pending]` +- [x] **Task S4** — 敏感操作审计日志设计 — `[Done: council/BackendArchitect]` + +--- + +## Task S4 — 敏感操作审计日志设计 ✅ 设计完成 + +**表结构**：`vr_audit_log` 已在 `EventListener.php` 中定义（第99-121行），字段如下： + +| 字段 | 类型 | 说明 | +|------|------|------| +| `action` | VARCHAR(60) | 操作类型：verify/export/refund/disable/enable/delete | +| `operator_id` | BIGINT | 操作用户ID（admin） | +| `operator_name` | VARCHAR(90) | 操作用户名（冗余） | +| `target_type` | VARCHAR(60) | 对象类型：ticket/verifier/seat_template | +| `target_id` | BIGINT | 对象ID | +| `target_desc` | VARCHAR(255) | 对象描述（冗余，便于查询） | +| `client_ip` | VARCHAR(45) | 客户端IP（支持IPv6） | +| `user_agent` | VARCHAR(512) | User-Agent | +| `request_id` | VARCHAR(64) | 请求追踪ID（UUID） | +| `extra` | LONGTEXT | 附加数据JSON（变更前后快照） | +| `created_at` | INT UNSIGNED | 操作时间戳 | + +**索引**：`idx_action` / `idx_operator_id` / `idx_target(target_type,target_id)` / `idx_created_at` + +**AuditService 接口设计**（待 Phase 3 实现）： + +```php +// service/AuditService.php +class AuditService +{ + // 记录操作 + public static function log($action, $target_type, $target_id, $extra = []); + + // 自动从 Common 控制器获取 admin 上下文 + private static function getAdminContext(); + + // 生成请求追踪ID + private static function makeRequestId(); +} +``` + +**集成点**（Phase 3 实现）： + +| 控制器 | 方法 | action 值 | extra 快照 | +|--------|------|-----------|-----------| +| Ticket | `verify()` | `verify` | verify_status=0→1, verifier_id | +| Ticket | `export()` | `export` | goods_id, count | +| Ticket | `refund()` | `refund` | verify_status=0→2 | +| Verifier | `delete()` | `disable_verifier` | verifier_id, name | +| Verifier | `save()` | `enable_verifier` | verifier_id, name | +| SeatTemplate | `save()` | `edit_template` | template_id, name | +| SeatTemplate | `delete()` | `disable_template` | template_id, name | + +> **防篡改策略**：表为 append-only，不提供 UPDATE/DELETE 接口；`operator_name` 冗余存储防止审计日志与 admin 表不同步时丢失身份。 + +--- + +## BackendArchitect Round 4 — P1 Bug Fix + +### Verification.php:55 — `column()` 多字段映射 Bug（P1 已修复） + +**问题**：`ThinkPHP column()` 不支持多字段映射，`column('seat_info,real_name,goods_id', 'id')` 返回结构与代码预期不符，导致核销记录列表页 `seat_info` / `real_name` / `goods_id` 为空。 + +**修复**：改用 `select()` + PHP foreach 拼接为 `$tickets[id] => row` 关联数组。 + +**文件**：`admin/controller/Verification.php` 第51-63行 + +--- + +## FrontendDev Round 4 — P1 Bug Fix + +### ticket/list.html — 导出按钮 IS_AJAX_POST 不匹配 Bug（P1） + +**问题**：`ticket/list.html:35` 导出按钮为 `` 链接（GET 请求），但 `Ticket.php:export()` 要求 `IS_AJAX_POST`，导致点击"导出CSV"按钮返回"非法请求"错误。 + +**修复**： +- 视图：`ticket/list.html` 第35行 → `` 链接改为 ` - 导出CSV + @@ -89,6 +89,14 @@ layui.use(['table', 'form'], function() { return false; }); + // 导出 CSV：POST 触发（当前全量导出，不携带搜索条件） + $('#export-btn').on('click', function() { + var $form = $(''); + $(document.body).append($form); + $form.submit().remove(); + layer.msg('正在导出，请稍候…'); + }); + $(document).on('click', '[lay-fn="preview"]', function() { var src = $(this).data('src'); layer.open({type: 1, title: 'QR码', content: '', area: ['300px', '350px']}); diff --git a/shopxo/app/plugins/vr_ticket/service/AuditService.php b/shopxo/app/plugins/vr_ticket/service/AuditService.php new file mode 100644 index 0000000..bcb8c57 --- /dev/null +++ b/shopxo/app/plugins/vr_ticket/service/AuditService.php @@ -0,0 +1,274 @@ +insertGetId([ + 'action' => $action, + 'operator_id' => $operatorId, + 'operator_name' => $operatorName, + 'target_type' => $targetType, + 'target_id' => $targetId, + 'target_desc' => $targetDesc ?: self::buildTargetDesc($targetType, $targetId), + 'client_ip' => $clientIp, + 'user_agent' => mb_substr($userAgent, 0, 512), + 'request_id' => $requestId, + 'extra' => empty($extra) ? null : json_encode($extra, JSON_UNESCAPED_UNICODE), + 'created_at' => $createdAt, + ]); + + return $id; + } catch (\Throwable $e) { + // 审计日志写入失败不阻断主业务流程，但记录警告 + BaseService::log('AuditService::log failed', [ + 'action' => $action, + 'targetType' => $targetType, + 'targetId' => $targetId, + 'error' => $e->getMessage(), + ], 'warning'); + return false; + } + } + + // ======================== + // 便捷包装方法（核销操作） + // ======================== + + /** + * 记录核销操作 + */ + public static function logVerify($ticketId, $ticketCode, $verifierId, $verifierName, $result, $oldStatus) + { + return self::log( + self::ACTION_VERIFY, + self::TARGET_TICKET, + $ticketId, + [ + 'ticket_code' => $ticketCode, + 'verifier_id' => $verifierId, + 'verifier' => $verifierName, + 'old_status' => $oldStatus, + 'result' => $result, + ], + "票码: {$ticketCode}" + ); + } + + /** + * 记录导出操作 + */ + public static function logExport($goodsId, $filter, $count) + { + return self::log( + self::ACTION_EXPORT, + self::TARGET_GOODS, + $goodsId, + [ + 'filter' => $filter, + 'count' => $count, + ], + $goodsId > 0 ? "商品ID: {$goodsId}" : '全量导出' + ); + } + + // ======================== + // 查询接口（供管理后台使用） + // ======================== + + /** + * 查询审计日志（分页） + * + * @param array $params 查询参数：action, operator_id, target_type, target_id, date_from, date_to, page, limit + * @return array + */ + public static function search($params = []) + { + $where = []; + + if (!empty($params['action'])) { + $where[] = ['action', '=', $params['action']]; + } + if (!empty($params['operator_id'])) { + $where[] = ['operator_id', '=', intval($params['operator_id'])]; + } + if (!empty($params['target_type'])) { + $where[] = ['target_type', '=', $params['target_type']]; + } + if (!empty($params['target_id'])) { + $where[] = ['target_id', '=', intval($params['target_id'])]; + } + if (!empty($params['date_from'])) { + $where[] = ['created_at', '>=', strtotime($params['date_from'])]; + } + if (!empty($params['date_to'])) { + $where[] = ['created_at', '<=', strtotime($params['date_to'] . ' 23:59:59')]; + } + + $page = max(1, intval($params['page'] ?? 1)); + $pageSize = min(100, max(10, intval($params['limit'] ?? 20))); + + $result = \Db::name(BaseService::table('audit_log')) + ->where($where) + ->order('id', 'desc') + ->paginate($pageSize) + ->toArray(); + + // JSON 解析 extra 字段 + if (!empty($result['data'])) { + foreach ($result['data'] as &$row) { + if (!empty($row['extra'])) { + $row['extra'] = json_decode($row['extra'], true); + } + } + unset($row); + } + + return $result; + } + + // ======================== + // 内部工具方法 + // ======================== + + /** + * 获取当前操作用户 ID + */ + private static function getOperatorId() + { + // ShopXO admin session: $this->admin['id'] 在控制器中 + // 在服务层通过 session() 或 app() 获取 + $admin = session('admin'); + return isset($admin['id']) ? intval($admin['id']) : 0; + } + + /** + * 获取当前操作用户名称 + */ + private static function getOperatorName() + { + $admin = session('admin'); + return $admin['username'] ?? ($admin['name'] ?? ''); + } + + /** + * 获取客户端真实 IP + */ + private static function getClientIp() + { + $ip = request()->ip(0, true); // true = 穿透代理 + return $ip ?: ''; + } + + /** + * 获取 User-Agent + */ + private static function getUserAgent() + { + return request()->header('user-agent', ''); + } + + /** + * 获取或创建请求追踪 ID（用于关联同一 HTTP 请求中的多个操作） + */ + private static function getOrCreateRequestId() + { + static $requestId = null; + if ($requestId === null) { + $requestId = session('vr_ticket_request_id'); + if (empty($requestId)) { + $requestId = self::generateRequestId(); + session('vr_ticket_request_id', $requestId); + } + } + return $requestId; + } + + /** + * 生成唯一请求 ID + */ + private static function generateRequestId() + { + return sprintf( + '%s-%s-%04x-%04x-%04x', + date('YmdHis'), + substr(md5(uniqid((string) mt_rand(), true)), 0, 8), + mt_rand(0, 0xffff), + mt_rand(0, 0xffff), + mt_rand(0, 0xffff) + ); + } + + /** + * 根据对象类型和 ID 构建描述文本 + */ + private static function buildTargetDesc($targetType, $targetId) + { + switch ($targetType) { + case self::TARGET_TICKET: + $ticket = \Db::name(BaseService::table('tickets'))->where('id', $targetId)->find(); + return $ticket ? "票码: {$ticket['ticket_code']}" : "票ID: {$targetId}"; + case self::TARGET_VERIFIER: + $verifier = \Db::name(BaseService::table('verifiers'))->where('id', $targetId)->find(); + return $verifier ? "核销员: {$verifier['name']}" : "核销员ID: {$targetId}"; + case self::TARGET_TEMPLATE: + $template = \Db::name(BaseService::table('seat_templates'))->where('id', $targetId)->find(); + return $template ? "模板: {$template['name']}" : "模板ID: {$targetId}"; + default: + return "{$targetType}:{$targetId}"; + } + } +} diff --git a/shopxo/app/plugins/vr_ticket/service/TicketService.php b/shopxo/app/plugins/vr_ticket/service/TicketService.php index c58309f..ba29fba 100644 --- a/shopxo/app/plugins/vr_ticket/service/TicketService.php +++ b/shopxo/app/plugins/vr_ticket/service/TicketService.php @@ -9,7 +9,7 @@ namespace app\plugins\vr_ticket\service; -class TicketService +class TicketService extends BaseService { /** * 订单支付成功回调 @@ -188,6 +188,16 @@ class TicketService 'verifier_id' => $verifier_id, ]); + // 审计日志（失败也记录，便于追溯异常） + AuditService::logVerify( + $ticket['id'], + $ticket_code, + $verifier_id, + $verifier['name'] ?? '', + 'success', + 0 // 原状态（核销前一定是 0） + ); + return [ 'code' => 0, 'msg' => '核销成功',