09e30d27d464dc169bf1ece3b9f410ee2c9c4c66
3
Commits
| Author | SHA1 | Message | Date | |
|---|---|---|---|---|
 laoyang
|
09e30d27d4 |
v24 第 24 批：选人冲掉已有成员 / 首页改版 / 个人导航 / 微信读书 / 财务图
用户 6 条原话（要点）：
①「选择名册里面人员的那个弹出框有个问题，就是会把页面里面已有的人员给冲掉。
比方说电影里面的观影人或者是旅程里面的参与人…这是一个 bug 应该通篇检查。」
并按「输入拼音 → 空格选中第一个 → 输入框清空回焦 → 再输下一个 → 回车=确定」重做交互。
② 首页简要信息改成：问候 + 姓名 + 日期 + 星期 + 农历 + 节气/节日/纪念日/生日，
下面「今天几条日程 / 几件待办」，天气**彩色图标**放**最右侧**，温度风力，最下面地址。
③「家里的镜框这里呃全部不要了」→ 删模块卡片墙 + 未来七天；日程与任务**左右各半**、
高度固定、内部滚动且**不显滚动条**；日程**掐头去尾** + 当前时刻**红线**；
任务显示标题+状态+**所在看板名**；最下面往年的今天。
④「把个人导航项目完整搬过来，放在读书后面」；免登录展示页 `/nav/?<短语>`；
右上角给**登录**入口；展示页头像用**用户自己的头像**。
⑤ 读书加笔记 + 导入微信读书笔记（用户明确「**用微信读书 api key**」）。
⑥ 财务页第二张多线图不随类别标签筛选。
用户拍板（AskUserQuestion）：① 首页删「模块卡片墙 + 未来七天」两块；
② 微信读书用官方 API Key；③ 导航短语「自己起名 + 可一键换随机码」都做；
④ 6 条一次做完再上线。
════ 一、 🔴 第 1 条：复现出的真 bug（全站性）════
**根因**：选人清单是**打开弹框时才建 DOM**（懒建，为性能），而承载"已选"的
checkbox 就在那份清单里 → **没打开过弹框就提交**时表单里一个值都没有 →
后端把"表单里没有 attendees"理解成"用户要把人全删掉" → **静默清空**。
实测复现：库里同行人 `2,3,4` → 只改标题保存后变成 **NULL**。
修法：模板加**承运字段**（`.pp-carry` 隐藏 input，承载当前已选）；
JS 建清单时**撤掉**它（否则同一个 name 会带两份值）。
⚠️ 裸 POST（完全不带 attendees）**本来就该清空** —— 那是显式地"不选任何人"，
所以断言也必须照着"浏览器实际提交的样子"（带承运字段）来测。
**键盘流程**（用户第 1 条后半）：空格 = 选**当前可见列表里第一个还没选的**
（⚠️ 必须跳过已选中的 —— 否则会把它**取消**，与"我要选人"正好相反，本轮真机跑出来的缺陷）；
选中后清空输入框 + 光标回输入框；回车 = 确定。空格必须 `preventDefault`
（否则输入框里多一个空格字符）。
覆盖范围：4 个多选（`attendees[]` / `members[]` / `shares[]` / 修订 `members[]`）
+ 全部单选（归属人 / 负责人 / 纪念日人等）。
════ 二、 首页改版（第 2、3 条）════
自上而下只有三块：
① 信息面板：问候（早/中/晚 + 姓名）→ 日期 / 星期 / 农历 → 日子标记
（法定节假日 / 节气 / 传统节日 / 纪念日 / 生日，各一色）
→ 今日数字（今天几条日程、几件待办）｜ **最右**：彩色天气图标 + 温度 + 风力 + 地址
② 日程 / 任务 **左右各半**（各 360px 固定高、内部滚动、**不显滚动条**三套写法）
日程是**日视图形式的刻度**、**掐头去尾**（首末日程前后各 1h）、**当前时刻红线**
任务是标题 + **状态** + **看板名** + 截止
③ 往年的今天
新增 `Home::todayMarks()`（把五类来源合成一句话："今天是国庆节 · 大暑"）与
天气的 `tone` 色调档（彩色图标靠 CSS 上色，**不用 emoji** —— 避免旧系统豆腐块）。
删掉：`mod-cards` 模块卡片墙、`未来七天`。
════ 三、 个人导航（第 4 条，SimpleNav 完整搬运）════
`app/Nav.php`（4 张 `nav_*` 表 + 稀疏排序 + 短语）· `app/NavFetch.php`
（抓取与图标生成，27KB，从原项目 functions.php 机械搬运，**原文那批"线上实测"注释全部保留**）
· `nav_show.php`（**全站唯一免登录页**）· `nav_suggest.php`（联想代理，凭短语门禁）
· `templates/nav/index.php`（管理页：板块/站点/引擎/设置 + 拖拽排序）。
搬运只改两处（不改会坏）：① 独立 SQLite → 家书的 MySQL；② **所有查询加 `person_id`**
（原项目是单用户系统，不加这一维全家人会共用同一份导航）。
免登录展示页：`/nav/?<短语>`（也认 `/nav/?<短语>` 不带参数名）；
短语用户自起名（4~32 位字母数字`_-`，全局唯一、保留词拦截）或一键换随机码；
右上角**登录**入口（进家书登录页）；头像用**他自己**的头像；空态给一句话。
路由三处同步（`router.php` / `.htaccess` / 部署脚本 5c **独立标记块**）——
这是本仓库第三次复用这条规律：**每加一个"站根上的独立入口"，就必须是自己的标记块**。
⚠️ 线上重写规则**顺序有语义**：`^nav/suggest\.php$` 必须在 `^nav/?$` 之前
（后者会把前者吞掉）。
════ 四、 微信读书（第 5 条）════
用户提示「用微信读书 api key」是对的 —— **我的知识过时了**：2026 年官方已开放
（网关 `POST https://i.weread.qq.com/api/agent/gateway`、`Bearer wrk-` 认证、
接口 `/user/notebooks`（游标 lastSort 分页）、`/book/bookmarklist`、
`/review/list/mine`、`/book/chapterinfo`）。
`app/WeRead.php`：Key 用 `Crypto::encrypt` **加密落库**、界面只回显掩码
（官方原话：这串 Key 等价于账号凭据）；导入走「拉预览 → 勾选 → 导入」，
落 `book_notes`（去重 = kind + 内容 + 位置）。
⚠️ 业务参数必须**平铺在顶层**，不能包进 `params`（官方文档专门列了这个反例）。
另一条路「手动粘贴」保留（`books/notes_import`，早已有）。
════ 五、 财务第二张图（第 6 条，**上一批我引入的 bug**）════
`g.hidden = true` 对 **SVG 的 `<g>` 无效**（它没有 `hidden` 属性）→ 线条一条都没被藏；
**而我的探针也读同一个属性** → 两边一起绿（假绿）。
改为 `style.display`（恢复用 `''` 而不是 `'block'`）；探针改读
`getComputedStyle(el).display !== 'none'`（落在**渲染结果**上）。
⚠️ "探针与实现读同一个属性"是**互相掩盖**的典型，比单纯写错断言更危险。
════ 六、 验证 ════
e2e **1218/0**（本批新增 102 条）· 真机探针 **19/0**（选人）+ **24/0**（首页/导航）
+ **34/0**（导航模块）· 桌面几何 0 失败 · 移动端几何 674/0 · 老库升级 149/0
· 部署静态断言空跑 **310/0** · **反向验证 13/13**（逐条改回旧行为，点名断言都变红）
· 线上验收：9 个新文件全在、4 张 nav 表建好（schema_version=24）、
三条重写规则顺序正确、免登录页 / 空短语 / 错短语 / 联想门禁 全部响应正确。
════ 七、 本批的"夹具与断言"教训（都写进注释了）════
· `calendar_events.all_day` **默认值是 1** → 插夹具不写它就成了全天事件 →
`time` 被抹成 `''` → "刻度掐头去尾"看着像没做（白查三轮）。
· 日历本要挑 `kind='custom'`（我原以为"普通本没有 kind"，实际**普通本就是 custom**）。
· 量"同高/同排"要拿**内容区**（去 padding）比，不能拿 border-box（`.topline` 有 14px 上内边距）。
· 判据不能把**边界上的正确行为**当 bug（22 点有日程时末刻度**就是** 23:00）。
· 「HTML 写了、CSS 没写」e2e 永远查不出来 —— 导航展示页的登录按钮就落到了左边
（实测按钮右 116px / 整行右 1210px），只有真机量几何才抓得到。
· 反向验证里 e2e 会**重铺副本**把注入覆盖掉 → 给 e2e 加了 `FB_PATCH_FILE` 钩子
（重铺完自动打补丁），13 例里 8 例"没牙齿"其实是这个假象。
════ 八、 新增/改动文件 ════
新增：`app/Nav.php` · `app/NavFetch.php` · `app/WeRead.php` · `nav_show.php` ·
`nav_suggest.php` · `templates/nav/index.php` · `templates/books/weread.php` ·
`assets/css/nav-show.css` · `assets/js/nav-show.js`
改动：`app/Schema.php`（v24 + 4 张 nav 表）· `app/Module.php`（+nav）· `app/Home.php` ·
`index.php` · `templates/_person_picker.php` · `assets/js/person_picker.js` ·
`templates/home.php` · `templates/ledger/index.php` · `templates/books/_settings_menu.php` ·
`assets/css/app.css` · `router.php` · `.htaccess`
|
||
|
laoyang
|
6ceae11293 |
v24 第 22 批：名册加 CardDAV 同步 + 一把通用 DAV 口令（日历与通讯录共用）
用户 2 条原话：
①「名册，增加cardav同步功能。」
②「caldav和cardav，都增加一个创建口令的功能，这样，就使用用户名和口令来同步，
避免在第三方客户端进行同步时自己的密码泄露。」
用户拍板的两个岔路（AskUserQuestion）：
· 口令范围 = **一把通用 DAV 口令**（日历 + 通讯录共用），不是两个 ——
手机上填一次就都通；两把会让用户要在两个页面各配一遍、还容易只配一半。
· 同步范围 = 与**名册页完全一致**（Person::roster(kind='member')），不另发明判据。
════ 一、 口令统一：caldav_credentials → dav_credentials（Schema v23）════
表**改名**（不是新建一张 carddav_credentials）：
· 老站 RENAME → 已配好的口令一字不动，**所有设备不用重配**；
· 新装时两表都不在 → 跳过（直接 RENAME 一张不存在的表会抛异常、把升级打断）；
· 两表并存（上次升级跑一半 / 有人手工建过）→ 搬行（INSERT IGNORE）+ DROP 旧表。
⚠️ 迁移**必须**是 RENAME + 存在性守卫（新增 Schema::hasTable），
只改建表语句里的名字的话，老库会**再建一张空表**、旧表留在原地没人读 →
用户所有已配好的同步设备立刻全部 401（而且改密码也修不好：新口令写进了新表）。
Auth：caldavIssue/Revoke/Auth/hasCalDav → davIssue/davRevoke/davAuth/hasDav，
新增 davLastUsed()（UI 上显示"最近使用"）。
口令管理入口搬到**个人设置 → DAV 同步**（它管的是"我的凭据"，同时服务日历与通讯录；
放在日历页会让只想同步通讯录的人在日程里找半天）。
· 旧路由 calendar/caldav_token|caldav_revoke 保留为 302 → 老书签不 404；
· 日历本页只留地址 + 一个指路按钮（密码类的东西只该有一个管理入口，
两处各放一套按钮迟早对不上：这页重置了、那页还显示"已配置"）。
════ 二、 CardDAV（全新）════
· app/Vcard.php —— 名册 → vCard **3.0**（iOS/DAVx⁵ 推荐；4.0 在 iOS 上会被降级丢字段）。
FN 必须有（缺了 iOS 会**整张卡丢掉**）、UID 用 person id（稳定，不随改名变）、
标签能对上固定词就走 TYPE（手机上显示成"手机/工作"），对不上就原样放进
X-ABLabel（**不猜**成 HOME —— 猜错了用户看到"家"其实是"奶奶家"）。
· app/CardDav.php —— books/rows/one/cardOf/etag/parsePath；ROOT='/carddav/'。
· carddav.php —— OPTIONS / PROPFIND(0,1) / GET / REPORT；**写方法一律 403**。
只读是与 CalDAV 同样的取舍：与其"半支持"（客户端以为改成功了、服务端却没落库），
不如明确拒绝，用户至少知道"手机上加的联系人不会同步回来"。
· **地址空间分离、鉴权同一套**：/carddav/ 与 /dav/ 各自独立（资源类型与命名空间
完全不同，混在一棵树里要靠猜客户端意图，猜错的表现是"连上了但一本都看不到"）；
但两者调**同一个** Auth::davAuth、读**同一张** dav_credentials 表 ——
这正是"一把口令管两种同步"的落点，也保证不会出现"日历能连、通讯录连不上"。
· 路由三处：router.php（本地 php -S）+ .htaccess（书面来源）+ 部署脚本 5c 段。
⚠️ 线上用**独立标记块** `# >>> FamilyBook CardDAV`：老站已经有
`# >>> FamilyBook CalDAV`，把新规则并进那一段会被"标记在不在"的幂等判断
**整段跳过** → /carddav/ 永远 404，而本地（走 router.php）完全正常。
· 打包白名单加 carddav.php（站点根下的独立入口最容易漏 —— dav.php / upload_stage.php
都漏过一次，症状都是"线上那个功能 404、本地一切正常"）。
════ 三、 🔴 三个真 bug（全是"本地校验全绿"型，靠 vCard 往返测试抓出来）════
把 App\Vcard（导出）与 App\ContactImport（导入）各自单测都是绿的，
但**导出→导入跑一遍**立刻翻出三个：
① Vcard::fold **漏了"续行补前导空格"**（照抄 Ics::fold 时抄漏了最后一步）。
后果：折出来的那几段变成**独立的属性行** → 客户端把半个名字/半个地址当垃圾丢掉。
而"每行 ≤75 字节""确实折行了"全是绿的 —— 只有「**折行可无损还原**」这条断言能抓。
② ContactImport 用 `explode(';')` 给 ADR / N 分段 —— PHP 的 explode **不认识转义**，
值里写了 `\;`（字面分号）照样在那里拆开 → 地址「青岛市,市南区;某某路1号」被
从中间切断，后半截（含省名）跑到别的段上；导进来的人地址只剩前半句、
而且看着像"省没填"。手机通讯录里带分号的地址（"XX路1号;3单元")不算罕见。
→ 新增 `splitVcardSegments()`：**按未转义的分号**切，切完再逐段 unescape。
⚠️ "先 unescape 再分段"是同一个错的另一种写法（本轮第一版就这么改，往返照样红）。
③ Vcard::adrField 的**分号数量对、但位置错一位**（省落到了"邮编"格）。
第一版 `;;` + 街道 + `;;;` + 省 + `;` —— 总数也是 6，可多出来的那个挤在前面 →
解析器读段 4 拿到空串。**段数对、总数对、只有位置错一位**，
所以"数分号个数"的检查发现不了它。
════ 四、 顺带修的一个 ETag 一致性 bug ════
同一张卡在 PROPFIND（清单）与 REPORT（取正文）里原本算出**两个不同的 ETag**
（一个用不带结尾 CRLF 的正文、一个用带 CRLF 的）→ 客户端认为这张卡一直在变、
**反复重拉**（同步永远不收敛），而服务端看不出任何异常（两边都合法）。
→ 新增 `CardDav::cardOf()`，把**正文与 ETag 成对返回**，结尾 CRLF 只加在正文上、
不参与 ETag。修法不是"两处改成一样"，而是**让它们没有机会不一样**。
════ 五、 UI ════
· 个人设置页「DAV 同步」卡：两个地址（/dav/ 与 /carddav/）+ 用户名预填 + 一次性明文
（只显示这一次，走一次性会话槽位）+ 生成/重置/撤销 + "最近使用"。
· 名册页 CardDAV 卡：地址 + "这 N 个人"（人数与名册页一致，用户当场能对上）+
指路口令的按钮。**不放**生成表单。
· 日历本页改口径：只留 /dav/ 地址 + 指路链接。
════ 六、 验证 ════
- e2e **1106/0**（本批新增约 45 条：CardDAV 全协议、越权 404、只读 403、
一把口令开两把锁、撤销后两处**同时**失效、口令一次性/不落库、ETag 一致性）
- **vCard 规格体检 36/36**（新工具 `_fb_b22_vcf_spec.php`：转义/折行/多值/标签/
空名兜底 + **导出→导入往返一致**）
- **真机探针 28/0**（新工具 `_fb_b22_ui.py`：两块 UI 渲染、**在浏览器里点按钮**生成
口令、刷新后明文消失但状态留下、名册页人数对得上、日历本页改口径、
撤销后两处 401、全程零 JS 报错）
- 桌面几何 428/0 · 移动端几何（360/375/390/414）684/0 · 结构升级 149/0
- 部署静态断言空跑 **307/0** · 线上部署 134 项自检 0 失败
- **反向验证 14/14**（`_fb_b22_falsify.py`）：迁移不干活 / 读旧表 / 断入口 /
去掉 addressbook 声明 / 只读守卫失效 / 不校验口令 / 越权不再查名册 /
折行不补空格 / 分段改回 explode / ADR 错位 / UI 卡拿掉 / 明文不再一次性 /
撤销不删凭据 —— 逐条改回旧行为，对应断言都变红，还原后复绿。
════ 七、 🔴🔴 线上实测挖出的**最重要**的一条：DAV 鉴权在 Apache 上一直是坏的 ════
部署后在线上以 **Web 用户(www)** 身份做端到端验收时，DAV 全部 401 ——
而本地 e2e 全绿。追下去发现两层原因：
① **测试假象**：我把 DAV 请求放进了一个**临时探针文件**里，用 `curl` 打它。
但 Apache 请求 `.php` 文件时**不套用站点根 .htaccess 的 URL 重写** ——
所以探针里的请求根本没被转给 dav.php/carddav.php，拿到的是**探针自己的 401**，
不是 DAV 的。第一轮"全 401"有一半是探针自己造的假象。
② **真问题**：Apache 默认**不把 `Authorization` 头交给 PHP-FPM** ——
`$_SERVER['PHP_AUTH_USER']` 与 `HTTP_AUTHORIZATION` **全是 null**。
实测（这台服务器 Apache 2.4.53，直接监听 80/443，**没有 nginx**）：
基线 : {"PHP_AUTH_USER":null,"HTTP_AUTHORIZATION":null}
`CGIPassAuth On`: {"PHP_AUTH_USER":"abc","HTTP_AUTHORIZATION":"(有)"}
⇒ **线上 CalDAV 从来没被真实客户端连上过**（服务端代码是对的、环境少了这一行）。
本轮 e2e 用 `php -S`，那里 `PHP_AUTH_USER` 是**自己填好的**，所以一路全绿 ——
又一个"本地好好的、线上不行"。
修法：部署脚本 5c 段追加**独立标记块** `# >>> FamilyBook DAV auth`，内容
`CGIPassAuth On`（Apache **2.4.13+ 的核心指令**，不需要额外模块、**不用动宝塔面板**）。
仓库 `.htaccess` 同步写上（它是那段规则唯一的书面来源）。
修完后线上端到端**全部通过**（以 www 身份、真实 HTTP 服务、真实数据）：
· CalDAV：`PROPFIND → 207`、**8 本日历本**、`PUT → 403`
· CardDAV：根 `207` + `<card:addressbook/>`；清单 `207`、**1089 张卡**、1089 个 ETag；
整本 vcf `200`、1089 张、全是 3.0、`text/vcard`；**最长行 75 字节**（真实数据上
折行真的发生了）；`REPORT → 207` 带 `address-data`；`PUT → 403`；
`OPTIONS → 200 DAV: 1, 2, 3, addressbook`
· 导出的卡数 **1089 == 名册人数 1089**（口径一致）
· 口令错 → `401`
临时探针用完即删并复验 404；临时插入的口令用完即清（不动用户已配的凭据）。
════ 八、 关于 CalDAV「本来是好的」这件事 ════
严格说：**服务端实现一直是对的**，缺的是 Apache 那一行 `CGIPassAuth`。
也就是说这个仓库里的 CalDAV 之前**上线即不可用**（只是没人用真实客户端试过）。
本批顺手把它一起修好了 —— 现在 /dav/ 与 /carddav/ 都能被 iOS / DAVx⁵ 正常连上。
|
||
|
laoyang
|
8f80f3e835 |
v24 第 2 轮：19 条清单收尾（附件预览/CalDAV/任务分类看板/全局选人/家谱/纪念日/财务）
用户 2026-10-02 提的 19 条需求，本轮完成剩下的 8 条 + CalDAV 服务端：
- ③ 附件：图片/视频给缩略图，PDF/Word/Excel 给**同尺寸**图标；可预览的在本页
弹层里看（不再新开标签页），渲染不了的点了直接下载；预览层右上角恒有下载按钮。
- ⑦b CalDAV：把「我的日历本」按 RFC 4791 只读子集分享出去（OPTIONS/PROPFIND/
REPORT/GET，写方法一律 403）。用**专用口令**（库里只存 sha256），不是登录口令。
- ⑨⑩ 任务：分类与看板都由用户自建；已完成的任务从看板消失，改在「已完成」页
按分类查看/搜索；设置入口在「新建任务」旁的 ☰。
- ⑪ 全局人员选择器：一个片段铺到观影/旅程/资源/日历共享/任务共享/财务共享；
修掉了老组件「名字和拼音都搜不动」的 bug —— .att-item 自己声明了 display:flex，
压过了浏览器 [hidden]{display:none}，过滤根本没生效。
- ⑫ 家谱：头像改方形不再裁切；姻亲不在图上的卡片给「⇄ 姻亲」入口，
以 TA 为中心重画 + 「返回我的家谱」。
- ⑬ 纪念日：阴历/阳历都能设且按对应历法重复；名册里每个人的生日默认可见
（实时派生，不复制一份）；全部作为全天日程进日历。
- ⑮ 财务：账本可共享，双方都能记账、都能看全部账目，资产−负债=净资产；
金额一律以「分」存，不用浮点。
验证：端到端 724 项通过 / 0 失败；几何 368、交互 97、移动端 516、家谱 24、
升级 123 全绿；SQL 列名静态校验 0 处可疑；部署 11 条线上探针全过。
|