laoyang
a79956758b
数据库里早就建好了 comments、node_members + role_tags、expenses +
expense_splits 三组表，但一直没有代码接入。本次把这三块连上业务，
并新增「节点详情页」作为聚合入口。
新增
- src/Access.php 统一归属校验。此前每个控制器各写各的 family_id
条件，容易漏；现在 activity()/node()/target() 一处收敛，
requireAdmin() 统一管理员判断。
- src/Comments.php 两级平铺：parent_id 只允许指向顶层，写「回复的回复」
时规范化回顶层；删顶层会连同回复一起删。
- src/Members.php 参与人 + 角色标签 + 情绪 + 签到。情绪目录 17 项，
全部选用 Emoji 11.0（2018）及以前的码位，避免旧系统
字体缺字形显示成空白方块。
- src/Expenses.php 花销与分摊。分摊按「分」为单位 intdiv 平均，
余数归最后一人，保证 SUM(share_amount) = total_amount。
- templates/nodes/show.php 节点详情页：基本信息 + 参与人 + 花销 + 讨论 + 附件入口。
- 角色标签管理、评论区、参与人区、花销区各自的模板与控制器。
修复
- 越权：往别人活动的节点上插节点、把别家用户加成参与人，都只校验了
「节点存在」，没校验「用户与节点同家庭」。现统一走 Access。
- 删活动时节点附件文件删不掉：附件在 /uploads/attachments/ 下，却调了
只认 /uploads/covers/ 的删除函数，判定不通过 → 文件永久残留。改为
统一的 deleteUploadFile()，两个目录都认。
- 删有引用记录的用户会 500（activities.created_by / attachments.uploader_id /
comments.author_id / expenses.payer_user_id 这几处没有级联，也没做前置检查）。
其他
- 活动/节点列表补上附件、评论、参与人、花销四个计数（一次 GROUP BY 查完）。
- 首页布局新增一条迁移易踩的规避：新列上的索引必须排在 ALTER TABLE 之后。
- 新增 .gitignore：config.php（含数据库口令）与 uploads/ 下用户上传的
头像封面不入库，只保留 uploads/.htaccess 那条禁止执行脚本的规则。
- 新增 config.example.php 作为新环境的配置模板。
本批不改数据库结构，不需要任何数据迁移。
本地与线上验证
- php -l 全绿（PHP 8.4 本地 / 线上 7.4.30 与 8.1.7 双版本）。
- 模板渲染检查 180 项全通过。
- 线上端到端 153 项全通过：登录、活动增删改查、节点流转、
参与人/角色标签/情绪/签到、评论、花销与分摊、权限、级联清理、
全站页面无 PHP 报错泄漏、跑完基线逐表核对且既有 id 集合逐字未变。
- 顺带写了 trip_sql_column_check.py：拿真实库表结构静态校验全项目 SQL 的
列名引用。本次就是靠它之外的 e2e 抓到 travel_modes 并没有 line_name
（该列属于 trip_nodes），一个列名写错导致节点详情页整页 Fatal。
69 lines
3.1 KiB
PHP
69 lines
3.1 KiB
PHP
<div class="page-header">
|
|
<h1>用户管理</h1>
|
|
<a href="<?= url('users/create') ?>" class="btn-primary">+ 新增用户</a>
|
|
</div>
|
|
|
|
<?php if (empty($users)): ?>
|
|
<div class="empty"><p>暂无用户</p></div>
|
|
<?php else: ?>
|
|
<table class="data-table">
|
|
<thead>
|
|
<tr>
|
|
<th>ID</th>
|
|
<th>姓名</th>
|
|
<th>角色</th>
|
|
<th>状态</th>
|
|
<th>创建时间</th>
|
|
<th style="width:140px;">操作</th>
|
|
</tr>
|
|
</thead>
|
|
<tbody>
|
|
<?php foreach ($users as $u): ?>
|
|
<tr>
|
|
<td><?= (int)$u['id'] ?></td>
|
|
<td>
|
|
<div class="user-cell">
|
|
<?php if (!empty($u['avatar'])): ?>
|
|
<img src="<?= e($u['avatar']) ?>" alt="" class="avatar-sm">
|
|
<?php else: ?>
|
|
<span class="avatar-sm avatar-placeholder"><?= e(mb_substr($u['name'], 0, 1)) ?></span>
|
|
<?php endif; ?>
|
|
<span><?= e($u['name']) ?></span>
|
|
<?php if ($u['id'] == \App\Auth::id()): ?>
|
|
<span class="tag-self">我</span>
|
|
<?php endif; ?>
|
|
</div>
|
|
</td>
|
|
<td>
|
|
<?php
|
|
$roleLabels = ['admin' => '管理员', 'user' => '普通用户', 'guest' => '待激活'];
|
|
$roleClasses = ['admin' => 'role-admin', 'user' => 'role-user', 'guest' => 'role-guest'];
|
|
?>
|
|
<span class="role-tag <?= $roleClasses[$u['role']] ?? '' ?>">
|
|
<?= e($roleLabels[$u['role']] ?? $u['role']) ?>
|
|
</span>
|
|
</td>
|
|
<td>
|
|
<?php if ($u['status'] === 'active'): ?>
|
|
<span class="status-active">● 正常</span>
|
|
<?php else: ?>
|
|
<span class="status-inactive">● 停用</span>
|
|
<?php endif; ?>
|
|
</td>
|
|
<td class="muted"><?= date('Y-m-d', strtotime($u['created_at'])) ?></td>
|
|
<td>
|
|
<a href="<?= url('users/edit', ['id' => $u['id']]) ?>" class="btn-sm">编辑</a>
|
|
<?php if ($u['id'] != \App\Auth::id()): ?>
|
|
<form method="post" action="<?= url('users/destroy') ?>" style="display:inline"
|
|
onsubmit="return confirm('确定删除用户「<?= e($u['name']) ?>」？此操作不可恢复。');">
|
|
<input type="hidden" name="_csrf" value="<?= e(csrf_token()) ?>">
|
|
<input type="hidden" name="id" value="<?= (int)$u['id'] ?>">
|
|
<button type="submit" class="btn-sm btn-danger">删除</button>
|
|
</form>
|
|
<?php endif; ?>
|
|
</td>
|
|
</tr>
|
|
<?php endforeach; ?>
|
|
</tbody>
|
|
</table>
|
|
<?php endif; ?>
|