karlcarlo
7948b1afc7
- 新增用户登录页面与API端点（/api/auth/login、/api/auth/logout、/api/auth/me） - 引入基于密码哈希的认证机制，支持默认管理员账号登录 - 创建访问控制模块（lib/access-control.ts），实现基于角色的权限验证 - 在现有API端点中集成权限检查，限制非管理员用户只能访问其所属项目数据 - 更新应用布局，要求用户登录后才能访问主界面 - 扩展用户表结构，增加用户名和密码哈希字段 - 调整项目、KR、目标、会议记录等资源的查询逻辑，根据用户权限过滤数据 - 改进管理页面（指标、模板）的删除操作，使用确认对话框替代直接确认 - 优化“我的KR”页面，为管理员提供全员KR概览视图 - 修复.gitignore文件中的拼写错误（.trae → .travis） - 添加数据库迁移脚本，支持任务直接关联项目、禁用RLS、添加求助字段等 - 配置Next.js以支持独立输出和子路径部署
100 lines
2.9 KiB
TypeScript
100 lines
2.9 KiB
TypeScript
export const dynamic = 'force-dynamic';
|
|
|
|
import { NextRequest, NextResponse } from 'next/server';
|
|
import { supabase } from '@/lib/supabase';
|
|
import { ensureAdmin, ensureAuthenticated, getAuthContext } from '@/lib/access-control';
|
|
|
|
export async function GET(request: NextRequest) {
|
|
const ctx = await getAuthContext(request);
|
|
const auth = ensureAuthenticated(ctx);
|
|
if (!auth.ok) {
|
|
return NextResponse.json({ error: auth.error }, { status: auth.status });
|
|
}
|
|
|
|
if (ctx!.isAdmin) {
|
|
const { data, error } = await supabase
|
|
.from('users')
|
|
.select('id,name,role,avatar_url,username,created_at,updated_at')
|
|
.order('created_at', { ascending: true });
|
|
|
|
if (error) {
|
|
return NextResponse.json({ error: error.message }, { status: 500 });
|
|
}
|
|
return NextResponse.json(data);
|
|
}
|
|
|
|
const projectIds = ctx!.accessibleProjectIds;
|
|
const allowedUserIds = new Set<string>([ctx!.user.id]);
|
|
|
|
if (projectIds.length > 0) {
|
|
const [membersRes, projectsRes] = await Promise.all([
|
|
supabase.from('project_members').select('user_id').in('project_id', projectIds),
|
|
supabase.from('projects').select('owner_id,pm_id').in('id', projectIds),
|
|
]);
|
|
|
|
if (membersRes.data) {
|
|
for (const row of membersRes.data as Array<{ user_id: string }>) {
|
|
allowedUserIds.add(row.user_id);
|
|
}
|
|
}
|
|
if (projectsRes.data) {
|
|
for (const row of projectsRes.data as Array<{ owner_id: string | null; pm_id: string | null }>) {
|
|
if (row.owner_id) allowedUserIds.add(row.owner_id);
|
|
if (row.pm_id) allowedUserIds.add(row.pm_id);
|
|
}
|
|
}
|
|
}
|
|
|
|
const ids = Array.from(allowedUserIds);
|
|
const { data, error } = await supabase
|
|
.from('users')
|
|
.select('id,name,role,avatar_url,username,created_at,updated_at')
|
|
.in('id', ids)
|
|
.order('created_at', { ascending: true });
|
|
|
|
if (error) {
|
|
return NextResponse.json({ error: error.message }, { status: 500 });
|
|
}
|
|
|
|
return NextResponse.json(data);
|
|
}
|
|
|
|
export async function POST(request: NextRequest) {
|
|
const ctx = await getAuthContext(request);
|
|
const auth = ensureAdmin(ctx);
|
|
if (!auth.ok) {
|
|
return NextResponse.json({ error: auth.error }, { status: auth.status });
|
|
}
|
|
|
|
const body = await request.json();
|
|
const { name, role, avatar_url, username, password } = body;
|
|
|
|
if (!name || !role) {
|
|
return NextResponse.json({ error: '名称和角色为必填项' }, { status: 400 });
|
|
}
|
|
|
|
let password_hash: string | null = null;
|
|
if (password) {
|
|
const { hashPassword } = await import('@/lib/password');
|
|
password_hash = hashPassword(String(password));
|
|
}
|
|
|
|
const { data, error } = await supabase
|
|
.from('users')
|
|
.insert({
|
|
name,
|
|
role,
|
|
avatar_url,
|
|
username: username || null,
|
|
password_hash,
|
|
})
|
|
.select('id,name,role,avatar_url,username,created_at,updated_at')
|
|
.single();
|
|
|
|
if (error) {
|
|
return NextResponse.json({ error: error.message }, { status: 500 });
|
|
}
|
|
|
|
return NextResponse.json(data, { status: 201 });
|
|
}
|