|
|
9525dadfd6
|
feat(auth): 加 STORY_WEB_NO_AUTH 本地免鉴权开关(默认关,线上不受影响)
设 STORY_WEB_NO_AUTH=1 时跳过登录、署名记「本地」、不校验 STORY_WEB_USERS——仅本地开发用。
线上不设此变量 → 行为完全不变，照常每人一把口令(安全设计未动)。
|
2026-06-13 11:39:05 +08:00 |
|
|
|
dbf857769e
|
feat(timeline): P1 白模演出预览——时间线+俯视舞台播放
- /api/pointsets 增 anchors(含 pos/rot/kind/npc 坐标)，保留 points 名字数组兼容下拉
- 新增 static/timeline.js：线性化主路径→按时长铺多轨时间线 + 2D 俯视白模舞台播放
(走位插值/对话打字机/镜头俯视框示意/playhead/点击跳转)；战斗/选择/随机仅标点不模拟
- 工具栏加「演出预览」按钮 + 预览遮罩 + 暗金主题样式
- 时长模型：对话=字数×打字机速度，走位=坐标距离÷速度，动画/镜头给缺省时长
- node 离线测试两样张(含 out_ref+fight+skip)逻辑全过；修掉结局重复渲染 bug
设计文档见主仓 docs/plans/2026-06-13-story-timeline-editor-and-whitebox-preview-design.md (P1 期)
|
2026-06-13 10:52:20 +08:00 |
|
|
|
90402c4a17
|
security: 每人一把口令(口令即身份) + 随机会话token + 无配置拒绝启动 + 爆破节流
- STORY_WEB_PASSWORD(默认story) 废弃 → STORY_WEB_USERS=名字1:口令1,名字2:口令2；
未配置/口令<8位/口令或用户名重复 → 启动即退出，杜绝弱默认口令裸奔
- cookie 不再存口令原文：登录发 secrets.token_urlsafe(32) 随机token，
会话存 SQLite sessions 表(30天)；登出删token；从 USERS 移除某人=吊销其全部会话
- updated_by 改由服务端按会话身份填写，前端自报 by 不再可信；登录框去掉昵称字段
- 登录失败全局递增节流(最多sleep 5s)，口令比较用 secrets.compare_digest
- Dockerfile/compose 移除一切口令默认值；compose 未设 STORY_WEB_USERS 直接报错
- 顺手修 playtest.js 走位/动画/out_ref 行未转义的存储型XSS(esc补齐)
|
2026-06-10 17:34:50 +08:00 |
|
|
|
f5669dc01d
|
init: 剧情事件协作 Web 编辑器独立仓（从 SGame/tools/event_authoring 拆出）
|
2026-06-08 16:50:27 +08:00 |
|
