fix(assets): 诊断接口改用 /projects/{projectId}/asset-diagnosis 路径 #1575

Merged

auto-approve-bot merged 1 commits from fix/diagnosis-project-id into develop 2026-08-31 16:06:01 +08:00

Conversation 5 Commits 1 Files Changed 1

+7 -2

xiaoxia commented 2026-08-31 15:26:46 +08:00

Owner

Copy Link

Copy Source

修复内容

后端诊断路由实际注册在 GET /projects/{project_id}/asset-diagnosis，但前端调用的是 /asset-diagnosis（缺少 project_id 路径参数），导致接口 404。

改动

apps/web/src/api/assets/diagnosis.ts

• getAssetDiagnosis(assetId?, projectId?) 增加可选 projectId 参数
• 请求路径从 /asset-diagnosis 改为 /projects/${pid}/asset-diagnosis
• projectId 未传时自动通过 getOrCreateDefaultProject() 获取（与 libraries.ts、upload.ts 保持一致）

apps/web/src/pages/assets/hooks/asset-operations/useSingleOperations.ts

• 无需修改：handleDiagnose 调用 getAssetDiagnosis(asset.id) 时 projectId 走内部 fallback

## 修复内容 后端诊断路由实际注册在 `GET /projects/{project_id}/asset-diagnosis`，但前端调用的是 `/asset-diagnosis`（缺少 project_id 路径参数），导致接口 404。 ## 改动 **`apps/web/src/api/assets/diagnosis.ts`** - `getAssetDiagnosis(assetId?, projectId?)` 增加可选 `projectId` 参数 - 请求路径从 `/asset-diagnosis` 改为 `/projects/${pid}/asset-diagnosis` - `projectId` 未传时自动通过 `getOrCreateDefaultProject()` 获取（与 `libraries.ts`、`upload.ts` 保持一致） **`apps/web/src/pages/assets/hooks/asset-operations/useSingleOperations.ts`** - 无需修改：`handleDiagnose` 调用 `getAssetDiagnosis(asset.id)` 时 projectId 走内部 fallback

xiaoxia added 1 commit 2026-08-31 15:26:47 +08:00

fix(assets): 诊断接口改用 /projects/{projectId}/asset-diagnosis 路径 ... d6acaba507

- getAssetDiagnosis 增加可选 projectId 参数
- 调用路径从 /asset-diagnosis 改为 /projects/{pid}/asset-diagnosis
- projectId 未传时自动通过 getOrCreateDefaultProject() 获取
- 与后端路由 GET /projects/{project_id}/asset-diagnosis 对齐

gitea-actions bot commented 2026-08-31 15:33:25 +08:00

Copy Link

Copy Source

🚀 预览环境已部署

项目	详情
PR号	#1575
预览链接	https://pr-1575.preview.xiaoxiajianji.com
API环境	staging

💡 预览环境使用 staging API 数据，请勿在预览环境中操作重要数据。

🔄 每次提交新代码后预览环境会自动更新。

🗑️ PR 关闭或合并后，预览环境会自动清理。

🚀 **预览环境已部署** | 项目 | 详情 | |------|------| | PR号 | #1575 | | 预览链接 | [https://pr-1575.preview.xiaoxiajianji.com](https://pr-1575.preview.xiaoxiajianji.com) | | API环境 | staging | > 💡 预览环境使用 staging API 数据，请勿在预览环境中操作重要数据。 > > 🔄 每次提交新代码后预览环境会自动更新。 > > 🗑️ PR 关闭或合并后，预览环境会自动清理。

auto-approve-bot commented 2026-08-31 15:35:45 +08:00

Collaborator

Copy Link

Copy Source

【阻塞级判定】

• 是否存在阻塞级问题：是
• 阻塞级问题数量：2 个

📊 审查概览

• 整体评价：需修改
• 建议级问题数量：1 个

🔴 阻塞级问题（必须修复）

1. [apps/web/src/api/assets/diagnosis.ts: 15] 路径遍历安全风险

   • 问题类型：安全漏洞
   • 问题描述：变量 pid 直接被插入到 URL 路径字符串中 /projects/${pid}/asset-diagnosis。如果 projectId 参数来源于用户输入且未经过严格的格式校验（例如是否为有效的 UUID 或数字 ID），攻击者可以传入包含 ../ 的字符串（如 ../../admin），导致访问到非预期的 API 端点，造成信息泄露或权限绕过。
   • 修改建议：在使用 projectId 构造 URL 前，必须对其进行格式校验（如正则匹配），确保其为合法的项目标识符；或者由 apiClient 在底层对路径参数进行自动转义。

2. [apps/web/src/api/assets/diagnosis.ts: 12] 空指针引用风险

   • 问题类型：逻辑bug
   • 问题描述：代码直接访问 (await getOrCreateDefaultProject()).id。如果 getOrCreateDefaultProject 函数在特定情况下（如用户未登录、网络错误或后端异常）返回 null 或 undefined，此处将抛出 "Cannot read properties of undefined" 运行时错误，导致程序崩溃。
   • 修改建议：增加对返回值的非空校验，或者确保 getOrCreateDefaultProject 的类型定义明确为非空，并在其内部处理失败逻辑（抛出明确异常而非返回 null）。

💡 改进建议（不阻塞合并）

1. [apps/web/src/api/assets/diagnosis.ts: 12] 副作用风险

   • 具体内容：函数名为 getAssetDiagnosis（通常被视为只读操作），但其内部调用了 getOrCreateDefaultProject。如果该函数包含 "Create" 逻辑（即当默认项目不存在时创建一个），则在诊断接口中引入了写操作副作用。这违反了 HTTP GET 语义的幂等性原则，可能导致意外的数据创建或权限问题。建议确认 "Create" 逻辑是否必要，或将其移至更上层的业务逻辑中。

2. [apps/web/src/api/assets/diagnosis.ts: 12] 变量命名可读性

   • 具体内容：变量名 pid 过于简短，虽然在此处上下文清晰，但使用 resolvedProjectId 或 targetProjectId 能提高代码的可维护性和可读性。

✅ 良好实践

• 使用了空值合并运算符 (??) 来处理可选参数 projectId，提供了默认回退逻辑，代码简洁。
• 保持了 params 对象的构建逻辑，确保了向后兼容性。

---

_{🤖 由 AI 代码审查机器人自动生成 | 2026-08-31 07:35:45 | 模型:}

### 【阻塞级判定】 - 是否存在阻塞级问题：是 - 阻塞级问题数量：2 个 ### 📊 审查概览 - 整体评价：需修改 - 建议级问题数量：1 个 ### 🔴 阻塞级问题（必须修复） 1. **[apps/web/src/api/assets/diagnosis.ts: 15] 路径遍历安全风险** - 问题类型：安全漏洞 - 问题描述：变量 `pid` 直接被插入到 URL 路径字符串中 `/projects/${pid}/asset-diagnosis`。如果 `projectId` 参数来源于用户输入且未经过严格的格式校验（例如是否为有效的 UUID 或数字 ID），攻击者可以传入包含 `../` 的字符串（如 `../../admin`），导致访问到非预期的 API 端点，造成信息泄露或权限绕过。 - 修改建议：在使用 `projectId` 构造 URL 前，必须对其进行格式校验（如正则匹配），确保其为合法的项目标识符；或者由 `apiClient` 在底层对路径参数进行自动转义。 2. **[apps/web/src/api/assets/diagnosis.ts: 12] 空指针引用风险** - 问题类型：逻辑bug - 问题描述：代码直接访问 `(await getOrCreateDefaultProject()).id`。如果 `getOrCreateDefaultProject` 函数在特定情况下（如用户未登录、网络错误或后端异常）返回 `null` 或 `undefined`，此处将抛出 "Cannot read properties of undefined" 运行时错误，导致程序崩溃。 - 修改建议：增加对返回值的非空校验，或者确保 `getOrCreateDefaultProject` 的类型定义明确为非空，并在其内部处理失败逻辑（抛出明确异常而非返回 null）。 ### 💡 改进建议（不阻塞合并） 1. **[apps/web/src/api/assets/diagnosis.ts: 12] 副作用风险** - 具体内容：函数名为 `getAssetDiagnosis`（通常被视为只读操作），但其内部调用了 `getOrCreateDefaultProject`。如果该函数包含 "Create" 逻辑（即当默认项目不存在时创建一个），则在诊断接口中引入了写操作副作用。这违反了 HTTP GET 语义的幂等性原则，可能导致意外的数据创建或权限问题。建议确认 "Create" 逻辑是否必要，或将其移至更上层的业务逻辑中。 2. **[apps/web/src/api/assets/diagnosis.ts: 12] 变量命名可读性** - 具体内容：变量名 `pid` 过于简短，虽然在此处上下文清晰，但使用 `resolvedProjectId` 或 `targetProjectId` 能提高代码的可维护性和可读性。 ### ✅ 良好实践 - 使用了空值合并运算符 (`??`) 来处理可选参数 `projectId`，提供了默认回退逻辑，代码简洁。 - 保持了 `params` 对象的构建逻辑，确保了向后兼容性。 --- _{🤖 由 AI 代码审查机器人自动生成 | 2026-08-31 07:35:45 | 模型:} <!-- AI_CODE_REVIEW_AUTO_COMMENT -->

auto-approve-bot approved these changes 2026-08-31 15:45:32 +08:00

auto-approve-bot left a comment

Collaborator

Copy Link

Copy Source

CI全绿，自动审批通过。

CI全绿，自动审批通过。

auto-approve-bot approved these changes 2026-08-31 15:45:32 +08:00

auto-approve-bot left a comment

Collaborator

Copy Link

Copy Source

CI全绿，自动审批通过。

CI全绿，自动审批通过。

auto-approve-bot merged commit 864f0e8eb2 into develop 2026-08-31 16:06:01 +08:00

auto-approve-bot deleted branch fix/diagnosis-project-id 2026-08-31 16:06:02 +08:00

gitea-actions bot commented 2026-08-31 16:10:24 +08:00

Copy Link

Copy Source

🗑️ 预览环境已清理

PR #1575 已关闭或合并，对应的预览环境已被清理。

如有需要，可以重新打开 PR 来重新生成预览环境。

🗑️ **预览环境已清理** PR #1575 已关闭或合并，对应的预览环境已被清理。 > 如有需要，可以重新打开 PR 来重新生成预览环境。

Sign in to join this conversation.

Reviewers

No Reviewers

auto-approve-bot

Labels

Clear labels

P0

阻塞性，必须立即处理

P1

高优先级

P2

中优先级

P3

低优先级/后考虑

architecture

架构设计

backend

后端相关

blocked

阻塞中

bug

Bug修复

ci-bug

CI本身的bug

ci-optimization

CI优化类任务

ci-pipeline

CI流水线/workflow相关

cleanup

代码清理

devops

运维/部署/CI

documentation

文档相关

feature

新功能

frontend

前端相关

question

需要讨论确认

ready

PR CI通过，可合并

refactor

代码重构

No Label

Milestone

No items

No Milestone

Projects

Clear projects

No project

Assignees

Clear assignees

auto-approve-bot xiaoxia

No Assignees

3 Participants

Notifications

Subscribe

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: xiaoxia/xiaoxia-saas#1575