Build a secure admin portal fo…

# 管理后台搭建方案：批量重命名 + 越权防护

一、整体架构

• 前端：Vue 3 / React + Element UI（或 Ant Design）
• 后端：Node.js（Express/NestJS）或 Python（FastAPI/Django）
• 数据库：MySQL/PostgreSQL 存储文件元数据和操作日志
• 文件存储：本地磁盘或对象存储（OSS/S3/MinIO）

二、功能模块

1. 管理员登录认证

• 用户名 + 密码（bcrypt 加密存储）
• 登录成功后签发 JWT Token（含过期时间，建议短期）
• 密码连续错误次数限制 + 图形验证码，防暴力破解

2. 批量重命名功能

• 上传模块：支持多文件/压缩包上传，记录原文件名、店铺ID、上传时间
• 命名规则引擎：模板为 店铺ID_日期_序号，示例：shop001_20240601_0001
• 日期格式可配置（YYYYMMDD 等）
• 序号规则：按上传时间或选择顺序递增，位数可配置（如4位补零）
• 预览确认：执行前展示“原文件名 → 新文件名”对照表，支持跳过/排除个别文件
• 批量执行：分批处理（如每批100个），失败自动回滚并记录错误原因
• 重名冲突处理：自动追加后缀或提示用户

3. 越权访问防护（重点）

• 认证层：所有接口校验 JWT，未登录返回 401
• 授权层：基于 RBAC 角色权限（管理员/普通运营），重命名操作仅限管理员角色，返回 403
• 水平越权防护：接口校验资源归属，管理员只能操作自己权限范围内的店铺文件
• 安全加固：
• 后端二次校验（前端校验不可信，所有规则在服务端执行）
• 操作日志：记录操作人、时间、IP、变更前后文件名，可审计追溯
• 文件类型白名单 + 大小限制，防恶意文件
• 接口限流，防滥用

三、关键接口示例

• POST /api/login — 登录
• POST /api/files/batch-rename — 批量重命名（请求体含店铺ID、日期、文件列表）
• GET /api/logs — 操作日志查询

四、开发建议

• 先用 Docker 快速搭建环境，核心优先做登录 + 重命名 + 权限中间件
• 500张图批量处理建议用异步任务队列（如 BullMQ），前端轮询进度
• 上线前重点测试：未登录访问、低权限角色访问、跨店铺操作等越权场景