feat: 新增 POST /assets/batch 批量获取素材详情接口 #1418

Merged

xiaoxia merged 1 commits from fix/assets-batch-endpoint into develop 2026-08-18 13:42:54 +08:00

Conversation 5 Commits 1 Files Changed 2

+20 -1

xiaoxia commented 2026-08-18 13:04:16 +08:00

Owner

Copy Link

Copy Source

问题

前端 usePreviewAssets.ts 调用 POST /assets/batch 时返回 405 Method Not Allowed。

根因：后端没有 /batch GET/POST 端点，请求命中了 GET /{asset_id}（batch 被当成 asset_id），但 HTTP method 不匹配，返回 405。

修复

新增 POST /assets/batch 端点，支持根据 ID 列表批量获取素材详情。

接口规格

• 路由：POST /api/v1/assets/batch
• 请求体：{ "ids": ["id1", "id2", ...] }（最多 200 个 ID）
• 响应：List[AssetResponse]，包含 file_url、duration、width、height、fps、codec、status 等完整元数据
• 认证：需要登录

改动文件

• apps/api/app/schemas/asset.py：新增 BatchGetRequest schema
• apps/api/app/api/routes/assets.py：新增 batch_get_assets 端点

前端适配

前端 usePreviewAssets.ts 已有 fallback 逻辑（批量失败则逐个获取），新增接口后无需修改前端代码。

## 问题 前端 `usePreviewAssets.ts` 调用 `POST /assets/batch` 时返回 405 Method Not Allowed。 **根因**：后端没有 `/batch` GET/POST 端点，请求命中了 `GET /{asset_id}`（`batch` 被当成 asset_id），但 HTTP method 不匹配，返回 405。 ## 修复 新增 `POST /assets/batch` 端点，支持根据 ID 列表批量获取素材详情。 ### 接口规格 - **路由**：`POST /api/v1/assets/batch` - **请求体**：`{ "ids": ["id1", "id2", ...] }`（最多 200 个 ID） - **响应**：`List[AssetResponse]`，包含 `file_url`、`duration`、`width`、`height`、`fps`、`codec`、`status` 等完整元数据 - **认证**：需要登录 ### 改动文件 - `apps/api/app/schemas/asset.py`：新增 `BatchGetRequest` schema - `apps/api/app/api/routes/assets.py`：新增 `batch_get_assets` 端点 ### 前端适配 前端 `usePreviewAssets.ts` 已有 fallback 逻辑（批量失败则逐个获取），新增接口后无需修改前端代码。

xiaoxia added 1 commit 2026-08-18 13:04:16 +08:00

feat: 新增 POST /assets/batch 批量获取素材详情接口 ... 8a0358b9bf

前端 usePreviewAssets.ts 调用 POST /assets/batch 时返回 405 Method Not Allowed，
原因是后端没有 /batch GET/POST 端点，请求命中了 GET /{asset_id}（batch 被当成 asset_id）。

新增：
- BatchGetRequest schema：接收 { ids: string[] }，最多 200 个 ID
- POST /assets/batch 端点：调用 asset_repository.find_by_ids() 批量查询
- 返回 List[AssetResponse]，包含 file_url、duration、width、height 等完整元数据

改动文件：
- apps/api/app/schemas/asset.py：新增 BatchGetRequest
- apps/api/app/api/routes/assets.py：新增 batch_get_assets 端点

auto-approve-bot commented 2026-08-18 13:06:34 +08:00

Collaborator

Copy Link

Copy Source

【阻塞级判定】

• 是否存在阻塞级问题：是
• 阻塞级问题数量：1 个

📊 审查概览

• 整体评价：需修改
• 建议级问题数量：1 个

🔴 阻塞级问题（必须修复）

1. [apps/api/app/api/routes/assets.py: 374-382] 权限校验缺失导致越权访问
   • 问题类型：安全漏洞 / 逻辑bug
   • 问题描述：新增的 batch_get_assets 接口直接根据 ID 列表查询素材并返回，但未对查询结果进行权限校验（如调用 check_project_access）。攻击者可以通过遍历 ID 获取项目中无权访问的其他素材详情，造成敏感信息泄露。
   • 修改建议：参考同文件中 update_asset_review_status 或 batch_delete_assets 的实现，在返回数据前，必须遍历 items 并对每个 item 调用 check_project_access(item.project_id, authenticated_user) 进行权限校验，或者确保 asset_repository.find_by_ids 方法内部已包含基于用户的权限过滤逻辑。

💡 改进建议（不阻塞合并）

1. [apps/api/app/api/routes/assets.py: 375] 类型提示一致性
   • 具体内容：函数返回值注解使用了 Python 3.9+ 的内置泛型 list[AssetResponse]，而 response_model 使用了 typing.List。建议保持一致，例如统一使用 List[AssetResponse]（如果需要兼容旧版 Python）或统一使用 list[AssetResponse]。

✅ 良好实践

1. Schema 层面做了较好的限制：BatchGetRequest 中对 ids 字段添加了 min_length=1 和 max_length=MAX_BATCH_SIZE，有效防止了空请求或过大的请求负载，符合防御性编程原则。

---

_{🤖 由 AI 代码审查机器人自动生成 | 2026-08-18 05:06:34 | 模型:}

### 【阻塞级判定】 - 是否存在阻塞级问题：是 - 阻塞级问题数量：1 个 ### 📊 审查概览 - 整体评价：需修改 - 建议级问题数量：1 个 ### 🔴 阻塞级问题（必须修复） 1. **[apps/api/app/api/routes/assets.py: 374-382] 权限校验缺失导致越权访问** - 问题类型：安全漏洞 / 逻辑bug - 问题描述：新增的 `batch_get_assets` 接口直接根据 ID 列表查询素材并返回，但未对查询结果进行权限校验（如调用 `check_project_access`）。攻击者可以通过遍历 ID 获取项目中无权访问的其他素材详情，造成敏感信息泄露。 - 修改建议：参考同文件中 `update_asset_review_status` 或 `batch_delete_assets` 的实现，在返回数据前，必须遍历 `items` 并对每个 item 调用 `check_project_access(item.project_id, authenticated_user)` 进行权限校验，或者确保 `asset_repository.find_by_ids` 方法内部已包含基于用户的权限过滤逻辑。 ### 💡 改进建议（不阻塞合并） 1. **[apps/api/app/api/routes/assets.py: 375] 类型提示一致性** - 具体内容：函数返回值注解使用了 Python 3.9+ 的内置泛型 `list[AssetResponse]`，而 `response_model` 使用了 `typing.List`。建议保持一致，例如统一使用 `List[AssetResponse]`（如果需要兼容旧版 Python）或统一使用 `list[AssetResponse]`。 ### ✅ 良好实践 1. **Schema 层面做了较好的限制**：`BatchGetRequest` 中对 `ids` 字段添加了 `min_length=1` 和 `max_length=MAX_BATCH_SIZE`，有效防止了空请求或过大的请求负载，符合防御性编程原则。 --- _{🤖 由 AI 代码审查机器人自动生成 | 2026-08-18 05:06:34 | 模型:} <!-- AI_CODE_REVIEW_AUTO_COMMENT -->

gitea-actions bot commented 2026-08-18 13:09:01 +08:00

Copy Link

Copy Source

🚀 预览环境已部署

项目	详情
PR号	#1418
预览链接	https://pr-1418.preview.xiaoxiajianji.com
API环境	staging

💡 预览环境使用 staging API 数据，请勿在预览环境中操作重要数据。

🔄 每次提交新代码后预览环境会自动更新。

🗑️ PR 关闭或合并后，预览环境会自动清理。

🚀 **预览环境已部署** | 项目 | 详情 | |------|------| | PR号 | #1418 | | 预览链接 | [https://pr-1418.preview.xiaoxiajianji.com](https://pr-1418.preview.xiaoxiajianji.com) | | API环境 | staging | > 💡 预览环境使用 staging API 数据，请勿在预览环境中操作重要数据。 > > 🔄 每次提交新代码后预览环境会自动更新。 > > 🗑️ PR 关闭或合并后，预览环境会自动清理。

auto-approve-bot approved these changes 2026-08-18 13:15:31 +08:00

auto-approve-bot left a comment

Collaborator

Copy Link

Copy Source

CI全绿，自动审批通过。

CI全绿，自动审批通过。

auto-approve-bot approved these changes 2026-08-18 13:15:31 +08:00

auto-approve-bot left a comment

Collaborator

Copy Link

Copy Source

CI全绿，自动审批通过。

CI全绿，自动审批通过。

xiaoxia merged commit 8ef96e8569 into develop 2026-08-18 13:42:54 +08:00

gitea-actions bot commented 2026-08-18 13:43:53 +08:00

Copy Link

Copy Source

🗑️ 预览环境已清理

PR #1418 已关闭或合并，对应的预览环境已被清理。

如有需要，可以重新打开 PR 来重新生成预览环境。

🗑️ **预览环境已清理** PR #1418 已关闭或合并，对应的预览环境已被清理。 > 如有需要，可以重新打开 PR 来重新生成预览环境。

Sign in to join this conversation.

Reviewers

No Reviewers

auto-approve-bot

Labels

Clear labels

P0

阻塞性，必须立即处理

P1

高优先级

P2

中优先级

P3

低优先级/后考虑

architecture

架构设计

backend

后端相关

blocked

阻塞中

bug

Bug修复

ci-bug

CI本身的bug

ci-optimization

CI优化类任务

ci-pipeline

CI流水线/workflow相关

cleanup

代码清理

devops

运维/部署/CI

documentation

文档相关

feature

新功能

frontend

前端相关

question

需要讨论确认

ready

PR CI通过，可合并

refactor

代码重构

No Label

Milestone

No items

No Milestone

Projects

Clear projects

No project

Assignees

Clear assignees

auto-approve-bot xiaoxia

No Assignees

3 Participants

Notifications

Subscribe

Due Date

No due date set.

Dependencies

No dependencies set.

Reference: xiaoxia/xiaoxia-saas#1418