Harden auth, AI tutor, payments, and subscriptions

content/views.py

@@ -1,9 +1,8 @@
 from django.db import IntegrityError, transaction
-from django.db.models import Sum
 from django.shortcuts import get_object_or_404
 from drf_spectacular.types import OpenApiTypes
 from drf_spectacular.utils import OpenApiParameter, extend_schema
-from rest_framework import status
+from rest_framework.exceptions import PermissionDenied, ValidationError
 from rest_framework.permissions import IsAuthenticated
 from rest_framework.response import Response
 from rest_framework.views import APIView
@@ -51,22 +50,21 @@ def _node_status(node, user_id, is_first_unlocked_candidate):
 
 
 class HomeView(APIView):
-    """GET /api/home?userId&grade — نقشه‌ی مهارت‌ها + آمار (ادغام‌شده)"""
+    """GET /api/home?grade — نقشه‌ی مهارت‌ها + آمار (ادغام‌شده)"""
+
+    # userId همیشه از request.user.id (توکن معتبر) گرفته می‌شود، نه ورودی کلاینت (IDOR).
+    permission_classes = [IsAuthenticated]
 
     @extend_schema(
         parameters=[
-            OpenApiParameter('userId', OpenApiTypes.INT, required=True),
             OpenApiParameter('grade', OpenApiTypes.INT, required=False),
         ],
         responses=HomeResponseSerializer,
         tags=['Curriculum (content)'],
     )
     def get(self, request):
-        user_id = request.query_params.get('userId')
         grade_id = request.query_params.get('grade')
-        if not user_id:
-            return Response({'detail': 'پارامتر userId الزامی است.'}, status=status.HTTP_400_BAD_REQUEST)
-        user_id = int(user_id)
+        user_id = request.user.id
 
         units_qs = Grade.objects.get(pk=grade_id).units.all() if grade_id else []
 
@@ -130,10 +128,7 @@ class LessonQuestionsView(APIView):
 class QuestionAnswerView(APIView):
     """POST /api/questions/{id}/answer — ثبت پاسخ"""
 
-    # ⚠️ اصلاح امنیتی: قبلاً userId از query/body کلاینت خونده می‌شد که به
-    # کلاینت اجازه می‌داد به‌جای هر کاربر دیگری پاسخ ثبت کنه (heart/xp کاربر
-    # دلخواه رو تغییر بده). حالا auth اجباریه و همیشه از request.user.id
-    # (که از توکن معتبر استخراج شده) استفاده می‌شه.
+    # userId همیشه از request.user.id گرفته می‌شود، نه ورودی کلاینت.
     permission_classes = [IsAuthenticated]
 
     @extend_schema(
@@ -165,12 +160,7 @@ class QuestionAnswerView(APIView):
         xp_earned = 10 if choice.is_correct else 0
         idempotency_key = request.headers.get('Idempotency-Key') or None
 
-        # ⚛️🔒 اصلاح idempotency (duplicate answer row + دوبار کسرِ هارت):
-        # اگه کلاینت کلید idempotency فرستاده و قبلاً همین submit با همین
-        # کلید ثبت شده، به‌جای ساختِ دوباره‌ی ردیف/کسرِ دوباره‌ی هارت، همون
-        # نتیجه‌ی قبلی (و وضعیتِ فعلیِ هارت، بدونِ تغییرِ دوباره‌اش) برگردونده
-        # می‌شه — دقیقاً همون الگویی که LessonCompleteView برای
-        # UserLessonCompletion.idempotency_key داره.
+        # درخواست تکراری با همین کلید: نتیجه‌ی قبلی بدون کسر دوباره‌ی هارت برگردانده می‌شود.
         if idempotency_key:
             existing = UserAnswer.objects.filter(
                 user_id=user_id, question=question, idempotency_key=idempotency_key,
@@ -185,26 +175,9 @@ class QuestionAnswerView(APIView):
                 }
                 return Response(AnswerResponseSerializer(data).data)
 
-        # ⚛️ atomic: UserAnswer.create پایین‌تر یک سیگنال post_save رو تریگر
-        # می‌کنه (content/receivers.py) که خودش NodeProgress رو آپدیت و
-        # احتمالاً یک StatusChangeLog می‌سازه؛ به‌علاوه‌ی get_or_create/save
-        # روی UserHearts، همه‌شون باید یک واحد اتمیک باشن — وگرنه مثلاً اگه
-        # save روی hearts fail کنه، پاسخ کاربر ثبت شده ولی هارتش کم نشده.
-        #
-        # ⚛️🔒 race condition: خواندنِ hearts.current_hearts و کم‌کردنش
-        # («lost update») بدون قفل بود — اگه کاربر دو تا پاسخِ غلط رو تقریباً
-        # همزمان بفرسته (یا کلاینت retry کنه)، دو درخواست می‌تونستن هر دو
-        # current_hearts=5 رو بخونن، هر دو 4 رو ذخیره کنن؛ یعنی به‌جای کم‌شدنِ
-        # ۲ تا هارت، فقط ۱ تا کم بشه. حالا ردیفِ UserHearts قفل می‌شه
-        # (select_for_update) قبل از خوندن/کم‌کردنش.
-        #
-        # ⚛️🔒 دفاع در عمق برای idempotency: اگه دو submit هم‌زمان دقیقاً با
-        # همون Idempotency-Key وارد بشن (رتریِ واقعیِ شبکه‌ایِ کلاینت)،
-        # UniqueConstraintِ سطح DB (uniq_user_answer_idempotency_key) جلوی
-        # ردیفِ دومِ UserAnswer رو می‌گیره و کلِ این atomic block (شاملِ
-        # کسرِ هارت) rollback می‌شه — پس هیچ اثرِ تکراری‌ای اعمال نشده. در
-        # این حالت، به‌جای خطا، نتیجه‌ی همون پاسخی که رقیب ثبت کرده رو
-        # idempotent برمی‌گردونیم.
+        # اتمیک: ثبت پاسخ + کسر هارت باید یک واحد باشند. UserHearts زیر قفل
+        # خوانده/کم می‌شود تا lost update در پاسخ‌های هم‌زمان رخ ندهد. قید یکتاییِ
+        # سطح DB (uniq_user_answer_idempotency_key) جلوی ثبت دوباره با همان کلید را می‌گیرد.
         try:
             with transaction.atomic():
                 UserAnswer.objects.create(
@@ -235,16 +208,7 @@ class QuestionAnswerView(APIView):
                 raise
             choice = existing.choice
             xp_earned = existing.xp_earned
-            # 🔒 اصلاح: خواندنِ UserHearts اینجا قبلاً بدون قفل و بیرونِ هر
-            # transaction.atomic انجام می‌شد (چون بعد از rollback شدنِ
-            # atomic بالا اجرا می‌شه). یعنی اگه هم‌زمان یک تغییرِ دیگر روی
-            # همون ردیفِ UserHearts در حالِ commit شدن بود (مثلاً پاسخِ غلطِ
-            # دیگری از همین کاربر که select_for_update گرفته)، این خواندنِ
-            # بدون قفل می‌تونست با اون race کنه و یک مقدارِ ناسازگار/گذرا
-            # برگردونه. حالا دقیقاً همون الگوی قفلِ ردیف که مسیرِ معمولیِ
-            # این ویو استفاده می‌کنه (select_for_update داخلِ
-            # transaction.atomic) اینجا هم برای همین خواندن به‌کار رفته تا
-            # پاسخِ fallback نتونه با هیچ جهشِ دیگری روی هارت race کنه.
+            # قفل ردیف UserHearts هم اینجا رعایت می‌شود تا این خواندنِ fallback با تغییرات هم‌زمان race نکند.
             with transaction.atomic():
                 hearts = UserHearts.objects.select_for_update().filter(user_id=user_id).first()
             hearts_remaining = hearts.current_hearts if hearts else 5
@@ -286,9 +250,20 @@ class LessonCompleteView(APIView):
         serializer = LessonCompleteRequestSerializer(data=request.data)
         serializer.is_valid(raise_exception=True)
         correct_count = serializer.validated_data['correctCount']
-        total_questions = serializer.validated_data['totalQuestions'] or 1
+        # totalQuestions در بدنه‌ی درخواست پذیرفته می‌شود (سازگاری با schema) اما در محاسبه استفاده نمی‌شود.
 
-        ratio = correct_count / total_questions
+        # correctCount نباید از تعداد واقعی سوال‌های این درس بیشتر باشد، تا xp/coins متورم نگیرد.
+        actual_question_count = lesson.questions.count()
+        if correct_count > actual_question_count:
+            raise ValidationError({
+                'correctCount': (
+                    'correctCount نمی‌تواند از تعداد واقعی سوال‌های این درس '
+                    f'({actual_question_count}) بیشتر باشد.'
+                )
+            })
+
+        # ratio همیشه بر اساس actual_question_count محاسبه می‌شود، نه totalQuestions ارسالی کلاینت.
+        ratio = correct_count / (actual_question_count or 1)
         stars = 3 if ratio >= 0.9 else 2 if ratio >= 0.6 else 1 if ratio > 0 else 0
         potential_xp = correct_count * 10
         potential_coins = stars * 5
@@ -296,11 +271,7 @@ class LessonCompleteView(APIView):
         user_id = request.user.id
         idempotency_key = request.headers.get('Idempotency-Key') or None
 
-        # ⚛️🔒 اصلاح race condition (duplicate completion row): اگه کلاینت
-        # کلید idempotency فرستاده و قبلاً همین submit با همین کلید ثبت
-        # شده، به‌جای ساختِ دوباره‌ی ردیف/جایزه، همون نتیجه‌ی قبلی برگردونده
-        # می‌شه (idempotent). این جدا از قفلِ UserStats پایینه که فقط جلوی
-        # duplicate *reward* رو می‌گرفت، نه duplicate *row* رو.
+        # درخواست تکراری با همین کلید: نتیجه‌ی قبلی idempotent برگردانده می‌شود.
         if idempotency_key:
             existing = UserLessonCompletion.objects.filter(
                 user_id=user_id, lesson=lesson, idempotency_key=idempotency_key,
@@ -366,12 +337,8 @@ class LessonCompleteView(APIView):
                 stats.progress_percent = round(min(completed_lessons / total_lessons, 1.0) * 100, 2)
                 stats.save(update_fields=['xp', 'coins', 'progress_percent'])
         except IntegrityError:
-            # ⚛️🔒 دفاع در عمق: اگه دو submit هم‌زمان دقیقاً با همون
-            # Idempotency-Key وارد بشن (رتریِ واقعیِ شبکه‌ایِ کلاینت)،
-            # UniqueConstraint سطح DB جلوی ردیفِ دوم رو می‌گیره و کل این
-            # atomic block (شاملِ آپدیتِ stats) rollback می‌شه — پس هیچ
-            # جایزه‌ی تکراری‌ای اعمال نشده. در این حالت، به‌جای خطا، نتیجه‌ی
-            # همون completion که رقیب ساخته رو idempotent برمی‌گردونیم.
+            # قید یکتاییِ سطح DB جلوی درخواست‌های هم‌زمان با همان کلید را می‌گیرد؛
+            # نتیجه‌ی completion رقیب idempotent برگردانده می‌شود.
             if not idempotency_key:
                 raise
             existing = UserLessonCompletion.objects.filter(
@@ -401,26 +368,35 @@ class LessonCompleteView(APIView):
 
 class NodeProgressListView(APIView):
     """
-    GET /api/progress/nodes?userId=&unit= — لیست وضعیتِ کاربر روی هر Node
-    (تکمیل‌شده/نصفه‌رها/در حال انجام). userId مثل HomeView به‌صورت query
-    param گرفته می‌شه چون این endpoint قراره از سمت والدین (family app،
-    گزارش هفتگی) و پشتیبانی هم برای کاربر دیگه (نه فقط خودِ request.user)
-    صدا زده بشه، نه فقط خودِ دانش‌آموز.
+    GET /api/progress/nodes?userId=&unit= — لیست وضعیتِ کاربر روی هر Node.
+
+    توکن اجباری است. userId قابل قبول است (والد می‌تواند پیشرفت فرزندش را ببیند)،
+    اما فقط اگر برابر خودِ request.user باشد یا درخواست‌دهنده والدِ تأییدشده‌ی
+    همان کاربر باشد (FamilyLink با status='accepted')؛ در غیر این صورت 403.
     """
 
+    permission_classes = [IsAuthenticated]
+
     @extend_schema(
         parameters=[
-            OpenApiParameter('userId', OpenApiTypes.INT, required=True),
+            OpenApiParameter('userId', OpenApiTypes.INT, required=False),
             OpenApiParameter('unit', OpenApiTypes.INT, required=False),
         ],
         responses=NodeProgressListResponseSerializer,
         tags=['Curriculum (content)'],
     )
     def get(self, request):
-        user_id = request.query_params.get('userId')
-        if not user_id:
-            return Response({'detail': 'پارامتر userId الزامی است.'}, status=status.HTTP_400_BAD_REQUEST)
-        user_id = int(user_id)
+        requested_user_id = request.query_params.get('userId')
+        user_id = int(requested_user_id) if requested_user_id else request.user.id
+
+        if user_id != request.user.id:
+            from family.models import FamilyLink
+
+            is_verified_parent = FamilyLink.objects.filter(
+                parent_user_id=request.user.id, child_user_id=user_id, status='accepted',
+            ).exists()
+            if not is_verified_parent:
+                raise PermissionDenied('اجازه‌ی مشاهده‌ی پیشرفتِ این کاربر را ندارید.')
 
         qs = NodeProgress.objects.filter(user_id=user_id).select_related('node')
         unit_id = request.query_params.get('unit')