fix: 定时任务修复+管理后台Task7支持 (Task4外键修复, Task7管理员邮箱动态查询, Task5限流防护, Task7加入SCRIPT_MAP)

.trae/rules/project_rules.md

@@ -141,7 +141,7 @@
   - `POST /api/admin/tasks/run` — 手动触发任务执行
 
 ### 定时任务（Crontab）
-所有6个定时任务全部经过TaskLog记录：
+所有7个定时任务全部经过TaskLog记录，由 `scripts/cron-wrapper.sh` 统一入口执行（自动加载 `.env` 环境变量、创建日志目录）：
 
 | 时间 | 任务 | 脚本 | TaskKey | 说明 |
 |------|------|------|---------|------|
@@ -151,9 +151,12 @@
 | 05:00 | Task4 发现技能 | `scripts/daily-discover.mjs` | task4-discover-skills | GitHub搜索≥1000 stars项目→DeepSeek预评测→入库PendingSkill |
 | 06:00 | Task1 发现工具 | `scripts/task1-discover-tools.mjs` | task1-discover-tools | 36kr/IT之家/开源中国RSS→DeepSeek提取工具→入库PendingTool |
 | 07:30 | AI日报 | `scripts/daily-news.mjs` | daily-news | 多源搜索真实新闻+DeepSeek整理格式→发布日报 |
+| 08:00 | Task7 新闻推社区 | `scripts/task7-news-to-community.mjs` | task7-news-to-community | 将当日日报新闻分发到社区4个板块（AI工具推荐/AI资讯/技术探讨/观点讨论） |
 
-- Crontab 位于服务器: `crontab -l`（ubuntu用户）
-- 日志目录: `/home/ubuntu/zhuiguang-ai/logs/`（task1.log ~ task6.log）
+- Crontab 位于服务器: `crontab -l`（ubuntu用户），安装脚本: `bash scripts/install-cron.sh`
+- 统一入口: `scripts/cron-wrapper.sh <TASK_NAME> <SCRIPT_PATH>` — 自动加载 `.env`、创建日志目录、记录执行结果
+- 日志目录: `/home/ubuntu/zhuiguang-ai/logs/`（task1.log ~ task7.log, daily-news.log）
+- **关键**: crontab 环境不加载 `.env`，所有定时任务必须通过 wrapper 执行；`.env` 值不能加引号
 
 ## AI日报新闻源
 - **36kr** RSS (https://36kr.com/feed) — 国内科技资讯
@@ -172,6 +175,10 @@
 - Chart.js组件需用dynamic import + ssr: false，不支持服务端渲染
 - Prisma 7.8需通过PrismaMariaDb适配器初始化，不能直接new PrismaClient()
 - 服务器环境SSL证书问题: 运行脚本需设置$env:NODE_TLS_REJECT_UNAUTHORIZED="0"
+- **crontab env隔离**: crontab 不加载 `.env`，必须用 wrapper 脚本 `source .env` + `set -a`/`set +a`
+- **.env 引号陷阱**: `.env` 值禁止加引号，`xargs` 导出会保留引号导致 SQL 语法错误
+- **PrismaMariaDb 协议**: adapter 只接受 `mariadb://`，`.env` 中的 `mysql://` 需在脚本中 `.replace('mysql://', 'mariadb://')`
+- **.mjs 不支持 TS**: `.mjs` 文件不能有 TypeScript 类型注解（`const x: Type =`），需用纯 JS 语法
 
 ### 6. 安全原则
 - 敏感信息（密钥、密码、Token）必须使用环境变量，禁止硬编码
@@ -180,6 +187,9 @@
 - 文件上传/下载必须限制大小（最大 5MB）和类型，SVG 内容需消毒 script/iframe/on-event 标签
 - Logo 文件名使用 SHA256 哈希（不使用 MD5）
 - VIP 用户不能访问管理后台（/admin/* 和 /api/admin/*）
+- **后台写操作 API 必须使用 requireAdmin 中间件**（全部 25 个 POST 接口已验证）
+- **数据库外键回退值禁止硬编码**：凡涉及 FK 字段（如 categoryId）必须先查库取有效 ID，再做回退（参考 `category.findFirst()` 模式），禁止用 `|| 1` 等魔法数字
+- **批量写操作必须限制数量上限**：工具/技能导入 max(100)，新闻导入 max(50)，批量发布 max(500)
 
 ### 7. 可靠性原则
 - 所有外部 API 调用（GitHub、DeepSeek 等）必须设置超时和重试