Live Board MVP 專案規範

目的

提供多門課程／活動、多個白板、多則公告的即時公佈欄。學員端必須能在不登入的情況下閱讀與複製公告；教師端只供教師登入後管理白板與公告。

主要檔案

• index.html：學員端公開頁面。
• admin.html：教師控制台。
• src/data.js：Supabase 與本機示範模式資料存取。
• src/sorting.js：白板排序、置頂與鎖定優先順序。
• src/board.js：學員端渲染、收摺、複製、QR Code 與同步。
• src/admin.js：教師登入、公告 CRUD、排序與發布控制。
• supabase/migrations/：資料表、RLS、Realtime trigger。
• HANDOFF.md：目前狀態、測試與部署接手資訊。

目前 migration 依序包含基本資料表、兩輪安全性收斂、多白板／排序／鎖定／置頂／稽核紀錄擴充，以及固定 slug 保護。

邊界與安全

• 不在任何前端檔案、文件或提交內容放入 service_role、sb_secret_...、密碼或其他憑證。
• 學員端只可讀取已發布公告；教師寫入權限由 Supabase Auth 與 RLS 控制。
• 公告內容視為「拿到白板網址即可閱讀」的公開資料，不放入敏感個資或機密資料。
• 白板標題可以修改；slug 是固定的公開識別。每則公告以 post ID 形成固定連結。
• 公告本文可以鎖定；鎖定只禁止修改本文，解除鎖定與修改由 Supabase 稽核表記錄。
• Realtime 事件只傳送小型異動通知；長文透過 HTTPS 取得，不把完整內容放進 Realtime payload。
• 不使用外部 CDN、Google Fonts、第三方 iframe 或外部 QR API。

語言與介面

中文介面使用臺灣繁體中文。公告本文是純文字，必須保留換行與空白並以 textContent 渲染，避免將教師貼上的內容當成 HTML 執行。

驗證

每次修改至少執行 npm run build。若有 Supabase 專案，另以測試帳號確認登入、RLS、公告 CRUD、Realtime 更新、草稿不可見與公開白板讀取。發布前需以 Vercel production URL 測試學員端與教師端。

Git 與部署

本專案可作為獨立 GitHub repository，或放在既有 repository 的 work/live-board-mvp。未經本輪明確授權，不執行 commit、push、Supabase migration 實際套用或 Vercel 部署。