وبلاگ و سئو: پیش‌نویس/انتشار مقاله + کلمه کلیدی سئو در دیتابیس + OG/canonical/JSON-LD و متای سمت سرور + تغییر رمز و محدودسازی ورود + تست‌ها

- مقاله‌ها ستون status (draft/published) گرفتند — GET /api/site و همه انتهای عمومی فقط منتشرشده را برمی‌گردانند؛ autosave دیگر پیش‌نویس نیمه‌کاره را زنده نمی‌کند
- کلمه کلیدی هدف چک‌لیست سئو فیلد seo_keyphrase شد (قبلاً localStorage بود)
- robots.txt و sitemap.xml از بک‌اند + سرو /blog و /projects با تزریق title/description/OG/JSON-LD از دیتابیس برای خزنده‌های بدون JS (app/seo_pages.py)
- فرانت: applySeo در seo.ts (OG/توییتر/canonical/JSON-LD)، ادغام پیش‌نویس برای ادمین، برچسب پیش‌نویس در وبلاگ، حالت خالی وبلاگ، دکمه انتشار در صفحه نوشتن
- تغییر رمز ادمین POST /api/auth/change-password + دیالوگ «رمز» در نوار مدیریت
- محدودسازی ورود: ۵ تلاش ناموفق در ۱۵ دقیقه از هر IP → 429
- ساخت دکمه + برای ردیف سئوی صفحه‌های بدون ردیف (SingletonPill)
- تست‌های pytest (۱۵ مورد) + پین‌کردن requirements + حذف package.json سرگردان فرانت

backend/app/api/admin.py

@@ -4,15 +4,17 @@ import uuid
 from datetime import datetime, timezone
 
 import boto3
-from fastapi import APIRouter, Depends, File, HTTPException, UploadFile, status
+from fastapi import APIRouter, Depends, File, HTTPException, Request, UploadFile, status
 from sqlalchemy import func
 from sqlalchemy.exc import IntegrityError
 from sqlalchemy.orm import Session
 
 from .. import models, schemas
-from ..auth import create_access_token, get_current_admin, verify_password
+from ..auth import create_access_token, get_current_admin, hash_password, verify_password
 from ..config import settings
 from ..database import get_db
+from ..rate_limit import clear as clear_rate_limit
+from ..rate_limit import ensure_allowed, record_failure
 from ..schemas import (
     ArticleIn,
     ArticleOut,
@@ -23,6 +25,7 @@ from ..schemas import (
     BrandIn,
     BrandOut,
     BrandPatch,
+    ChangePasswordIn,
     ContactSectionIn,
     ContactSectionOut,
     ContactSectionPatch,
@@ -105,16 +108,33 @@ router = APIRouter(dependencies=[Depends(get_current_admin)])
 
 
 @auth_router.post("/auth/login", response_model=TokenOut)
-def login(payload: LoginIn, db: Session = Depends(get_db)):
+def login(payload: LoginIn, request: Request, db: Session = Depends(get_db)):
+    ensure_allowed(request)
     user = db.query(models.AdminUser).filter(models.AdminUser.username == payload.username).first()
     if user is None or not verify_password(payload.password, user.password_hash):
+        record_failure(request)
         raise HTTPException(
             status_code=status.HTTP_401_UNAUTHORIZED,
             detail="نام کاربری یا رمز عبور اشتباه است",
         )
+    clear_rate_limit(request)
     return TokenOut(access_token=create_access_token(user.username))
 
 
+@auth_router.post("/auth/change-password")
+def change_password(
+    payload: ChangePasswordIn,
+    admin: models.AdminUser = Depends(get_current_admin),
+    db: Session = Depends(get_db),
+):
+    """تغییر رمز ادمین واردشده — رمز فعلی باید درست باشد."""
+    if not verify_password(payload.current_password, admin.password_hash):
+        raise HTTPException(status_code=400, detail="رمز عبور فعلی اشتباه است")
+    admin.password_hash = hash_password(payload.new_password)
+    db.commit()
+    return {"ok": True}
+
+
 def register_crud(path: str, model, out_schema, create_schema, patch_schema=None) -> None:
     """ثبت مسیرهای استاندارد CRUD (لیست، ساخت، دریافت، ویرایش کامل، ویرایش جزئی،
     حذف و ترتیب‌بندی) روی روتر مدیریت."""

backend/app/api/public.py

@@ -55,12 +55,21 @@ def get_project(slug: str, db: Session = Depends(get_db)):
 
 @router.get("/articles", response_model=list[ArticleOut])
 def get_articles(db: Session = Depends(get_db)):
-    return db.query(models.Article).order_by(models.Article.position, models.Article.id).all()
+    return (
+        db.query(models.Article)
+        .filter(models.Article.status == "published")
+        .order_by(models.Article.position, models.Article.id)
+        .all()
+    )
 
 
 @router.get("/articles/{slug}", response_model=ArticleOut)
 def get_article(slug: str, db: Session = Depends(get_db)):
-    article = db.query(models.Article).filter(models.Article.slug == slug).first()
+    article = (
+        db.query(models.Article)
+        .filter(models.Article.slug == slug, models.Article.status == "published")
+        .first()
+    )
     if article is None:
         raise HTTPException(status_code=404, detail="مقاله یافت نشد")
     return article
@@ -116,7 +125,11 @@ def get_site(db: Session = Depends(get_db)):
         "page_heroes": db.query(models.PageHeroContent).order_by(models.PageHeroContent.id).all(),
         "services": db.query(models.Service).order_by(models.Service.position, models.Service.id).all(),
         "projects": db.query(models.Project).order_by(models.Project.position, models.Project.id).all(),
-        "articles": db.query(models.Article).order_by(models.Article.position, models.Article.id).all(),
+        # فقط مقاله‌های منتشرشده — پیش‌نویس‌ها از انتهای مدیریتی خوانده می‌شوند
+        "articles": db.query(models.Article)
+        .filter(models.Article.status == "published")
+        .order_by(models.Article.position, models.Article.id)
+        .all(),
         "testimonials": db.query(models.Testimonial).order_by(models.Testimonial.position, models.Testimonial.id).all(),
         "faqs": db.query(models.Faq).order_by(models.Faq.position, models.Faq.id).all(),
         "team": db.query(models.TeamMember).order_by(models.TeamMember.position, models.TeamMember.id).all(),

backend/app/config.py

@@ -23,9 +23,14 @@ class Settings(BaseSettings):
     s3_access_key: str = "aramesh"
     s3_secret_key: str = "aramesh-minio-secret"
     s3_bucket: str = "aramesh-media"
-    # پیشوند عمومی مسیر تصاویر — nginx آن را به باکت پروکسی می‌کند
+    # پیشوند عمومی مسیر تصاویر — Traefik آن را به باکت پروکسی می‌کند
     media_public_base: str = "/media"
     media_max_upload_mb: int = 10
 
+    # نشانی کامل سایت (مثل https://aramesh.example) — برای sitemap و آدرس مطلق OG
+    site_url: str = ""
+    # مسیر بیلد فرانت‌اند (شامل index.html) — برای سرو HTML با متای سئو در صفحات جزئیات
+    frontend_dist: str = "../frontend/dist"
+
 
 settings = Settings()

backend/app/main.py

@@ -6,6 +6,7 @@ from .api import admin, forms, public
 from .config import settings
 from .database import Base, engine
 from .migrations import run_all as run_migrations
+from .seo_pages import router as seo_router
 
 Base.metadata.create_all(bind=engine)
 run_migrations()
@@ -33,6 +34,8 @@ app.include_router(public.router, prefix="/api", tags=["عمومی"])
 app.include_router(forms.router, prefix="/api", tags=["فرم‌ها"])
 app.include_router(admin.auth_router, prefix="/api", tags=["احراز هویت"])
 app.include_router(admin.router, prefix="/api/admin", tags=["پنل مدیریت"])
+# robots.txt، sitemap.xml و HTML صفحات وبلاگ/پروژه با متای سئو — در ریشه دامنه
+app.include_router(seo_router, tags=["سئو"])
 
 
 @app.get("/")

backend/app/migrations.py

@@ -25,6 +25,13 @@ def run_ddl_migrations() -> None:
             conn.execute(
                 text(f"ALTER TABLE {table} ADD COLUMN IF NOT EXISTS position INTEGER NOT NULL DEFAULT 0")
             )
+        # مقالات موجود منتشر شده‌اند؛ فقط مقاله‌های تازه می‌توانند پیش‌نویس باشند
+        conn.execute(
+            text("ALTER TABLE articles ADD COLUMN IF NOT EXISTS status VARCHAR(16) NOT NULL DEFAULT 'published'")
+        )
+        conn.execute(
+            text("ALTER TABLE articles ADD COLUMN IF NOT EXISTS seo_keyphrase VARCHAR(128) NOT NULL DEFAULT ''")
+        )
 
 
 def paragraphs_to_doc(paragraphs: list) -> dict:

backend/app/models.py

@@ -78,6 +78,10 @@ class Article(Base):
     read: Mapped[str] = mapped_column(String(32), default="")
     excerpt: Mapped[str] = mapped_column(Text, default="")
     body: Mapped[list] = mapped_column(JSON, default=list)
+    # draft | published — پیش‌نویس فقط برای ادمین دیده می‌شود
+    status: Mapped[str] = mapped_column(String(16), default="published")
+    # کلمه کلیدی هدف چک‌لیست سئو — راهنمای نوشتن، در سایت نمایش داده نمی‌شود
+    seo_keyphrase: Mapped[str] = mapped_column(String(128), default="")
 
 
 class Testimonial(Base):

backend/app/rate_limit.py

@@ -0,0 +1,49 @@
+"""محدودسازی تلاش ورود — جلوگیری از حمله brute-force روی /api/auth/login.
+
+پیش‌فرض: حداکثر ۵ ورود ناموفق در هر ۱۵ دقیقه برای هر IP؛ ورود موفق شمارنده را پاک می‌کند.
+شمارنده در حافظه همین پروسه است — با ری‌استارت بک‌اند پاک می‌شود و همین کافی است.
+"""
+
+import time
+
+from fastapi import HTTPException, Request, status
+
+MAX_FAILED_ATTEMPTS = 5
+WINDOW_SECONDS = 15 * 60
+
+_failed: dict[str, list[float]] = {}
+
+
+def client_ip(request: Request) -> str:
+    forwarded = request.headers.get("x-forwarded-for")
+    if forwarded:
+        return forwarded.split(",")[0].strip()
+    return request.client.host if request.client else "unknown"
+
+
+def _prune(key: str, now: float) -> list[float]:
+    recent = [t for t in _failed.get(key, []) if now - t < WINDOW_SECONDS]
+    _failed[key] = recent
+    return recent
+
+
+def ensure_allowed(request: Request) -> None:
+    """اگر این IP سهمیه تلاش ناموفقش پر شده باشد، درخواست با 429 رد می‌شود."""
+    key = client_ip(request)
+    recent = _prune(key, time.monotonic())
+    if len(recent) >= MAX_FAILED_ATTEMPTS:
+        retry_after = max(1, int(WINDOW_SECONDS - (time.monotonic() - recent[0])))
+        raise HTTPException(
+            status_code=status.HTTP_429_TOO_MANY_REQUESTS,
+            detail="تلاش‌های ناموفق زیاد است — بعداً دوباره امتحان کنید",
+            headers={"Retry-After": str(retry_after)},
+        )
+
+
+def record_failure(request: Request) -> None:
+    _failed.setdefault(client_ip(request), []).append(time.monotonic())
+
+
+def clear(request: Request) -> None:
+    """با ورود موفق، تاریخچه تلاش‌های ناموفق IP پاک می‌شود."""
+    _failed.pop(client_ip(request), None)

backend/app/schemas.py

@@ -59,6 +59,8 @@ class ArticleOut(ORMModel):
     read: str
     excerpt: str
     body: dict
+    status: str
+    seo_keyphrase: str
 
 
 class TestimonialOut(ORMModel):
@@ -292,6 +294,11 @@ class TokenOut(BaseModel):
     token_type: str = "bearer"
 
 
+class ChangePasswordIn(BaseModel):
+    current_password: str
+    new_password: str = Field(min_length=8, max_length=128)
+
+
 class BrandIn(BaseModel):
     name: str = ""
     logo: str = ""
@@ -346,6 +353,8 @@ class ArticleIn(BaseModel):
     read: str = ""
     excerpt: str = ""
     body: dict = Field(default_factory=lambda: dict(EMPTY_DOC))
+    status: Literal["draft", "published"] = "draft"
+    seo_keyphrase: str = Field(default="", max_length=128)
     _validate_body = field_validator("body")(validate_doc_body)
 
 
@@ -548,6 +557,8 @@ class ArticlePatch(BaseModel):
     read: Optional[str] = None
     excerpt: Optional[str] = None
     body: Optional[dict] = None
+    status: Optional[Literal["draft", "published"]] = None
+    seo_keyphrase: Optional[str] = None
     _validate_body = field_validator("body")(validate_doc_body)
 TestimonialPatch = _make_patch("TestimonialPatch", TestimonialIn)
 FaqPatch = _make_patch("FaqPatch", FaqIn)

backend/app/seo_pages.py

@@ -0,0 +1,239 @@
+"""سئوی سمت سرور — robots.txt، sitemap.xml و سرو HTML صفحات وبلاگ/پروژه با متای تزریق‌شده.
+
+فرانت‌اند یک SPA است؛ خزنده‌های اجتماعی (تلگرام، واتس‌اپ و...) جاوااسکریپت اجرا نمی‌کنند.
+این ماژول همان index.html بیلد فرانت‌اند را می‌خواند و پیش از ارسال، تگ‌های
+title / description / OG / canonical / JSON-LD را از دیتابیس داخل آن تزریق می‌کند —
+بازدیدکننده‌های عادی همان SPA همیشگی را می‌بینند و خزنده‌ها متای درست را می‌خوانند.
+"""
+
+import html
+import json
+import re
+from pathlib import Path
+
+from fastapi import APIRouter, Depends, Response
+from fastapi.responses import HTMLResponse
+from sqlalchemy.orm import Session
+
+from . import models
+from .config import settings
+from .database import get_db
+
+router = APIRouter()
+
+STATIC_PATHS = ["/", "/about", "/services", "/projects", "/investment", "/blog", "/faq", "/contact"]
+
+
+def _absolute(path: str) -> str:
+    if not path:
+        return ""
+    if path.startswith(("http://", "https://")):
+        return path
+    site = settings.site_url.rstrip("/")
+    return f"{site}{path}" if site else path
+
+
+def _read_index() -> str | None:
+    try:
+        return (Path(settings.frontend_dist) / "index.html").read_text(encoding="utf-8")
+    except OSError:
+        return None
+
+
+def _doc_text(doc: object, limit: int = 300) -> str:
+    """متن ساده سند TipTap — برای noscript و پیش‌نمایش."""
+    words: list[str] = []
+
+    def walk(node: object) -> None:
+        if not isinstance(node, dict):
+            return
+        if node.get("type") == "text" and isinstance(node.get("text"), str):
+            words.append(node["text"])
+        for child in node.get("content") or []:
+            walk(child)
+
+    if isinstance(doc, dict):
+        for block in doc.get("content") or []:
+            walk(block)
+    text = " ".join(words).strip()
+    return text[:limit] + ("…" if len(text) > limit else "")
+
+
+def _shell(
+    *,
+    title: str,
+    description: str,
+    path: str,
+    og_image: str = "",
+    og_type: str = "website",
+    jsonld: dict | None = None,
+    noscript: str = "",
+) -> HTMLResponse:
+    """index.html فرانت‌اند با متای تزریق‌شده؛ اگر بیلد در دسترس نبود، صفحه حداقلی."""
+    title = title.strip() or "گروه ساختمانی آرامش"
+    description = description.strip()
+    canonical = _absolute(path)
+    image = _absolute(og_image)
+    esc = html.escape
+
+    # تگ title جای تگ موجود index.html را می‌گیرد و در بلوک تکرار نمی‌شود
+    tags = [
+        f'<meta name="description" content="{esc(description)}" />',
+        f'<meta property="og:title" content="{esc(title)}" />',
+        f'<meta property="og:description" content="{esc(description)}" />',
+        f'<meta property="og:type" content="{esc(og_type)}" />',
+        f'<meta property="og:url" content="{esc(canonical)}" />',
+        f'<meta name="twitter:card" content="summary_large_image" />',
+    ]
+    if image:
+        tags.append(f'<meta property="og:image" content="{esc(image)}" />')
+    if jsonld:
+        payload = json.dumps(jsonld, ensure_ascii=False).replace("</", "<\\/")
+        tags.append(f'<script type="application/ld+json">{payload}</script>')
+    block = "\n    ".join(tags)
+
+    raw = _read_index()
+    if raw is None:
+        # بیلد فرانت‌اند سوار نشده — صفحه حداقلی با خودِ متا تا خزنده‌ها دست خالی نمانند
+        body = f"<h1>{esc(title)}</h1><p>{esc(description)}</p>"
+        return HTMLResponse(
+            f'<!doctype html><html lang="fa" dir="rtl"><head><meta charset="utf-8">'
+            f"<title>{esc(title)}</title>{block}</head><body>{body}</body></html>"
+        )
+
+    raw = re.sub(r"<title>.*?</title>", f"<title>{esc(title)}</title>", raw, count=1, flags=re.S)
+    raw = raw.replace("</head>", f"    {block}\n  </head>", 1)
+    if noscript:
+        raw = raw.replace("</body>", f"<noscript>{noscript}</noscript>\n  </body>", 1)
+    return HTMLResponse(raw)
+
+
+def _brand_name(db: Session) -> str:
+    brand = db.query(models.Brand).first()
+    return brand.name if brand else "گروه ساختمانی آرامش"
+
+
+def _page_meta(db: Session, page_key: str) -> models.SeoMeta | None:
+    return db.query(models.SeoMeta).filter(models.SeoMeta.page_key == page_key).first()
+
+
+# ---------- robots.txt و sitemap.xml ----------
+
+
+@router.get("/robots.txt", response_class=Response)
+def robots(db: Session = Depends(get_db)):
+    lines = ["User-agent: *", "Disallow: /admin", "Disallow: /api", ""]
+    if settings.site_url:
+        lines.append(f"Sitemap: {_absolute('/sitemap.xml')}")
+    return Response(content="\n".join(lines), media_type="text/plain; charset=utf-8")
+
+
+@router.get("/sitemap.xml", response_class=Response)
+def sitemap(db: Session = Depends(get_db)):
+    urls = list(STATIC_PATHS)
+    urls += [
+        f"/blog/{a.slug}"
+        for a in db.query(models.Article)
+        .filter(models.Article.status == "published")
+        .order_by(models.Article.position, models.Article.id)
+        .all()
+    ]
+    urls += [
+        f"/projects/{p.slug}"
+        for p in db.query(models.Project).order_by(models.Project.position, models.Project.id).all()
+    ]
+    items = "\n".join(
+        f"    <url><loc>{html.escape(_absolute(u))}</loc></url>" for u in urls
+    )
+    xml = (
+        '<?xml version="1.0" encoding="UTF-8"?>\n'
+        '<urlset xmlns="http://www.sitemaps.org/schemas/sitemap/0.9">\n'
+        f"{items}\n</urlset>\n"
+    )
+    return Response(content=xml, media_type="application/xml; charset=utf-8")
+
+
+# ---------- صفحات وبلاگ ----------
+
+
+@router.get("/blog", response_class=HTMLResponse)
+def blog_list(db: Session = Depends(get_db)):
+    meta = _page_meta(db, "blog")
+    return _shell(
+        title=meta.title if meta and meta.title else "وبلاگ | " + _brand_name(db),
+        description=meta.description if meta else "",
+        path="/blog",
+        og_image=meta.image if meta else "",
+    )
+
+
+@router.get("/blog/{slug}", response_class=HTMLResponse)
+def blog_detail(slug: str, db: Session = Depends(get_db)):
+    article = (
+        db.query(models.Article)
+        .filter(models.Article.slug == slug, models.Article.status == "published")
+        .first()
+    )
+    if article is None:
+        # مقاله ناموجود یا پیش‌نویس — پوسته ساده بدون متا؛ SPA پیام «یافت نشد» را نشان می‌دهد
+        return _shell(title=_brand_name(db), description="", path=f"/blog/{slug}")
+
+    brand = _brand_name(db)
+    first_text = _doc_text(article.body) if not isinstance(article.body, list) else " ".join(article.body[:2])
+    jsonld = {
+        "@context": "https://schema.org",
+        "@type": "Article",
+        "headline": article.title,
+        "description": article.excerpt,
+        "image": _absolute(article.image),
+        "inLanguage": "fa",
+        "author": {"@type": "Organization", "name": brand},
+        "publisher": {"@type": "Organization", "name": brand},
+        "mainEntityOfPage": _absolute(f"/blog/{article.slug}"),
+    }
+    noscript = f"<h1>{html.escape(article.title)}</h1><p>{html.escape(first_text)}</p>"
+    return _shell(
+        title=f"{article.title} | {brand}",
+        description=article.excerpt,
+        path=f"/blog/{article.slug}",
+        og_image=article.image,
+        og_type="article",
+        jsonld=jsonld,
+        noscript=noscript,
+    )
+
+
+# ---------- صفحات پروژه ----------
+
+
+@router.get("/projects", response_class=HTMLResponse)
+def projects_list(db: Session = Depends(get_db)):
+    meta = _page_meta(db, "projects")
+    return _shell(
+        title=meta.title if meta and meta.title else "پروژه‌ها | " + _brand_name(db),
+        description=meta.description if meta else "",
+        path="/projects",
+    )
+
+
+@router.get("/projects/{slug}", response_class=HTMLResponse)
+def project_detail(slug: str, db: Session = Depends(get_db)):
+    project = db.query(models.Project).filter(models.Project.slug == slug).first()
+    if project is None:
+        return _shell(title=_brand_name(db), description="", path=f"/projects/{slug}")
+
+    brand = _brand_name(db)
+    return _shell(
+        title=f"{project.title} | {brand}",
+        description=project.summary,
+        path=f"/projects/{project.slug}",
+        og_image=project.image,
+        jsonld={
+            "@context": "https://schema.org",
+            "@type": "WebPage",
+            "name": project.title,
+            "description": project.summary,
+            "image": _absolute(project.image),
+            "inLanguage": "fa",
+        },
+    )