feat(auth): 登录账户级失败锁定 + 密码强度 8-72 位(B4)

补上 A5 只做了 IP 限流、没做账户锁定的缺口(审计 B4)。 - 账户级失败锁定：连续登录失败达 5 次即临时锁定 15min(Redis 计数+TTL)，锁定期直接拒绝不再校验密码，成功登录即清零。与 A5 的 IP 限流互补：IP 限流挡'一个 IP 猛打'，账户锁定挡'分布式慢速猜一个号'。权衡：per-account 可被人为锁死受害者(lockout DoS)，故窗口设短自动解锁+叠加 IP 限流；Redis 降级则不锁定(尽力而为，IP 限流仍在)。 - 密码强度：注册从'至少 6 位'提到 8-72 位。上限 72 字节——bcrypt 超 72 字节静默截断，不拦会让超长密码实际只用前 72 字节。桌面端注册提示同步改 8-72 位。存量用户不受影响(只校验注册/改密时的新密码)。build+vet+test 绿；desktop tsc 绿。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
2026-07-21 15:56:29 +08:00
parent da9c76f073
commit ebbeed90e9
4 changed files with 74 additions and 4 deletions
@@ -50,7 +50,7 @@ export function Login({ onAuthed }: { onAuthed: (u: AuthUser) => void }) {
            <Input type="email" value={email} onChange={(e) => setEmail(e.target.value)} placeholder="you@example.com" autoFocus={!isRegister} onKeyDown={(e) => e.key === "Enter" && submit()} />
          </Field>
          <Field label="密码">
-            <Input type="password" value={password} onChange={(e) => setPassword(e.target.value)} placeholder={isRegister ? "至少 6 位" : "••••••••"} onKeyDown={(e) => e.key === "Enter" && submit()} />
+            <Input type="password" value={password} onChange={(e) => setPassword(e.target.value)} placeholder={isRegister ? "8–72 位" : "••••••••"} onKeyDown={(e) => e.key === "Enter" && submit()} />
          </Field>
        </div>