 Blizzard
|
ebbeed90e9
|
feat(auth): 登录账户级失败锁定 + 密码强度 8-72 位(B4)
补上 A5 只做了 IP 限流、没做账户锁定的缺口(审计 B4)。
- 账户级失败锁定：连续登录失败达 5 次即临时锁定 15min(Redis 计数+TTL)，锁定期直接拒绝
不再校验密码，成功登录即清零。与 A5 的 IP 限流互补：IP 限流挡'一个 IP 猛打'，账户锁定
挡'分布式慢速猜一个号'。权衡：per-account 可被人为锁死受害者(lockout DoS)，故窗口设短
自动解锁+叠加 IP 限流；Redis 降级则不锁定(尽力而为，IP 限流仍在)。
- 密码强度：注册从'至少 6 位'提到 8-72 位。上限 72 字节——bcrypt 超 72 字节静默截断，
不拦会让超长密码实际只用前 72 字节。桌面端注册提示同步改 8-72 位。
存量用户不受影响(只校验注册/改密时的新密码)。build+vet+test 绿；desktop tsc 绿。
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
|
2026-07-21 15:56:29 +08:00 |
|
|
Blizzard
|
693a8f09e9
|
feat(gateway): 多租户地基·增量1 —— 租户身份/成员/上下文（T4.A/SaaS P1）
按 SAAS_DESIGN.md P1 第一刀（真·多租户 + 桌面端为主）：先立租户身份，不动查询。
- store.Tenant / TenantMember 表 + AutoMigrate
- store: CreateTenant / AddMember(幂等) / DefaultTenantForUser / EnsureDefaultTenant(幂等) /
BackfillDefaultTenants / GetTenant / MemberRole
- 注册即建单人默认租户(owner)；启动回填给存量用户补建(幂等)
- middleware.TenantContext(挂 Auth 后)解析当前租户→注入 tenant_id；handler.tenantID(c) 助手
- GET /api/v1/tenants/current 验证端点(租户上下文 + 角色)
- live：存量用户(回填 7 租户)/tenants/current 返回默认租户+owner；新注册自动建租户
下一步(增量2)：核心表加 tenant_id + 统一 gorm scope 强制隔离 + 存量行回填 + 重写查询。
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
|
2026-07-06 17:31:09 +08:00 |
|
|
Blizzard
|
149c35c21b
|
feat(gateway): 真实鉴权片1 —— JWT 注册/登录 + 校验中间件（后端核心）
替掉"裸 X-User-ID 头当身份"的临时方案，落地无状态 JWT 鉴权后端：
- internal/auth：JWT 签发/校验（HS256，密钥 env JWT_SECRET，仅接受 HMAC 防 alg 混淆）
+ bcrypt 密码哈希/校验。纯包，含单测。
- User 模型加 Name + PasswordHash(json:"-" 不外泄)；store 加 CreateUser/GetUserByEmail/
GetUserByID（邮箱唯一冲突 → ErrUserExists）。
- handler/auth：POST /auth/register（建用户+签发）· POST /auth/login（校验+签发，
用户不存在与密码错同一文案防枚举）· GET /auth/me。
- middleware/auth：解析 Bearer JWT，校验通过把已验证 userID 注入上下文（非阻断）。
- userID(c) 改为优先取 JWT 注入的 uid，兜底 X-User-ID 头（前端尚未接登录，保持可用）。
验证：
- 单测：JWT 签发/解析往返、过期拒绝、篡改/非法拒绝、bcrypt 哈希校验。
- 实跑(nats+pg+gateway)：注册→token+user(无密码)、重复注册 409、错密码 401、
/auth/me 带 token 200 / 无 token 401；owner 隔离改用已验证 uid —— 带 token 建的库
匿名/伪造 header 都看不到（JWT 用户数据归于雪花 id，header 无法臆测）。
片 2 待做：前端登录页 + 存令牌带 Bearer + 处理 401 + 去掉 header 兜底 + 保护路由。
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
|
2026-06-17 16:14:21 +08:00 |
|