Blizzard
9adafb1354
后台登录框原来预填了 sundynix/sundynix，等于把凭证写在页面上，去掉。 令牌改为 access(2h) + refresh 两段式： - 新表 sundynix_refresh_tokens，只存 sha256，明文只在签发时返回一次 - 有效期：小程序 30 天、后台 7 天 - 新接口 /api/auth/refresh|logout、/api/admin/refresh|logout 安全约定： - 每次续期都轮换刷新令牌，旧的立即作废 - 作废后 60 秒内再到达算并发重试放行，超过则判定泄露、吊销该账号全部会话 - 主动退出与被连坐吊销的令牌不吃宽限期，否则「吊销全部」形同虚设 - 禁用用户时一并吊销刷新令牌，最多 2 小时彻底失去访问 两端请求层都做了单飞续期：并发请求同时 401 只发一次 refresh， 否则刷新令牌会被并发轮换掉互相打架。小程序续期失败回退 wx.login， 登录/续期请求标 noAuthRetry，避免登录失败(同样返回 40100)触发自我套娃。 顺带修掉 vite 代理仍指向 8080 的遗留（端口早已改 9090）。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
68 lines
2.7 KiB
YAML
68 lines
2.7 KiB
YAML
# 肉垫计划 · 应用部署（只有一个容器）
|
|
#
|
|
# 用法（服务器 /home/workspace/sundynix-pet 下）：
|
|
# cp .env.example .env && vi .env # 填 MySQL / MinIO / 微信 / AI 的真实值
|
|
# docker compose up -d --no-build # 镜像由 CI 推送并 docker load，这里不构建
|
|
#
|
|
# 说明：
|
|
# - 一个容器同时提供 /api（小程序接口）和 /admin（管理后台，go:embed 内嵌），
|
|
# 容器内监听 9090，映射到宿主机 4000。
|
|
# - MySQL、MinIO 都用外部现成的，不在这里起容器；地址和凭据全部走 .env。
|
|
# - 配置一律通过 PETS_ 前缀的环境变量注入，容器内没有 config.yaml。
|
|
|
|
services:
|
|
app:
|
|
image: sundynix/pets-be:${TAG:-latest}
|
|
restart: unless-stopped
|
|
ports:
|
|
- "4000:9090"
|
|
environment:
|
|
PETS_SERVER_PORT: "9090"
|
|
PETS_SERVER_MODE: release
|
|
|
|
# ── 外部 MySQL ──
|
|
PETS_MYSQL_HOST: ${MYSQL_HOST:?}
|
|
PETS_MYSQL_PORT: ${MYSQL_PORT:-3306}
|
|
PETS_MYSQL_USER: ${MYSQL_USER:?}
|
|
PETS_MYSQL_PASSWORD: ${MYSQL_PASSWORD:?}
|
|
PETS_MYSQL_DATABASE: ${MYSQL_DATABASE:-pets}
|
|
PETS_MYSQL_CHARSET: utf8mb4
|
|
|
|
# ── 外部 MinIO ──
|
|
PETS_MINIO_ENDPOINT: ${MINIO_ENDPOINT:?}
|
|
PETS_MINIO_USE_SSL: ${MINIO_USE_SSL:-true}
|
|
PETS_MINIO_ACCESS_KEY: ${MINIO_ACCESS_KEY:?}
|
|
PETS_MINIO_SECRET_KEY: ${MINIO_SECRET_KEY:?}
|
|
PETS_MINIO_BUCKET: ${MINIO_BUCKET:-pets}
|
|
# 图片对外访问地址，小程序直接加载；正式版必须 https
|
|
PETS_MINIO_PUBLIC_BASE_URL: ${MINIO_PUBLIC_BASE_URL:?}
|
|
|
|
PETS_JWT_SECRET: ${JWT_SECRET:?}
|
|
# access token 2 小时；过期由前端拿 refresh token 静默续期
|
|
PETS_JWT_EXPIRE_HOURS: ${JWT_EXPIRE_HOURS:-2}
|
|
PETS_JWT_REFRESH_EXPIRE_HOURS: ${JWT_REFRESH_EXPIRE_HOURS:-720}
|
|
PETS_JWT_ADMIN_REFRESH_EXPIRE_HOURS: ${JWT_ADMIN_REFRESH_EXPIRE_HOURS:-168}
|
|
|
|
PETS_WECHAT_APP_ID: ${WECHAT_APP_ID:?}
|
|
PETS_WECHAT_APP_SECRET: ${WECHAT_APP_SECRET:?}
|
|
# 生产必须 false，否则任何人都能用昵称直接登录
|
|
PETS_AUTH_DEV_LOGIN: ${AUTH_DEV_LOGIN:-false}
|
|
|
|
PETS_ADMIN_USERNAME: ${ADMIN_USERNAME:-sundynix}
|
|
PETS_ADMIN_PASSWORD: ${ADMIN_PASSWORD:?}
|
|
|
|
PETS_AI_ENABLED: ${AI_ENABLED:-true}
|
|
PETS_AI_PROVIDER: ${AI_PROVIDER:-openai}
|
|
PETS_AI_BASE_URL: ${AI_BASE_URL:-https://api.deepseek.com}
|
|
PETS_AI_API_KEY: ${AI_API_KEY:-}
|
|
PETS_AI_MODEL: ${AI_MODEL:-deepseek-chat}
|
|
PETS_AI_TEMPERATURE: ${AI_TEMPERATURE:-0.6}
|
|
PETS_AI_MAX_TOKENS: ${AI_MAX_TOKENS:-1024}
|
|
PETS_AI_TIMEOUT_SEC: ${AI_TIMEOUT_SEC:-30}
|
|
healthcheck:
|
|
test: ["CMD", "wget", "-qO-", "http://127.0.0.1:9090/api/ping"]
|
|
interval: 15s
|
|
timeout: 5s
|
|
retries: 5
|
|
start_period: 20s
|