Blizzard
9adafb1354
后台登录框原来预填了 sundynix/sundynix，等于把凭证写在页面上，去掉。 令牌改为 access(2h) + refresh 两段式： - 新表 sundynix_refresh_tokens，只存 sha256，明文只在签发时返回一次 - 有效期：小程序 30 天、后台 7 天 - 新接口 /api/auth/refresh|logout、/api/admin/refresh|logout 安全约定： - 每次续期都轮换刷新令牌，旧的立即作废 - 作废后 60 秒内再到达算并发重试放行，超过则判定泄露、吊销该账号全部会话 - 主动退出与被连坐吊销的令牌不吃宽限期，否则「吊销全部」形同虚设 - 禁用用户时一并吊销刷新令牌，最多 2 小时彻底失去访问 两端请求层都做了单飞续期：并发请求同时 401 只发一次 refresh， 否则刷新令牌会被并发轮换掉互相打架。小程序续期失败回退 wx.login， 登录/续期请求标 noAuthRetry，避免登录失败(同样返回 40100)触发自我套娃。 顺带修掉 vite 代理仍指向 8080 的遗留（端口早已改 9090）。 Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
80 lines
1.8 KiB
Go
80 lines
1.8 KiB
Go
package jwt
|
|
|
|
import (
|
|
"errors"
|
|
"time"
|
|
|
|
"github.com/golang-jwt/jwt/v5"
|
|
)
|
|
|
|
// Kind 区分令牌主体：小程序用户 / 后台管理员
|
|
type Kind string
|
|
|
|
const (
|
|
KindUser Kind = "user"
|
|
KindAdmin Kind = "admin"
|
|
)
|
|
|
|
// Claims 自定义声明，user 与 admin 复用同一结构，用 Kind 区分
|
|
type Claims struct {
|
|
ID string `json:"id"`
|
|
Kind Kind `json:"kind"`
|
|
Name string `json:"name"`
|
|
Role string `json:"role,omitempty"`
|
|
jwt.RegisteredClaims
|
|
}
|
|
|
|
// Manager 签发/校验令牌
|
|
type Manager struct {
|
|
secret []byte
|
|
expireHours int
|
|
}
|
|
|
|
func NewManager(secret string, expireHours int) *Manager {
|
|
if expireHours <= 0 {
|
|
expireHours = 2
|
|
}
|
|
return &Manager{secret: []byte(secret), expireHours: expireHours}
|
|
}
|
|
|
|
// ExpireSeconds access token 剩余有效秒数，返给前端用于提前续期
|
|
func (m *Manager) ExpireSeconds() int {
|
|
return m.expireHours * 3600
|
|
}
|
|
|
|
// Generate 签发令牌
|
|
func (m *Manager) Generate(id string, kind Kind, name, role string) (string, error) {
|
|
now := time.Now()
|
|
claims := Claims{
|
|
ID: id,
|
|
Kind: kind,
|
|
Name: name,
|
|
Role: role,
|
|
RegisteredClaims: jwt.RegisteredClaims{
|
|
IssuedAt: jwt.NewNumericDate(now),
|
|
ExpiresAt: jwt.NewNumericDate(now.Add(time.Duration(m.expireHours) * time.Hour)),
|
|
Issuer: "pets-be",
|
|
},
|
|
}
|
|
token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
|
|
return token.SignedString(m.secret)
|
|
}
|
|
|
|
// Parse 校验并解析令牌
|
|
func (m *Manager) Parse(tokenStr string) (*Claims, error) {
|
|
token, err := jwt.ParseWithClaims(tokenStr, &Claims{}, func(t *jwt.Token) (any, error) {
|
|
if _, ok := t.Method.(*jwt.SigningMethodHMAC); !ok {
|
|
return nil, errors.New("unexpected signing method")
|
|
}
|
|
return m.secret, nil
|
|
})
|
|
if err != nil {
|
|
return nil, err
|
|
}
|
|
claims, ok := token.Claims.(*Claims)
|
|
if !ok || !token.Valid {
|
|
return nil, errors.New("invalid token")
|
|
}
|
|
return claims, nil
|
|
}
|