docs：CHANGELOG 补 2026-06-22 账户与登录子系统
扫码快登 + 薄账户层 + OIDC 统一自签 token + 即时吊销 / 设备自知 + 设备并入 会话列表 + 2FA step-up。src + 重建的 html 同步。
This commit is contained in:
+16
-1
@@ -1,4 +1,4 @@
|
||||
<!-- built with theme=dracula, mode=report, at=2026-06-18T08:58:10Z -->
|
||||
<!-- built with theme=dracula, mode=report, at=2026-06-21T18:44:54Z -->
|
||||
<!DOCTYPE html>
|
||||
<html lang="zh-Hans">
|
||||
<head>
|
||||
@@ -2545,6 +2545,21 @@ main > *:nth-child(n+6) { animation-delay: 0.46s; }
|
||||
|
||||
<p class="lede">本 Changelog 自 2026-05-22 起以 HTML 格式维护。此前之变更可从 main 分支 <code>git log</code> 取得；下表为近期较显著之 commit。</p>
|
||||
|
||||
<h2>2026-06-22 — 账户与登录子系统：扫码快登 · 自签会话 · OIDC 统一 · 即时吊销 · 设备＝会话</h2>
|
||||
|
||||
<p>「OAuth 为账户来源与凭证提供者、cdrop 自维护薄账户层 + 自签会话」的折中架构落地（蓝本见仓库 <code>AUTH.md</code>）。一台设备 = 一条会话，吊销即时生效、被吊销设备自动回到未登录态。</p>
|
||||
|
||||
<ul>
|
||||
<li><strong>扫码快速登录</strong>：陌生设备显码、已登录手机扫码批准（微信 / WhatsApp 网页版模型）。三密钥分离（<code>request_id</code> / <code>approval_code</code> / 仅新设备私有的 <code>poll_secret</code>），偷拍 QR 无法领取会话；会话只经新设备自身轮询连接下发 cookie。两档：「信任此设备」(<code>scope=full</code>、7 天滑动) / 「仅此次」(<code>scope=guest</code>、1 小时受限)，默认偏安全的「仅此次」。访客会话服务端强制受限（<code>requireFullSession</code> 守门）</li>
|
||||
<li><strong>薄账户层 + 自签会话令牌</strong>：新增 <code>accounts</code> 表（cdrop 侧账户数据、不含凭证，存稳定 <code>match_key</code> 供管理员开启迁移时跨源关联）；<code>web_sessions</code> 泛化出 <code>kind</code> / <code>scope</code> / <code>granted_by</code> / <code>stepped_up_at</code>。access token 改 cdrop 自签 HS256（密钥自 <code>CDROP_SESSION_SECRET</code> 域分离派生），脱离 IdP refresh、短 TTL（默认 900s）、载 <code>sid</code></li>
|
||||
<li><strong>OIDC 统一到自签 token</strong>：浏览器登录（含 OIDC）一律持自签 token —— <code>/auth/exchange</code> 先 JWKS 验 <code>id_token</code> 签名（唯一信任锚）再签自签 token，<code>/auth/refresh</code> 仍打 IdP 轮换 refresh_token 但回自签 token。RS256 退出浏览器每请求热路径，仅保留分支供桌面端 loopback 直带 IdP token</li>
|
||||
<li><strong>吊销即时 + 设备自知</strong>：<code>verifySelfToken</code> 每请求按 <code>sid</code> 查会话行，行删即拒 → 吊销在下次请求即生效（不等 TTL）。前端仅在「服务端以 401 确证失效」时清登录态回登录页（短期连接失败 / 5xx 不误清）；离线设备下次使用即知，在线设备经 <code>Hub.Kick</code> 关流、约 1s 重连撞 401 即知</li>
|
||||
<li><strong>设备列表 = 会话列表</strong>：「登录会话」面板统一 <code>web_sessions</code> 与原生客户端设备（桌面 / iOS，自 <code>devices</code> 登记呈现，<code>native=true</code>）。吊销网页会话连带删其设备登记、即时从所有列表消失；孤儿 <code>browser</code> 设备由清扫器（<code>DeleteOrphanBrowserDevices</code>）自动清除。原生设备「登出」走 <code>DELETE /api/devices/{name}</code>（同要求 step-up）</li>
|
||||
<li><strong>2FA step-up 钩子</strong>（默认关，<code>CDROP_STEP_UP_ENABLED</code>）：批准扫码设备 / 吊销会话 / 注销设备等敏感动作要求一次现场 <code>prompt=login</code> 再认证（provider 的 2FA 即在此过），按会话绑定、<code>StepUpMaxAgeSeconds</code>（默认 300s）窗口内不复要求。<code>auth_time</code> 可选（Casdoor 不下发）</li>
|
||||
<li><strong>应用内扫码器 + 聚珍崩溃修复</strong>：登录页内置 <code>getUserMedia</code> + jsqr 扫码（不再外跳系统应用、避免开错浏览器）；扫码 / 批准等三状态机页整页跳过聚珍（<code>data-jz-skip</code>），修 MutationObserver 与 React 重渲染同子树冲突的 <code>insertBefore</code> 崩溃</li>
|
||||
<li>蓝本 <code>AUTH.md</code>；commit 待提交</li>
|
||||
</ul>
|
||||
|
||||
<h2>2026-06-18 — 推送通知：网页 / PWA Web Push + 桌面原生通知</h2>
|
||||
|
||||
<p>页面 / PWA 关闭、或桌面窗口非前台时也能收到系统通知；判定统一为「页面打开走应用内提示，关闭则系统通知」，三端各自落地。</p>
|
||||
|
||||
@@ -25,6 +25,21 @@
|
||||
|
||||
<p class="lede">本 Changelog 自 2026-05-22 起以 HTML 格式维护。此前之变更可从 main 分支 <code>git log</code> 取得；下表为近期较显著之 commit。</p>
|
||||
|
||||
<h2>2026-06-22 — 账户与登录子系统：扫码快登 · 自签会话 · OIDC 统一 · 即时吊销 · 设备＝会话</h2>
|
||||
|
||||
<p>「OAuth 为账户来源与凭证提供者、cdrop 自维护薄账户层 + 自签会话」的折中架构落地（蓝本见仓库 <code>AUTH.md</code>）。一台设备 = 一条会话，吊销即时生效、被吊销设备自动回到未登录态。</p>
|
||||
|
||||
<ul>
|
||||
<li><strong>扫码快速登录</strong>：陌生设备显码、已登录手机扫码批准（微信 / WhatsApp 网页版模型）。三密钥分离（<code>request_id</code> / <code>approval_code</code> / 仅新设备私有的 <code>poll_secret</code>），偷拍 QR 无法领取会话；会话只经新设备自身轮询连接下发 cookie。两档：「信任此设备」(<code>scope=full</code>、7 天滑动) / 「仅此次」(<code>scope=guest</code>、1 小时受限)，默认偏安全的「仅此次」。访客会话服务端强制受限（<code>requireFullSession</code> 守门）</li>
|
||||
<li><strong>薄账户层 + 自签会话令牌</strong>：新增 <code>accounts</code> 表（cdrop 侧账户数据、不含凭证，存稳定 <code>match_key</code> 供管理员开启迁移时跨源关联）；<code>web_sessions</code> 泛化出 <code>kind</code> / <code>scope</code> / <code>granted_by</code> / <code>stepped_up_at</code>。access token 改 cdrop 自签 HS256（密钥自 <code>CDROP_SESSION_SECRET</code> 域分离派生），脱离 IdP refresh、短 TTL（默认 900s）、载 <code>sid</code></li>
|
||||
<li><strong>OIDC 统一到自签 token</strong>：浏览器登录（含 OIDC）一律持自签 token —— <code>/auth/exchange</code> 先 JWKS 验 <code>id_token</code> 签名（唯一信任锚）再签自签 token，<code>/auth/refresh</code> 仍打 IdP 轮换 refresh_token 但回自签 token。RS256 退出浏览器每请求热路径，仅保留分支供桌面端 loopback 直带 IdP token</li>
|
||||
<li><strong>吊销即时 + 设备自知</strong>：<code>verifySelfToken</code> 每请求按 <code>sid</code> 查会话行，行删即拒 → 吊销在下次请求即生效（不等 TTL）。前端仅在「服务端以 401 确证失效」时清登录态回登录页（短期连接失败 / 5xx 不误清）；离线设备下次使用即知，在线设备经 <code>Hub.Kick</code> 关流、约 1s 重连撞 401 即知</li>
|
||||
<li><strong>设备列表 = 会话列表</strong>：「登录会话」面板统一 <code>web_sessions</code> 与原生客户端设备（桌面 / iOS，自 <code>devices</code> 登记呈现，<code>native=true</code>）。吊销网页会话连带删其设备登记、即时从所有列表消失；孤儿 <code>browser</code> 设备由清扫器（<code>DeleteOrphanBrowserDevices</code>）自动清除。原生设备「登出」走 <code>DELETE /api/devices/{name}</code>（同要求 step-up）</li>
|
||||
<li><strong>2FA step-up 钩子</strong>（默认关，<code>CDROP_STEP_UP_ENABLED</code>）：批准扫码设备 / 吊销会话 / 注销设备等敏感动作要求一次现场 <code>prompt=login</code> 再认证（provider 的 2FA 即在此过），按会话绑定、<code>StepUpMaxAgeSeconds</code>（默认 300s）窗口内不复要求。<code>auth_time</code> 可选（Casdoor 不下发）</li>
|
||||
<li><strong>应用内扫码器 + 聚珍崩溃修复</strong>：登录页内置 <code>getUserMedia</code> + jsqr 扫码（不再外跳系统应用、避免开错浏览器）；扫码 / 批准等三状态机页整页跳过聚珍（<code>data-jz-skip</code>），修 MutationObserver 与 React 重渲染同子树冲突的 <code>insertBefore</code> 崩溃</li>
|
||||
<li>蓝本 <code>AUTH.md</code>；commit 待提交</li>
|
||||
</ul>
|
||||
|
||||
<h2>2026-06-18 — 推送通知：网页 / PWA Web Push + 桌面原生通知</h2>
|
||||
|
||||
<p>页面 / PWA 关闭、或桌面窗口非前台时也能收到系统通知；判定统一为「页面打开走应用内提示，关闭则系统通知」，三端各自落地。</p>
|
||||
|
||||
Reference in New Issue
Block a user