鉴权并入 Auth Broker：委派设备会话统一模型 + 四端迁移
后端（委托 Auth Broker，路径 A）： - 删自建鉴权（OIDC exchange / 自签会话 / step-up / shortcut / web_sessions / accounts），cdrop 不再存任何凭证；鉴权中间件改读边缘注入的 X-Auth-Subject/Scope/Meta/Name/Roles 头（dev 旁路保留）；Claims 加 Tier() / Guest() - internal/brokerclient：mint / revoke（带 X-Broker-App）/ refresh / ListSessions（R1 列举），直连内网、吊销幂等 统一会话模型“委派设备会话”（Delegated Device Sessions）： - 每个客户端（浏览器 / 桌面 / 扫码设备）＝一条带 meta(device_id) + label 的 broker 机器会话；Broker 作设备会话唯一注册表（R1 按用户＋app 列举 + R2 按 (user,app,meta) 幂等铸造），cdrop 退化为薄覆盖层、不再自存权威会话表 - 新增代铸端点 POST /api/auth/device-session：凭边缘已验明的 X-Auth-Subject 委托 broker 铸 / 轮换设备会话（meta=device_id、按调用方 tier 防越权、sameOrigin CSRF、per-IP 限流）；R2 幂等保证同一 device_id 重登原地轮换、不堆重复设备 - 会话列表＝R1 权威 + 叠加 type（本地缓存）/ online（Hub presence，按设备名）/ current（meta 匹配本请求 X-Auth-Meta）+ 过滤 meta=""（device-authorize 引导会话残留）；devices 表降级为 type/presence 薄缓存（非会话权威），device_id 主键、upsert 按 user 限定 - 吊销按 device_id → 缓存优先 / R1 兜底解析 sid → broker 吊销 + X-Broker-App；扫码登录保留三密钥编排，collect 改委托 broker 铸 + 落缓存行 Web 前端： - 登录走 broker 全局 SSO 代跳（/api/auth/login 302）；bootstrap 经 /api/me 注入身份后代铸设备会话（稳定 device_id 存 localStorage、Web Locks 跨 tab 串行防重复铸造）；refresh 走 /api/auth/refresh - 设备管理按 device_id；改名＝同 device_id 重代铸（R2 原地轮换换 label、不产生重复行）；登录页反应式守卫修登录回环 - 去 OIDC PKCE / step-up（删 oauth.callback / stepUp） 桌面客户端（Wails）： - loopback PKCE（RFC 8252）改指 broker 设备授权流（/device/authorize + /device/token）拿引导令牌，再代铸出带 meta 的托管设备会话——与浏览器同模型、同管理、同吊销；身份取自代铸响应（修“显示名显示为 UUID”）；refresh 保留显示名；稳定 device_id 入桌面配置 iOS 客户端（arch A，原生 SwiftUI + 离屏无头 WebView 引擎 + 原生↔JS 桥）： - 引擎 / 文件管理 / 设备管理 / 应用图标 / 本地化（此前实现，随本次落入版本库） - 鉴权＝引擎自刷（boot 注入 refresh_token）+ broker 轮换经 sessionRotated 回报原生更新 Keychain；去 cookie 同步；Session 加 refreshToken / deviceId 实时 / 健壮性： - presence 走 Hub union（设备表行 ∪ 表外实时连接，按名去重、live-only 标在线） - Hub 通道 close 一律在写锁内、非阻塞 send 一律在读锁内，消除 close-vs-send 闭通道 send panic（revoke 每次 Kick 后该路径变热） 配置 / 删旧栈： - config 改 broker 接入（CDROP_BROKER_* / CDROP_PUBLIC_URL / 按档 TTL），prod 强校验 broker 配置 + PUBLIC_URL（CSRF Origin 守卫不失效） - 删 auth.go / selftoken.go / shortcut.go / jwks.go + 三表（web_sessions / accounts / shortcut_tokens）及验证链；.env.example / compose.snippet.yaml / Caddyfile.snippet 更新为 broker 模型（人机分流 + 公开端点放行 + X-Auth-Meta 透传） - 测试全重写：QR / 会话含 mock broker（R1 列举 + R2 幂等）；hub 加 close-vs-send 并发回归；config 加 prod 必填校验
This commit is contained in:
@@ -1,12 +1,64 @@
|
||||
# 并入你的主 Caddyfile（站点 block）。换上你的域名与服务名。
|
||||
# cdrop（drop.<your-domain>）的 Caddy 接线示例。换上你的域名、cdrop 服务名（NN-cdrop）、
|
||||
# broker 内网地址（BROKER-IP:PORT）。
|
||||
#
|
||||
# cdrop 迁移到 Auth Broker（路径 A）后，边缘由 broker /verify 终结鉴权并注入 X-Auth-* 头：
|
||||
# - 含 Authorization: Bearer 的请求 → 机器分支（QR 配对设备 / iOS / 桌面，持 broker 机器令牌）
|
||||
# - 不含 Bearer 的请求 → 人类分支（全新浏览器全局 SSO，带 broker 域 cookie）
|
||||
# - 一组公开端点必须放行不鉴权，否则未登录设备无从登录 / 刷新。
|
||||
#
|
||||
# 前置：用 xcaddy 把 caddybroker 编进 caddy-custom，并在全局块声明
|
||||
# { order broker before reverse_proxy }
|
||||
# 否则 `handle { broker ... }` 报 "not an ordered HTTP handler"。
|
||||
#
|
||||
# 关键开关：
|
||||
# - flush_interval -1 ：禁用 reverse_proxy 对 SSE 长响应的缓冲，让探测帧
|
||||
# 与 ping 立即送达浏览器；任何反代器忽略此项都会让 /api/hub/events 看似无事件
|
||||
# - h3 建议在 global block 启用（站点级不必重复声明）
|
||||
# - NN-cdrop 中的 NN 与 compose 服务条目保持一致
|
||||
# - flush_interval -1 ：禁用 reverse_proxy 对 SSE 长响应的缓冲，否则 /api/hub/events 看似无事件
|
||||
# - copy_headers 须含 X-Auth-Meta（cdrop 据它定位托管设备）；caddybroker 默认已含，
|
||||
# 但旧 caddy-custom 镜像须**重建**才生效——接 cdrop 那次必须连带重建。
|
||||
|
||||
your-domain.example {
|
||||
reverse_proxy NN-cdrop:8080 {
|
||||
flush_interval -1
|
||||
drop.your-domain.example {
|
||||
import tls_min
|
||||
|
||||
# 公开端点（放行不鉴权）：登录引导（302 跳 broker）/ 原生取 broker 坐标 / 令牌刷新代理 /
|
||||
# 扫码公开端点（新设备未登录，凭 poll_secret 自证）。
|
||||
@public path /api/auth/login /api/auth/config /api/auth/refresh /api/auth/qr/start /api/auth/qr/status
|
||||
handle @public {
|
||||
reverse_proxy NN-cdrop:8080 {
|
||||
flush_interval -1
|
||||
}
|
||||
}
|
||||
|
||||
# 受控 /api/* 机器分支：含 Bearer → broker /verify 验机器令牌 → 注入 X-Auth-*。
|
||||
@apiBearer {
|
||||
path /api/*
|
||||
header Authorization Bearer*
|
||||
}
|
||||
handle @apiBearer {
|
||||
broker BROKER-IP:8080 {
|
||||
app cdrop
|
||||
copy_headers X-Auth-Subject X-Auth-Name X-Auth-Roles X-Auth-Scope X-Auth-Kind X-Auth-Meta
|
||||
}
|
||||
reverse_proxy NN-cdrop:8080 {
|
||||
flush_interval -1
|
||||
}
|
||||
}
|
||||
|
||||
# 受控 /api/* 人类分支：无 Bearer → broker /verify 验全局 SSO cookie → 注入 X-Auth-*。
|
||||
@api path /api/*
|
||||
handle @api {
|
||||
broker BROKER-IP:8080 {
|
||||
app cdrop
|
||||
copy_headers X-Auth-Subject X-Auth-Name X-Auth-Roles X-Auth-Scope X-Auth-Kind X-Auth-Meta
|
||||
}
|
||||
reverse_proxy NN-cdrop:8080 {
|
||||
flush_interval -1
|
||||
}
|
||||
}
|
||||
|
||||
# 静态 SPA 壳（其余路径）：放行不鉴权，前端自行引导登录。
|
||||
handle {
|
||||
encode gzip
|
||||
reverse_proxy NN-cdrop:8080 {
|
||||
flush_interval -1
|
||||
}
|
||||
}
|
||||
}
|
||||
|
||||
+18
-20
@@ -21,33 +21,31 @@ NN-cdrop:
|
||||
CDROP_DEVICE_TTL_HOURS: "196"
|
||||
|
||||
# ---- prod 切换时启用以下，并把 CDROP_AUTH_MODE 改成 prod、删掉 DEV_TOKEN ----
|
||||
# CDROP_OIDC_AUTHORIZE_URL: https://your-idp.example/login/oauth/authorize
|
||||
# CDROP_OIDC_TOKEN_URL: https://your-idp.example/api/login/oauth/access_token
|
||||
# JWKS 可走 IdP 内网地址省一跳；也可用公网 https。
|
||||
# CDROP_OIDC_JWKS_URL: https://your-idp.example/.well-known/jwks
|
||||
# CDROP_OIDC_ISSUER: https://your-idp.example/
|
||||
# prod 强制非空（空则跳过 audience 校验 = 同 JWKS 其他应用可冒充）
|
||||
# CDROP_OIDC_AUDIENCE: <你的 OAuth client_id>
|
||||
# CDROP_OIDC_CLIENT_ID: <你的 OAuth client_id>
|
||||
# CDROP_OIDC_REDIRECT_URI: https://your-domain.example/oauth/callback
|
||||
# CDROP_OIDC_SCOPES: "openid profile email"
|
||||
# prod 强制非空：浏览器免重登会话 refresh_token 落盘加密密钥（SHA-256 派生 AES-256）
|
||||
# CDROP_SESSION_SECRET: REPLACE_WITH_RANDOM_HEX64
|
||||
# CDROP_HS256_SECRET: REPLACE_WITH_RANDOM_HEX64
|
||||
# cdrop 委托 Auth Broker（路径 A）：身份与会话生命周期归 broker，cdrop 不存凭证。
|
||||
# broker 内网地址（docker 内网直连，绝不经公网反代）。prod 强制非空。
|
||||
# CDROP_BROKER_BASE_URL: http://broker-internal-ip:8080
|
||||
# broker /internal/* 共享密钥（X-Internal-Key）。prod 强制非空，向运维取。
|
||||
# CDROP_BROKER_INTERNAL_KEY: REPLACE_WITH_BROKER_INTERNAL_KEY
|
||||
# broker 公开源（浏览器全局 SSO 登录跳转 / 原生设备授权流目标）。
|
||||
# CDROP_BROKER_PUBLIC_URL: https://sso.your-domain.example
|
||||
# 本应用在 broker apps 注册表里的 key（默认 cdrop）。
|
||||
# CDROP_BROKER_APP: cdrop
|
||||
# 部署公开源（扫码 QR 链接 / CSRF Origin / Web Push 默认联系标识）。
|
||||
# CDROP_PUBLIC_URL: https://drop.your-domain.example
|
||||
|
||||
# ---- 可选：Web Push（VAPID）推送通知（不配则推送惰性关闭）----
|
||||
# 用 `just vapid-keygen` 生成一对，二者须同时设置（半对即拒启动）
|
||||
# CDROP_VAPID_PUBLIC_KEY: <just vapid-keygen 输出>
|
||||
# CDROP_VAPID_PRIVATE_KEY: <just vapid-keygen 输出>
|
||||
|
||||
# ---- 可选：扫码登录（QR）与 cdrop 自签会话（SESSION_SECRET 已设时默认开启）----
|
||||
# ---- 可选：扫码登录（QR）+ 按档令牌 TTL（批准后经 broker 委托签发对应 tier）----
|
||||
# 均有默认值；下列按需覆盖。关 QR_LOGIN_ENABLED 则 /api/auth/qr/* 返回 503。
|
||||
# CDROP_QR_LOGIN_ENABLED: "true"
|
||||
# CDROP_QR_REQUEST_TTL_SECONDS: "120" # 二维码 / 登录请求有效期
|
||||
# CDROP_QR_GUEST_TTL_SECONDS: "3600" # 仅此次（受限访客）会话 TTL
|
||||
# CDROP_QR_PERSIST_TTL_HOURS: "168" # 信任此设备（持久）会话 TTL
|
||||
# CDROP_SESSION_TOKEN_TTL_SECONDS: "900" # cdrop 自签 access token TTL
|
||||
# CDROP_ACCOUNT_MATCH_CLAIM: "email" # 写入 accounts.match_key 的 claim
|
||||
# CDROP_QR_LOGIN_ENABLED: "true"
|
||||
# CDROP_QR_REQUEST_TTL_SECONDS: "120" # 二维码 / 登录请求有效期
|
||||
# CDROP_FULL_ACCESS_TTL_SECONDS: "900" # full 设备 access TTL
|
||||
# CDROP_FULL_REFRESH_TTL_SECONDS: "604800" # full 设备 refresh TTL（7 天）
|
||||
# CDROP_GUEST_ACCESS_TTL_SECONDS: "900" # guest 访客 access TTL
|
||||
# CDROP_GUEST_REFRESH_TTL_SECONDS: "86400" # guest refresh TTL（1 天）
|
||||
|
||||
# ---- 可选：Cloudflare Realtime TURN over TLS（不配则前端 STUN-only 兜底）----
|
||||
# CDROP_CF_TURN_KEY_ID: <dash.cloudflare.com → Realtime → TURN App>
|
||||
|
||||
Reference in New Issue
Block a user