鉴权并入 Auth Broker：委派设备会话统一模型 + 四端迁移

后端（委托 Auth Broker，路径 A）： - 删自建鉴权（OIDC exchange / 自签会话 / step-up / shortcut / web_sessions / accounts），cdrop 不再存任何凭证；鉴权中间件改读边缘注入的 X-Auth-Subject/Scope/Meta/Name/Roles 头（dev 旁路保留）；Claims 加 Tier() / Guest() - internal/brokerclient：mint / revoke（带 X-Broker-App）/ refresh / ListSessions（R1 列举），直连内网、吊销幂等统一会话模型“委派设备会话”（Delegated Device Sessions）： - 每个客户端（浏览器 / 桌面 / 扫码设备）＝一条带 meta(device_id) + label 的 broker 机器会话；Broker 作设备会话唯一注册表（R1 按用户＋app 列举 + R2 按 (user,app,meta) 幂等铸造），cdrop 退化为薄覆盖层、不再自存权威会话表 - 新增代铸端点 POST /api/auth/device-session：凭边缘已验明的 X-Auth-Subject 委托 broker 铸 / 轮换设备会话（meta=device_id、按调用方 tier 防越权、sameOrigin CSRF、per-IP 限流）；R2 幂等保证同一 device_id 重登原地轮换、不堆重复设备 - 会话列表＝R1 权威 + 叠加 type（本地缓存）/ online（Hub presence，按设备名）/ current（meta 匹配本请求 X-Auth-Meta）+ 过滤 meta=""（device-authorize 引导会话残留）；devices 表降级为 type/presence 薄缓存（非会话权威），device_id 主键、upsert 按 user 限定 - 吊销按 device_id → 缓存优先 / R1 兜底解析 sid → broker 吊销 + X-Broker-App；扫码登录保留三密钥编排，collect 改委托 broker 铸 + 落缓存行 Web 前端： - 登录走 broker 全局 SSO 代跳（/api/auth/login 302）；bootstrap 经 /api/me 注入身份后代铸设备会话（稳定 device_id 存 localStorage、Web Locks 跨 tab 串行防重复铸造）；refresh 走 /api/auth/refresh - 设备管理按 device_id；改名＝同 device_id 重代铸（R2 原地轮换换 label、不产生重复行）；登录页反应式守卫修登录回环 - 去 OIDC PKCE / step-up（删 oauth.callback / stepUp）桌面客户端（Wails）： - loopback PKCE（RFC 8252）改指 broker 设备授权流（/device/authorize + /device/token）拿引导令牌，再代铸出带 meta 的托管设备会话——与浏览器同模型、同管理、同吊销；身份取自代铸响应（修“显示名显示为 UUID”）；refresh 保留显示名；稳定 device_id 入桌面配置 iOS 客户端（arch A，原生 SwiftUI + 离屏无头 WebView 引擎 + 原生↔JS 桥）： - 引擎 / 文件管理 / 设备管理 / 应用图标 / 本地化（此前实现，随本次落入版本库） - 鉴权＝引擎自刷（boot 注入 refresh_token）+ broker 轮换经 sessionRotated 回报原生更新 Keychain；去 cookie 同步；Session 加 refreshToken / deviceId 实时 / 健壮性： - presence 走 Hub union（设备表行 ∪ 表外实时连接，按名去重、live-only 标在线） - Hub 通道 close 一律在写锁内、非阻塞 send 一律在读锁内，消除 close-vs-send 闭通道 send panic（revoke 每次 Kick 后该路径变热）配置 / 删旧栈： - config 改 broker 接入（CDROP_BROKER_* / CDROP_PUBLIC_URL / 按档 TTL），prod 强校验 broker 配置 + PUBLIC_URL（CSRF Origin 守卫不失效） - 删 auth.go / selftoken.go / shortcut.go / jwks.go + 三表（web_sessions / accounts / shortcut_tokens）及验证链；.env.example / compose.snippet.yaml / Caddyfile.snippet 更新为 broker 模型（人机分流 + 公开端点放行 + X-Auth-Meta 透传） - 测试全重写：QR / 会话含 mock broker（R1 列举 + R2 幂等）；hub 加 close-vs-send 并发回归；config 加 prod 必填校验
2026-06-26 02:07:11 +08:00
parent c79b176b87
commit 10cf36ecee
104 changed files with 7533 additions and 5318 deletions
@@ -0,0 +1,223 @@
+import Foundation
+import Observation
+import UIKit
+
+// 扫码登录（新设备侧）+ 会话持有。iOS 显示二维码，已登录的 web / 桌面设备用“扫码登录”
+// 扫码批准，本端轮询 /api/auth/qr/status 拿到自签会话。字段 / 流程见后端 internal/httpapi/
+// qr.go。登录是纯 REST（不经引擎 WebView），故 engine.html 未部署也能登录。
+//
+// 续期（Auth Broker 路径 A）：access_token 默认 900s；引擎（WebView）持注入的 refresh_token，
+// 到期经 POST /api/auth/refresh {refresh_token} 自刷（cdrop 代理 broker，见 refresh.go），broker
+// 轮换 refresh 后经桥 sessionRotated 回报本端更新 Keychain；refresh 过期 / 吊销则经 authExpired
+// 回登录页重扫。本端不再依赖 cdrop_session cookie。
+@MainActor
+@Observable
+final class AuthManager
+{
+    struct User: Codable
+    {
+        let id: String
+        let name: String
+        let avatar: String?
+    }
+
+    struct Session: Codable
+    {
+        let accessToken: String
+        // refreshToken：broker 委托会话的续期凭证，随 access 一并注入引擎自刷用；轮换后更新。
+        let refreshToken: String
+        let user: User
+        let deviceName: String
+        // deviceId：cdrop 生成的稳定不透明设备 id（= broker meta，回显 X-Auth-Meta）。
+        let deviceId: String
+        let scope: String
+    }
+
+    var session: Session?
+    var qrPayload: String?
+    var statusText: String = t("ios.login.generating")
+    // 二维码已失效（denied/expired/失败）→ 登录页据此提示并高亮「刷新二维码」。
+    var qrExpired = false
+
+    // 登录代次：每次 startQRLogin 自增，旧轮询据此识别自己已被刷新取代、丢弃结果，避免
+    // 「刷新时仍在轮询」两条循环并发改 statusText / qrPayload 打架。
+    private var loginGeneration = 0
+
+    // Keychain 持久化坐标（单 app 私有，见 Keychain.swift）。
+    private static let keychainService = "net.commilitia.cdrop.session"
+    private static let keychainAccount = "session"
+
+    // 启动即尝试恢复持久会话：命中则 app 直接进主界面，免反复扫码（迭代 / 重装友好）。
+    // 恢复的令牌可能已过期（guest 1h 上限）——此时引擎鉴权 401，用户经设置页登出重扫即可。
+    init()
+    {
+        if let data = Keychain.load(service: Self.keychainService, account: Self.keychainAccount),
+           let restored = try? JSONDecoder().decode(Session.self, from: data)
+        {
+            // 仅恢复完整权限会话；陈旧 guest（旧版本落地的）丢弃、强制重登为 full。
+            if restored.scope == "full" { session = restored }
+            else { Keychain.delete(service: Self.keychainService, account: Self.keychainAccount) }
+        }
+    }
+
+    // 后端基址：默认线上，可经 CDROP_API_BASE 覆盖（本机测试）。
+    private var apiBase: String
+    {
+        ProcessInfo.processInfo.environment["CDROP_API_BASE"] ?? "https://drop.commilitia.net"
+    }
+
+    private struct QRStart: Decodable
+    {
+        let request_id: String
+        let poll_secret: String
+        let qr_payload: String
+        let expires_at: Int64
+    }
+
+    private struct QRStatus: Decodable
+    {
+        let status: String
+        let access_token: String?
+        let refresh_token: String?
+        let device_id: String?
+        let expires_in: Int?
+        let user: User?
+        let device_name: String?
+    }
+
+    // startQRLogin：发起二维码 + 轮询直到批准 / 失效。可重复调用（刷新二维码）：自增代次，
+    // 旧轮询识别到代次变更即弃。
+    func startQRLogin() async
+    {
+        loginGeneration += 1
+        let gen = loginGeneration
+        qrExpired = false
+        qrPayload = nil
+        statusText = t("ios.login.generating")
+        do
+        {
+            let start = try await qrStart()
+            if gen != loginGeneration { return }
+            qrPayload = start.qr_payload
+            statusText = t("ios.login.waiting")
+            try await poll(requestID: start.request_id, pollSecret: start.poll_secret, gen: gen)
+        }
+        catch
+        {
+            if gen != loginGeneration { return }
+            statusText = t("ios.login.failed")
+            qrExpired = true
+        }
+    }
+
+    func logout()
+    {
+        session = nil
+        qrPayload = nil
+        statusText = t("ios.login.generating")
+        Keychain.delete(service: Self.keychainService, account: Self.keychainAccount)
+    }
+
+    // 持久化当前会话到 Keychain（扫码批准后调用）。
+    private func persist()
+    {
+        guard let session, let data = try? JSONEncoder().encode(session) else { return }
+        Keychain.save(data, service: Self.keychainService, account: Self.keychainAccount)
+    }
+
+    // updateSession：引擎自刷致 broker 轮换后，经桥 sessionRotated 回报的新令牌对 → 更新
+    // 内存会话 + Keychain，使重启后不再用已失效的旧 refresh。仅换令牌，身份 / 设备名不变。
+    func updateSession(accessToken: String, refreshToken: String)
+    {
+        guard let cur = session else { return }
+        session = Session(accessToken: accessToken, refreshToken: refreshToken,
+                          user: cur.user, deviceName: cur.deviceName,
+                          deviceId: cur.deviceId, scope: cur.scope)
+        persist()
+    }
+
+    // 仅供本机模拟器联调（CDROP_DEBUG_SESSION=1）：注入占位会话跳过扫码，用于验证引擎从
+    // prod 加载 + 桥往返。令牌无效、鉴权会 401，但能证 engine.html 在 WKWebView 里加载运行。
+    func debugSession()
+    {
+        session = Session(accessToken: "debug", refreshToken: "",
+                          user: User(id: "debug", name: "Simulator", avatar: nil),
+                          deviceName: "Simulator", deviceId: "", scope: "guest")
+    }
+
+    private func qrStart() async throws -> QRStart
+    {
+        var req = URLRequest(url: URL(string: "\(apiBase)/api/auth/qr/start")!)
+        req.httpMethod = "POST"
+        req.setValue("application/json", forHTTPHeaderField: "Content-Type")
+        req.setValue("ios", forHTTPHeaderField: "X-Device-Type")
+        req.httpBody = try JSONSerialization.data(
+            withJSONObject: [ "device_name": deviceName(), "device_type": "ios" ])
+        let (data, _) = try await URLSession.shared.data(for: req)
+        return try JSONDecoder().decode(QRStart.self, from: data)
+    }
+
+    private func poll(requestID: String, pollSecret: String, gen: Int) async throws
+    {
+        while session == nil && gen == loginGeneration
+        {
+            var comp = URLComponents(string: "\(apiBase)/api/auth/qr/status")!
+            comp.queryItems = [ URLQueryItem(name: "request_id", value: requestID) ]
+            var req = URLRequest(url: comp.url!)
+            req.setValue(pollSecret, forHTTPHeaderField: "X-Poll-Secret")
+            let (data, _) = try await URLSession.shared.data(for: req)
+            if gen != loginGeneration { return }   // 已被刷新取代，丢弃本轮结果
+            let st = try JSONDecoder().decode(QRStatus.self, from: data)
+            switch st.status
+            {
+            case "approved":
+                if let token = st.access_token, let user = st.user
+                {
+                    // 原生 App 仅允许完整权限（用户原则：iOS/桌面只接受 full，受限访客是 Web/PWA
+                    // 的权宜）。批准方若按「仅此次」授予 guest，这里据 /api/me 的真实 scope 拒绝、
+                    // 提示改选「信任此设备」，并让二维码可刷新重扫——不落地 guest 会话。
+                    let scope = await fetchScope(token: token)
+                    if gen != loginGeneration { return }
+                    if scope != "full"
+                    {
+                        statusText = t("ios.login.needFull")
+                        qrExpired = true
+                        return
+                    }
+                    session = Session(accessToken: token,
+                                      refreshToken: st.refresh_token ?? "",
+                                      user: user,
+                                      deviceName: st.device_name ?? deviceName(),
+                                      deviceId: st.device_id ?? "",
+                                      scope: "full")
+                    persist()
+                }
+                return
+            case "denied", "expired":
+                statusText = t("ios.login.expired")
+                qrExpired = true
+                return
+            default:
+                continue   // pending → 立即下一轮（服务端长轮询最多挂 25s）
+            }
+        }
+    }
+
+    // 据刚发的 access token 拉 /api/me 取真实会话级别（full / guest）。失败回空串（按非 full
+    // 处理，保守拒绝）。
+    private func fetchScope(token: String) async -> String
+    {
+        var req = URLRequest(url: URL(string: "\(apiBase)/api/me")!)
+        req.setValue("Bearer \(token)", forHTTPHeaderField: "Authorization")
+        guard let (data, _) = try? await URLSession.shared.data(for: req),
+              let obj = try? JSONSerialization.jsonObject(with: data) as? [String: Any],
+              let scope = obj["scope"] as? String
+        else { return "" }
+        return scope
+    }
+
+    private func deviceName() -> String
+    {
+        return DeviceNameStore.value
+    }
+}
@@ -0,0 +1,53 @@
+import Foundation
+import Security
+
+// 极简 Keychain 封装：单 app 私有 generic-password 条目，无 access group。Keychain *共享*
+// （跨 app / extension）才需付费 ADP 的 entitlement；本封装不跨 app，故零 entitlement，
+// 模拟器与真机均可用（见 ios/PLAN.md §9 禁区分级——共享才是账号项，私有不是）。
+//
+// 用途：持久化扫码登录拿到的会话（access_token + user），使 app 重装 / 重建后免反复扫码。
+// kSecAttrAccessibleAfterFirstUnlock：设备首次解锁后即可读（含后台），符合“常驻登录”诉求，
+// 又不在锁屏前暴露。
+enum Keychain
+{
+    static func save(_ data: Data, service: String, account: String)
+    {
+        let base: [String: Any] = [
+            kSecClass as String: kSecClassGenericPassword,
+            kSecAttrService as String: service,
+            kSecAttrAccount as String: account,
+        ]
+        SecItemDelete(base as CFDictionary)   // 覆盖写：先删旧条目再加，避免 duplicate item
+
+        var attrs = base
+        attrs[kSecValueData as String] = data
+        attrs[kSecAttrAccessible as String] = kSecAttrAccessibleAfterFirstUnlock
+        SecItemAdd(attrs as CFDictionary, nil)
+    }
+
+    static func load(service: String, account: String) -> Data?
+    {
+        let query: [String: Any] = [
+            kSecClass as String: kSecClassGenericPassword,
+            kSecAttrService as String: service,
+            kSecAttrAccount as String: account,
+            kSecReturnData as String: true,
+            kSecMatchLimit as String: kSecMatchLimitOne,
+        ]
+        var out: AnyObject?
+        guard SecItemCopyMatching(query as CFDictionary, &out) == errSecSuccess,
+              let data = out as? Data
+        else { return nil }
+        return data
+    }
+
+    static func delete(service: String, account: String)
+    {
+        let query: [String: Any] = [
+            kSecClass as String: kSecClassGenericPassword,
+            kSecAttrService as String: service,
+            kSecAttrAccount as String: account,
+        ]
+        SecItemDelete(query as CFDictionary)
+    }
+}
@@ -0,0 +1,86 @@
+import CoreImage.CIFilterBuiltins
+import SwiftUI
+import UIKit
+
+// 扫码登录界面：显示二维码 + 引导用已登录的 cdrop 扫码批准。轮询在 AuthManager 里。
+struct LoginView: View
+{
+    @Environment(AuthManager.self) private var auth
+
+    var body: some View
+    {
+        VStack(spacing: 24)
+        {
+            Spacer()
+            Text(t("app.brand"))
+                .font(.largeTitle)
+                .bold()
+            qrArea
+            Text(auth.statusText)
+                .font(.callout)
+                .foregroundStyle(auth.qrExpired ? Color.red : Color.secondary)
+            refreshButton
+            Text(t("ios.login.guide"))
+                .font(.footnote)
+                .foregroundStyle(.secondary)
+                .multilineTextAlignment(.center)
+                .padding(.horizontal, 40)
+            Spacer()
+        }
+        .padding()
+        .tint(.cdropAccent)
+        .task { await auth.startQRLogin() }
+    }
+
+    // 刷新二维码：失效后高亮（glassProminent），未失效时也常驻可手动刷新。两种玻璃样式类型
+    // 不同，故经 @ViewBuilder 条件分支。
+    @ViewBuilder
+    private var refreshButton: some View
+    {
+        let button = Button { Task { await auth.startQRLogin() } }
+        label: { Label(t("ios.login.refresh"), systemImage: "arrow.clockwise") }
+        if auth.qrExpired { button.buttonStyle(.glassProminent) }
+        else { button.buttonStyle(.glass) }
+    }
+
+    @ViewBuilder
+    private var qrArea: some View
+    {
+        if let payload = auth.qrPayload, let img = qrImage(payload)
+        {
+            Image(uiImage: img)
+                .interpolation(.none)
+                .resizable()
+                .frame(width: 220, height: 220)
+                .padding(16)
+                .background(.white, in: RoundedRectangle(cornerRadius: 16))
+                .opacity(auth.qrExpired ? 0.25 : 1)            // 失效后置灰，视觉提示需刷新
+                .overlay
+                {
+                    if auth.qrExpired
+                    {
+                        Image(systemName: "arrow.clockwise.circle.fill")
+                            .font(.system(size: 56))
+                            .foregroundStyle(.secondary)
+                    }
+                }
+        }
+        else
+        {
+            ProgressView()
+                .frame(width: 220, height: 220)
+        }
+    }
+
+    // CoreImage 内建二维码生成（无第三方依赖）。payload 是后端给的完整 /link?r=..&c=.. URL。
+    private func qrImage(_ string: String) -> UIImage?
+    {
+        let filter = CIFilter.qrCodeGenerator()
+        filter.message = Data(string.utf8)
+        guard let output = filter.outputImage else { return nil }
+        let scaled = output.transformed(by: CGAffineTransform(scaleX: 10, y: 10))
+        let ctx = CIContext()
+        guard let cg = ctx.createCGImage(scaled, from: scaled.extent) else { return nil }
+        return UIImage(cgImage: cg)
+    }
+}