admin
018a77b13a
接续 90a3790（扫码 A0+A1+B + step-up 雏形）。蓝本见 AUTH.md。
OIDC 统一到 cdrop 自签 token
- /auth/exchange 先 JWKS 验 id_token 签名（自签 token 的唯一信任锚）再签 cdrop
自签 HS256 access token（绑 sid），不再把 IdP RS256 下发浏览器；验签失败仅告警
并回退 RS256（会话仍建、下次 refresh 自愈），登录不中断
- /auth/refresh oidc 路径仍打 IdP 轮换 refresh_token + 探测 IdP 侧吊销，但同样回
自签 token；createWebSession 改返回行 id
- verify 链保留 RS256 分支仅供桌面端 loopback（其即时吊销留后续）
吊销即时生效 + 被吊销设备自知回退
- verifySelfToken 每请求按 sid 查 web_sessions 行，行删即拒 → 吊销在被吊销设备
下一次请求即生效（不等 TTL），oidc / self / guest 一致
- 前端仅在「服务端以 401 确证会话失效」时 forceLogout 清登录态、回登录页；短期连接
失败（5xx / 网络）一律保留登录态（refreshTokens 改三态 refreshed/invalid/transient，
cookieRefresh 改 discriminated 结果）
- __root 反应式守卫：prod 下失登录态且非认证路由即跳登录页；新增 auth.sessionLost.* 三语
设备列表并入会话列表 + 孤儿自动清除
- GET /api/auth/sessions 统一 web_sessions 与原生客户端设备（桌面 / iOS，自 devices
登记表呈现，native=true，离线也列）；同名不重复列出，排除 shortcut 与无会话 browser
- 吊销网页会话连带删其设备登记（无同名在用会话时）；原生「登出」走
DELETE /api/devices/{name}（同要求 step-up）
- 新增 DeleteOrphanBrowserDevices（browser 型且无存活 web_session），接入设备清扫器（1h）
应用内扫码 + 聚珍崩溃 / CJK 禁则修复
- 登录页内置 getUserMedia + jsqr 扫码，不再外跳系统应用（避免开错浏览器）
- 修聚珍（cjk-autospace）MutationObserver 与 React 重渲染同子树冲突致的 insertBefore
崩溃：扫码 / 显码 / 批准三状态机页整页跳过聚珍（data-jz-skip）
- 修流动正文未跑 CJK 禁则（jinze 为段落级、须 opt-in）：设置 / 快捷指令 / 桌面页一批
hint 补 data-jz-level="paragraph" + justify，短标签 / 状态仍留文本级
step-up 完善
- auth_time 改可选（Casdoor 不下发，原强制致死循环）；stepped_up_at 按会话绑定、
StepUpMaxAgeSeconds 窗口内不复要求；新增 POST /api/auth/stepup
- 批准页 persist 编进 step-up returnTo 防整页跳转丢失；scope 随档绑定（信任=full /
仅此次=guest），默认偏安全的「仅此次」
文档与测试
- AUTH.md：折中架构、accounts 薄表、令牌架构、扫码流程、step-up、§4.4 统一会话列表
- 新增 Go 测试：OIDC 自签验证、verifySelfToken 吊销即拒、会话吊销连带删设备、
统一会话列表（含原生 / 不含 shortcut / 不重复）、孤儿清扫、删设备需 step-up
81 lines
2.7 KiB
Go
81 lines
2.7 KiB
Go
package httpapi
|
||
|
||
import (
|
||
"log/slog"
|
||
"net/http"
|
||
|
||
"github.com/go-chi/chi/v5"
|
||
|
||
"commilitia.net/cdrop/internal/db"
|
||
"commilitia.net/cdrop/internal/jwtauth"
|
||
)
|
||
|
||
type deviceItem struct {
|
||
Name string `json:"name"`
|
||
Type string `json:"type"`
|
||
Online bool `json:"online"`
|
||
LastSeen int64 `json:"last_seen"`
|
||
}
|
||
|
||
// handleDevices returns the calling user's known devices with live online flags.
|
||
// Online = currently connected to /api/events; LastSeen = epoch from devices.last_seen.
|
||
func (s *Server) handleDevices(w http.ResponseWriter, r *http.Request) {
|
||
claims, _ := jwtauth.ClaimsFromContext(r.Context())
|
||
|
||
devs, err := s.queries.ListDevicesByUser(r.Context(), claims.UserID)
|
||
if err != nil {
|
||
slog.Error("list devices failed", "err", err, "user", claims.UserID)
|
||
writeJSON(w, http.StatusInternalServerError, map[string]string{"error": "db"})
|
||
return
|
||
}
|
||
|
||
out := make([]deviceItem, 0, len(devs))
|
||
for _, d := range devs {
|
||
out = append(out, deviceItem{
|
||
Name: d.Name,
|
||
Type: d.Type,
|
||
Online: s.hub.Online(claims.UserID, d.Name),
|
||
LastSeen: d.LastSeen,
|
||
})
|
||
}
|
||
writeJSON(w, http.StatusOK, map[string]any{"devices": out})
|
||
}
|
||
|
||
// handleDeleteDevice 注销设备：删除 (user, name) 行 + Kick 在线 SSE + 立刻广播
|
||
// 新的 presence。请求方若注销的是自己当前设备，前端需同步调用 logout，否则
|
||
// 任何后续带 X-Device-Name 的认证请求都会被中间件再次 UPSERT 回来。
|
||
//
|
||
// 这是登录会话列表里「原生客户端（桌面 / iOS）」一栏的登出路径——它们用 IdP 令牌、
|
||
// 不入 web_sessions，故按设备名吊销（AUTH.md §4）。注销设备属敏感动作，与吊销网页
|
||
// 会话同口径要求最近一次 step-up（403 step_up_required，前端据此发起再认证）。
|
||
func (s *Server) handleDeleteDevice(w http.ResponseWriter, r *http.Request) {
|
||
if s.cfg.StepUpEnabled && !s.sessionRecentlySteppedUp(r) {
|
||
writeJSON(w, http.StatusForbidden, map[string]string{"error": "step_up_required"})
|
||
return
|
||
}
|
||
claims, _ := jwtauth.ClaimsFromContext(r.Context())
|
||
name := chi.URLParam(r, "name")
|
||
if name == "" {
|
||
writeJSON(w, http.StatusBadRequest, map[string]string{"error": "missing device name"})
|
||
return
|
||
}
|
||
|
||
rows, err := s.queries.DeleteDevice(r.Context(), db.DeleteDeviceParams{
|
||
UserID: claims.UserID,
|
||
Name: name,
|
||
})
|
||
if err != nil {
|
||
slog.Error("delete device failed", "err", err, "user", claims.UserID, "name", name)
|
||
writeJSON(w, http.StatusInternalServerError, map[string]string{"error": "db"})
|
||
return
|
||
}
|
||
if rows == 0 {
|
||
writeJSON(w, http.StatusNotFound, map[string]string{"error": "device not found"})
|
||
return
|
||
}
|
||
|
||
s.hub.Kick(claims.UserID, name)
|
||
s.hub.PublishPresence(r.Context(), claims.UserID)
|
||
w.WriteHeader(http.StatusNoContent)
|
||
}
|