---
layout: base.njk
title: 正在登录
description: App 免登录跳转中。
permalink: /sso/
---
{# App→网页免登录落地页：App 先 POST /api/v1/auth/web-ticket 签一次性票据
   （TTL 60s、单次可用），再打开 /sso/?t=<ticket>&redirect=<本站路径>。
   本页凭票 POST /auth/web-ticket/exchange 兑换正常登录态，写入与 Web 版
   App 共享的 localStorage['flutter.*'] 后跳 redirect。
   安全：URL 只含票据不含令牌；redirect 仅接受本站相对路径（防 open redirect）；
   兑换失败一律落到 /login/ 并回传 redirect。 #}
<div class="auth-wrap">
  <div class="auth" style="grid-template-columns:1fr;max-width:420px">
    <div class="auth-form" style="text-align:center">
      <h1 id="ssoTitle">正在登录…</h1>
      <p class="alead" id="ssoMsg">正在验证来自 App 的登录票据</p>
      <div class="auth-alert" id="ssoErr"></div>
    </div>
  </div>
</div>

<script src="/assets/auth.js"></script>
<script>
(function () {
  var API = '';
  function $(id) { return document.getElementById(id); }

  // redirect 白名单：仅本站相对路径（以单个 / 开头），其余一律回 /profile/
  function safeRedirect() {
    var p = new URLSearchParams(location.search).get('redirect') || '/profile/';
    if (p.charAt(0) !== '/' || p.charAt(1) === '/' || p.indexOf('\\') >= 0) {
      return '/profile/';
    }
    return p;
  }

  // 与 login.njk persist 同格式（shared_preferences_web，值 JSON 编码）
  function persist(data) {
    var u = data.user || {};
    var kv = {
      access_token: data.access_token, refresh_token: data.refresh_token,
      user_id: u.id || 0, username: u.username || '', real_name: u.real_name || '',
      shop_no: data.shop_code || '', shop_id: String(data.shop_id || ''),
      role: u.role || 'operator',
    };
    Object.keys(kv).forEach(function (k) {
      localStorage.setItem('flutter.' + k, JSON.stringify(kv[k]));
    });
  }

  function fail(msg) {
    $('ssoTitle').textContent = '登录跳转失败';
    $('ssoMsg').textContent = '';
    var el = $('ssoErr');
    el.textContent = msg + '，请手动登录';
    el.classList.add('show');
    setTimeout(function () {
      location.replace('/login/?redirect=' + encodeURIComponent(safeRedirect()));
    }, 1500);
  }

  var ticket = new URLSearchParams(location.search).get('t');
  // 票据用后即从地址栏抹掉（不留浏览器历史）
  try { history.replaceState(null, '', '/sso/'); } catch (e) {}
  if (!ticket) { fail('缺少登录票据'); return; }

  fetch(API + '/api/v1/auth/web-ticket/exchange', {
    method: 'POST',
    headers: { 'Content-Type': 'application/json' },
    body: JSON.stringify({ ticket: ticket }),
  })
    .then(function (r) { return r.json().then(function (j) { return { ok: r.ok, j: j }; }); })
    .then(function (res) {
      var d = res.j && res.j.data;
      if (!res.ok || !d || !d.access_token) {
        return fail((res.j && res.j.error) || '票据无效或已过期');
      }
      persist(d);
      location.replace(safeRedirect());
    })
    .catch(function () { fail('网络异常'); });
})();
</script>