wangjia
e41085a878
会话安全（jti 轮换 / 重用检测 / 改密吊销 / 禁用即时下线 / 清理 / 失败登录落库）： - refresh token 轮换 jti + token-family 重用检测，旧 token 重放即吊销整条会话 - 改密码、停用用户即时吊销其全部活跃会话（revoked_by 审计） - 中间件 session JOIN user 校验，禁用/删除用户带 token 请求返回 401 USER_DISABLED - 新增 login_attempts 失败登录落库 + 会话保留期清理 goroutine 授权实时 phase + 心跳回带： - LicenseGuard 改为按当前 DB 实时计算 phase（30s 每店缓存），续费/过期/被改 ~30s 内对写操作生效，无需重登 - /auth/ping 回带授权概况（ShopInfoView，与 /license/info 同构），客户端一次心跳即刷新横幅/门禁 首次使用自动试用 + code-review 修复： - 门店首次登录/续期无有效授权时自动签发 30 天 trial（快路径无锁 Count，仅首用走 FOR UPDATE 事务） - ShopInfo 区分「确无授权」与瞬时 DB 错误，避免误降级 - trial 签发后改为在事务提交后再失效 phase 缓存（修复早于提交的竞态） - 存量无 sid token 续期纳入显式上限，legacy 会话不再游离于并发配额之外 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
47 lines
2.4 KiB
Go
47 lines
2.4 KiB
Go
package model
|
||
|
||
import "time"
|
||
|
||
// UserSession 服务端登录会话。JWT 的 sid claim 指向此表一行，
|
||
// 用于支持登出/踢人/在线状态监控（JWT 本身无状态，无法撤销）。
|
||
type UserSession struct {
|
||
ID uint64 `gorm:"primaryKey;autoIncrement" json:"id"`
|
||
ShopID uint64 `gorm:"not null;index:idx_session_shop_user" json:"shop_id"`
|
||
UserID uint64 `gorm:"not null;index:idx_session_shop_user" json:"user_id"`
|
||
SID string `gorm:"column:sid;size:64;not null;uniqueIndex" json:"sid"` // 嵌入 JWT
|
||
DeviceID string `gorm:"size:255" json:"device_id"`
|
||
DeviceName string `gorm:"size:255" json:"device_name"`
|
||
Platform string `gorm:"size:50" json:"platform"` // windows|macos|linux|android|ios|web
|
||
PlatformClass string `gorm:"size:20;index" json:"platform_class"` // desktop|mobile|web
|
||
IP string `gorm:"size:64" json:"ip"`
|
||
UserAgent string `gorm:"size:512" json:"user_agent"`
|
||
// RefreshJTI 当前有效 refresh token 的 jti，用于「轮换 + 重用检测」：
|
||
// 每次续期轮换此值，若 refresh 携带的 jti 与之不符即判定为旧 token 重放（盗用），吊销整条会话。
|
||
RefreshJTI string `gorm:"column:refresh_jti;size:64" json:"-"`
|
||
CreatedAt time.Time `gorm:"autoCreateTime" json:"created_at"`
|
||
// LastSeenAt 手工维护（Login 建行赋值、心跳/refresh 显式 Update）。
|
||
// 故意用 autoCreateTime（建行给默认、之后不被 ORM 自动改）；切勿改成 autoUpdateTime，
|
||
// 否则 revoke/cleanup 等任意 Updates 都会把已撤销会话误刷成「刚活跃」。
|
||
LastSeenAt time.Time `gorm:"autoCreateTime" json:"last_seen_at"`
|
||
RevokedAt *time.Time `gorm:"index" json:"revoked_at,omitempty"`
|
||
RevokedReason string `gorm:"size:30" json:"revoked_reason,omitempty"` // kicked|logout|admin|disabled|reuse|pwd_reset
|
||
RevokedBy *uint64 `gorm:"column:revoked_by" json:"revoked_by,omitempty"` // 吊销操作人 user_id；系统/自助吊销为 NULL
|
||
RefreshExpAt time.Time `json:"refresh_exp_at"`
|
||
}
|
||
|
||
func (UserSession) TableName() string { return "user_sessions" }
|
||
|
||
// PlatformClass 把具体平台归类，用于按类限并发。
|
||
func PlatformClass(platform string) string {
|
||
switch platform {
|
||
case "android", "ios":
|
||
return "mobile"
|
||
case "web":
|
||
return "web"
|
||
case "windows", "macos", "linux":
|
||
return "desktop"
|
||
default:
|
||
return "desktop" // 未知平台按桌面端处理
|
||
}
|
||
}
|