4 Commits

Author	SHA1	Message	Date
wangjia	c9e266b89a	fix(server+ci): 修 go-integration 真 bug + e2e 免疫代理(CI 收尾) ... DinD 修复后暴露的两个 CI job,诊断: Go integration(真 test-drift bug,早前会话改动遗留): - auth/integration_test:Register/Login 补 ip + DeviceMeta 参数(sessions/ device-meta 改动后陈旧调用,构建失败)。 - usage/usage_integration_test:手写测试 schema 补 ad_bonus_minutes 列 (migration 000020 加的);重写 TestIntAdsUnlockAccumulates 断言对齐 ad-unlock 转累加式(UnlockAd→AddAdBonusMinutes,不再 stamp ad_unlocked_at)。 - devices/devices_integration_test:套餐种子 pro=5→3(migration 000019 改的)。 - devices/context.go(生产 1 行):CtxKeyUserID 别名到 codes.CtxKeyUserID——原为 独立 devices.ctxKey 类型,与 auth 注入的 codes.ctxKey 类型不同→context 取键 失配(休眠 bug,中间件目前仅测试接线)。go build 通过。 E2E(环境问题,非脚本):删 ci.yml 里多余的 apt-get(openssl/curl/python3 已在 golang:1.25 镜像内;原 apt 走 Docker Desktop 代理→本机死口,徒增脆性)。脚本 本身本机直跑通过。 验证:go test -tags integration -count=1 -p 1 ./... 全 ok;go build ./... clean。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-07-08 09:04:10 +08:00
wangjia	0fd3bce7a5	fix(server): 修复腐烂的集成测试套件 + devices 注册回填 last_seen ... 这批 -tags integration 测试(usage/auth/codes/devices/store)因依赖冲突 长期编译不过、从未进 CI 跑过,代码静默腐烂。本次逐层修复: - 依赖:testcontainers-go v0.34→v0.43(原 v0.34 配 docker v28.3.3 编译失败: archive.Compression/sockets.DialPipe undefined)。 - auth: LoginOutcome 重构成 Tokens 嵌套后,测试仍引用扁平 RefreshToken; users 测试 schema 缺 totp_enabled 列 → GetUserByEmail 报错 → SendCode 500。 - usage/auth/codes/devices: DSN 里 time_zone='+00:00' 作 URL query 透传时 '+' 被解码成空格 → MySQL Error 1298 ' 00:00';改百分号编码。 - store: 测试 DSN 缺 multiStatements=true → 多语句迁移 Error 1064; WithConfigFile("") 在 v0.43 被拒,改写真 my.cnf 设 +08:00 真正考验 UTC 覆盖。 - devices(产品 bug):insertDeviceTx 把 last_seen 写进库却没回填返回值, 刚注册的设备 API 响应 last_seen=null 与库不一致;TestFullChain 据此把关。 修复后完整 integration 套件 -p 1 串行全绿(25 包 + 5 testcontainers 包)。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-25 21:19:10 +08:00
wangjia	81e7b12061	feat(auth): 防账号枚举 — 已注册邮箱发"已注册"提醒,不内联暴露 ... 发码/注册都不再泄露"邮箱是否已注册"(对翻墙工具尤其敏感:已注册=该人是用户)。 - SendCode:邮箱已注册时不发验证码、改发"您已注册请直接登录"邮件,接口统一 返回 204(注册/未注册无差别)→ 关掉发码侧枚举 - Register:命中已注册(ErrEmailTaken)改回通用 ErrCodeInvalid(与错码一致), 不再返回"该邮箱已注册"→ 关掉注册侧枚举 - Mailer 接口加 SendAlreadyRegistered(SMTP + Log 两实现) - 测试:DuplicateEmailConflict 改为断言"已注册不发码 + 强制码也只回通用错误"; integration 同步 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-18 20:37:53 +08:00
wangjia	a5e25b444f	feat(auth): 验证码/注册/登录/JWT 鉴权模块 (tsk_2PFfyviECIXh) ... 实现 server/internal/auth 控制面鉴权底座，对应 doc/02 §4.1、doc/06 §3： - POST /v1/auth/code：IP+邮箱双维度 Redis 滑窗限频（同邮箱 1/min、同 IP 10/h） + 一次性邮箱域黑名单（embed 词表）→ 6 位数字码写 auth:code:{email} TTL 10min → 异步发信（SMTP / 开发态 log mailer）。 - POST /v1/auth/register：验码（一次性，删 key；超次数烧码）→ 单事务建号 （uuid + dp_uuid 应用层生成、argon2id）+ 7 天 PRO 试用（source='trial'）→ 签发 JWT。 - POST /v1/auth/login：argon2id 校验（失败恒定时、未知用户走 dummy hash）； 失败计数限流 rl:login:{email} + 锁定；banned 拒绝。 - POST /v1/auth/refresh：RS256，access 15min + refresh 30d 落 Redis 白名单 jwt:refresh:{jti}，旋转时删旧写新；JWT 头带 kid，验证端接受新旧公钥支持轮换。 - RequireAuth 中间件：解析 Bearer access，注入 user id（复用 codes.CtxKeyUserID 避免循环依赖）+ uuid + claims 到 context。 - 错误体统一走 internal/apierr 的 {code, message_zh, message_en}，文案双语脱敏。 - 文件拆分：handler/service/password/token/ratelimit/emailcheck/store/mailer/ middleware/errors/keyloader；config 增加可选 JWT PEM 路径/kid 加载。 测试：password/token/ratelimit/emailcheck/service/handler/middleware 单测 （miniredis，含注册全流程、重复邮箱 409、验证码错误/过期/复用/烧码、限频 429 带 Retry-After、登录失败锁定、banned 拒绝、refresh 旋转后旧 token 失效）， go test -race 通过；集成测试 integration_test.go（testcontainers MySQL8+Redis， register→login→refresh→受保护接口全链路，构建 tag integration）与 codes 模块同构。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-13 12:19:10 +08:00