4 Commits

Author	SHA1	Message	Date
wangjia	68608d6471	feat(server/auth): 新用户注册欢迎通知——注册同事务插 reward 类到账(零孤儿) ... CreateUserWithTrial 新增本地 Noticer 接口(同 InsertNoticeTx 签名,参照 reward 包做法避免 notices→auth 循环依赖);SQLStore 加 noticer 字段 + SetNoticer, nil-safe。注册事务插完 trial 订阅、commit 前,若已注入 noticer 则同事务插一条 type=reward 的双语欢迎通知(标题/正文按 trialDays 参数化),失败即整事务回滚, 与 reward/pay 到账钩子同语义、零孤儿。main.go 在 noticesStore 构造后装配 authStore.SetNoticer(noticesStore)(authStore 提升到 if-block 外声明以跨块可见)。 顺带修复 isDuplicateKey 只认 MySQL 错误文案的 dialect 缺口——sqlite 下重复邮箱 注册此前会落入错误分支返回不透明的「auth: insert user」,而非 ErrEmailTaken; 现同时匹配 sqlite 的 "UNIQUE constraint failed"。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01P9G7E3wmAYL9KeYCVZVsqu	2026-07-13 19:03:18 +08:00
wangjia	ece51d7e3d	refactor(server/db): 多库(2/4)— 时间等 DB 端计算退回 Go(可移植) ... auth/admin/httpapi:把 UTC_TIMESTAMP(6) 等 DB 端取值改为 Go time.Now().UTC() 作为 ? 参数传入(两库精度一致、可测、天然跨方言)。仅这三个文件不涉及 upsert/锁,故独立成提交;其余域文件的同类改动与 dialect 改动同语句交错,合入(3/4)。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-18 00:01:12 +08:00
wangjia	0782cf651b	feat(server): web 用户中心后端(3/3) — 用户 TOTP 2FA + 登录二段式 ... - 用户 TOTP（auth/totp_user.go，复用 internal/totp + AES-256-GCM 加密存密钥）： POST /v1/me/totp/setup（生成密钥+otpauth_uri）、/verify（校验码→启用）、 /disable（校验码→清空）。仅在 USER_TOTP_ENC_KEY(32B/64hex) 配置时挂载。 - 登录二段式：Login 在 totp_enabled 时不发 token，改发短期 pending token（Redis 5min）+ 返回 {totp_required, pending_token}；POST /v1/auth/login/totp 消费 pending + 校验码 → 发 token。非 TOTP 用户仍走扁平 TokenPair，app 不受影响。 - User 结构 + GetUserByEmail 补 totp_enabled。 - 单测覆盖 AES seal/open 往返 + 篡改/错误密钥检测 + pending token 唯一性。 - 全量 server 23 包测试通过。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-17 08:45:50 +08:00
wangjia	a5e25b444f	feat(auth): 验证码/注册/登录/JWT 鉴权模块 (tsk_2PFfyviECIXh) ... 实现 server/internal/auth 控制面鉴权底座，对应 doc/02 §4.1、doc/06 §3： - POST /v1/auth/code：IP+邮箱双维度 Redis 滑窗限频（同邮箱 1/min、同 IP 10/h） + 一次性邮箱域黑名单（embed 词表）→ 6 位数字码写 auth:code:{email} TTL 10min → 异步发信（SMTP / 开发态 log mailer）。 - POST /v1/auth/register：验码（一次性，删 key；超次数烧码）→ 单事务建号 （uuid + dp_uuid 应用层生成、argon2id）+ 7 天 PRO 试用（source='trial'）→ 签发 JWT。 - POST /v1/auth/login：argon2id 校验（失败恒定时、未知用户走 dummy hash）； 失败计数限流 rl:login:{email} + 锁定；banned 拒绝。 - POST /v1/auth/refresh：RS256，access 15min + refresh 30d 落 Redis 白名单 jwt:refresh:{jti}，旋转时删旧写新；JWT 头带 kid，验证端接受新旧公钥支持轮换。 - RequireAuth 中间件：解析 Bearer access，注入 user id（复用 codes.CtxKeyUserID 避免循环依赖）+ uuid + claims 到 context。 - 错误体统一走 internal/apierr 的 {code, message_zh, message_en}，文案双语脱敏。 - 文件拆分：handler/service/password/token/ratelimit/emailcheck/store/mailer/ middleware/errors/keyloader；config 增加可选 JWT PEM 路径/kid 加载。 测试：password/token/ratelimit/emailcheck/service/handler/middleware 单测 （miniredis，含注册全流程、重复邮箱 409、验证码错误/过期/复用/烧码、限频 429 带 Retry-After、登录失败锁定、banned 拒绝、refresh 旋转后旧 token 失效）， go test -race 通过；集成测试 integration_test.go（testcontainers MySQL8+Redis， register→login→refresh→受保护接口全链路，构建 tag integration）与 codes 模块同构。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>	2026-06-13 12:19:10 +08:00