refactor: 前后端目录结构模块化 + v2 优化移植与缺陷修复
前端: - src/srv/api → src/api，按域分文件夹(auth/cluster/host/storage/deployment/collector) - 新增 http.ts 引擎(http.get/post/put/delete)，域模块改用语义化调用 - index.html 增加 favicon(匹配应用 logo 的 emerald + Activity 脉冲) 后端分层增强(保留包名): - 新增 repository/：从 models 拆出 JsonDB 持久化层(InitDB/GetDB/Shutdown/RequestSave) - 新增 dto/：从 controllers 抽出各域请求契约(带 binding 校验) - 新增 pkg/crypto、pkg/jwt：从 utils 拆出安全原语(外部 jwt 别名 jwtv5 避免冲突) - models 只留领域实体 + sanitizer；utils 只留 gin/应用相关(response/errors) v2 优化移植与缺陷修复: - 移植密钥分离/SSH TOFU/并发写安全/Loki 生产级配置/Docker 加固 - 修复 deployment.go 并发丢更新、Helm values 重复键、EncryptField 哨兵、loki-gateway 端点等审计缺陷 - 实现真正的优雅关停(main.go http.Server + signal + repository.Shutdown) - 修复登录契约:后端返回 accessToken，前端 auth.ts/Login.tsx 对齐 - 补 crypto/jwt/repository 单元测试(含并发写回归) 验证: go build/vet/test 全绿；npm run build 通过；登录→鉴权→优雅关停冒烟通过 Co-Authored-By: Claude <noreply@anthropic.com>
This commit is contained in:
Logan.LiandClaude committed
1 parent
fb8d10231a
commit
327e282356
93 files changed
+8433
-3089
No files matched your search
@@ -0,0 +1,138 @@
|
||||
// Package jwt 提供可复用的 JWT 签发/解析（HS256）、access/refresh 双 token、
|
||||
// 算法混淆防护与 gin 上下文用户提取。
|
||||
// 外部依赖 github.com/golang-jwt/jwt/v5 包名同为 jwt，故在此包内别名为 jwtv5 以避免冲突。
|
||||
package jwt
|
||||
|
||||
import (
|
||||
"errors"
|
||||
"strconv"
|
||||
"time"
|
||||
|
||||
"lokideploy/config"
|
||||
|
||||
"github.com/gin-gonic/gin"
|
||||
jwtv5 "github.com/golang-jwt/jwt/v5"
|
||||
)
|
||||
|
||||
const (
|
||||
// AccessToken有效期2小时（较短的过期时间增强安全性）
|
||||
accessTokenExpiry = 2 * time.Hour
|
||||
// RefreshToken有效期7天
|
||||
refreshTokenExpiry = 7 * 24 * time.Hour
|
||||
)
|
||||
|
||||
type Claims struct {
|
||||
UserID uint `json:"userId"`
|
||||
Username string `json:"username"`
|
||||
Role string `json:"role"`
|
||||
TokenType string `json:"tokenType"` // access | refresh
|
||||
jwtv5.RegisteredClaims
|
||||
}
|
||||
|
||||
// TokenPair 包含access token和refresh token
|
||||
type TokenPair struct {
|
||||
AccessToken string `json:"accessToken"`
|
||||
RefreshToken string `json:"refreshToken"`
|
||||
ExpiresAt time.Time `json:"expiresAt"`
|
||||
}
|
||||
|
||||
func GenerateTokenPair(userID uint, username, role string) (*TokenPair, error) {
|
||||
cfg := config.GetConfig()
|
||||
now := time.Now()
|
||||
|
||||
// Access Token
|
||||
accessClaims := Claims{
|
||||
UserID: userID,
|
||||
Username: username,
|
||||
Role: role,
|
||||
TokenType: "access",
|
||||
RegisteredClaims: jwtv5.RegisteredClaims{
|
||||
ExpiresAt: jwtv5.NewNumericDate(now.Add(accessTokenExpiry)),
|
||||
IssuedAt: jwtv5.NewNumericDate(now),
|
||||
Subject: username,
|
||||
ID: generateTokenID(),
|
||||
},
|
||||
}
|
||||
accessToken := jwtv5.NewWithClaims(jwtv5.SigningMethodHS256, accessClaims)
|
||||
accessTokenString, err := accessToken.SignedString([]byte(cfg.JWTSecret))
|
||||
if err != nil {
|
||||
return nil, err
|
||||
}
|
||||
|
||||
// Refresh Token
|
||||
refreshClaims := Claims{
|
||||
UserID: userID,
|
||||
Username: username,
|
||||
Role: role,
|
||||
TokenType: "refresh",
|
||||
RegisteredClaims: jwtv5.RegisteredClaims{
|
||||
ExpiresAt: jwtv5.NewNumericDate(now.Add(refreshTokenExpiry)),
|
||||
IssuedAt: jwtv5.NewNumericDate(now),
|
||||
Subject: username,
|
||||
ID: generateTokenID(),
|
||||
},
|
||||
}
|
||||
refreshToken := jwtv5.NewWithClaims(jwtv5.SigningMethodHS256, refreshClaims)
|
||||
refreshTokenString, err := refreshToken.SignedString([]byte(cfg.JWTSecret))
|
||||
if err != nil {
|
||||
return nil, err
|
||||
}
|
||||
|
||||
return &TokenPair{
|
||||
AccessToken: accessTokenString,
|
||||
RefreshToken: refreshTokenString,
|
||||
ExpiresAt: now.Add(accessTokenExpiry),
|
||||
}, nil
|
||||
}
|
||||
|
||||
// RefreshAccessToken 使用refresh token换取新的access token
|
||||
func RefreshAccessToken(refreshTokenString string) (*TokenPair, error) {
|
||||
claims, err := ParseToken(refreshTokenString)
|
||||
if err != nil {
|
||||
return nil, err
|
||||
}
|
||||
|
||||
// 验证token类型必须是refresh
|
||||
if claims.TokenType != "refresh" {
|
||||
return nil, errors.New("invalid token type")
|
||||
}
|
||||
|
||||
return GenerateTokenPair(claims.UserID, claims.Username, claims.Role)
|
||||
}
|
||||
|
||||
func ParseToken(tokenString string) (*Claims, error) {
|
||||
cfg := config.GetConfig()
|
||||
token, err := jwtv5.ParseWithClaims(tokenString, &Claims{}, func(token *jwtv5.Token) (interface{}, error) {
|
||||
// 强制校验签名算法，防止算法混淆攻击
|
||||
if _, ok := token.Method.(*jwtv5.SigningMethodHMAC); !ok {
|
||||
return nil, errors.New("unexpected signing method")
|
||||
}
|
||||
return []byte(cfg.JWTSecret), nil
|
||||
})
|
||||
if err != nil {
|
||||
return nil, err
|
||||
}
|
||||
if claims, ok := token.Claims.(*Claims); ok && token.Valid {
|
||||
return claims, nil
|
||||
}
|
||||
return nil, errors.New("invalid token")
|
||||
}
|
||||
|
||||
func GetUserFromContext(c *gin.Context) (*Claims, bool) {
|
||||
user, exists := c.Get("user")
|
||||
if !exists {
|
||||
return nil, false
|
||||
}
|
||||
claims, ok := user.(*Claims)
|
||||
return claims, ok
|
||||
}
|
||||
|
||||
func IsAdmin(c *gin.Context) bool {
|
||||
claims, ok := GetUserFromContext(c)
|
||||
return ok && claims.Role == "admin"
|
||||
}
|
||||
|
||||
// generateTokenID 生成简单的token ID（基于纳秒时间戳）
|
||||
func generateTokenID() string {
|
||||
return strconv.FormatInt(time.Now().UnixNano(), 36)
|
||||
}
|
||||
@@ -0,0 +1,66 @@
|
||||
package jwt
|
||||
|
||||
import (
|
||||
"testing"
|
||||
|
||||
jwtv5 "github.com/golang-jwt/jwt/v5"
|
||||
)
|
||||
|
||||
// TestTokenPairRoundTrip 覆盖签发 + 解析，并校验 access token 类型。
|
||||
func TestTokenPairRoundTrip(t *testing.T) {
|
||||
pair, err := GenerateTokenPair(42, "alice", "admin")
|
||||
if err != nil {
|
||||
t.Fatalf("GenerateTokenPair: %v", err)
|
||||
}
|
||||
if pair.AccessToken == "" || pair.RefreshToken == "" {
|
||||
t.Fatal("tokens must not be empty")
|
||||
}
|
||||
claims, err := ParseToken(pair.AccessToken)
|
||||
if err != nil {
|
||||
t.Fatalf("ParseToken(access): %v", err)
|
||||
}
|
||||
if claims.UserID != 42 || claims.Username != "alice" || claims.Role != "admin" {
|
||||
t.Fatalf("unexpected claims: %+v", claims)
|
||||
}
|
||||
if claims.TokenType != "access" {
|
||||
t.Fatalf("access token should have tokenType=access, got %q", claims.TokenType)
|
||||
}
|
||||
}
|
||||
|
||||
// TestRefreshRequiresRefreshToken 覆盖 token 类型强制：
|
||||
// 用 access token 刷新必须被拒；用 refresh token 刷新应成功。
|
||||
func TestRefreshRequiresRefreshToken(t *testing.T) {
|
||||
pair, _ := GenerateTokenPair(1, "bob", "user")
|
||||
|
||||
if _, err := RefreshAccessToken(pair.AccessToken); err == nil {
|
||||
t.Fatal("RefreshAccessToken must reject access tokens")
|
||||
}
|
||||
newPair, err := RefreshAccessToken(pair.RefreshToken)
|
||||
if err != nil {
|
||||
t.Fatalf("RefreshAccessToken(refresh): %v", err)
|
||||
}
|
||||
if newPair.AccessToken == "" {
|
||||
t.Fatal("new access token must not be empty")
|
||||
}
|
||||
}
|
||||
|
||||
// TestParseTokenRejectsBogus 解析任意非 JWT 字符串必须失败。
|
||||
func TestParseTokenRejectsBogus(t *testing.T) {
|
||||
if _, err := ParseToken("not-a-jwt"); err == nil {
|
||||
t.Fatal("ParseToken must reject bogus token")
|
||||
}
|
||||
}
|
||||
|
||||
// TestParseTokenRejectsNoneAlgo 覆盖算法混淆攻击防护：
|
||||
// ParseToken 的 keyfunc 仅接受 HMAC，alg=none 构造的 token 必须被拒。
|
||||
func TestParseTokenRejectsNoneAlgo(t *testing.T) {
|
||||
tok := jwtv5.NewWithClaims(jwtv5.SigningMethodNone, Claims{UserID: 1, TokenType: "access"})
|
||||
unsigned, err := tok.SigningString()
|
||||
if err != nil {
|
||||
t.Fatal(err)
|
||||
}
|
||||
bogus := unsigned + "." // alg=none 的无签名形式
|
||||
if _, err := ParseToken(bogus); err == nil {
|
||||
t.Fatal("ParseToken must reject alg=none (algorithm confusion)")
|
||||
}
|
||||
}
|
||||
@@ -0,0 +1,15 @@
|
||||
package jwt
|
||||
|
||||
import (
|
||||
"os"
|
||||
"testing"
|
||||
)
|
||||
|
||||
// TestMain 预置安全环境变量。config.GetConfig() 在 JWT_SECRET/ENCRYPTION_KEY
|
||||
// 缺失时会 log.Fatal，故必须在任何测试逻辑之前设置。
|
||||
func TestMain(m *testing.M) {
|
||||
os.Setenv("JWT_SECRET", "jwt-pkg-test-secret-32chars-min!!")
|
||||
os.Setenv("ENCRYPTION_KEY", "jwt-pkg-test-encryption-32chars!!")
|
||||
os.Setenv("DATA_DIR", os.TempDir()+"/lokideploy-jwt-pkg-test")
|
||||
os.Exit(m.Run())
|
||||
}
|
||||
Reference in new issue
Block a user