|
|
2449a27eb5
|
refactor: CSP nonce替代unsafe-inline, HSTS始终启用, router/api拆分, 管理后台+用户设置页拆分, DB健康降级, 时区配置, UID统一解析, CI接入
CI / Lint + Build (push) Has been cancelled
审计修复:
- CSP: unsafe-inline移除, nonce替代; unsafe-eval保留供Vditor使用
- HSTS: 始终启用(不再依赖release模式)
- Controller Exp: common.GetGinExp包装, 不再直接读context
- UID解析: common.ParseUIDParam统一, follow/admin controller改用
重构:
- router/api.go(198行)拆为7个域文件: auth/settings/posts/comments/reactions/social/studio
- 管理后台站点设置: 单页拆为4个子页(brand/security/registration/content)+子菜单
- 前台用户设置页: 1201行拆为6个独立模板+6个独立JS文件
新增:
- DB健康检测中间件(middleware/db_health.go): 5s ping+降级页面
- 时区配置: config.yaml server.timezone→time.Local初始化
- .gitea/workflows/ci.yml: strict模式CI流水线
|
2026-06-22 03:06:24 +08:00 |
|
|
|
e7185f58fb
|
refactor: 连接配置统一迁移至 .env，config.yaml 仅作默认值
- 新增 .env.example 模板（DB/Redis/Server 全部连接信息）
- bindEnvOverride 补全 11 个环境变量绑定（原仅 2 个密码）
- README 和 deployment.md 改为 .env 优先流程
- 移除 systemd EnvironmentFile，统一读 WorkingDirectory/.env
|
2026-06-22 02:49:24 +08:00 |
|
|
|
97adf54d6d
|
fix: golangci-lint 零告警通过 (57→0) + gofumpt/goimports 全量格式化
## CI 修复 (P0/P1)
P0 — 编译阻塞:
- interfaces.go: postUseCase ISP 接口移除不用的 Create/Update/Delete
P1 — 必须修复:
- ST1000: 为 13 个包添加包注释 (common/config/model/service/...)
- ST1005: redis_store.go 全部错误消息改为小写开头
- errcheck (19处): defer Close()→闭包忽略, notifier.Create→_=, r.Run→检查error
- errorlint (9处): switch-on-error→errors.Is 链, ==→errors.Is
- ST1020/ST1022: 导出符号注释以符号名开头
P2 — 安全评审:
- gosec (12处): G203/G301/G304/G306 添加 nolint 注释并附理由
P3 — 清理:
- unused: 移除 hasUnicode/energyStore/current/energyAdminUseCase
- gofumpt + goimports 全量格式化 (35+ 文件)
|
2026-06-22 02:27:35 +08:00 |
|
|
|
0014bdb9ff
|
feat: 品牌CMS配置化 + cookie_secure配置
- config.yaml 新增 server.cookie_secure 配置项
- site_settings 新增 site_name/site_tagline/contact_email 站点信息
- SiteInfo 结构体扩展，支持运行时从 DB 读取站点品牌信息
- cookie.go 使用 cfg.Server.CookieSecure 替代 Mode!=debug 判断
- SetSessionCookie/ClearSessionCookie 支持 siteSettings 运行时覆盖
- 模板替换硬编码 MetaLab → {{.SiteName}}（nav/header/footer/home/login/register/guidelines/admin，12+处）
- 管理后台站点设置页新增站点名称/标语/联系邮箱输入项
- 页脚版权年份改为动态 CurrentYear
- 注册成功消息 CMS 化（后端+前端）
|
2026-06-21 23:34:14 +08:00 |
|
|
|
d6d03a7c3c
|
feat: 实现 Redis 会话存储，支持内存/Redis 双模式自动切换
- 新增 go-redis/v9 依赖
- 新增 config.yaml redis 配置段 + RedisConfig 结构体 + REDIS_PASSWORD 环境变量覆盖
- 新增 common/redis.go Redis 客户端初始化
- 完整实现 session/redis_store.go，实现 Store 接口全部 7 个方法
- Redis TTL 自动过期，无须后台清理 goroutine
- deps_core.go 根据 cfg.Redis.Enabled 自动选择 RedisStore/MemoryStore
- router.go + main.go 透传 redisClient 参数
|
2026-05-31 11:28:27 +08:00 |
|
|
|
213b2a571e
|
feat: 登录管理设备列表显示会话类型和剩余有效期
- 临时会话显示橙色'临时会话'徽章
- 非当前设备显示剩余有效时间（临时/长期均显示）
- 当前设备不显示剩余时间（持续续期，显示无意义）
- 新增 formatTTL 模板函数，分钟数转人类可读格式
- sessionConfig 接口增加 GetRememberTimeout 方法
|
2026-05-31 00:36:25 +08:00 |
|
|
|
e3853071d6
|
chore: 清理 JWT 向后兼容残留，移除全部死代码
- 删除 5 个空壳占位文件：auth_token.go/auth_parser.go/repository.go(middleware)/token_service.go/provider.go
- 移除 Config.JWT 字段、JWTConfig 结构体、JWT_SECRET 环境变量绑定
- 移除 config.yaml 中的 jwt 配置段
- 移除 model.User.TokenVersion 字段（session DestroyByUID 替代）
- 移除 service/repository.go 中已废弃的 userTokenStore 接口
|
2026-05-30 23:42:27 +08:00 |
|
|
|
daf87f895b
|
refactor: JWT 无状态认证替换为服务端 Session，修复记住我掉线问题
- 新增 internal/session 包：Session 结构体、Store 接口、MemoryStore（内存+后台清理）、RedisStore 预留
- Cookie 从 3 个精简为 1 个 mlb_sid（HttpOnly），移除 JWT access/refresh cookie
- 会话过期采用滑动窗口：每次请求自动续期，记住我 30 天无操作过期
- AuthMiddleware/AuthAdmin/Maintenance 中间件改用 SessionManager.Validate()
- AuthService Login/Register/ConfirmRestore 去除 token 生成，返回 *model.User
- Controller 层在登录/注册后调用 SessionManager.Create 创建会话
- AdminService UpdateUserStatus/ResetUserToken 同步销毁 session 实现即时退登
- 改密/注销时通过 DestroyByUID 删除所有 session（替换 TokenVersion 检查）
- config.yaml 新增 session 配置段（idle_timeout/remember_timeout/cleanup_interval）
- TokenService/auth_parser/auth_token 标记废弃，移除 JWT 到期字段依赖
|
2026-05-30 23:36:52 +08:00 |
|
|
|
0800ee2f3e
|
feat: 消息通知中心 + 账号安全体系 + Bug修复
## 新增功能
### 消息通知中心 (全新模块)
- 新增 MessageController / NotificationService / NotificationRepo
- SSR 消息页面 (/messages)：左侧边栏 + 右侧卡片列表，noindex 元标签
- 通知能力：列表分页、单条标为已读、一键全部标为已读
- 未读数角标 (1/66/99+)：侧边栏 + 导航栏铃铛图标
- 导航栏轮询 /api/messages/unread 每 60 秒刷新未读数
- 审核通过/驳回时自动 fire-and-forget 推送通知
### 密码修改
- ChangePassword：验证当前密码 → 新密码强度校验(8位+字母+数字) → 哈希更新
- 修改后递增 token_version 强制所有设备退登
### 账号自助注销
- DeleteAccount：验证密码 → 设置 deleted 状态 → 记录原因 → 吊销 JWT
- 注销后登录二次确认：Login 检测 deleted → 返回 confirm_restore
- ConfirmRestore 恢复账号，重新签发 token
- 注销页文案："账号将在 7 天后正式注销，期间可随时重新登录恢复"
### IP 审计记录
- 注册时记录 RegIP，登录时记录 LastLoginIP + LastLoginAt
- clientIP() 支持 X-Forwarded-For / X-Real-IP 反向代理
### 安全加固
- Login 防时序攻击：用户不存在时仍执行完整 bcrypt 比对
- FindByEmail 改用 Unscoped() 覆盖软删除用户
- 站长 (owner) 不允许自主注销，避免权限体系死锁
## Bug 修复
1. 注销按钮不触发：JS IIFE 中 profile 代码 return 阻塞了 account 标签页处理器注册
→ 拆分为两层 IIFE，profile 放在内层
2. label 缺少 for 属性导致控制台警告 → 全部补充 for 属性
3. 注销后未自动退登：DeleteAccount 只设状态未吊销 JWT → 末尾加 InvalidateSessions
4. 退登后重定向 500 panic：authenticateToken 中 err||versionMismatch 合并判断
在 err=nil 但版本不匹配时返回 (nil,nil) → 拆为两个独立判断
injectUserContext 增加 claims==nil / 类型断言空安全守卫
5. 注销后登录直接提示"登录成功"：FindByEmail 默认 scope 排除软删除记录
→ 改用 Unscoped()
## 文件变更
- 新建 17 个文件 (消息/审核/站点设置完整模块)
- 修改 25 个文件 (认证/设置/中间件/前端)
- 统计：+3229 / -161，42 files changed
|
2026-05-27 13:32:45 +08:00 |
|
|
|
39d13993ba
|
fix: 设计原则审查修复 — DIP/ISP, LoD, DRY, OCP, URL, 301缓存
- P0 DIP+ISP: 全链路注入接口，消除零接口紧耦合
- P0 URL: auth 301→302，修复登出后浏览器缓存陷阱
- P1 DRY: JWT 认证逻辑收敛至 TokenService+中间件
- P2 DRY: 前后端角色/状态映射统一为 model 常量
- P2 LoD: 新增 SettingsController，router 不再跨层调 repo
- P2 URL: settings ?tab= → /settings/:tab 伪静态
- P3 OCP: 角色权限 map 化，告别硬编码 switch
|
2026-05-26 21:12:19 +08:00 |
|
|
|
483fdd919f
|
初始化项目：基础设施 + 用户认证 + 后台管理系统 + AGPL 3.0 许可
|
2026-05-26 13:46:33 +08:00 |
|
