|
|
1d862a0dd3
|
feat: 站点媒体库与移动端底部导航，服务测试补强
- 新增媒体库：media_library/media_thumbs 服务（WebP 缩略图）、管理端 media 页面
- 移动端底部导航 MobileTabBar 替换 MobilePostBar
- 旧数据导入增强与测试、路由与登录会话/板块侧边栏测试补强
- site-doc 组件精简（移除 Breadcrumb），文档新增迁移公告说明
|
2026-09-27 02:36:11 +08:00 |
|
|
|
3b550f2124
|
开源前加固认证与部署契约：加密随机 JWT、改密事务吊销、登录 CSRF，并禁止生产回落 localhost。
Co-authored-by: Cursor <cursoragent@cursor.com>
|
2026-09-23 02:07:34 +08:00 |
|
|
|
3a7bfe59df
|
feat: 安全设置展示有效登录会话，支持剔除其它设备
按设备指纹去重并直出 IP；非当前会话可踢下线，对方需重新输入密码。
Co-authored-by: Cursor <cursoragent@cursor.com>
|
2026-09-18 01:48:52 +08:00 |
|
|
|
c44b0efa7d
|
feat(hide): 密码可见隐藏块，发帖双栏预览与门禁体验修复
增加密码解锁与游客签名 cookie；发帖页对齐 1440 并默认双栏预览；修复 locked 解析、按钮对比度与回复聚焦。
Co-authored-by: Cursor <cursoragent@cursor.com>
|
2026-09-17 05:46:42 +08:00 |
|
|
|
055688a6cf
|
refactor: 完成前后端认证体系重构与安全增强
本提交重构了全栈的认证与安全体系，包含以下核心变更：
1. **后端安全增强**：
- 使用常量时间比较修复CSRF校验时序漏洞
- 重构refresh token存储为哈希+密文，支持轮转宽限期与盗用检测
- 新增cookie前缀自动配置，支持__Host-前缀强化生产环境安全
- 优化登出逻辑为单设备登出，合并用户信息与未读通知接口
- 增加数据库迁移脚本，兼容旧版refresh token数据升级
- 新增定时清理过期refresh token任务
2. **前端安全与体验优化**：
- 新增cookie工具库，统一管理认证cookie名与转发逻辑
- 修复开放重定向漏洞，实现安全跳转校验
- 重构SSR请求逻辑，仅转发必要的access token cookie
- 优化middleware轮转逻辑，修复并发请求去重与边缘部署兼容性
- 修复登录态静默校正逻辑，兼容旧版cookie路径与名称
- 新增环境变量示例配置文件
3. **工程化改进**：
修复Next.js类型文件导入路径，统一前后端配置与命名规范
|
2026-09-12 15:23:13 +08:00 |
|
