freefire
055688a6cf
本提交重构了全栈的认证与安全体系，包含以下核心变更： 1. **后端安全增强**： - 使用常量时间比较修复CSRF校验时序漏洞 - 重构refresh token存储为哈希+密文，支持轮转宽限期与盗用检测 - 新增cookie前缀自动配置，支持__Host-前缀强化生产环境安全 - 优化登出逻辑为单设备登出，合并用户信息与未读通知接口 - 增加数据库迁移脚本，兼容旧版refresh token数据升级 - 新增定时清理过期refresh token任务 2. **前端安全与体验优化**： - 新增cookie工具库，统一管理认证cookie名与转发逻辑 - 修复开放重定向漏洞，实现安全跳转校验 - 重构SSR请求逻辑，仅转发必要的access token cookie - 优化middleware轮转逻辑，修复并发请求去重与边缘部署兼容性 - 修复登录态静默校正逻辑，兼容旧版cookie路径与名称 - 新增环境变量示例配置文件 3. **工程化改进**： 修复Next.js类型文件导入路径，统一前后端配置与命名规范
29 lines
1.4 KiB
TypeScript
29 lines
1.4 KiB
TypeScript
// 认证 cookie 名（前后端必须严格一致）：
|
||
// 生产构建（HTTPS）启用 __Host- 前缀，浏览器强制 Secure + Path=/ + 无 Domain；
|
||
// 后端按 !DevMode 同步启用（见 backend/service/auth.go ConfigureCookieNames）。
|
||
const HOST_PREFIX = process.env.NODE_ENV === "production" ? "__Host-" : "";
|
||
|
||
export const TOKEN_COOKIE = `${HOST_PREFIX}j13_token`;
|
||
export const REFRESH_COOKIE = `${HOST_PREFIX}j13_refresh`;
|
||
export const CSRF_COOKIE = `${HOST_PREFIX}j13_csrf`;
|
||
|
||
type CookieReader = {
|
||
get(name: string): { value: string } | undefined;
|
||
};
|
||
|
||
// 构造转发给后端的最小 Cookie 头：SSR 公开/鉴权接口只需要 access token 来
|
||
// 识别用户（填充 liked 等状态），不应把 refresh token、主题等无关 cookie 全量转发。
|
||
// 返回空串表示当前无登录凭据，调用方应省略 Cookie 头。
|
||
export function authCookieHeader(store: CookieReader): string {
|
||
const token = store.get(TOKEN_COOKIE);
|
||
return token ? `${TOKEN_COOKIE}=${token.value}` : "";
|
||
}
|
||
|
||
// 客户端判断浏览器是否可能持有登录态：j13_csrf 非 HttpOnly 可读，
|
||
// 生命周期与 refresh 一致，适合作为挂载后静默校正的触发信号。
|
||
export function hasAuthCookieHint(): boolean {
|
||
if (typeof document === "undefined") return false;
|
||
const escaped = CSRF_COOKIE.replace(/[.*+?^${}()|[\]\\]/g, "\\$&");
|
||
return new RegExp(`(?:^|;\\s*)${escaped}=`).test(document.cookie);
|
||
}
|