freefire
055688a6cf
本提交重构了全栈的认证与安全体系，包含以下核心变更： 1. **后端安全增强**： - 使用常量时间比较修复CSRF校验时序漏洞 - 重构refresh token存储为哈希+密文，支持轮转宽限期与盗用检测 - 新增cookie前缀自动配置，支持__Host-前缀强化生产环境安全 - 优化登出逻辑为单设备登出，合并用户信息与未读通知接口 - 增加数据库迁移脚本，兼容旧版refresh token数据升级 - 新增定时清理过期refresh token任务 2. **前端安全与体验优化**： - 新增cookie工具库，统一管理认证cookie名与转发逻辑 - 修复开放重定向漏洞，实现安全跳转校验 - 重构SSR请求逻辑，仅转发必要的access token cookie - 优化middleware轮转逻辑，修复并发请求去重与边缘部署兼容性 - 修复登录态静默校正逻辑，兼容旧版cookie路径与名称 - 新增环境变量示例配置文件 3. **工程化改进**： 修复Next.js类型文件导入路径，统一前后端配置与命名规范
39 lines
956 B
Go
39 lines
956 B
Go
package main
|
|
|
|
import (
|
|
"fmt"
|
|
"log"
|
|
|
|
"github.com/freefire/jiang13-bbs/config"
|
|
"github.com/freefire/jiang13-bbs/model"
|
|
"github.com/freefire/jiang13-bbs/router"
|
|
"github.com/freefire/jiang13-bbs/service"
|
|
)
|
|
|
|
func main() {
|
|
cfg, err := config.Parse()
|
|
if err != nil {
|
|
log.Fatalf("配置解析失败: %v", err)
|
|
}
|
|
|
|
if err := model.InitDB(cfg.DBDSN); err != nil {
|
|
log.Fatalf("数据库初始化失败: %v", err)
|
|
}
|
|
|
|
// 生产 HTTPS 启用 __Host- 认证 cookie 前缀（须在路由注册、读写 cookie 前配置）
|
|
service.ConfigureCookieNames(!cfg.DevMode)
|
|
// 过期/已吊销 refresh token 定期清理
|
|
service.StartRefreshTokenCleanup(model.DB)
|
|
|
|
r, err := router.Setup(cfg)
|
|
if err != nil {
|
|
log.Fatalf("路由初始化失败: %v", err)
|
|
}
|
|
|
|
addr := fmt.Sprintf(":%d", cfg.Port)
|
|
log.Printf("[jiang13-bbs] 服务启动于 %s (dev=%v)", addr, cfg.DevMode)
|
|
if err := r.Run(addr); err != nil {
|
|
log.Fatalf("服务启动失败: %v", err)
|
|
}
|
|
}
|