feat(auth): 后台登录改为滑动会话

- JWT 记录 iat，exp=min(now+24h, iat+7d) - 已认证请求自动续签 httpOnly Cookie - 新增 ACCESS_TOKEN_IDLE_HOURS / ACCESS_TOKEN_MAX_HOURS
2026-10-25 14:07:44 +08:00
parent 935be7a613
commit 6fc453017c
9 changed files with 378 additions and 35 deletions
@@ -39,6 +39,9 @@ services:
      - DB_POOL_RECYCLE=${DB_POOL_RECYCLE:-1800}
      # JWT 密钥（生产环境务必修改，可用 python -c "import secrets; print(secrets.token_urlsafe(32))" 生成）
      - JWT_SECRET_KEY=${JWT_SECRET_KEY:-}
+      # 后台登录滑动会话：24h 空闲过期，7d 绝对上限。
+      - ACCESS_TOKEN_IDLE_HOURS=${ACCESS_TOKEN_IDLE_HOURS:-24}
+      - ACCESS_TOKEN_MAX_HOURS=${ACCESS_TOKEN_MAX_HOURS:-168}
      # 敏感字段落盘加密密钥（生产环境务必长期保持不变）
      - APP_ENCRYPTION_KEY=${APP_ENCRYPTION_KEY:-}
      # 默认管理员账号密码（仅首次启动建库时生效）