yml2213
453a637480
安全修复: - WebSocket 端点添加认证（cookie/token），防止未授权窃听日志 - SPA serve_spa 添加路径遍历防护（resolve + relative_to 检查） - Token 改用 httpOnly Cookie 存储，移除前端 localStorage token（防 XSS 窃取） - 添加安全响应头中间件（X-Content-Type-Options/X-Frame-Options/Referrer-Policy） - HTTP 请求日志脱敏请求体中的 password/secret/token 等敏感字段 - 权限检查统一使用 user_has_permission（考虑自定义权限，修复 has_permission 忽略 custom_permissions 的缺陷） 性能与稳定性: - cookies.py 列表接口修复 N+1 查询（改为批量查询 Account） - login_service.py run() 结束时关闭 DB Session（防止连接泄漏） - _active_batches/_active_tests 全局字典添加 threading.Lock（防止并发竞态） 配置优化: - CORS 源支持环境变量 CORS_ORIGINS 配置 - Uvicorn reload 支持环境变量 UVICORN_RELOAD 控制（生产环境默认关闭） - Cookie 安全标志支持环境变量 COOKIE_SECURE 配置（HTTPS 部署时启用） - logs.py 权限不足返回 HTTP 403（原来返回 200 + message）
57 lines
1.3 KiB
TypeScript
57 lines
1.3 KiB
TypeScript
import { authApi } from '../api/modules';
|
|
|
|
export interface AuthUser {
|
|
id: number;
|
|
username: string;
|
|
role: string;
|
|
role_label?: string;
|
|
permissions: string[];
|
|
}
|
|
|
|
const USER_KEY = 'user';
|
|
|
|
// Token 存储在 httpOnly cookie 中，JS 无法读取，防 XSS 窃取
|
|
// 前端仅用 localStorage 存储用户信息（非敏感），用于判断登录状态和显示
|
|
|
|
export function getUser(): AuthUser | null {
|
|
const raw = localStorage.getItem(USER_KEY);
|
|
if (!raw) return null;
|
|
try {
|
|
return JSON.parse(raw);
|
|
} catch {
|
|
return null;
|
|
}
|
|
}
|
|
|
|
export function setAuth(user: AuthUser) {
|
|
localStorage.setItem(USER_KEY, JSON.stringify(user));
|
|
}
|
|
|
|
export function clearAuth() {
|
|
localStorage.removeItem(USER_KEY);
|
|
}
|
|
|
|
export async function fetchCurrentUser(): Promise<AuthUser | null> {
|
|
// 通过 /me 接口验证 cookie 是否有效
|
|
try {
|
|
const data = await authApi.me();
|
|
const user: AuthUser = {
|
|
id: data.id,
|
|
username: data.username,
|
|
role: data.role,
|
|
role_label: data.role_label,
|
|
permissions: data.permissions,
|
|
};
|
|
setAuth(user);
|
|
return user;
|
|
} catch {
|
|
clearAuth();
|
|
return null;
|
|
}
|
|
}
|
|
|
|
export function hasPerm(user: AuthUser | null, perm: string): boolean {
|
|
if (!user) return false;
|
|
return user.permissions.includes(perm);
|
|
}
|