2 Commits

Include renames

Author	SHA1	Message	Date
lzf_0626	b1429aa364	登录接口配套：加人工具 + 给组员的转交文档（docs/29） ... - tools/create_test_user.py：一条命令建"可登录的测试账号"（用户 + 角色 + bcrypt 密码）， 并用 IdentityService.resolve 打印**真实解析结果**。sys_user / sys_user_role 没有 ORM 模型、全靠裸 SQL，手写容易漏必填字段；更要紧的是 assigned_at 那个静默陷阱（见下）。 重复执行同一 --id 是覆盖语义，改角色也用它。 - tools/set_user_password.py：hash_password 改从 auth_service 取，消除第二份实现。 - app/service/auth_service.py：新增 hash_password，与 verify_password 放在一起， 让"写密码"和"校验密码"永远同一套算法。 - docs/29-Agent组员登录接口使用说明.md：给组员的转交文档（接口契约、加人步骤、 前端接入示例、常见问题、当前边界）。 文档里专门写清三条最容易踩的： 1. 登录用 username 而不是用户 id —— 演示账号是 cust_t / risk_t / admin_t， 不是 9001/9002/9003。这条不写明，联调时一定有人按 id 试。 2. sys_user_role.assigned_at 的 DATETIME(0) 毫秒舍入陷阱：落在未来会让账号 "登录成功但 roles=()"，**不报错**。create_test_user 统一往前留 5 秒。 3. roles / data_scope 只用于前端分流界面，不是权限凭证 —— 鉴权每次请求查库解析， 所以权限变更立即生效，前端也不该拿它们做安全判断。 另：create_test_user 的 ON DUPLICATE KEY UPDATE 用 MySQL 8.0.19+ 的 `AS new` 别名语法， 避开已弃用的 VALUES()（实测本机 8.0.27 会打弃用警告）。 验证：文档守卫 38 份无编号冲突 / ruff 干净 / mypy 183 文件 0 错 / 登录集成测试 10 passed。	2026-09-11 20:50:41 +08:00
lzf_0626	01ee68034d	新增登录接口：账号密码换访问令牌（POST /api/v1/auth/tokens） ... 背景：客户 / 员工 / 管理员三种身份此前无法区分。但区分逻辑其实早就完备 —— bootstrap.py 里各 Agent 的 allowed_roles 一直是分开的（CustomerServiceAgent 只要 customer、RiskAgent 要 risk_operator/admin、PlatformProbeAgent 只要 admin）， 唯独缺"怎么证明你是谁"；sys_user.password_hash 字段也一直存在，只是全是占位符 （种子写 'x'、worker 身份写 !worker-only-no-password-login!），从没写过真实密码。 实现： - app/service/auth_service.py：bcrypt 校验 + 签发只含 sub 的 JWT + 审计。令牌里只放 sub 是刻意的：角色/权限/数据范围由 IdentityService 每次请求查库解析 （identity_repository.load_context），权限变更因此立即生效，现有鉴权链路一行未改。 - app/api/controllers/auth.py + app/api/schemas/auth.py：POST /api/v1/auth/tokens， 响应含 roles/data_scope 供前端决定进哪个界面（鉴权仍以库里实时数据为准）。 - tools/set_user_password.py：设密码（客户 123456 / 员工 666666 / 管理员 88888888）。 ⚠️ 脚本与文档均标注"仅限演示环境"，这三种弱口令上线前必须更换。 - pyproject / requirements 加 bcrypt（cryptography 只用于 JWT，不提供密码哈希）。 安全约定（逐条有实现与测试）：失败不区分原因 —— 用户不存在/密码错/账号停用返回同一条 401，否则接口就成了账号枚举器；用户不存在时也跑一次 bcrypt 以抹掉时序差异； 成功与失败都写 interaction_audit（actor_id 可空正是为失败场景准备的）；绝不记录密码。 过程中踩到一个自己挖的坑：给登录路由挂了通用的 enforce_rate_limit，而它声明依赖 build_request_context ⇒ 变成"要登录先登录"，所有登录都 401。改为新增 enforce_login_rate_limit：按客户端 IP 独立限流（60 秒 10 次）、不依赖认证上下文。 集成测试据此调整：注入恒放行替身隔离跨用例的计数累积，同时保留一个恒超限用例验证闸门 确实会拦 —— 不能因为加了替身就把这道防线测丢。 接口登记：docs/05 §19 加 A034；并更新 §11 —— 那里原写"JWT 签发、刷新、注销由统一身份 认证模块负责，Agent 平台不重复实现"，现注明平台只做登录这一步，刷新/注销仍归该模块。 验证：ruff 干净 / mypy 183 文件 0 错 / 文档守卫 37 份无重号（此前因 docs/21 重号失败）/ unit+contract 1140 passed / integration 90 passed。	2026-09-11 20:43:21 +08:00