wangchuanli
df7db3582e
数据隔离
- settings / usage_records 主键改为 (user_id, key) / (user_id, request_id)，
索引一律以 user_id 打头；collect_runs / audit_log 增加 user_id
- query / collect / scheduler 全链路把 uid 作为 conn 之后的第一个位置参数且无默认值
（漏传直接 TypeError，不会退化成「返回全量」）
- 配置三级回落 个人→实例→DEFAULTS；NO_FALLBACK_KEYS={cookie,user_agent} 不回落
凭证保密
- 新增 workbuddy_portal/crypto.py：手写 ChaCha20(RFC8439 §2.3) + HMAC-SHA256
encrypt-then-MAC，零第三方依赖；主密钥 cookie_key 与 SECRET_KEY 分键位存放
- get_secret() 是取明文的唯一通道；get_settings() 把加密键置空；
secret_state() 只回 {set,chars,tail,broken}；升级时自动加密历史明文
注册与验证码
- 新增 /register 与 workbuddy_portal/captcha.py（手写 PNG + 点阵字模 + 干扰线）
- 验证码答案只存服务端表、不进 session，一次性、5 分钟过期、按 purpose 隔离
- allow_register / register_max_per_ip / captcha_policy / captcha_length 四个实例级开关
- 失败限速改为 IP + 用户名双维度；停用账号每请求回查、立即失效
页面
- 新增 /profile（个人中心）与注册页；登录页加验证码与自助注册入口
- /config 增加凭证状态、cookie_broken 告警、实例级设置区；/users 增加邮箱/状态与启停
修复
- base.html 顶层 {% set me %} 覆盖子模板同名变量，导致个人中心「注册于」渲染为空
- WB_COOKIE_SECURE 未写进 compose 的 environment，在 .env 里设了不生效
- 「修改登录密码」提示写「至少 6 位」，与实际策略（≥8 位 + 两类字符）不符
- 「用户管理」删除说明写「可勾选保留」，与页面实际行为不符
- 注册页与 flash 文案里的 **强调** Markdown 字面量
验证与文档
- smoke.py 99 → 165 项断言（多用户隔离 / 凭证保密 / 注册与验证码 / 3 条防回归）
- check_live.py 56 → 83 项断言（新增注册 / 验证码 / 安全响应头一节）
- demo_data.py 造两个账号；shots.py 自动过验证码、重出 11 张截图
- README / SECURITY / ARCHITECTURE / API / DEPLOYMENT / USER-GUIDE / FAQ / CHANGELOG / CONTRIBUTING 同步
41 行
1.8 KiB
HTML
41 行
1.8 KiB
HTML
{% extends "base.html" %}
|
|
{% block title %}登录 · {{ project_title }}{% endblock %}
|
|
{% block body %}
|
|
<div class="loginwrap">
|
|
<form class="card login" method="post" action="{{ url_for('views.login') }}">
|
|
<div class="logo">W</div>
|
|
<h1>{{ project_title }}</h1>
|
|
<p class="hint">{{ project_desc }}</p>
|
|
<input type="hidden" name="_csrf" value="{{ csrf_token() }}">
|
|
<input type="hidden" name="next" value="{{ next_url or '' }}">
|
|
<label>用户名
|
|
<input name="username" value="{{ username or '' }}" autocomplete="username"
|
|
autofocus required maxlength="32">
|
|
</label>
|
|
<label>密码
|
|
<input name="password" type="password" autocomplete="current-password" required>
|
|
</label>
|
|
{% if need_captcha %}
|
|
<label>验证码
|
|
<span class="caprow">
|
|
<input name="captcha" maxlength="6" autocomplete="off" spellcheck="false"
|
|
required placeholder="不区分大小写">
|
|
{# 点击换一张：URL 带时间戳，避免浏览器复用已被消费的旧图 #}
|
|
<img class="capimg" alt="图形验证码" title="看不清？点一下换一张"
|
|
src="{{ url_for('views.captcha_png', purpose='login') }}&t={{ range(1000000)|random }}"
|
|
onclick="this.src='{{ url_for('views.captcha_png', purpose='login') }}&t=' + Date.now();">
|
|
</span>
|
|
</label>
|
|
{% endif %}
|
|
<button class="btn primary" type="submit">登 录</button>
|
|
{% if allow_register %}
|
|
<p class="foot-note">还没有账号？<a href="{{ url_for('views.register') }}">自助注册</a></p>
|
|
{% endif %}
|
|
<p class="foot-note">
|
|
首次部署默认账号 <code>admin</code> / <code>admin123</code>，登录后请立即修改密码。<br>
|
|
连续输错 {{ max_fails }} 次将锁定 {{ lock_minutes }} 分钟；登录状态保持 {{ session_hours }} 小时。
|
|
</p>
|
|
</form>
|
|
</div>
|
|
{% endblock %}
|