1.2 KiB
1.2 KiB
DV-0001：认证与会话 – 规格（Spec）
- 状态：Implemented
- 关联 ADR：ADR-0003
目标
提供安全的用户认证与会话管理，为所有受保护资源提供身份基础。
范围
- In：注册、登录、登出、修改密码、个人资料、头像上传、JWT Bearer + Redis 双校验。
- Out：第三方 SSO/OAuth 登录。
用户故事
作为用户，我希望登录一次后持续访问项目/文档，以便高效工作而不反复输入凭据。
功能需求（FR）
| ID | 需求描述 | 验收要点 |
|---|---|---|
| FR-1 | 注册/登录/登出、改密、资料、头像 | 登录返回 JWT；退出后 token 失效 |
| FR-1a | 每次请求经 get_current_user 校验 | Redis 缓存 + JWT 完整性 + 用户状态；禁用即拒绝 |
非功能需求（NFR）
| ID | 需求 |
|---|---|
| NFR-1 | 密码 bcrypt 哈希存储，绝不明文 |
| NFR-2 | JWT + Redis Token 缓存双校验；token 存 Redis 可失效 |
| NFR-9 | 敏感日志脱敏（缺陷，见 OI-1） |
边界与约束
- 使用 OAuth2 password bearer；token 有效期 ACCESS_TOKEN_EXPIRE_MINUTES=1440。
- 用户被禁用（status!=1）即拒绝访问。