docs(M08-D): 回填后台登录与会话入口

2026-08-10 13:58:49 +08:00
parent 05110087d1
commit b35af9037f
7 changed files with 73 additions and 25 deletions
@@ -0,0 +1,8 @@
+# 2026-08-10 M08-D 后台密码认证
+
+- 版本：`2026081004_m08d_admin_password_auth`
+- up：新增 `qipai_admin_credentials`，按租户唯一约束登录名和 STAFF 用户，保存 scrypt 哈希、失败次数、锁定时间、密码变更及最近登录时间。
+- 会话扩展：`qipai_auth_sessions` 新增 `refresh_token_hash`、`refresh_expires_at` 和活动刷新过期索引；刷新令牌只保存 SHA-256，不保存可直接使用的明文。
+- down：先删除刷新索引与两列，再删除后台凭据表和迁移版本；与既有顾客微信登录会话兼容。
+- verify：检查凭据表、会话列、唯一/刷新索引和迁移版本。
+- WSL MySQL 8.4.10 已完成 144 up、124 verify、140 down 的 `up → verify → down → up → verify` 往返；实测 scrypt 登录、失败审计、刷新轮换、旧令牌拒绝及无明文密码。