docs(M08-D): 回填后台登录与会话入口

2026-08-10 13:58:49 +08:00
parent 05110087d1
commit b35af9037f
7 changed files with 73 additions and 25 deletions
@@ -282,3 +282,29 @@ M08-D 保持 `DOING`。加盟申请与跟进运营完成；下一工程增量补
 ### 状态

 M08-D 保持 `DOING`。审计日志与系统配置增量完成；下一工程增量补后台登录、访问令牌续期、401 清理和当前会话入口，替换手工粘贴令牌。
+
+## 2026-08-10 后台登录与可撤销会话
+
+- `ENGINEERING_DELTA=YES`
+- 新增租户代码、后台账号和密码登录页，替换手工粘贴访问令牌；恢复页面时通过 `/auth/me` 重新取得服务端权限，菜单按 roles/capabilities 生成。
+- 新增 scrypt 密码凭据、连续失败锁定、成功/失败审计、短期 JWT、随机刷新令牌 SHA-256 存储和并发安全单次轮换；注销、密码更新、用户禁用及权限版本变化继续即时撤销会话。
+- Vue 请求层新增 request ID、401 单飞续期、令牌轮换同步与失败清理；员工工作区可由租户管理员设置唯一登录名和强密码，旧会话自动撤销。
+
+### 测试证据
+
+- Windows `scripts/dev/windows/test-all.ps1`：34.2 秒完成后端全测、迁移计划、M08 静态门禁和 Vue TypeScript/生产构建；新增文件暂存后，直接执行仓库完整性、敏感信息和空白门禁均通过。
+- WSL 原生临时副本 + MySQL 8.4.10：23.7 秒退出码 0；144 条 up、124 条 verify、140 条 down 完成 `up → verify → down → up → verify`。
+- MySQL 实测真实 scrypt 凭据、错误密码失败审计、成功登录、刷新令牌轮换、旧令牌拒绝和数据库无明文密码；路由测试覆盖锁定、当前会话、弱密码拒绝、凭据设置及注销。
+- Windows 参考包检查结束时曾遇临时解压目录占用提示，不影响仓库、构建或测试；既有 Element Plus 大 chunk 和参考 xjar 超 100MB 仍为非阻塞提示。
+
+### 变更影响
+
+- 数据库：新增 `2026081004_m08d_admin_password_auth` 可逆迁移，扩展既有会话表并新增后台凭据表。
+- API：新增后台登录、刷新、当前会话、注销和 STAFF 登录凭据设置接口。
+- 后台：正式登录页替换手工令牌；菜单和当前用户由服务端会话驱动，401 自动续期或安全退出。
+- 部署：后端、后台静态产物和迁移有变化；未自动部署生产。
+- 工程提交：`0511008`，已推送并验证 `HEAD == origin/main`。
+
+### 状态
+
+M08-D 可独立工程内容完成。M08 真实微信、团购和硬件现场验收继续保持 `PARTIAL/BLOCKED_EXTERNAL`，执行游标按规则进入 M09-A 保洁任务状态机复核与补齐。