duxingchen
cfcfca7269
第一阶段：模型 → 判定 → /auth/me → 列表。统计接口与前端管理页随后。
1) 模型与迁移（head 从 k1l2m3n4o5p6 推进到 l1m2n3o4p5q6）
· business_groups 组定义，parent_id 表达「大组 > 小组」
· business_group_phases 可见范围，独立成表以支持多选 —— 需求要求
「范围可配置、不要写死」，单列存不下多个 phase
· business_group_members 成员，一人可属多组（这是「同时看生产+维修」的实现）
只建表、不写种子数据，所以可以先部署代码再建组。
2) DataScope 判定模块（app/services/data_scope_service.py）
全仓库唯一的权限谓词来源，业务代码里不准再出现 lifecycle_phase 过滤。
两条红线照抄部门隔离的教训：
· None(不限) 与 frozenset()(空) 语义相反，绝不共用一个哨兵值
· 空集合必须显式 false() —— SQLAlchemy 对 in_(()) 生 成 IN (NULL)，
一旦退化成不过滤就是全量泄漏
解析优先级：SUPER_ADMIN 硬放行（不可被分组覆盖）
> 显式分组（分组优先于角色）
> 未分组 SUPERVISOR 默认全厂
> 未分组普通用户
3) 过渡期开关 DATA_SCOPE_UNGROUPED（默认 ALL）
直接上严格模式会让所有未分组工人当场看不到自己的任务、现场停摆。
默认 ALL 先放行并打 WARNING 记录「谁还没分组」，配好组后再改 NONE。
4) /auth/me 返回 scope，phase 中文标签由服务端下发
—— 前端已有两份 phase 词表副本，不再加第三份。
5) 列表接口接入
· get_all_products：过滤加在 offset/limit 之前（其下有 6 段基于 product_ids
的批量预计算，过滤晚了等于算完再丢）
· get_all_tasks：谓词进【共享 filters】，保证 count 与 select 两条独立语句
同时生效，否则 total 与实际页不一致、移动端 hasMore 判断跟着错
· 扫码 get_product_by_serial 刻意不过滤，理由写死在 docstring 里
实测：空 scope 生成 false、受限 scope 生成 JOIN + IN 谓词；
/products 返回 2 条、/tasks 的 total 与 returned 一致。
113 lines
5.2 KiB
Python
113 lines
5.2 KiB
Python
"""认证 API — 对接 MOM sys_user + 双 Token 刷新"""
|
||
from fastapi import APIRouter, Depends, Request
|
||
from sqlalchemy.ext.asyncio import AsyncSession
|
||
|
||
from app.schemas.user import (
|
||
DataScopeInfo,
|
||
LoginRequest,
|
||
LoginResponse,
|
||
RefreshRequest,
|
||
RefreshResponse,
|
||
UserResponse,
|
||
)
|
||
from app.core.database import get_db
|
||
from app.core.deps import get_data_scope
|
||
from app.core.security import peek_token_identity
|
||
from app.services.auth_service import login, refresh_access_token, get_current_user
|
||
from app.services.data_scope_service import (
|
||
DataScope,
|
||
scope_group_names,
|
||
scope_phase_labels,
|
||
)
|
||
|
||
router = APIRouter(prefix="/auth", tags=["认证"])
|
||
|
||
|
||
@router.post("/login", response_model=LoginResponse)
|
||
def login_endpoint(data: LoginRequest, request: Request):
|
||
"""登录 — 验证 MOM sys_user 表，返回 Access + Refresh 双 Token"""
|
||
# 登录请求本身尚未认证，中间件拿不到操作人。但「谁在尝试登录、失败了多少次」
|
||
# 恰恰是审计里最该有的信息，所以在校验之前就把尝试的账号写进 state：
|
||
# 登录失败时同样留痕，且能按账号追踪暴力破解。
|
||
# 注意：绝不把 data.password 写进 state / 审计，密码不落库。
|
||
request.state.audit_user = data.username
|
||
result = login(data.username, data.password)
|
||
|
||
# 登录成功后补上显示名 / 角色 —— 否则审计里这条记录的「操作人」会退化成账号
|
||
# （前端按 display_name || user_id 渲染，见 AdminAuditLogPage）。
|
||
# 能在这里补的原因：中间件是在 call_next 返回【之后】才落库的，此刻写入
|
||
# request.state 依然会被采集到。
|
||
# 失败登录走不到这里，保持「只有账号可追责」——这正是想要的语义。
|
||
if result.user:
|
||
request.state.audit_display_name = result.user.display_name
|
||
request.state.audit_role = result.user.role
|
||
return result
|
||
|
||
|
||
@router.post("/refresh", response_model=RefreshResponse)
|
||
def refresh_endpoint(data: RefreshRequest, request: Request):
|
||
"""刷新 Access Token — 使用 Refresh Token 换取新的 Access Token"""
|
||
# 本接口刻意不挂 get_current_user：能用到这里，正是因为 access token 已经
|
||
# 过期/缺失，请求里没有 Authorization 头，JWT 依赖不会执行 → 审计拿不到操作人，
|
||
# 记录只能显示「未认证」。
|
||
# 但 refresh token 里本来就带着完整身份（sub/username/display_name/role），
|
||
# 解出来写进 state，审计才能记到人 —— 而"谁在何时尝试刷新"正是要留痕的。
|
||
# 注意 peek 只用于审计标注，鉴权判断一律走 get_current_user。
|
||
identity = peek_token_identity(data.refresh_token)
|
||
if identity:
|
||
request.state.audit_user = identity.get("username") or identity.get("sub")
|
||
request.state.audit_display_name = identity.get("display_name") or ""
|
||
request.state.audit_role = identity.get("role") or ""
|
||
return refresh_access_token(data.refresh_token)
|
||
|
||
|
||
@router.post("/logout")
|
||
def logout_endpoint(current_user: dict = Depends(get_current_user)):
|
||
"""登出 —— 仅用于审计留痕。
|
||
|
||
JWT 是无状态的，服务端没有可吊销的会话，因此本接口**不做任何令牌失效**
|
||
（客户端清掉本地 token 即为登出），返回体也没有实际语义。
|
||
|
||
它存在的唯一目的：让审计中间件记下「谁在何时退出了系统」。
|
||
没有这个端点时，前端「退出」只清本地存储、不产生任何请求，
|
||
退出动作在审计里完全不可见 —— 而"谁在什么时候退掉了系统"
|
||
在追责场景下和"谁登录了"同等重要。
|
||
|
||
挂 Depends(get_current_user) 是为了让 JWT 依赖把操作人写进 request.state
|
||
（见 auth_service.get_current_user），记录到真实姓名而非「未认证」。
|
||
"""
|
||
return {"ok": True}
|
||
|
||
|
||
@router.get("/me", response_model=UserResponse)
|
||
async def get_me(
|
||
current_user: dict = Depends(get_current_user),
|
||
scope: DataScope = Depends(get_data_scope),
|
||
db: AsyncSession = Depends(get_db),
|
||
):
|
||
"""获取当前用户信息 + 业务分组数据范围。
|
||
|
||
为什么把 scope 挂在这里而不是新开 /auth/data-scope：
|
||
前端 AuthContext 挂载时**本来就会调一次本接口**，顺手返回是零额外请求；
|
||
新开接口则要在每个页面额外拉一次。响应只新增可选字段，路径与结构不变。
|
||
|
||
拿到 scope 后前端能在页头显示「维修组 · 售后回流」或
|
||
「未分组 · 暂无数据权限」—— 后者尤其重要：列表为空时必须让用户知道
|
||
是权限问题，而不是以为系统坏了。
|
||
"""
|
||
return UserResponse(
|
||
id=current_user["sub"],
|
||
username=current_user.get("username", ""),
|
||
display_name=current_user.get("display_name", ""),
|
||
role=current_user.get("role", "operator"),
|
||
scope=DataScopeInfo(
|
||
is_unrestricted=scope.is_unrestricted,
|
||
is_empty=scope.is_empty,
|
||
phases=sorted(scope.phases) if scope.phases else [],
|
||
phase_labels=scope_phase_labels(scope),
|
||
groups=await scope_group_names(db, scope),
|
||
is_leader=bool(scope.leader_of),
|
||
reason=scope.reason,
|
||
),
|
||
)
|