From 17b2fab5cac3182576b7c60f4c1242c3ce0fb81a Mon Sep 17 00:00:00 2001 From: duxingchen Date: Mon, 21 Sep 2026 11:20:59 +0800 Subject: [PATCH] =?UTF-8?q?fix(audit):=20=E8=A1=A5=E9=BD=90=E3=80=8C?= =?UTF-8?q?=E9=80=80=E5=87=BA=E3=80=8D=E7=95=99=E7=97=95=20+=20=E7=99=BB?= =?UTF-8?q?=E5=BD=95=E8=AE=B0=E5=BD=95=E6=98=BE=E7=A4=BA=E4=B8=AD=E6=96=87?= =?UTF-8?q?=E6=93=8D=E4=BD=9C=E4=BA=BA?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit 【问题①：退出动作在审计里完全不可见】 根因：后端没有 logout 接口。前端「退出」只清本地 localStorage、不产生任何 请求，中间件自然无从采集（中间件里早已预留 "logout" 动作映射，但端点没做）。 - 新增 POST /auth/logout，【仅用于留痕】。JWT 无状态，服务端本就没有可吊销 的会话，该接口不做任何令牌失效动作 —— 它存在的唯一目的，是让审计记下 「谁在何时退出了系统」。这点在 docstring 里写明，免得日后被误当安全边界。 - 挂 Depends(get_current_user)，让 JWT 依赖把操作人写进 request.state， 从而记录到真实姓名而非「未认证」 - 前端 logout 改为【先上报、后清 token】。顺序不能反：api.ts 的请求拦截器 是从 localStorage 取 token 的，清掉后就发不出这个请求了。 刻意不 await、失败也不阻断 —— 用户点「退出」必须退得掉。 【问题②：登录记录的「操作人」显示英文账号而非中文名】 根因：登录接口只写了 request.state.audit_user（账号），没写 audit_display_name —— 那一刻还不知道显示名。前端按 display_name || user_id 渲染，于是退化成账号。 - 改为登录成功后补写 display_name / role。可行的原因是中间件在 call_next 返回【之后】才落库，此刻写 request.state 依然能被采集到。 - 失败登录走不到这一步，保持「只有账号可追责」（密码绝不落库），语义不变。 --- backend/app/api/v1/endpoints/auth.py | 30 ++++++++++++++++++++++++++- frontend/src/contexts/AuthContext.tsx | 7 ++++++- frontend/src/services/authApi.ts | 17 ++++++++++++++- 3 files changed, 51 insertions(+), 3 deletions(-) diff --git a/backend/app/api/v1/endpoints/auth.py b/backend/app/api/v1/endpoints/auth.py index d40d7bb..da1e198 100644 --- a/backend/app/api/v1/endpoints/auth.py +++ b/backend/app/api/v1/endpoints/auth.py @@ -20,7 +20,17 @@ def login_endpoint(data: LoginRequest, request: Request): # 登录失败时同样留痕，且能按账号追踪暴力破解。 # 注意：绝不把 data.password 写进 state / 审计，密码不落库。 request.state.audit_user = data.username - return login(data.username, data.password) + result = login(data.username, data.password) + + # 登录成功后补上显示名 / 角色 —— 否则审计里这条记录的「操作人」会退化成账号 + # （前端按 display_name || user_id 渲染，见 AdminAuditLogPage）。 + # 能在这里补的原因：中间件是在 call_next 返回【之后】才落库的，此刻写入 + # request.state 依然会被采集到。 + # 失败登录走不到这里，保持「只有账号可追责」——这正是想要的语义。 + if result.user: + request.state.audit_display_name = result.user.display_name + request.state.audit_role = result.user.role + return result @router.post("/refresh", response_model=RefreshResponse) @@ -29,6 +39,24 @@ def refresh_endpoint(data: RefreshRequest): return refresh_access_token(data.refresh_token) +@router.post("/logout") +def logout_endpoint(current_user: dict = Depends(get_current_user)): + """登出 —— 仅用于审计留痕。 + + JWT 是无状态的，服务端没有可吊销的会话，因此本接口**不做任何令牌失效** + （客户端清掉本地 token 即为登出），返回体也没有实际语义。 + + 它存在的唯一目的：让审计中间件记下「谁在何时退出了系统」。 + 没有这个端点时，前端「退出」只清本地存储、不产生任何请求， + 退出动作在审计里完全不可见 —— 而"谁在什么时候退掉了系统" + 在追责场景下和"谁登录了"同等重要。 + + 挂 Depends(get_current_user) 是为了让 JWT 依赖把操作人写进 request.state + （见 auth_service.get_current_user），记录到真实姓名而非「未认证」。 + """ + return {"ok": True} + + @router.get("/me", response_model=UserResponse) def get_me(current_user: dict = Depends(get_current_user)): """获取当前用户信息（从 Access Token 解析）""" diff --git a/frontend/src/contexts/AuthContext.tsx b/frontend/src/contexts/AuthContext.tsx index 7066608..aa4ef32 100644 --- a/frontend/src/contexts/AuthContext.tsx +++ b/frontend/src/contexts/AuthContext.tsx @@ -7,7 +7,7 @@ import { useEffect, type ReactNode, } from "react"; -import { login as loginApi, getMe } from "../services/authApi"; +import { login as loginApi, getMe, logout as logoutApi } from "../services/authApi"; // ============================================================ // 类型 @@ -114,6 +114,11 @@ export function AuthProvider({ children }: { children: ReactNode }) { }, []); const logout = useCallback(() => { + // 先上报登出（审计留痕），再做本地清理 —— 顺序不能反： + // api 的请求拦截器是从 localStorage 取 token 的，清掉之后就发不出这个请求了。 + // 刻意不 await、失败也不阻断：JWT 无状态，服务端本就不需要它成功， + // 而用户点了「退出」必须退得掉，不能因为一次上报失败就卡住。 + logoutApi().catch(() => {}); logoutInternal(); }, []); diff --git a/frontend/src/services/authApi.ts b/frontend/src/services/authApi.ts index b6d95f8..fab47e8 100644 --- a/frontend/src/services/authApi.ts +++ b/frontend/src/services/authApi.ts @@ -1,4 +1,5 @@ -/** 认证 API — 登录、刷新 Token、获取用户信息 */ +/** 认证 API — 登录、刷新 Token、获取用户信息、登出留痕 */ +import api from "./api"; import type { UserInfo } from "../contexts/AuthContext"; import { extractErrorMessage } from "../utils/errorMessage"; @@ -52,3 +53,17 @@ export async function getMe(token: string): Promise { } return res.json(); } + +/** + * 登出上报 —— 唯一目的是【审计留痕】。 + * + * JWT 无状态，服务端不会（也无法）吊销令牌，本地清 token 就是登出。 + * 但没有这个请求，前端的「退出」动作在审计里完全不可见，所以必须上报一次。 + * + * 刻意走 axios 实例（而非上面几个函数的裸 fetch）：它的请求拦截器会从 + * localStorage 自动注入 Authorization，从而让后端记录到真实操作人。 + * ⚠️ 因此调用方必须在清除本地 token 【之前】调用本函数。 + */ +export async function logout(): Promise { + await api.post("/auth/logout"); +}