515 lines
17 KiB
TypeScript
515 lines
17 KiB
TypeScript
/**
|
||
* 认证服务核心实现
|
||
*
|
||
* 这个文件包含了用户认证、会话管理、Token 刷新等核心功能的具体实现。
|
||
*
|
||
* 主要功能：
|
||
* - 基于 Cookie 的会话管理
|
||
* - OAuth2.0 Token 自动刷新
|
||
* - 用户登录状态检查
|
||
* - 会话创建和销毁
|
||
* - 用户信息保存到数据库
|
||
*
|
||
* 技术栈：
|
||
* - Remix Session Storage (Cookie-based)
|
||
* - OAuth2.0 Token Management
|
||
* - TypeScript 类型安全
|
||
*
|
||
*/
|
||
|
||
import { createCookieSessionStorage } from "@remix-run/node";
|
||
import { tokenManager } from "./token-manager.server";
|
||
import { postgrestGet, postgrestPost, postgrestPut } from "../postgrest-client";
|
||
|
||
/**
|
||
* 用户角色类型定义
|
||
*
|
||
* @typedef {string} UserRole
|
||
* @property {'common'} common - 普通用户，有基本的系统访问权限
|
||
* @property {'developer'} developer - 开发者/管理员，有完整的系统管理权限
|
||
*/
|
||
export type UserRole = 'common' | 'developer';
|
||
|
||
/**
|
||
* 用户信息接口，对应 sso_users 表结构
|
||
*/
|
||
export interface UserInfo {
|
||
sub: string; // IDaaS用户唯一标识
|
||
username?: string; // 显示用户名称/工号
|
||
nick_name?: string; // 用户真实姓名
|
||
nickname?: string; // OAuth返回的昵称字段
|
||
name?: string; // 用户姓名（通常映射到 nick_name）
|
||
phone_number?: string; // 手机号
|
||
email?: string; // 邮箱地址
|
||
ou_id?: string; // 所属组织单位ID
|
||
ou_name?: string; // 所属部门名称
|
||
status?: number; // 账户状态: 0=正常, 1=禁用
|
||
is_leader?: boolean; // 是否为部门负责人
|
||
}
|
||
|
||
/**
|
||
* sso_users 表记录接口
|
||
*/
|
||
export interface SsoUser {
|
||
id?: string;
|
||
sub: string;
|
||
username: string;
|
||
nick_name: string;
|
||
phone_number?: string;
|
||
email?: string;
|
||
ou_id: string;
|
||
ou_name: string;
|
||
status: number;
|
||
is_leader: boolean;
|
||
created_at?: string;
|
||
updated_at?: string;
|
||
deleted_at?: string;
|
||
}
|
||
|
||
/**
|
||
* 会话存储配置
|
||
*
|
||
* 使用 Remix 的 Cookie Session Storage 来管理用户会话。
|
||
* Cookie 存储方式的优势：
|
||
* - 服务器端控制，安全性高
|
||
* - 自动处理过期时间
|
||
* - 支持 HttpOnly，防止 XSS 攻击
|
||
*
|
||
* 配置说明：
|
||
* - name: Cookie 名称，用于标识会话
|
||
* - httpOnly: 防止客户端 JavaScript 访问，提高安全性
|
||
* - sameSite: CSRF 保护
|
||
* - secrets: 用于签名和加密 Cookie 内容
|
||
* - maxAge: 会话有效期，与 OAuth Token 过期时间保持一致
|
||
*/
|
||
export const sessionStorage = createCookieSessionStorage({
|
||
cookie: {
|
||
name: "__lgsession", // 登录会话 Cookie 名称
|
||
httpOnly: true, // 仅服务器端可访问，防止 XSS
|
||
path: "/", // Cookie 作用域为整个应用
|
||
sameSite: "lax", // CSRF 保护，允许顶级导航
|
||
secrets: ["s3cr3t"], // TODO: 应该从环境变量读取
|
||
maxAge: 60 * 60 * 2, // 2小时，与 OAuth Token 同步
|
||
secure: false, // 开发环境中禁用 HTTPS 要求
|
||
},
|
||
});
|
||
|
||
/**
|
||
* 获取会话对象
|
||
*
|
||
* 从请求中提取 Cookie 并获取对应的会话对象。
|
||
* 这是一个底层函数，通常不直接使用，而是通过 getUserSession 使用。
|
||
*
|
||
* @param request - Remix Request 对象，包含 HTTP 请求信息
|
||
* @returns 会话对象，可以用来读取和设置会话数据
|
||
*/
|
||
export async function getSession(request: Request) {
|
||
const cookie = request.headers.get("Cookie");
|
||
return sessionStorage.getSession(cookie);
|
||
}
|
||
|
||
/**
|
||
* 获取用户登录状态（带自动Token刷新）
|
||
*
|
||
* 这是认证系统的核心函数，负责：
|
||
* 1. 检查用户是否已登录
|
||
* 2. 验证 OAuth Token 是否有效
|
||
* 3. 自动刷新即将过期的 Token
|
||
* 4. 返回用户信息和认证状态
|
||
*
|
||
* Token 刷新机制：
|
||
* - 检查 access_token 是否即将过期（距离过期时间 < 5 分钟）
|
||
* - 如果即将过期，使用 refresh_token 自动获取新的 access_token
|
||
* - 如果刷新失败，则认为用户未登录
|
||
*
|
||
* @param request - Remix Request 对象
|
||
* @returns 包含以下字段的对象：
|
||
* - isAuthenticated: 是否已认证
|
||
* - userRole: 用户角色 ('common' | 'developer')
|
||
* - accessToken: OAuth 访问令牌
|
||
* - refreshToken: OAuth 刷新令牌
|
||
* - userInfo: 用户详细信息
|
||
* - isTokenExpired: Token 是否已过期
|
||
* - refreshedSession: 如果刷新了 Token，返回更新后的会话对象
|
||
*/
|
||
export async function getUserSession(request: Request) {
|
||
const session = await getSession(request);
|
||
const isAuthenticated = session.get("isAuthenticated") === true;
|
||
const userRole = session.get("userRole") || 'common' as UserRole;
|
||
let accessToken = session.get("accessToken");
|
||
const refreshToken = session.get("refreshToken");
|
||
let tokenIssuedAt = session.get("tokenIssuedAt");
|
||
let tokenExpiresIn = session.get("tokenExpiresIn");
|
||
const userInfo = session.get("userInfo");
|
||
|
||
let isTokenExpired = false;
|
||
let refreshedSession = null;
|
||
|
||
// 如果有token信息，检查是否需要刷新
|
||
if (accessToken && refreshToken && tokenIssuedAt && tokenExpiresIn) {
|
||
try {
|
||
const tokenInfo = {
|
||
accessToken,
|
||
refreshToken,
|
||
tokenIssuedAt,
|
||
tokenExpiresIn
|
||
};
|
||
|
||
// 检查并自动刷新token
|
||
const refreshResult = await tokenManager.checkAndRefreshToken(tokenInfo);
|
||
|
||
if (refreshResult.success && refreshResult.newTokenInfo) {
|
||
const newToken = refreshResult.newTokenInfo;
|
||
|
||
// 如果token被刷新了，更新session
|
||
if (newToken.accessToken !== accessToken) {
|
||
console.log("Token已刷新，更新session");
|
||
|
||
session.set("accessToken", newToken.accessToken);
|
||
session.set("refreshToken", newToken.refreshToken);
|
||
session.set("tokenIssuedAt", newToken.tokenIssuedAt);
|
||
session.set("tokenExpiresIn", newToken.tokenExpiresIn);
|
||
|
||
// 更新本地变量
|
||
accessToken = newToken.accessToken;
|
||
tokenIssuedAt = newToken.tokenIssuedAt;
|
||
tokenExpiresIn = newToken.tokenExpiresIn;
|
||
|
||
refreshedSession = session;
|
||
}
|
||
|
||
isTokenExpired = false;
|
||
} else {
|
||
console.error("Token刷新失败:", refreshResult.error);
|
||
isTokenExpired = true;
|
||
}
|
||
} catch (error) {
|
||
console.error("Token验证过程中出错:", error);
|
||
isTokenExpired = true;
|
||
}
|
||
}
|
||
|
||
return {
|
||
isAuthenticated: isAuthenticated && !isTokenExpired,
|
||
userRole,
|
||
accessToken,
|
||
refreshToken,
|
||
userInfo,
|
||
isTokenExpired,
|
||
refreshedSession // 如果刷新了token，返回更新后的session
|
||
};
|
||
}
|
||
|
||
/**
|
||
* 创建用户登录会话
|
||
*
|
||
* 在用户成功登录后调用此函数来创建会话并设置 Cookie。
|
||
* 这个函数通常在以下场景中使用：
|
||
* - OAuth2.0 登录成功后
|
||
* - 临时管理员登录
|
||
* - 其他认证方式成功后
|
||
*
|
||
* 处理流程：
|
||
* 1. 创建新的会话对象
|
||
* 2. 设置认证状态和用户角色
|
||
* 3. 生成签名的 Cookie
|
||
* 4. 返回重定向响应并设置 Cookie
|
||
*
|
||
* @param isAuthenticated - 是否已认证，通常为 true
|
||
* @param userRole - 用户角色，决定用户的权限级别
|
||
* @param redirectTo - 登录成功后重定向的 URL，默认为首页
|
||
* @returns HTTP 302 重定向响应，包含设置 Cookie 的头部
|
||
*/
|
||
export async function createUserSession(isAuthenticated: boolean, userRole: UserRole, redirectTo: string) {
|
||
const session = await sessionStorage.getSession();
|
||
session.set("isAuthenticated", isAuthenticated);
|
||
session.set("userRole", userRole);
|
||
|
||
const cookie = await sessionStorage.commitSession(session);
|
||
console.log("创建会话 - 设置Cookie:", !!cookie);
|
||
console.log("创建会话 - 用户角色:", userRole);
|
||
console.log("创建会话 - 重定向到:", redirectTo);
|
||
|
||
return new Response(null, {
|
||
status: 302, // HTTP 重定向状态码
|
||
headers: {
|
||
Location: redirectTo, // 重定向目标 URL
|
||
"Set-Cookie": cookie, // 设置会话 Cookie
|
||
},
|
||
});
|
||
}
|
||
|
||
/**
|
||
* 销毁会话（用户登出）
|
||
*
|
||
* 当用户主动登出或会话失效时调用此函数。
|
||
*
|
||
* 处理流程：
|
||
* 1. 获取当前用户的会话
|
||
* 2. 销毁会话数据（清除所有存储的信息）
|
||
* 3. 清除客户端的会话 Cookie
|
||
* 4. 重定向到登录页面
|
||
*
|
||
* 注意事项：
|
||
* - 这个函数只处理本地会话，不会调用 IDaaS 的单点登出
|
||
* - 如果需要全局登出，应该额外调用 IDaaS 的 SLO 接口
|
||
* - 销毁会话后，用户需要重新登录才能访问受保护的页面
|
||
*
|
||
* @param request - Remix Request 对象，用于获取当前会话
|
||
* @returns HTTP 302 重定向响应，清除 Cookie 并跳转到登录页
|
||
*/
|
||
export async function logout(request: Request) {
|
||
const session = await getSession(request);
|
||
|
||
return new Response(null, {
|
||
status: 302, // HTTP 重定向状态码
|
||
headers: {
|
||
Location: "/login", // 重定向到登录页面
|
||
"Set-Cookie": await sessionStorage.destroySession(session), // 清除会话 Cookie
|
||
},
|
||
});
|
||
}
|
||
|
||
/**
|
||
* 保存用户信息到数据库
|
||
*
|
||
* 此函数实现以下逻辑：
|
||
* 1. 根据 userInfo.sub 查询 sso_users 表中是否已存在该用户
|
||
* 2. 如果存在，则更新用户信息
|
||
* 3. 如果不存在，则插入新的用户记录
|
||
*
|
||
* @param userInfo - 从 IDaaS 获取的用户信息
|
||
* @returns Promise<{success: boolean, data?: SsoUser, error?: string}>
|
||
*/
|
||
export async function saveUserInfo(userInfo: UserInfo): Promise<{success: boolean, data?: SsoUser, error?: string}> {
|
||
try {
|
||
console.log("开始保存用户信息", userInfo);
|
||
|
||
// 验证必要字段
|
||
if (!userInfo.sub) {
|
||
return { success: false, error: "用户唯一标识 sub 不能为空" };
|
||
}
|
||
|
||
// 1. 根据 sub 查询是否已存在该用户
|
||
const existingUserResult = await postgrestGet<SsoUser[]>("sso_users", {
|
||
filter: {
|
||
"sub": `eq.${userInfo.sub}`,
|
||
"deleted_at": "is.null" // 只查询未删除的记录
|
||
}
|
||
});
|
||
|
||
if (existingUserResult.error) {
|
||
console.error("查询用户失败:", existingUserResult.error);
|
||
return { success: false, error: `查询用户失败: ${existingUserResult.error}` };
|
||
}
|
||
|
||
const existingUsers = existingUserResult.data || [];
|
||
const existingUser = existingUsers.length > 0 ? existingUsers[0] : null;
|
||
|
||
// 准备要保存的用户数据
|
||
// 注意：OAuth返回的字段是nickname，而不是nick_name
|
||
const userData: Partial<SsoUser> = {
|
||
sub: userInfo.sub,
|
||
username: userInfo.username || userInfo.name || userInfo.sub,
|
||
nick_name: userInfo.nick_name || userInfo.nickname || userInfo.name || "未知用户",
|
||
phone_number: userInfo.phone_number || undefined,
|
||
email: userInfo.email || undefined,
|
||
ou_id: userInfo.ou_id || "default",
|
||
ou_name: userInfo.ou_name || "未知部门",
|
||
status: userInfo.status !== undefined ? userInfo.status : 0,
|
||
is_leader: userInfo.is_leader || false,
|
||
};
|
||
|
||
if (existingUser) {
|
||
// 2. 用户已存在，执行更新操作
|
||
console.log("用户已存在，执行更新操作", existingUser.id);
|
||
|
||
const updateResult = await postgrestPut<SsoUser[], Partial<SsoUser>>(
|
||
"sso_users",
|
||
userData,
|
||
{ id: existingUser.id! }
|
||
);
|
||
|
||
if (updateResult.error) {
|
||
console.error("更新用户失败:", updateResult.error);
|
||
return { success: false, error: `更新用户失败: ${updateResult.error}` };
|
||
}
|
||
|
||
console.log("用户信息更新成功");
|
||
return {
|
||
success: true,
|
||
data: Array.isArray(updateResult.data) ? updateResult.data[0] : updateResult.data as unknown as SsoUser
|
||
};
|
||
} else {
|
||
// 3. 用户不存在，执行插入操作 同时需要给这个用户默认添加一个角色，角色为common
|
||
console.log("用户不存在，执行插入操作");
|
||
|
||
const insertResult = await postgrestPost<SsoUser[], SsoUser>("sso_users", userData as SsoUser);
|
||
|
||
if (insertResult.error) {
|
||
console.error("插入用户失败:", insertResult.error);
|
||
return { success: false, error: `插入用户失败: ${insertResult.error}` };
|
||
}
|
||
|
||
console.log("用户信息插入成功");
|
||
|
||
// 4. 给这个用户默认添加一个角色，角色为common
|
||
const userData_with_id = Array.isArray(insertResult.data) ? insertResult.data[0] : insertResult.data as unknown as SsoUser;
|
||
if (userData_with_id?.id) {
|
||
await addDefaultRole(userData_with_id.id, 2);
|
||
}
|
||
|
||
return {
|
||
success: true,
|
||
data: userData_with_id
|
||
};
|
||
}
|
||
} catch (error) {
|
||
console.error("保存用户信息时发生错误:", error);
|
||
return {
|
||
success: false,
|
||
error: `保存用户信息失败: ${error instanceof Error ? error.message : String(error)}`
|
||
};
|
||
}
|
||
}
|
||
|
||
/**
|
||
* 为用户添加默认角色
|
||
*
|
||
* @param userId - 用户ID
|
||
* @param roleId - 角色ID，默认为2（common角色）
|
||
* @returns 添加结果
|
||
*/
|
||
export async function addDefaultRole(userId: string, roleId: number = 2) {
|
||
try {
|
||
console.log(`为用户 ${userId} 添加默认角色 ${roleId}`);
|
||
|
||
// 检查用户是否已经有此角色
|
||
const existingRoleResult = await postgrestGet<Array<{id: number, user_id: string, role_id: number}>>("user_role", {
|
||
filter: {
|
||
user_id: `eq.${userId}`,
|
||
role_id: `eq.${roleId}`
|
||
}
|
||
});
|
||
|
||
if (existingRoleResult.error) {
|
||
console.error("查询用户角色失败:", existingRoleResult.error);
|
||
return { success: false, error: `查询用户角色失败: ${existingRoleResult.error}` };
|
||
}
|
||
|
||
const existingRoles = existingRoleResult.data || [];
|
||
if (existingRoles.length > 0) {
|
||
console.log("用户已经拥有此角色，跳过添加");
|
||
return { success: true, data: existingRoles[0] };
|
||
}
|
||
|
||
// 添加角色
|
||
const addRoleResult = await postgrestPost<Array<{id: number, user_id: string, role_id: number}>, {user_id: string, role_id: number}>("user_role", {
|
||
user_id: userId,
|
||
role_id: roleId
|
||
});
|
||
|
||
if (addRoleResult.error) {
|
||
console.error("添加用户角色失败:", addRoleResult.error);
|
||
return { success: false, error: `添加用户角色失败: ${addRoleResult.error}` };
|
||
}
|
||
|
||
console.log("用户角色添加成功");
|
||
return {
|
||
success: true,
|
||
data: Array.isArray(addRoleResult.data) ? addRoleResult.data[0] : addRoleResult.data
|
||
};
|
||
} catch (error) {
|
||
console.error("添加用户角色时发生错误:", error);
|
||
return {
|
||
success: false,
|
||
error: `添加用户角色失败: ${error instanceof Error ? error.message : String(error)}`
|
||
};
|
||
}
|
||
}
|
||
|
||
/**
|
||
* 通过用户sub获取用户信息
|
||
*
|
||
* @param sub - 用户的唯一标识
|
||
* @returns 用户信息
|
||
*/
|
||
export async function getUserBySub(sub: string) {
|
||
try {
|
||
console.log(`查询用户: ${sub}`);
|
||
|
||
const userResult = await postgrestGet<SsoUser[]>("sso_users", {
|
||
filter: {
|
||
sub: `eq.${sub}`
|
||
}
|
||
});
|
||
|
||
if (userResult.error) {
|
||
console.error("查询用户失败:", userResult.error);
|
||
return { success: false, error: `查询用户失败: ${userResult.error}` };
|
||
}
|
||
|
||
const users = userResult.data || [];
|
||
const user = users.length > 0 ? users[0] : null;
|
||
|
||
if (!user) {
|
||
return { success: false, error: "用户不存在" };
|
||
}
|
||
|
||
return { success: true, data: user };
|
||
} catch (error) {
|
||
console.error("查询用户时发生错误:", error);
|
||
return {
|
||
success: false,
|
||
error: `查询用户失败: ${error instanceof Error ? error.message : String(error)}`
|
||
};
|
||
}
|
||
}
|
||
|
||
/**
|
||
* 创建用户登录会话（支持用户信息）
|
||
*
|
||
* @param isAuthenticated - 是否已认证
|
||
* @param userRole - 用户角色
|
||
* @param redirectTo - 重定向URL
|
||
* @param userInfo - 可选的用户信息
|
||
* @returns HTTP重定向响应
|
||
*/
|
||
export async function createUserSessionWithInfo(
|
||
isAuthenticated: boolean,
|
||
userRole: UserRole,
|
||
redirectTo: string,
|
||
userInfo?: Partial<SsoUser>
|
||
) {
|
||
const session = await sessionStorage.getSession();
|
||
session.set("isAuthenticated", isAuthenticated);
|
||
session.set("userRole", userRole);
|
||
|
||
// 如果提供了用户信息，也保存到session中
|
||
if (userInfo) {
|
||
session.set("userInfo", {
|
||
sub: userInfo.sub,
|
||
user_id: userInfo.id,
|
||
username: userInfo.username,
|
||
nick_name: userInfo.nick_name,
|
||
email: userInfo.email,
|
||
ou_name: userInfo.ou_name,
|
||
is_leader: userInfo.is_leader,
|
||
user_role: userRole
|
||
});
|
||
}
|
||
|
||
const cookie = await sessionStorage.commitSession(session);
|
||
console.log("创建会话 - 设置Cookie:", !!cookie);
|
||
console.log("创建会话 - 用户角色:", userRole);
|
||
console.log("创建会话 - 用户信息:", userInfo?.username || "无");
|
||
console.log("创建会话 - 重定向到:", redirectTo);
|
||
|
||
return new Response(null, {
|
||
status: 302,
|
||
headers: {
|
||
Location: redirectTo,
|
||
"Set-Cookie": cookie,
|
||
},
|
||
});
|
||
} |