@koishi-ce/plugin-auth 1.0.0

package/dist/index.css

@@ -0,0 +1,2 @@
+.login-form h1{cursor:default;margin:2.5rem auto;font-size:1.5rem}.login-form .token{font-weight:700}.login-form .el-input{margin:1rem auto;display:block}.login-form .el-input__wrapper{width:400px}.login-form .control{margin:2.5rem auto}.login-form .k-button{width:8rem;margin:0 1rem}.page-login{flex-direction:column;justify-content:center;align-items:center;display:flex}.page-login .k-card{flex-direction:column;justify-content:center;width:600px;margin:0;display:flex}.page-login .k-card .k-card-body{padding:3rem 0!important}.page-profile h1{margin:1.5rem 0;font-size:1.375rem;line-height:2rem}.page-profile .el-button.right{float:right}.el-button-group.text-center[data-v-d245ddd5]{justify-content:center;display:flex}.block{display:block}.h1{height:.25rem}.h2{height:.5rem}.flex{display:flex}.text-center{text-align:center}
+/*$vite$:1*/

package/dist/index.js

@@ -0,0 +1 @@
+import{Schema as e,deepEqual as t,icons as n,message as r,pick as i,router as a,send as o,store as s,useConfig as c,useStorage as l}from"@koishi-ce/client";import{Fragment as u,computed as d,createBlock as f,createCommentVNode as p,createElementBlock as m,createElementVNode as h,createTextVNode as g,createVNode as _,defineComponent as v,h as y,isRef as b,openBlock as x,ref as S,renderList as C,resolveComponent as w,toDisplayString as T,unref as E,watch as D,withCtx as O,withKeys as k,withModifiers as A}from"vue";import{useRouter as j}from"vue-router";var M=l(`auth`,2,()=>({authType:0})),N=S(!1),P=S(!1),F={class:`login-form text-center`},ee={key:0},te={key:1},I={class:`hint`},L={class:`token`},R={class:`control`},z={key:0},B={key:1},V={key:0,class:`error`},H={class:`control`},U={key:0,class:`error`},W={class:`control`},G=v({__name:`login-form`,setup(e){let t=S(),n=S(),r=S(!1),i=0;async function a(){let e=Date.now();if(e<i)return;let{platform:r,userId:a}=M.value;if(!(!r||!a)){i=e+1e3;try{n.value=await o(`login/platform`,r,a)}catch(e){t.value=e.message}}}async function c(){let{name:e,password:n}=M.value;try{await o(`login/password`,e,n)}catch(e){t.value=e.message}}let l=j();function d(){s.user?N.value=!1:l.back()}return(e,i)=>{let o=w(`k-button`),l=w(`k-tab`),f=w(`k-icon`),v=w(`el-input`);return x(),m(`div`,F,[n.value?(x(),m(u,{key:0},[E(s).user?(x(),m(`h1`,ee,[...i[7]||=[h(`span`,null,`平台账户绑定`,-1)]])):(x(),m(`h1`,te,[...i[8]||=[h(`span`,null,`平台账户登录`,-1)]])),h(`p`,I,`欢迎你，`+T(n.value.name||`Koishi 用户`)+`！`,1),i[10]||=h(`p`,{class:`hint`},`请用上述账号将下面的验证码发送给任意正在运行的机器人`,-1),h(`p`,L,T(n.value.token),1),h(`div`,R,[_(o,{onClick:i[0]||=e=>n.value.token=null},{default:O(()=>[...i[9]||=[g(`返回上一步`,-1)]]),_:1})])],64)):(x(),m(u,{key:1},[E(s).user?(x(),m(`h1`,z,[...i[11]||=[h(`span`,null,`平台账户绑定`,-1)]])):(x(),m(`h1`,B,[_(l,{data:[`用户密码登录`,`平台账户登录`],modelValue:E(M).authType,"onUpdate:modelValue":i[1]||=e=>E(M).authType=e},null,8,[`modelValue`])])),E(s).user||E(M).authType===1?(x(),m(u,{key:2},[_(v,{placeholder:`平台名`,modelValue:E(M).platform,"onUpdate:modelValue":i[2]||=e=>E(M).platform=e},{prefix:O(()=>[_(f,{name:`at`})]),_:1},8,[`modelValue`]),_(v,{placeholder:`账号`,modelValue:E(M).userId,"onUpdate:modelValue":i[3]||=e=>E(M).userId=e,onKeypress:k(A(a,[`stop`]),[`enter`])},{prefix:O(()=>[_(f,{name:`user`})]),_:1},8,[`modelValue`,`onKeypress`]),t.value?(x(),m(`p`,V,T(t.value),1)):p(`v-if`,!0),h(`div`,H,[_(o,{onClick:d},{default:O(()=>[...i[12]||=[g(`返回`,-1)]]),_:1}),_(o,{onClick:a},{default:O(()=>[...i[13]||=[g(`获取验证码`,-1)]]),_:1})])],64)):(x(),m(u,{key:3},[_(v,{placeholder:`用户名`,modelValue:E(M).name,"onUpdate:modelValue":i[4]||=e=>E(M).name=e},{prefix:O(()=>[_(f,{name:`user`})]),_:1},8,[`modelValue`]),_(v,{placeholder:`密码`,modelValue:E(M).password,"onUpdate:modelValue":i[6]||=e=>E(M).password=e,onKeypress:k(A(c,[`stop`]),[`enter`]),type:r.value?`text`:`password`},{prefix:O(()=>[_(f,{name:`lock`})]),suffix:O(()=>[_(f,{name:r.value?`eye`:`eye-slash`,onClick:i[5]||=e=>r.value=!r.value},null,8,[`name`])]),_:1},8,[`modelValue`,`onKeypress`,`type`]),t.value?(x(),m(`p`,U,T(t.value),1)):p(`v-if`,!0),h(`div`,W,[_(o,{onClick:d},{default:O(()=>[...i[14]||=[g(`返回`,-1)]]),_:1}),_(o,{onClick:c},{default:O(()=>[...i[15]||=[g(`登录`,-1)]]),_:1})])],64))],64))])}}}),K=v({__name:`bind-dialog`,setup(e){return(e,t)=>{let n=w(`el-dialog`);return x(),m(u,null,[p(` 绑定平台账户对话框：已登录状态下从个人资料页唤起，内嵌登录表单 `),_(n,{center:``,modelValue:E(N),"onUpdate:modelValue":t[0]||=e=>b(N)?N.value=e:null,class:`bind-dialog`},{default:O(()=>[_(G)]),_:1},8,[`modelValue`])],2112)}}}),q=(e,t)=>{let n=e.__vccOpts||e;for(let[e,r]of t)n[e]=r;return n},J={},Y={class:`k-icon k-icon-at`,xmlns:`http://www.w3.org/2000/svg`,viewBox:`0 0 512 512`};function X(e,t){return x(),m(u,null,[p(` @ 图标：登录表单"平台名"输入框的前缀 `),(x(),m(`svg`,Y,[...t[0]||=[h(`path`,{fill:`currentColor`,d:`M256 8C118.941 8 8 118.919 8 256c0 137.059 110.919 248 248 248 48.154 0 95.342-14.14 135.408-40.223 12.005-7.815 14.625-24.288 5.552-35.372l-10.177-12.433c-7.671-9.371-21.179-11.667-31.373-5.129C325.92 429.757 291.314 440 256 440c-101.458 0-184-82.542-184-184S154.542 72 256 72c100.139 0 184 57.619 184 160 0 38.786-21.093 79.742-58.17 83.693-17.349-.454-16.91-12.857-13.476-30.024l23.433-121.11C394.653 149.75 383.308 136 368.225 136h-44.981a13.518 13.518 0 0 0-13.432 11.993l-.01.092c-14.697-17.901-40.448-21.775-59.971-21.775-74.58 0-137.831 62.234-137.831 151.46 0 65.303 36.785 105.87 96 105.87 26.984 0 57.369-15.637 74.991-38.333 9.522 34.104 40.613 34.103 70.71 34.103C462.609 379.41 504 307.798 504 232 504 95.653 394.023 8 256 8zm-21.68 304.43c-22.249 0-36.07-15.623-36.07-40.771 0-44.993 30.779-72.729 58.63-72.729 22.292 0 35.601 15.241 35.601 40.77 0 45.061-33.875 72.73-58.161 72.73z`},null,-1)]]))],2112)}var Z=q(J,[[`render`,X]]),Q={},ne={class:`k-icon check`,xmlns:`http://www.w3.org/2000/svg`,viewBox:`0 0 448 512`};function re(e,t){return x(),m(u,null,[p(` 对勾图标：个人资料页"应用更改"菜单项 `),(x(),m(`svg`,ne,[...t[0]||=[h(`path`,{fill:`currentColor`,d:`M438.6 105.4C451.1 117.9 451.1 138.1 438.6 150.6L182.6 406.6C170.1 419.1 149.9 419.1 137.4 406.6L9.372 278.6C-3.124 266.1-3.124 245.9 9.372 233.4C21.87 220.9 42.13 220.9 54.63 233.4L159.1 338.7L393.4 105.4C405.9 92.88 426.1 92.88 438.6 105.4H438.6z`},null,-1)]]))],2112)}var ie=q(Q,[[`render`,re]]),ae={},oe={class:`k-icon k-icon-lock`,xmlns:`http://www.w3.org/2000/svg`,viewBox:`0 0 448 512`};function se(e,t){return x(),m(u,null,[p(` 挂锁图标：登录表单"密码"输入框的前缀 `),(x(),m(`svg`,oe,[...t[0]||=[h(`path`,{fill:`currentColor`,d:`M400 224h-24v-72C376 68.2 307.8 0 224 0S72 68.2 72 152v72H48c-26.5 0-48 21.5-48 48v192c0 26.5 21.5 48 48 48h352c26.5 0 48-21.5 48-48V272c0-26.5-21.5-48-48-48zm-104 0H152v-72c0-39.7 32.3-72 72-72s72 32.3 72 72v72z`},null,-1)]]))],2112)}var ce=q(ae,[[`render`,se]]),le={},ue={class:`k-icon k-icon-sign-in`,xmlns:`http://www.w3.org/2000/svg`,viewBox:`0 0 512 512`};function de(e,t){return x(),m(u,null,[p(` 登入箭头图标：登录页活动入口 `),(x(),m(`svg`,ue,[...t[0]||=[h(`path`,{fill:`currentColor`,d:`M384 256c0-8.188-3.125-16.38-9.375-22.62l-128-128C237.5 96.22 223.7 93.47 211.8 98.44C199.8 103.4 192 115.1 192 128v64H48C21.49 192 0 213.5 0 240v32C0 298.5 21.49 320 48 320H192v64c0 12.94 7.797 24.62 19.75 29.56c11.97 4.969 25.72 2.219 34.88-6.938l128-128C380.9 272.4 384 264.2 384 256zM224 384V288H48C39.18 288 32 280.8 32 272v-32C32 231.2 39.18 224 48 224H224L223.1 128l128 128L224 384zM432 32h-96C327.2 32 320 39.16 320 48S327.2 64 336 64h96C458.5 64 480 85.53 480 112v288c0 26.47-21.53 48-48 48h-96c-8.844 0-16 7.156-16 16s7.156 16 16 16h96c44.13 0 80-35.88 80-80v-288C512 67.88 476.1 32 432 32z`},null,-1)]]))],2112)}var fe=q(le,[[`render`,de]]),pe={},me={class:`k-icon k-icon-sign-out`,xmlns:`http://www.w3.org/2000/svg`,viewBox:`0 0 512 512`};function he(e,t){return x(),m(u,null,[p(` 登出箭头图标：个人资料页"退出登录"菜单项 `),(x(),m(`svg`,me,[...t[0]||=[h(`path`,{fill:`currentColor`,d:`M176 448h-96C53.53 448 32 426.5 32 400v-288C32 85.53 53.53 64 80 64h96C184.8 64 192 56.84 192 48S184.8 32 176 32h-96C35.88 32 0 67.88 0 112v288C0 444.1 35.88 480 80 480h96C184.8 480 192 472.8 192 464S184.8 448 176 448zM502.6 233.4l-128-128c-9.156-9.156-22.91-11.91-34.88-6.938C327.8 103.4 320 115.1 320 128l.0918 63.1L176 192C149.5 192 128 213.5 128 240v32C128 298.5 149.5 320 176 320l144.1-.001L320 384c0 12.94 7.797 24.62 19.75 29.56c11.97 4.969 25.72 2.219 34.88-6.938l128-128C508.9 272.4 512 264.2 512 256S508.9 239.6 502.6 233.4zM352 384V288H176C167.2 288 160 280.8 160 272v-32C160 231.2 167.2 224 176 224H352l-.0039-96l128 128L352 384z`},null,-1)]]))],2112)}var ge=q(pe,[[`render`,he]]),_e={},ve={class:`k-icon`,xmlns:`http://www.w3.org/2000/svg`,viewBox:`0 0 512 512`};function ye(e,t){return x(),m(u,null,[p(` 人像图标：个人资料页活动入口 `),(x(),m(`svg`,ve,[...t[0]||=[h(`path`,{fill:`currentColor`,d:`M256 0C114.6 0 0 114.6 0 256s114.6 256 256 256s256-114.6 256-256S397.4 0 256 0zM256 480c-47.24 0-91.04-14.78-127.2-39.84C132.9 390.9 173.8 352 224 352h64c50.25 0 91.14 38.94 95.21 88.16C347 465.2 303.2 480 256 480zM411.7 416.7C397.6 361.3 347.7 320 288 320H224c-59.73 0-109.6 41.3-123.7 96.72C58.27 375.1 32 319 32 256c0-123.5 100.5-224 224-224s224 100.5 224 224C480 319 453.7 375.1 411.7 416.7zM256 128C211.8 128 176 163.8 176 208C176 252.2 211.8 288 256 288s80-35.82 80-80C336 163.8 300.2 128 256 128zM256 256C229.5 256 208 234.5 208 208S229.5 160 256 160s48 21.53 48 48S282.5 256 256 256z`},null,-1)]]))],2112)}var be=q(_e,[[`render`,ye]]),$=v({__name:`login`,setup(e){return(e,t)=>{let n=w(`k-card`),r=w(`k-layout`);return x(),m(u,null,[p(` 登录页：居中卡片内嵌登录表单 `),_(r,{main:`darker page-login`},{default:O(()=>[_(n,null,{default:O(()=>[_(G)]),_:1})]),_:1})],2112)}}}),xe={class:`k-schema-header`},Se={class:`header`},Ce={class:`left`},we={class:`right`},Te=v({__name:`profile`,setup(t){let n={platform:`平台账户`,password:`用户密码`},i=S({}),a=d(()=>e.object({name:e.string().description(`用户名`).default(M.value.name),password:e.string().role(`secret`).description(`密码`).default(M.value.password)}).description(`基本资料`));async function c(){return s.user=null,delete M.value.id,delete M.value.token,delete M.value.expiredAt,o(`user/logout`)}async function l(){try{await o(`user/update`,i.value),r.success(`修改成功！`),Object.assign(M.value,i.value),Object.assign(s.user,i.value),i.value={}}catch(e){r.error(e.message)}}let v=d(()=>s.user?.bindings.filter(e=>s.user.id===e.bid)),y=d(()=>[{icon:`check`,label:`应用更改`,disabled:!i.value||!Object.keys(i.value).length,action:l},{type:`danger`,icon:`sign-out`,label:`退出登录`,action:c}]);return(e,t)=>{let r=w(`k-form`),c=w(`el-button`),l=w(`k-content`),d=w(`k-layout`);return x(),f(d,{main:`page-profile`,menu:y.value},{default:O(()=>[_(l,null,{default:O(()=>[_(r,{schema:a.value,modelValue:i.value,"onUpdate:modelValue":t[0]||=e=>i.value=e},null,8,[`schema`,`modelValue`]),h(`h2`,xe,[t[3]||=g(` 平台绑定 `,-1),_(c,{solid:``,class:`right`,onClick:t[1]||=e=>N.value=!0},{default:O(()=>[...t[2]||=[g(`添加`,-1)]]),_:1})]),(x(!0),m(u,null,C(E(s).user.bindings,({platform:e,pid:n,bid:r})=>(x(),m(`div`,{class:`k-schema-item`,key:`${e}:${n}`},[h(`div`,Se,[h(`div`,Ce,T(e)+` (`+T(n)+`)`,1),h(`div`,we,[v.value.length>1||r!==E(s).user.id?(x(),f(c,{key:0,onClick:A(t=>E(o)(`user/unbind`,e,n),[`stop`,`prevent`])},{default:O(()=>[...t[4]||=[g(`解绑`,-1)]]),_:1},8,[`onClick`])):p(`v-if`,!0)])])]))),128)),t[6]||=h(`h2`,{class:`k-schema-header`},`登录历史`,-1),h(`ul`,null,[(x(!0),m(u,null,C(E(s).user.tokens,({inc:e,type:r,createdAt:i,lastUsedAt:a,address:s,userAgent:l})=>(x(),m(`li`,{key:e},[h(`div`,null,`登录类型：`+T(n[r]),1),h(`div`,null,`登录时间：`+T(i),1),h(`div`,null,`最后访问：`+T(a),1),h(`div`,null,`IP 地址：`+T(s),1),h(`div`,null,`客户端：`+T(l),1),h(`div`,null,[_(c,{onClick:t=>E(o)(`user/delete-token`,e)},{default:O(()=>[...t[5]||=[g(`移除会话`,-1)]]),_:1},8,[`onClick`])])]))),128))])]),_:1})]),_:1},8,[`menu`])}}}),Ee=q(v({__name:`sync-dialog`,setup(e){let t=c();async function n(e){if(M.value.sync=!!e,P.value=!1,e){if(e===`download`){t.value=s.user.config;return}try{await o(`user/update`,{config:t.value})}catch(e){r.error(e.message)}}}return(e,r)=>{let i=w(`el-button`),a=w(`el-button-group`),o=w(`el-dialog`);return x(),f(o,{class:`sync-dialog`,onClose:r[3]||=e=>E(t).sync??=!1,"show-close":!1,"close-on-click-modal":!1,"close-on-press-escape":!1,modelValue:E(P),"onUpdate:modelValue":r[4]||=e=>b(P)?P.value=e:null},{default:O(()=>[r[8]||=h(`p`,{class:`text-center`},`检测到你本地的配置与云端不同步，是否同步配置？`,-1),_(a,{class:`text-center`},{default:O(()=>[_(i,{onClick:r[0]||=e=>n(`upload`)},{default:O(()=>[...r[5]||=[g(`上传当前配置`,-1)]]),_:1}),_(i,{onClick:r[1]||=e=>n(`download`)},{default:O(()=>[...r[6]||=[g(`下载云端配置`,-1)]]),_:1}),_(i,{onClick:r[2]||=e=>n()},{default:O(()=>[...r[7]||=[g(`关闭配置同步`,-1)]]),_:1})]),_:1})]),_:1},8,[`modelValue`])}}}),[[`__scopeId`,`data-v-d245ddd5`]]);n.register(`at`,Z),n.register(`check`,ie),n.register(`lock`,ce),n.register(`sign-in`,fe),n.register(`sign-out`,ge),n.register(`user-full`,be);var De=n=>{let{token:l,id:u,expiredAt:d}=M.value;l&&u!==void 0&&d!==void 0&&d>Date.now()&&o(`login/token`,u,l).catch(e=>r.error(e.message)),n.on(`activity`,e=>{let t=e.authority??0;return t>0&&(!s.user||s.user.authority<t)}),n.scope.disposables.push(a.beforeEach(e=>{let{activity:t}=e.meta;if(t){if((t.authority||(t.fields??[]).includes(`user`))&&!s.user)return history.state.forward===`/login`?`/`:`/login`;if(t.authority&&s.user&&t.authority>s.user.authority)return r.error(`权限不足。`),!1}})),n.page({path:`/login`,name:`登录`,icon:`sign-in`,position:`bottom`,order:500,disabled:()=>!!s.user,component:$}),n.page({path:`/profile`,name:`用户资料`,icon:`user-full`,fields:[`user`],position:`bottom`,order:500,component:Te}),n.slot({type:`global`,component:K}),n.slot({type:`global`,component:Ee}),n.settings({id:`user`,title:`用户设置`,component:v(()=>()=>y(w(`k-form`),{schema:e.object({sync:e.boolean().description(`在多个客户端间同步设置。`)}).description(`同步设置`),initial:M.value,modelValue:M.value,"onUpdate:modelValue":e=>M.value=e}))});let f=c();function p(){s.user&&(t(s.user.config,f.value)||(P.value=!0))}n.on(`dispose`,D(f,async e=>{!e||!s.user||!M.value.sync||await o(`user/update`,{config:e})},{deep:!0})),n.on(`dispose`,D(()=>M.value.sync,async e=>{e&&s.user&&p()})),n.on(`dispose`,D(()=>s.user,(e,t)=>{if(N.value=!1,!e)return a.push(`/login`);if(M.value.sync&&p(),t)return;Object.assign(M.value,i(e,[`id`,`name`,`token`,`expiredAt`])),r.success(`欢迎回来，${e.name||`Koishi 用户`}！`);let n=a.currentRoute.value.redirectedFrom;n&&!n.path.startsWith(`/login`)?a.push(n):a.push(`/profile`)}))};export{De as default};

package/lib/assets/zh-CN-KbNPwFxh.yml

@@ -0,0 +1,8 @@
+- $description: 管理员设置
+  admin:
+    enabled: 启用管理员账号。
+    username: 管理员用户名。
+    password: 管理员密码。
+- $description: 高级设置
+  authTokenExpire: 用户令牌有效期。
+  loginTokenExpire: 登录令牌有效期。

package/lib/index.d.ts

@@ -0,0 +1,123 @@
+import { Binding, Context, Schema, Service, User } from "@koishi-ce/koishi";
+import { Client, DataService } from "@koishi-ce/console";
+//#region src/index.d.ts
+declare module "@koishi-ce/koishi" {
+  interface Context {
+    auth: AuthService;
+  }
+  interface User {
+    password: string;
+    /** 客户端控制台配置的 JSON 快照（内容仅由浏览器端解释，服务端透传；建表初始为 null） */
+    config: object | null;
+  }
+  interface Tables {
+    token: LoginToken;
+  }
+}
+declare module "@koishi-ce/console" {
+  interface Client {
+    auth?: Auth | undefined;
+  }
+  namespace Console {
+    interface Services {
+      user: DataService<AuthData>;
+    }
+  }
+  interface Events {
+    "login/platform"(this: Client, platform: string, pid: string): Promise<UserLogin>;
+    "login/password"(this: Client, name: string, password: string): void;
+    "login/token"(this: Client, id: number, token: string): void;
+    "user/delete-token"(this: Client, inc: number): void;
+    "user/unbind"(this: Client, platform: string, pid: string): void;
+    "user/update"(this: Client, data: UserUpdate): void;
+    "user/logout"(this: Client): void;
+  }
+}
+/** token 表记录：一次登录会话的令牌及其来源信息。 */
+interface LoginToken {
+  /** 自增主键（删除指定会话用） */
+  inc: number;
+  /** 所属用户 id */
+  id: number;
+  /** 登录方式 */
+  type: LoginType;
+  /** 随机令牌（唯一索引） */
+  token: string;
+  /** 过期时间戳（毫秒） */
+  expiredAt: number;
+  createdAt: Date;
+  lastUsedAt: Date;
+  /** 登录时的 User-Agent */
+  userAgent: string;
+  /** 登录时的来源 IP */
+  address: string;
+}
+/** 下发到客户端的登录态（user 数据服务的单条形态，不含 tokens/bindings 明细）。 */
+type Auth = Pick<LoginToken, "token" | "expiredAt"> & Pick<User, "id" | "name" | "authority" | "config">;
+/** user 数据服务下发给客户端的完整鉴权数据：登录态 + 会话列表 + 绑定列表。 */
+interface AuthData extends Auth {
+  tokens: Omit<LoginToken, "token" | "id">[];
+  bindings: Omit<Binding, "aid">[];
+}
+/** 登录方式：平台验证码 / 用户密码 / 已存令牌续期。 */
+type LoginType = "platform" | "password" | "token";
+/**
+ * 生成指定长度的随机令牌字符串。
+ * @param length 令牌长度，默认 40
+ * @returns 从字符表随机取字符拼接成的字符串
+ */
+declare function randomId(length?: number): string;
+/** login/platform 事件的返回值：待登录用户信息 + 一次性验证码及其过期时间。 */
+interface UserLogin extends Pick<User, "id" | "name"> {
+  token: string;
+  expiredAt: number;
+}
+/** user/update 事件允许修改的用户字段。 */
+type UserUpdate = Partial<Pick<User, "name" | "password" | "config">>;
+/**
+ * 鉴权服务：维护控制台客户端的登录态。
+ *
+ * 构造时扩展 user 表（password / config 字段）与 token 表，注册浏览器端
+ * 的登录与用户管理事件；登录成功后把 Auth 写入 client.auth 并以 user
+ * 数据服务全量下发。依赖 console 与 database 服务。
+ */
+declare class AuthService extends Service {
+  static inject: string[];
+  static filter: boolean;
+  static Admin: Schema<AuthService.Admin>;
+  static Config: Schema<AuthService.Config>;
+  config: AuthService.Config;
+  constructor(ctx: Context, config: AuthService.Config);
+  /** 启动时按配置确保管理员账户（id = 0）存在。 */
+  start(): Promise<void>;
+  /**
+   * 设置客户端登录态并全量下发 user 数据。
+   * @param client 目标 WebSocket 客户端
+   * @param auth 新登录态；缺省沿用 client.auth，传 undefined 表示登出
+   * @param passive 为 true 时只写 client.auth，不推送数据也不刷新
+   *   （已登录状态下修改资料后仅同步本地时使用）
+   */
+  setAuth(client: Client, auth?: any, passive?: boolean): Promise<void>;
+  /**
+   * 为用户签发新令牌并立即让客户端登录。
+   * 从 WebSocket 升级请求中提取 User-Agent 与来源 IP 一并落库，
+   * 过期时长由 authTokenExpire 配置决定。
+   */
+  createToken(client: Client, type: LoginType, user: Pick<User, "id" | "name" | "authority" | "config">): Promise<void>;
+  /** 注册全部登录 / 用户管理事件与权限拦截逻辑（构造时调用）。 */
+  initLogin(): void;
+}
+declare namespace AuthService {
+  interface Admin {
+    enabled?: boolean;
+    username?: string;
+    password?: string;
+  }
+  interface Config {
+    admin: Admin;
+    authTokenExpire: number;
+    loginTokenExpire: number;
+  }
+}
+//#endregion
+export { Auth, LoginToken, UserLogin, UserUpdate, AuthService as default, randomId };

package/lib/index.mjs

@@ -0,0 +1,320 @@
+import { createHash, pbkdf2Sync, randomBytes, timingSafeEqual } from "node:crypto";
+import { resolve } from "node:path";
+import { Schema, Service, Time, omit } from "@koishi-ce/koishi";
+import zhCN from "./assets/zh-CN-KbNPwFxh.yml";
+//#region src/index.ts
+/**
+* auth 插件（服务端）：控制台登录鉴权。
+*
+* 向应用注入 ctx.auth 服务（AuthService）：扩展 user 表的 password 字段
+* 并建立 token 会话表，支持用户密码 / 平台验证码 / 已存令牌三种登录方式，
+* 维护每个 WebSocket 客户端的登录态（client.auth），并按登录用户的权限
+* 拦截 console 事件。浏览器端对应实现在 ../client/（登录页、个人资料页、
+* 配置同步对话框）。
+*/
+const letters = "0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ";
+/**
+* 生成指定长度的随机令牌字符串。
+* @param length 令牌长度，默认 40
+* @returns 从字符表随机取字符拼接成的字符串
+*/
+function randomId(length = 40) {
+	return Array(length).fill(0).map(() => letters[Math.floor(Math.random() * 62)]).join("");
+}
+/** PBKDF2-HMAC-SHA256 迭代次数（OWASP 2023 建议 600k；登录低频，开销可接受） */
+const PBKDF2_ROUNDS = 6e5;
+/** 新格式密码哈希：`pbkdf2$<rounds>$<salt-hex>$<dk-hex>`（加盐 + 慢哈希）。 */
+function toHash(password) {
+	const salt = randomBytes(16);
+	const dk = pbkdf2Sync(password, salt, PBKDF2_ROUNDS, 32, "sha256");
+	return `pbkdf2$${PBKDF2_ROUNDS}$${salt.toString("hex")}$${dk.toString("hex")}`;
+}
+/**
+* 校验明文密码与库中存储是否匹配。
+*
+* 兼容两种存储格式：
+* - `pbkdf2$...` 新格式：按存储的盐与迭代次数重派生，恒定时间比较；
+* - 64 位十六进制旧格式：历史上无盐 SHA-256，仅用于校验（命中后由调用方
+*   透明升级为 PBKDF2），同样以恒定时间比较。
+*/
+function verifyPassword(password, stored) {
+	if (stored.startsWith("pbkdf2$")) {
+		const [, rounds, saltHex, dkHex] = stored.split("$");
+		if (!rounds || !saltHex || !dkHex) return false;
+		const expected = Buffer.from(dkHex, "hex");
+		const actual = pbkdf2Sync(password, Buffer.from(saltHex, "hex"), Number(rounds), expected.length, "sha256");
+		return timingSafeEqual(actual, expected);
+	}
+	if (!/^[0-9a-f]{64}$/i.test(stored)) return false;
+	const actual = createHash("sha256").update(password).digest();
+	return timingSafeEqual(actual, Buffer.from(stored, "hex"));
+}
+/**
+* 鉴权服务：维护控制台客户端的登录态。
+*
+* 构造时扩展 user 表（password / config 字段）与 token 表，注册浏览器端
+* 的登录与用户管理事件；登录成功后把 Auth 写入 client.auth 并以 user
+* 数据服务全量下发。依赖 console 与 database 服务。
+*/
+var AuthService = class AuthService extends Service {
+	static inject = ["console", "database"];
+	static filter = false;
+	static Admin = Schema.intersect([Schema.object({ enabled: Schema.boolean().default(true) }), Schema.union([Schema.object({
+		enabled: Schema.const(true),
+		username: Schema.string().default("admin"),
+		password: Schema.string().role("secret").required()
+	}), Schema.object({})])]);
+	static Config = Schema.intersect([Schema.object({ admin: AuthService.Admin }), Schema.object({
+		authTokenExpire: Schema.natural().role("ms").default(Time.week).min(Time.hour),
+		loginTokenExpire: Schema.natural().role("ms").default(Time.minute * 10).min(Time.minute)
+	})]).i18n({ "zh-CN": zhCN });
+	config;
+	constructor(ctx, config) {
+		super(ctx, "auth");
+		this.config = config;
+		ctx.model.extend("user", {
+			password: "string(255)",
+			config: {
+				type: "json",
+				length: 65535,
+				initial: null
+			}
+		});
+		ctx.model.extend("token", {
+			inc: "unsigned",
+			id: "unsigned",
+			type: "string(255)",
+			token: "string(255)",
+			expiredAt: "unsigned(8)",
+			createdAt: "timestamp",
+			lastUsedAt: "timestamp",
+			userAgent: "string(255)",
+			address: "string(255)"
+		}, {
+			primary: "inc",
+			autoInc: true,
+			unique: ["token"]
+		});
+		ctx.console.addEntry({
+			dev: resolve(__dirname, "../client/index.ts"),
+			prod: resolve(__dirname, "../dist")
+		});
+		this.initLogin();
+	}
+	/** 启动时按配置确保管理员账户（id = 0）存在。 */
+	async start() {
+		const { enabled, username, password } = this.config.admin;
+		if (!enabled) return;
+		this.ctx.logger.info("creating admin account");
+		if (!username || !password) return;
+		await this.ctx.database.upsert("user", [{
+			id: 0,
+			name: username,
+			authority: 5,
+			password: toHash(password),
+			createdAt: /* @__PURE__ */ new Date()
+		}]);
+	}
+	/**
+	* 设置客户端登录态并全量下发 user 数据。
+	* @param client 目标 WebSocket 客户端
+	* @param auth 新登录态；缺省沿用 client.auth，传 undefined 表示登出
+	* @param passive 为 true 时只写 client.auth，不推送数据也不刷新
+	*   （已登录状态下修改资料后仅同步本地时使用）
+	*/
+	async setAuth(client, auth = client.auth, passive = false) {
+		client.auth = auth;
+		if (passive) return;
+		if (auth) {
+			const bindings = await this.ctx.database.get("binding", { aid: auth.id });
+			bindings.forEach((binding) => delete binding.aid);
+			const tokens = await this.ctx.database.get("token", { id: auth.id });
+			tokens.reverse().forEach((login) => {
+				delete login.id;
+				delete login.token;
+			});
+			client.send({
+				type: "data",
+				body: {
+					key: "user",
+					value: {
+						...auth,
+						bindings,
+						tokens
+					}
+				}
+			});
+		} else client.send({
+			type: "data",
+			body: {
+				key: "user",
+				value: null
+			}
+		});
+		client.ctx.emit("console/connection", client);
+		client.refresh();
+	}
+	/**
+	* 为用户签发新令牌并立即让客户端登录。
+	* 从 WebSocket 升级请求中提取 User-Agent 与来源 IP 一并落库，
+	* 过期时长由 authTokenExpire 配置决定。
+	*/
+	async createToken(client, type, user) {
+		const { headers, socket } = client.request;
+		const createdAt = /* @__PURE__ */ new Date();
+		const lastUsedAt = /* @__PURE__ */ new Date();
+		const userAgent = headers["user-agent"]?.toString();
+		const address = headers["x-forwarded-for"]?.toString() || socket.remoteAddress;
+		const expiredAt = Date.now() + this.config.authTokenExpire;
+		const token = randomId();
+		await this.ctx.database.create("token", {
+			id: user.id,
+			type,
+			expiredAt,
+			token,
+			createdAt,
+			lastUsedAt,
+			userAgent,
+			address
+		});
+		await this.setAuth(client, {
+			...user,
+			expiredAt,
+			token
+		});
+	}
+	/** 注册全部登录 / 用户管理事件与权限拦截逻辑（构造时调用）。 */
+	initLogin() {
+		const self = this;
+		const { ctx, config } = this;
+		const states = {};
+		ctx.console.addListener("login/password", async function(name, password) {
+			const [user] = await ctx.database.get("user", { name }, [
+				"password",
+				"name",
+				"id",
+				"authority",
+				"config"
+			]);
+			if (!user?.password || !verifyPassword(password, user.password)) throw new Error("用户名或密码错误。");
+			if (!user.password.startsWith("pbkdf2$")) await ctx.database.set("user", user.id, { password: toHash(password) });
+			await self.createToken(this, "password", omit(user, ["password"]));
+		});
+		ctx.console.addListener("login/token", async function(aid, token) {
+			const [data] = await ctx.database.get("token", {
+				id: aid,
+				token
+			}, ["expiredAt"]);
+			if (!data || data.expiredAt <= Date.now()) throw new Error("令牌已失效。");
+			const [user] = await ctx.database.get("user", { id: aid }, [
+				"id",
+				"name",
+				"authority",
+				"config"
+			]);
+			if (!user) throw new Error("用户不存在。");
+			await ctx.database.set("token", { token }, { lastUsedAt: /* @__PURE__ */ new Date() });
+			await self.setAuth(this, {
+				...user,
+				...data,
+				token
+			});
+		});
+		ctx.console.addListener("login/platform", async function(platform, userId) {
+			const user = await ctx.database.getUser(platform, userId, ["id", "name"]);
+			if (!user) throw new Error("找不到此账户。");
+			if (this.auth?.id === user.id) throw new Error("你已经绑定了此账户。");
+			const key = `${platform}:${userId}`;
+			const token = Math.random().toString().slice(2, 8);
+			const expiredAt = Date.now() + config.loginTokenExpire;
+			states[key] = [
+				token,
+				expiredAt,
+				this
+			];
+			const listener = () => {
+				delete states[key];
+				dispose();
+				this.socket.removeEventListener("close", dispose);
+			};
+			const dispose = ctx.setTimeout(() => {
+				const state = states[key];
+				if (state && state[1] >= Date.now()) listener();
+			}, config.loginTokenExpire);
+			this.socket.addEventListener("close", listener);
+			return {
+				id: user.id,
+				name: user.name,
+				token,
+				expiredAt
+			};
+		});
+		ctx.middleware(async (session, next) => {
+			const state = states[session.uid];
+			if (!state || state[0] !== session.stripped.content) return next();
+			const { platform, userId: pid } = session;
+			if (!pid) return next();
+			if (state[2].auth) {
+				await ctx.database.set("binding", {
+					platform,
+					pid
+				}, { aid: state[2].auth.id });
+				return self.setAuth(state[2], state[2].auth);
+			} else {
+				const user = await session.observeUser([
+					"id",
+					"name",
+					"authority",
+					"config"
+				]);
+				return self.createToken(state[2], "platform", user);
+			}
+		}, true);
+		ctx.on("console/intercept", async (client, listener) => {
+			if (!listener.authority) return false;
+			if (!client.auth) return true;
+			if (client.auth.expiredAt <= Date.now()) return true;
+			if (client.auth.authority < listener.authority) return true;
+			return false;
+		});
+		ctx.console.addListener("user/delete-token", async function(inc) {
+			if (!this.auth) throw new Error("请先登录。");
+			const [data] = await ctx.database.get("token", {
+				id: this.auth.id,
+				inc
+			});
+			if (!data) throw new Error("令牌不存在。");
+			await ctx.database.remove("token", { inc });
+			await self.setAuth(this);
+		});
+		ctx.console.addListener("user/logout", async function() {
+			if (this.auth) await ctx.database.remove("token", { token: this.auth.token });
+			await self.setAuth(this, void 0);
+		});
+		ctx.console.addListener("user/update", async function(data) {
+			if (!this.auth) throw new Error("请先登录。");
+			if (data.password) data.password = toHash(data.password);
+			await ctx.database.set("user", { id: this.auth.id }, data);
+			Object.assign(this.auth, data);
+			await self.setAuth(this, void 0, true);
+		});
+		ctx.console.addListener("user/unbind", async function(platform, pid) {
+			if (!this.auth) throw new Error("请先登录。");
+			const bindings = await ctx.database.get("binding", { aid: this.auth.id });
+			const binding = bindings.find((item) => item.platform === platform && item.pid === pid);
+			if (!binding) throw new Error("绑定不存在。");
+			if (binding.aid !== binding.bid) await ctx.database.set("binding", {
+				platform,
+				pid
+			}, { aid: binding.bid });
+			else if (bindings.filter((item) => item.aid === item.bid).length === 1) throw new Error("无法解除绑定。");
+			else await ctx.database.remove("binding", {
+				platform,
+				pid
+			});
+			await self.setAuth(this);
+		});
+	}
+};
+//#endregion
+export { AuthService as default, randomId };

package/locales/de-DE.yml

@@ -0,0 +1,10 @@
+- 
+  $description: 管理员设置
+  admin:
+    enabled: 启用管理员账号。
+    username: 管理员用户名。
+    password: 管理员密码。
+- 
+  $description: 高级设置
+  authTokenExpire: 用户令牌有效期。
+  loginTokenExpire: 登录令牌有效期。

package/locales/en-US.yml

@@ -0,0 +1,10 @@
+- 
+  $description: 管理员设置
+  admin:
+    enabled: 启用管理员账号。
+    username: 管理员用户名。
+    password: 管理员密码。
+- 
+  $description: 高级设置
+  authTokenExpire: 用户令牌有效期。
+  loginTokenExpire: 登录令牌有效期。

package/locales/fr-FR.yml

@@ -0,0 +1,10 @@
+- 
+  $description: 管理员设置
+  admin:
+    enabled: 启用管理员账号。
+    username: 管理员用户名。
+    password: 管理员密码。
+- 
+  $description: 高级设置
+  authTokenExpire: 用户令牌有效期。
+  loginTokenExpire: 登录令牌有效期。

package/locales/ja-JP.yml

@@ -0,0 +1,10 @@
+- 
+  $description: 管理员设置
+  admin:
+    enabled: 启用管理员账号。
+    username: 管理员用户名。
+    password: 管理员密码。
+- 
+  $description: 高级设置
+  authTokenExpire: 用户令牌有效期。
+  loginTokenExpire: 登录令牌有效期。

package/locales/ru-RU.yml

@@ -0,0 +1,10 @@
+- 
+  $description: 管理员设置
+  admin:
+    enabled: 启用管理员账号。
+    username: 管理员用户名。
+    password: 管理员密码。
+- 
+  $description: 高级设置
+  authTokenExpire: 用户令牌有效期。
+  loginTokenExpire: 登录令牌有效期。

package/locales/zh-CN.yml

@@ -0,0 +1,8 @@
+- $description: 管理员设置
+  admin:
+    enabled: 启用管理员账号。
+    username: 管理员用户名。
+    password: 管理员密码。
+- $description: 高级设置
+  authTokenExpire: 用户令牌有效期。
+  loginTokenExpire: 登录令牌有效期。

package/locales/zh-TW.yml

@@ -0,0 +1,10 @@
+- 
+  $description: 管理員設定
+  admin:
+    enabled: 啟用管理員賬號。
+    username: 管理員用戶名。
+    password: 管理員密碼。
+- 
+  $description: 高級設定
+  authTokenExpire: 用戶令牌有效期。
+  loginTokenExpire: 登錄令牌有效期。

package/package.json

@@ -0,0 +1,70 @@
+{
+    "name": "@koishi-ce/plugin-auth",
+    "description": "Console User Authentication",
+    "version": "1.0.0",
+    "type": "module",
+    "main": "lib/index.mjs",
+    "typings": "lib/index.d.ts",
+    "files": [
+        "lib",
+        "dist",
+        "src",
+        "locales"
+    ],
+    "contributors": [
+        "Shigma <shigma10826@gmail.com>",
+        "Oppenheymu <oppenheymu@gmail.com>"
+    ],
+    "license": "AGPL-3.0",
+    "repository": {
+        "type": "git",
+        "url": "git+https://github.com/Koishi-CE/koishi.git",
+        "directory": "plugins/webui/auth"
+    },
+    "bugs": {
+        "url": "https://github.com/Koishi-CE/koishi/issues"
+    },
+    "homepage": "https://koishi.chat/plugins/console/auth.html",
+    "keywords": [
+        "bot",
+        "chatbot",
+        "koishi",
+        "plugin",
+        "authentication",
+        "login",
+        "console"
+    ],
+    "koishi": {
+        "public": [
+            "dist"
+        ],
+        "description": {
+            "en": "Console user authentication (recommended for console deployed to public network)",
+            "zh": "控制台用户登录 (如果你的控制台要部署到公网，建议安装此插件以确保安全性)"
+        },
+        "service": {
+            "required": [
+                "database",
+                "console"
+            ]
+        }
+    },
+    "peerDependencies": {
+        "@koishijs/plugin-console": "^5.30.11",
+        "koishi": "^4.18.11"
+    },
+    "devDependencies": {
+        "@koishi-ce/client": "^1.0.0"
+    },
+    "dependencies": {
+        "@koishi-ce/console": "^1.0.0"
+    },
+    "exports": {
+        ".": {
+            "source": "./src/index.ts",
+            "types": "./lib/index.d.ts",
+            "import": "./lib/index.mjs",
+            "default": "./lib/index.mjs"
+        }
+    }
+}

package/src/index.ts

@@ -0,0 +1,536 @@
+/**
+ * auth 插件（服务端）：控制台登录鉴权。
+ *
+ * 向应用注入 ctx.auth 服务（AuthService）：扩展 user 表的 password 字段
+ * 并建立 token 会话表，支持用户密码 / 平台验证码 / 已存令牌三种登录方式，
+ * 维护每个 WebSocket 客户端的登录态（client.auth），并按登录用户的权限
+ * 拦截 console 事件。浏览器端对应实现在 ../client/（登录页、个人资料页、
+ * 配置同步对话框）。
+ */
+
+import {
+	createHash,
+	pbkdf2Sync,
+	randomBytes,
+	timingSafeEqual,
+} from "node:crypto";
+import { resolve } from "node:path";
+import type { Client, DataService } from "@koishi-ce/console";
+import {
+	type Binding,
+	type Context,
+	omit,
+	Schema,
+	Service,
+	Time,
+	type User,
+} from "@koishi-ce/koishi";
+import zhCN from "../locales/zh-CN.yml";
+
+declare module "@koishi-ce/koishi" {
+	interface Context {
+		auth: AuthService;
+	}
+
+	interface User {
+		password: string;
+		/** 客户端控制台配置的 JSON 快照（内容仅由浏览器端解释，服务端透传；建表初始为 null） */
+		config: object | null;
+	}
+
+	interface Tables {
+		token: LoginToken;
+	}
+}
+
+declare module "@koishi-ce/console" {
+	interface Client {
+		// setAuth 会以 undefined 清除登录态,exactOptionalPropertyTypes 下
+		// 需显式允许 undefined
+		auth?: Auth | undefined;
+	}
+
+	namespace Console {
+		export interface Services {
+			user: DataService<AuthData>;
+		}
+	}
+
+	interface Events {
+		"login/platform"(
+			this: Client,
+			platform: string,
+			pid: string,
+		): Promise<UserLogin>;
+		"login/password"(this: Client, name: string, password: string): void;
+		"login/token"(this: Client, id: number, token: string): void;
+		"user/delete-token"(this: Client, inc: number): void;
+		"user/unbind"(this: Client, platform: string, pid: string): void;
+		"user/update"(this: Client, data: UserUpdate): void;
+		"user/logout"(this: Client): void;
+	}
+}
+
+/** token 表记录：一次登录会话的令牌及其来源信息。 */
+export interface LoginToken {
+	/** 自增主键（删除指定会话用） */
+	inc: number;
+	/** 所属用户 id */
+	id: number;
+	/** 登录方式 */
+	type: LoginType;
+	/** 随机令牌（唯一索引） */
+	token: string;
+	/** 过期时间戳（毫秒） */
+	expiredAt: number;
+	createdAt: Date;
+	lastUsedAt: Date;
+	/** 登录时的 User-Agent */
+	userAgent: string;
+	/** 登录时的来源 IP */
+	address: string;
+}
+
+/** 下发到客户端的登录态（user 数据服务的单条形态，不含 tokens/bindings 明细）。 */
+export type Auth = Pick<LoginToken, "token" | "expiredAt"> &
+	Pick<User, "id" | "name" | "authority" | "config">;
+
+/** user 数据服务下发给客户端的完整鉴权数据：登录态 + 会话列表 + 绑定列表。 */
+interface AuthData extends Auth {
+	tokens: Omit<LoginToken, "token" | "id">[];
+	bindings: Omit<Binding, "aid">[];
+}
+
+/** 登录方式：平台验证码 / 用户密码 / 已存令牌续期。 */
+type LoginType = "platform" | "password" | "token";
+
+// 随机令牌的字符表（数字 + 大小写字母）
+const letters =
+	"0123456789abcdefghijklmnopqrstuvwxyzABCDEFGHIJKLMNOPQRSTUVWXYZ";
+
+/**
+ * 生成指定长度的随机令牌字符串。
+ * @param length 令牌长度，默认 40
+ * @returns 从字符表随机取字符拼接成的字符串
+ */
+export function randomId(length = 40) {
+	return Array(length)
+		.fill(0)
+		.map(() => letters[Math.floor(Math.random() * letters.length)])
+		.join("");
+}
+
+/** login/platform 事件的返回值：待登录用户信息 + 一次性验证码及其过期时间。 */
+export interface UserLogin extends Pick<User, "id" | "name"> {
+	token: string;
+	expiredAt: number;
+}
+
+/** user/update 事件允许修改的用户字段。 */
+export type UserUpdate = Partial<Pick<User, "name" | "password" | "config">>;
+
+/** PBKDF2-HMAC-SHA256 迭代次数（OWASP 2023 建议 600k；登录低频，开销可接受） */
+const PBKDF2_ROUNDS = 600_000;
+
+/** 新格式密码哈希：`pbkdf2$<rounds>$<salt-hex>$<dk-hex>`（加盐 + 慢哈希）。 */
+function toHash(password: string) {
+	const salt = randomBytes(16);
+	const dk = pbkdf2Sync(password, salt, PBKDF2_ROUNDS, 32, "sha256");
+	return `pbkdf2$${PBKDF2_ROUNDS}$${salt.toString("hex")}$${dk.toString("hex")}`;
+}
+
+/**
+ * 校验明文密码与库中存储是否匹配。
+ *
+ * 兼容两种存储格式：
+ * - `pbkdf2$...` 新格式：按存储的盐与迭代次数重派生，恒定时间比较；
+ * - 64 位十六进制旧格式：历史上无盐 SHA-256，仅用于校验（命中后由调用方
+ *   透明升级为 PBKDF2），同样以恒定时间比较。
+ */
+function verifyPassword(password: string, stored: string): boolean {
+	if (stored.startsWith("pbkdf2$")) {
+		const [, rounds, saltHex, dkHex] = stored.split("$");
+		if (!rounds || !saltHex || !dkHex) return false;
+		const expected = Buffer.from(dkHex, "hex");
+		const actual = pbkdf2Sync(
+			password,
+			Buffer.from(saltHex, "hex"),
+			Number(rounds),
+			expected.length,
+			"sha256",
+		);
+		// 长度已按 expected.length 派生，恒定时间比较不会抛错
+		return timingSafeEqual(actual, expected);
+	}
+	// 旧格式：裸 SHA-256 十六进制。
+	// 无盐 SHA-256 只用于存量密码的**校验**（不可删，删了旧用户无法登录），
+	// 命中后由调用方透明升级为 PBKDF2；新建密码一律走 toHash（pbkdf2$ 格式），
+	// 故此处非弱哈希存储，属误报（Default setup 不支持注释抑制，须在平台 dismiss）。
+	if (!/^[0-9a-f]{64}$/i.test(stored)) return false;
+	const actual = createHash("sha256").update(password).digest();
+	return timingSafeEqual(actual, Buffer.from(stored, "hex"));
+}
+
+/**
+ * 鉴权服务：维护控制台客户端的登录态。
+ *
+ * 构造时扩展 user 表（password / config 字段）与 token 表，注册浏览器端
+ * 的登录与用户管理事件；登录成功后把 Auth 写入 client.auth 并以 user
+ * 数据服务全量下发。依赖 console 与 database 服务。
+ */
+class AuthService extends Service {
+	static inject = ["console", "database"];
+
+	// erasableSyntaxOnly 禁止携带运行时值的 namespace:原 `namespace AuthService`
+	// 的导出值迁为静态成员(合并到 class 的 namespace 本就编译为静态属性,运行时等价)
+	static filter = false;
+
+	static Admin: Schema<AuthService.Admin> = Schema.intersect([
+		Schema.object({
+			enabled: Schema.boolean().default(true),
+		}),
+		Schema.union([
+			Schema.object({
+				enabled: Schema.const(true),
+				username: Schema.string().default("admin"),
+				password: Schema.string().role("secret").required(),
+			}),
+			Schema.object({}),
+		]),
+	]);
+
+	static Config: Schema<AuthService.Config> = Schema.intersect([
+		Schema.object({
+			admin: AuthService.Admin,
+		}),
+		Schema.object({
+			authTokenExpire: Schema.natural()
+				.role("ms")
+				.default(Time.week)
+				.min(Time.hour),
+			loginTokenExpire: Schema.natural()
+				.role("ms")
+				.default(Time.minute * 10)
+				.min(Time.minute),
+		}),
+	]).i18n({
+		"zh-CN": zhCN,
+	});
+
+	// Service 基类已声明 config(T = any),此处覆盖为插件配置类型
+	override config: AuthService.Config;
+
+	constructor(ctx: Context, config: AuthService.Config) {
+		super(ctx, "auth");
+		this.config = config;
+
+		ctx.model.extend("user", {
+			password: "string(255)",
+			config: {
+				type: "json",
+				length: 65535,
+				initial: null,
+			},
+		});
+
+		ctx.model.extend(
+			"token",
+			{
+				inc: "unsigned",
+				id: "unsigned",
+				type: "string(255)",
+				token: "string(255)",
+				expiredAt: "unsigned(8)",
+				createdAt: "timestamp",
+				lastUsedAt: "timestamp",
+				userAgent: "string(255)",
+				address: "string(255)",
+			},
+			{
+				primary: "inc",
+				autoInc: true,
+				unique: ["token"],
+			},
+		);
+
+		ctx.console.addEntry({
+			dev: resolve(__dirname, "../client/index.ts"),
+			prod: resolve(__dirname, "../dist"),
+		});
+
+		this.initLogin();
+	}
+
+	/** 启动时按配置确保管理员账户（id = 0）存在。 */
+	override async start() {
+		const { enabled, username, password } = this.config.admin;
+		if (!enabled) return;
+		this.ctx.logger.info("creating admin account");
+		// enabled 分支的 Schema 已保证 username/password 存在(默认 admin / required),
+		// 此处守卫仅用于类型收窄
+		if (!username || !password) return;
+		await this.ctx.database.upsert("user", [
+			{
+				id: 0,
+				name: username,
+				authority: 5,
+				password: toHash(password),
+				createdAt: new Date(),
+			},
+		]);
+	}
+
+	/**
+	 * 设置客户端登录态并全量下发 user 数据。
+	 * @param client 目标 WebSocket 客户端
+	 * @param auth 新登录态；缺省沿用 client.auth，传 undefined 表示登出
+	 * @param passive 为 true 时只写 client.auth，不推送数据也不刷新
+	 *   （已登录状态下修改资料后仅同步本地时使用）
+	 */
+	async setAuth(client: Client, auth = client.auth, passive = false) {
+		client.auth = auth;
+		if (passive) return;
+		if (auth) {
+			const bindings = await this.ctx.database.get("binding", { aid: auth.id });
+			// 下发前剥离服务端字段;minato 模型字段必填,需按可删除的形状断言
+			bindings.forEach((binding) => delete (binding as Partial<Binding>).aid);
+			const tokens = await this.ctx.database.get("token", { id: auth.id });
+			tokens.reverse().forEach((login) => {
+				delete (login as Partial<LoginToken>).id;
+				delete (login as Partial<LoginToken>).token;
+			});
+			client.send({
+				type: "data",
+				body: { key: "user", value: { ...auth, bindings, tokens } },
+			});
+		} else {
+			client.send({ type: "data", body: { key: "user", value: null } });
+		}
+		client.ctx.emit("console/connection", client);
+		client.refresh();
+	}
+
+	/**
+	 * 为用户签发新令牌并立即让客户端登录。
+	 * 从 WebSocket 升级请求中提取 User-Agent 与来源 IP 一并落库，
+	 * 过期时长由 authTokenExpire 配置决定。
+	 */
+	async createToken(
+		client: Client,
+		type: LoginType,
+		user: Pick<User, "id" | "name" | "authority" | "config">,
+	) {
+		// WebSocket 升级连接必带 HTTP 请求对象(见 console 服务端构造 Client 处)
+		const { headers, socket } = client.request;
+		const createdAt = new Date();
+		const lastUsedAt = new Date();
+		const userAgent = headers["user-agent"]?.toString();
+		const address =
+			headers["x-forwarded-for"]?.toString() || socket.remoteAddress;
+		const expiredAt = Date.now() + this.config.authTokenExpire;
+		const token = randomId();
+		// 请求头字段可能缺失,undefined 由 minato 归一化为 NULL 落库,不做默认值替换
+		await this.ctx.database.create("token", {
+			id: user.id,
+			type,
+			expiredAt,
+			token,
+			createdAt,
+			lastUsedAt,
+			userAgent: userAgent as string,
+			address: address as string,
+		});
+		await this.setAuth(client, { ...user, expiredAt, token });
+	}
+
+	/** 注册全部登录 / 用户管理事件与权限拦截逻辑（构造时调用）。 */
+	initLogin() {
+		const self = this;
+		const { ctx, config } = this;
+		// 平台验证码登录的进行中状态：键为 `${platform}:${userId}`，
+		// 值为 [验证码, 过期时间, 发起登录的客户端]
+		const states: Record<string, [string, number, Client]> = {};
+
+		// 用户密码登录：校验通过后签发新令牌；
+		// 命中旧的无盐 SHA-256 存储时透明升级为 PBKDF2
+		ctx.console.addListener("login/password", async function (name, password) {
+			const [user] = await ctx.database.get("user", { name }, [
+				"password",
+				"name",
+				"id",
+				"authority",
+				"config",
+			]);
+			if (!user?.password || !verifyPassword(password, user.password))
+				throw new Error("用户名或密码错误。");
+			if (!user.password.startsWith("pbkdf2$")) {
+				await ctx.database.set("user", user.id, {
+					password: toHash(password),
+				});
+			}
+			await self.createToken(this, "password", omit(user, ["password"]));
+		});
+
+		// 已存令牌续期登录：本地记录的令牌未过期即恢复登录态，
+		// 同时刷新该令牌的最后访问时间
+		ctx.console.addListener("login/token", async function (aid, token) {
+			const [data] = await ctx.database.get("token", { id: aid, token }, [
+				"expiredAt",
+			]);
+			if (!data || data.expiredAt <= Date.now())
+				throw new Error("令牌已失效。");
+			const [user] = await ctx.database.get("user", { id: aid }, [
+				"id",
+				"name",
+				"authority",
+				"config",
+			]);
+			if (!user) throw new Error("用户不存在。");
+			await ctx.database.set("token", { token }, { lastUsedAt: new Date() });
+			await self.setAuth(this, { ...user, ...data, token });
+		});
+
+		// 平台账户登录（第一步）：校验平台账号存在后生成一次性验证码，
+		// 用户把验证码发给任意机器人即可完成登录/绑定（见下方中间件）。
+		// 状态在验证码过期或客户端断开时清理
+		ctx.console.addListener(
+			"login/platform",
+			async function (platform, userId) {
+				const user = await ctx.database.getUser(platform, userId, [
+					"id",
+					"name",
+				]);
+				if (!user) throw new Error("找不到此账户。");
+				if (this.auth?.id === user.id) throw new Error("你已经绑定了此账户。");
+
+				const key = `${platform}:${userId}`;
+				const token = Math.random().toString().slice(2, 8);
+				const expiredAt = Date.now() + config.loginTokenExpire;
+				states[key] = [token, expiredAt, this];
+
+				// 客户端断开或验证码超时即作废本次登录状态
+				const listener = () => {
+					delete states[key];
+					dispose();
+					this.socket.removeEventListener("close", dispose);
+				};
+				const dispose = ctx.setTimeout(() => {
+					const state = states[key];
+					if (state && state[1] >= Date.now()) listener();
+				}, config.loginTokenExpire);
+				this.socket.addEventListener("close", listener);
+
+				return { id: user.id, name: user.name, token, expiredAt };
+			},
+		);
+
+		// 平台账户登录（第二步）：前置中间件捕获用户发给机器人的验证码——
+		// 客户端已登录则把该平台账号绑定到当前用户，否则为平台对应用户签发令牌
+		ctx.middleware(async (session, next) => {
+			const state = states[session.uid];
+			if (!state || state[0] !== session.stripped.content) {
+				return next();
+			}
+
+			const { platform, userId: pid } = session;
+			// states 的键由 `${platform}:${userId}` 构成,能命中即说明 userId 存在
+			if (!pid) return next();
+			if (state[2].auth) {
+				await ctx.database.set(
+					"binding",
+					{ platform, pid },
+					{ aid: state[2].auth.id },
+				);
+				return self.setAuth(state[2], state[2].auth);
+			} else {
+				const user = await session.observeUser([
+					"id",
+					"name",
+					"authority",
+					"config",
+				]);
+				return self.createToken(state[2], "platform", user);
+			}
+		}, true);
+
+		// 拦截带 authority 要求的 console 事件：未登录、令牌过期或
+		// 权限不足时拒绝（返回 true 表示拦截）
+		ctx.on("console/intercept", async (client, listener) => {
+			if (!listener.authority) return false;
+			if (!client.auth) return true;
+			if (client.auth.expiredAt <= Date.now()) return true;
+			if (client.auth.authority < listener.authority) return true;
+			return false;
+		});
+
+		// 删除指定登录会话（登出其它设备）
+		ctx.console.addListener("user/delete-token", async function (inc) {
+			if (!this.auth) throw new Error("请先登录。");
+			const [data] = await ctx.database.get("token", { id: this.auth.id, inc });
+			if (!data) throw new Error("令牌不存在。");
+			await ctx.database.remove("token", { inc });
+			await self.setAuth(this);
+		});
+
+		// 退出登录：删除当前令牌并清除登录态
+		ctx.console.addListener("user/logout", async function () {
+			if (this.auth) {
+				await ctx.database.remove("token", { token: this.auth.token });
+			}
+			await self.setAuth(this, undefined);
+		});
+
+		// 修改用户资料（用户名 / 密码 / 配置），密码先哈希再落库
+		ctx.console.addListener("user/update", async function (data) {
+			if (!this.auth) throw new Error("请先登录。");
+			if (data.password) data.password = toHash(data.password);
+			await ctx.database.set("user", { id: this.auth.id }, data);
+			Object.assign(this.auth, data);
+			await self.setAuth(this, undefined, true);
+		});
+
+		// 解绑平台账号：绑到别的用户时改指回其主账号；是自身主账号且
+		// 仅剩一个自绑定时拒绝解绑（避免用户失去登录途径），否则删除记录
+		ctx.console.addListener("user/unbind", async function (platform, pid) {
+			if (!this.auth) throw new Error("请先登录。");
+			const bindings = await ctx.database.get("binding", { aid: this.auth.id });
+			// 客户端仅对已列出的绑定发起解绑,查找必命中,未命中视为异常状态
+			const binding = bindings.find(
+				(item) => item.platform === platform && item.pid === pid,
+			);
+			if (!binding) throw new Error("绑定不存在。");
+			if (binding.aid !== binding.bid) {
+				await ctx.database.set(
+					"binding",
+					{ platform, pid },
+					{ aid: binding.bid },
+				);
+			} else if (
+				bindings.filter((item) => item.aid === item.bid).length === 1
+			) {
+				throw new Error("无法解除绑定。");
+			} else {
+				await ctx.database.remove("binding", { platform, pid });
+			}
+			await self.setAuth(this);
+		});
+	}
+}
+
+// 纯类型 namespace(仅含接口,erasableSyntaxOnly 允许),与上面的 class 合并声明
+namespace AuthService {
+	export interface Admin {
+		enabled?: boolean;
+		username?: string;
+		password?: string;
+	}
+
+	// Schema 默认值保证三个字段在运行时始终存在,故声明为必填
+	export interface Config {
+		admin: Admin;
+		authTokenExpire: number;
+		loginTokenExpire: number;
+	}
+}
+
+export default AuthService;