@oj-module/cli 0.1.21 → 0.2.1

package/templates/api/src/_platform/migrations/0004__sys_rbac.pg.sql

@@ -0,0 +1,67 @@
+-- 框架 RBAC 六表 pg 方言覆盖（sqlite 版见 0004__sys_rbac.sql；oj-wiki 先例同型）。
+-- 差异：双引号保留字与 TEXT 主键 pg 原生支持（与 sqlite 同语法）；id 取 BIGSERIAL（同 0001.pg 先例）。
+CREATE TABLE IF NOT EXISTS sys_setting (
+  key TEXT PRIMARY KEY,
+  module TEXT NOT NULL,
+  "group" TEXT NOT NULL,
+  type TEXT NOT NULL DEFAULT 'string',
+  value TEXT,
+  default_value TEXT,
+  label_key TEXT,
+  options TEXT,
+  secret INTEGER NOT NULL DEFAULT 0,
+  update_time INTEGER NOT NULL DEFAULT 0
+);
+
+CREATE TABLE IF NOT EXISTS sys_oplog (
+  id BIGSERIAL PRIMARY KEY,
+  create_time INTEGER NOT NULL,
+  user_id INTEGER NOT NULL DEFAULT 0,
+  username TEXT NOT NULL DEFAULT 'system',
+  action TEXT NOT NULL,
+  module TEXT NOT NULL DEFAULT 'framework',
+  version TEXT,
+  target TEXT,
+  detail TEXT,
+  level INTEGER NOT NULL DEFAULT 6
+);
+CREATE INDEX IF NOT EXISTS idx_sys_oplog_time ON sys_oplog (create_time, id);
+
+CREATE TABLE IF NOT EXISTS sys_solution_route (
+  name TEXT NOT NULL,
+  version TEXT NOT NULL,
+  category TEXT NOT NULL,
+  path TEXT NOT NULL,
+  "order" INTEGER NOT NULL DEFAULT 0,
+  title_key TEXT,
+  enabled INTEGER NOT NULL DEFAULT 1,
+  PRIMARY KEY (name, version, path)
+);
+
+CREATE TABLE IF NOT EXISTS sys_role (
+  name TEXT PRIMARY KEY,
+  module TEXT NOT NULL,
+  title TEXT,
+  description TEXT,
+  builtin INTEGER NOT NULL DEFAULT 0,
+  deprecated INTEGER NOT NULL DEFAULT 0
+);
+
+CREATE TABLE IF NOT EXISTS sys_permission (
+  code TEXT PRIMARY KEY,
+  module TEXT NOT NULL,
+  title_key TEXT,
+  deprecated INTEGER NOT NULL DEFAULT 0
+);
+
+CREATE TABLE IF NOT EXISTS sys_role_permission (
+  role_name TEXT NOT NULL,
+  permission_code TEXT NOT NULL,
+  PRIMARY KEY (role_name, permission_code)
+);
+
+CREATE TABLE IF NOT EXISTS sys_user_role (
+  user_id INTEGER NOT NULL,
+  role_name TEXT NOT NULL,
+  PRIMARY KEY (user_id, role_name)
+);

package/templates/api/src/_platform/migrations/0004__sys_rbac.sql

@@ -0,0 +1,67 @@
+-- 框架 RBAC 六表（设计文档 §5.9.2；判权权威源 + 升级稳定性 deprecated 的地基）
+-- sqlite 方言；mysql/pg 方言变体在阶段 A 冒烟时补齐
+CREATE TABLE IF NOT EXISTS sys_setting (
+  key TEXT PRIMARY KEY,
+  module TEXT NOT NULL,
+  "group" TEXT NOT NULL,
+  type TEXT NOT NULL DEFAULT 'string',
+  value TEXT,
+  default_value TEXT,
+  label_key TEXT,
+  options TEXT,
+  secret INTEGER NOT NULL DEFAULT 0,
+  update_time INTEGER NOT NULL DEFAULT 0
+);
+
+CREATE TABLE IF NOT EXISTS sys_oplog (
+  id INTEGER PRIMARY KEY AUTOINCREMENT,
+  create_time INTEGER NOT NULL,
+  user_id INTEGER NOT NULL DEFAULT 0,
+  username TEXT NOT NULL DEFAULT 'system',
+  action TEXT NOT NULL,
+  module TEXT NOT NULL DEFAULT 'framework',
+  version TEXT,
+  target TEXT,
+  detail TEXT,
+  level INTEGER NOT NULL DEFAULT 6
+);
+CREATE INDEX IF NOT EXISTS idx_sys_oplog_time ON sys_oplog (create_time, id);
+
+CREATE TABLE IF NOT EXISTS sys_solution_route (
+  name TEXT NOT NULL,
+  version TEXT NOT NULL,
+  category TEXT NOT NULL,
+  path TEXT NOT NULL,
+  "order" INTEGER NOT NULL DEFAULT 0,
+  title_key TEXT,
+  enabled INTEGER NOT NULL DEFAULT 1,
+  PRIMARY KEY (name, version, path)
+);
+
+CREATE TABLE IF NOT EXISTS sys_role (
+  name TEXT PRIMARY KEY,
+  module TEXT NOT NULL,
+  title TEXT,
+  description TEXT,
+  builtin INTEGER NOT NULL DEFAULT 0,
+  deprecated INTEGER NOT NULL DEFAULT 0
+);
+
+CREATE TABLE IF NOT EXISTS sys_permission (
+  code TEXT PRIMARY KEY,
+  module TEXT NOT NULL,
+  title_key TEXT,
+  deprecated INTEGER NOT NULL DEFAULT 0
+);
+
+CREATE TABLE IF NOT EXISTS sys_role_permission (
+  role_name TEXT NOT NULL,
+  permission_code TEXT NOT NULL,
+  PRIMARY KEY (role_name, permission_code)
+);
+
+CREATE TABLE IF NOT EXISTS sys_user_role (
+  user_id INTEGER NOT NULL,
+  role_name TEXT NOT NULL,
+  PRIMARY KEY (user_id, role_name)
+);

package/templates/api/src/_platform/migrations/0005__users_must_change.mysql.sql

@@ -0,0 +1,3 @@
+-- users 增 must_change 的 mysql 方言覆盖（oj-wiki 0006 先例逐字同型）。
+-- 差异：整型列取 BIGINT（与 users id 同宽度口径）。
+ALTER TABLE users ADD COLUMN must_change BIGINT NOT NULL DEFAULT 0;

package/templates/api/src/_platform/migrations/0005__users_must_change.sql

@@ -0,0 +1,2 @@
+-- 账号生命周期：must_change 首登强制改密（D12 seed 超管 / 建号默认 1，设计文档 §4A）
+ALTER TABLE users ADD COLUMN must_change INTEGER NOT NULL DEFAULT 0;

package/templates/api/src/_platform/migrations/0006__users_is_forbidden.mysql.sql

@@ -0,0 +1,3 @@
+-- users 增 is_forbidden 的 mysql 方言覆盖（oj-wiki 0005 先例逐字同型）。
+-- 差异：整型列取 BIGINT（与 users id 同宽度口径）。
+ALTER TABLE users ADD COLUMN is_forbidden BIGINT NOT NULL DEFAULT 0;

package/templates/api/src/_platform/migrations/0006__users_is_forbidden.sql

@@ -0,0 +1,3 @@
+-- 禁用标记：is_forbidden=1 即拒（判权出口顺带校验，设计文档 D10/D14）；登录链 B1 复用同一列
+-- A3 实现期发现 A1 遗漏该列（设计文档全篇引用而迁移未落），补此迁移并回填 §9 反常识
+ALTER TABLE users ADD COLUMN is_forbidden INTEGER NOT NULL DEFAULT 0;

package/templates/api/src/_platform/migrations/0007__users_email.sql

@@ -0,0 +1,3 @@
+-- 通讯录字段：email（设计 §4B 检索/详情引用而 A1 未落，A7 实现期补——is_forbidden 同先例，回填 §9）
+-- 可空：本地账号无邮箱（LDAP/SSO JIT 建号回填）
+ALTER TABLE users ADD COLUMN email TEXT;

package/templates/api/src/_platform/migrations/0008__sys_refresh_token.mysql.sql

@@ -0,0 +1,10 @@
+-- refresh token 存储 mysql 方言覆盖（sqlite 版见 0008__sys_refresh_token.sql；oj-wiki 先例同型）。
+-- 差异：整型列取 BIGINT；CREATE INDEX 无 IF NOT EXISTS（迁移账本一次应用语义兜底）。
+CREATE TABLE IF NOT EXISTS sys_refresh_token (
+  token_hash VARCHAR(255) PRIMARY KEY,
+  user_id BIGINT NOT NULL,
+  expires_at BIGINT NOT NULL,
+  revoked BIGINT NOT NULL DEFAULT 0,
+  created_at BIGINT NOT NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;
+CREATE INDEX idx_sys_refresh_token_user ON sys_refresh_token (user_id);

package/templates/api/src/_platform/migrations/0008__sys_refresh_token.pg.sql

@@ -0,0 +1,10 @@
+-- refresh token 存储 pg 方言覆盖（sqlite 版见 0008__sys_refresh_token.sql；oj-wiki 先例同型）。
+-- 差异：无（TEXT 主键与 CREATE INDEX IF NOT EXISTS pg 原生支持，与 sqlite 同语法）。
+CREATE TABLE IF NOT EXISTS sys_refresh_token (
+  token_hash TEXT PRIMARY KEY,
+  user_id INTEGER NOT NULL,
+  expires_at INTEGER NOT NULL,
+  revoked INTEGER NOT NULL DEFAULT 0,
+  created_at INTEGER NOT NULL
+);
+CREATE INDEX IF NOT EXISTS idx_sys_refresh_token_user ON sys_refresh_token (user_id);

package/templates/api/src/_platform/migrations/0008__sys_refresh_token.sql

@@ -0,0 +1,11 @@
+-- refresh token 存储（设计 §3.1：不透明随机串，DB 存 SHA-256 哈希——A1 六表未含，B1 实现期补）。
+-- 轮换作旧（revoked 标记）；reuse 检测 = 已吊销串二次出现 → 按 user_id 全族吊销 + 审计；
+-- is_forbidden=1 或重置口令 → 级联删该用户全部记录（§3.1 吊销联动）。
+CREATE TABLE IF NOT EXISTS sys_refresh_token (
+  token_hash TEXT PRIMARY KEY,
+  user_id INTEGER NOT NULL,
+  expires_at INTEGER NOT NULL,
+  revoked INTEGER NOT NULL DEFAULT 0,
+  created_at INTEGER NOT NULL
+);
+CREATE INDEX IF NOT EXISTS idx_sys_refresh_token_user ON sys_refresh_token (user_id);

package/templates/api/src/_platform/migrations/0009__sys_throttle.mysql.sql

@@ -0,0 +1,12 @@
+-- 限速/登录节流状态落库 mysql 方言覆盖（sqlite 版见 0009__sys_throttle.sql；oj-wiki 先例同型）。
+-- 差异：整型列取 BIGINT；rate_key 避开 MySQL 保留字 key。
+CREATE TABLE IF NOT EXISTS sys_rate_window (
+  rate_key VARCHAR(255) PRIMARY KEY,
+  window_start BIGINT NOT NULL,
+  count BIGINT NOT NULL
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;
+CREATE TABLE IF NOT EXISTS sys_login_throttle (
+  pair_key VARCHAR(255) PRIMARY KEY,
+  fail_count BIGINT NOT NULL,
+  blocked_until BIGINT NOT NULL DEFAULT 0
+) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

package/templates/api/src/_platform/migrations/0009__sys_throttle.pg.sql

@@ -0,0 +1,12 @@
+-- 限速/登录节流状态落库 pg 方言覆盖（sqlite 版见 0009__sys_throttle.sql；oj-wiki 先例同型）。
+-- 差异：无（TEXT 主键三方言同语法）。
+CREATE TABLE IF NOT EXISTS sys_rate_window (
+  rate_key TEXT PRIMARY KEY,
+  window_start INTEGER NOT NULL,
+  count INTEGER NOT NULL
+);
+CREATE TABLE IF NOT EXISTS sys_login_throttle (
+  pair_key TEXT PRIMARY KEY,
+  fail_count INTEGER NOT NULL,
+  blocked_until INTEGER NOT NULL DEFAULT 0
+);

package/templates/api/src/_platform/migrations/0009__sys_throttle.sql

@@ -0,0 +1,13 @@
+-- 限速/登录节流状态落库（反常识修正：oj 运行时每请求重建模块实例，进程内 Map 不跨请求存活——
+-- B5 连败阈值与接口滑动窗口在真实运行时恒失效；状态持久化后重启保留、多实例天然同源，
+-- 原先「多实例换 Redis」的已知上限就此消除）。
+CREATE TABLE IF NOT EXISTS sys_rate_window (
+  rate_key TEXT PRIMARY KEY,
+  window_start INTEGER NOT NULL,
+  count INTEGER NOT NULL
+);
+CREATE TABLE IF NOT EXISTS sys_login_throttle (
+  pair_key TEXT PRIMARY KEY,
+  fail_count INTEGER NOT NULL,
+  blocked_until INTEGER NOT NULL DEFAULT 0
+);

package/templates/api/src/_platform/schema.yaml

@@ -1,5 +1,6 @@
 # 框架级共有表上收 _platform 伪模块（§3-D2）：归属图单源，杜绝「散在模块 seed」。
 # 与 manifest.tables 双向一致（S005）；auth 模块跨模块读 users 经 deps 声明。
+# D10：users.roles JSON 列已移除——角色唯一权威源为 sys_user_role 关系表。
 tables:
   users:
     pk: id
@@ -7,5 +8,79 @@ tables:
       id: {type: integer, autoincrement: true}
       username: {type: text, null: false}
       password_hash: {type: text, null: false}
-      roles: {type: text, null: false}
       avatar_base64: {type: text, null: false}
+      source: {type: text, null: false}
+      display_name: {type: text}
+      must_change: {type: integer, null: false}
+      is_forbidden: {type: integer, null: false}
+      email: {type: text}
+  sys_setting:
+    pk: key
+    columns:
+      key: {type: text, null: false}
+      module: {type: text, null: false}
+      group: {type: text, null: false}
+      type: {type: text, null: false}
+      value: {type: text}
+      default_value: {type: text}
+      label_key: {type: text}
+      options: {type: text}
+      secret: {type: integer, null: false}
+      update_time: {type: integer, null: false}
+  sys_oplog:
+    pk: id
+    columns:
+      id: {type: integer, autoincrement: true}
+      create_time: {type: integer, null: false}
+      user_id: {type: integer, null: false}
+      username: {type: text, null: false}
+      action: {type: text, null: false}
+      module: {type: text, null: false}
+      version: {type: text}
+      target: {type: text}
+      detail: {type: text}
+      level: {type: integer, null: false}
+  sys_solution_route:
+    pk: [name, version, path]
+    columns:
+      name: {type: text, null: false}
+      version: {type: text, null: false}
+      category: {type: text, null: false}
+      path: {type: text, null: false}
+      order: {type: integer, null: false}
+      title_key: {type: text}
+      enabled: {type: integer, null: false}
+  sys_role:
+    pk: name
+    columns:
+      name: {type: text, null: false}
+      module: {type: text, null: false}
+      title: {type: text}
+      description: {type: text}
+      builtin: {type: integer, null: false}
+      deprecated: {type: integer, null: false}
+  sys_permission:
+    pk: code
+    columns:
+      code: {type: text, null: false}
+      module: {type: text, null: false}
+      title_key: {type: text}
+      deprecated: {type: integer, null: false}
+  sys_role_permission:
+    pk: [role_name, permission_code]
+    columns:
+      role_name: {type: text, null: false}
+      permission_code: {type: text, null: false}
+  sys_user_role:
+    pk: [user_id, role_name]
+    columns:
+      user_id: {type: integer, null: false}
+      role_name: {type: text, null: false}
+  sys_refresh_token:
+    pk: token_hash
+    columns:
+      token_hash: {type: text, null: false}
+      user_id: {type: integer, null: false}
+      expires_at: {type: integer, null: false}
+      revoked: {type: integer, null: false}
+      created_at: {type: integer, null: false}

package/templates/api/src/_platform/seed.mysql.sql

@@ -0,0 +1,8 @@
+-- _platform 种子数据 mysql 方言覆盖（方言覆盖文件必胜；INSERT OR IGNORE → INSERT IGNORE）。
+-- 语句分号切分与注释纪律同基线 seed.sql。
+INSERT IGNORE INTO users (username, password_hash, must_change) VALUES ('admin', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', 1);
+INSERT IGNORE INTO sys_role (name, module, title, builtin) VALUES ('superadmin', 'framework', '超级管理员', 1);
+INSERT IGNORE INTO sys_role (name, module, title, builtin) VALUES ('admin', 'framework', '系统管理员', 1);
+INSERT IGNORE INTO sys_role (name, module, title, builtin) VALUES ('editor', 'framework', '编辑', 1);
+INSERT IGNORE INTO sys_role (name, module, title, builtin) VALUES ('viewer', 'framework', '访客', 1);
+INSERT IGNORE INTO sys_user_role (user_id, role_name) SELECT id, 'superadmin' FROM users WHERE username = 'admin';

package/templates/api/src/_platform/seed.pg.sql

@@ -0,0 +1,8 @@
+-- _platform 种子数据 pg 方言覆盖（方言覆盖文件必胜；INSERT OR IGNORE → ON CONFLICT DO NOTHING）。
+-- 语句分号切分与注释纪律同基线 seed.sql。
+INSERT INTO users (username, password_hash, must_change) VALUES ('admin', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', 1) ON CONFLICT DO NOTHING;
+INSERT INTO sys_role (name, module, title, builtin) VALUES ('superadmin', 'framework', '超级管理员', 1) ON CONFLICT DO NOTHING;
+INSERT INTO sys_role (name, module, title, builtin) VALUES ('admin', 'framework', '系统管理员', 1) ON CONFLICT DO NOTHING;
+INSERT INTO sys_role (name, module, title, builtin) VALUES ('editor', 'framework', '编辑', 1) ON CONFLICT DO NOTHING;
+INSERT INTO sys_role (name, module, title, builtin) VALUES ('viewer', 'framework', '访客', 1) ON CONFLICT DO NOTHING;
+INSERT INTO sys_user_role (user_id, role_name) SELECT id, 'superadmin' FROM users WHERE username = 'admin' ON CONFLICT DO NOTHING;

package/templates/api/src/_platform/seed.sql

@@ -1,4 +1,21 @@
 -- _platform 种子数据（只放数据，DDL 归 migrations/，S006 纪律）。
+-- 方言覆盖：seed.mysql.sql / seed.pg.sql（INSERT OR IGNORE 为 sqlite 专属语法，方言文件必胜，同迁移约定）。
 -- 注意：seed 按英文分号朴素切分语句，注释里也不要出现英文分号。
--- admin / 123456（bcrypt）
-INSERT OR IGNORE INTO users (username, password_hash, roles) VALUES ('admin', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', '["admin"]')
+-- 账号生命周期 D12：admin 为 seed 超管（superadmin），must_change=1 首登强制改密——
+-- 初始口令 123456 仅为开发便利，must_change 闭环兜底默认凭据窗口（口令不随机生成的取舍见计划 A2 阶段小结）
+INSERT OR IGNORE INTO users (username, password_hash, must_change) VALUES ('admin', '$2y$10$ylE2NdjnYiuEcq54W/KxH.bhvGaQQg3rbmYI3mcEHX6LdQEAqixeC', 1);
+-- 框架内置角色（ROLES 单一真相：superadmin 安全敏感项 / admin 日常管理 / editor、viewer 页面门）
+INSERT OR IGNORE INTO sys_role (name, module, title, builtin) VALUES ('superadmin', 'framework', '超级管理员', 1);
+INSERT OR IGNORE INTO sys_role (name, module, title, builtin) VALUES ('admin', 'framework', '系统管理员', 1);
+INSERT OR IGNORE INTO sys_role (name, module, title, builtin) VALUES ('editor', 'framework', '编辑', 1);
+INSERT OR IGNORE INTO sys_role (name, module, title, builtin) VALUES ('viewer', 'framework', '访客', 1);
+-- seed 超管绑定（sys_user_role 唯一权威源，D10）
+INSERT OR IGNORE INTO sys_user_role (user_id, role_name) SELECT id, 'superadmin' FROM users WHERE username = 'admin';
+-- 系统设置默认值（PRD §4.3；C4 设置页 / C5 登录方式发现的数据源；market.cdn_url 安全组仅 superadmin 可改）
+INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_value, label_key, secret, update_time) VALUES ('framework.site_title', 'framework', 'general', 'string', 'React Antd Admin', 'React Antd Admin', 'system:setting.site_title', 0, 0);
+INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_value, label_key, secret, update_time) VALUES ('market.cdn_url', 'market', 'security', 'string', '', '', 'system:setting.market_cdn_url', 0, 0);
+INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_value, label_key, secret, update_time) VALUES ('ldap.enabled', 'ldap', 'login', 'bool', '0', '0', 'system:setting.ldap_enabled', 0, 0);
+INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_value, label_key, secret, update_time) VALUES ('sso.enabled', 'sso', 'login', 'bool', '0', '0', 'system:setting.sso_enabled', 0, 0);
+INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_value, label_key, secret, update_time) VALUES ('ldap_base_dn', 'ldap', 'ldap', 'string', '', '', 'system:setting.ldap_base_dn', 0, 0);
+INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_value, label_key, secret, update_time) VALUES ('ldap_uid_attr', 'ldap', 'ldap', 'string', 'uid', 'uid', 'system:setting.ldap_uid_attr', 0, 0);
+INSERT OR IGNORE INTO sys_setting (key, module, "group", type, value, default_value, label_key, secret, update_time) VALUES ('ldap_email_attr', 'ldap', 'ldap', 'string', 'mail', 'mail', 'system:setting.ldap_email_attr', 0, 0);

package/templates/api/src/auth/_shared/ldap-login.ts

@@ -0,0 +1,86 @@
+import type { Session, TokenBundle } from "./session";
+// LDAP 登录领域服务（D1/AC1-12/PRD §4.5）：wiki 九步流程移植 + 本仓 D14/B5 语境。
+// gateway（axis("ldap") 面）与 session（签发出口）均注入——axis 是 oj 运行时全局，Node 侧无此面。
+// 错误两态红线：上游网络/协议错 → 502；凭据拒（0 条/多条/bind false）→ 401；未启用/缺配 → 400。
+// 禁号 → 403（AC1-12：bind 成功也拒签发；LDAP 先查号的枚举面为 D14 已接受项）。
+import { esc, firstAttr } from "./ldap";
+
+export interface LdapEntry { dn: string, attrs: Record<string, string[]> }
+export interface LdapGateway {
+	search: (base: string, opts: { filter: string, attrs: string[] }) => Promise<LdapEntry[]>
+	bind: (dn: string, password: string) => Promise<boolean>
+}
+
+/** 运行时网关：oj axis("ldap") 全局（libldap.dylib 插件，PRD §4.5 可行性结论）。 */
+export function runtimeLdapGateway(): LdapGateway {
+	const axisLdap = (globalThis as any).axis("ldap");
+	return {
+		search: (base, opts) => axisLdap.search(base, opts),
+		bind: (dn, password) => axisLdap.bind(dn, password),
+	};
+}
+
+function fail(status: number, message: string): never {
+	throw Object.assign(new Error(message), { status });
+}
+
+async function setting(key: string): Promise<string> {
+	const rows = await db.query("select value from sys_setting where key = ?", [key]) as Array<{ value: string | null }>;
+	return rows[0]?.value == null ? "" : String(rows[0].value);
+}
+
+export function createLdapLogin(session: Pick<Session, "issueExternal">, gateway: LdapGateway) {
+	/** 九步：enabled 闸 → 非空校验 → base_dn → 映射缺省 → search(esc) → bind → JIT → 禁号 → 签发。 */
+	return async function ldapLogin(rawUsername: unknown, rawPassword: unknown): Promise<TokenBundle> {
+		if ((await setting("ldap.enabled")) !== "1")
+			fail(400, "LDAP 未启用");
+		const username = String(rawUsername ?? "").trim();
+		const password = String(rawPassword ?? "");
+		if (!username || !password)
+			fail(400, "username/password required");
+		const base = await setting("ldap_base_dn");
+		if (!base)
+			fail(400, "ldap_base_dn 未配置");
+		const uidAttr = (await setting("ldap_uid_attr")) || "uid";
+		const emailAttr = (await setting("ldap_email_attr")) || "mail";
+		let entries: LdapEntry[];
+		try {
+			entries = await gateway.search(base, { filter: `(${uidAttr}=${esc(username)})`, attrs: [uidAttr, emailAttr] });
+		}
+		catch {
+			fail(502, "ldap upstream failed");
+		}
+		if (!Array.isArray(entries) || entries.length !== 1)
+			fail(401, "invalid credentials"); // 0 条不存在、多条不猜
+		let ok = false;
+		try {
+			ok = await gateway.bind(entries[0].dn, password);
+		}
+		catch {
+			fail(502, "ldap upstream failed");
+		}
+		if (!ok)
+			fail(401, "invalid credentials"); // LDAP 拒凭据是正常返回 false（不抛）
+		// JIT find-or-create：键 "ldap:<uid>"，占位 hash "!ldap" 恒 verify false（低信任来源不接管本地号）；
+		// must_change=0——外来号无本地旧口令，悬挂期唯一可用写端（改密）必失败 = 号 brick（设计 §9.4）
+		const localName = `ldap:${username}`;
+		let rows = await db.query("select id, is_forbidden from users where username = ?", [localName]) as Array<{ id: number, is_forbidden: number }>;
+		if (!rows.length) {
+			try {
+				await db.exec(
+					"insert into users (username, password_hash, source, email, must_change, is_forbidden) values (?, '!ldap', 'ldap', ?, 0, 0)",
+					[localName, firstAttr(entries[0].attrs, emailAttr) || null],
+				);
+			}
+			catch (e) {
+				// 唯一约束兜底（预查与插入间的竞态，同 createUser 模式）：撞 username → 回查复用；其余照抛
+				if (!/unique|constraint/i.test(e instanceof Error ? e.message : String(e)))
+					throw e;
+			}
+			rows = await db.query("select id, is_forbidden from users where username = ?", [localName]) as Array<{ id: number, is_forbidden: number }>;
+		}
+		if (Number(rows[0].is_forbidden) === 1)
+			fail(403, "account disabled");
+		return session.issueExternal(Number(rows[0].id));
+	};
+}

package/templates/api/src/auth/_shared/ldap.ts

@@ -0,0 +1,14 @@
+// LDAP 纯函数（无全局依赖，L2 直测）：filter 转义 + 属性首值提取。D1/PRD §4.5 红线移植 wiki。
+// 转义红线：axis("ldap") 的 filter 是拼进目录查询的原始 RFC 4515 字符串，**无参数绑定**——
+// 用户输入拼进 filter 前必须转义（oj-bin docs/api/13-ldap.md「filter 注入」红线）。
+
+/** RFC 4515 转义：`*` `(` `)` `\` NUL → `\hh`（两位十六进制）。 */
+export function esc(s: string): string {
+	return String(s).replace(/[*(\\)\0]/g, c => `\\${c.charCodeAt(0).toString(16).padStart(2, "0")}`);
+}
+
+/** 属性首值（LDAP 多值属性取第一项；缺失/空数组 → 空串）。 */
+export function firstAttr(attrs: Record<string, string[]> | undefined, name: string): string {
+	const v = attrs?.[name];
+	return Array.isArray(v) && v.length > 0 ? String(v[0]) : "";
+}

package/templates/api/src/auth/_shared/login-throttle.ts

@@ -0,0 +1,29 @@
+// 登录限速编排（B5/AC1-26）：auth/login 与 auth/ldap-login 共用的 (IP, username) 双维度守卫 + 失败记账。
+// 状态全在 DB（sys_login_throttle/sys_rate_window，迁移 0009）——oj 每请求重建模块，进程内方案恒失效（§9.3-3）。
+import { auditOp } from "../../_platform/_shared/service/audit";
+import { loginBlocked, loginFailed, loginSucceeded, rateLimit } from "../../_platform/_shared/service/rate";
+
+/** 客户端 IP：优先 X-Forwarded-For（反代后），回落 X-Real-IP。 */
+export async function clientIp(): Promise<string> {
+	return String((http.headers || {})["x-forwarded-for"] ?? http.headers?.["x-real-ip"] ?? "unknown");
+}
+
+/** 登录前守卫：per-IP 粗窗口防撞库 + (IP, username) 连败阻断（429 指数 backoff 在 rate.ts）。 */
+export async function guardLoginThrottle(ip: string, username: string): Promise<void> {
+	await rateLimit(`login:ip:${ip}`, 30, 60_000);
+	await loginBlocked(`${ip}|${username}`);
+}
+
+/** 401 记账：连败 +1（达阈值审计节流事件）+ 失败审计。 */
+export async function noteLoginFailed(ip: string, username: string): Promise<void> {
+	const pairKey = `${ip}|${username}`;
+	const fails = await loginFailed(pairKey);
+	if (fails === 6)
+		auditOp({ action: "auth.login.throttle", module: "framework", target: pairKey, level: 4 });
+	auditOp({ action: "auth.login.fail", module: "framework", target: username, level: 4 });
+}
+
+/** 登录成功清零连败。 */
+export async function noteLoginSucceeded(ip: string, username: string): Promise<void> {
+	await loginSucceeded(`${ip}|${username}`);
+}