@xiaobuyu/nodesign 0.0.1 → 0.0.3

package/server/auth/middleware.js

@@ -1,138 +1,138 @@
-/**
- * server/auth/middleware.js — 登录墙（v2 多用户）：/api/auth 路由 + /api 守卫
- *
- * - POST /api/auth/login    {username, password} → Set-Cookie nd_auth（v2 token 带身份）
- * - POST /api/auth/register {username, password, inviteCode} → 建号并直接登录
- * - POST /api/auth/logout   → 清 cookie
- * - GET  /api/auth/status   → {required, authed, user}（前端 AuthGate 用，永远放行）
- * - authGuard：其余 /api/* 无有效身份一律 401；有则挂 req.user
- *
- * 暴力破解防护：按 IP 记连续失败（登录+注册共用一本账），超限锁 15 分钟。
- * in-memory —— 单实例架构下够用，重启清零可接受。
- */
-
-import express from 'express';
-import {
-  authEnabled, mintToken, requestUser, cookieSerialize, cookieClear,
-} from './session.js';
-import { getCredential, verifyPassword, getUserById, registerUser, openRegistrationEnabled } from './users-store.js';
-import { makeRateWindow } from '../lib/rate-window.js';
-import { platform } from '../runtime/platform.js';
-
-const MAX_FAILS = 10;
-const LOCK_MS = 15 * 60 * 1000;
-/** ip → { fails, lockedUntil } */
-const failures = new Map();
-// 开放注册后每个 IP 一天最多建几个号（防脚本批量开号吃共享钥匙的限流）。内存窗口，重启清零无所谓
-const registerWindow = makeRateWindow({ limit: Number(process.env.NODESIGN_REGISTER_PER_IP_PER_DAY) || 5, windowMs: 24 * 60 * 60 * 1000 });
-
-function clientIp(req) {
-  // ⛔ 不看 X-Forwarded-For：它的第一跳是客户端自报的（CF/nginx 都是追加不是覆盖），
-  // 随机填一个就绕过注册限流和登录锁（08-21 fable 评审）。可信顺序：CF 的 cf-connecting-ip
-  // → nginx 写的 X-Real-IP（$remote_addr，是对端不是自报）→ socket
-  const cf = req.headers['cf-connecting-ip'];
-  if (typeof cf === 'string' && cf.trim()) return cf.trim();
-  const real = req.headers['x-real-ip'];
-  if (typeof real === 'string' && real.trim()) return real.trim();
-  return req.socket?.remoteAddress || 'unknown';
-}
-
-function locked(ip) {
-  const rec = failures.get(ip);
-  if (rec?.lockedUntil && rec.lockedUntil > Date.now()) {
-    return Math.ceil((rec.lockedUntil - Date.now()) / 60000);
-  }
-  return 0;
-}
-
-function recordFail(ip) {
-  const rec = failures.get(ip);
-  const next = { fails: (rec?.fails || 0) + 1, lockedUntil: 0 };
-  if (next.fails >= MAX_FAILS) {
-    next.fails = 0;
-    next.lockedUntil = Date.now() + LOCK_MS;
-    console.warn(`[auth] ip ${ip} locked for ${LOCK_MS / 60000}min (too many failures)`);
-  }
-  failures.set(ip, next);
-}
-
-const publicUser = (u) => (u ? { id: u.id, username: u.username, role: u.role } : null);
-
-export const authRouter = express.Router();
-
-authRouter.get('/status', (req, res) => {
-  const user = requestUser(req);
-  // profile：前端据此藏 SaaS 那套界面（账号徽记 / 额度横幅 / 管理入口）。local = 本地单租户分发版
-  res.json({ required: authEnabled(), authed: !!user, user: publicUser(user), openRegistration: openRegistrationEnabled(), profile: platform.profile });
-});
-
-authRouter.post('/login', (req, res) => {
-  if (!authEnabled()) return res.json({ ok: true, note: 'auth disabled' });
-
-  const ip = clientIp(req);
-  const waitMin = locked(ip);
-  if (waitMin) return res.status(429).json({ error: `尝试次数过多，${waitMin} 分钟后再试` });
-
-  const { username, password } = req.body || {};
-  const cred = typeof username === 'string' ? getCredential(username.trim()) : null;
-  // cred 不存在也照走 verify（恒定时间语义靠 scrypt 本身的成本；不提前泄漏"用户不存在"）
-  const ok = cred && !cred.disabled
-    && verifyPassword(typeof password === 'string' ? password : '', cred.passwordHash);
-  if (!ok) {
-    recordFail(ip);
-    return res.status(401).json({ error: '用户名或密码错误' });
-  }
-
-  failures.delete(ip);
-  res.setHeader('Set-Cookie', cookieSerialize(mintToken(cred.id), req));
-  res.json({ ok: true, user: publicUser(getUserById(cred.id)) });
-});
-
-authRouter.post('/register', (req, res) => {
-  const ip = clientIp(req);
-  const waitMin = locked(ip);
-  if (waitMin) return res.status(429).json({ error: `尝试次数过多，${waitMin} 分钟后再试` });
-
-  const { username, password, inviteCode } = req.body || {};
-  const hasInvite = typeof inviteCode === 'string' && inviteCode.trim();
-  const perIpLimit = Number(process.env.NODESIGN_REGISTER_PER_IP_PER_DAY) || 5;
-  if (!hasInvite && registerWindow.count(ip) >= perIpLimit) {
-    return res.status(429).json({ error: '这个网络今天开的号太多了，明天再来', code: 'REGISTER_RATE_LIMITED' });
-  }
-  try {
-    const user = registerUser({
-      username: typeof username === 'string' ? username.trim() : '',
-      password,
-      inviteCode: typeof inviteCode === 'string' ? inviteCode.trim() : '',
-    });
-    failures.delete(ip);
-    if (!hasInvite) registerWindow.take(ip);   // 做成了才扣名额（用户名撞车不算）
-    res.setHeader('Set-Cookie', cookieSerialize(mintToken(user.id), req));
-    res.status(201).json({ ok: true, user: publicUser(user) });
-  } catch (err) {
-    // 邀请码乱试也计入锁（防爆破邀请码空间）
-    if (err.code === 'BAD_INVITE') recordFail(ip);
-    res.status(400).json({ error: err.message || '注册失败', code: err.code || 'REGISTER_FAILED' });
-  }
-});
-
-authRouter.post('/logout', (_req, res) => {
-  res.setHeader('Set-Cookie', cookieClear());
-  res.json({ ok: true });
-});
-
-/** 挂在业务路由之前的守卫：验身份 + 挂 req.user */
-export function authGuard(req, res, next) {
-  const user = requestUser(req);
-  if (user) {
-    req.user = user;
-    return next();
-  }
-  res.status(401).json({ error: 'unauthorized', code: 'AUTH_REQUIRED' });
-}
-
-/** admin 专属路由守卫（挂在 authGuard 之后） */
-export function adminGuard(req, res, next) {
-  if (req.user?.role === 'admin') return next();
-  res.status(403).json({ error: 'admin only', code: 'FORBIDDEN' });
-}
+/**
+ * server/auth/middleware.js — 登录墙（v2 多用户）：/api/auth 路由 + /api 守卫
+ *
+ * - POST /api/auth/login    {username, password} → Set-Cookie nd_auth（v2 token 带身份）
+ * - POST /api/auth/register {username, password, inviteCode} → 建号并直接登录
+ * - POST /api/auth/logout   → 清 cookie
+ * - GET  /api/auth/status   → {required, authed, user}（前端 AuthGate 用，永远放行）
+ * - authGuard：其余 /api/* 无有效身份一律 401；有则挂 req.user
+ *
+ * 暴力破解防护：按 IP 记连续失败（登录+注册共用一本账），超限锁 15 分钟。
+ * in-memory —— 单实例架构下够用，重启清零可接受。
+ */
+
+import express from 'express';
+import {
+  authEnabled, mintToken, requestUser, cookieSerialize, cookieClear,
+} from './session.js';
+import { getCredential, verifyPassword, getUserById, registerUser, openRegistrationEnabled } from './users-store.js';
+import { makeRateWindow } from '../lib/rate-window.js';
+import { platform } from '../runtime/platform.js';
+
+const MAX_FAILS = 10;
+const LOCK_MS = 15 * 60 * 1000;
+/** ip → { fails, lockedUntil } */
+const failures = new Map();
+// 开放注册后每个 IP 一天最多建几个号（防脚本批量开号吃共享钥匙的限流）。内存窗口，重启清零无所谓
+const registerWindow = makeRateWindow({ limit: Number(process.env.NODESIGN_REGISTER_PER_IP_PER_DAY) || 5, windowMs: 24 * 60 * 60 * 1000 });
+
+function clientIp(req) {
+  // ⛔ 不看 X-Forwarded-For：它的第一跳是客户端自报的（CF/nginx 都是追加不是覆盖），
+  // 随机填一个就绕过注册限流和登录锁（08-21 fable 评审）。可信顺序：CF 的 cf-connecting-ip
+  // → nginx 写的 X-Real-IP（$remote_addr，是对端不是自报）→ socket
+  const cf = req.headers['cf-connecting-ip'];
+  if (typeof cf === 'string' && cf.trim()) return cf.trim();
+  const real = req.headers['x-real-ip'];
+  if (typeof real === 'string' && real.trim()) return real.trim();
+  return req.socket?.remoteAddress || 'unknown';
+}
+
+function locked(ip) {
+  const rec = failures.get(ip);
+  if (rec?.lockedUntil && rec.lockedUntil > Date.now()) {
+    return Math.ceil((rec.lockedUntil - Date.now()) / 60000);
+  }
+  return 0;
+}
+
+function recordFail(ip) {
+  const rec = failures.get(ip);
+  const next = { fails: (rec?.fails || 0) + 1, lockedUntil: 0 };
+  if (next.fails >= MAX_FAILS) {
+    next.fails = 0;
+    next.lockedUntil = Date.now() + LOCK_MS;
+    console.warn(`[auth] ip ${ip} locked for ${LOCK_MS / 60000}min (too many failures)`);
+  }
+  failures.set(ip, next);
+}
+
+const publicUser = (u) => (u ? { id: u.id, username: u.username, role: u.role } : null);
+
+export const authRouter = express.Router();
+
+authRouter.get('/status', (req, res) => {
+  const user = requestUser(req);
+  // profile：前端据此藏 SaaS 那套界面（账号徽记 / 额度横幅 / 管理入口）。local = 本地单租户分发版
+  res.json({ required: authEnabled(), authed: !!user, user: publicUser(user), openRegistration: openRegistrationEnabled(), profile: platform.profile });
+});
+
+authRouter.post('/login', (req, res) => {
+  if (!authEnabled()) return res.json({ ok: true, note: 'auth disabled' });
+
+  const ip = clientIp(req);
+  const waitMin = locked(ip);
+  if (waitMin) return res.status(429).json({ error: `尝试次数过多，${waitMin} 分钟后再试` });
+
+  const { username, password } = req.body || {};
+  const cred = typeof username === 'string' ? getCredential(username.trim()) : null;
+  // cred 不存在也照走 verify（恒定时间语义靠 scrypt 本身的成本；不提前泄漏"用户不存在"）
+  const ok = cred && !cred.disabled
+    && verifyPassword(typeof password === 'string' ? password : '', cred.passwordHash);
+  if (!ok) {
+    recordFail(ip);
+    return res.status(401).json({ error: '用户名或密码错误' });
+  }
+
+  failures.delete(ip);
+  res.setHeader('Set-Cookie', cookieSerialize(mintToken(cred.id), req));
+  res.json({ ok: true, user: publicUser(getUserById(cred.id)) });
+});
+
+authRouter.post('/register', (req, res) => {
+  const ip = clientIp(req);
+  const waitMin = locked(ip);
+  if (waitMin) return res.status(429).json({ error: `尝试次数过多，${waitMin} 分钟后再试` });
+
+  const { username, password, inviteCode } = req.body || {};
+  const hasInvite = typeof inviteCode === 'string' && inviteCode.trim();
+  const perIpLimit = Number(process.env.NODESIGN_REGISTER_PER_IP_PER_DAY) || 5;
+  if (!hasInvite && registerWindow.count(ip) >= perIpLimit) {
+    return res.status(429).json({ error: '这个网络今天开的号太多了，明天再来', code: 'REGISTER_RATE_LIMITED' });
+  }
+  try {
+    const user = registerUser({
+      username: typeof username === 'string' ? username.trim() : '',
+      password,
+      inviteCode: typeof inviteCode === 'string' ? inviteCode.trim() : '',
+    });
+    failures.delete(ip);
+    if (!hasInvite) registerWindow.take(ip);   // 做成了才扣名额（用户名撞车不算）
+    res.setHeader('Set-Cookie', cookieSerialize(mintToken(user.id), req));
+    res.status(201).json({ ok: true, user: publicUser(user) });
+  } catch (err) {
+    // 邀请码乱试也计入锁（防爆破邀请码空间）
+    if (err.code === 'BAD_INVITE') recordFail(ip);
+    res.status(400).json({ error: err.message || '注册失败', code: err.code || 'REGISTER_FAILED' });
+  }
+});
+
+authRouter.post('/logout', (_req, res) => {
+  res.setHeader('Set-Cookie', cookieClear());
+  res.json({ ok: true });
+});
+
+/** 挂在业务路由之前的守卫：验身份 + 挂 req.user */
+export function authGuard(req, res, next) {
+  const user = requestUser(req);
+  if (user) {
+    req.user = user;
+    return next();
+  }
+  res.status(401).json({ error: 'unauthorized', code: 'AUTH_REQUIRED' });
+}
+
+/** admin 专属路由守卫（挂在 authGuard 之后） */
+export function adminGuard(req, res, next) {
+  if (req.user?.role === 'admin') return next();
+  res.status(403).json({ error: 'admin only', code: 'FORBIDDEN' });
+}

package/server/auth/origin-guard.js

@@ -1,71 +1,71 @@
-/**
- * server/auth/origin-guard.js — 「这个请求是从哪个页面发起的」判据（2026-08-18）
- *
- * 为什么需要：cookie 是 `SameSite=Lax`（session.js），它挡的是**跨站**。而已发布
- * 站点住在 `<slug>.share.xiaobuyu.trade`，与应用主机 `nodesign.xiaobuyu.trade`
- * 同 eTLD+1 —— **同站**。Lax 照发。
- *
- * 真跑验过（chromium + `--host-resolver-rules` 造两个同 eTLD+1 的子域）：
- * `evil.share.nd.trade` 上的页面开 `ws://app.nd.trade/ws/projects/<pid>/browser`,
- * 受害者的 host-only Lax cookie **原样送达**，而服务端收到的
- * `Origin: http://evil.share.nd.trade` 从来没人看。于是任何 beta 用户发布的页面
- * 都能直播别人已登录的浏览器画面并注入键鼠。
- *
- * ⚠️ 判据只有一份：WS 两条升级路 + cors 都 import 这里，别在调用点各写一份
- * （[[feedback-copied-guard-shape]]：去掉第二份实现而不是添第三份）。
- *
- * ⭐ **Origin 缺失 = 放行**，这不是漏洞：浏览器对 WS 握手和带凭据的跨源请求
- * **一定**发 Origin，缺失的只可能是非浏览器客户端（我们自己的验收脚本、
- * playwright、curl）。它们手里本来就有 cookie，拦它们不多一分安全，只拆工具链。
- */
-
-const LOOPBACK = new Set(['localhost', '127.0.0.1', '::1', '[::1]', '0.0.0.0']);
-
-/** host 去掉端口（IPv6 的 [::1]:5173 也要认） */
-function bare(hostWithPort) {
-  const h = String(hostWithPort || '').toLowerCase();
-  if (h.startsWith('[')) return h.slice(0, h.indexOf(']') + 1);
-  const i = h.lastIndexOf(':');
-  return i === -1 ? h : h.slice(0, i);
-}
-
-function isLoopback(hostWithPort) {
-  const b = bare(hostWithPort);
-  return LOOPBACK.has(b) || LOOPBACK.has(b.replace(/^\[|\]$/g, ''));
-}
-
-/**
- * 额外白名单：env `ND_ALLOWED_ORIGINS`（逗号分隔，写完整 origin 或裸 host 都认）。
- * 老键 `CORS_ORIGIN` 一并认，免得改名把已有部署配置作废。
- */
-let extraCache = null;
-function extraHosts() {
-  if (extraCache) return extraCache;
-  const raw = `${process.env.ND_ALLOWED_ORIGINS || ''},${process.env.CORS_ORIGIN || ''}`;
-  extraCache = new Set(
-    raw.split(',').map(s => s.trim()).filter(Boolean)
-      .map((s) => { try { return new URL(s).host.toLowerCase(); } catch { return s.toLowerCase(); } }),
-  );
-  return extraCache;
-}
-
-/**
- * @param {{ headers?: Record<string,string|undefined> }} req
- * @returns {boolean} 允许携带凭据地访问
- */
-export function originAllowed(req) {
-  const origin = req?.headers?.origin;
-  if (!origin) return true;              // 非浏览器客户端，见文件头
-  if (origin === 'null') return false;   // file:// / 不给 allow-same-origin 的 iframe
-  let originHost;
-  try { originHost = new URL(origin).host.toLowerCase(); } catch { return false; }
-
-  const host = String(req?.headers?.host || '').toLowerCase();
-  if (originHost === host) return true;  // 同源：生产走这条（nginx 传的是 Host $host）
-  // vite dev 代理把 Host 改写成了 localhost:4001，而页面在 localhost:5173
-  if (isLoopback(originHost) && isLoopback(host)) return true;
-  return extraHosts().has(originHost);
-}
-
-/** 测试用：改过 env 之后清掉白名单缓存 */
-export function _resetOriginCache() { extraCache = null; }
+/**
+ * server/auth/origin-guard.js — 「这个请求是从哪个页面发起的」判据（2026-08-18）
+ *
+ * 为什么需要：cookie 是 `SameSite=Lax`（session.js），它挡的是**跨站**。而已发布
+ * 站点住在 `<slug>.share.xiaobuyu.trade`，与应用主机 `nodesign.xiaobuyu.trade`
+ * 同 eTLD+1 —— **同站**。Lax 照发。
+ *
+ * 真跑验过（chromium + `--host-resolver-rules` 造两个同 eTLD+1 的子域）：
+ * `evil.share.nd.trade` 上的页面开 `ws://app.nd.trade/ws/projects/<pid>/browser`,
+ * 受害者的 host-only Lax cookie **原样送达**，而服务端收到的
+ * `Origin: http://evil.share.nd.trade` 从来没人看。于是任何 beta 用户发布的页面
+ * 都能直播别人已登录的浏览器画面并注入键鼠。
+ *
+ * ⚠️ 判据只有一份：WS 两条升级路 + cors 都 import 这里，别在调用点各写一份
+ * （[[feedback-copied-guard-shape]]：去掉第二份实现而不是添第三份）。
+ *
+ * ⭐ **Origin 缺失 = 放行**，这不是漏洞：浏览器对 WS 握手和带凭据的跨源请求
+ * **一定**发 Origin，缺失的只可能是非浏览器客户端（我们自己的验收脚本、
+ * playwright、curl）。它们手里本来就有 cookie，拦它们不多一分安全，只拆工具链。
+ */
+
+const LOOPBACK = new Set(['localhost', '127.0.0.1', '::1', '[::1]', '0.0.0.0']);
+
+/** host 去掉端口（IPv6 的 [::1]:5173 也要认） */
+function bare(hostWithPort) {
+  const h = String(hostWithPort || '').toLowerCase();
+  if (h.startsWith('[')) return h.slice(0, h.indexOf(']') + 1);
+  const i = h.lastIndexOf(':');
+  return i === -1 ? h : h.slice(0, i);
+}
+
+function isLoopback(hostWithPort) {
+  const b = bare(hostWithPort);
+  return LOOPBACK.has(b) || LOOPBACK.has(b.replace(/^\[|\]$/g, ''));
+}
+
+/**
+ * 额外白名单：env `ND_ALLOWED_ORIGINS`（逗号分隔，写完整 origin 或裸 host 都认）。
+ * 老键 `CORS_ORIGIN` 一并认，免得改名把已有部署配置作废。
+ */
+let extraCache = null;
+function extraHosts() {
+  if (extraCache) return extraCache;
+  const raw = `${process.env.ND_ALLOWED_ORIGINS || ''},${process.env.CORS_ORIGIN || ''}`;
+  extraCache = new Set(
+    raw.split(',').map(s => s.trim()).filter(Boolean)
+      .map((s) => { try { return new URL(s).host.toLowerCase(); } catch { return s.toLowerCase(); } }),
+  );
+  return extraCache;
+}
+
+/**
+ * @param {{ headers?: Record<string,string|undefined> }} req
+ * @returns {boolean} 允许携带凭据地访问
+ */
+export function originAllowed(req) {
+  const origin = req?.headers?.origin;
+  if (!origin) return true;              // 非浏览器客户端，见文件头
+  if (origin === 'null') return false;   // file:// / 不给 allow-same-origin 的 iframe
+  let originHost;
+  try { originHost = new URL(origin).host.toLowerCase(); } catch { return false; }
+
+  const host = String(req?.headers?.host || '').toLowerCase();
+  if (originHost === host) return true;  // 同源：生产走这条（nginx 传的是 Host $host）
+  // vite dev 代理把 Host 改写成了 localhost:4001，而页面在 localhost:5173
+  if (isLoopback(originHost) && isLoopback(host)) return true;
+  return extraHosts().has(originHost);
+}
+
+/** 测试用：改过 env 之后清掉白名单缓存 */
+export function _resetOriginCache() { extraCache = null; }

package/server/auth/session.js

@@ -1,108 +1,108 @@
-/**
- * server/auth/session.js — 无状态会话 token（v2：带用户身份）
- *
- * 2026-07-30 单密码墙 → 多用户：token 从 `v1.<exp>.<hmac>` 升级为
- *   v2.<userId>.<expiresAtMs>.<hmacSha256Hex(secret, "v2.<userId>.<exp>")>
- * v1 一律拒收（上线全员重登一次，admin 用老密码 + 用户名 admin 登）。
- *
- * secret：优先 NODESIGN_AUTH_SECRET（.env 固定随机值）；未配置时从
- * NODESIGN_AUTH_PASSWORD 派生并 loud warn —— 多用户下密码已 per-user，
- * 派生密钥只是别让服务起不来的兜底，不是推荐姿势。
- *
- * 无服务端 token 存储 —— server 重启不掉登录态。身份真伪查 users 表
- * （users-store 带 60s 缓存），disabled 用户 token 仍在也进不来。
- */
-
-import crypto from 'crypto';
-import { getUserById, authEnabled, LOCAL_OWNER } from './users-store.js';
-
-// 登录墙开关住 users-store（它要看 users 表 + profile），这里转出口给老调用点
-export { authEnabled };
-
-export const COOKIE_NAME = 'nd_auth';
-const TOKEN_TTL_MS = 30 * 24 * 60 * 60 * 1000; // 30 天
-
-let warnedDerivedSecret = false;
-function secret() {
-  if (process.env.NODESIGN_AUTH_SECRET) return process.env.NODESIGN_AUTH_SECRET;
-  if (!warnedDerivedSecret) {
-    warnedDerivedSecret = true;
-    console.warn('[auth] NODESIGN_AUTH_SECRET 未配置，从 NODESIGN_AUTH_PASSWORD 派生（建议在 .env 固定一个随机值）');
-  }
-  return crypto.createHash('sha256').update(`nd-auth-v2:${process.env.NODESIGN_AUTH_PASSWORD || ''}`).digest('hex');
-}
-
-function sign(payload) {
-  return crypto.createHmac('sha256', secret()).update(payload).digest('hex');
-}
-
-function timingSafeEq(a, b) {
-  const ba = Buffer.from(String(a));
-  const bb = Buffer.from(String(b));
-  if (ba.length !== bb.length) return false;
-  return crypto.timingSafeEqual(ba, bb);
-}
-
-export function mintToken(userId, now = Date.now()) {
-  const payload = `v2.${userId}.${now + TOKEN_TTL_MS}`;
-  return `${payload}.${sign(payload)}`;
-}
-
-/** @returns {string|null} userId（签名或过期不对 → null；v1 一律 null） */
-export function verifyToken(token, now = Date.now()) {
-  if (typeof token !== 'string') return null;
-  const m = token.match(/^(v2\.([A-Za-z0-9_-]{1,64})\.(\d{1,16}))\.([0-9a-f]{64})$/);
-  if (!m) return null;
-  const [, payload, userId, expStr, mac] = m;
-  if (Number(expStr) < now) return null;
-  if (!timingSafeEq(mac, sign(payload))) return null;
-  return userId;
-}
-
-/** 从原始 Cookie header 解析出登录 token（不引 cookie-parser 依赖） */
-export function tokenFromCookieHeader(cookieHeader) {
-  if (!cookieHeader) return null;
-  for (const part of cookieHeader.split(';')) {
-    const eq = part.indexOf('=');
-    if (eq === -1) continue;
-    if (part.slice(0, eq).trim() === COOKIE_NAME) {
-      return decodeURIComponent(part.slice(eq + 1).trim());
-    }
-  }
-  return null;
-}
-
-/**
- * HTTP / WS upgrade 共用：解析请求身份。
- * @returns {object|null} user（登录墙关闭时返回匿名 admin，guard 全放行）
- */
-export function requestUser(req) {
-  if (!authEnabled()) return LOCAL_OWNER;
-  const userId = verifyToken(tokenFromCookieHeader(req.headers?.cookie));
-  if (!userId) return null;
-  const user = getUserById(userId);
-  if (!user || user.disabled) return null;
-  return user;
-}
-
-/** 布尔兼容口（老调用点）：有有效身份即 true */
-export function requestAuthed(req) {
-  return !!requestUser(req);
-}
-
-export function cookieSerialize(token, req) {
-  const secure = req.secure || req.headers['x-forwarded-proto'] === 'https';
-  const attrs = [
-    `${COOKIE_NAME}=${encodeURIComponent(token)}`,
-    'Path=/',
-    'HttpOnly',
-    'SameSite=Lax',
-    `Max-Age=${Math.floor(TOKEN_TTL_MS / 1000)}`,
-  ];
-  if (secure) attrs.push('Secure');
-  return attrs.join('; ');
-}
-
-export function cookieClear() {
-  return `${COOKIE_NAME}=; Path=/; HttpOnly; SameSite=Lax; Max-Age=0`;
-}
+/**
+ * server/auth/session.js — 无状态会话 token（v2：带用户身份）
+ *
+ * 2026-07-30 单密码墙 → 多用户：token 从 `v1.<exp>.<hmac>` 升级为
+ *   v2.<userId>.<expiresAtMs>.<hmacSha256Hex(secret, "v2.<userId>.<exp>")>
+ * v1 一律拒收（上线全员重登一次，admin 用老密码 + 用户名 admin 登）。
+ *
+ * secret：优先 NODESIGN_AUTH_SECRET（.env 固定随机值）；未配置时从
+ * NODESIGN_AUTH_PASSWORD 派生并 loud warn —— 多用户下密码已 per-user，
+ * 派生密钥只是别让服务起不来的兜底，不是推荐姿势。
+ *
+ * 无服务端 token 存储 —— server 重启不掉登录态。身份真伪查 users 表
+ * （users-store 带 60s 缓存），disabled 用户 token 仍在也进不来。
+ */
+
+import crypto from 'crypto';
+import { getUserById, authEnabled, LOCAL_OWNER } from './users-store.js';
+
+// 登录墙开关住 users-store（它要看 users 表 + profile），这里转出口给老调用点
+export { authEnabled };
+
+export const COOKIE_NAME = 'nd_auth';
+const TOKEN_TTL_MS = 30 * 24 * 60 * 60 * 1000; // 30 天
+
+let warnedDerivedSecret = false;
+function secret() {
+  if (process.env.NODESIGN_AUTH_SECRET) return process.env.NODESIGN_AUTH_SECRET;
+  if (!warnedDerivedSecret) {
+    warnedDerivedSecret = true;
+    console.warn('[auth] NODESIGN_AUTH_SECRET 未配置，从 NODESIGN_AUTH_PASSWORD 派生（建议在 .env 固定一个随机值）');
+  }
+  return crypto.createHash('sha256').update(`nd-auth-v2:${process.env.NODESIGN_AUTH_PASSWORD || ''}`).digest('hex');
+}
+
+function sign(payload) {
+  return crypto.createHmac('sha256', secret()).update(payload).digest('hex');
+}
+
+function timingSafeEq(a, b) {
+  const ba = Buffer.from(String(a));
+  const bb = Buffer.from(String(b));
+  if (ba.length !== bb.length) return false;
+  return crypto.timingSafeEqual(ba, bb);
+}
+
+export function mintToken(userId, now = Date.now()) {
+  const payload = `v2.${userId}.${now + TOKEN_TTL_MS}`;
+  return `${payload}.${sign(payload)}`;
+}
+
+/** @returns {string|null} userId（签名或过期不对 → null；v1 一律 null） */
+export function verifyToken(token, now = Date.now()) {
+  if (typeof token !== 'string') return null;
+  const m = token.match(/^(v2\.([A-Za-z0-9_-]{1,64})\.(\d{1,16}))\.([0-9a-f]{64})$/);
+  if (!m) return null;
+  const [, payload, userId, expStr, mac] = m;
+  if (Number(expStr) < now) return null;
+  if (!timingSafeEq(mac, sign(payload))) return null;
+  return userId;
+}
+
+/** 从原始 Cookie header 解析出登录 token（不引 cookie-parser 依赖） */
+export function tokenFromCookieHeader(cookieHeader) {
+  if (!cookieHeader) return null;
+  for (const part of cookieHeader.split(';')) {
+    const eq = part.indexOf('=');
+    if (eq === -1) continue;
+    if (part.slice(0, eq).trim() === COOKIE_NAME) {
+      return decodeURIComponent(part.slice(eq + 1).trim());
+    }
+  }
+  return null;
+}
+
+/**
+ * HTTP / WS upgrade 共用：解析请求身份。
+ * @returns {object|null} user（登录墙关闭时返回匿名 admin，guard 全放行）
+ */
+export function requestUser(req) {
+  if (!authEnabled()) return LOCAL_OWNER;
+  const userId = verifyToken(tokenFromCookieHeader(req.headers?.cookie));
+  if (!userId) return null;
+  const user = getUserById(userId);
+  if (!user || user.disabled) return null;
+  return user;
+}
+
+/** 布尔兼容口（老调用点）：有有效身份即 true */
+export function requestAuthed(req) {
+  return !!requestUser(req);
+}
+
+export function cookieSerialize(token, req) {
+  const secure = req.secure || req.headers['x-forwarded-proto'] === 'https';
+  const attrs = [
+    `${COOKIE_NAME}=${encodeURIComponent(token)}`,
+    'Path=/',
+    'HttpOnly',
+    'SameSite=Lax',
+    `Max-Age=${Math.floor(TOKEN_TTL_MS / 1000)}`,
+  ];
+  if (secure) attrs.push('Secure');
+  return attrs.join('; ');
+}
+
+export function cookieClear() {
+  return `${COOKIE_NAME}=; Path=/; HttpOnly; SameSite=Lax; Max-Age=0`;
+}