@xiaobuyu/nodesign 0.0.1

package/server/auth/README.md

@@ -0,0 +1,17 @@
+# server/auth/ — 鉴权（占位）
+
+⚠️ **暂不实现**。组长说"账号/鉴权/部署 复用已有平台基础设施"——但**"已有平台"具体指什么尚未确认**（[HANDOVER.md](../../HANDOVER.md) §五 Q1）。
+
+## 三种可能形态
+
+| 形态 | 对接方式 | 复杂度 |
+|---|---|---|
+| **A. 平台 SSO**（最可能） | 接平台的 OAuth/OIDC，验 platform issued token | 看平台文档 |
+| **B. 自建** | JWT + bcrypt，复用 [dev/server/middleware/auth.js](../../../dev/server/middleware/auth.js) 模式 | 中 |
+| **C. 内部测试期** | 单一 `INTERNAL_API_TOKEN` Bearer，绕过用户系统 | 极低（MVP 用） |
+
+## 决策点
+
+跟组长对齐前先用 **C**——MVP 阶段只对内部测试者开放，避免锁错鉴权架构后期重构。
+
+对齐到具体平台后再写 `auth/middleware.js` + `auth/session.js`。

package/server/auth/middleware.js

@@ -0,0 +1,138 @@
+/**
+ * server/auth/middleware.js — 登录墙（v2 多用户）：/api/auth 路由 + /api 守卫
+ *
+ * - POST /api/auth/login    {username, password} → Set-Cookie nd_auth（v2 token 带身份）
+ * - POST /api/auth/register {username, password, inviteCode} → 建号并直接登录
+ * - POST /api/auth/logout   → 清 cookie
+ * - GET  /api/auth/status   → {required, authed, user}（前端 AuthGate 用，永远放行）
+ * - authGuard：其余 /api/* 无有效身份一律 401；有则挂 req.user
+ *
+ * 暴力破解防护：按 IP 记连续失败（登录+注册共用一本账），超限锁 15 分钟。
+ * in-memory —— 单实例架构下够用，重启清零可接受。
+ */
+
+import express from 'express';
+import {
+  authEnabled, mintToken, requestUser, cookieSerialize, cookieClear,
+} from './session.js';
+import { getCredential, verifyPassword, getUserById, registerUser, openRegistrationEnabled } from './users-store.js';
+import { makeRateWindow } from '../lib/rate-window.js';
+import { platform } from '../runtime/platform.js';
+
+const MAX_FAILS = 10;
+const LOCK_MS = 15 * 60 * 1000;
+/** ip → { fails, lockedUntil } */
+const failures = new Map();
+// 开放注册后每个 IP 一天最多建几个号（防脚本批量开号吃共享钥匙的限流）。内存窗口，重启清零无所谓
+const registerWindow = makeRateWindow({ limit: Number(process.env.NODESIGN_REGISTER_PER_IP_PER_DAY) || 5, windowMs: 24 * 60 * 60 * 1000 });
+
+function clientIp(req) {
+  // ⛔ 不看 X-Forwarded-For：它的第一跳是客户端自报的（CF/nginx 都是追加不是覆盖），
+  // 随机填一个就绕过注册限流和登录锁（08-21 fable 评审）。可信顺序：CF 的 cf-connecting-ip
+  // → nginx 写的 X-Real-IP（$remote_addr，是对端不是自报）→ socket
+  const cf = req.headers['cf-connecting-ip'];
+  if (typeof cf === 'string' && cf.trim()) return cf.trim();
+  const real = req.headers['x-real-ip'];
+  if (typeof real === 'string' && real.trim()) return real.trim();
+  return req.socket?.remoteAddress || 'unknown';
+}
+
+function locked(ip) {
+  const rec = failures.get(ip);
+  if (rec?.lockedUntil && rec.lockedUntil > Date.now()) {
+    return Math.ceil((rec.lockedUntil - Date.now()) / 60000);
+  }
+  return 0;
+}
+
+function recordFail(ip) {
+  const rec = failures.get(ip);
+  const next = { fails: (rec?.fails || 0) + 1, lockedUntil: 0 };
+  if (next.fails >= MAX_FAILS) {
+    next.fails = 0;
+    next.lockedUntil = Date.now() + LOCK_MS;
+    console.warn(`[auth] ip ${ip} locked for ${LOCK_MS / 60000}min (too many failures)`);
+  }
+  failures.set(ip, next);
+}
+
+const publicUser = (u) => (u ? { id: u.id, username: u.username, role: u.role } : null);
+
+export const authRouter = express.Router();
+
+authRouter.get('/status', (req, res) => {
+  const user = requestUser(req);
+  // profile：前端据此藏 SaaS 那套界面（账号徽记 / 额度横幅 / 管理入口）。local = 本地单租户分发版
+  res.json({ required: authEnabled(), authed: !!user, user: publicUser(user), openRegistration: openRegistrationEnabled(), profile: platform.profile });
+});
+
+authRouter.post('/login', (req, res) => {
+  if (!authEnabled()) return res.json({ ok: true, note: 'auth disabled' });
+
+  const ip = clientIp(req);
+  const waitMin = locked(ip);
+  if (waitMin) return res.status(429).json({ error: `尝试次数过多，${waitMin} 分钟后再试` });
+
+  const { username, password } = req.body || {};
+  const cred = typeof username === 'string' ? getCredential(username.trim()) : null;
+  // cred 不存在也照走 verify（恒定时间语义靠 scrypt 本身的成本；不提前泄漏"用户不存在"）
+  const ok = cred && !cred.disabled
+    && verifyPassword(typeof password === 'string' ? password : '', cred.passwordHash);
+  if (!ok) {
+    recordFail(ip);
+    return res.status(401).json({ error: '用户名或密码错误' });
+  }
+
+  failures.delete(ip);
+  res.setHeader('Set-Cookie', cookieSerialize(mintToken(cred.id), req));
+  res.json({ ok: true, user: publicUser(getUserById(cred.id)) });
+});
+
+authRouter.post('/register', (req, res) => {
+  const ip = clientIp(req);
+  const waitMin = locked(ip);
+  if (waitMin) return res.status(429).json({ error: `尝试次数过多，${waitMin} 分钟后再试` });
+
+  const { username, password, inviteCode } = req.body || {};
+  const hasInvite = typeof inviteCode === 'string' && inviteCode.trim();
+  const perIpLimit = Number(process.env.NODESIGN_REGISTER_PER_IP_PER_DAY) || 5;
+  if (!hasInvite && registerWindow.count(ip) >= perIpLimit) {
+    return res.status(429).json({ error: '这个网络今天开的号太多了，明天再来', code: 'REGISTER_RATE_LIMITED' });
+  }
+  try {
+    const user = registerUser({
+      username: typeof username === 'string' ? username.trim() : '',
+      password,
+      inviteCode: typeof inviteCode === 'string' ? inviteCode.trim() : '',
+    });
+    failures.delete(ip);
+    if (!hasInvite) registerWindow.take(ip);   // 做成了才扣名额（用户名撞车不算）
+    res.setHeader('Set-Cookie', cookieSerialize(mintToken(user.id), req));
+    res.status(201).json({ ok: true, user: publicUser(user) });
+  } catch (err) {
+    // 邀请码乱试也计入锁（防爆破邀请码空间）
+    if (err.code === 'BAD_INVITE') recordFail(ip);
+    res.status(400).json({ error: err.message || '注册失败', code: err.code || 'REGISTER_FAILED' });
+  }
+});
+
+authRouter.post('/logout', (_req, res) => {
+  res.setHeader('Set-Cookie', cookieClear());
+  res.json({ ok: true });
+});
+
+/** 挂在业务路由之前的守卫：验身份 + 挂 req.user */
+export function authGuard(req, res, next) {
+  const user = requestUser(req);
+  if (user) {
+    req.user = user;
+    return next();
+  }
+  res.status(401).json({ error: 'unauthorized', code: 'AUTH_REQUIRED' });
+}
+
+/** admin 专属路由守卫（挂在 authGuard 之后） */
+export function adminGuard(req, res, next) {
+  if (req.user?.role === 'admin') return next();
+  res.status(403).json({ error: 'admin only', code: 'FORBIDDEN' });
+}

package/server/auth/origin-guard.js

@@ -0,0 +1,71 @@
+/**
+ * server/auth/origin-guard.js — 「这个请求是从哪个页面发起的」判据（2026-08-18）
+ *
+ * 为什么需要：cookie 是 `SameSite=Lax`（session.js），它挡的是**跨站**。而已发布
+ * 站点住在 `<slug>.share.xiaobuyu.trade`，与应用主机 `nodesign.xiaobuyu.trade`
+ * 同 eTLD+1 —— **同站**。Lax 照发。
+ *
+ * 真跑验过（chromium + `--host-resolver-rules` 造两个同 eTLD+1 的子域）：
+ * `evil.share.nd.trade` 上的页面开 `ws://app.nd.trade/ws/projects/<pid>/browser`,
+ * 受害者的 host-only Lax cookie **原样送达**，而服务端收到的
+ * `Origin: http://evil.share.nd.trade` 从来没人看。于是任何 beta 用户发布的页面
+ * 都能直播别人已登录的浏览器画面并注入键鼠。
+ *
+ * ⚠️ 判据只有一份：WS 两条升级路 + cors 都 import 这里，别在调用点各写一份
+ * （[[feedback-copied-guard-shape]]：去掉第二份实现而不是添第三份）。
+ *
+ * ⭐ **Origin 缺失 = 放行**，这不是漏洞：浏览器对 WS 握手和带凭据的跨源请求
+ * **一定**发 Origin，缺失的只可能是非浏览器客户端（我们自己的验收脚本、
+ * playwright、curl）。它们手里本来就有 cookie，拦它们不多一分安全，只拆工具链。
+ */
+
+const LOOPBACK = new Set(['localhost', '127.0.0.1', '::1', '[::1]', '0.0.0.0']);
+
+/** host 去掉端口（IPv6 的 [::1]:5173 也要认） */
+function bare(hostWithPort) {
+  const h = String(hostWithPort || '').toLowerCase();
+  if (h.startsWith('[')) return h.slice(0, h.indexOf(']') + 1);
+  const i = h.lastIndexOf(':');
+  return i === -1 ? h : h.slice(0, i);
+}
+
+function isLoopback(hostWithPort) {
+  const b = bare(hostWithPort);
+  return LOOPBACK.has(b) || LOOPBACK.has(b.replace(/^\[|\]$/g, ''));
+}
+
+/**
+ * 额外白名单：env `ND_ALLOWED_ORIGINS`（逗号分隔，写完整 origin 或裸 host 都认）。
+ * 老键 `CORS_ORIGIN` 一并认，免得改名把已有部署配置作废。
+ */
+let extraCache = null;
+function extraHosts() {
+  if (extraCache) return extraCache;
+  const raw = `${process.env.ND_ALLOWED_ORIGINS || ''},${process.env.CORS_ORIGIN || ''}`;
+  extraCache = new Set(
+    raw.split(',').map(s => s.trim()).filter(Boolean)
+      .map((s) => { try { return new URL(s).host.toLowerCase(); } catch { return s.toLowerCase(); } }),
+  );
+  return extraCache;
+}
+
+/**
+ * @param {{ headers?: Record<string,string|undefined> }} req
+ * @returns {boolean} 允许携带凭据地访问
+ */
+export function originAllowed(req) {
+  const origin = req?.headers?.origin;
+  if (!origin) return true;              // 非浏览器客户端，见文件头
+  if (origin === 'null') return false;   // file:// / 不给 allow-same-origin 的 iframe
+  let originHost;
+  try { originHost = new URL(origin).host.toLowerCase(); } catch { return false; }
+
+  const host = String(req?.headers?.host || '').toLowerCase();
+  if (originHost === host) return true;  // 同源：生产走这条（nginx 传的是 Host $host）
+  // vite dev 代理把 Host 改写成了 localhost:4001，而页面在 localhost:5173
+  if (isLoopback(originHost) && isLoopback(host)) return true;
+  return extraHosts().has(originHost);
+}
+
+/** 测试用：改过 env 之后清掉白名单缓存 */
+export function _resetOriginCache() { extraCache = null; }

package/server/auth/session.js

@@ -0,0 +1,108 @@
+/**
+ * server/auth/session.js — 无状态会话 token（v2：带用户身份）
+ *
+ * 2026-07-30 单密码墙 → 多用户：token 从 `v1.<exp>.<hmac>` 升级为
+ *   v2.<userId>.<expiresAtMs>.<hmacSha256Hex(secret, "v2.<userId>.<exp>")>
+ * v1 一律拒收（上线全员重登一次，admin 用老密码 + 用户名 admin 登）。
+ *
+ * secret：优先 NODESIGN_AUTH_SECRET（.env 固定随机值）；未配置时从
+ * NODESIGN_AUTH_PASSWORD 派生并 loud warn —— 多用户下密码已 per-user，
+ * 派生密钥只是别让服务起不来的兜底，不是推荐姿势。
+ *
+ * 无服务端 token 存储 —— server 重启不掉登录态。身份真伪查 users 表
+ * （users-store 带 60s 缓存），disabled 用户 token 仍在也进不来。
+ */
+
+import crypto from 'crypto';
+import { getUserById, authEnabled, LOCAL_OWNER } from './users-store.js';
+
+// 登录墙开关住 users-store（它要看 users 表 + profile），这里转出口给老调用点
+export { authEnabled };
+
+export const COOKIE_NAME = 'nd_auth';
+const TOKEN_TTL_MS = 30 * 24 * 60 * 60 * 1000; // 30 天
+
+let warnedDerivedSecret = false;
+function secret() {
+  if (process.env.NODESIGN_AUTH_SECRET) return process.env.NODESIGN_AUTH_SECRET;
+  if (!warnedDerivedSecret) {
+    warnedDerivedSecret = true;
+    console.warn('[auth] NODESIGN_AUTH_SECRET 未配置，从 NODESIGN_AUTH_PASSWORD 派生（建议在 .env 固定一个随机值）');
+  }
+  return crypto.createHash('sha256').update(`nd-auth-v2:${process.env.NODESIGN_AUTH_PASSWORD || ''}`).digest('hex');
+}
+
+function sign(payload) {
+  return crypto.createHmac('sha256', secret()).update(payload).digest('hex');
+}
+
+function timingSafeEq(a, b) {
+  const ba = Buffer.from(String(a));
+  const bb = Buffer.from(String(b));
+  if (ba.length !== bb.length) return false;
+  return crypto.timingSafeEqual(ba, bb);
+}
+
+export function mintToken(userId, now = Date.now()) {
+  const payload = `v2.${userId}.${now + TOKEN_TTL_MS}`;
+  return `${payload}.${sign(payload)}`;
+}
+
+/** @returns {string|null} userId（签名或过期不对 → null；v1 一律 null） */
+export function verifyToken(token, now = Date.now()) {
+  if (typeof token !== 'string') return null;
+  const m = token.match(/^(v2\.([A-Za-z0-9_-]{1,64})\.(\d{1,16}))\.([0-9a-f]{64})$/);
+  if (!m) return null;
+  const [, payload, userId, expStr, mac] = m;
+  if (Number(expStr) < now) return null;
+  if (!timingSafeEq(mac, sign(payload))) return null;
+  return userId;
+}
+
+/** 从原始 Cookie header 解析出登录 token（不引 cookie-parser 依赖） */
+export function tokenFromCookieHeader(cookieHeader) {
+  if (!cookieHeader) return null;
+  for (const part of cookieHeader.split(';')) {
+    const eq = part.indexOf('=');
+    if (eq === -1) continue;
+    if (part.slice(0, eq).trim() === COOKIE_NAME) {
+      return decodeURIComponent(part.slice(eq + 1).trim());
+    }
+  }
+  return null;
+}
+
+/**
+ * HTTP / WS upgrade 共用：解析请求身份。
+ * @returns {object|null} user（登录墙关闭时返回匿名 admin，guard 全放行）
+ */
+export function requestUser(req) {
+  if (!authEnabled()) return LOCAL_OWNER;
+  const userId = verifyToken(tokenFromCookieHeader(req.headers?.cookie));
+  if (!userId) return null;
+  const user = getUserById(userId);
+  if (!user || user.disabled) return null;
+  return user;
+}
+
+/** 布尔兼容口（老调用点）：有有效身份即 true */
+export function requestAuthed(req) {
+  return !!requestUser(req);
+}
+
+export function cookieSerialize(token, req) {
+  const secure = req.secure || req.headers['x-forwarded-proto'] === 'https';
+  const attrs = [
+    `${COOKIE_NAME}=${encodeURIComponent(token)}`,
+    'Path=/',
+    'HttpOnly',
+    'SameSite=Lax',
+    `Max-Age=${Math.floor(TOKEN_TTL_MS / 1000)}`,
+  ];
+  if (secure) attrs.push('Secure');
+  return attrs.join('; ');
+}
+
+export function cookieClear() {
+  return `${COOKIE_NAME}=; Path=/; HttpOnly; SameSite=Lax; Max-Age=0`;
+}

package/server/auth/tier.js

@@ -0,0 +1,113 @@
+/**
+ * auth/tier.js —— 账号档位（真相源）与能力（接口）。2026-08-21 开放注册后的收口。
+ *
+ * 背景：以前"这是不是试用号/公开号"没有名字，五个消费方各自拿一个相关字段去猜
+ * （`lifetimeCostLimitUsd != null` ⇒ 试用）。那个猜法写于只有邀请码的年代；开放注册
+ * 多出第三类人之后，公开号的该字段是 null，于是 publish_site / paint_still / 外审默认档
+ * 全把它当成了正式号。任何靠推断而不是靠声明的分类，下次再多一类人还会错一遍。
+ *
+ * 形状（两层，别合成一层）：
+ *   - **档位是事实**：`users.plan`（'pro' | 'basic'）注册路径写死，admin 由 role 派生。
+ *     三档：admin / pro（邀请码）/ basic（公开注册）。用户 08-21 拍板只有这三档。
+ *   - **能力是接口**：消费方不读档位名、不写 `if (tier === 'basic')`，只问 `can(user, 'publishSite')`。
+ *     加一档只改下面这张表；加一个能力也只改这张表；消费方零改动。
+ *     （同仓 kinds 的"问能力不问形态名"规则在账号层的复现。）
+ *
+ * 两件故意不归这里管的事：
+ *   - `lifetimeCostLimitUsd` 是**花费上限**（试用码的终身额度），不是档位 —— quota.js 继续用它封顶，
+ *     但任何权限判断都不许再读它（tier.test.js 有 lint 钉着）。
+ *   - `allowLocalGen` 是本地产线（站主自己的 GPU 盒子）的**逐人批准**，叠在档位之上：
+ *     basic 档永远不行；pro 档还要被批。见 localGenApproved()。
+ *
+ * ⚠️ 只做"用户档位"隔离，不做"模型"隔离（用户 08-21 拍板：有外审兜着，不再担心无审查
+ * 模型的会话把违规提示词送进 generate_image）。工具闸不看会话跑在哪个模型上。
+ */
+
+export const TIERS = Object.freeze(['admin', 'pro', 'basic']);
+/** users.plan 的合法值（admin 不是 plan，是 role） */
+export const PLANS = Object.freeze(['pro', 'basic']);
+
+/**
+ * 能力表 —— 唯一一处把档位翻译成"能干什么"。
+ *   subscription      能选站主订阅的 Claude 行（model-context 的 gate:'subscription'）
+ *   webSearch         web_search（tavily/baidu 花钱；basic 档有日上限 webSearchDailyCap）
+ *   imageGen          generate_image（codex 订阅配额）
+ *   localGen          本地产线资格（paint_still / roll_film / 演出端点 / 本地无审查模型行）；
+ *                     pro 档还要叠 allowLocalGen 批准，见 localGenApproved
+ *   publishSite       publish_site 上 CF Pages（占站主四级域名 + 每账户 100 站硬上限）
+ *   moderationDefault 外审默认档（用户没被显式钉档时生效）
+ *   webSearchDailyCap basic 档 web_search 每日上限（null = 不限）；env NODESIGN_BASIC_WEB_SEARCH_PER_DAY 可调
+ */
+const CAPABILITIES = Object.freeze({
+  admin: Object.freeze({ subscription: true, webSearch: true, imageGen: true, localGen: true, publishSite: true, moderationDefault: 'off', webSearchDailyCap: null }),
+  // 08-21 晚用户拍板「所有审查都开到严格」：pro 默认档 loose → strict（admin 仍免审）
+  pro: Object.freeze({ subscription: true, webSearch: true, imageGen: true, localGen: true, publishSite: true, moderationDefault: 'strict', webSearchDailyCap: null }),
+  // 08-21 深夜用户拍板：basic 是今后唯一对外分发的档（pro 不再新发，只手动给）；basic 可用 Ox 免费行 + OpenCode Go 付费行 +
+  // 生图（$0.20/张计入同一本账），每人每天 $5 总额度（注册时写 dailyCostLimitUsd，见 basicDefaultDailyUsd）；订阅 Claude / 本地产线 / 发布仍不开
+  basic: Object.freeze({ subscription: false, webSearch: true, imageGen: true, localGen: false, publishSite: false, moderationDefault: 'strict', webSearchDailyCap: 'env' }),
+});
+
+/** basic 档注册时写入的每日总额度（美元）。env NODESIGN_BASIC_DEFAULT_DAILY_USD；0 或非法 = 不写（走全局默认日限） */
+export function basicDefaultDailyUsd(env = process.env) {
+  const raw = env.NODESIGN_BASIC_DEFAULT_DAILY_USD;
+  if (raw === undefined || raw === '') return 5;
+  const v = Number(raw);
+  return Number.isFinite(v) && v > 0 ? v : null;
+}
+
+export const CAPABILITY_NAMES = Object.freeze(Object.keys(CAPABILITIES.admin));
+
+/**
+ * 账号档位。null 用户（没登录 / 项目无主）→ null，所有能力判 false（fail-closed）。
+ * 不认识的 plan 值当 basic —— 拼错只能落到更紧的一边。
+ */
+export function tierOf(user) {
+  if (!user) return null;
+  if (user.role === 'admin') return 'admin';
+  return user.plan === 'pro' ? 'pro' : 'basic';
+}
+
+/** 能力查询。未知能力名抛错（拼错不能静默当 false 或 true）。 */
+export function can(user, capability) {
+  if (!(capability in CAPABILITIES.admin)) throw new Error(`tier.can: unknown capability '${capability}'`);
+  const tier = tierOf(user);
+  if (!tier) return false;
+  return CAPABILITIES[tier][capability] === true;
+}
+
+/** 外审默认档（off | loose | strict）。null 用户 → 'off' 的老语义留给 moderation.js 自己判。 */
+export function defaultModerationLevel(user) {
+  const tier = tierOf(user);
+  return tier ? CAPABILITIES[tier].moderationDefault : 'strict';
+}
+
+/** basic 档 web_search 每日上限；其它档 null（不限）。 */
+export function webSearchDailyCap(user) {
+  const tier = tierOf(user);
+  if (!tier) return 0;
+  const v = CAPABILITIES[tier].webSearchDailyCap;
+  if (v !== 'env') return v;
+  const n = Number(process.env.NODESIGN_BASIC_WEB_SEARCH_PER_DAY);
+  return Number.isFinite(n) && n >= 0 ? n : 60;
+}
+
+/**
+ * 本地产线（roll_film / paint_still / 演出端点 / 本地模型行）是否真能用：
+ * 档位有资格 **且**（admin 或站主逐人批过 allowLocalGen）。
+ * 两段分别给不同的拒绝话术：basic 档是"这档不开放"，pro 未批是"尚未开通"。
+ */
+export function localGenApproved(user) {
+  if (!can(user, 'localGen')) return false;
+  return tierOf(user) === 'admin' || !!user.allowLocalGen;
+}
+
+/** 统一的拒绝话术（工具返回给 agent 原话转告用户）。 */
+// 口径（08-21 深夜用户拍板）：pro 不再对外分发，拒绝语只说"当前档位不包含"，不给任何"去哪里要资格"的路径（tier.test 有 lint 钉着措辞）
+export const DENIAL = Object.freeze({
+  imageGen: '这个账号当前档位不包含生图。原话转告用户，不要重试、不要换别的生图工具。',
+  imageQuota: '今天的额度用完了（生图按 $0.20/张计入每日额度），明天零点刷新。原话转告用户，这轮别再生图。',
+  localGenTier: '这个账号当前档位不包含本地产线（生图/视频盒子）。原话转告用户，不要重试。',
+  localGenApproval: '本地产线是批准制 —— 该账号尚未开通。原话转告用户，不要重试。',
+  publishSite: '这个账号当前档位不包含发布站点到公网',
+  subscription: '仅限 Pro 档（站主的 Claude 订阅），暂未对外开放',
+});