dsh-webui-oauth 0.7.6 → 0.7.7

package/CHANGELOG.md

@@ -2,6 +2,39 @@
 
 本文件记录每个版本的**用户可见**变更。破坏性变更与升级动作单独标注。
 
+## 0.7.7
+
+设置页再收敛：移除冗余密码框、保存按钮移到顶部、SSO 复验改为会话级。
+
+### 调整：账号卡片不再有「当前密码」输入框
+
+保存/禁用已经统一走验证弹窗，账号卡片里的「当前密码」输入框是冗余的，已移除。
+禁用认证改为与保存一致的流程：顶部按钮 → 弹窗验证（密码或 SSO）。
+
+### 调整：「保存设置」从右下角悬浮改为顶部卡片按钮
+
+- 移除右下角悬浮的「保存设置」按钮；
+- 保存按钮放到「概览」卡片的操作区（与退出登录、禁用认证并列）；
+- 首次初始化（未启用认证）直接保存，无需验证；
+- 已启用时点击弹窗验证：当前密码，或 SSO 验证。
+
+### 调整：SSO 复验改为**会话级**，不再签发独立令牌
+
+- 复验回调仍走统一的 `/dsh-webui-oauth/oidc/callback`；
+- 发起复验时把当前会话 token 记进 OIDC state（服务端）；
+- 回调校验 sub 通过后，直接给该会话写 `reauthAt = now`（2 分钟有效），
+  **不再生成令牌、也不再往 URL 里放令牌**；
+- `configure` / `disable` / `oidc/unbind` 通过 `sessionReauthOk(req)` 判断；
+  成功后清除 `reauthAt`（一次性）；
+- `status` 回显 `reauthActive`，前端据此显示「已通过 SSO 验证」；
+- 回调回执只保留 `oidcreauth=1` 状态标记。
+
+### 测试
+
+- `test/oidc-bind.test.mjs` 的复验用例改为会话级断言（回调只带状态标记、
+  同会话无密码保存成功、复验不可重放）；
+- 全量 22 个测试文件、599 项断言通过。
+
 ## 0.7.6
 
 把 DeepSeek 登录回调输入**合并进官方「等待登录」对话框**，不再单独占一个悬浮入口。

package/index.js

@@ -2691,6 +2691,31 @@ export async function apply(ctx) {
 
   const SESSION_TTL_MS = SESSION_BROWSER_TTL_MS
 
+  /** 取当前请求对应的会话记录（不做续期），无效/过期返回 null。 */
+  function sessionOf(req) {
+    const token = cookieOf(req, COOKIE_NAME)
+    if (!token) return null
+    const s = sessions.get(token)
+    if (!s) return null
+    if (s.expiresAt <= Date.now()) {
+      sessions.delete(token)
+      return null
+    }
+    return s
+  }
+
+  /** 该会话是否在 2 分钟内通过过 SSO 复验。 */
+  function sessionReauthOk(req) {
+    const s = sessionOf(req)
+    return !!(s && typeof s.reauthAt === 'number' && Date.now() - s.reauthAt < REAUTH_WINDOW_MS)
+  }
+
+  /** 复验是一次性的：敏感操作成功后清掉时间戳。 */
+  function clearSessionReauth(req) {
+    const s = sessionOf(req)
+    if (s) delete s.reauthAt
+  }
+
   function createSession(username, ttl) {
     const token = randomBytes(24).toString('hex')
     const ttlMs = ttl > 0 ? ttl * 3600 * 1000 : SESSION_TTL_MS
@@ -2832,30 +2857,20 @@ export async function apply(ctx) {
   // 必须在后台定时器使用 purge 之前定义。
   const oidcStateStore = makeOidcStateStore()
 
-  // 敏感操作（保存配置 / 禁用 / 解绑）的 SSO 复验令牌：
-  // 一次性、2 分钟。密码被禁用（仅允许 SSO）时，用户仍可用 SSO 完成二次验证。
-  const reauthTokens = new Map()
-  const REAUTH_TTL_MS = 2 * 60 * 1000
-  const mintReauthToken = (username) => {
-    const token = randomBytes(16).toString('hex')
-    reauthTokens.set(token, { username, expiresAt: Date.now() + REAUTH_TTL_MS })
-    return token
-  }
-  const consumeReauthToken = (token) => {
-    if (typeof token !== 'string' || !token) return null
-    const rec = reauthTokens.get(token)
-    if (!rec) return null
-    reauthTokens.delete(token)
-    if (rec.expiresAt <= Date.now()) return null
-    return rec
-  }
+  // SSO 复验通过后，直接在**当前会话**上记一个时间戳（2 分钟有效），
+  // 不再签发独立令牌、也不经过 URL 传递。敏感操作直接检查会话。
+  const REAUTH_WINDOW_MS = 2 * 60 * 1000
   const purgeExpiredOidcStates = oidcStateStore.purge
 
   // 后台任务：过期会话清理 + enabled 状态刷新
   const bgTimer = setInterval(async () => {
     const now = Date.now()
-    for (const [k, s] of sessions.live) if (s.expiresAt <= now) sessions.delete(k)
-    for (const [k, v] of reauthTokens) if (v.expiresAt <= now) reauthTokens.delete(k)
+    for (const [k, s] of sessions.live) {
+      if (s.expiresAt <= now || (typeof s.reauthAt === 'number' && now - s.reauthAt >= REAUTH_WINDOW_MS)) {
+        if (s.expiresAt <= now) sessions.delete(k)
+        else delete s.reauthAt
+      }
+    }
     purgeExpiredOidcStates()
     try {
       const creds = await readCredentials(ctx)
@@ -3124,6 +3139,8 @@ export async function apply(ctx) {
           sessionsPersisted: sessions.ok,
           // 远程访问信任（可选）：是否已注入 ownsHost。
           remoteTrust: remoteTrustFlag,
+          // 当前会话是否在 2 分钟内通过过 SSO 复验（保存/禁用/解绑可直接进行）。
+          reauthActive: sessionReauthOk(req),
           // 核心兜底席位形态（handler | resource | absent | unknown）：核心升级后
           // 如果这里变成 unknown，文档请求会 404 —— 排查时先看这个字段。
           fallback: fallbackShape(ctx.webServer),
@@ -3243,8 +3260,8 @@ export async function apply(ctx) {
           }
         }
         if (wasEnabled) {
-          // 支持 SSO 复验令牌（「仅允许 SSO」时密码登录入口不可用）
-          const reauthOk = !!consumeReauthToken(body.reauthToken)
+          // 支持 SSO 复验（「仅允许 SSO」时密码登录入口不可用）：复验结果记在会话上
+          const reauthOk = sessionReauthOk(req)
           const curValid = reauthOk || (current && typeof creds.hash === 'string' && await verifyPassword(current, creds.hash))
           if (!curValid) {
             await auditLog(ctx, 'configure_failure', { username, ip: meta.ip, ua: meta.ua, detail: '当前密码不正确' })
@@ -3383,6 +3400,7 @@ export async function apply(ctx) {
         if (!keepPassword) detailParts.push('密码已修改')
         if (body.ttl !== undefined) detailParts.push('有效期已修改')
         await auditLog(ctx, 'configure_success', { username, ip: meta.ip, ua: meta.ua, detail: detailParts.length ? detailParts.join('，') : null })
+        clearSessionReauth(req)
         sendJson(res, 200, { ok: true })
       } catch (e) {
         sendJson(res, 500, { error: e && e.message ? e.message : String(e) })
@@ -3412,7 +3430,7 @@ export async function apply(ctx) {
           sendJson(res, 200, { ok: true })
           return
         }
-        const reauthOk = !!consumeReauthToken(body.reauthToken)
+        const reauthOk = sessionReauthOk(req)
         const curValid = reauthOk || (current && typeof creds.hash === 'string' && await verifyPassword(current, creds.hash))
         if (!curValid) {
           await auditLog(ctx, 'disable_failure', { username: creds.username, ip: meta.ip, ua: meta.ua, detail: '当前密码不正确' })
@@ -3498,7 +3516,10 @@ export async function apply(ctx) {
     const state = oidcRandom(24)
     const nonce = oidcRandom(24)
     const verifier = oidcRandom(32)
-    oidcStateStore.put(state, { nonce, verifier, redirectUri, purpose })
+    // 复验要绑定到发起它的浏览器的**会话**：回调时直接把 reauthAt 记在该会话上，
+    // 不再签发独立令牌、也不把令牌放进 URL。
+    const sessionToken = purpose === 'reauth' ? cookieOf(req, COOKIE_NAME) : null
+    oidcStateStore.put(state, { nonce, verifier, redirectUri, purpose, sessionToken })
     const authUrl = new URL(disc.metadata.authorization_endpoint)
     authUrl.searchParams.set('response_type', 'code')
     authUrl.searchParams.set('client_id', o.clientId)
@@ -3629,7 +3650,7 @@ export async function apply(ctx) {
         const creds = await readCredentials(ctx)
         const meta = requestMeta(req)
         const current = String(body.current || '')
-        const reauthOk = !!consumeReauthToken(body.reauthToken)
+        const reauthOk = sessionReauthOk(req)
         const curValid = reauthOk || (current && creds && typeof creds.hash === 'string' && await verifyPassword(current, creds.hash))
         if (!curValid) {
           await auditLog(ctx, 'oidc_unbind_failure', { username: creds && creds.username ? creds.username : null, ip: meta.ip, ua: meta.ua, detail: '当前密码不正确' })
@@ -3662,6 +3683,7 @@ export async function apply(ctx) {
         await writeCredentials(ctx, next)
         await refreshSsoOnly(next)
         await auditLog(ctx, 'oidc_unbind_success', { username: creds.username, ip: meta.ip, ua: meta.ua })
+        clearSessionReauth(req)
         sendJson(res, 200, { ok: true, bound: false })
       } catch (e) {
         sendJson(res, 500, { error: e && e.message ? e.message : String(e) })
@@ -3793,9 +3815,16 @@ export async function apply(ctx) {
             redirectBackToApp(ctx, req, res, 'oidcerr=sub-mismatch', clearStateCookie)
             return
           }
-          const token = mintReauthToken(rawSub)
+          // 把复验结果记到发起登录的那个会话上（2 分钟内有效）。
+          const target = st.sessionToken ? sessions.get(st.sessionToken) : null
+          if (!target || target.expiresAt <= Date.now()) {
+            await auditLog(ctx, 'oidc_login_failure', { username: auditName, ip: meta.ip, ua: meta.ua, detail: '复验时会话已失效' })
+            redirectBackToApp(ctx, req, res, 'oidcerr=session-expired', clearStateCookie)
+            return
+          }
+          target.reauthAt = Date.now()
           await auditLog(ctx, 'oidc_reauth_success', { username: auditName, ip: meta.ip, ua: meta.ua })
-          redirectBackToApp(ctx, req, res, 'oidcreauth=' + token, clearStateCookie)
+          redirectBackToApp(ctx, req, res, 'oidcreauth=1', clearStateCookie)
           return
         }
 

package/lib/client.js

@@ -26,8 +26,7 @@ window.__ModuleLoader__.load({
 			'.wua-float-head { display: flex; align-items: center; justify-content: space-between; gap: 10px; }',
 			'.wua-float-title { font-size: 13px; font-weight: 600; color: var(--dsw-alias-label-primary, #222); }',
 			'.wua-inline-relay { display: flex; flex-direction: column; gap: 8px; margin-top: 12px; padding-top: 12px; border-top: 1px dashed var(--dsw-alias-border-l1, #d9d9d9); }',
-			'.wua-save-fab { position: fixed; right: 24px; bottom: 24px; z-index: 9997; padding: 10px 20px; font-size: 13px; font-weight: 600; cursor: pointer; color: #fff; background: var(--dsw-alias-brand-primary, #4a7cf7); border: none; border-radius: 999px; box-shadow: 0 12px 30px rgba(74, 124, 247, .38); }',
-			'.wua-save-fab:disabled { opacity: .55; cursor: default; }',
+
 			'.wua-modal-mask { position: fixed; inset: 0; z-index: 10000; display: flex; align-items: center; justify-content: center; padding: 24px; background: rgba(0, 0, 0, .45); }',
 			'.wua-modal { width: min(420px, 100%); display: flex; flex-direction: column; gap: 12px; padding: 20px 22px; border-radius: 12px; background: var(--dsw-alias-bg-layer-1, #fff); box-shadow: 0 24px 60px rgba(0, 0, 0, .35); }',
 			'.wua-intro { margin: 0; font-size: 13px; line-height: 1.6; color: var(--dsw-alias-label-secondary, #888); }',
@@ -250,7 +249,7 @@ window.__ModuleLoader__.load({
 				const [username, setUsername] = react.useState('');
 				const [password, setPassword] = react.useState('');
 				const [confirm, setConfirm] = react.useState('');
-				const [current, setCurrent] = react.useState('');
+
 				const [ttl, setTtl] = react.useState('12');
 				const [msg, setMsg] = react.useState(null);
 				const [busy, setBusy] = react.useState(false);
@@ -279,8 +278,7 @@ window.__ModuleLoader__.load({
 				const [saveOpen, setSaveOpen] = react.useState(false);
 				const [savePw, setSavePw] = react.useState('');
 				const [saveErr, setSaveErr] = react.useState('');
-				const [reauthToken, setReauthToken] = react.useState(null);
-				const [reauthExp, setReauthExp] = react.useState(0);
+				const [verifyAction, setVerifyAction] = react.useState('save');
 				// 远程访问信任开关。
 				const [remoteTrustBusy, setRemoteTrustBusy] = react.useState(false);
 				const [remoteTrustMsg, setRemoteTrustMsg] = react.useState(null);
@@ -334,19 +332,6 @@ window.__ModuleLoader__.load({
 				// 读取 OIDC 回调带回来的回执。绑定/登录结束后浏览器会被 302 回应用，
 				// 结果通过 query 传递（oidcbound=1 / oidcerr=...）：因为是整页跳转，
 				// 组件重新挂载时才知道刚才发生了什么。
-				// 从 sessionStorage 恢复 SSO 复验令牌（2 分钟内有效）。
-				react.useEffect(() => {
-					try {
-						const raw = sessionStorage.getItem('dsh_wua_reauth')
-						if (!raw) return
-						const v = JSON.parse(raw)
-						if (v && typeof v.token === 'string' && v.exp > Date.now()) {
-							setReauthToken(v.token)
-							setReauthExp(v.exp)
-						}
-					} catch (e) { /* ignore */ }
-				}, []);
-
 				react.useEffect(() => {
 					let qs = ''
 					try { qs = String((location && location.search) || '') } catch (e) { qs = '' }
@@ -357,10 +342,7 @@ window.__ModuleLoader__.load({
 					const reauth = p.get('oidcreauth')
 					if (bound === null && err === null && reauth === null) return
 					if (reauth !== null) {
-						try { sessionStorage.setItem('dsh_wua_reauth', JSON.stringify({ token: reauth, exp: Date.now() + 120000 })) } catch (e) { /* ignore */ }
-						setReauthToken(reauth)
-						setReauthExp(Date.now() + 120000)
-						setBindMsg({ kind: 'ok', text: 'SSO 验证成功（2 分钟内有效）。请回到设置页点击「保存设置」。' })
+						setBindMsg({ kind: 'ok', text: 'SSO 验证成功（2 分钟内有效）。请点击「保存设置」继续。' })
 					} else if (bound !== null) {
 						setBindMsg({ kind: 'ok', text: 'OIDC 身份绑定成功。此后只有该身份可通过 SSO 登录。' })
 					} else {
@@ -409,7 +391,7 @@ window.__ModuleLoader__.load({
 						setMsg({ kind: 'err', text: '两次输入的密码不一致' });
 						return;
 					}
-					if (enabled && !credentials.current && !credentials.reauthToken) {
+					if (enabled && !credentials.current && !reauthValid) {
 						setSaveErr('修改认证信息需要验证：请输入当前密码，或使用 SSO 验证。');
 						return;
 					}
@@ -432,7 +414,6 @@ window.__ModuleLoader__.load({
 						username: name,
 						password,
 						current: credentials.current || '',
-						reauthToken: credentials.reauthToken || undefined,
 						ttl: Number(ttl),
 						oidc: oidcPayload,
 					}).then((r) => {
@@ -445,13 +426,9 @@ window.__ModuleLoader__.load({
 							}
 							setPassword('');
 							setConfirm('');
-							setCurrent('');
 							setSaveOpen(false);
 							setSavePw('');
 							setSaveErr('');
-							setReauthToken(null);
-							setReauthExp(0);
-							try { sessionStorage.removeItem('dsh_wua_reauth') } catch (e) { /* ignore */ }
 							api('/dsh-webui-oauth/status').then((s) => {
 								if (s && !s.error) setStatus(s);
 							});
@@ -484,23 +461,27 @@ window.__ModuleLoader__.load({
 					});
 				};
 
-				const onDisable = () => {
+				const doDisable = (auth) => {
 					if (busy) return;
-					if (!current) {
-						setMsg({ kind: 'err', text: '请输入当前密码以禁用认证' });
+					const credentials = auth || {};
+					if (!credentials.current && !reauthValid) {
+						setSaveErr('禁用认证需要验证：请输入当前密码，或使用 SSO 验证。');
 						return;
 					}
 					setBusy(true);
 					setMsg(null);
-					api('/dsh-webui-oauth/disable', { current }).then((r) => {
+					api('/dsh-webui-oauth/disable', { current: credentials.current || '' }).then((r) => {
 						setBusy(false);
 						if (r && r.ok) {
 							setMsg({ kind: 'ok', text: '已禁用认证，所有会话已注销。刷新页面后不再要求登录。' });
-							setCurrent('');
+							setSaveOpen(false);
+							setSavePw('');
+							setSaveErr('');
 							api('/dsh-webui-oauth/status').then((s) => {
 								if (s && !s.error) setStatus(s);
 							}).catch(() => {});
 						} else {
+							setSaveErr('当前密码不正确');
 							setMsg({ kind: 'err', text: '当前密码不正确' });
 						}
 					}).catch(() => {
@@ -563,7 +544,22 @@ window.__ModuleLoader__.load({
 
 				const enabled = Boolean(status && status.enabled);
 				const remoteTrust = Boolean(status && status.remoteTrust);
-				const reauthValid = Boolean(reauthToken && Date.now() < reauthExp);
+				const reauthValid = Boolean(status && status.reauthActive);
+
+				// 顶部「保存设置」/「禁用认证」：需要验证时统一打开弹窗（密码或 SSO）。
+				const onSaveClick = () => {
+					if (!enabled || reauthValid) { onSave({}); return; }
+					setVerifyAction('save');
+					setSaveErr('');
+					setSaveOpen(true);
+				};
+				const onDisableClick = () => {
+					if (!enabled) return;
+					if (reauthValid) { doDisable({}); return; }
+					setVerifyAction('disable');
+					setSaveErr('');
+					setSaveOpen(true);
+				};
 				const intro = status === null
 					? '正在读取认证状态…'
 					: (enabled
@@ -647,8 +643,9 @@ window.__ModuleLoader__.load({
 						patchWarn ? react.createElement('p', { className: 'wua-warn' }, patchWarn) : null,
 						persistNote ? react.createElement('p', { className: 'wua-warn' }, persistNote) : null,
 						react.createElement('div', { className: 'wua-actions' },
+							react.createElement('button', { className: 'wua-btn', disabled: busy || status === null, onClick: onSaveClick }, busy ? '保存中…' : '保存设置'),
 							enabled ? react.createElement('button', { className: 'wua-btn ghost', disabled: busy || status === null, onClick: onLogout }, '退出登录') : null,
-							enabled ? react.createElement('button', { className: 'wua-btn ghost', disabled: busy || status === null, onClick: onDisable }, '禁用认证') : null,
+							enabled ? react.createElement('button', { className: 'wua-btn ghost', disabled: busy || status === null, onClick: onDisableClick }, '禁用认证') : null,
 						),
 					]),
 					card('账号与密码', [], [
@@ -678,10 +675,6 @@ window.__ModuleLoader__.load({
 								react.createElement('input', { className: 'wua-input', type: 'password', value: confirm, onChange: (e) => setConfirm(e.target.value) }),
 							),
 						),
-						enabled ? react.createElement('div', { className: 'wua-row' },
-							react.createElement('label', { className: 'wua-label' }, '当前密码（修改或禁用认证需验证）'),
-							react.createElement('input', { className: 'wua-input', type: 'password', value: current, onChange: (e) => setCurrent(e.target.value) }),
-						) : null,
 						msg ? react.createElement('div', { className: msg.kind === 'ok' ? 'wua-msg' : 'wua-err' }, msg.text) : null,
 					]),
 					card('OIDC 单点登录', [
@@ -807,23 +800,13 @@ window.__ModuleLoader__.load({
 									)),
 								)),
 					]),
-					react.createElement('button', {
-						className: 'wua-save-fab',
-						disabled: busy || status === null,
-						onClick: () => {
-							if (!enabled) { onSave({}); return; }
-							if (reauthValid) { onSave({ reauthToken }); return; }
-							setSaveErr('');
-							setSaveOpen(true);
-						},
-					}, busy ? '保存中…' : '保存设置'),
 					saveOpen ? react.createElement('div', { className: 'wua-modal-mask' },
 						react.createElement('div', { className: 'wua-modal' },
-							react.createElement('h4', { className: 'wua-card-title' }, '验证后保存'),
+							react.createElement('h4', { className: 'wua-card-title' }, verifyAction === 'disable' ? '验证后禁用' : '验证后保存'),
 							react.createElement('p', { className: 'wua-hint', style: { borderTop: 'none', paddingTop: 0 } },
 								reauthValid
-									? '已通过 SSO 验证（2 分钟内有效），可直接保存。'
-									: '修改认证配置需要验证当前身份：输入当前密码，或使用 SSO 验证。'),
+									? '已通过 SSO 验证（2 分钟内有效），可直接继续。'
+									: '该操作需要验证当前身份：输入当前密码，或使用 SSO 验证。'),
 							reauthValid ? null : react.createElement('div', { className: 'wua-row' },
 								react.createElement('label', { className: 'wua-label' }, '当前密码'),
 								react.createElement('input', { className: 'wua-input', type: 'password', value: savePw, autoComplete: 'current-password', onChange: (e) => setSavePw(e.target.value) }),
@@ -831,10 +814,10 @@ window.__ModuleLoader__.load({
 							saveErr ? react.createElement('p', { className: 'wua-err' }, saveErr) : null,
 							react.createElement('div', { className: 'wua-actions' },
 								react.createElement('button', { className: 'wua-btn', disabled: busy, onClick: () => {
-									if (reauthValid) { onSave({ reauthToken }); return; }
-									if (!savePw) { setSaveErr('请输入当前密码'); return; }
-									onSave({ current: savePw });
-								} }, busy ? '保存中…' : '验证并保存'),
+									if (!reauthValid && !savePw) { setSaveErr('请输入当前密码'); return; }
+									const auth = reauthValid ? {} : { current: savePw };
+									if (verifyAction === 'disable') doDisable(auth); else onSave(auth);
+								} }, busy ? '处理中…' : (verifyAction === 'disable' ? '验证并禁用' : '验证并保存')),
 								react.createElement('button', { className: 'wua-btn ghost', disabled: busy, onClick: () => setSaveOpen(false) }, '取消'),
 							),
 							(status && status.oidc && status.oidc.enabled && status.oidc.bound)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-webui-oauth",
-  "version": "0.7.6",
+  "version": "0.7.7",
   "type": "module",
   "main": "index.js",
   "scripts": {