dsh-webui-oauth 0.7.8 → 0.7.9

package/CHANGELOG.md

@@ -2,6 +2,27 @@
 
 本文件记录每个版本的**用户可见**变更。破坏性变更与升级动作单独标注。
 
+## 0.7.9
+
+「概览」卡片新增**「吊销所有浏览器会话」**按钮。
+
+### 新增：吊销所有其他浏览器会话
+
+- 位置：设置 → 身份认证 → 概览（与保存/退出/禁用并列）；
+- 与保存/禁用共用验证弹窗：当前密码，或 2 分钟内的 SSO 复验；
+- 服务端端点 `POST /dsh-webui-oauth/sessions/revoke`（要求会话）：
+  - 校验通过后调用 `deleteAllExcept(当前会话)`；
+  - **保留发起请求的当前会话**，避免点一下把自己踢回登录页；
+  - 返回被吊销的会话数，审计记录 `sessions_revoked`；
+  - 成功后清除会话复验时间戳（一次性）；
+- 想连当前会话一起退出，用「退出登录」。
+
+### 测试
+
+- `test/lifecycle.test.mjs` 新增 6 项：错误密码拒绝、吊销成功且
+  `revoked >= 1`、其他会话 401、当前会话仍 200；
+- 全量 23 个测试文件、629 项断言通过。
+
 ## 0.7.8
 
 SSO 复验改为**新窗口 + 等待状态**；设置页做了一轮视觉打磨。

package/index.js

@@ -1129,6 +1129,7 @@ const SELF_GATED_EXACT_PATHS = new Set([
   '/dsh-webui-oauth/oidc/reauth',
   '/dsh-webui-oauth/oauth-relay',
   '/dsh-webui-oauth/remote-trust',
+  '/dsh-webui-oauth/sessions/revoke',
 ])
 
 /**
@@ -3129,6 +3130,53 @@ export async function apply(ctx) {
     },
   }), 'dsh-webui-oauth: logout')
 
+  // 吊销所有其他浏览器会话：POST /dsh-webui-oauth/sessions/revoke
+  //
+  // 与「保存配置」同一套验证（当前密码或 2 分钟内的 SSO 复验）。
+  // 保留发起请求的当前会话，避免用户点一下就把自己踢回登录页；
+  // 想连当前会话一起退出，用「退出登录」。
+  ctx.effect(() => ctx.webServer.register({
+    kind: 'exact',
+    path: '/dsh-webui-oauth/sessions/revoke',
+    handler: async (req, res) => {
+      try {
+        if (req.method !== 'POST') {
+          sendJson(res, 405, { error: '仅支持 POST' })
+          return
+        }
+        if (!checkRequest(req)) {
+          sendJson(res, 401, { error: 'unauthorized' })
+          return
+        }
+        const body = await readJsonBody(req, res)
+        if (body === null) return
+        const creds = await readCredentials(ctx)
+        const current = String(body.current || '')
+        const reauthOk = sessionReauthOk(req)
+        const curValid = reauthOk || (current && creds && typeof creds.hash === 'string' && await verifyPassword(current, creds.hash))
+        if (!curValid) {
+          const meta = requestMeta(req)
+          await auditLog(ctx, 'sessions_revoke_failure', { username: creds && creds.username ? creds.username : null, ip: meta.ip, ua: meta.ua, detail: '当前密码不正确' })
+          sendJson(res, 200, { ok: false, error: 'current-invalid' })
+          return
+        }
+        let before = 0
+        for (const _ of sessions.live) before += 1
+        const keep = cookieOf(req, COOKIE_NAME)
+        destroyAllSessionsExcept(keep)
+        let after = 0
+        for (const _ of sessions.live) after += 1
+        const revoked = Math.max(0, before - after)
+        clearSessionReauth(req)
+        const meta = requestMeta(req)
+        await auditLog(ctx, 'sessions_revoked', { username: creds.username, ip: meta.ip, ua: meta.ua, detail: '吊销 ' + revoked + ' 个其他会话' })
+        sendJson(res, 200, { ok: true, revoked })
+      } catch (e) {
+        sendJson(res, 500, { error: e && e.message ? e.message : String(e) })
+      }
+    },
+  }), 'dsh-webui-oauth: revoke sessions')
+
   ctx.effect(() => ctx.webServer.register({
     kind: 'exact',
     path: '/dsh-webui-oauth/status',

package/lib/client.js

@@ -525,6 +525,38 @@ window.__ModuleLoader__.load({
 					});
 				};
 
+				const doRevoke = (auth) => {
+					if (busy) return;
+					const credentials = auth || {};
+					if (!credentials.current && !reauthValid) {
+						setSaveErr('吊销会话需要验证：请输入当前密码，或使用 SSO 验证。');
+						return;
+					}
+					setBusy(true);
+					setMsg(null);
+					api('/dsh-webui-oauth/sessions/revoke', { current: credentials.current || '' }).then((r) => {
+						setBusy(false);
+						if (r && r.ok) {
+							setMsg({
+								kind: 'ok',
+								text: '已吊销 ' + (typeof r.revoked === 'number' ? r.revoked : 0) + ' 个其他浏览器会话；当前会话保持有效。',
+							});
+							setSaveOpen(false);
+							setSavePw('');
+							setSaveErr('');
+							api('/dsh-webui-oauth/status').then((s) => {
+								if (s && !s.error) setStatus(s);
+							}).catch(() => {});
+						} else {
+							setSaveErr('当前密码不正确');
+							setMsg({ kind: 'err', text: '当前密码不正确' });
+						}
+					}).catch(() => {
+						setBusy(false);
+						setMsg({ kind: 'err', text: '操作失败：无法连接认证服务' });
+					});
+				};
+
 				// 绑定：先发起服务端授权往返，IdP 校验通过后由回调把 sub 落库。
 				// 这里不直接调 API 拿 sub——那样等于让浏览器自报身份，毫无安全意义。
 				const onBind = () => {
@@ -595,6 +627,13 @@ window.__ModuleLoader__.load({
 					setSaveErr('');
 					setSaveOpen(true);
 				};
+				const onRevokeClick = () => {
+					if (!enabled) return;
+					if (reauthValid) { doRevoke({}); return; }
+					setVerifyAction('revoke');
+					setSaveErr('');
+					setSaveOpen(true);
+				};
 				const intro = status === null
 					? '正在读取认证状态…'
 					: (enabled
@@ -619,6 +658,8 @@ window.__ModuleLoader__.load({
 					configure_success: '修改凭据',
 					configure_failure: '修改凭据失败',
 					disable_success: '禁用认证',
+					sessions_revoked: '吊销其他会话',
+					sessions_revoke_failure: '吊销会话失败',
 					disable_failure: '禁用认证失败',
 					logout: '退出登录',
 					oidc_login_success: 'SSO 登录成功',
@@ -681,6 +722,7 @@ window.__ModuleLoader__.load({
 							react.createElement('button', { className: 'wua-btn', disabled: busy || status === null, onClick: onSaveClick }, busy ? '保存中…' : '保存设置'),
 							enabled ? react.createElement('button', { className: 'wua-btn ghost', disabled: busy || status === null, onClick: onLogout }, '退出登录') : null,
 							enabled ? react.createElement('button', { className: 'wua-btn ghost', disabled: busy || status === null, onClick: onDisableClick }, '禁用认证') : null,
+							enabled ? react.createElement('button', { className: 'wua-btn ghost', disabled: busy || status === null, onClick: onRevokeClick }, '吊销所有浏览器会话') : null,
 						),
 					]),
 					card('账号与密码', [], [
@@ -837,7 +879,8 @@ window.__ModuleLoader__.load({
 					]),
 					saveOpen ? react.createElement('div', { className: 'wua-modal-mask' },
 						react.createElement('div', { className: 'wua-modal' },
-							react.createElement('h4', { className: 'wua-card-title' }, verifyAction === 'disable' ? '验证后禁用' : '验证后保存'),
+							react.createElement('h4', { className: 'wua-card-title' },
+								verifyAction === 'disable' ? '验证后禁用' : (verifyAction === 'revoke' ? '验证后吊销会话' : '验证后保存')),
 							react.createElement('p', { className: 'wua-hint', style: { borderTop: 'none', paddingTop: 0 } },
 								reauthValid
 									? '已通过 SSO 验证（2 分钟内有效），可直接继续。'
@@ -853,8 +896,10 @@ window.__ModuleLoader__.load({
 								react.createElement('button', { className: 'wua-btn', disabled: busy || reauthWaiting, onClick: () => {
 									if (!reauthValid && !savePw) { setSaveErr('请输入当前密码'); return; }
 									const auth = reauthValid ? {} : { current: savePw };
-									if (verifyAction === 'disable') doDisable(auth); else onSave(auth);
-								} }, busy ? '处理中…' : (verifyAction === 'disable' ? '验证并禁用' : '验证并保存')),
+									if (verifyAction === 'disable') doDisable(auth);
+									else if (verifyAction === 'revoke') doRevoke(auth);
+									else onSave(auth);
+								} }, busy ? '处理中…' : (verifyAction === 'disable' ? '验证并禁用' : (verifyAction === 'revoke' ? '验证并吊销' : '验证并保存'))),
 								react.createElement('button', { className: 'wua-btn ghost', disabled: busy, onClick: () => setSaveOpen(false) }, '取消'),
 							),
 							(status && status.oidc && status.oidc.enabled && status.oidc.bound)

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-webui-oauth",
-  "version": "0.7.8",
+  "version": "0.7.9",
   "type": "module",
   "main": "index.js",
   "scripts": {