touyun_liuyun/ec-nest
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity
38 Commits 1 Branch 0 Tags
Commit Graph

12 Commits

Author SHA1 Message Date
liuyun
477f35293e fix(security): 若干越权/健壮性修复 
- assignOrgs 校验 orgCodes 存在性（对齐 assignResources）
- lock/kick 保护保留角色账号（super_admin/tenant_super_admin）
- BatchDeleteDto 加 @ArrayMaxSize(100)
- 待改密门禁显式放行 /auth/logout
- 分配部门改用独立权限码 role:assign-org

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-10-11 22:56:12 +08:00
liuyun
9869974d4c feat(auth): 首登强制改密 + 待改密门禁 
- User 新增 must_change_password；创建(默认强制)/重置/createTenant 置 true
- 登录响应返回 mustChangePassword，改密成功清除
- JwtAuthGuard 待改密门禁：仅放行 PATCH /auth/me/password

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-10-11 21:54:38 +08:00
liuyun
86832ce32d feat(session): 在线会话强踢 + 账号锁定/解锁 
- JWT 引入 sid，单会话精确强退（sid 黑名单）与按用户踢全部（tokenVersion）
- User 新增 lockedAt/lockReason，登录/刷新/守卫统一拒绝锁定
- sessions 模块：活跃会话列表 + 单会话强退；users 新增 lock/unlock/kick-sessions
- 资源注册 + syncTenantResources 存量租户补齐脚本

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-10-11 21:35:43 +08:00
liuyun
127707ffde feat(rbac): 批量删除 + 数据权限自定义闭环 + 若干修复 
- users/orgs/resources 新增 POST /batch-delete（事务 + 失败汇总 + 用户踢下线）
- 角色数据权限自定义：GET/PUT /roles/:roleCode/orgs（roleOrg 写入路径）
- assignResources 校验 resourceCodes 存在性；角色 :id 语义改 :roleCode
- createTenant 补 createdBy；登录锁定双层阈值（IP+用户名 / 用户名全局）

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-10-11 17:42:05 +08:00
liuyun
606585c3bd feat(security): 登录失败锁定 + 密码长度策略 + refresh token 哈希校验 
- 登录连续失败 5 次锁定 15 分钟（Redis 计数）
- 密码字段 @MinLength(6)
- refresh 校验 tokenHash

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-10-11 16:46:13 +08:00
liuyun
78e537fa73 feat(rbac): 用户-角色分配 + 权限码下发接口 
- users: GET/PUT /users/:id/roles（事务化替换 + 过滤无效角色 + 清权限缓存）
- auth: GET /auth/permissions 返回 {super, permissions}
- permissions/seed: 新增 user:assign-role 权限码与资源

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-10-11 16:19:11 +08:00
liuyun
513688a5e6 fix(security): P0 安全越权堵漏（C1/H1-H6/H10/H11/H13/M1/M4/M6/M8-M11/M22） 
- 平台管理员模型：super_admin=平台超管、tenant_super_admin=租户顶层（保留码），tenant:* 仅平台可授予
- 软删改名回收唯一键 + P2002→409
- 删除角色级联清理关联 + 聚合过滤已删/停用角色资源
- tokenVersion 会话吊销（重置密码/停用/删除即时踢下线）
- data_scope self 按 userId 过滤 + 详情数据权限校验
- 组织树防环、seed 不重置密码、日志脱敏补 phone/email
- JWT 密钥强校验、pageSize 上限、DTO 枚举校验、Prisma 错误映射、授权事务化

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-10-11 16:10:00 +08:00
liuyun
489d7232e3 feat: user list search + current-user menu tree endpoint 
- GET /auth/menus：当前用户菜单树（超管全量，非超管按角色 + 补祖先）
- 用户列表支持 username/nickname/phone/status 过滤（ListUserQuery）
- seed：菜单补图标、新增「权限管理」顶级分组（用户/角色/资源/组织），dashboard path 修正为 /

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-10-11 12:19:42 +08:00
liuyun
ce2aa35a24 fix: strip passwordHash from user API responses 
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-10-10 23:22:43 +08:00
liuyun
7340658305 feat: enforce RBAC, audit/login logging, and seed script 
收口 Phase 0 三处「声明未生效」：
- 三级鉴权落地：权限集存 Redis（key 前缀隔离多项目），@RequirePermissions 挂到全部受控接口，super_admin 角色绕过权限码与 data_scope
- 审计/登录日志自动落库：@AuditLog 装饰器 + 拦截器异步写入（写操作+登录登出），登录成功/失败均记 login_log（脱敏）
- seed 脚本：一键初始化租户 touyun/用户 touyun/超管 super_admin/全量资源树（48 资源全量授权）

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-10-10 23:19:41 +08:00
liuyun
24790e8985 feat: add Swagger API docs (/docs) with DTO schemas 
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-10-10 21:39:37 +08:00
liuyun
d8d3055c73 feat: backend foundation (Prisma 6 + MySQL, auth, tenant/soft-delete/data-scope filters, core CRUD) 
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
 2026-10-10 21:13:35 +08:00