Henry_Du
ebf1c3a127
登录实测约 232ms，其中 bcrypt 约 72ms、网络往返约 80ms 是不可省的计算/物理成本，
剩下的都是我们自己的开销。这次把能省的两处省掉（实测约 40ms，占登录耗时约 19%）：
1. 去掉「数据库连接检查」的冗余预检
原来每次登录先 await db.select().from(users).limit(1) 只为"测连接"，
紧接着又会真的查用户，连不上一样会报错 —— 纯粹多一次数据库往返。
现在把那次真实查询包进 try，只有它失败才回报 503「数据库服务暂时不可用」，
错误码与文案完全不变。
2. 缓存「这个账号有没有开 2FA」
登录每次都查 userIdentities 找 TOTP，但绝大多数账号根本没开 2FA。
新增 server/utils/totp-cache.ts：
· 查到**没有** TOTP → 缓存 10 分钟，后续登录直接跳过查询
· 查到**有** TOTP → **不缓存**（安全优先：绝不能因为缓存而让刚开 2FA 的人被跳过验证）
开启/关闭 2FA 的接口必须调用 invalidateTotpCache(userId)，已在
server/api/user/2fa/{enable,disable}.post.ts 接上 —— 否则会有最长 10 分钟的验证空窗。
该缓存不参与密码校验，最坏情况只是多查一次库。
3. lastLogin / lastLoginIp 的 UPDATE 不再阻塞响应
登录时间与登录 IP 是审计信息，晚写几十毫秒、甚至这次写失败，
都不影响用户能否登录。改为不 await（保留 .catch，避免 unhandledRejection）。
4. 安全修复：微信登录不再把 session_key 打进日志
server/api/auth/wechat/login.post.ts 原来打印整个 jscode2session 响应前 500 字，
而该响应含 { session_key, openid, unionid }。
session_key 是敏感凭据（可解密用户数据、配合其他接口换取手机号），
长期落在服务端日志里等于凭据落盘。
现在只打印：顶层键名、errcode/errmsg、以及 openid/session_key/unionid 的
存在性与长度（不打印值）；仅在"响应根本不是对象"时才打印截断原文
（那种情况它不可能是合法凭据，且是排查被代理拦成 HTML 的唯一线索）。
已验证：
- 缓存逻辑用假 db 真跑过 5 个场景（命中缓存省下查询、失效后立刻重查、
有 2FA 不缓存、多用户互不干扰、只失效指定用户）
- 4 个改动文件的相对 import 路径均存在；totp-cache 的导出与两处 import 对得上
- login.post.ts 抽走 TOTP 查询后已清理不再使用的 userIdentities / and 导入
- 文件编码 UTF-8 无 BOM、无乱码、括号平衡
56 lines
1.8 KiB
TypeScript
56 lines
1.8 KiB
TypeScript
import otplib from 'otplib'
|
|
const { authenticator } = otplib
|
|
import { db, userIdentities, eq, and } from '~/drizzle/db'
|
|
// 「该账号没开 2FA」的缓存失效入口（见 server/utils/totp-cache.ts 的说明）
|
|
import { invalidateTotpCache } from '~~/server/utils/totp-cache'
|
|
|
|
export default defineEventHandler(async (event) => {
|
|
const user = event.context.user
|
|
if (!user) {
|
|
throw createError({ statusCode: 401, message: '未授权访问' })
|
|
}
|
|
const body = await readBody(event)
|
|
const { token, secret } = body
|
|
|
|
if (!token || !secret) {
|
|
throw createError({ statusCode: 400, message: '缺少验证码或密钥' })
|
|
}
|
|
|
|
const isValid = authenticator.check(token, secret)
|
|
if (!isValid) {
|
|
throw createError({ statusCode: 400, message: '验证码错误' })
|
|
}
|
|
|
|
// 检查是否已存在
|
|
const existing = await db.query.userIdentities.findFirst({
|
|
where: and(eq(userIdentities.userId, user.id), eq(userIdentities.provider, 'totp'))
|
|
})
|
|
|
|
if (existing) {
|
|
// 更新密钥
|
|
await db.update(userIdentities)
|
|
.set({ providerUserId: secret })
|
|
.where(eq(userIdentities.id, existing.id))
|
|
} else {
|
|
// 保存到数据库
|
|
await db.insert(userIdentities).values({
|
|
userId: user.id,
|
|
provider: 'totp',
|
|
providerUserId: secret,
|
|
createdAt: new Date()
|
|
})
|
|
}
|
|
|
|
/*
|
|
* ★ 让登录流程里那个「这个账号没开 2FA」的缓存失效。
|
|
*
|
|
* login.post.ts 为了提速，会把"某账号没有 TOTP"这个结论缓存 10 分钟
|
|
* （绝大多数账号确实没开 2FA，每次登录都查库纯属浪费）。
|
|
* 但用户**刚开启 2FA** 时必须立刻让那条缓存作废，
|
|
* 否则他在接下来 10 分钟内登录会被**跳过 2FA 验证** —— 那是安全问题。
|
|
*/
|
|
invalidateTotpCache(user.id)
|
|
|
|
return { success: true }
|
|
})
|