feat: harden phase 3 api security

2026-07-03 10:34:37 +08:00
parent 1c5aa7845d
commit 0168aa30ba
19 changed files with 540 additions and 46 deletions
@@ -1,7 +1,7 @@
 # cmhub 项目介绍（给管理层）

 > 面向决策与汇报的项目概览。技术细节见同目录架构与需求文档。
-> 日期：2026-07-02 ｜ 阶段：Phase 3 起步（T-301 API Key 鉴权）
+> 日期：2026-07-03 ｜ 阶段：Phase 4 起步（T-501 注册 / 登录）

 ## 一句话概括

@@ -103,7 +103,8 @@
 - M1 骨架已完成：Django + admin + 自定义 User + MySQL 8.4 已跑通。
 - Phase 1 已完成 T-101~T-104：AI Provider 适配器、AiModel/ModelAlias、Fernet 加密密钥存储、别名解析、配置审计与录制标题生成 smoke 已落地。
 - Phase 2 计费核心已完成：PricingRule / ExchangeRate、计费计算、并发安全扣点与失败退点已落地，并覆盖并发测试。
- 下一步是 T-301：实现对外 API Key 鉴权，确保生成/余额接口只认 Key、不认 Web session。
+- Phase 3 对外 API 与充值已完成到 T-306：API Key 鉴权、生成/余额接口、扫码充值下单与轮询、支付回调幂等入账、`image_url` SSRF 防护、生成/认证限流和充值金额上限已落地。
+- 下一步是 T-501：实现用户端注册 / 登录（allauth），注册后钱包点数为 0，不送免费点数。

 ---
 *更多细节：愿景 `01-vision.md` ｜ 需求与验收 `02-requirements.md` ｜ 架构 `04-architecture.md` ｜ 任务计划 `06-tasks.md`。*