feat(auth): implement user and device authentication

2026-07-26 15:18:48 +08:00
parent c5d3b215ff
commit 49db5b8305
66 changed files with 6216 additions and 271 deletions
@@ -127,3 +127,13 @@
  SSR 管理 Web，并用 loopback 与双提交 CSRF 作为 T-204 前的临时暴露门禁。
 - 影响：管理人员已能在本机创建、搜索、查看和取消待领取任务；T-204 下一步补正式
  账号、角色、会话和设备身份，完成后 T-205 可接入 App 原子领取与租约状态机。
+
+## 2026-07-26 用户与设备最小鉴权
+
+- 类型：阶段完成
+- 内容：完成 T-204；实现 ADMIN/BUYER、bcrypt、8 小时管理 session、预授权设备
+  首次原子绑定、1 小时 App token、登录限流、账号/设备启停、`authctl`、管理
+  登录/退出、CSRF 和内建 TLS 门禁。
+- 影响：匿名与跨端凭证不能访问任务，新任务保留共享 `local-admin` scope 并单独记录
+  真实 ADMIN actor，创建/取消事件均可审计；T-205 可在稳定 BUYER + device 身份上
+  实现原子领取和租约。