fix(t235): validate ERP user session by id

2026-07-29 11:42:41 +08:00
parent dcc9ce34e1
commit 81f75cc372
9 changed files with 197 additions and 43 deletions
@@ -203,6 +203,9 @@ T-203 成功返回 `201`。使用相同 `Idempotency-Key` 和相同图片内容
 `/erp`、`/erp/captcha`、`/erp/login` 和 `/api/v1/erp-session*` 不再暴露。创建货运同步
 前，单一 API 进程在未认证时以同一 Cookie jar 获取验证码、调用受控 OCR、登录并校验用户。
 验证码图片、OCR 文字、Cookie、JWT、账号、密码和原始响应都不返回浏览器/API，也不写 SQLite。
+登录成功后从 `data.user` 严格读取 id/username，并请求
+`GET /am/user/get?id=<user.id>`；返回身份必须一致。只有 HTTP 401/403 或 ERP code `-2` 被视为
+会话失效，其他 `status=false` 返回 `ERP_RESPONSE_INVALID`。

 ERP 配置来源：