perms-system-server/internal/logic/pub/adminLoginLogic.go

package pub

import (
	"context"
	"crypto/subtle"
	"errors"
	"fmt"
	"time"

	"perms-system-server/internal/consts"
	authHelper "perms-system-server/internal/logic/auth"
	"perms-system-server/internal/middleware"
	"perms-system-server/internal/model/user"
	"perms-system-server/internal/response"
	"perms-system-server/internal/svc"
	"perms-system-server/internal/types"

	"github.com/zeromicro/go-zero/core/limit"
	"github.com/zeromicro/go-zero/core/logx"
	"golang.org/x/crypto/bcrypt"
)

type AdminLoginLogic struct {
	logx.Logger
	ctx    context.Context
	svcCtx *svc.ServiceContext
}

func NewAdminLoginLogic(ctx context.Context, svcCtx *svc.ServiceContext) *AdminLoginLogic {
	return &AdminLoginLogic{
		Logger: logx.WithContext(ctx),
		ctx:    ctx,
		svcCtx: svcCtx,
	}
}

// AdminLogin 管理后台登录。仅限超级管理员通过 managementKey + 用户名密码登录管理后台，返回 JWT 令牌对。
func (l *AdminLoginLogic) AdminLogin(req *types.AdminLoginReq) (resp *types.LoginResp, err error) {
	if subtle.ConstantTimeCompare([]byte(req.ManagementKey), []byte(l.svcCtx.Config.Auth.ManagementKey)) != 1 {
		return nil, response.ErrUnauthorized("managementKey无效")
	}

	// 限流 key 使用 "admin:<clientIP>:<username>" 双键维度：只有来自同一 IP + 同一 username 的
	// 连续失败才会累加计数，远端任意 IP 无法通过只打 username 把任意超管账号永久锁死（见审计 H-1）。
	// clientIP 由 AdminLoginRateLimit 中间件注入 context；解析失败时用 "unknown" 走共享桶兜底，
	// 仍有 5min/10 次的总体上限，避免退化为"无限流"。
	if l.svcCtx.UsernameLoginLimit != nil {
		clientIP := middleware.GetClientIP(l.ctx)
		if clientIP == "" {
			clientIP = "unknown"
		}
		key := fmt.Sprintf("admin:%s:%s", clientIP, req.Username)
		code, _ := l.svcCtx.UsernameLoginLimit.Take(key)
		if code == limit.OverQuota {
			return nil, response.NewCodeError(429, "登录尝试过于频繁，请5分钟后再试")
		}
	}

	u, err := l.svcCtx.SysUserModel.FindOneByUsername(l.ctx, req.Username)
	if err != nil {
		if errors.Is(err, user.ErrNotFound) {
			bcrypt.CompareHashAndPassword(dummyBcryptHash, []byte(req.Password))
			return nil, response.ErrUnauthorized("用户名或密码错误")
		}
		return nil, err
	}

	// 审计 L-N3：把 IsSuperAdmin 判断前置到真 bcrypt 之前，防止"存在但非超管"分支因跳过真 bcrypt
	// 比"存在是超管且密码错"分支快一段时间（数十 ms），让攻击者借耗时差筛出"存在的超管账号"。
	// 这里仍然要走一次 dummyBcryptHash，把时序抹平到与"真 bcrypt 失败 + 返回 ErrUnauthorized"同阶。
	if u.IsSuperAdmin != consts.IsSuperAdminYes {
		bcrypt.CompareHashAndPassword(dummyBcryptHash, []byte(req.Password))
		return nil, response.ErrUnauthorized("用户名或密码错误")
	}

	if err := bcrypt.CompareHashAndPassword([]byte(u.Password), []byte(req.Password)); err != nil {
		return nil, response.ErrUnauthorized("用户名或密码错误")
	}

	if u.Status != consts.StatusEnabled {
		return nil, response.ErrUnauthorized("用户名或密码错误")
	}

	ud, err := l.svcCtx.UserDetailsLoader.Load(l.ctx, u.Id, "")
	if err != nil {
		return nil, response.NewCodeError(503, "服务暂时不可用，请稍后重试")
	}

	accessToken, err := authHelper.GenerateAccessToken(
		l.svcCtx.Config.Auth.AccessSecret,
		l.svcCtx.Config.Auth.AccessExpire,
		ud.UserId, ud.Username, ud.ProductCode, ud.MemberType, ud.TokenVersion,
	)
	if err != nil {
		return nil, err
	}

	refreshToken, err := authHelper.GenerateRefreshToken(
		l.svcCtx.Config.Auth.RefreshSecret,
		l.svcCtx.Config.Auth.RefreshExpire,
		ud.UserId, ud.ProductCode, ud.TokenVersion,
	)
	if err != nil {
		return nil, err
	}

	return &types.LoginResp{
		AccessToken:  accessToken,
		RefreshToken: refreshToken,
		Expires:      time.Now().Unix() + l.svcCtx.Config.Auth.AccessExpire,
		UserInfo: types.UserInfo{
			UserId:             ud.UserId,
			Username:           ud.Username,
			Nickname:           ud.Nickname,
			Avatar:             ud.Avatar,
			Email:              ud.Email,
			Phone:              ud.Phone,
			IsSuperAdmin:       ud.IsSuperAdminRaw,
			MustChangePassword: ud.MustChangePwdRaw,
			MemberType:         ud.MemberType,
			Perms:              ud.Perms,
		},
	}, nil
}