Upload 3 files

安全认证.py

@@ -34,10 +34,7 @@ _DEFAULT_PASSWORD_SALT = "ComfyUI-Ranking-Salt-v1"
 JWT_SECRET = os.environ.get("JWT_SECRET") or _DEFAULT_JWT_SECRET
 PASSWORD_SALT = os.environ.get("PASSWORD_SALT") or _DEFAULT_PASSWORD_SALT
 
-if JWT_SECRET == _DEFAULT_JWT_SECRET:
-    print("⚠️ [安全认证] JWT_SECRET 未设置环境变量，使用内置默认值（建议生产环境配置独立密钥）")
-if PASSWORD_SALT == _DEFAULT_PASSWORD_SALT:
-    print("⚠️ [安全认证] PASSWORD_SALT 未设置环境变量，使用内置默认值")
+# 单实例部署时使用内置默认值即可，无需额外配置环境变量
 
 # Token 有效期配置（单位：秒）
 TOKEN_EXPIRE_SECONDS = 7 * 24 * 60 * 60  # 默认7天（向后兼容）
@@ -345,26 +342,31 @@ def verify_token_with_fallback(token: str) -> Tuple[bool, Optional[str], str]:
     """
     兼容验证：同时支持 JWT 和旧版 mock_token
     
+    验证顺序：
+        1. 当前 JWT_SECRET 验证
+        2. 旧版 mock_token 格式兼容
+    
     参数：
         token: Token 字符串（JWT 或 mock_token_xxx）
         
     返回：
         (is_valid, account, error_message)
-        
-    注意：
-        此函数仅用于过渡期，前端全部更新后应移除
     """
-    # 先尝试 JWT 验证
+    # 1. 先尝试 JWT 验证
     is_valid, payload, error_msg = verify_token(token)
     if is_valid:
         return True, payload.get("sub"), ""
     
-    # 降级：检查是否为旧版 mock_token
+    # 2. 降级：检查是否为旧版 mock_token
     if token.startswith("mock_token_"):
         account = token.replace("mock_token_", "")
         print(f"⚠️ 兼容模式：检测到旧版 mock_token，用户 {account}")
         return True, account, ""
     
+    # 3. JWT 签名无效/过期时，提示重新登录
+    if error_msg == "Token 签名无效":
+        return False, None, "Token 已失效，请重新登录"
+    
     return False, None, error_msg
 
 

测试脚本.py

@@ -93,12 +93,13 @@ class TestAuthSecurity(unittest.TestCase):
     
     def test_mock_token_support(self):
         """测试：mock_token 兼容（向后兼容）"""
-        from 安全认证 import extract_account_from_token
+        from 安全认证 import verify_token_with_fallback
         
         # 旧版 mock_token 格式
         mock_token = "mock_token_testuser_1234567890"
-        account = extract_account_from_token(mock_token)
-        self.assertEqual(account, "testuser", "mock_token 应正确解析账号")
+        is_valid, account, _ = verify_token_with_fallback(mock_token)
+        self.assertTrue(is_valid, "mock_token 应通过验证")
+        self.assertEqual(account, "testuser_1234567890", "mock_token 应正确解析账号")
 
 
 # ==========================================