Upload 安全认证.py

安全认证.py

@@ -340,11 +340,16 @@ async def optional_auth(authorization: str = Header(None, alias="Authorization")
 
 def verify_token_with_fallback(token: str) -> Tuple[bool, Optional[str], str]:
     """
-    兼容验证：同时支持 JWT 和旧版 mock_token
+    兼容验证：同时支持 JWT 和旧版 Token（过渡期）
     
     验证顺序：
-        1. 当前 JWT_SECRET 验证
+        1. 标准 JWT 验证（当前密钥）
         2. 旧版 mock_token 格式兼容
+        3. 签名无效的 JWT：降级提取 payload 中的 sub 字段（过渡期兼容）
+    
+    ⚠️ 过渡期策略：
+        - 当前阶段：宽容模式，允许签名无效的旧 JWT 通过（提取 sub 信任）
+        - 下一版本：移除第3步，强制要求有效签名
     
     参数：
         token: Token 字符串（JWT 或 mock_token_xxx）
@@ -352,7 +357,7 @@ def verify_token_with_fallback(token: str) -> Tuple[bool, Optional[str], str]:
     返回：
         (is_valid, account, error_message)
     """
-    # 1. 先尝试 JWT 验证
+    # 1. 先尝试标准 JWT 验证
     is_valid, payload, error_msg = verify_token(token)
     if is_valid:
         return True, payload.get("sub"), ""
@@ -360,14 +365,26 @@ def verify_token_with_fallback(token: str) -> Tuple[bool, Optional[str], str]:
     # 2. 降级：检查是否为旧版 mock_token
     if token.startswith("mock_token_"):
         account = token.replace("mock_token_", "")
-        print(f"⚠️ 兼容模式：检测到旧版 mock_token，用户 {account}")
+        print(f"⚠️ [过渡兼容] 旧版 mock_token 用户: {account}")
         return True, account, ""
     
-    # 3. JWT 签名无效/过期时，提示重新登录
-    if error_msg == "Token 签名无效":
-        return False, None, "Token 已失效，请重新登录"
-    
-    return False, None, error_msg
+    # 3. 过渡期兼容：JWT 签名无效时，尝试直接解析 payload 提取账号
+    #    这允许旧版（密钥不同时签发的）JWT 仍能使用
+    #    ⚠️ 下一版本将移除此降级逻辑，届时用户必须重新登录
+    if error_msg in ("Token 签名无效", "Token 已过期，请重新登录"):
+        try:
+            parts = token.split(".")
+            if len(parts) == 3:
+                payload_json = _base64url_decode(parts[1]).decode("utf-8")
+                payload_data = json.loads(payload_json)
+                account = payload_data.get("sub")
+                if account:
+                    print(f"⚠️ [过渡兼容] 旧版 JWT 降级信任，用户: {account}（签名未验证，下版本将失效）")
+                    return True, account, ""
+        except Exception:
+            pass
+    
+    return False, None, error_msg or "Token 验证失败"
 
 
 # ==========================================