sync from GitHub dad1933: fix(认证+恢复): 手表端长效token+refresh不吊销旧token+恢复容错

Auto-synced from GitHub commit dad193322c9efba04d7d142428d87acc80931a08

app/api/user_files.py

@@ -66,6 +66,19 @@ def _token_ttl_sec() -> int:
     return get_settings().xtc_user_token_ttl_sec
 
 
+# 手表端长效 token TTL：3 天。
+# 手表端（UA 含 "xtc"）备份耗时长、并发请求多，1 天 TTL + rotation 机制容易导致
+# 备份中途 401（refresh 吊销旧 token，其他并发请求仍在用旧 token）。
+# 3 天 TTL 大幅减少 refresh 频率，从根本上避免 rotation 死锁。
+_XTC_LONG_TOKEN_TTL_SEC = 3 * 86400
+
+
+def _is_xtc_client(request: Request) -> bool:
+    """检测请求是否来自小天才手表端（UA 含 "xtc"）。"""
+    ua = (request.headers.get("user-agent") or "").lower()
+    return "xtc" in ua
+
+
 def _user_token_jti_from_raw(raw_token: str) -> str:
     """从原始 JWT 中无验签地提取 jti（用于吊销）。
 
@@ -118,11 +131,12 @@ def _resolve_alias(row_or_meta) -> str:
 
 # ===== JWT =====
 
-def _issue_user_token(user_id: int, username: str) -> str:
+def _issue_user_token(user_id: int, username: str, long_ttl: bool = False) -> str:
     """签发用户 JWT（NM2 / NL2）。
 
     - 加入 jti（唯一 ID）并落 user_tokens 表，支持服务端吊销
     - TTL 从 settings.xtc_user_token_ttl_sec 读取（默认 1 天，原 7 天）
+    - long_ttl=True 时签发 3 天长效 token（手表端专用，减少 refresh 频率）
     - 若配置了 XTC_JWT_KID 则写入 header 便于密钥轮换识别
     """
     settings = get_settings()
@@ -133,7 +147,7 @@ def _issue_user_token(user_id: int, username: str) -> str:
             code="server_misconfigured",
         )
     now = int(time.time())
-    ttl = _token_ttl_sec()
+    ttl = _XTC_LONG_TOKEN_TTL_SEC if long_ttl else _token_ttl_sec()
     jti = uuid.uuid4().hex
     payload = {
         "type": "user_file",
@@ -143,6 +157,8 @@ def _issue_user_token(user_id: int, username: str) -> str:
         "exp": now + ttl,
         "jti": jti,
     }
+    if long_ttl:
+        payload["long_ttl"] = True
     headers: dict = {}
     if settings.xtc_jwt_kid:
         headers["kid"] = settings.xtc_jwt_kid
@@ -484,7 +500,7 @@ async def register(request: Request):
     client_ip = rate_limit_store.get_client_ip(request)
     rate_limit_store.clear_auth_failures(client_ip=client_ip)
 
-    token = _issue_user_token(user_id, username)
+    token = _issue_user_token(user_id, username, long_ttl=_is_xtc_client(request))
     return ok_with_cors({
         "token": token,
         "user": {"id": user_id, "username": username},
@@ -518,7 +534,7 @@ async def login(request: Request):
     client_ip = rate_limit_store.get_client_ip(request)
     rate_limit_store.clear_auth_failures(client_ip=client_ip)
 
-    token = _issue_user_token(int(user["id"]), user["username"])
+    token = _issue_user_token(int(user["id"]), user["username"], long_ttl=_is_xtc_client(request))
     return ok_with_cors({
         "token": token,
         "user": {"id": int(user["id"]), "username": user["username"]},
@@ -620,14 +636,18 @@ def _verify_user_token_for_refresh(token: str) -> dict:
     return payload
 
 
-def _do_refresh_token(user: dict):
+def _do_refresh_token(user: dict, request: Request):
     user_id = int(user["sub"])
     username = user["username"]
-    # NM2：token rotation —— 吊销旧 jti，签发新 token
-    old_jti = user.get("jti") or _user_token_jti_from_raw(user.get("_raw_token", ""))
-    if old_jti:
-        _revoke_user_token_jti(old_jti)
-    token = _issue_user_token(user_id, username)
+    # NL7：不再吊销旧 token（rotation 改为共存）。
+    # 旧实现 refresh 时吊销旧 jti，但备份中其他并发请求可能仍持有旧 token，
+    # 5 分钟宽限期边界场景会导致 401 死锁。改为新旧 token 共存，旧 token 自然过期。
+    # 代价是多占几行 user_tokens 记录，由 _cleanup_expired_user_tokens 清理。
+    long_ttl = _is_xtc_client(request)
+    # 若旧 token 是长效的，新 token 也保持长效
+    if not long_ttl and user.get("long_ttl"):
+        long_ttl = True
+    token = _issue_user_token(user_id, username, long_ttl=long_ttl)
     return ok_with_cors({
         "token": token,
         "user": {"id": user_id, "username": username},
@@ -635,13 +655,13 @@ def _do_refresh_token(user: dict):
 
 
 @router.post("/refresh")
-async def refresh_token(user: dict = Depends(require_user_for_refresh)):
-    return _do_refresh_token(user)
+async def refresh_token(request: Request, user: dict = Depends(require_user_for_refresh)):
+    return _do_refresh_token(user, request)
 
 
 @router.get("/refresh")
-async def refresh_token_get(user: dict = Depends(require_user_for_refresh)):
-    return _do_refresh_token(user)
+async def refresh_token_get(request: Request, user: dict = Depends(require_user_for_refresh)):
+    return _do_refresh_token(user, request)
 
 
 # ===== 列表 =====