131 lines
3.8 KiB
Go
131 lines
3.8 KiB
Go
|
package centrifugo
|
|||
|
|
|
|||
|
|
import (
|
|||
|
|
"context"
|
|||
|
|
"errors"
|
|||
|
|
"fmt"
|
|||
|
|
"time"
|
|||
|
|
|
|||
|
|
"github.com/zeromicro/go-zero/core/stores/redis"
|
|||
|
|
)
|
|||
|
|
|
|||
|
|
// 錯誤定義
|
|||
|
|
var (
|
|||
|
|
ErrBlacklistNotConfigured = errors.New("token blacklist is not configured")
|
|||
|
|
ErrOnlineStoreNotConfigured = errors.New("online store is not configured")
|
|||
|
|
)
|
|||
|
|
|
|||
|
|
// TokenBlacklist Token 黑名單管理器
|
|||
|
|
// 提供兩種撤銷機制：
|
|||
|
|
// 1. 單一 Token 撤銷：使用 JTI（JWT ID）將特定 Token 加入黑名單
|
|||
|
|
// 2. 用戶全部撤銷：使用版本號機制，使用戶之前所有 Token 失效
|
|||
|
|
type TokenBlacklist struct {
|
|||
|
|
redis *redis.Redis
|
|||
|
|
prefix string
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// NewTokenBlacklist 創建 Token 黑名單管理器
|
|||
|
|
func NewTokenBlacklist(redisClient *redis.Redis) *TokenBlacklist {
|
|||
|
|
return &TokenBlacklist{
|
|||
|
|
redis: redisClient,
|
|||
|
|
prefix: "centrifugo:blacklist:",
|
|||
|
|
}
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// NewTokenBlacklistWithPrefix 創建帶自定義前綴的 Token 黑名單管理器
|
|||
|
|
func NewTokenBlacklistWithPrefix(redisClient *redis.Redis, prefix string) *TokenBlacklist {
|
|||
|
|
return &TokenBlacklist{
|
|||
|
|
redis: redisClient,
|
|||
|
|
prefix: prefix,
|
|||
|
|
}
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// ==================== 撤銷操作 ====================
|
|||
|
|
|
|||
|
|
// RevokeToken 撤銷特定 Token（使用 JTI）
|
|||
|
|
// ttl: 黑名單過期時間，應設置為 Token 的剩餘有效時間
|
|||
|
|
//
|
|||
|
|
// 使用場景：
|
|||
|
|
// - 用戶登出單一設備
|
|||
|
|
// - 檢測到可疑活動的特定 session
|
|||
|
|
func (b *TokenBlacklist) RevokeToken(ctx context.Context, jti string, ttl time.Duration) error {
|
|||
|
|
if jti == "" {
|
|||
|
|
return errors.New("jti cannot be empty")
|
|||
|
|
}
|
|||
|
|
key := b.tokenKey(jti)
|
|||
|
|
return b.redis.SetexCtx(ctx, key, "revoked", int(ttl.Seconds()))
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// RevokeUserTokens 撤銷用戶的所有 Token（使用版本控制）
|
|||
|
|
// 通過更新版本號，使該用戶之前發出的所有 Token 失效
|
|||
|
|
//
|
|||
|
|
// 使用場景：
|
|||
|
|
// - 用戶被封禁
|
|||
|
|
// - 密碼變更
|
|||
|
|
// - 用戶主動登出全部設備
|
|||
|
|
func (b *TokenBlacklist) RevokeUserTokens(ctx context.Context, userID string) error {
|
|||
|
|
if userID == "" {
|
|||
|
|
return errors.New("userID cannot be empty")
|
|||
|
|
}
|
|||
|
|
key := b.userVersionKey(userID)
|
|||
|
|
version := time.Now().UnixNano()
|
|||
|
|
// 設置 7 天過期，足夠長於任何 Token 的有效期
|
|||
|
|
return b.redis.SetexCtx(ctx, key, fmt.Sprintf("%d", version), 7*24*3600)
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// ==================== 驗證操作 ====================
|
|||
|
|
|
|||
|
|
// IsTokenRevoked 檢查 Token 是否被撤銷（使用 JTI）
|
|||
|
|
func (b *TokenBlacklist) IsTokenRevoked(ctx context.Context, jti string) (bool, error) {
|
|||
|
|
if jti == "" {
|
|||
|
|
return false, nil
|
|||
|
|
}
|
|||
|
|
key := b.tokenKey(jti)
|
|||
|
|
exists, err := b.redis.ExistsCtx(ctx, key)
|
|||
|
|
if err != nil {
|
|||
|
|
return false, err
|
|||
|
|
}
|
|||
|
|
return exists, nil
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// GetUserTokenVersion 獲取用戶的 Token 版本
|
|||
|
|
// 返回 0 表示沒有設置版本（用戶從未被撤銷過）
|
|||
|
|
func (b *TokenBlacklist) GetUserTokenVersion(ctx context.Context, userID string) (int64, error) {
|
|||
|
|
if userID == "" {
|
|||
|
|
return 0, nil
|
|||
|
|
}
|
|||
|
|
key := b.userVersionKey(userID)
|
|||
|
|
val, err := b.redis.GetCtx(ctx, key)
|
|||
|
|
if err != nil {
|
|||
|
|
return 0, err
|
|||
|
|
}
|
|||
|
|
if val == "" {
|
|||
|
|
return 0, nil
|
|||
|
|
}
|
|||
|
|
var version int64
|
|||
|
|
_, err = fmt.Sscanf(val, "%d", &version)
|
|||
|
|
return version, err
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// IsTokenVersionValid 檢查 Token 版本是否有效
|
|||
|
|
// tokenVersion: Token 內嵌的版本號
|
|||
|
|
// 如果 currentVersion > tokenVersion，表示 Token 已被撤銷
|
|||
|
|
func (b *TokenBlacklist) IsTokenVersionValid(ctx context.Context, userID string, tokenVersion int64) (bool, error) {
|
|||
|
|
currentVersion, err := b.GetUserTokenVersion(ctx, userID)
|
|||
|
|
if err != nil {
|
|||
|
|
return false, err
|
|||
|
|
}
|
|||
|
|
// 如果沒有設置版本，或 Token 版本 >= 當前版本，則有效
|
|||
|
|
return currentVersion == 0 || tokenVersion >= currentVersion, nil
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
// ==================== Key 生成 ====================
|
|||
|
|
|
|||
|
|
func (b *TokenBlacklist) tokenKey(jti string) string {
|
|||
|
|
return b.prefix + "token:" + jti
|
|||
|
|
}
|
|||
|
|
|
|||
|
|
func (b *TokenBlacklist) userVersionKey(userID string) string {
|
|||
|
|
return b.prefix + "user_version:" + userID
|
|||
|
|
}
|