WorkBuddy
ca0db57f24
- 同步版本号：VERSION / backend pom / admin-web / miniapp 均升至 1.1.0 - 合并本轮代码审查修复（详见 docs/CODE-REVIEW-2026-09-24.md）： - 后端：微信登录真实实现 RealWechatLoginProvider、实名核验真实实现 RealIdentityVerificationProvider（本地强校验 + 可配置第三方 + fail-closed/fail-fast） - 照片直传落库端点 POST /me/photos/confirm（fileKey 归属校验 + 对象存在性校验后 savePhoto） - 刷新 Token Redis TTL 修正（getExpirationMs()*2 的 4h → refreshExpirationMs 的 14 天） - 管理端 token 改为 HttpOnly Cookie + silent-refresh，移除 localStorage 明文存储与 30+ 处手工注入 - 小程序：红娘接单鉴权头错位修复、serviceType 中文映射、生产域名可配置 - 隔离本地产物（.workbuddy/、*.bundle、*.dump、secrets、application-dev.yml 等已被 .gitignore 覆盖） 未验证项（打标签 ≠ 生产发布）： - 后端编译 / 单测未在本环境执行（Maven 慢、Docker DNS 受限） - 管理端 登录→刷新→登出 端到端、小程序真机走查待人工验收 - 生产部署需注入 WECHAT_APP_ID / WECHAT_APP_SECRET、VERIFICATION_API_URL / VERIFICATION_API_KEY 与小程序生产域名
41 lines
1.4 KiB
YAML
41 lines
1.4 KiB
YAML
logging:
|
|
level:
|
|
com.danyang.match.platform: INFO
|
|
org.mybatis: WARN
|
|
|
|
springdoc:
|
|
api-docs:
|
|
enabled: false
|
|
swagger-ui:
|
|
enabled: false
|
|
|
|
spring:
|
|
security:
|
|
user:
|
|
name: disabled
|
|
password: ${SPRING_SECURITY_FALLBACK_PASSWORD}
|
|
|
|
# 微信登录：生产必须显式启用真实实现（wechat.login.provider=real）。
|
|
# 未配置时本地默认走 Mock；生产若漏配此行，RealWechatLoginProvider 不会激活、
|
|
# MockWechatLoginProvider 又因 havingValue=mock 不匹配 → 无 WechatLoginProvider Bean，启动即失败（fail-fast，不悄悄放行任意 code）。
|
|
wechat:
|
|
login:
|
|
provider: real
|
|
app-id: ${WECHAT_APP_ID}
|
|
app-secret: ${WECHAT_APP_SECRET}
|
|
|
|
# 实名核验：生产必须显式启用真实实现（identity.verification.provider=real）。
|
|
# 未配置时本地默认走 Mock；生产若漏配此行，RealIdentityVerificationProvider 不会激活、
|
|
# MockIdentityVerificationProvider 又因 havingValue=mock 不匹配 → 无 IdentityVerificationProvider Bean，启动即失败（fail-fast，不悄悄放行任意证件）。
|
|
# 真实核验还需配置第三方核验服务地址与密钥（缺失则核验请求 fail-fast）。
|
|
identity:
|
|
verification:
|
|
provider: real
|
|
real:
|
|
api-url: ${VERIFICATION_API_URL:}
|
|
api-key: ${VERIFICATION_API_KEY:}
|
|
|
|
# 管理端鉴权 Cookie：生产走 https，开启 Secure 标志（HttpOnly + SameSite=Lax 始终生效）
|
|
app:
|
|
auth-cookie-secure: true
|