06 - 认证鉴权#

HTTP Request
    │
    │  Header: authorization: {token}
    ▼
┌────────────────────────────────────────────────────┐
│ RefreshTokenInterceptor (order=0, 匹配 /**)        │
│                                                    │
│  1. 从请求头获取 token                              │
│  2. 无 token → 放行(不设 UserHolder)               │
│  3. 有 token → Redis HGETALL login:token:{token}   │
│  4. 无数据 → 放行                                   │
│  5. 有数据 → Map → UserDTO → UserHolder.saveUser() │
│  6. 刷新 token TTL (36000 min)                     │
│  7. 放行                                           │
│                                                    │
│  afterCompletion: UserHolder.removeUser()           │
└────────────────────┬───────────────────────────────┘
                     │
                     ▼
┌────────────────────────────────────────────────────┐
│ LoginInterceptor (order=1, 排除公开路径)             │
│                                                    │
│  排除: /shop/** /voucher/** /shop-type/**          │
│        /upload/** /blog/hot /user/code /user/login │
│                                                    │
│  1. 检查 UserHolder.getUser()                      │
│  2. null → 返回 401                                │
│  3. 非 null → 放行                                  │
└────────────────────────────────────────────────────┘

@Override
public boolean preHandle(HttpServletRequest request, ...) {
    // 1. 获取 token
    String token = request.getHeader("authorization");
    if (StrUtil.isBlank(token)) {
        return true;  // 无 token → 放行, 让 LoginInterceptor 决定
    }

    // 2. 从 Redis Hash 获取用户数据
    String key = LOGIN_USER_KEY + token;  // login:token:{token}
    Map<Object, Object> userMap = stringRedisTemplate.opsForHash().entries(key);
    if (userMap.isEmpty()) {
        return true;  // token 过期或无效
    }

    // 3. Map → UserDTO → ThreadLocal
    UserDTO userDTO = BeanUtil.fillBeanWithMap(userMap, new UserDTO(), false);
    UserHolder.saveUser(userDTO);

    // 4. 刷新 token TTL
    stringRedisTemplate.expire(key, LOGIN_USER_TTL, TimeUnit.MINUTES);
    // LOGIN_USER_TTL = 36000L, 单位 MINUTES → 36000 分钟 = 600 小时 = 25 天
    return true;
}

@Override
public void afterCompletion(...) {
    UserHolder.removeUser();  // 清理 ThreadLocal, 防止内存泄漏
}

// ========== 发送验证码 ==========
public Result sendCode(String phone, HttpSession session, HttpServletRequest request) {
    // 1. 校验手机号格式
    if (RegexUtils.isPhoneInvalid(phone)) {
        return Result.fail("手机号格式错误！");
    }

    // 2. 三层限流防刷
    // 2.1 锁: 1分钟内不能重复发送
    String phoneGetCodeLock = stringRedisTemplate.opsForValue()
            .get(GET_CODE_LOCK + phone);
    if (phoneGetCodeLock != null) {
        return Result.fail("获取验证码过快，请稍后重试！");
    }

    // 2.2 手机号黑名单: 400次/24h
    String blacklistPhoneCount = stringRedisTemplate.opsForValue()
            .get(GET_CODE_BLACKLIST_PHONE + phone);
    int getCodePhoneCount = (blacklistPhoneCount != null) ?
            Integer.parseInt(blacklistPhoneCount) : 0;
    if (getCodePhoneCount >= 400) {
        return Result.fail("该手机号已被限制！");
    }

    // 2.3 IP黑名单: 300次/24h
    String blacklistIpAddrCount = stringRedisTemplate.opsForValue()
            .get(GET_CODE_BLACKLIST_IP_ADDR + clientIpAddr);
    int getCodeIpAddrCount = (blacklistIpAddrCount != null) ?
            Integer.parseInt(blacklistIpAddrCount) : 0;
    if (getCodeIpAddrCount >= 300) {
        return Result.fail("您的IP已被限制！");
    }

    // 3. 更新限流计数器
    stringRedisTemplate.opsForValue().set(
        GET_CODE_BLACKLIST_PHONE + phone,
        String.valueOf(getCodePhoneCount + 1),
        REFRESH_BLACKLIST_TTL, TimeUnit.HOURS);  // 24小时
    stringRedisTemplate.opsForValue().set(
        GET_CODE_LOCK + phone, "1",
        GET_CODE_LOCK_TTL, TimeUnit.MINUTES);    // 1分钟

    // 4. 生成验证码
    String code = "123123"; // ⚠️ 硬编码! 开发遗留

    // 5. 存入 Redis (2分钟过期)
    stringRedisTemplate.opsForValue().set(
        LOGIN_CODE_KEY + phone, code,
        LOGIN_CODE_TTL, TimeUnit.MINUTES);

    return Result.ok();
}

// ========== 登录 ==========
public Result login(LoginFormDTO loginForm, HttpSession session) {
    // 1. 校验手机号
    // 2. 校验验证码 (Redis 中存的 vs 用户输入的)
    String cacheCode = stringRedisTemplate.opsForValue()
            .get(LOGIN_CODE_KEY + phone);
    if (cacheCode == null || !cacheCode.equals(code)) {
        return Result.fail("验证码错误");
    }

    // 3. 查询或创建用户
    User user = query().eq("phone", phone).one();
    if (user == null) {
        user = createUserWithPhone(phone);
    }

    // 4. 生成 Token → 存入 Redis Hash
    String token = UUID.randomUUID().toString(true);
    UserDTO userDTO = BeanUtil.copyProperties(user, UserDTO.class);
    Map<String, Object> userMap = BeanUtil.beanToMap(userDTO, ...);

    String tokenKey = LOGIN_USER_KEY + token;
    stringRedisTemplate.opsForHash().putAll(tokenKey, userMap);
    stringRedisTemplate.expire(tokenKey, LOGIN_USER_TTL, TimeUnit.HOURS);
    // ⚠️ 注意: 这里用 TimeUnit.HOURS, 而 RefreshTokenInterceptor 用 MINUTES

    return Result.ok(token);
}

// 签到
public Result sign() {
    Long userId = UserHolder.getUser().getId();
    LocalDateTime now = LocalDateTime.now();
    String key = USER_SIGN_KEY + userId +
            now.format(DateTimeFormatter.ofPattern(":yyyyMM"));
    int dayOfMonth = now.getDayOfMonth();
    // SETBIT sign:{userId}:202403 14 1  (第15天签到)
    stringRedisTemplate.opsForValue().setBit(key, dayOfMonth - 1, true);
    return Result.ok();
}

// 统计连续签到天数
public Result signCount() {
    // BITFIELD sign:{userId}:202403 GET u15 0
    // 获取从第0位开始的15个位(本月前15天的签到记录)
    List<Long> result = stringRedisTemplate.opsForValue().bitField(
            key,
            BitFieldSubCommands.create()
                .get(BitFieldSubCommands.BitFieldType.unsigned(dayOfMonth))
                .valueAt(0)
    );
    Long num = result.get(0);

    // 从最低位开始数连续的1
    int count = 0;
    while (true) {
        if ((num & 1) == 0) break;  // 遇到0停止
        count++;
        num >>>= 1;  // 无符号右移
    }
    return Result.ok(count);
}