初始化

缺陷：主题配色需要优化整体的同风格

config/nl.php

@@ -23,6 +23,29 @@ return [
      */
     'jwt' => [
         'secret' => env('JWT_SECRET', 'nl_admin_jwt_secret_key_change_me_32b'),
+        // token 过期后仍允许续签的宽限期，超过就必须重新登录
+        'refresh_ttl' => (int) env('JWT_REFRESH_TTL', 7 * 24 * 3600),
+    ],
+    /*
+     * 小程序端
+     */
+    'wx' => [
+        // 小程序不像浏览器那样会主动续签，token 有效期给长一点，作废靠后台停用账号
+        'token_ttl' => (int) env('WX_TOKEN_TTL', 30 * 24 * 3600),
+        // 单品牌部署兜底：请求头 X-App-Code 为空时用这个 code 查 nl_wx_app
+        // 双品牌共用进程时仍以表 + 请求头分流为主，这里只是「没带头的默认值」
+        'default_app_code' => env('WX_DEFAULT_APP_CODE', ''),
+        // 库表无数据时回落用的 AppID（仅公开标识，AppSecret 仍必须从库里加密读）
+        'env_app_id' => env('WX_APP_ID', ''),
+        // 与 env_app_id 配套的品牌展示名（仅用于日志/默认记录），无业务影响
+        'env_app_name' => env('WX_APP_NAME', ''),
+    ],
+    /*
+     * 自助注册：后台管理端默认关闭，开着等于谁都能给自己开管理员账号
+     */
+    'register' => [
+        'enabled' => (bool) env('REGISTER_ENABLED', false),
+        'default_role_id' => (int) env('REGISTER_DEFAULT_ROLE_ID', 2),
     ],
     /*
      * 库内敏感字段 AES 密钥（密文前缀 nl_ase_256_，读取兼容历史 ***）
@@ -44,6 +67,8 @@ return [
         'phone' => 'nl_phone_',
         'login_out_key' => 'nl_login_out_',
         'menu_key' => 'nl_menu_',
+        // 角色权限码缓存前缀（key = 前缀 + roleId）
+        'permission_key' => 'nl_perm_',
         // 公众号 stable access_token 缓存前缀（key = 前缀 + appid，TTL 随微信 expires_in）
         'wechat_token' => 'nl_wechat_at_',
     ],
@@ -51,10 +76,39 @@ return [
      * api白名单
      */
     'api' => [
+        /*
+         * 免鉴权路径（不含 /api/ 前缀，中间件规范化后比较）
+         * 这里是「连 token 都不要求」的接口，注册在 routes/api.php 的免登录组里
+         */
         'white_list' => [
-            '/api/admin/login',
-            '/api/admin/register',
-        ]
+            'login',
+            'register',
+            'logout',
+            'refresh',
+            'sql/test-connection',
+            'sql/start-installation',
+        ],
+        /*
+         * 接口级权限
+         *   strict = true  未登记进 nl_api_endpoint 的接口一律拒绝（安全优先，上线前打开）
+         *   strict = false 未登记的接口放行，只拦已登记但未授权的（迁移期默认）
+         */
+        'permission' => [
+            'strict' => (bool) env('API_PERMISSION_STRICT', false),
+            // 登录后人人可调、不参与角色授权的接口
+            'always_allow' => [
+                'admin/codes',
+                'admin/menu',
+                'admin/my-info',
+                'admin/update-profile',
+                'admin/change-password',
+                'admin/login-log',
+                'admin/op-log',
+                'upload/image',
+                'upload/video',
+                'upload/file',
+            ],
+        ],
     ],
     /*
      * 阿里云oss配置