324 lines
11 KiB
Go
324 lines
11 KiB
Go
package middleware
|
||
|
||
import (
|
||
"fmt"
|
||
"log"
|
||
"os"
|
||
"strings"
|
||
"time"
|
||
|
||
"tcm-agent/internal/config"
|
||
|
||
"github.com/gin-gonic/gin"
|
||
"github.com/golang-jwt/jwt/v5"
|
||
)
|
||
|
||
// ========================================================================
|
||
// 全局中间件
|
||
// ========================================================================
|
||
// 包含：请求日志 / 跨域支持 / JWT 鉴权
|
||
// ========================================================================
|
||
|
||
// pollingPaths 面板轮询类端点集合（成功时不打请求日志）
|
||
//
|
||
// 为什么要跳过：/agent/view 面板每 2~5 秒轮询这些端点，每次轮询产生一行
|
||
// [HTTP] 日志——500 行的 MemLog 环形缓冲十几分钟就会被轮询噪音刷满，
|
||
// 真正的业务日志（enhance/守卫/LLM 调用）全被顶掉；
|
||
// 且「实时日志」页会看到自己轮询产生的日志（自激循环）。
|
||
// 只跳过 200 成功的轮询请求；出错（401/500 等）仍然照常记录，不丢排查线索
|
||
var pollingPaths = map[string]bool{
|
||
"/health": true,
|
||
"/api/v1/agent/logs": true,
|
||
"/api/v1/agent/runs": true,
|
||
"/api/v1/agent/stats": true,
|
||
"/api/v1/agent/system": true,
|
||
"/api/v1/agent/config": true,
|
||
"/api/v1/models/active-config": true,
|
||
"/api/v1/models/routes": true,
|
||
}
|
||
|
||
// Logger 请求日志中间件
|
||
//
|
||
// 记录每个请求的耗时、路径、状态码。
|
||
// 格式：[HTTP] GET /api/v1/emr/generate | 200 | 1.2s
|
||
// 面板轮询类 GET 端点成功时静默（见 pollingPaths 注释）
|
||
func Logger() gin.HandlerFunc {
|
||
return func(c *gin.Context) {
|
||
start := time.Now()
|
||
path := c.Request.URL.Path
|
||
method := c.Request.Method
|
||
|
||
c.Next()
|
||
|
||
latency := time.Since(start)
|
||
status := c.Writer.Status()
|
||
|
||
// 面板轮询成功请求不打日志，避免刷爆 MemLog 环形缓冲
|
||
if method == "GET" && status == 200 && pollingPaths[path] {
|
||
return
|
||
}
|
||
log.Printf("[HTTP] %s %s | %d | %v", method, path, status, latency)
|
||
}
|
||
}
|
||
|
||
// CORS 跨域中间件
|
||
//
|
||
// 允许前端（医生工作站、患者小程序）跨域调用 API。
|
||
// 生产环境应限制 Allow-Origin 为具体域名。
|
||
func CORS() gin.HandlerFunc {
|
||
return func(c *gin.Context) {
|
||
c.Header("Access-Control-Allow-Origin", "*")
|
||
c.Header("Access-Control-Allow-Methods", "GET, POST, PUT, DELETE, OPTIONS")
|
||
// X-KB-Admin-Password：KB 后台与 Agent 面板的共用口令头，跨域部署时预检需要放行
|
||
c.Header("Access-Control-Allow-Headers", "Origin, Content-Type, Authorization, X-KB-Admin-Password")
|
||
c.Header("Access-Control-Max-Age", "86400")
|
||
|
||
if c.Request.Method == "OPTIONS" {
|
||
c.AbortWithStatus(204)
|
||
return
|
||
}
|
||
c.Next()
|
||
}
|
||
}
|
||
|
||
// Auth 鉴权中间件（双轨制：JWT + 共享密钥）
|
||
//
|
||
// 校验顺序：
|
||
// 1. KB admin 路径：走 X-KB-Admin-Password（独立体系，互不干扰）
|
||
// 2. 健康检查 / 静态资源：直接放行
|
||
// 3. 业务 API（如 /api/v1/agent/enhance）：
|
||
// a) 无 Authorization 头：
|
||
// - SharedSecret 也为空 → 放行（纯内网开发模式）
|
||
// - SharedSecret 非空 → 401（必须带密钥）
|
||
// b) 有 Authorization 头（去掉 "Bearer " 前缀后）：
|
||
// - 路径 1：JWT 校验（JWTSecret 非空时启用，向后兼容小程序直连场景）
|
||
// - 路径 2：SharedSecret 字符串 == 比对（PHP 后台填一个值即可对接）
|
||
// - 路径 3：开发模式默认密钥（JWTSecret 为空时回落到硬编码开发密钥）
|
||
// - 三者任一通过即放行
|
||
//
|
||
// Token 注入 Context：
|
||
// - JWT 模式：user_id / user_role（来自 claims.sub / claims.role）
|
||
// - SharedSecret 模式：auth_mode = "shared_secret"
|
||
//
|
||
// 生产环境建议：
|
||
// - 必须设置 SharedSecret（config.Agent.SharedSecret 或 env AGENT_SHARED_SECRET）
|
||
// - 需要解析用户身份的场景额外设置 JWTSecret 并用 RS256 非对称签名
|
||
// - 密钥从环境变量或 KMS 读取，不要写死在 config.yaml
|
||
func Auth(cfg *config.Config) gin.HandlerFunc {
|
||
return func(c *gin.Context) {
|
||
path := c.Request.URL.Path
|
||
|
||
// /health 直接放行（健康检查，无需鉴权）
|
||
if path == "/health" {
|
||
c.Next()
|
||
return
|
||
}
|
||
|
||
// 管理前端登录接口放行：登录本身就是来换 token 的，不能先要求 token
|
||
if path == "/api/v1/auth/login" {
|
||
c.Next()
|
||
return
|
||
}
|
||
|
||
// /admin SPA 静态资源放行（HTML/JS/CSS 公开，无敏感数据；
|
||
// 页面里的数据请求仍走下方 JWT/口令鉴权）
|
||
if path == "/admin" || strings.HasPrefix(path, "/admin/") {
|
||
c.Next()
|
||
return
|
||
}
|
||
|
||
// 本地知识库后台（前端单页 + Admin API）：口令头 或 面板 JWT 双通道
|
||
// - 旧 KB 页 / 旧观测面板：X-KB-Admin-Password 口令头（原有体系，保留不动）
|
||
// - 新管理前端（/admin SPA）：登录后带 Bearer JWT
|
||
//
|
||
// 注意：/kb/view 静态资源本身不鉴权（HTML/JS 公开，无敏感数据）
|
||
// 只有 /api/v1/kb/admin/* 的 API 才校验
|
||
if strings.HasPrefix(path, "/api/v1/kb/admin/") {
|
||
expectedPwd := "qiqi991012" // 默认口令（生产环境必须在 config.yaml 覆盖）
|
||
if cfg != nil && cfg.KB.AdminPassword != "" {
|
||
expectedPwd = cfg.KB.AdminPassword
|
||
}
|
||
if c.GetHeader("X-KB-Admin-Password") == expectedPwd {
|
||
c.Set("auth_mode", "kb_admin")
|
||
c.Next()
|
||
return
|
||
}
|
||
// 口令没过：尝试面板 JWT（新前端路径）
|
||
if claims, ok := ValidateJWT(cfg, bearerFromHeader(c)); ok {
|
||
injectJWTClaims(c, claims)
|
||
c.Next()
|
||
return
|
||
}
|
||
c.JSON(401, gin.H{"code": 401, "message": "需要管理员口令或登录凭证"})
|
||
c.Abort()
|
||
return
|
||
}
|
||
|
||
// /kb/view 静态资源放行（HTML/JS/CSS 公开）
|
||
if path == "/kb/view" || strings.HasPrefix(path, "/kb/view/") {
|
||
c.Next()
|
||
return
|
||
}
|
||
|
||
// 观测面板静态页放行（HTML 本身无敏感数据；
|
||
// 页面调用的 /api/v1/agent/runs 等数据 API 仍走下方业务鉴权）
|
||
// "/" 是面板主入口，"/agent/view" 保留为兼容旧入口；
|
||
// /favicon.ico 放行：浏览器自动请求，被鉴权拦会产生 401 控制台噪音
|
||
if path == "/" || path == "/agent/view" || path == "/favicon.ico" {
|
||
c.Next()
|
||
return
|
||
}
|
||
|
||
// ---------- 面板共用口令通道（与 KB 页同一口令） ----------
|
||
// /agent/view 面板的所有数据请求带 X-KB-Admin-Password 头，
|
||
// 与 KB 管理口令比对通过即放行——运维只需记一个口令，两个面板通用。
|
||
// PHP 走的 Bearer SharedSecret 路径在下方原样保留，互不影响
|
||
if pwd := c.GetHeader("X-KB-Admin-Password"); pwd != "" {
|
||
expectedPwd := "qiqi991012" // 默认口令（生产环境必须在 config.yaml 覆盖）
|
||
if cfg != nil && cfg.KB.AdminPassword != "" {
|
||
expectedPwd = cfg.KB.AdminPassword
|
||
}
|
||
if pwd == expectedPwd {
|
||
c.Set("auth_mode", "kb_admin")
|
||
c.Next()
|
||
return
|
||
}
|
||
// 口令带了但不对：直接 401，让面板清缓存重新弹框
|
||
c.JSON(401, gin.H{"error": "口令错误"})
|
||
c.Abort()
|
||
return
|
||
}
|
||
|
||
// ====================================================================
|
||
// 业务 API 鉴权（双轨制：JWT + SharedSecret）
|
||
// ====================================================================
|
||
sharedSecret := ""
|
||
if cfg != nil {
|
||
sharedSecret = cfg.Agent.SharedSecret
|
||
}
|
||
|
||
tokenStr := c.GetHeader("Authorization")
|
||
// 无 Authorization 头：若 SharedSecret 也为空则放行（纯内网开发），否则 401
|
||
if tokenStr == "" {
|
||
if sharedSecret == "" {
|
||
c.Set("auth_mode", "dev_open")
|
||
c.Next()
|
||
return
|
||
}
|
||
c.JSON(401, gin.H{"error": "未提供认证 Token"})
|
||
c.Abort()
|
||
return
|
||
}
|
||
|
||
// 去掉 "Bearer " 前缀
|
||
bearer := tokenStr
|
||
if len(bearer) > 7 && bearer[:7] == "Bearer " {
|
||
bearer = bearer[7:]
|
||
}
|
||
|
||
// ---------- 路径 1：JWT 校验（面板登录 token / 小程序直连场景） ----------
|
||
if claims, ok := ValidateJWT(cfg, bearer); ok {
|
||
injectJWTClaims(c, claims)
|
||
c.Next()
|
||
return
|
||
}
|
||
// JWT 解析失败：继续尝试 SharedSecret 路径（可能是 PHP 端发来的简单密钥）
|
||
jwtSecret := getJWTSecret(cfg)
|
||
|
||
// ---------- 路径 2：SharedSecret 字符串比对（PHP 后台对接主路径） ----------
|
||
// PHP TcmAgentClient 把 ai_agent_secret 的值塞进 Bearer，
|
||
// 这里直接 == 比对，运维无需懂 JWT 也能配置
|
||
if sharedSecret != "" && bearer == sharedSecret {
|
||
c.Set("auth_mode", "shared_secret")
|
||
c.Next()
|
||
return
|
||
}
|
||
|
||
// ---------- 路径 3：开发模式默认密钥（仅 JWTSecret 为空时回落） ----------
|
||
// 保留原硬编码默认密钥兼容老调用方；生产环境 JWTSecret 必填，此分支不会触发
|
||
if jwtSecret == "tcm-agent-dev-secret-change-in-production" && bearer == jwtSecret {
|
||
c.Set("auth_mode", "dev_default")
|
||
c.Next()
|
||
return
|
||
}
|
||
|
||
// 三条路径全部失败：401
|
||
c.JSON(401, gin.H{"error": "Token 无效或密钥不匹配"})
|
||
c.Abort()
|
||
}
|
||
}
|
||
|
||
// getJWTSecret 获取 JWT 签名密钥
|
||
//
|
||
// 优先级：环境变量 > 配置文件（cfg.Agent.JWTSecret）> 默认值（仅开发用）
|
||
//
|
||
// 注意：默认值仅用于开发环境，生产环境必须通过 env AGENT_JWT_SECRET
|
||
// 或 config.yaml agent.jwt_secret 覆盖
|
||
func getJWTSecret(cfg *config.Config) string {
|
||
// 环境变量优先
|
||
if secret := os.Getenv("JWT_SECRET"); secret != "" {
|
||
return secret
|
||
}
|
||
// 配置文件（agent.jwt_secret）
|
||
if cfg != nil && cfg.Agent.JWTSecret != "" {
|
||
return cfg.Agent.JWTSecret
|
||
}
|
||
// 默认值（仅开发环境！生产环境必须修改）
|
||
return "tcm-agent-dev-secret-change-in-production"
|
||
}
|
||
|
||
// JWTSecret 导出 JWT 签名密钥的解析逻辑
|
||
//
|
||
// 为什么导出：auth_handler 签发登录 token 必须与本中间件用同一把密钥，
|
||
// 单点维护密钥优先级（env > yaml > 默认值），避免两处逻辑漂移
|
||
func JWTSecret(cfg *config.Config) string {
|
||
return getJWTSecret(cfg)
|
||
}
|
||
|
||
// bearerFromHeader 从 Authorization 头提取 Bearer token（无前缀时原样返回）
|
||
func bearerFromHeader(c *gin.Context) string {
|
||
tokenStr := c.GetHeader("Authorization")
|
||
if len(tokenStr) > 7 && tokenStr[:7] == "Bearer " {
|
||
return tokenStr[7:]
|
||
}
|
||
return tokenStr
|
||
}
|
||
|
||
// ValidateJWT 校验一个 JWT 字符串，返回 claims
|
||
//
|
||
// 供两处复用：
|
||
// - Auth 中间件的业务 API JWT 路径
|
||
// - /api/v1/kb/admin/* 的面板 JWT 通道
|
||
//
|
||
// 校验点：HMAC 签名算法 + 签名有效 +（jwt/v5 默认校验 exp 过期）
|
||
func ValidateJWT(cfg *config.Config, tokenStr string) (jwt.MapClaims, bool) {
|
||
if tokenStr == "" {
|
||
return nil, false
|
||
}
|
||
jwtSecret := getJWTSecret(cfg)
|
||
token, err := jwt.Parse(tokenStr, func(t *jwt.Token) (interface{}, error) {
|
||
if _, ok := t.Method.(*jwt.SigningMethodHMAC); !ok {
|
||
return nil, fmt.Errorf("非预期的签名算法: %v", t.Header["alg"])
|
||
}
|
||
return []byte(jwtSecret), nil
|
||
})
|
||
if err != nil || !token.Valid {
|
||
return nil, false
|
||
}
|
||
claims, ok := token.Claims.(jwt.MapClaims)
|
||
return claims, ok
|
||
}
|
||
|
||
// injectJWTClaims 把 JWT claims 中的用户信息注入 gin Context
|
||
//
|
||
// 下游 handler（如 /auth/profile、/auth/refresh）从 Context 读取身份
|
||
func injectJWTClaims(c *gin.Context, claims jwt.MapClaims) {
|
||
if sub, ok := claims["sub"].(string); ok {
|
||
c.Set("user_id", sub)
|
||
}
|
||
if role, ok := claims["role"].(string); ok {
|
||
c.Set("user_role", role)
|
||
}
|
||
c.Set("auth_mode", "jwt")
|
||
}
|