Upload 20 files

requirements.txt

@@ -12,4 +12,6 @@ httpx==0.25.2
 python-alipay-sdk==3.1.0
 aiofiles==23.2.1
 # 🚀 P2优化：速率限制
-slowapi==0.1.9
+slowapi==0.1.9
+# 🔒 P0安全增强：bcrypt密码哈希
+bcrypt==4.1.2

verify_code_engine.py

@@ -15,6 +15,8 @@ import urllib.request
 import urllib.parse
 import base64
 
+from fastapi import HTTPException
+
 # ==========================================
 # 验证码内存缓存 (全局共享字典)
 # ==========================================
@@ -23,14 +25,37 @@ import base64
 # 注意：服务重启后缓存会清空，生产环境建议改用 Redis
 VERIFY_CODES = {}
 
+# 🔒 发送频率限制配置
+SEND_COOLDOWN = {}  # {contact: last_send_timestamp}
+COOLDOWN_SECONDS = 60  # 同一联系方式60秒内最多发送1条验证码
+
 # 🚀 P1性能优化：记录上次清理时间，避免频繁清理
 _last_cleanup_time = 0
 _CLEANUP_INTERVAL = 300  # 5分钟清理一次
 
 
+def check_send_cooldown(contact: str):
+    """
+    🔒 检查发送频率限制
+    
+    作用：防止同一联系方式频繁发送验证码
+    参数：
+        - contact: 联系方式（邮箱或手机号）
+    抛出：
+        - HTTPException: 如果在冷却期内，返回429状态码
+    """
+    now = time.time()
+    last_send = SEND_COOLDOWN.get(contact, 0)
+    if now - last_send < COOLDOWN_SECONDS:
+        remaining = int(COOLDOWN_SECONDS - (now - last_send))
+        raise HTTPException(status_code=429, detail=f"请等待{remaining}秒后再发送验证码")
+    SEND_COOLDOWN[contact] = now
+
+
 def cleanup_expired_codes():
     """
     🚀 P1性能优化：清理过期验证码，防止内存泄漏
+    🔒 同时清理过期的发送频率限制记录
     """
     global _last_cleanup_time
     now = time.time()
@@ -41,7 +66,7 @@ def cleanup_expired_codes():
     
     _last_cleanup_time = now
     
-    # 收集过期的键
+    # 收集过期的验证码键
     expired_keys = [
         key for key, data in VERIFY_CODES.items()
         if now > data.get("expires_at", data.get("expires", 0))
@@ -51,8 +76,17 @@ def cleanup_expired_codes():
     for key in expired_keys:
         del VERIFY_CODES[key]
     
-    if expired_keys:
-        print(f"🧹 已清理 {len(expired_keys)} 个过期验证码，当前缓存: {len(VERIFY_CODES)} 条")
+    # 🔒 清理过期的发送频率限制记录，防止内存泄漏
+    expired_cooldown_contacts = [
+        contact for contact, last_send in SEND_COOLDOWN.items()
+        if now - last_send >= COOLDOWN_SECONDS
+    ]
+    for contact in expired_cooldown_contacts:
+        del SEND_COOLDOWN[contact]
+    
+    total_cleaned = len(expired_keys) + len(expired_cooldown_contacts)
+    if total_cleaned > 0:
+        print(f"🧹 已清理 {len(expired_keys)} 个过期验证码，{len(expired_cooldown_contacts)} 个过期冷却记录，当前缓存: {len(VERIFY_CODES)} 条验证码，{len(SEND_COOLDOWN)} 条冷却记录")
 
 
 def send_email_code(to_email: str, code: str, action: str):
@@ -87,7 +121,7 @@ def send_email_code(to_email: str, code: str, action: str):
             <p>您好，</p>
             <p>您正在请求<strong>{action_str}</strong>，您的验证码是：</p>
             <div style="font-size:24px; font-weight:bold; color:#2196F3; background:#e3f2fd; padding:15px; text-align:center; border-radius:6px; letter-spacing: 5px;">{code}</div>
-            <p style="color:#888; font-size:12px; margin-top:20px;">该验证码在 10 分钟内有效。如非本人操作，请忽略此邮件。</p>
+            <p style="color:#888; font-size:12px; margin-top:20px;">该验证码在 5 分钟内有效。如非本人操作，请忽略此邮件。</p>
         </div>
     </div>
     """
@@ -139,7 +173,7 @@ def send_sms_code(phone: str, code: str, action: str):
         from_phone = os.environ.get("TWILIO_FROM")
         
         # 构建短信内容
-        body = f"【ComfyUI社区】您正在请求{action_str}，验证码是：{code}，10分钟内有效。"
+        body = f"【ComfyUI社区】您正在请求{action_str}，验证码是：{code}，5分钟内有效。"
         url = f"https://api.twilio.com/2010-04-01/Accounts/{twilio_sid}/Messages.json"
         
         # Twilio 使用 Basic Auth 认证

安全认证.py

@@ -18,6 +18,9 @@ import time
 from typing import Optional, Tuple
 from fastapi import HTTPException, Header
 
+# 🔒 P0安全增强：引入bcrypt进行密码哈希
+import bcrypt
+
 
 # ==========================================
 # 🔑 安全密钥配置
@@ -40,29 +43,25 @@ TOKEN_EXPIRE_SECONDS = 7 * 24 * 60 * 60
 
 def hash_password(password: str) -> str:
     """
-    将明文密码转换为 SHA256 哈希值
+    使用bcrypt哈希密码（内置唯一盐值）
     
     参数：
         password: 用户输入的明文密码
         
     返回：
-        64位十六进制哈希字符串
+        bcrypt哈希字符串（以$2b$开头，长度60）
         
-    示例：
-        hash_password("123456") -> "a8f5f167f44f..."
+    说明：
+        - 使用bcrypt算法，自动处理盐值
+        - rounds=12提供足够的安全性
+        - 每个密码哈希都是唯一的
     """
-    # 加盐：盐值 + 密码，防止彩虹表攻击
-    salted_password = f"{PASSWORD_SALT}{password}"
-    
-    # SHA256 哈希
-    hash_obj = hashlib.sha256(salted_password.encode("utf-8"))
-    
-    return hash_obj.hexdigest()
+    return bcrypt.hashpw(password.encode('utf-8'), bcrypt.gensalt(rounds=12)).decode('utf-8')
 
 
 def verify_password(plain_password: str, hashed_password: str) -> bool:
     """
-    验证明文密码是否与哈希值匹配
+    验证密码，兼容旧版SHA256和新版bcrypt
     
     参数：
         plain_password: 用户输入的明文密码
@@ -70,15 +69,26 @@ def verify_password(plain_password: str, hashed_password: str) -> bool:
         
     返回：
         True 匹配 / False 不匹配
+        
+    兼容逻辑：
+        - bcrypt哈希以'$2b$'或'$2a$'开头，长度60
+        - 旧版SHA256哈希为64位十六进制字符串
     """
-    return hash_password(plain_password) == hashed_password
+    # 检查是否为bcrypt格式
+    if hashed_password.startswith('$2b$') or hashed_password.startswith('$2a$'):
+        return bcrypt.checkpw(plain_password.encode('utf-8'), hashed_password.encode('utf-8'))
+    else:
+        # 兼容旧版SHA256哈希（长度64的十六进制字符串）
+        salted = f"{PASSWORD_SALT}{plain_password}"
+        old_hash = hashlib.sha256(salted.encode("utf-8")).hexdigest()
+        return old_hash == hashed_password
 
 
 def require_password_match(stored_password: str, input_password: str) -> bool:
     """
-    统一的密码验证逻辑
+    统一密码验证，支持bcrypt和旧版SHA256
     
-    作用：封装密码验证逻辑，统一处理旧版未迁移密码的情况
+    作用：封装密码验证逻辑，兼容新旧密码格式
     
     参数：
         stored_password: 数据库中存储的密码（哈希值）
@@ -88,19 +98,17 @@ def require_password_match(stored_password: str, input_password: str) -> bool:
         True 密码匹配
         
     异常：
-        HTTPException 401: 旧版未迁移密码，需要重置
+        HTTPException 401: 密码为空或密码错误
         
     使用场景：
         - 用户登录时验证密码
         - 敏感操作前验证当前密码
     """
-    if len(stored_password) != 64:
-        # 旧版未迁移的密码，拒绝验证并提示重置
-        raise HTTPException(
-            status_code=401, 
-            detail="您的账户需要重置密码以完成安全升级，请使用「忘记密码」功能"
-        )
-    return verify_password(input_password, stored_password)
+    if not stored_password:
+        raise HTTPException(status_code=401, detail="需要重置密码")
+    if not verify_password(input_password, stored_password):
+        raise HTTPException(status_code=401, detail="密码错误")
+    return True
 
 
 # ==========================================