增加Shop API

Core/MAX.Framework/Security/README.md

@@ -1,34 +1,28 @@
-# 登录会话数据库存储
+# 数据库 Token 认证
 
-会话使用 `ConnectionStrings:DefaultConnection` 指定的 MySQL 数据库，表名 `auth_login_session`。
-FreeSql 初始化时仅同步此表结构；首次使用需要建表/索引权限。没有运行针对业务数据库的迁移或测试。
+部署前执行同目录 `user_tokens.sql`，在现有业务库 `wxxd` 中建立唯一的新表；应用不自动修改表结构。
+启动：`dotnet run --project Store.API/Store.Api.csproj`。宿主使用 `AddStoreHubTokenAuth`，管道继续使用 `UseAuthentication` / `UseAuthorization`。
 
-## 行为
+登录接口仍返回 `tokenType`、`token`、`expiresInMinutes`，可选传入 `deviceId`、`deviceName`（各最多 100 字符）。
+客户端按 `Authorization: Bearer {token}` 发送；Token 是 32 字节安全随机数的标准 Base64（44 字符），数据库仅存 SHA256 十六进制哈希。
+`expiresInMinutes` 表示签发时的闲置有效期；服务端使用滑动过期，客户端无需刷新令牌。
 
-- 每次登录插入独立的 `Jti` 主键，保存用户名、昵称、登录 IP、UTC 登录时间、UTC 到期时间和撤销时间。不存储完整 JWT。
-- 同账号可以同时登录。Logout 仅撤销当前 JWT 对应的会话；修改密码、禁用和删除账号等现有安全操作仍撤销该账号全部会话。
-- 每次认证查询数据库，只有会话未过期且未撤销才接受 JWT。保留现有有效期配置（当前 2880 分钟），不新增自动刷新。
-- 应用重启后，只要数据库记录、签名密钥、Issuer 和 Audience 保持一致，未过期且未撤销的 Token 可继续使用。
-- 从旧内存版本升级时，已有会话不能自动迁移，用户需要重新登录一次。
-- OnlineUsers 返回有效会话，包含 LoginIp；Count 是会话数，同账号可能有多条。它不代表浏览器仍然打开。现有授权规则保持不变；正式管理面板应按管理权限提供分页查询。
-- 退出和过期不删除记录，以便后续查询历史。后续可根据实际留存周期添加清理任务；本次没有无限查询历史的管理接口或面板。
+`TokenAuth` 默认配置：IdleDays=7、AbsoluteMaxDays=30、RenewIntervalMinutes=10、CacheSeconds=30、MaxDevicesPerUser=0。
+全部时间按 UTC 保存（DATETIME 不带时区）；每次使用达到续期间隔才条件更新到期时间，绝不超过创建时间加绝对期限。
+内存缓存使用固定到期时间，命中不会延长缓存寿命。缓存期间仍检查闲置及绝对期限。
 
-## IP 与代理
+每次登录创建新记录；相同非空 deviceId 会替换其旧记录。未提供 deviceId 的登录按独立设备计数。
+设备数为 0 时无限制，为 1 时单点登录，为 N 时保留最多 N 个有效会话，超限撤销最早的会话。
+签发在事务中锁定现有用户行，使多实例的并发登录也遵守数量限制。MySQL 业务用户表需使用 InnoDB。
+退出当前会话、修改密码后的全部会话撤销以及设备替换统一更新 Revoked 并清除当前实例缓存。
 
-IP 来自 HttpContext.Connection.RemoteIpAddress，不直接信任客户端提交的 X-Forwarded-For。
-若使用 Nginx、IIS 等代理，应按部署拓扑配置 ASP.NET Core ForwardedHeaders 和可信代理，在认证前运行；否则记录的可能是代理地址。
+多实例下其他实例最多延迟 CacheSeconds 秒获知撤销；要求每次查库时设置 CacheSeconds=0。
+用户信息在缓存未命中时从实际 `wxxd.user` 表读取 id/user_name/nick_name；当前用户表没有 IsEnabled 或 Role 字段，因此未假设这些字段或新增角色策略。
+数据库故障向上抛出，由宿主处理错误，认证不会在数据库不可用时绕过校验。
 
-## 数据库与 Redis
-
-当前仅需 MySQL，不需要 Redis。每次受保护请求会执行按主键索引的会话查询。
-未来实测认证查询成为瓶颈时可评估 Redis，但必须处理退出/禁用时的缓存失效，不能让缓存继续接受已经撤销的会话。
-Redis 自身重启的数据保留取决于 RDB/AOF 持久化与故障恢复配置；不能把默认内存缓存等同于可靠数据库记录。
-
-## 验证
-
-运行 `dotnet test Tests/Store.Security.Tests/Store.Security.Tests.csproj`。
-独立 SQLite 测试覆盖关闭/重建数据库连接后的令牌有效性、同账号多会话、IPv4/IPv6 留存、定向退出、撤销后的重启、全部撤销、会话过期和开发测试凭据。
-运行 `dotnet build Store.API/Store.Api.csproj` 构建 API。
-
-原 Store.Users.Tests 当前存在既有枚举类型及方法签名不匹配，不能整体编译；新增认证测试独立运行。
-生产 MySQL 建表及真实代理 IP 仍需部署环境验证。可使用代码审查进一步检查。
+切换后旧 JWT 失效，用户需要重新登录。旧 auth_login_session 表不再使用，保留供人工归档。
+开发固定凭据配置位于 `TokenAuth:DevelopmentToken`（Enabled、Token、UserName）：基础配置禁用，`appsettings.Development.json` 开启，仅 Development 环境生效。
+使用相同的 Bearer 请求头即可测试；固定凭据不查询数据库、不创建会话、不参与滑动过期和退出吊销。关闭 Enabled 或修改 Token 可使其失效。
+保留 AddStoreHubJwt 名称作为注册入口的兼容别名；JwtClaimTypes 仅保留现有声明字段名称。
+校验：`dotnet test Tests/Store.Security.Tests/Store.Security.Tests.csproj`，使用独立 SQLite 临时库，不连接业务 MySQL。
+测试涵盖重启持久化、滑动/绝对过期、设备限制、缓存撤销与开发凭据的环境限制；MySQL 行锁行为仍需部署环境验证。