01
登录与权限
需求
系统部署在公司内网,要区分管理员和销售,并防止未登录访问。
逻辑
- 用户名 + 密码登录;密码以加盐 PBKDF2 哈希存储、不存明文,登录成功发放有效期 7 天的会话 Cookie。main.py:88
- 所有 /api/ 请求经中间件鉴权:未登录返回 401;销售只能读(GET),新增/修改等写操作仅管理员可执行。main.py:72
- 防暴力破解:同一用户名 15 分钟内输错 5 次密码,锁定 15 分钟。
- 首次启动自动创建 admin 账号。