lint:refs/heads/main

Author: github-actions[bot]

docs/杂项/网站/后端.md

@@ -1,65 +1,73 @@
 # 后端
 
-**前端:**
-
-* **主页检测登录状态:**
-  * 每次访问主页都进行检测
-  * 请求后端验证 cookie/token。
-  * 优化：`localStorage`/`sessionStorage` 缓存状态 (仅辅助，关键操作仍需后端验证)。
-  * 显示用户信息及注销选项。
-
-* **登录页:**
-  * 用户名/邮箱、密码、Remember Me (单选)。
-  * 明确错误提示 (如：用户名/密码格式错误)。
-  * 密码强度指示。
-  * “忘记密码” 链接。
-  * 输入用户名/邮箱的时候, 后端检测是否存在.
-  * 重定向到主页
-
-* **注册页:**
-  * 用户名、邮箱、密码、重复密码。
-  * 实时用户名/邮箱唯一性验证。
-  * 明确密码复杂度要求。
-  * 服务条款/隐私政策链接，并要求同意。
-  * 人机验证 (提交表单前)。
-  * 重定向到登录页
-
-* **log out:**
-  * 清除前端登录状态缓存。
-  * 重定向到主页。
-
-* **个人信息页：**
-  * 展示邮箱验证状态，未验证时显示按钮。
-  * log out 按钮
-
-**后端:**
-
-* **登录 (POST /api/auth/login):**
-  * 验证用户名/邮箱 & 密码 (bcrypt/scrypt/Argon2 + salt)。
-  * 错误：401 Unauthorized (区分用户不存在/密码错误, 但不直接暴露用户是否存在)。
-  * 成功：200 OK, 返回用户信息(用户ID，用户名，邮箱)，设置 Cookie:
-    * `HttpOnly: true`
-    * `Secure: true` (HTTPS 必须)
-    * `SameSite: Strict/Lax`
-    * 过期：Remember Me ? 1 个月 : 6 小时
-    * 速率限制 (防暴力破解)。
-    * 如果用户的邮箱未验证，提醒用户验证
-
-* **注册 (POST /api/auth/register):**
-  * 生成唯一 ID (UUID/雪花算法)。
-  * 检查用户名和邮箱是否已经被注册.
-  * 密码哈希 (同登录)。
-  * 数据库事务 (创建用户 & 发送邮件)。
-  * 生成验证链接，存入数据库/Redis (过期时间 10 分钟)。
-  * 发送验证邮件
-
-* **邮箱验证 (GET/POST /api/auth/verify-email):**
-  * 参数：链接。
-  * 查询数据库/Redis，链接匹配 & 未过期。
-  * 成功：更新用户状态为“已验证”，链接失效。
-  * 失败：返回错误信息。
-
-* **注销 (DELETE /api/auth/logout):**
-  * 清除 Cookie。
-
-* 采用 PostgreSQL 数据库。
+**前端：**
+
+- **主页检测登录状态：**
+
+  - 每次访问主页都进行检测
+  - 请求后端验证 cookie/token。
+  - 优化：`localStorage`/`sessionStorage` 缓存状态 (仅辅助，关键操作仍需后端验证)。
+  - 显示用户信息及注销选项。
+
+- **登录页：**
+
+  - 用户名/邮箱、密码、Remember Me (单选)。
+  - 明确错误提示 (如：用户名/密码格式错误)。
+  - 密码强度指示。
+  - “忘记密码”链接。
+  - 输入用户名/邮箱的时候，后端检测是否存在。
+  - 重定向到主页
+
+- **注册页：**
+
+  - 用户名、邮箱、密码、重复密码。
+  - 实时用户名/邮箱唯一性验证。
+  - 明确密码复杂度要求。
+  - 服务条款/隐私政策链接，并要求同意。
+  - 人机验证 (提交表单前)。
+  - 重定向到登录页
+
+- **log out:**
+
+  - 清除前端登录状态缓存。
+  - 重定向到主页。
+
+- **个人信息页：**
+  - 展示邮箱验证状态，未验证时显示按钮。
+  - log out 按钮
+
+**后端：**
+
+- **登录 (POST /api/auth/login):**
+
+  - 验证用户名/邮箱 & 密码 (bcrypt/scrypt/Argon2 + salt)。
+  - 错误：401 Unauthorized (区分用户不存在/密码错误，但不直接暴露用户是否存在)。
+  - 成功：200 OK, 返回用户信息 (用户 ID，用户名，邮箱)，设置 Cookie:
+    - `HttpOnly: true`
+    - `Secure: true` (HTTPS 必须)
+    - `SameSite: Strict/Lax`
+    - 过期：Remember Me ? 1 个月 : 6 小时
+    - 速率限制 (防暴力破解)。
+    - 如果用户的邮箱未验证，提醒用户验证
+
+- **注册 (POST /api/auth/register):**
+
+  - 生成唯一 ID (UUID/雪花算法)。
+  - 检查用户名和邮箱是否已经被注册。
+  - 密码哈希 (同登录)。
+  - 数据库事务 (创建用户 & 发送邮件)。
+  - 生成验证链接，存入数据库/Redis (过期时间 10 分钟)。
+  - 发送验证邮件
+
+- **邮箱验证 (GET/POST /api/auth/verify-email):**
+
+  - 参数：链接。
+  - 查询数据库/Redis，链接匹配 & 未过期。
+  - 成功：更新用户状态为“已验证”，链接失效。
+  - 失败：返回错误信息。
+
+- **注销 (DELETE /api/auth/logout):**
+
+  - 清除 Cookie。
+
+- 采用 PostgreSQL 数据库。