fix: 修复 PASETO 密钥派生不确定性和 scope 计算问题 (#28)

Author: heliannuuthus

aegis/config/config.go

@@ -477,7 +477,7 @@ const (
 	DefaultAegisSSOCookieName = "aegis-sso"        // SSO Cookie 默认名称
 )
 
-// GetSSOMasterKey 获取 SSO master key（Base64URL 编码的 32 字节密钥）
+// GetSSOMasterKey 获取 SSO master key（Base64URL 编码的 48 字节 seed: 16-byte salt + 32-byte key）
 // 未配置时返回 nil, nil；配置了但格式错误时返回 nil, error
 func GetSSOMasterKey() ([]byte, error) {
 	secretStr := Cfg().GetString("sso.master-key")
@@ -488,8 +488,8 @@ func GetSSOMasterKey() ([]byte, error) {
 	if err != nil {
 		return nil, fmt.Errorf("decode sso master key: %w", err)
 	}
-	if len(secretBytes) != 32 {
-		return nil, fmt.Errorf("sso master key must be 32 bytes, got %d", len(secretBytes))
+	if len(secretBytes) != 48 {
+		return nil, fmt.Errorf("sso master key must be 48 bytes, got %d", len(secretBytes))
 	}
 	return secretBytes, nil
 }

aegis/consts.go

@@ -1,6 +1,8 @@
 package aegis
 
-// ==================== HTTP 常量 ====================
+import "errors"
+
+// ==================== 常量 ====================
 
 const (
 	HeaderAuthorization = "Authorization" // Authorization 请求头
@@ -11,4 +13,12 @@ const (
 
 	// Gin Context Key
 	ContextKeyUser = "user" // 用户 Token 在 Gin Context 中的 key
+
+	// Cookie
+	AuthSessionCookie = "aegis-session" // Auth 会话 Cookie 名称
 )
+
+// ==================== 哨兵错误 ====================
+
+// errIdentifiedUser 内部哨兵错误：resolveUser 识别到已有用户，需前端确认关联
+var errIdentifiedUser = errors.New("identified existing user")