[Bug]: key 不允许登陆 web 面板的设置无效

[AptS-1547]

检查清单

• 我已经搜索了现有的 issues，没有发现重复的问题
• 我已经查看了文档和 FAQ
• 我已经提供了足够的信息来重现这个问题

优先级

关键 - 阻碍了基本使用

贡献意愿

• 我愿意尝试实现这个功能
• 我可以提供测试和反馈
• 我可以帮助编写文档

[ding113]

@claude

[claude]

Claude finished @ding113's task —— View job • claude/issue-3-20251027-1511 • Create PR ➔

---

调查 Bug：key 不允许登陆 web 面板的设置无效 ✅

任务清单

• 分析认证流程，找到 web 面板登录逻辑
• 查找 key 设置中关于 web 面板访问权限的字段
• 定位 bug 原因
• 修复 bug
• 提交代码并提供 PR 链接

Bug 分析

问题根源：

1. 登录接口 (/api/auth/login) 正确检查了 canLoginWebUi 权限
2. 但中间件 (src/middleware.ts) 只检查 cookie 是否存在，没有重新验证 key 的权限
3. 这导致：如果用户在 canLoginWebUi=true 时登录，管理员后续修改为 false，用户仍然可以继续访问 dashboard（直到 cookie 7 天后过期）

修复方案

在 src/middleware.ts 中：

• 新增调用 validateKey() 来验证 key 的完整权限
• 包括 canLoginWebUi、isEnabled、expiresAt 等所有检查
• 如果验证失败，自动清除 cookie 并重定向到登录页

修复效果

修复后的行为：

• ✅ 用户登录时检查 canLoginWebUi 权限（原本就有）
• ✅ 用户每次访问 dashboard 时重新验证权限（新增）
• ✅ 管理员修改 canLoginWebUi=false 后，用户立即失去访问权限
• ✅ 同时也确保了 isEnabled 和 expiresAt 等其他权限的实时性

额外收益

这个修复同时解决了其他相关问题：

• Key 被禁用（isEnabled=false）时，用户会立即被登出
• Key 过期（expiresAt）时，用户会立即被登出
• 不需要等待 7 天 cookie 过期

---

[claude]

Claude encountered an error —— View job

---

I'll analyze this and get back to you.