snowy-yang
698a5e497a
feat: 用户名登录——一账号一个牧场，登录后改 URL 也进不了别人的档
多用户之前是「知道牧场名就能玩」：?farm=boss 直接进别人家里。
现在网页端用用户名登录（用户选择：不设密码、一账号一个牧场，
用户名即身份——互信小圈子模型，防的是随手改 URL，不是蓄意攻击）。
* 新增 farm/server/auth.py：HMAC-SHA256 签名的 HttpOnly Cookie
（sf_auth，30 天，恒时比较防篡改）。密钥存 <save_dir>/secret.key，
重启不掉线，也不用建表存 token。
* app.py 三个认 ?farm= 的地方（session_of / SSE / POST /api/farms）
统一规则：有 Cookie 强制本人的牧场（?farm=/X-Farm-Id 被忽略），
无 Cookie 保持旧语义——bot/TUI/CLI 脚本零改动照常工作。
* 新路由：POST /api/login（全局 token 照常把它挡在门外）、
POST /api/logout、GET /api/me（刻意不 guard：首屏只问"登录没"）。
* 网页：移除牧场名输入框，改为登录遮罩 + 用户徽章 + 退出按钮；
首屏先 whoami() 再决定连接还是弹登录。
测试 +13：Cookie 伪造/过期/跨密钥/垃圾串/非法用户名/密钥跨重启复用/
session_of 优先级（starlette Request 用 scope dict 直接构造，不需要
httpx）9 项纯逻辑档 + 4 项 TestClient 档。528 项 OK（skip 39）。
真机验收 16/16：登录/HttpOnly/?farm= 被忽略/动作落自己牧场/篡改
退回未登录/退出/非法名 400；跨重启 Cookie 仍有效且进度保留。
2026-09-23 21:20:25 +08:00
..
2026-09-19 17:02:33 +08:00
2026-09-19 17:02:33 +08:00
2026-09-19 12:55:45 +08:00
2026-09-19 19:04:30 +08:00
2026-09-23 21:20:25 +08:00
2026-09-19 19:04:30 +08:00