weicw1996/hjc-web
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

feat(tender): 登录加图形验证码、注册加短信验证码；改按 body.code 判定 401/403

Browse Source 
- 新增 captcha / sms / logout 三个 Nuxt server 代理
- 修复代理把 ApiResult 拍扁成 data 的问题（my-orders、enterprise、order、pay、
  mark-paid）：登录态失败被前端当成「没有订单 / 未提交资质」，无法区分
- 新增 handleAuthCode 统一处理：401 → 清凭据并跳 /login?redirect=…；
  403 → 只提示「没有访问权限」，不清 token、不跳登录页
- 登录页与注册页分别接入图形验证码与短信验证码（含 60s 倒计时）
- 修复回跳开放重定向：redirect 参数安全解码且只接受站内路径
  （拒绝 //evil.com、https://… 及反斜杠变体 /\evil.com）
- 下单成功但发起支付失败时停在支付步，避免用户重提交产生重复订单
This commit is contained in:
weicw1996@qq.com
2026-09-10 23:44:19 +08:00
parent 5e7372d0c7
commit d0c2dd17cb
15 changed files with 485 additions and 49 deletions
Download Patch File Download Diff File Expand all files Collapse all files
server/api/tender/captcha.get.ts
+32
View File
@@ -0,0 +1,32 @@
import { $fetch } from 'ofetch'
import { createError, defineEventHandler } from 'h3'
import { useRuntimeConfig } from '#imports'
import { getTenantFromContext } from '../../utils/tenant'
/**
* 图形验证码（登录用）
* GET /api/tender/captcha
* 代理到 mp-api /api/hjc/auth/captcha；匿名可访问。
*
* 约定：mp-api 原样透传 ApiResult{code,message,data}，
* data = { image: 'data:image/png;base64,...' }。<b>后端刻意不下发答案</b>，
* 必须把图片显示给用户肉眼识别后输入，前端不得（也无法）自行校验答案。
*/
export default defineEventHandler(async (event) => {
const config = useRuntimeConfig()
const ctx = getTenantFromContext(event, config)
try {
return await $fetch('/hjc/auth/captcha', {
baseURL: config.public.modulesApiBase,
method: 'GET',
headers: { TenantId: ctx.tenantId },
query: { TenantId: ctx.tenantId }
})
} catch (error: any) {
throw createError({
statusCode: error?.statusCode || error?.response?.status || 502,
statusMessage: error?.data?.message || error?.statusMessage || 'Failed to fetch captcha'
})
}
})
server/api/tender/enterprise.get.ts
+6 -4
View File
@@ -7,6 +7,10 @@ import { getTenantFromContext } from '../../utils/tenant'
* 我的企业资质（含证件材料）
* GET /api/tender/enterprise
* 代理到 mp-api /api/hjc/enterprise/my；需登录态。
*
* 约定：原样透传 ApiResult{code,message,data}。HTTP 状态码恒为 200，
* 「未登录/token 失效」是 code=401、「无权限」是 code=403，前端必须按 code 判定；
* 故这里**不能**只取 data，否则登录态失败会被误当成「未提交资质」。
*/
export default defineEventHandler(async (event) => {
const config = useRuntimeConfig()
@@ -15,16 +19,14 @@ export default defineEventHandler(async (event) => {
const auth = getHeader(event, 'authorization') || (cookieToken ? `Bearer ${cookieToken}` : null)
try {
const res = await $fetch('/hjc/enterprise/my', {
return await $fetch('/hjc/enterprise/my', {
baseURL: config.public.modulesApiBase,
headers: {
TenantId: ctx.tenantId,
...(auth ? { Authorization: auth } : {})
},
query: { TenantId: ctx.tenantId }
}) as any
const data = res && res.data !== undefined ? res.data : res
return data
})
} catch (error: any) {
throw createError({
statusCode: error?.statusCode || error?.response?.status || 502,
server/api/tender/logout.post.ts
+36
View File
@@ -0,0 +1,36 @@
import { $fetch } from 'ofetch'
import { createError, defineEventHandler, getHeader, getCookie } from 'h3'
import { useRuntimeConfig } from '#imports'
import { getTenantFromContext } from '../../utils/tenant'
/**
* 退出登录
* POST /api/tender/logout
* 代理到 mp-api /api/hjc/auth/logout。
*
* 说明：后端不维护服务端会话与 token 黑名单（token 是无状态 JWT），
* 调用本接口只为契约完整；<b>前端清本地凭据才是真正生效的退出</b>。
*/
export default defineEventHandler(async (event) => {
const config = useRuntimeConfig()
const ctx = getTenantFromContext(event, config)
const cookieToken = getCookie(event, 'hjc_token')
const auth = getHeader(event, 'authorization') || (cookieToken ? `Bearer ${cookieToken}` : null)
try {
return await $fetch('/hjc/auth/logout', {
baseURL: config.public.modulesApiBase,
method: 'POST',
headers: {
TenantId: ctx.tenantId,
...(auth ? { Authorization: auth } : {})
},
query: { TenantId: ctx.tenantId }
})
} catch (error: any) {
throw createError({
statusCode: error?.statusCode || error?.response?.status || 502,
statusMessage: error?.data?.message || error?.statusMessage || 'Failed to logout'
})
}
})
server/api/tender/mark-paid.put.ts
+4 -4
View File
@@ -7,6 +7,8 @@ import { getTenantFromContext } from '../../utils/tenant'
* 标记订单已支付（幂等）并触发一站式推送
* PUT /api/tender/mark-paid { orderNo }
* 代理到 mp-api /api/hjc/order/mark-paid；需登录态。
*
* 约定：原样透传 ApiResult{code,message,data}，由前端按 code 判定登录态与业务失败。
*/
export default defineEventHandler(async (event) => {
const config = useRuntimeConfig()
@@ -16,7 +18,7 @@ export default defineEventHandler(async (event) => {
const auth = getHeader(event, 'authorization') || (cookieToken ? `Bearer ${cookieToken}` : null)
try {
const res = await $fetch('/hjc/order/mark-paid', {
return await $fetch('/hjc/order/mark-paid', {
baseURL: config.public.modulesApiBase,
method: 'PUT',
headers: {
@@ -25,9 +27,7 @@ export default defineEventHandler(async (event) => {
},
query: { TenantId: ctx.tenantId },
body
}) as any
const data = res && res.data !== undefined ? res.data : res
return data
})
} catch (error: any) {
throw createError({
statusCode: error?.statusCode || error?.response?.status || 502,
server/api/tender/my-orders.get.ts
+6 -4
View File
@@ -7,6 +7,10 @@ import { getTenantFromContext } from '../../utils/tenant'
* 我的订单列表
* GET /api/tender/my-orders
* 代理到 mp-api /api/hjc/order/my；需登录态。
*
* 约定：原样透传 ApiResult{code,message,data}。HTTP 状态码恒为 200，
* 「未登录/token 失效」是 code=401、「无权限」是 code=403，前端必须按 code 判定；
* 故这里**不能**只取 data，否则登录态失败会被误当成「没有订单」。
*/
export default defineEventHandler(async (event) => {
const config = useRuntimeConfig()
@@ -15,16 +19,14 @@ export default defineEventHandler(async (event) => {
const auth = getHeader(event, 'authorization') || (cookieToken ? `Bearer ${cookieToken}` : null)
try {
const res = await $fetch('/hjc/order/my', {
return await $fetch('/hjc/order/my', {
baseURL: config.public.modulesApiBase,
headers: {
TenantId: ctx.tenantId,
...(auth ? { Authorization: auth } : {})
},
query: { TenantId: ctx.tenantId }
}) as any
const data = res && res.data !== undefined ? res.data : res
return data
})
} catch (error: any) {
throw createError({
statusCode: error?.statusCode || error?.response?.status || 502,
server/api/tender/order.post.ts
+5 -3
View File
@@ -7,6 +7,9 @@ import { getTenantFromContext } from '../../utils/tenant'
* 创建标书订单
* POST /api/tender/order { projectId, quantity, contactName, contactPhone, contactEmail }
* 代理到 mp-api（mp-java） /api/hjc/order/create；需登录态（从 cookie hjc_token 或 Authorization 透传）。
*
* 约定：原样透传 ApiResult{code,message,data}，由前端按 code 判定
* （401 未登录/token 失效、403 无权限、其余为业务失败）。
*/
export default defineEventHandler(async (event) => {
const config = useRuntimeConfig()
@@ -16,7 +19,7 @@ export default defineEventHandler(async (event) => {
const auth = getHeader(event, 'authorization') || (cookieToken ? `Bearer ${cookieToken}` : null)
try {
const res = await $fetch('/hjc/order/create', {
return await $fetch('/hjc/order/create', {
baseURL: config.public.modulesApiBase,
method: 'POST',
headers: {
@@ -25,8 +28,7 @@ export default defineEventHandler(async (event) => {
},
query: { TenantId: ctx.tenantId },
body
}) as any
return res?.data ?? res
})
} catch (error: any) {
throw createError({
statusCode: error?.statusCode || error?.response?.status || 502,
server/api/tender/pay.post.ts
+4 -4
View File
@@ -7,6 +7,8 @@ import { getTenantFromContext } from '../../utils/tenant'
* 发起支付（微信Native扫码，返回 codeUrl）
* POST /api/tender/pay { orderNo }
* 代理到 mp-api /api/hjc/order/pay；需登录态。
*
* 约定：原样透传 ApiResult{code,message,data}，由前端按 code 判定登录态与业务失败。
*/
export default defineEventHandler(async (event) => {
const config = useRuntimeConfig()
@@ -16,7 +18,7 @@ export default defineEventHandler(async (event) => {
const auth = getHeader(event, 'authorization') || (cookieToken ? `Bearer ${cookieToken}` : null)
try {
const res = await $fetch('/hjc/order/pay', {
return await $fetch('/hjc/order/pay', {
baseURL: config.public.modulesApiBase,
method: 'POST',
headers: {
@@ -25,9 +27,7 @@ export default defineEventHandler(async (event) => {
},
query: { TenantId: ctx.tenantId },
body
}) as any
const data = res && res.data !== undefined ? res.data : res
return data
})
} catch (error: any) {
throw createError({
statusCode: error?.statusCode || error?.response?.status || 502,
server/api/tender/sms.post.ts
+34
View File
@@ -0,0 +1,34 @@
import { $fetch } from 'ofetch'
import { createError, defineEventHandler, readBody } from 'h3'
import { useRuntimeConfig } from '#imports'
import { getTenantFromContext } from '../../utils/tenant'
/**
* 发送注册短信验证码
* POST /api/tender/sms { phone }
* 代理到 mp-api /api/hjc/auth/sms；匿名可访问（注册在登录前调用）。
*
* 说明：`phone` 必须传<b>经办人手机号</b>——后端以「经办人手机号」作为账号手机号建号，
* 注册接口的 `code` 校验的正是发给该号码的短信验证码。
* 原样透传 ApiResult{code,message,data}，成功 message 为「验证码已发送」。
*/
export default defineEventHandler(async (event) => {
const config = useRuntimeConfig()
const ctx = getTenantFromContext(event, config)
const body = await readBody(event)
try {
return await $fetch('/hjc/auth/sms', {
baseURL: config.public.modulesApiBase,
method: 'POST',
headers: { TenantId: ctx.tenantId },
query: { TenantId: ctx.tenantId },
body
})
} catch (error: any) {
throw createError({
statusCode: error?.statusCode || error?.response?.status || 502,
statusMessage: error?.data?.message || error?.statusMessage || 'Failed to send sms'
})
}
})