用户管理后台

共 0 个账号

	用户名	单位	手机号	邮箱	注册时间	最后登录	有效期至	状态	操作

用户名不区分大小写（Alice 与 alice 视为同一个账号名）。账号默认有效期 7 天，可用「+7天」或编辑有效期续期。

公网 IP 检测失败、或显示的不是对外访问用的地址？点此手动指定

适用于：服务器禁止对外访问、或云主机对外服务 IP 与出口 IP 不一致（NAT / 弹性公网 IP）的情况。也可在启动命令前加环境变量 PUBLIC_IP=47.98.12.34，其优先级高于此处。

应用名称	应用标识（client_id）	接入状态	回调地址（须与之一致）	跨域来源	操作

如何把自己的应用接进来（4 步）

在这里登记应用
先看上方「服务器网络信息」，拿到本机的公网 IP（外网访问）或内网 IP（局域网访问）；点右上角「+ 新建子应用」，填写应用名称，回调地址用「用 IP 快速生成」一键生成，例如 http://47.98.12.34/、http://192.168.1.5:8080/。系统会自动生成「应用标识 client_id」，并把该地址的来源加入跨域白名单。
改动即时生效，无需重启服务；不需要域名，有 IP 就够了。
在子应用页面加入接入代码
在应用列表里点「接入代码」，复制生成的 3 行片段，粘贴到子应用首页的 <head> 中即可。不需要往子应用目录里放任何文件（SDK 由本中心在线提供），也不必手写中心地址；片段自带「登录门」：未登录者打不开子应用，登录成功才放行。
用网址访问子应用验证
打开子应用网址 → 自动跳转到本中心的统一登录页 → 注册或登录成功后自动跳回子应用。
自检清单
· 未登录时子应用原页面不应闪现任何内容（接入代码会在核实登录状态前遮住页面）；
· 用同一个账号打开第二个子应用，应当无需再次登录（账号全站通用）；
· 若控制台出现跨域（CORS）报错，请核对该应用的「回调地址」是否与浏览器地址栏完全一致（含 http/https 与结尾斜杠）。

登录原理：授权码流程（Authorization Code + PKCE）
子系统登录采用业界标准的 OAuth 2.0 授权码流程，长期令牌从不经过网址：
① 子应用生成一段只存在自己浏览器里的随机串（code_verifier），算出它的摘要 code_challenge，一起带到登录页；
② 用户登录成功后，中心回跳时只带回一个一次性授权码（放在 # 片段里，浏览器不会把它发给服务器）；
③ 子应用拿授权码 + 原始随机串，调 POST /api/token 换取访问令牌，令牌只出现在这次请求的响应中；
④ 授权码默认 2 分钟过期、用过即废；即使被第三方截获，没有那段原始随机串也换不到令牌。
本次升级对子应用完全透明：只要它引入的是本中心的 auth-sdk.js，刷新页面即自动使用新模式，无需改动接入代码。

注意事项
· 直接双击本地 HTML（file:// 打开）无法接入，必须通过 http/https 网址访问；
· 用 IP 接入时，回调地址要写子应用自己的 IP 与端口（与认证中心端口不同）； IP 变了（换网络、重装云主机）不用重建应用，回到本页编辑该应用的「回调地址」即可，跨域白名单会自动跟随；
· 子应用端口：本机调试常用 8080 / 8081；云服务器上直接用 80，地址里就可以不写端口号；
· 应用个数不限，所有应用共用同一套注册/登录界面与同一份账号库；
· 纯前端接入能挡住正常使用者，但挡不住会修改前端代码的访问者。若需「绝对不可绕过」，须由子应用自己的服务端校验令牌；
· 删除某个应用后，它的登录回调与跨域访问会立即被拒绝。

服务端口

用户访问认证服务用的端口。当前正在运行：—

监听地址

要让别的设备按 IP 访问，必须选「所有网卡」。当前正在运行：—

令牌签名密钥（高级 · 留空表示不修改）

用于给登录令牌签名。泄漏等于任何人都能伪造登录，所以要用足够长的随机串—— 点「随机生成 32 位」会用浏览器安全随机数填满这个框（本机生成，不经过网络），您可以直接看到它、复制备份到密码管理器。
更换后所有已登录用户会掉线、需要重新登录，且需重启服务才生效。

账号与会话改完立即生效

不需要重启，保存后立刻生效。

新注册账号的默认有效期（天）

用户注册后自动获得的天数；登录页上的提示文字会跟着变。

登录后保持登录（天）

超过这个时间需要重新登录。调小更安全，调大更省事。

授权码有效期（分钟）

登录过程中一次性授权码的存活时间，1–60 分钟。一般不用改。

是否开放注册允许用户自行注册

关闭后用户无法自行注册，已有账号照常登录，管理员仍可在「账号管理」里建号。

注册时的单位注册时必须填写单位

登录页的注册表单里一直有「单位」（班级 / 院系）这一栏。勾选后它变成必填，留空会被服务端直接拒绝；不勾选则选填，事后仍可在「账号管理」里逐个补。
单位是按单位筛选账号、批量续期、导出名单的基础字段 —— 让学生注册时自己填，比事后一个个催要省事，建议勾选。

首登改密服务端强制「首次登录必须改密」

批量建号时一个年级共用同一个初始密码。此前只有 SDK 在前端拦 —— 子应用只要自己带令牌请求就能绕过去，初始密码可以一直用到毕业。
开启后，被标记「待改密」的账号在服务端就被拦住（除改密接口外一律 403）。只影响批量建号 / 管理员重置 / 手动勾选的账号，自助注册的账号不受影响。
若有尚未升级的子应用因此用不了，关掉它即恢复旧行为。

登录页文案改完立即生效

用户打开登录页就能看到的内容。

系统名称

显示在登录页顶部与浏览器标题。

联系邮箱

账号过期时提示用户联系谁。留空则不显示这一行。

登录页公告（可留空）

留空则不显示公告条。

安全与限流改完立即生效

限流只统计失败次数，登录成功会自动清零，因此不会影响正常使用。

密码最小长度

可设 6–64 位。

密码复杂度必须同时包含字母和数字

取消勾选后，纯字母或纯数字也可通过。

常见弱密码拦截字典里的常见弱密码

「8 位 + 含字母数字」这条规则拦不住 12345678、a123456、 admin123 —— 它们全都合规，却正是撞库字典的第一页。
开启后这类口令会被直接拒绝。批量建号时统一设弱密码、学生又不改，等于整个年级的账号敞开，建议保持开启。

登录失败上限（同 IP）

15 分钟内

单账号失败上限

15 分钟内，防定向爆破

注册上限（同 IP）

60 分钟内

管理员登录尝试上限

15 分钟内

旧版令牌兼容（?token=）允许旧版方式传递令牌

仅用于尚未升级的老子应用（令牌放在 URL 查询串里、或要求 response_type=token）。
确认所有子应用都已在用在线 auth-sdk.js 后，可以关掉它 —— 此后令牌只经 Authorization 请求头传递，绝不进入任何 URL、访问日志与浏览器历史。
关闭前请确认没有老子应用，否则它们会登录失败（错误提示会点名"旧版登录方式"）。

管理后台来源 IP 白名单

当前访问者 IP：—
留空则不限制来源（默认）。填写后 /admin 与所有后台接口只允许名单内的 IP 访问，支持单个 IP 与网段（CIDR），改完立即生效。

用户自助找回密码允许用户在登录页提交找回申请

开启后登录页会出现「忘记密码」入口：用户提交申请 → 您在「密码找回」页生成一次性重置码 → 用户凭码自行设置新密码。
整个流程不需要短信或邮箱（学校无需采购任何外部服务），由您人工确认身份后发码，控制权留在自己手里。关闭后用户只能联系您手动重置。

重置码有效期（分钟）

重置码为一次性，超过这个时间未使用即失效，用户需要重新向您索取。
默认 30 分钟：够用户从群里看到码再回到页面输入，又不至于长时间有效被他人利用。

机房 / 校园网通常是同一个出口 IP，用户集中注册时若被拦，把「注册上限」调到 200 以上即可；更彻底的做法是在 Nginx 反代后开启 TRUST_PROXY=1，让限流按真实客户端 IP 统计。

加载中…

接入代码 ·

把下面 3 行代码粘贴到子应用首页的 <head> 里即可—— 未登录的人打不开子应用，会先看到「正在验证登录状态…」并自动跳到统一登录页。
auth-sdk.js 由本中心在线提供，不需要往子应用目录里放任何新文件。

本中心地址（建议用域名；生产环境不要填 IP:3008，3008 不对外暴露）回跳地址（登录成功后跳回本应用的哪个页面；首页不在站点根目录时务必选对）

· 第 1 行是遮罩样式、第 2 行先把页面挡住：外部脚本有下载延迟，若等 SDK 到了才遮，原首页会先露一下；
· 第 3 行的 data-guard 表示开启「登录门」，data-client-id 是本应用标识。 本中心地址无需手写——SDK 会从脚本自身地址推导，只要第 3 行的 src 填对即可；
· 本中心地址必须填域名（默认已选当前访问后台的域名）。服务只监听 127.0.0.1:3008，外网通过 Nginx 443 访问，直接写 IP:3008 浏览器会连不上或报证书错误；
· 登录门默认回跳到站点根路径（如 https://shuju.gqt.news/），请确认它已登记在上面的回调地址里；子应用若还有别的访问方式，一并加进该应用的回调地址即可；
· 本应用首页不在站点根目录时（例如首页在 public 子目录、实际地址是 https://shuju.gqt.news/public/），请在上面选中该地址 —— 片段会自动加上 data-redirect-uri；漏掉的话登录成功后会被送回站点根（多半是空白页或目录列表）。回跳地址与子应用实际地址要逐字符一致（含 http/https、子目录、结尾斜杠）；
· 该片段使用的是授权码流程（Authorization Code + PKCE）：登录回跳只带回一个一次性授权码，令牌由 SDK 用 POST /api/token 换取，全程不出现在网址里；
· 只想要「能登录但不拦页面」时，删掉前两行，并在页面里调用 AuthCenter.init() 即可。

管理后台登录

待处理的找回申请

已完成的申请

待确认的资料变更

已生效的变更

服务器网络信息

已接入的子应用

如何把自己的应用接进来（4 步）

操作审计日志

归档文件

服务与运行需重启才生效

账号与会话改完立即生效

登录页文案改完立即生效

安全与限流改完立即生效

数据备份

批量导入账号

编辑账号

批量删除账号

批量重置密码

修改管理密码

新建子应用

接入代码 ·

归档内容 ·

确认操作