短信登录

baqing-admin/src/main/java/com/ruoyi/web/controller/system/SysLoginController.java

@@ -64,7 +64,7 @@ public class SysLoginController
     /**
      * 管理端登录。
      * <p>
-     * 互联网部署且策略为 SMS_2FA 时，除 username/password/图形验证码外还须传 {@code smsCode}。
+     * 互联网部署且策略为 SMS_2FA 时，须传 username/password/{@code smsCode}（不要求图形验证码）。
      * 须先调用 {@link #sendLoginSms} 获取短信验证码。
      * </p>
      * 
@@ -85,11 +85,11 @@ public class SysLoginController
     /**
      * 发送登录短信验证码（互联网双因子第一步）。
      * <p>
-     * 请求体与登录类似，须携带图形验证码 uuid/code 防刷。
+     * 请求体仅需 username；sms-2fa 下不校验图形验证码，依赖 IP 发送间隔防刷。
      * 用户须已绑定手机号；验证码写入 Redis，开发环境可在日志中查看 Stub 短信内容。
      * </p>
      *
-     * @param body username + 图形验证码
+     * @param body 含 username
      */
     @PostMapping("/login/sms/send")
     public AjaxResult sendLoginSms(@RequestBody LoginSmsSendBody body)

baqing-admin/src/test/java/com/ruoyi/framework/web/service/LoginSmsServiceTest.java

@@ -55,9 +55,6 @@ class LoginSmsServiceTest
     @Mock
     private SmsGatewayClient smsGatewayClient;
 
-    @Mock
-    private SysLoginService loginService;
-
     @Mock
     private LoginInforRecorder loginInforRecorder;
 

doc/密码改造/README.md

@@ -26,8 +26,8 @@
 | `ruoyi-crypto` 模块 | ✅ Stub | `CryptoService` + BouncyCastle 开发实现 |
 | 阿里云短信 SDK | ✅ | `alibabacloud-dysmsapi20170525`，支持 `dry-run` 日志 Stub |
 | `sys_login_policy` | ✅ 代码+DDL | 脚本 `sql/crypto_phase1.sql` |
-| UKey 证书登录 | ⏳ 待实施 | 接口与验签服务器对接待二期 |
-| 前端登录改造 | ⏳ 待实施 | 可不改前端，用 API 联调后端 |
+| UKey 证书登录 | ⏳ 待实施 | 字段/策略枚举已预留（`cert_sn`、`LoginPolicyType.CERT`）；接口未实现 |
+| 前端登录改造 | ✅ 短信双因子 | 支持 `VUE_APP_LOGIN_AUTH_MODE=ruoyi|sms-2fa` |
 | 字段 SM3/SM4 | ⏳ 二期 | MyBatis 拦截器、存量迁移 |
 
 ---
@@ -63,7 +63,7 @@ login:
 
 ## 外部依赖
 
-- **签名验签服务器**：国密 UKey 证书登录、SM2 验签（待联调）
+- **签名验签服务器**：国密 UKey 证书登录、SM2 验签（待实施）
 - **密码机（HSM）**：SM3-HMAC、SM4 加解密（一期 Stub，生产待对接）
 - **短信网关**：阿里云 dysmsapi（一期已集成 SDK）
 

doc/密码改造/实施计划与验收.md

@@ -17,7 +17,7 @@
 
 ## 2. 一期：身份鉴别与密码框架
 
-> **进度说明（互联网管理端）**：后端短信双因子、`ruoyi-crypto` Stub、阿里云短信 SDK、`login.auth-mode` 切换已落地；UKey 证书登录与前端改造仍待实施。
+> **进度说明**：后端短信双因子、`ruoyi-crypto` Stub、阿里云短信 SDK、`login.auth-mode` 切换已落地；UKey 证书登录接口已撤销，仅保留字段与策略枚举预留。
 
 ### 2.1 任务清单
 
@@ -25,14 +25,14 @@
 | --- | --- | --- | --- |
 | 1.1 | 采购/部署密码机、验签服务器联调环境 | 联调报告 | ⏳ |
 | 1.2 | 新建 `ruoyi-crypto` 模块，`CryptoService` 封装 SM3/SM4 | 代码 + 单元测试（Stub） | ✅ |
-| 1.3 | 对接签名验签服务器，`/login/cert` 接口 | 证书登录可用 | ⏳ |
+| 1.3 | 对接签名验签服务器，`/login/cert` 接口 | 证书登录可用 | ⏳ 待实施 |
 | 1.4 | 短信双因子登录（互联网） | `/login/sms/send`、登录校验 | ✅ 后端 |
 | 1.4a | 阿里云短信 SDK 集成 | `AliyunSmsGatewayClient` + `dry-run` | ✅ |
 | 1.4b | 若依默认登录一键切换 | `login.auth-mode: ruoyi` | ✅ |
-| 1.5 | `sys_user` 增加 `cert_sn`、`login_policy` 等字段 | `sql/crypto_phase1.sql` | ✅ 脚本已提供 |
+| 1.5 | `sys_user` 增加 `cert_sn`、`login_policy` 等字段 | `sql/crypto_phase1.sql` | ✅ 脚本已提供（字段预留） |
 | 1.6 | `sys_login_policy` 配置与文档 | 策略可配置 | ✅ |
 | 1.7 | 安全审计：短信失败记 `sys_logininfor` | 日志可查 | ✅ |
-| 1.8 | 前端：登录页短信双因子、`api/login.js` | 待前端改造（后端可先 API 联调） |
+| 1.8 | 前端：登录页短信双因子、`api/login.js` | ✅ |
 
 ### 2.2 验收标准
 

doc/密码改造/应用密码改造技术方案.md

@@ -84,7 +84,9 @@ flowchart TB
 | 业务操作员 | 按角色配置 | 口令 + 可选短信/UKey | 由 `sys_login_policy` 配置 |
 | 移动端/App | 普通用户 | 现有口令/Token 体系 | 敏感接口可增加短信二次确认 |
 
-### 2.2 管理员 UKey 证书登录流程
+### 2.2 管理员 UKey 证书登录流程（⏳ 待实施）
+
+> 以下为设计方案；本期已撤销接口实现，仅保留 `sys_user.cert_sn` 等字段与 `LoginPolicyType.CERT` 枚举。
 
 ```mermaid
 sequenceDiagram
@@ -107,14 +109,14 @@ sequenceDiagram
     API->>API: 写 sys_logininfor + 安全审计
 ```
 
-**后端改造点**
+**后端改造点（待实施）**
 
 | 模块 | 改造内容 |
 | --- | --- |
 | `SysLoginController` | 新增 `GET /login/cert/challenge`、`POST /login/cert` |
-| `sys_user` | 增加 `cert_sn`、`cert_subject`、`login_policy` |
+| `sys_user` | 增加 `cert_sn`、`cert_subject`、`login_policy`（**字段已预留**） |
 | `TokenService` | 证书登录成功后与普通登录共用 JWT 签发逻辑 |
-| `SysLoginService` | 增加 `loginByCert`、`verifyCertSignature` |
+| 登录服务 | 增加证书验签登录与验签服务器对接 |
 | 权限 | 超级管理员角色可配置强制证书登录 |
 
 **验签失败处理**
@@ -126,8 +128,8 @@ sequenceDiagram
 
 **流程**
 
-1. `POST /login/sms/send`：校验图形验证码 → 发送短信 OTP 至 `sys_user.phonenumber`
-2. `POST /login`：提交 `username`、`password`、`smsCode`（及图形验证码）
+1. `POST /login/sms/send`：提交账号 → 发送短信 OTP 至 `sys_user.phonenumber`（不校验图形验证码）
+2. `POST /login`：提交 `username`、`password`、`smsCode`（不要求图形验证码）
 3. 校验短信 OTP（Redis）→ 校验口令（BCrypt）→ 签发 Token，写登录日志
 
 **改造点（一期已实施）**
@@ -344,8 +346,8 @@ payload = dataType + "|" + keyVer + "|" + field1 + "|" + field2 + "|" ...
 
 | 期次 | 内容 | 状态 |
 | --- | --- | --- |
-| 一期 | 短信双因子后端、`ruoyi-crypto` Stub、阿里云短信 SDK、`auth-mode` 切换 | ✅ 后端已完成 |
-| 一期余 | UKey 证书登录、前端登录页 | ⏳ |
+| 一期 | 短信双因子后端、`ruoyi-crypto` Stub、阿里云短信 SDK、`auth-mode` 切换、前端短信双因子 | ✅ |
+| 一期余 | UKey 证书登录 | ⏳ 待实施（字段/策略枚举已预留） |
 | 二期 | `sys_user` / 权限表 / 日志表 SM3；个人信息 SM4 | ⏳ |
 | 三期 | 业务表按映射表改造；存量迁移 | ⏳ |
 | 四期 | 定时巡检、告警中心、密钥轮换 | ⏳ |

doc/密码改造/配置与接口说明.md

@@ -79,36 +79,15 @@ sms:
 | `crypto.enabled` | 密码改造总开关；false 时业务可跳过加解密（仅建议迁移双写期） |
 | `crypto.hsm.provider` | `stub`=BouncyCastle 开发实现；生产对接密码机 SDK |
 | `crypto.keys.*` | 各数据类型在密码机内的密钥索引（非密钥本身） |
-| `login.auth-mode` | `ruoyi` / `sms-2fa`；非空时优先于 `internet-sms.enabled` |
+| `login.auth-mode` | `ruoyi` / `sms-2fa`；非空时优先于子开关 |
 | `login.network-zone` | 与 `sys_login_policy.network_zone` 配合解析策略 |
 | `login.internet-sms.*` | OTP 长度、Redis TTL、同 IP 发送间隔 |
 | `sms.aliyun.dry-run` | `true` 或未配齐 AccessKey 时仅打日志 Stub，不调阿里云 API |
 | `sms.aliyun.*` | 阿里云 dysmsapi SendSms 参数 |
 
-### 1.4 二期及以后配置（草案，尚未实施）
+### 1.4 说明
 
-```yaml
-crypto:
-  integrity:
-    verify-on-read: true
-    verify-before-update: true
-    patrol-cron: "0 0 2 * * ?"
-    patrol-batch-size: 500
-  alert:
-    sms-enabled: false
-    notify-roles: admin,security
-
-sign-server:
-  enabled: true
-  base-url: https://10.0.0.20:8443/sign-api
-  app-id: baqing-admin
-  connect-timeout-ms: 5000
-
-login:
-  cert:
-    enabled: true
-    challenge-ttl-seconds: 300
-```
+> UKey 证书登录（`/login/cert*`、`sign-server.*`）本期已撤销，仅保留库表字段与策略枚举预留；详见技术方案 §2.2。完整性巡检、告警等见实施计划。
 
 ---
 
@@ -127,20 +106,18 @@ login:
 
 ```json
 {
-  "username": "admin",
-  "uuid": "图形验证码uuid",
-  "code": "图形验证码"
+  "username": "admin"
 }
 ```
 
+> sms-2fa 下不要求图形验证码；防刷依赖同 IP 发送间隔（`login.internet-sms.send-interval-seconds`）。
+
 **POST /login（互联网双因子）**
 
 ```json
 {
   "username": "admin",
   "password": "******",
-  "code": "图形验证码",
-  "uuid": "图形验证码uuid",
   "smsCode": "123456"
 }
 ```
@@ -166,22 +143,14 @@ login:
 | 发送过频 | 短信发送过于频繁，请稍后再试 |
 | 未绑定手机 | 账号未绑定手机号，无法登录 |
 
-### 2.2 证书登录（一期预留，未实施）
+### 2.2 证书登录（⏳ 待实施）
 
 | 方法 | 路径 | 说明 | 状态 |
 | --- | --- | --- | --- |
 | GET | `/login/cert/challenge` | 获取登录随机数 challenge | ⏳ 待实施 |
 | POST | `/login/cert` | 证书验签登录 | ⏳ 待实施 |
 
-**POST /login/cert 请求体（规划）**
-
-```json
-{
-  "certBase64": "MIIC...",
-  "signedData": "MEUCI...",
-  "challenge": "a1b2c3d4-e5f6-..."
-}
-```
+**已预留**：`sys_user.cert_sn` / `cert_subject`、`login_policy=CERT`、`LoginPolicyType.CERT`。本期不提供接口与验签服务器对接。
 
 ---
 
@@ -250,7 +219,7 @@ public interface IntegrityService {
 | `SmsCodeExpireException` | 200 + 业务错误 | 短信验证码已失效 |
 | `CryptoIntegrityException` | 409 | 数据完整性校验失败（二期） |
 | `CryptoException` | 500 | 系统安全服务暂不可用 |
-| `CertVerifyException` | 401 | 证书验签失败（待实施） |
+| `CertVerifyException` | 401 | 证书验签失败 |
 
 ---
 
@@ -273,7 +242,7 @@ public interface IntegrityService {
 - [x] 阿里云 SDK 集成（dry-run / 真实发送）
 - [ ] 执行 `sql/crypto_phase1.sql`
 - [ ] 管理员账号绑定手机号
-- [ ] 前端登录页接入 `smsCode`（见前端方案，可选）
+- [x] 前端登录页接入 `smsCode`
 - [ ] 等保测评环境 `auth-mode=sms-2fa` + `dry-run=false`
 
 ### 后续阶段

ruoyi-common/src/main/java/com/ruoyi/common/core/domain/model/LoginSmsSendBody.java

@@ -3,7 +3,7 @@ package com.ruoyi.common.core.domain.model;
 /**
  * 登录短信验证码发送请求体（{@code POST /login/sms/send}）。
  * <p>
- * 字段与 {@link LoginBody} 中图形验证码部分一致，用于在发送短信前完成人机校验，防止接口被恶意刷短信。
+ * sms-2fa 模式下仅需 {@link #username}；{@link #code}/{@link #uuid} 为兼容保留字段，后端不再校验。
  * 不包含密码与 smsCode。
  * </p>
  */
@@ -12,10 +12,10 @@ public class LoginSmsSendBody
     /** 待登录的系统账号（sys_user.user_name） */
     private String username;
 
-    /** 用户输入的图形验证码 */
+    /** 兼容保留：图形验证码（sms-2fa 下不使用） */
     private String code;
 
-    /** 获取图形验证码时接口返回的 uuid，与 Redis 中 captcha_codes:{uuid} 对应 */
+    /** 兼容保留：图形验证码 uuid（sms-2fa 下不使用） */
     private String uuid;
 
     public String getUsername()

ruoyi-framework/src/main/java/com/ruoyi/framework/web/service/LoginSmsService.java

@@ -6,7 +6,6 @@ import java.util.List;
 import java.util.concurrent.TimeUnit;
 import java.util.stream.Collectors;
 import org.springframework.beans.factory.annotation.Autowired;
-import org.springframework.context.annotation.Lazy;
 import org.springframework.stereotype.Service;
 import com.ruoyi.common.constant.CacheConstants;
 import com.ruoyi.common.constant.Constants;
@@ -73,11 +72,6 @@ public class LoginSmsService
     @Autowired
     private SmsGatewayClient smsGatewayClient;
 
-    /** 复用图形验证码校验逻辑，与 {@link SysLoginService#validateCaptcha} 保持一致 */
-    @Autowired
-    @Lazy
-    private SysLoginService loginService;
-
     /** 异步写 sys_logininfor，与 Spring 容器解耦便于单测 */
     @Autowired
     private LoginInforRecorder loginInforRecorder;
@@ -85,20 +79,19 @@ public class LoginSmsService
     /**
      * 发送登录短信验证码。
      * <p>
-     * 流程：图形验证码 → 开关/策略校验 → 用户与手机号校验 → IP 频控 → 生成 OTP 写 Redis → 调短信网关。
+     * 流程：开关/策略校验 → 用户与手机号校验 → IP 频控 → 生成 OTP 写 Redis → 调短信网关。
+     * sms-2fa 模式下不校验图形验证码，依赖 IP 发送间隔防刷。
      * 安全注意：用户不存在时仍返回统一错误文案（{@link UserNotExistsException}），避免枚举用户名。
      * </p>
      *
-     * @param body 含 username、图形验证码 uuid/code
+     * @param body 含 username（code/uuid 可省略）
      */
     public void sendLoginSms(LoginSmsSendBody body)
     {
         String username = StringUtils.trim(body.getUsername());
-        // 1. 图形验证码（与 /login 相同规则，防止接口被刷）
-        loginService.validateCaptcha(username, body.getCode(), body.getUuid());
         assertInternetSmsEnabled();
 
-        // 2. 用户必须存在且当前策略要求短信双因子
+        // 1. 用户必须存在且当前策略要求短信双因子
         SysUser user = userService.selectUserByUserName(username);
         if (user == null)
         {
@@ -110,7 +103,7 @@ public class LoginSmsService
             throw new ServiceException("当前账号无需短信验证码登录");
         }
 
-        // 3. 手机号来自 sys_user.phonenumber（二期可改为 SM4 解密后比对）
+        // 2. 手机号来自 sys_user.phonenumber（二期可改为 SM4 解密后比对）
         String mobile = resolveMobile(user);
         if (StringUtils.isEmpty(mobile))
         {
@@ -118,7 +111,7 @@ public class LoginSmsService
             throw new UserMobileNotBoundException();
         }
 
-        // 4. 同 IP 发送间隔限制（默认 60s，配置 login.internet-sms.send-interval-seconds）
+        // 3. 同 IP 发送间隔限制（默认 60s，配置 login.internet-sms.send-interval-seconds）
         String clientIp = IpUtils.getIpAddr();
         String limitKey = CacheConstants.LOGIN_SMS_LIMIT_KEY + clientIp;
         if (redisCache.hasKey(limitKey))
@@ -127,14 +120,14 @@ public class LoginSmsService
             throw new SmsSendIntervalException();
         }
 
-        // 5. 生成数字 OTP 并写入 Redis（按手机号维度，非用户名，避免换账号刷同一手机）
+        // 4. 生成数字 OTP 并写入 Redis（按手机号维度，非用户名，避免换账号刷同一手机）
         String code = generateCode(loginProperties.getInternetSms().getCodeLength());
         String smsKey = CacheConstants.LOGIN_SMS_CODE_KEY + mobile;
         int ttl = loginProperties.getInternetSms().getCodeTtlSeconds();
         redisCache.setCacheObject(smsKey, code, ttl, TimeUnit.SECONDS);
         redisCache.setCacheObject(limitKey, "1", loginProperties.getInternetSms().getSendIntervalSeconds(), TimeUnit.SECONDS);
 
-        // 6. 调用短信网关；失败则回滚 Redis 中的 OTP
+        // 5. 调用短信网关；失败则回滚 Redis 中的 OTP
         boolean sent = smsGatewayClient.sendLoginCode(mobile, code);
         if (!sent)
         {

ruoyi-framework/src/main/java/com/ruoyi/framework/web/service/SysLoginService.java

@@ -2,7 +2,6 @@ package com.ruoyi.framework.web.service;
 
 import javax.annotation.Resource;
 import org.springframework.beans.factory.annotation.Autowired;
-import org.springframework.context.annotation.Lazy;
 import org.springframework.security.authentication.AuthenticationManager;
 import org.springframework.security.authentication.BadCredentialsException;
 import org.springframework.security.authentication.UsernamePasswordAuthenticationToken;
@@ -24,6 +23,7 @@ import com.ruoyi.common.utils.DateUtils;
 import com.ruoyi.common.utils.MessageUtils;
 import com.ruoyi.common.utils.StringUtils;
 import com.ruoyi.common.utils.ip.IpUtils;
+import com.ruoyi.framework.config.properties.LoginProperties;
 import com.ruoyi.framework.manager.AsyncManager;
 import com.ruoyi.framework.manager.factory.AsyncFactory;
 import com.ruoyi.framework.security.context.AuthenticationContextHolder;
@@ -35,6 +35,7 @@ import com.ruoyi.system.service.ISysUserService;
  * <p>
  * 若依默认口令登录流程；密码改造一期在互联网管理端增加短信双因子：
  * 当 {@link LoginSmsService#requiresSmsTwoFactor} 为 true 时，须在口令认证前校验 {@code smsCode}。
+ * {@code login.auth-mode=sms-2fa} 时以短信 OTP 代替图形验证码，不再校验图片验证码。
  * </p>
  * 
  * @author ruoyi
@@ -57,9 +58,10 @@ public class SysLoginService
     @Autowired
     private ISysConfigService configService;
 
-    /** 互联网短信双因子；与 LoginSmsService 存在循环依赖，使用 @Lazy 打破 */
     @Autowired
-    @Lazy
+    private LoginProperties loginProperties;
+
+    @Autowired
     private LoginSmsService loginSmsService;
 
     /**
@@ -79,7 +81,8 @@ public class SysLoginService
     /**
      * 登录验证（支持互联网短信双因子）。
      * <p>
-     * 完整顺序：图形验证码 → 用户名/密码格式与黑名单 → <b>短信 OTP（若策略要求）</b> → Spring Security 口令认证 → 签发 Token。
+     * 完整顺序：图形验证码（非 sms-2fa）→ 用户名/密码格式与黑名单 → <b>短信 OTP（若策略要求）</b>
+     * → Spring Security 口令认证 → 签发 Token。
      * {@code smsCode} 对非双因子用户可省略；双因子用户缺失或错误将在口令校验前被拒绝并记登录失败审计。
      * </p>
      *
@@ -87,8 +90,11 @@ public class SysLoginService
      */
     public String login(String username, String password, String code, String uuid, String smsCode)
     {
-        // 验证码校验
-        validateCaptcha(username, code, uuid);
+        // sms-2fa 以短信 OTP 代替图形验证码
+        if (!loginProperties.isSmsTwoFactorActive())
+        {
+            validateCaptcha(username, code, uuid);
+        }
         // 登录前置校验
         loginPreCheck(username, password);
 
@@ -135,8 +141,8 @@ public class SysLoginService
     /**
      * 校验图形验证码。
      * <p>
-     * 登录与 {@code POST /login/sms/send} 共用此方法；验证码一次性使用（校验后删 Redis）。
-     * 设为 public 供 {@link LoginSmsService} 复用。
+     * 登录与短信发送共用此方法；验证码一次性使用（校验后删 Redis）。
+     * sms-2fa 登录流程不再调用本方法。
      * </p>
      * 
      * @param username 用户名（仅用于记登录失败日志）

sql/crypto_phase1.sql

@@ -38,3 +38,7 @@ VALUES ('admin', 'INTERNET', 'SMS_2FA', '1', '互联网超级管理员双因子'
 -- 互联网环境：默认策略（未匹配角色时）
 INSERT INTO sys_login_policy (role_key, network_zone, policy_type, enabled, remark, create_time)
 VALUES (NULL, 'INTERNET', 'SMS_2FA', '1', '互联网管理端默认双因子', NOW());
+
+-- 内网/专网：默认口令登录（CERT 策略枚举与 cert_sn 字段一期仅预留，证书登录接口待实施）
+INSERT INTO sys_login_policy (role_key, network_zone, policy_type, enabled, remark, create_time)
+VALUES (NULL, 'INTERNAL', 'PASSWORD', '1', '内网管理端默认口令登录', NOW());