1. 认证授权
Ai Forge
  • Admin
    • 后台API接口使用说明
    • 认证授权
      • 认证授权说明
      • 账号密码登录
        POST
      • 微信公众号登录
        POST
      • 刷新访问令牌
        POST
      • 获取当前管理员信息
        GET
      • 获取已签发的 Token 列表
        GET
      • 撤销指定的 Token
        DELETE
      • 退出登录
        POST
    • 公共接口
      • 文件上传
        • 获取上传Token
        • 图片上传
        • 上传文件
        • 上传视频
        • APK文件上传
        • 签发火山引擎 VOD STS Token
      • 数据概览
      • 源类型选项
      • 清理应用缓存
      • 获取前端路由配置
    • 系统管理
      • 角色管理
        • 角色列表
        • 创建角色
        • 角色详情
        • 修改角色
        • 删除角色
        • 获取角色权限
        • 权限列表
        • 更新角色权限
      • 管理员管理
        • 导出审计日志
        • 获取个人资料
        • 修改密码
        • 更新个人资料
        • 管理员列表
        • 创建管理员
        • 管理员详情
        • 修改管理员
        • 删除管理员
        • 修改密码
        • 设置状态
        • 管理员角色
        • 分配管理员角色
        • 管理员登录历史
        • 修改管理员头像
      • 菜单管理
        • 菜单树
        • 创建菜单
        • 菜单详情
        • 更新菜单
        • 删除菜单
      • 配置管理
        • 配置分组
        • 输入组件类型
        • 批量更新配置
        • 配置列表
        • 创建配置
        • 配置详情
        • 更新配置
        • 删除配置
      • 地区管理
        • 地区列表
        • 创建地区
        • 地区详情
        • 更新地区
        • 删除地区
      • 验证码管理
        • 手机验证码列表
        • 手机验证码详情
        • 邮件验证码列表
        • 邮件验证码详情
      • 附件管理
        • 获取附件列表
        • 直传完成后登记附件元数据
        • 获取附件详情
        • 删除单个附件
        • 流式下载附件
        • 批量删除附件
        • 获取附件临时签名访问地址
        • 重命名附件
        • 移动附件物理路径
        • 可用磁盘列表
      • 通知管理
        • 通知列表
        • 未读通知列表
        • 全部标记已读
        • 标记通知已读
        • 清空已读通知
      • 字典管理
        • 按编码获取字典项
        • 字典类型列表(分页)
        • 创建字典类型
        • 字典类型详情
        • 更新字典类型
        • 删除字典类型
        • 字典数据项列表(分页)
        • 创建字典数据项
        • 字典数据项详情
        • 更新字典数据项
        • 删除字典数据项
      • 应用管理
        • 删除应用
        • 删除版本
        • 应用列表
        • 应用详情
        • 版本列表
        • 版本详情
        • 创建应用
        • 创建版本
        • 废弃版本
        • 发布版本
        • 撤回版本
        • 更新应用
        • 更新版本
    • 系统监控
      • 性能监控(Pulse)
        • 服务器资源监控
        • 队列监控
        • Reverb连接监控
        • Reverb消息监控
        • 缓存命中率监控
        • 异常统计监控
        • 慢查询监控
        • 慢请求监控
        • 慢任务监控
        • 慢外部请求监控
        • 用户使用量统计
      • 调试工具(Telescope)
        • 调试条目列表
        • 调试条目详情
        • 标记异常为已解决
        • 监控标签列表
        • 添加监控标签
        • 移除监控标签
        • 切换记录开关
        • 清空调试记录
      • 队列管理(Horizon)
        • 取消监控标签
        • 批处理列表
        • 批处理详情
        • 已完成任务
        • 失败任务列表
        • 失败任务详情
        • 最近任务详情
        • 待处理任务
        • 静默任务
        • 主监督器
        • 任务指标列表
        • 任务指标详情
        • 队列指标列表
        • 队列指标详情
        • 标签下任务
        • 监控标签列表
        • 队列总览
        • 队列负载
        • 重试批处理失败任务
        • 重试失败任务
        • 新增监控标签
      • 调度任务日志
        • 获取调度任务日志列表
        • 获取调度任务日志详情
      • 登录日志
        • 获取全局登录历史列表
      • 审计日志
        • 审计日志列表
        • 审计日志详情
    • 用户管理
      • 用户管理
        • 回收站用户列表
        • 恢复软删除用户
        • 彻底删除用户
        • 导出用户列表
        • 导出用户积分流水
        • 导出用户金币流水
        • 用户金币流水
        • 用户积分流水
        • 用户社交账号
        • 用户钱包概览
        • 用户钱包流水
        • 调整用户余额
        • 用户列表
        • 用户详情
        • 更新用户信息
        • 删除用户
        • 冻结/启用用户
        • 重置用户密码
        • 重置用户联系方式
        • 调整用户余额
        • 延长用户VIP
        • 用户登录历史
      • 邀请记录
        • 获取邀请记录列表
        • 获取邀请记录详情
      • 实名认证
        • 实名认证列表
        • 实名认证统计
        • 实名认证详情
        • 审核通过
        • 审核驳回
      • 用户分群
        • 分群管理
          • 分群列表
          • 创建分群
          • 分群详情
          • 更新分群
          • 删除分群
          • 切换启用/禁用状态
          • 手动同步规则分群
          • 规则预览(不写库)
          • 分群下拉选项
        • 分群成员
          • 分群下的用户列表
          • 单分群批量绑定用户
          • 单分群批量解绑用户
          • 笛卡尔批量打标
          • 笛卡尔批量解标
        • 分群任务
          • 分群异步任务列表
          • 分群异步任务详情
    • 运营管理
      • 公告管理
        • 公告列表
        • 创建公告
        • 公告详情
        • 更新公告
        • 切换公告状态
        • 删除公告
      • 轮播图管理
        • 创建 Banner
        • 删除 Banner
        • Banner 详情
        • Banner 列表
        • Banner 拖拽排序
        • 切换 Banner 状态
        • 更新 Banner
        • 展示位置选项
      • 反馈管理
        • 导出反馈列表
        • 反馈统计数据
        • 反馈列表
        • 反馈详情
        • 更新反馈(处理反馈)
        • 更新反馈(处理反馈)- PATCH
        • 删除反馈
      • 评论管理
        • 评论列表
        • 评论详情
        • 评论回复列表
        • 审核评论
        • 删除评论
        • 导出评论列表
      • 任务管理
        • 任务分组
          • 切换分组启用状态
          • 删除任务分组
          • 更新任务分组
          • 任务分组详情
          • 任务分组选项
          • 创建任务分组
          • 任务分组列表
        • 任务管理
          • 任务记录
            • 任务日志列表
            • 任务日志详情
          • 任务列表
          • 创建任务
          • 任务详情
          • 更新任务
          • 删除任务
          • 切换任务启用状态
      • 钱包管理
        • 钱包统计
        • 充值订单列表
        • 导出充值订单
        • 充值订单详情
        • 充值统计
        • 钱包流水列表
        • 导出钱包流水
        • 钱包流水详情
        • 提现申请列表
        • 导出提现申请
        • 提现统计
        • 提现申请详情
        • 关闭充值订单
        • 确认到账
        • 审核通过
        • 标记打款失败
        • 审核驳回
        • 标记打款
      • 敏感词管理
        • 获取分类与级别选项
        • 敏感词列表
        • 创建敏感词
        • 批量导入敏感词
        • 手动刷新字典缓存
        • 敏感词详情
        • 更新敏感词
        • 删除敏感词
        • 切换启用状态
      • 举报管理
        • 举报列表
        • 举报详情
        • 处理举报
        • 举报统计
        • 举报列表导出
    • AI 助手
      • AI聊天
        • 工具调用审批
        • 发送消息(同步)
        • 获取会话列表
        • 获取会话详情与消息记录
        • 删除会话
    • 定时任务管理
      • 定时任务列表
      • 创建定时任务
      • 获取可用命令列表
      • 定时任务详情
      • 更新定时任务
      • 删除定时任务
      • 切换启用/禁用状态
      • 手动执行定时任务
  1. 认证授权

认证授权说明

概述#

本文档描述后台管理系统的认证与授权机制,包括登录方式、令牌使用、权限控制等。

认证方式#

Bearer Token 认证#

系统使用 Laravel Sanctum 提供 Bearer Token 认证。客户端在请求时通过 Authorization 头携带访问令牌。
Authorization: Bearer {access_token}

认证流程#

1.
调用 账号密码登录 接口,提交用户名和密码
2.
验证成功后返回 access_token 和用户信息
3.
后续请求在 Header 中携带 Authorization: Bearer {access_token}
4.
调用 退出登录 接口可主动使令牌失效

登录#

账号密码登录#

接口: POST /admin/auth/login
请求体:
字段类型必填说明
usernamestring是用户名
passwordstring是密码
请求示例:
成功响应(200 OK):
字段类型说明
access_tokenstring访问令牌
token_typestring令牌类型,固定为 Bearer
expires_ininteger令牌有效期(秒)
userobject当前用户信息(LoginInfo 模型)
{
  "access_token": "1|abcdefghijklmnopqrstuvwxyz",
  "token_type": "Bearer",
  "expires_in": 7200,
  "user": {
    "user_id": 1,
    "user_name": "admin",
    "email": "admin@example.com",
    "avatar": "https://example.com/avatar.jpg",
    "roles": ["超级管理员"],
    "buttons": ["admin.*"]
  }
}

认证失败#

认证失败时返回 401 Unauthorized:
{
  "message": "登录已过期,请重新登录"
}

退出登录#

接口: POST /admin/auth/logout
使当前令牌失效,后续请求需重新登录。
成功返回 204 No Content,无响应体。

当前登录信息#

接口: GET /admin/auth/info
获取当前已认证用户的详细信息,返回 LoginInfo 模型。
响应字段说明(LoginInfo 模型):
字段类型说明
user_idinteger用户 ID
user_namestring用户名
emailstring邮箱
avatarstring头像地址
rolesstring[]角色名称列表
buttonsstring[]按钮权限标识列表

授权机制#

角色与权限#

系统基于 Spatie Permission 实现 RBAC(基于角色的访问控制):
角色 (Role): 一组权限的集合,如超级管理员、运营、编辑
权限 (Permission): 具体的操作权限,如 admin.user.create、admin.role.delete
一个用户可以拥有多个角色
一个角色可以拥有多个权限
权限通过中间件自动校验

权限检查#

接口权限在路由配置中通过 permission:权限标识 中间件进行控制。
权限不足时返回 403 Forbidden:
{
  "message": "This action is unauthorized."
}

超级管理员#

拥有超级管理员角色的用户自动获得所有权限,无需逐一分配。

令牌管理#

令牌有效期#

默认有效期:2 小时(7200 秒)
可在配置中调整有效期
过期后需重新登录获取新令牌

多端登录#

支持同一账号在多个设备同时登录,每台设备拥有独立的令牌。

令牌安全#

令牌使用随机字符串生成,不可预测
建议通过 HTTPS 传输,防止令牌泄露
客户端应安全存储令牌,避免 XSS 攻击
发现令牌泄露应立即修改密码或退出登录

常见错误#

状态码场景说明
401未提供令牌请求缺少 Authorization 头
401令牌无效令牌格式错误或不存在
401令牌已过期令牌超过有效期
403权限不足当前用户无该接口访问权限
422验证失败用户名或密码格式不正确

最佳实践#

1.
妥善保存令牌:在客户端安全存储访问令牌,避免泄露
2.
及时退出:使用完毕后主动调用退出登录接口
3.
错误处理:正确处理 401 状态,引导用户重新登录
4.
令牌刷新:建议在令牌过期前主动刷新,保证用户体验
5.
最小权限原则:为角色分配必要的最少权限
修改于 2026-08-15 08:14:41
上一页
后台API接口使用说明
下一页
账号密码登录
Built with