diff --git a/MEMORY.md b/MEMORY.md index 437c0a4..86545bd 100644 --- a/MEMORY.md +++ b/MEMORY.md @@ -71,6 +71,8 @@ - `NEXT_PUBLIC_API_BASE_URL` 若误配为 loopback（`127.0.0.1/localhost`），前端运行时会在浏览器端自动改写为“当前页面主机 + 同端口（默认 8000）”，避免公网页面触发 PNA（Private Network Access）阻断。 - 认证请求与 WebSocket 连接均统一复用该运行时 API 基址解析逻辑。 +- `NEXT_PUBLIC_API_BASE_URL` 必须只配置“协议 + 主机 + 可选端口”，不要额外带 `/api` 前缀；当前前端请求路径已自行拼接 `/api/v1/...`，若环境变量写成 `https://host/api` 会落成 `/api/api/v1/...`。 +- 通过 IP:3000 直接访问站点时，后端 `API_CORS_ORIGINS` 必须显式包含该页面 origin（例如 `http://223.109.142.84:3000`）；仅放行正式域名会导致浏览器在登录预检阶段返回 `Disallowed CORS origin`。 ## 前端构建稳定性口径（2026-04-13） diff --git a/deploy/pro-deploy/.env b/deploy/pro-deploy/.env index 83b693f..744550f 100644 --- a/deploy/pro-deploy/.env +++ b/deploy/pro-deploy/.env @@ -15,7 +15,7 @@ MINIO_CONSOLE_PORT=9001 API_PORT=8000 FLOWER_PORT=5555 -NEXT_PUBLIC_API_BASE_URL=https://quiz.example.com/api +NEXT_PUBLIC_API_BASE_URL=https://quiz.example.com NEXT_PUBLIC_APP_BASE_PATH=/fl CELERY_LOG_LEVEL=INFO CELERY_WORKER_CONCURRENCY=4 diff --git a/memory/2026-05-16.md b/memory/2026-05-16.md index ae541e1..8ce5781 100644 --- a/memory/2026-05-16.md +++ b/memory/2026-05-16.md @@ -23,3 +23,27 @@ - 风险与关注点： - GitHub 仓库需预先配置 `REGISTRY_USERNAME` / `REGISTRY_PASSWORD` Secrets，否则构建登录阶段会失败。 - 若未来镜像仓库或命名空间变化，只需更新仓库 Variables `REGISTRY` / `REGISTRY_NAMESPACE`，无需再改工作流逻辑。 + +## Work Log - 登录接口跨域拦截定位与修复（2026-05-16） + +- 背景： + - 用户反馈 `http://223.109.142.84:3000/fl` 可打开，但登录时报错。 + - 现场前端 bundle 实际将 API 基址写死为 `http://127.0.0.1:8000`，运行时会改写为当前主机 `223.109.142.84:8000`。 + - 在线 `api` 容器实际运行于另一份部署目录 `/opt/fquiz/deploy/pro-deploy`，其 `API_CORS_ORIGINS` 仅允许 `https://quiz.example.com`。 + +- 本次改动： + - `/opt/git/fquiz/deploy/pro-deploy/.env` + - 将 `NEXT_PUBLIC_API_BASE_URL` 从 `https://quiz.example.com/api` 修正为 `https://quiz.example.com`，避免未来重发版后前端把接口拼成 `/api/api/v1/...`。 + - 在线部署 `/opt/fquiz/deploy/pro-deploy/.env.prod` + - 将 `API_CORS_ORIGINS` 调整为 `https://quiz.example.com,http://223.109.142.84:3000`。 + - 使用现有镜像强制重建 `api` 容器，使新的 CORS 白名单立即生效。 + +- 验证： + - `curl -i http://127.0.0.1:8000/health` 返回 `200 OK`。 + - `curl -i -X OPTIONS http://127.0.0.1:8000/api/v1/auth/login -H 'Origin: http://223.109.142.84:3000' -H 'Access-Control-Request-Method: POST'` + 返回 `200 OK`，且响应头包含 `access-control-allow-origin: http://223.109.142.84:3000`。 + - `curl -i -X POST http://127.0.0.1:8000/api/v1/auth/login -H 'Origin: http://223.109.142.84:3000' -H 'Content-Type: application/json' --data '{"user_id":"admin","password":"wrong-password"}'` + 返回 `401 Unauthorized`，同时保留 `access-control-allow-origin: http://223.109.142.84:3000`，说明跨域链路已打通，剩余仅取决于账号密码本身。 + +- 风险与关注点： + - 在线 `api` 仍配置 `REFRESH_COOKIE_SECURE=true`；若继续通过纯 HTTP IP 访问，刷新 token cookie 可能不会被浏览器持久化。短期内不影响本次“登录预检被拦截”的修复，但后续若要稳定保留登录态，建议切到 HTTPS 域名访问，或在明确接受风险的前提下改为 `false`。