fix(auth): 完善权限控制与强制改密流程

2026-09-17 16:33:09 +08:00
parent 81922d774f
commit 61b4b19f55
22 changed files with 618 additions and 59 deletions
@@ -65,6 +65,8 @@ Vant、Zod、PDF 预览、第三方签名组件和自动化测试暂不接入；

 真实流程会在进入页面时消费 Token，并在提交时携带 `deliveryId`、`uploadToken` 和幂等键。Token 消费接口目前只返回投递凭证，不返回正式文书内容，因此真实模式会停在安全提示页，不会让患者在未阅读正式文书时提交签名。待后端提供患者端文书读取接口后，再接入 PDF/文书展示和正式提交闭环。

+入口页会在消费前立即从地址栏移除 `token`、`signToken`、`t` 参数，并通过 `Referrer-Policy: no-referrer` 的页面元信息阻止凭证随后续请求外泄。部署网关仍应配置同名 HTTP 响应头，作为浏览器解析 HTML 前的保护。
+
 默认 `VITE_USE_MOCK=true` 时可以无 Token 演示完整页面交互；联调真实 Token 流程时设置 `VITE_USE_MOCK=false`，或直接使用带 `token`/`signToken`/`t` 查询参数的签署链接。

 ## 与医护端的关系