自主注册、登录、退出、当前用户与密码修改

兼容现有 PBKDF2 密码和 hz_session Cookie
TOTP 绑定、二步登录、防重放、恢复码与 AES-GCM 密钥
与 Node 完全一致的 Redis 键格式，可跨运行时共享会话
生产环境开启原生认证时强制要求 Redis
默认保持兼容代理；设置 AUTH_NATIVE_ENABLED=true 即可切换

.env.example

@@ -15,9 +15,15 @@ PORT=4173
 # REDIS_SESSION_DB=1
 # REDIS_SESSION_PREFIX=exam-information:auth
 # AUTH_SESSION_TTL_SECONDS=28800
+# AUTH_LOGIN_CHALLENGE_TTL_SECONDS=300
+# AUTH_TOTP_SETUP_TTL_SECONDS=600
 # 如需让认证状态使用另一台 Redis，可设置独立地址；URL 中可直接指定逻辑 DB。
 # REDIS_SESSION_URL=rediss://session-redis.example.com:6379/1
 
+# 原生 ASP.NET Core 认证切换。迁移期间默认关闭；生产环境开启时必须配置共享 Redis，
+# 以便尚未迁移的 Node 受保护接口识别由 ASP.NET Core 创建的会话。
+AUTH_NATIVE_ENABLED=false
+
 # 仅在首次创建空数据库时使用。部署前务必修改初始密码。
 INITIAL_ADMIN_USERNAME=admin
 INITIAL_ADMIN_PASSWORD=Admin123!

Directory.Packages.props

@@ -6,7 +6,9 @@
     <PackageVersion Include="AngleSharp" Version="1.5.2" />
     <PackageVersion Include="Microsoft.Data.Sqlite" Version="10.0.10" />
     <PackageVersion Include="MySqlConnector" Version="2.6.1" />
+    <PackageVersion Include="QRCoder" Version="1.8.0" />
     <PackageVersion Include="SQLitePCLRaw.bundle_e_sqlite3" Version="3.0.4" />
+    <PackageVersion Include="StackExchange.Redis" Version="3.0.17" />
     <PackageVersion Include="Microsoft.NET.Test.Sdk" Version="18.8.1" />
     <PackageVersion Include="xunit" Version="2.9.3" />
     <PackageVersion Include="xunit.runner.visualstudio" Version="3.1.5" />

MIGRATION.md

@@ -10,7 +10,7 @@
 - [x] 存活与迁移就绪检查
 - [x] 公开首页与已发布通知（原生 SQLite / MySQL 读取）
 - [x] 招生公示与 HMAC 文书验真公开接口
-- [ ] 登录、Session 与 TOTP
+- [x] 登录、自主注册、Session 与 TOTP（兼容开关默认关闭）
 - [ ] 考生业务
 - [ ] 管理后台、审批流和考务编排
 - [ ] 招生录取
@@ -39,6 +39,14 @@ dotnet run --project .\src\Eis.Web\Eis.Web.csproj
 
 可通过配置 `LegacyNode:Enabled=false` 禁用兼容转发；此时尚未迁移的 API 会返回 `501`。
 
+认证域的 ASP.NET Core 原生实现已经覆盖 `/api/auth/*`，包括现有 PBKDF2 密码、`hz_session` Cookie、登录挑战、TOTP、防重放、恢复码和自主注册。迁移期间默认仍由 Node 处理认证；显式设置以下变量后切换到原生实现：
+
+```powershell
+$env:AUTH_NATIVE_ENABLED = 'true'
+```
+
+开发环境未配置 Redis 时可以使用进程内状态独立验证原生认证。生产环境以及仍需访问 Node 受保护接口的联调环境必须配置 `REDIS_URL` 或 `REDIS_SESSION_URL`；两个运行时会复用相同逻辑库和 `exam-information:auth` 键前缀，从而共享登录会话。`GET /health/migration` 会报告 `authentication.nativeEnabled`、状态后端和跨运行时会话共享能力。
+
 完整的宿主、静态资源、JSON 转发和 Session Cookie 冒烟测试：
 
 ```powershell