feat(user): 用户认证模块——注册/登录/JWT/验证码/限流

backend/Dockerfile

@@ -0,0 +1,57 @@
+# ── 后端 Dockerfile ──────────────────────────────────────────────────
+# 多阶段构建:builder 装依赖 → runtime 只拷贝产物，镜像更小
+
+# ── 阶段 1: 构建 ──
+FROM python:3.12-slim AS builder
+
+# 安装 uv（比 pip 快 10x）
+COPY --from=ghcr.io/astral-sh/uv:latest /uv /usr/local/bin/uv
+
+# ── 国内网络：走镜像源 + 拉长超时 ────────────────────────────────────────
+# 实测（2026-08-04，这台服务器）：宿主机访问 pypi.org 需 8s，构建容器内默认超时
+# 会在下载大包（uvloop）时 "operation timed out" 直接失败。
+ENV UV_DEFAULT_INDEX=https://mirrors.aliyun.com/pypi/simple/ \
+    UV_HTTP_TIMEOUT=180
+
+# 必须与 runtime 阶段同路径 —— venv 内的 shebang/.pth 是绝对路径，跨路径拷贝会失效
+WORKDIR /app
+
+# 先拷贝依赖定义，利用 Docker layer cache
+COPY pyproject.toml uv.lock ./
+COPY packages/common/pyproject.toml packages/common/
+COPY packages/framework/pyproject.toml packages/framework/
+COPY packages/ai_engine/pyproject.toml packages/ai_engine/
+COPY packages/app/pyproject.toml packages/app/
+
+# 安装依赖（不含 dev 依赖）
+RUN uv sync --frozen --no-dev --no-install-workspace
+
+# 拷贝源码并安装
+COPY packages/ packages/
+RUN uv sync --frozen --no-dev
+
+# ── 阶段 2: 运行时 ──
+FROM python:3.12-slim AS runtime
+
+WORKDIR /app
+
+# 从 builder 拷贝虚拟环境和包
+COPY --from=builder /app/.venv /app/.venv
+COPY --from=builder /app/packages /app/packages
+
+# 把 venv/bin 加入 PATH
+ENV PATH="/app/.venv/bin:$PATH"
+
+# 默认环境变量（可被 docker-compose / .env 覆盖）
+ENV WINDUP_HOST=0.0.0.0
+ENV WINDUP_PORT=8000
+ENV WINDUP_RELOAD=false
+
+EXPOSE 8000
+
+# 健康检查
+HEALTHCHECK --interval=30s --timeout=5s --retries=3 \
+    CMD python -c "import urllib.request; urllib.request.urlopen('http://localhost:8000/docs')" || exit 1
+
+# 启动命令
+CMD ["uvicorn", "windup_app.bootstrap.app:create_app", "--factory", "--host", "0.0.0.0", "--port", "8000"]

backend/packages/app/pyproject.toml

@@ -9,7 +9,7 @@ dependencies = [
     "windup-ai-engine",
     "fastapi>=0.115",
     "uvicorn[standard]>=0.30",
-    "pydantic>=2.7",
+    "pydantic[email]>=2.7",
     "sqlalchemy>=2.0",
     "python-multipart>=0.0.9",
 ]

backend/packages/app/src/windup_app/bootstrap/app.py

@@ -1,15 +1,104 @@
+
 """FastAPI 应用工厂与装配入口。
 
 ``create_app`` 负责创建 FastAPI 实例并挂载路由 / 中间件 / 异常处理,
 是整个 web 服务的唯一装配点(composition root)。
+
+``main`` 是开发启动入口:``python -m windup_app`` 或 ``windup`` 命令。
 """
 
+import os
+from contextlib import asynccontextmanager
+
+import windup_framework.db  # noqa: F401  组装时显式触发 DB engine/session 初始化
 from fastapi import FastAPI
+from fastapi.middleware.cors import CORSMiddleware
 
+from windup_app.server.orchestrator.executor import run_action_task, run_image_task
+from windup_app.web.api.auth import router as auth_router
+from windup_app.web.api.character import router as character_router
+from windup_app.web.api.generation import router as generation_router
 from windup_app.web.api.media import router as media_router
+from windup_app.web.api.project import router as project_router
+from windup_app.web.handler.exception_handlers import register_exception_handlers
+from windup_app.web.middleware.auth import AuthMiddleware
+from windup_app.web.middleware.ratelimit import RateLimitMiddleware
+
+
+def _env_flag(name: str) -> bool:
+    """把环境变量解析为真正的布尔值:仅 1/true/yes/on(忽略大小写与空白)视为 True。"""
+    return os.getenv(name, "").strip().lower() in {"1", "true", "yes", "on"}
+
+
+
+def _cors_origins() -> list[str]:
+    """允许跨域的前端来源，逗号分隔的 WINDUP_CORS_ORIGINS 覆盖。
+
+    不配这个中间件的话，浏览器会把前端的**所有**请求拦在预检那一步
+    （OPTIONS 返回 405、响应无 access-control-* 头），后端日志里连请求都看不到。
+    默认值覆盖本地 dev server 与 Vercel 预览域名。
+    """
+    raw = os.getenv("WINDUP_CORS_ORIGINS", "").strip()
+    if raw:
+        return [o.strip() for o in raw.split(",") if o.strip()]
+    return ["http://localhost:5173", "http://127.0.0.1:5173",
+            "http://localhost:3000", "http://127.0.0.1:3000"]
+
+
+def print_banner() -> None:
+    """启动时打印 banner(占位实现,后续替换为正式 ASCII banner)。"""
+    print("windup 0.1.0 starting ...")
+
+
+@asynccontextmanager
+async def _lifespan(app: FastAPI):
+    """应用启动时打印 banner,关闭时无特殊处理。"""
+    print_banner()
+    yield
 
 
 def create_app() -> FastAPI:
-    app = FastAPI(title="windup", version="0.1.0")
+    app = FastAPI(title="windup", version="0.1.0", lifespan=_lifespan)
+
+    # 中间件（执行顺序：请求先进 RateLimit，再进 Auth，最后到路由）
+    app.add_middleware(RateLimitMiddleware)
+    app.add_middleware(AuthMiddleware)
+
+    # 路由
+    app.include_router(auth_router)
+    app.add_middleware(
+        CORSMiddleware,
+        allow_origins=_cors_origins(),
+        allow_origin_regex=r"https://.*\.vercel\.app",
+        allow_credentials=True,
+        allow_methods=["*"],
+        allow_headers=["*"],
+    )
+    app.include_router(project_router)
+    app.include_router(character_router)
     app.include_router(media_router)
+    app.include_router(generation_router)
+
+    # 生成后台调度器注入 app.state
+    app.state.run_action_task = run_action_task
+    app.state.run_image_task = run_image_task
+
+    register_exception_handlers(app)
     return app
+
+
+def main() -> None:
+    """开发启动入口:用 uvicorn 跑 ``create_app``。"""
+    import uvicorn
+
+    uvicorn.run(
+        "windup_app.bootstrap.app:create_app",
+        factory=True,
+        host=os.getenv("WINDUP_HOST", "127.0.0.1"),
+        port=int(os.getenv("WINDUP_PORT", "8000")),
+        reload=_env_flag("WINDUP_RELOAD"),
+    )
+
+
+if __name__ == "__main__":
+    main()

backend/packages/app/src/windup_app/server/user/interface.py

@@ -1,6 +1,6 @@
 """用户领域服务抽象接口。
 
-API 层只依赖本模块定义的抽象，不感知具体实现（ORM / Redis / OAuth SDK）。
+API 层只依赖本模块定义的抽象，不感知具体实现（ORM / Redis / Resend）。
 """
 
 from abc import ABC, abstractmethod
@@ -11,7 +11,7 @@
     LoginByPasswordInput,
     LoginResult,
     RegisterInput,
-    User,
+    UserView,
 )
 
 
@@ -37,9 +37,10 @@ def login_by_password(self, input: LoginByPasswordInput) -> LoginResult:
         """
 
     @abstractmethod
-    def send_verification_code(self, email: str) -> None:
+    def send_verification_code(self, email: str, purpose: str) -> None:
         """发送邮箱验证码。
 
+        :param purpose: 用途，如 "login" / "register" / "reset_password"。
         :raises windup_common.exceptions.BizException: 发送频率超限。
         """
 
@@ -53,23 +54,20 @@ def login_by_code(self, input: LoginByCodeInput) -> LoginResult:
     # -- 登出 ------------------------------------------------------------
 
     @abstractmethod
-    def logout(self, session_token: str) -> None:
-        """销毁会话。"""
+    def logout(self, refresh_token: str) -> None:
+        """销毁 refresh_token。"""
 
-    # -- OAuth -----------------------------------------------------------
-    # 第三方认证暂不设计、不实现。保留该区域作为后续扩展占位。
-    # 相关 authorize / callback / bind 接口和 UserOAuth 模型暂时停用。
     # -- 会话管理 ---------------------------------------------------------
 
     @abstractmethod
-    def validate_session(self, session_token: str) -> User | None:
-        """校验会话并返回用户，过期 / 无效返回 ``None``。"""
+    def validate_access_token(self, token: str) -> UserView | None:
+        """校验 access_token 并返回用户，过期 / 无效返回 ``None``。"""
 
     @abstractmethod
-    def refresh_session(self, session_token: str) -> str:
-        """刷新会话，返回新 token；旧 token 立即失效。
+    def refresh_tokens(self, refresh_token: str) -> LoginResult:
+        """刷新 token，返回新的 access+refresh。
 
-        :raises windup_common.exceptions.BizException: 会话无效。
+        :raises windup_common.exceptions.BizException: refresh token 无效 / 已撤销。
         """
 
     # -- 密码 ------------------------------------------------------------
@@ -84,11 +82,9 @@ def change_password(self, user_id: int, input: ChangePasswordInput) -> None:
     # -- 查询 ------------------------------------------------------------
 
     @abstractmethod
-    def get_by_id(self, user_id: int) -> User | None:
+    def get_by_id(self, user_id: int) -> UserView | None:
         """按 ID 查询用户。"""
 
     @abstractmethod
-    def get_by_email(self, email: str) -> User | None:
+    def get_by_email(self, email: str) -> UserView | None:
         """按邮箱查询用户。"""
-
-    # 第三方认证暂不设计、不实现,因此没有 OAuth 绑定查询接口。