fix(security): P0 加固 — CORS凭证 / 反代真实IP / 统一认证限流 / 服务token缓存收窄

[Aqr-K]

概述

修复架构审计 §6 标记的 P0 安全遗留项（4 项），均为安全加固、不破坏对外行为。基于当前 v3-python（含 #92），全量 1985 passed / 1 skipped / 0 failed。

变更

1. CORS 凭证与通配源不可共存（factory.py）

allow_origins=["*"]（默认）+ allow_credentials=True 是误配——浏览器本就拒绝 *+credentials。
抽 _cors_allow_credentials(origins)：origins 含 * 时 allow_credentials=False，仅配置具体源时才放行带凭证跨域。同源前端不受影响。

2. 反代真实客户端 IP / XFF 信任白名单（main.py + config.py）

uvicorn 启用 proxy_headers=True + 新增 settings.FORWARDED_ALLOW_IPS（默认 127.0.0.1，仅信任本机）。
Docker+反代部署下，运维将其设为反代/网桥 IP 后，按可信代理白名单还原真实客户端 IP，使 (ip:username) 限流按真实 IP 生效——消除"所有客户端塌缩为反代 IP"导致的限流自伤 + 暴破绕过盲区。强制白名单避免不可信网络下伪造 XFF 绕过。

3. 统一认证限流器（core/auth_rate_limit.py + login.py + auth.py）

原 /access-token 与 /auth/flow/* 各持独立 KeyedWindowRateLimiter → 同 (ip,username) 暴破预算翻倍（10+10=20/60s）。
新增单一共享实例 auth_rate_limiter，三端点别名复用 → 统一 10/60s。保留模块级别名（_auth_rate_limiter / _auth_advance_rate_limiter）供端点代码引用与测试 monkeypatch，零测试改动。

4. 服务 token 缓存 de-auth 收窄（security.py）

__create_superuser_token_payload 的 @cached TTL 600→60s + guard 增 is_active 校验。
超管账户被停用/降权后，API_TOKEN/API_KEY 仍被当作超管的 de-auth 窗口由 600s 收窄至 ≤60s，并在缓存刷新时拒绝非激活账户。

测试计划

• 全量 pytest tests/：1985 passed / 1 skipped / 0 failed
• 新增 tests/test_p0_security_hardening.py：CORS 凭证逻辑 / 三端点共用同一限流器实例 / FORWARDED_ALLOW_IPS 安全默认
• 既有限流 monkeypatch 测试（test_api_authorization / test_auth_security_regression / test_sso_flow_unified）不变通过

运维须知（BREAKING-ish 配置语义）

• 反代部署：需设 FORWARDED_ALLOW_IPS=<反代/网桥 IP> 才能还原真实客户端 IP（否则限流按反代 IP，与此前行为一致）。
• 跨域带凭证场景：需把具体来源写入 ALLOWED_HOSTS（不能再依赖 *+凭证）。

关联

• 与 OPEN 的 fix(security): #53 API_TOKEN/API_KEY 经 URL 不再等价超管 [P0安全·BREAKING·优先级2/3] #90（API_TOKEN URL 降权 BREAKING）相互独立、不冲突。
• 审计 §3.B refactor(core): auth_bridge 去除直接 core→db 依赖(P1 收尾) #15/refactor(S8b): 抽 __handle_transfer block-1（识别块，多值回流）— 七块收官 #37/test(S8b): 扩集成夹具覆盖 __handle_transfer block-1 识别路径 #36、§6 P2 结构治理等非 P0 项不在本 PR。

🤖 Generated with Claude Code