feat: 为本地 HTTP API 增加 Token 鉴权与安全加固

- 使用 Electron safeStorage 加密存储并自动初始化 API Token - 为 health 以外的接口增加 Bearer Token 鉴权 - 限制 CORS 仅允许可信本地 Origin - 增加鉴权、Token rotation、safeStorage 和手动验收测试
2026-08-18 12:07:01 +08:00 · 2026-08-07 17:48:05 +08:00
parent 0c21008ec3
commit a73af3b5ad
33 changed files with 1328 additions and 130 deletions
@@ -0,0 +1,11 @@
+# WechatExplorer v2.1.9 API Authentication
+
+v2.1.9 为 Local HTTP API 增加 Bearer Token 鉴权。这是有意的 breaking change。
+
+- v2.1.8：`GET /api/v1/contact` 可能直接返回数据。
+- v2.1.9：相同请求必须携带 `Authorization: Bearer <TOKEN>`，否则返回 `401`。
+- `GET /api/v1/health` 保持公开。
+- 老用户升级后会自动生成并安全保存 Token，不改变原有 apiEnabled、host 或 port 设置。
+- Token 可在 WechatExplorer → API Center 中显示、复制和重新生成。
+
+Reader Skill 和本地 Agent 需要使用 `WECHATEXPLORER_API_TOKEN` 更新本机配置。