发布 0.1.0:通知渠道、告警规则、令牌版本与安全加固

internal/api/auth.go

@@ -18,10 +18,11 @@ type authHandler struct {
 }
 
 type loginRequest struct {
-	Username string `json:"username" binding:"required"`
-	Password string `json:"password" binding:"required"`
+	// 字段长度上限防超长输入撑爆登录守卫与 bcrypt(S-03)
+	Username string `json:"username" binding:"required,max=64"`
+	Password string `json:"password" binding:"required,max=128"`
 	// 两步验证码;账号已启用 TOTP 时必填,缺失返回 428
-	TotpCode string `json:"totpCode"`
+	TotpCode string `json:"totpCode" binding:"max=8"`
 }
 
 // login 校验用户名密码(与可选 TOTP)后签发 JWT。
@@ -64,7 +65,7 @@ func (h *authHandler) login(c *gin.Context) {
 		return
 	}
 	if err != nil {
-		c.JSON(http.StatusInternalServerError, gin.H{"error": err.Error()})
+		respondError(c, err)
 		return
 	}
 	h.recordLogin(c, req.Username, http.StatusOK, start)