修复本地开发不走统一登陆

go/conf/app.conf

@@ -5,17 +5,15 @@ runmode = dev
 # 启用请求体复制（允许多次读取请求体）
 copyrequestbody = true
 
-# 服务器超时配置（支持大文件上传）
+# ==================== 服务器超时 / 请求体大小 ====================
 # 0 表示不设置超时限制
 ServerTimeOut = 0
-# 最大请求体大小（字节），0 表示不限制
-MaxMemory = 0
 
-# 最大请求体大小（用于普通请求，10MB）
+# 最大请求体大小（字节）。本地开发建议统一为 10MB，避免误传大文件打爆内存。
 maxmemory = 10485760
 
-# 数据库配置
-# MySQL - 远程连接配置
+# ==================== 数据库配置 ====================
+# MySQL - 远程连接配置（本地开发连线上测试库）
 mysqluser = root
 mysqlpass = Lzq920103
 # mysqlurls = 10.31.100.4:3306
@@ -25,63 +23,53 @@ mysqldb   = go-platform
 # ORM配置
 orm = mysql
 
-# 配置静态文件目录
+# ==================== 静态文件目录 ====================
 # 映射 /static 路径到前端 dist 目录
 # StaticDir = /static:../front/dist
 
-# 映射 /uploads 路径到上传文件目录（项目根目录下的 uploads 文件夹） 
-StaticDir = /uploads:../uploads  
+# 映射 /uploads 路径到上传文件目录（项目根目录下的 uploads 文件夹）
+StaticDir = /uploads:../uploads
 
 # ==================== 租户自有域名绑定 / 自动 HTTPS ====================
-# 租户把自己的子域名 CNAME 到这个主机名（该主机名需先 A 记录指向本服务器）
-# 例：customdomain_cname_target = sites.yunzer.com.cn
+# 本地开发不涉及，留空即可
 customdomain_cname_target =
-
-# 允许的 A 记录目标 IP（多个用英文逗号分隔）。根域通常不能用 CNAME，只能 A 记录。
-# 例：customdomain_a_ips = 1.2.3.4,5.6.7.8
 customdomain_a_ips =
-
-# Let's Encrypt 账号邮箱（证书到期提醒、账号注册用）
 acme_email =
-
-# ACME 目录地址。留空使用 Let's Encrypt 正式环境。
-# 联调时建议先填 staging 避免触发正式环境频控：
-# acme_directory = https://acme-staging-v02.api.letsencrypt.org/directory
 acme_directory =
-
-# 证书落盘根目录。签发后生成 {ssl_cert_dir}/{域名}/fullchain.pem 与 privkey.pem，
-# Nginx 扑底站点按 SNI 读取该目录。Go 进程需要对此目录有写权限。
 ssl_cert_dir = /www/wwwroot/ssl-certs
 
 # ==================== 统一认证中心（UAC）基础配置 ====================
-# 全局 JWT 鉴权模式：off=不启用（等同改造前）/ warn=观察模式只记日志不拦截 / on=真正拦截401
-# 上线步骤：先 warn 跑一段时间核对日志，确认白名单无遗漏后再改 on
+# 全局 JWT 鉴权模式：off=不启用 / warn=观察模式只记日志不拦截 / on=真正拦截401
+# 本地开发建议 off 或 warn，避免调试接口被 401 拦截
 auth_enforce = warn
 # 额外免鉴权路径前缀（在内置白名单之外追加），多个用英文逗号分隔
 auth_whitelist =
 
 # JWT 签发者（统一认证中心地址）
 jwt_issuer = https://api.yunzer.cn/auth
-# HS256 主密钥：留空则沿用内置默认密钥（兼容历史 token），生产环境务必配置
-# 注意：修改后所有已签发的旧 token 立即失效，需在业务低峰期操作
+# HS256 主密钥：留空则沿用内置默认密钥（兼容历史 token）
 jwt_secret = peaceandlove
 # HS256 轮换密钥（用于平滑换密钥），格式：kid1:secret1,kid2:secret2
 jwt_secrets =
 
-# RS256 密钥对（P1 认证中心启用；未配置时自动回落 HS256，不影响启动）
-# 生成命令：
-#   openssl genpkey -algorithm RSA -out jwt_rsa_private.pem -pkeyopt rsa_keygen_bits:2048
-#   openssl rsa -pubout -in jwt_rsa_private.pem -out jwt_rsa_public.pem
-# 私钥文件不要提交到代码仓库
-jwt_rsa_private_key_file = E:\Demo\ssh\jwt_rsa_private.pem
-jwt_rsa_public_key_file = E:\Demo\ssh\jwt_rsa_public.pem
+# RS256 密钥对（认证中心签发用私钥，业务端验签只用公钥）
+#
+# 本地开发对接线上认证中心（https://api.yunzer.cn/auth）时：
+#   - token 由线上用「线上私钥」签发（jwtutil 固定 Alg=RS256，见 services/auth/token.go）
+#   - 本地业务接口必须用「线上公钥」验签，否则一律 401「无效的token」
+#   - conf/jwt_rsa_public.pem 即线上 /auth/jwks.json 还原出的公钥（kid=rsa-1）
+#
+# 注意：不要在这里启用与上面公钥不配对的私钥，否则本地签发的 RS256 token 会验签失败。
+# 仅当需要在本地自建认证中心并签发 RS256 时才配置私钥，且公钥必须与它配对。
+jwt_rsa_private_key_file =
+jwt_rsa_public_key_file = E:\Demos\DemoOwns\Go\yunzerwebsiteallinone\go\conf\jwt_rsa_public.pem
 jwt_rsa_kid = rsa-1
 
 # ==================== 微信公众号（服务号） ====================
 # 服务号 AppSecret / EncodingAESKey 入库加密密钥：任意随机串即可，代码内部做 SHA-256 派生。
 # 注意：更换该值后，历史已保存的公众号密钥将无法解密，需在「通知设置 → 微信配置」重新保存一次。
 wechat_mp_secret_key = 8f3c2a1d94b74e28a6c5f0187d3e9b4c72a5d0e6f13b8c47d92a6e5f0b7c3148
-# 微信服务器回调地址基址（默认回落 payment_callback_base，即 https://api.yunzer.cn）：
+# 微信服务器回调地址基址（默认回落 payment_callback_base）：
 # wechat_mp_callback_base = https://api.yunzer.cn
 
 # ==================== 支付模块 ====================
@@ -89,15 +77,9 @@ wechat_mp_secret_key = 8f3c2a1d94b74e28a6c5f0187d3e9b4c72a5d0e6f13b8c47d92a6e5f0
 # 注意：更换该值后，历史已保存的渠道参数将无法解密，需在各渠道配置页重新保存一次。
 payment_secret_key = f656fe85ed6a1caba9f19966d8cdde46114709969bea5875cde7664d4ad9f535
 # 渠道异步回调的对外基址：最终回调地址 = {payment_callback_base}/api/payment/callback/{渠道}
-# TODO: 填你自己服务器的公网 HTTPS 域名（如 https://api.yunzer.com.cn），不是申请来的。
-# 要求：公网可访问、HTTPS、无鉴权无重定向；微信 JSAPI 还需在商户平台「支付授权目录」登记同一域名。
 # 本地开发收不到渠道回调，留空即可（回调地址退化为相对路径 /api/payment/callback/{渠道}，由网关补齐域名）。
-payment_callback_base = https://api.yunzer.cn
+payment_callback_base =
 
 # 渠道证书落盘根目录（各渠道目录的父目录，实际路径 = {payment_cert_dir}/{渠道}/xxx.pem）。
-# 留空时按进程工作目录下的 certs/payment 处理。
-# 历史数据里 cert_json 存的是相对路径（相对「当初上传时」的进程工作目录），
-# 若服务的工作目录与当初不一致（例如上传时是 /www/wwwroot/api.yunzer.cn，现在跑在 /app），
-# 把这里配成当初上传用的绝对目录即可继续读到旧证书，无需重新上传：
-  payment_cert_dir = /www/wwwroot/api.yunzer.cn/certs/payment/wechat
-# payment_cert_dir =
+# 本地开发如需测试支付证书，填本地绝对路径；否则留空，按进程工作目录下的 certs/payment 处理。
+payment_cert_dir =