# davbox 项目约定

## 认证模式（AUTH_MODE）

- 管理端认证模式由环境变量 `AUTH_MODE` 控制，**只有两个取值：`builtin` 与 `sso`**。
- **`builtin` 是默认值，必须保持不变**：自带管理员口令 + 登录页 + cookie 会话，陌生人 clone 后开箱即用。
- `sso` 只信任网关注入的 `X-Auth-User`（缺失或空 → `401 JSON`），不自行解析或校验 cookie/JWT；**仅当 davbox 只监听回环、且由网关注入并剥离该请求头时才可使用**。
- **协议端点永远保留自带账号体系**：WebDAV 数据面 `/<账号名>/...` 与应用账号（`/api/client/*`）走各自的 Basic / 口令认证，两种模式下都不受 `AUTH_MODE` 影响。

## 其他

- 源码、配置、文档里**不得出现真实域名、私有 IP、私有路径或真实口令**；示例一律用 `example.com`。
- 新增依赖须经确认；不得引入 web 框架、ORM、日志库或前端 UI/路由/状态库。