Yunling Zhang
f23e252d3c
- README 新增「认证模式」章节：两种模式、默认值、SSO 安全前提与 nginx 接线示意 - .env.example 提供 AUTH_MODE=builtin 占位 - AGENTS.md 约定默认必须 builtin、协议端点永远保留自带账号 - 示例域名统一 example.com，无真实域名/私有 IP
972 B
972 B
davbox 项目约定
认证模式（AUTH_MODE）
- 管理端认证模式由环境变量
AUTH_MODE控制，只有两个取值：builtin与sso。 builtin是默认值，必须保持不变：自带管理员口令 + 登录页 + cookie 会话，陌生人 clone 后开箱即用。sso只信任网关注入的X-Auth-User（缺失或空 →401 JSON），不自行解析或校验 cookie/JWT；仅当 davbox 只监听回环、且由网关注入并剥离该请求头时才可使用。- 协议端点永远保留自带账号体系：WebDAV 数据面
/<账号名>/...与应用账号（/api/client/*）走各自的 Basic / 口令认证，两种模式下都不受AUTH_MODE影响。
其他
- 源码、配置、文档里不得出现真实域名、私有 IP、私有路径或真实口令；示例一律用
example.com。 - 新增依赖须经确认；不得引入 web 框架、ORM、日志库或前端 UI/路由/状态库。