Method LoginFromRequest

internal/auth/auth.go:198–222

LoginFromRequest 供面板 handler 调用，携带 IP 用于暴力破解防护。

(r *http.Request, username, password string)

// LoginFromRequest 供面板 handler 调用，携带 IP 用于暴力破解防护。
func (m *Manager) LoginFromRequest(r *http.Request, username, password string) (string, error) {
	ip := clientIP(r)
	if m.isLocked(ip) {
		return "", errors.New("too many failed attempts, try later")
	}
	_, adminUsername, hash, ok := m.adminStore.GetAdminUser()
	if !ok || username != adminUsername {
		m.recordFailure(ip)
		return "", errors.New("invalid credentials")
	}
	if len(password) > 72 {
		m.recordFailure(ip)
		return "", errors.New("invalid credentials")
	}
	if err := bcrypt.CompareHashAndPassword([]byte(hash), []byte(password)); err != nil {
		m.recordFailure(ip)
		return "", errors.New("invalid credentials")
	}
	m.clearFailures(ip)
	token := randomToken()
	if err := m.sessions.Create(token, username); err != nil {
		return "", err
	}
	return token, nil
}

// CreateSession 直接为指定用户名创建 session，供 Discourse SSO 等第三方认证使用。
func (m *Manager) CreateSession(username string) (string, error) {