Nexus/docs/changelog/2026-05-22-global-jwt-middleware.md

全局 JWT 中间件（F2a-10 / F2d-02）

日期: 2026-05-22

变更

• server/api/auth_jwt.py：新增 JwtAuthMiddleware，对所有 /api/* 请求在路由处理前校验 Bearer JWT；公开前缀见 PUBLIC_PREFIXES（含 /api/install/、/api/auth/logout）。
• server/main.py：在 DbSessionMiddleware 内层注册中间件（保证 request.state.db 可用）。
• get_current_admin：复用 request.state.admin，避免重复查库。
• 安装模式（无 .env）跳过 JWT 中间件，由 InstallModeMiddleware 返回 503。

纵深防御

路由层 Depends(get_current_admin) 保留；即使新路由漏挂 Depends，中间件仍会返回 401。

验证

pytest tests/test_step0_infrastructure.py::TestJWTAuth tests/test_nexus_v6.py::TestJWTAuth tests/test_security_unit.py -q