LIN student dc974b6699 fix(message): WebPush 主动推送接口仅限超级管理员 ...

POST /message/webpush/send 只依赖 verify_token，会把调用方提供的
title、body、url 推送给 webpush_registry 中的全部浏览器订阅，包括其他
用户和管理员的浏览器。前端只调用 /message/webpush/subscribe，不调用该
接口。

改为与同模块 /message/web 一致的 get_current_active_superuser。
API_TOKEN / apikey 由 verify_token 映射为 SUPERUSER 对应的超级管理员
账号，经过该依赖后仍可调用，已有外部集成不受影响。

/message/webpush/subscribe 保持登录用户可用，每个用户的前端都会调用它
登记自己的浏览器。

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

2026-10-05 15:42:29 +08:00

14 KiB

Raw Blame History

View Raw