Методы аутентификации
Сессионные cookie
- Срок действия 30 дней
- HttpOnly, SameSite=Strict
- Создаются при входе через
/api/auth/login
API-ключи
- Bearer-токен в заголовке
Authorization(Authorization: Bearer bmx_...) - Ключи привязаны к пользователям и наследуют их роль/разрешения
- Хранятся в базе данных в виде хеша SHA-256
Процесс аутентификации
authMiddlewareсначала проверяет Bearer-токен- Затем проверяет сессионный cookie
- Ответ 401, если ни один из них не валиден
Эндпоинты без аутентификации
Администратор по умолчанию
При первом запуске создаётся учётная запись администратора по умолчанию:- Логин:
admin - Пароль:
admin - Установлен флаг
must_change_password— пользователь должен сменить пароль при первом входе