# ephron.ren 登录重定向失效修复方案

## 问题描述

在主页（www.ephron.ren）未登录状态下，点击右上角「未登录」跳转至登录页，输入账号密码点击登录后，页面不会自动重定向回主页，而是停留在登录页。

## 影响范围

所有子服务（Home / Blog / Canvas / Prompt）的登录后重定向均受影响。只要登录页 URL 中带有 `redirect` 参数指向其他子域名，登录后都无法跳转。

## 根因分析

### 直接原因

Chrome 浏览器的 CSP（Content Security Policy）引擎将登录表单的 POST 请求拦截了。

浏览器控制台报错：

```
Sending form data to 'https://auth.ephron.ren/api/login?redirect=https%3A//www.ephron.ren/'
violates the following Content Security Policy directive: "form-action 'self'".
The request has been blocked.
```

### 技术细节

站点响应头中设置了 CSP：

```
form-action 'self'
```

该指令限制表单只能提交到同源 URL。

**问题在于**：登录表单将 `redirect` 参数拼接在 form action 的 query string 中：

```html
<form method="POST" action="/api/login?redirect=https%3A//www.ephron.ren/">
```

Chrome 的 CSP 引擎在解析 form action URL 时，会将 query string 中的 `%3A` 解码为 `:`，使得 `://` 看起来像协议标识符。引擎误判该 URL 包含跨域目标（`https://www.ephron.ren/`），从而拦截了表单提交。

### 验证证据

| 场景 | form action | 结果 |
|------|------------|------|
| 不带 redirect 参数 | `/api/login` | ✅ 登录成功，跳转到 `/login-success` |
| 带 redirect 到自身域名 | `/api/login?redirect=https%3A//auth.ephron.ren/admin` | ✅ 正常 |
| 带 redirect 到其他子域名 | `/api/login?redirect=https%3A//www.ephron.ren/` | ❌ CSP 拦截 |

## 修复方案

将 `redirect` 参数从 URL query string 改为表单 hidden field，使 form action 保持干净，不含任何可能触发 CSP 误判的字符。

### 修改文件 1：`auth/templates/login.html`

```diff
-    <form class="login-form" method="POST" action="/api/login{% if redirect %}?redirect={{ redirect | urlencode }}{% endif %}">
+    <form class="login-form" method="POST" action="/api/login">

         {% if error %}
         <div class="alert alert-error">
             {{ error }}
         </div>
         {% endif %}

+        {% if redirect %}
+        <input type="hidden" name="redirect" value="{{ redirect }}">
+        {% endif %}
+
         <div class="form-group">
             <label for="username">用户名</label>
```

### 修改文件 2：`auth/src/routes/api.py`

```diff
  async def login(
      request: Request,
      username: str = Form(...),
      password: str = Form(...),
-     redirect: str | None = Query(default=None),
-     return_url: str | None = Query(default=None, alias="return_url"),
-     next_url: str | None = Query(default=None, alias="next"),
+     redirect: str | None = Form(default=None),
+     return_url: str | None = Form(default=None),
+     next_url: str | None = Form(default=None),
  ):
```

### 修复原理

| | 修改前 | 修改后 |
|--|--------|--------|
| form action | `/api/login?redirect=https%3A//www.ephron.ren/` | `/api/login` |
| redirect 传递方式 | URL query string | hidden form field（body） |
| CSP 检查 | action URL 含 `//` → 误判为跨域 → 拦截 | action URL 为纯路径 → 同源 → 放行 |

### 不受影响的部分

- 登录页 GET 请求传递 redirect 参数（query string）不受影响，CSP `form-action` 只拦截 POST
- 登录失败时重定向回登录页（携带 redirect 参数）不受影响，因为那是 303 跳转，不是表单提交
- `validate_redirect()` 安全校验逻辑无需修改
- cookie 设置逻辑无需修改