feat(fam-core): 登录改接 auth-hub 统一登录（OAuth2 Authorization Code + PKCE / OIDC）

移除本地 FAM_AUTH_USER/PASS 账号密码校验和内置登录表单，/login 改为 302
跳转 auth-hub /authorize，新增 /api/auth/callback 完成 code 换 token +
id_token 签名验证（PyJWT + JWKS），验证通过后种回原有 fam_session cookie，
is_authed()/全局登录拦截逻辑不变。接入参数走环境变量，未配置齐全 fail
closed。本地起 auth-hub 开发实例 + 真实浏览器验证过完整登录/登出闭环。

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

fam-core/src/fam_core/auth.py

@@ -1,20 +1,28 @@
 """
-Auth - FAM-Core 登录校验（2026-08-22 新增）
+Auth - FAM-Core 登录校验（2026-08-22 新增；2026-08-31 接入 auth-hub 统一登录改造）
 
 背景：NAS :8000（fam-core + FAM-UI）通过 frp 暴露到外网后，需要先登录才能访问。
 
-- 账号密码：环境变量 FAM_AUTH_USER / FAM_AUTH_PASS，由 NAS 的 start_core.sh
-  source .env 注入。2026-08-23 起不再提供硬编码默认值——这两个环境变量跟
-  NAS SSH 密码是同一个值，公网入口用同一串密码兜底、还写死在代码里是双重
-  风险；.env 没配置好这两个变量时，直接拒绝所有登录（fail closed），而不是
-  悄悄退回一个大家都知道的密码。
+- 登录方式：不再自己校验账号密码，全权委托给独立部署的 auth-hub（OAuth2
+  Authorization Code + PKCE / OIDC）。/login 直接 302 跳到 auth-hub 的
+  /authorize，用户在 auth-hub 上登录后带 code 跳回本服务的
+  /api/auth/callback，服务端拿 code 换 token、验完 id_token 签名后建立本地
+  会话——本服务自身不再保存、也不再校验任何密码。
+- 接入参数从环境变量读（.env 注入，由 start_core.sh source）：
+  `AUTH_HUB_ISSUER` / `AUTH_HUB_CLIENT_ID` / `AUTH_HUB_CLIENT_SECRET` /
+  `AUTH_HUB_REDIRECT_URI`（必须跟在 auth-hub 用 manage_clients 注册时登记的
+  redirect_uri 逐字符一致，auth-hub 只做精确匹配）。四个变量任一没配置时直接
+  拒绝登录（fail closed）——跟之前账号密码时代的取舍一致：本服务监听
+  0.0.0.0，没有"配置不全就退回某种默认放行"这种兜底。
 - 登录态：进程内 token 表 + HttpOnly cookie（fam_session），2 小时有效；
-  重启进程后需重新登录（可接受，见 config/auth 说明）。
+  重启进程后需重新登录（可接受，见 config/auth 说明）。这一段跟接入 SSO
+  之前完全一样，只是"怎么发这个 cookie"变了，下游（`is_authed()`/白名单/
+  拦截逻辑）不用改。
 - 拦截策略（app.before_request 全局生效）：
     * 页面路径未登录      -> 302 重定向 /login
     * /api/* 未登录       -> 401 JSON
 - 白名单免登录：
-    * /login /api/login /api/logout /api/auth/check —— 登录流程本身
+    * /login /api/auth/callback /api/logout /api/auth/check —— 登录流程本身
     * /health                                   —— 内部健康检查
     * /api/ss/webhook                           —— Surveillance Station 推送无法携带登录态
     * /assets/*、/favicon.ico                   —— SPA 静态资源
@@ -22,9 +30,13 @@ Auth - FAM-Core 登录校验（2026-08-22 新增）
 import os
 import secrets
 import time
+from base64 import urlsafe_b64encode
+from hashlib import sha256
+from urllib.parse import urlencode
 
-from flask import (Blueprint, Response, jsonify, make_response,
-                   redirect, request)
+import jwt
+import requests
+from flask import Blueprint, jsonify, make_response, redirect, request
 
 from .logger import setup_logger
 
@@ -33,25 +45,43 @@ logger = setup_logger('fam-core.auth')
 auth_bp = Blueprint('auth', __name__)
 
 _SESSION_TTL = 2 * 3600        # cookie 有效期 2 小时
+_PENDING_TTL = 10 * 60         # /login -> /api/auth/callback 之间的等待上限
 _sessions = {}                 # token -> 过期时间戳（进程内；重启需重新登录）
+_pending = {}                  # state -> {verifier, expires}（进程内；PKCE 用）
 _warned_unconfigured = False   # 只在第一次拒绝登录时打一条警告日志，别刷屏
 
+_jwks_client = None            # jwt.PyJWKClient 单例，内建 JWKS 缓存
 
-def _check_credential(username: str, password: str) -> bool:
-    """账号密码校验。凭据必须从环境变量读（.env 注入），不提供硬编码默认值——
-    这两个变量跟 NAS SSH 密码是同一个值，公网入口不能有"没配置就退回已知密码"
-    这种兜底，宁可直接拒绝所有登录（fail closed），等运维发现并配置好 .env。"""
+
+def _auth_hub_config():
+    """auth-hub 接入参数，四个变量都是必需的。"""
+    return {
+        'issuer': os.environ.get('AUTH_HUB_ISSUER', ''),
+        'client_id': os.environ.get('AUTH_HUB_CLIENT_ID', ''),
+        'client_secret': os.environ.get('AUTH_HUB_CLIENT_SECRET', ''),
+        'redirect_uri': os.environ.get('AUTH_HUB_REDIRECT_URI', ''),
+    }
+
+
+def _require_auth_hub_config():
+    """校验四个环境变量齐全，缺任何一个都拒绝（fail closed）。返回配置 dict 或 None。"""
     global _warned_unconfigured
-    user = os.environ.get('FAM_AUTH_USER', '')
-    pwd = os.environ.get('FAM_AUTH_PASS', '')
-    if not user or not pwd:
+    cfg = _auth_hub_config()
+    if not all(cfg.values()):
         if not _warned_unconfigured:
             logger.error(
-                "FAM_AUTH_USER/FAM_AUTH_PASS 未配置，拒绝所有登录——"
-                "请在 .env 里设置这两个环境变量后重启 fam-core")
+                "AUTH_HUB_ISSUER/CLIENT_ID/CLIENT_SECRET/REDIRECT_URI 未配置齐全，"
+                "拒绝所有登录——请在 .env 里设置后重启 fam-core")
             _warned_unconfigured = True
-        return False
-    return (username or '') == user and (password or '') == pwd
+        return None
+    return cfg
+
+
+def _get_jwks_client(jwks_uri: str):
+    global _jwks_client
+    if _jwks_client is None or _jwks_client.uri != jwks_uri:
+        _jwks_client = jwt.PyJWKClient(jwks_uri)
+    return _jwks_client
 
 
 def is_authed() -> bool:
@@ -67,11 +97,24 @@ def is_authed() -> bool:
     return True
 
 
+def _create_session() -> str:
+    tok = secrets.token_hex(24)
+    _sessions[tok] = time.time() + _SESSION_TTL
+    return tok
+
+
+def _cleanup_pending():
+    now = time.time()
+    expired = [s for s, v in _pending.items() if v['expires'] < now]
+    for s in expired:
+        _pending.pop(s, None)
+
+
 # ---------------------------------------------------------------------------
 # 白名单（免登录）
 # ---------------------------------------------------------------------------
 _WHITELIST_EXACT = {
-    '/login', '/api/login', '/api/logout', '/api/auth/check',
+    '/login', '/api/auth/callback', '/api/logout', '/api/auth/check',
     '/health', '/favicon.ico',
 }
 _WHITELIST_PREFIX = ('/assets/',)
@@ -103,24 +146,85 @@ def init_auth(app):
 # ---------------------------------------------------------------------------
 @auth_bp.route('/login', methods=['GET'])
 def login_page():
+    """不再自己渲染登录表单，直接跳到 auth-hub 走 Authorization Code + PKCE。"""
     if is_authed():
         return redirect('/')
-    return Response(_LOGIN_HTML, mimetype='text/html')
+
+    cfg = _require_auth_hub_config()
+    if not cfg:
+        return jsonify({"error": "登录服务未配置"}), 503
+
+    _cleanup_pending()
+    verifier = secrets.token_urlsafe(48)
+    challenge = urlsafe_b64encode(sha256(verifier.encode('ascii')).digest()).rstrip(b'=').decode('ascii')
+    state = secrets.token_hex(24)
+    _pending[state] = {'verifier': verifier, 'expires': time.time() + _PENDING_TTL}
+
+    params = {
+        'response_type': 'code',
+        'client_id': cfg['client_id'],
+        'redirect_uri': cfg['redirect_uri'],
+        'scope': 'openid profile',
+        'state': state,
+        'code_challenge': challenge,
+        'code_challenge_method': 'S256',
+    }
+    return redirect(f"{cfg['issuer']}/authorize?{urlencode(params)}")
 
 
-@auth_bp.route('/api/login', methods=['POST'])
-def login():
-    data = request.get_json(silent=True) or request.form
-    username = (data.get('username') or '').strip()
-    password = data.get('password') or ''
-    if not _check_credential(username, password):
-        return jsonify({"error": "账号或密码错误"}), 401
-    tok = secrets.token_hex(24)
-    _sessions[tok] = time.time() + _SESSION_TTL
-    resp = make_response(jsonify({"ok": True}))
-    resp.set_cookie('fam_session', tok, max_age=_SESSION_TTL,
-                    httponly=True, samesite='Lax', path='/')
-    return resp
+@auth_bp.route('/api/auth/callback', methods=['GET'])
+def auth_callback():
+    cfg = _require_auth_hub_config()
+    if not cfg:
+        return jsonify({"error": "登录服务未配置"}), 503
+
+    if request.args.get('error'):
+        logger.warning(f"auth-hub 登录被拒绝: {request.args.get('error')}")
+        return redirect('/login')
+
+    state = request.args.get('state', '')
+    code = request.args.get('code', '')
+    pending = _pending.pop(state, None)
+    if not pending or pending['expires'] < time.time() or not code:
+        logger.warning("auth-hub 回调 state 缺失/过期/重放，拒绝")
+        return redirect('/login')
+
+    try:
+        resp = requests.post(
+            f"{cfg['issuer']}/token",
+            data={
+                'grant_type': 'authorization_code',
+                'code': code,
+                'redirect_uri': cfg['redirect_uri'],
+                'client_id': cfg['client_id'],
+                'client_secret': cfg['client_secret'],
+                'code_verifier': pending['verifier'],
+            }, timeout=(10, 15))
+    except requests.RequestException as e:
+        logger.error(f"auth-hub /token 请求失败: {e}")
+        return redirect('/login')
+
+    if resp.status_code != 200:
+        logger.warning(f"auth-hub /token 拒绝: {resp.status_code} {resp.text[:200]}")
+        return redirect('/login')
+
+    id_token = (resp.json() or {}).get('id_token', '')
+    try:
+        jwks_client = _get_jwks_client(f"{cfg['issuer']}/.well-known/jwks.json")
+        signing_key = jwks_client.get_signing_key_from_jwt(id_token)
+        claims = jwt.decode(id_token, signing_key.key, algorithms=['RS256'],
+                            audience=cfg['client_id'], issuer=cfg['issuer'])
+    except jwt.PyJWTError as e:
+        logger.warning(f"id_token 验签/校验失败: {e}")
+        return redirect('/login')
+
+    username = claims.get('preferred_username', '')
+    tok = _create_session()
+    resp2 = make_response(redirect('/'))
+    resp2.set_cookie('fam_session', tok, max_age=_SESSION_TTL,
+                     httponly=True, samesite='Lax', path='/')
+    logger.info(f"登录成功 username={username}")
+    return resp2
 
 
 @auth_bp.route('/api/logout', methods=['POST'])
@@ -136,86 +240,3 @@ def logout():
 @auth_bp.route('/api/auth/check', methods=['GET'])
 def check():
     return jsonify({"authed": is_authed()})
-
-
-# ---------------------------------------------------------------------------
-# 登录页（内嵌 HTML，深色风格与 fam-ui 一致；前端 SPA 无需改动）
-# ---------------------------------------------------------------------------
-_LOGIN_HTML = """<!DOCTYPE html>
-<html lang="zh-CN">
-<head>
-<meta charset="utf-8">
-<meta name="viewport" content="width=device-width, initial-scale=1">
-<title>家庭监控 · 登录</title>
-<style>
-  * { margin:0; padding:0; box-sizing:border-box; }
-  body {
-    min-height:100vh; display:flex; align-items:center; justify-content:center;
-    background: radial-gradient(1200px 600px at 20% -10%, #1e293b 0%, #0b1120 55%, #0b1120 100%);
-    font-family: -apple-system, BlinkMacSystemFont, "Segoe UI", "PingFang SC", "Microsoft YaHei", sans-serif;
-    color:#e2e8f0;
-  }
-  .card {
-    width:360px; padding:40px 36px 32px; border-radius:16px;
-    background: rgba(15,23,42,.75); border:1px solid rgba(148,163,184,.18);
-    box-shadow: 0 24px 64px rgba(0,0,0,.45);
-  }
-  .logo { font-size:26px; font-weight:700; letter-spacing:.5px; margin-bottom:6px; }
-  .logo span { color:#38bdf8; }
-  .sub { font-size:13px; color:#94a3b8; margin-bottom:28px; }
-  label { display:block; font-size:12px; color:#94a3b8; margin:14px 0 6px; }
-  input {
-    width:100%; padding:10px 12px; border-radius:8px; font-size:14px; color:#e2e8f0;
-    background:#0f172a; border:1px solid #334155; outline:none; transition:border .15s;
-  }
-  input:focus { border-color:#38bdf8; }
-  button {
-    width:100%; margin-top:24px; padding:11px; border:none; border-radius:8px;
-    font-size:14px; font-weight:600; color:#0b1120; background:#38bdf8; cursor:pointer;
-    transition:background .15s, transform .05s;
-  }
-  button:hover { background:#0ea5e9; }
-  button:active { transform: scale(.98); }
-  .err { margin-top:14px; font-size:13px; color:#f87171; min-height:18px; text-align:center; }
-  .foot { margin-top:22px; text-align:center; font-size:11px; color:#475569; }
-</style>
-</head>
-<body>
-  <div class="card">
-    <div class="logo">家庭监控 <span>FAM</span></div>
-    <div class="sub">请输入账号密码登录后访问</div>
-    <form id="f">
-      <label for="u">账号</label>
-      <input id="u" name="username" autocomplete="username" autofocus required>
-      <label for="p">密码</label>
-      <input id="p" name="password" type="password" autocomplete="current-password" required>
-      <button type="submit">登 录</button>
-    </form>
-    <div class="err" id="err"></div>
-    <div class="foot">Sentinel Home AI</div>
-  </div>
-<script>
-  document.getElementById('f').addEventListener('submit', async (e) => {
-    e.preventDefault();
-    const err = document.getElementById('err');
-    err.textContent = '';
-    try {
-      const r = await fetch('/api/login', {
-        method: 'POST',
-        headers: {'Content-Type': 'application/json'},
-        body: JSON.stringify({
-          username: document.getElementById('u').value.trim(),
-          password: document.getElementById('p').value
-        })
-      });
-      if (r.ok) { location.href = '/'; return; }
-      const d = await r.json().catch(() => ({}));
-      err.textContent = d.error || ('登录失败（' + r.status + '）');
-    } catch (ex) {
-      err.textContent = '网络错误，请重试';
-    }
-  });
-</script>
-</body>
-</html>
-"""