chore: 初始化仓库基线（AGENTS.md、git 规范、敏感文件排除）

server-go/internal/middleware/token_blacklist.go

@@ -0,0 +1,64 @@
+package middleware
+
+import (
+	"sync"
+	"time"
+
+	"github.com/golang-jwt/jwt/v5"
+)
+
+// tokenBlacklist 登出令牌黑名单（内存版，进程重启后失效，令牌自然过期兜底）
+type tokenBlacklist struct {
+	mu      sync.RWMutex
+	revoked map[string]time.Time // tokenID(jti) -> 过期时间
+}
+
+var defaultBlacklist = &tokenBlacklist{revoked: make(map[string]time.Time)}
+
+// RevokeToken 将令牌加入黑名单（按 jti，若无 jti 则按 subject+签发时间）
+func RevokeToken(claims *JWTClaims, tokenStr string, exp time.Time) {
+	id := tokenIdentifier(claims)
+	defaultBlacklist.mu.Lock()
+	defaultBlacklist.revoked[id] = exp
+	defaultBlacklist.mu.Unlock()
+}
+
+// IsRevoked 判断令牌是否已被吊销
+func IsRevoked(claims *JWTClaims) bool {
+	id := tokenIdentifier(claims)
+	defaultBlacklist.mu.RLock()
+	exp, ok := defaultBlacklist.revoked[id]
+	defaultBlacklist.mu.RUnlock()
+	if !ok {
+		return false
+	}
+	// 已过期的黑名单项自动清理
+	if time.Now().After(exp) {
+		defaultBlacklist.mu.Lock()
+		delete(defaultBlacklist.revoked, id)
+		defaultBlacklist.mu.Unlock()
+		return false
+	}
+	return true
+}
+
+// ExtractClaims 从 token 字符串解析 claims（供 logout handler 使用）
+func ExtractClaims(tokenStr string, secret string) (*JWTClaims, *jwt.Token, error) {
+	claims := &JWTClaims{}
+	token, err := jwt.ParseWithClaims(tokenStr, claims, func(t *jwt.Token) (interface{}, error) {
+		return []byte(secret), nil
+	}, jwt.WithValidMethods([]string{"HS256"}))
+	return claims, token, err
+}
+
+// tokenIdentifier 返回令牌唯一标识：优先 jti，否则用 subject+签发时间
+func tokenIdentifier(claims *JWTClaims) string {
+	if claims.ID != "" {
+		return claims.ID
+	}
+	iat := ""
+	if claims.IssuedAt != nil {
+		iat = claims.IssuedAt.Format(time.RFC3339Nano)
+	}
+	return claims.Subject + "|" + iat
+}