1

.env.example

@@ -20,13 +20,69 @@ NODE_SERVER_TARGET="http://127.0.0.1:8081"
 # Local Caddy upstream target used for dist-based testing.
 CADDY_API_UPSTREAM="http://127.0.0.1:8081"
 
-# Node backend SQLite database path.
-SQLITE_PATH=""
+# Editor and asset tool APIs. Defaults are enabled outside production and
+# disabled in production unless explicitly enabled.
+EDITOR_API_ENABLED="true"
+ASSETS_API_ENABLED="true"
+
+# Node backend PostgreSQL connection string.
+# Runtime persistence now uses PostgreSQL as the only formal backend baseline.
+DATABASE_URL="postgresql://postgres:postgres@127.0.0.1:5432/genarrative"
 
 # Node backend JWT settings.
 JWT_SECRET="CHANGE_ME_FOR_PRODUCTION"
-# 当前默认签发永久 JWT，此字段暂未使用，后续如果恢复有限期 token 再启用。
-JWT_EXPIRES_IN="7d"
+# Access token 有效期。
+JWT_EXPIRES_IN="2h"
+
+# Refresh session 配置。
+AUTH_REFRESH_COOKIE_NAME="genarrative_refresh_session"
+AUTH_REFRESH_SESSION_TTL_DAYS="30"
+AUTH_REFRESH_COOKIE_PATH="/api/auth"
+AUTH_REFRESH_COOKIE_SAME_SITE="Lax"
+AUTH_REFRESH_COOKIE_SECURE="false"
+
+# 手机号验证码登录配置（阿里云 PNVS）。
+# 正式环境请改成你自己的 AccessKey 和短信签名/模板。
+SMS_AUTH_ENABLED="false"
+SMS_AUTH_PROVIDER="aliyun"
+ALIYUN_SMS_ACCESS_KEY_ID=""
+ALIYUN_SMS_ACCESS_KEY_SECRET=""
+ALIYUN_SMS_ENDPOINT="dypnsapi.aliyuncs.com"
+# 默认使用阿里云文档中的赠送测试签名/模板，可按控制台实际配置覆盖。
+ALIYUN_SMS_SIGN_NAME="速通互联验证码"
+ALIYUN_SMS_TEMPLATE_CODE="100001"
+ALIYUN_SMS_TEMPLATE_PARAM_KEY="code"
+ALIYUN_SMS_COUNTRY_CODE="86"
+ALIYUN_SMS_CODE_LENGTH="6"
+ALIYUN_SMS_CODE_TYPE="1"
+ALIYUN_SMS_VALID_TIME_SECONDS="300"
+ALIYUN_SMS_INTERVAL_SECONDS="60"
+ALIYUN_SMS_DUPLICATE_POLICY="1"
+ALIYUN_SMS_CASE_AUTH_POLICY="1"
+ALIYUN_SMS_RETURN_VERIFY_CODE="false"
+SMS_AUTH_MAX_SEND_PER_PHONE_PER_DAY="20"
+SMS_AUTH_MAX_SEND_PER_IP_PER_HOUR="30"
+SMS_AUTH_MAX_VERIFY_FAILURES_PER_PHONE_PER_HOUR="12"
+SMS_AUTH_MAX_VERIFY_FAILURES_PER_IP_PER_HOUR="24"
+SMS_AUTH_CAPTCHA_TTL_SECONDS="180"
+SMS_AUTH_CAPTCHA_TRIGGER_VERIFY_FAILURES_PER_PHONE="3"
+SMS_AUTH_CAPTCHA_TRIGGER_VERIFY_FAILURES_PER_IP="5"
+SMS_AUTH_BLOCK_PHONE_FAILURE_THRESHOLD="6"
+SMS_AUTH_BLOCK_IP_FAILURE_THRESHOLD="10"
+SMS_AUTH_BLOCK_PHONE_DURATION_MINUTES="30"
+SMS_AUTH_BLOCK_IP_DURATION_MINUTES="30"
+
+# 仅开发环境可选：允许无短信配置时自动走游客账号。
+VITE_AUTH_ALLOW_DEV_GUEST="false"
+
+# 微信登录配置。
+# 当前实现已支持微信登录骨架与 mock 联调；正式联调需补齐开放平台 AppID / AppSecret。
+WECHAT_AUTH_ENABLED="false"
+WECHAT_AUTH_PROVIDER="wechat"
+WECHAT_APP_ID=""
+WECHAT_APP_SECRET=""
+WECHAT_CALLBACK_PATH="/api/auth/wechat/callback"
+WECHAT_REDIRECT_PATH="/"
 
 # Model name for chat completions.
 VITE_LLM_MODEL="doubao-1-5-pro-32k-character-250715"