Atstatymo žetonų saugykla

Penki failai kaip skirtukai, priklausomybių tvarka: 00003_password_reset_tokens.sql → password_resets.sql → users.sql → sessions.sql → token.go (lentelė, jos užklausos ir du esami užklausų failai, kurie auga). Tada sqlc generate.

1. db/migrations/00003_password_reset_tokens.sql — žetonų saugykla, atkartojanti sessions:

token_hash TEXT NOT NULL UNIQUE,        -- maiša, niekada ne žetonas
user_id    UUID NOT NULL REFERENCES users(id) ON DELETE CASCADE,
expires_at TIMESTAMPTZ NOT NULL,
used_at    TIMESTAMPTZ                  -- NULL kol nepanaudotas → vienkartinis

used_at — vienkartinio vėliava: NULL reiškia šviežias, laiko žyma — panaudotas.

2. internal/db/queries/password_resets.sql — keturios užklausos: CreatePasswordReset, GetValidPasswordReset (ta, kuri užtikrina taisykles — used_at IS NULL AND expires_at > now()), MarkPasswordResetUsed ir InvalidateUserPasswordResets (sunaikinti visus vartotojo likusius).

3. internal/db/queries/users.sql (modify) — viena nauja užklausa, UpdateUserPassword. Grynas papildymas.

4. internal/db/queries/sessions.sql (modify) — viena nauja užklausa, DeleteSessionsForUser — „atjungti visus įrenginius" užklausa, kurią kvies užbaigtas atstatymas. Taip pat grynas papildymas.

5. internal/auth/token.go (naujas) — tas pats generatorius, kurį naudoja sesijos, dabar eksportuotas perpanaudojimui:

func GenerateToken() (raw, hash string, err error) {  // raw → nuoroda; hash → DB
	b := make([]byte, 32); rand.Read(b)
	raw = base64.RawURLEncoding.EncodeToString(b)
	return raw, HashToken(raw), nil
}
func HashToken(raw string) string { /* SHA-256, hex */ }

GenerateToken grąžina du dalykus: raw žetoną (keliauja į el. laiško nuorodą) ir jo hash (keliauja į duomenų bazę). Serveris niekada nesaugo raw žetono — tad, lygiai kaip sesijos ir slaptažodžiai, pavogta kopija neatskleidžia jokių veikiančių atstatymo nuorodų.

00003_password_reset_tokens.sql SUKURTI

Sukurk šį failą kataloge db/migrations/

-- +goose Up
-- +goose StatementBegin
-- Single-use, expiring password-reset tokens. Same pattern as sessions: the
-- emailed link carries the raw token, the database stores only its hash.
CREATE TABLE password_reset_tokens (
    id         UUID        PRIMARY KEY DEFAULT gen_random_uuid(),
    token_hash TEXT        NOT NULL UNIQUE,
    user_id    UUID        NOT NULL REFERENCES users(id) ON DELETE CASCADE,
    created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
    expires_at TIMESTAMPTZ NOT NULL,
    used_at    TIMESTAMPTZ
);
CREATE INDEX idx_password_reset_tokens_user_id ON password_reset_tokens(user_id);
-- +goose StatementEnd

-- +goose Down
-- +goose StatementBegin
DROP TABLE password_reset_tokens;
-- +goose StatementEnd

password_resets.sql SUKURTI

Sukurk šį failą kataloge internal/db/queries/

-- name: CreatePasswordReset :one
INSERT INTO password_reset_tokens (token_hash, user_id, expires_at)
VALUES ($1, $2, $3)
RETURNING *;

-- name: GetValidPasswordReset :one
SELECT * FROM password_reset_tokens
WHERE token_hash = $1
  AND used_at IS NULL
  AND expires_at > now();

-- name: MarkPasswordResetUsed :exec
UPDATE password_reset_tokens SET used_at = now() WHERE id = $1;

-- name: InvalidateUserPasswordResets :exec
UPDATE password_reset_tokens SET used_at = now()
WHERE user_id = $1 AND used_at IS NULL;

users.sql MODIFIKUOTI 3 eilutės pakeistos

Redaguok šį failą kataloge internal/db/queries/

-- name: CountUsers :one
SELECT count(*) FROM users;

-- name: CreateUser :one
INSERT INTO users (email, password_hash)
VALUES ($1, $2)
RETURNING *;

-- name: GetUserByEmail :one
SELECT * FROM users WHERE email = $1;

-- name: UpdateUserPassword :exec
UPDATE users SET password_hash = $2 WHERE id = $1;

sessions.sql MODIFIKUOTI 3 eilutės pakeistos

Redaguok šį failą kataloge internal/db/queries/

-- name: CreateSession :one
INSERT INTO sessions (token_hash, user_id, expires_at)
VALUES ($1, $2, $3)
RETURNING *;

-- name: GetUserBySessionToken :one
SELECT sqlc.embed(users)
FROM users
JOIN sessions ON sessions.user_id = users.id
WHERE sessions.token_hash = $1
  AND sessions.expires_at > now();

-- name: DeleteSession :exec
DELETE FROM sessions WHERE token_hash = $1;

-- name: DeleteSessionsForUser :exec
DELETE FROM sessions WHERE user_id = $1;

token.go SUKURTI

Sukurk šį failą kataloge internal/auth/

package auth

import (
	"crypto/rand"
	"crypto/sha256"
	"encoding/base64"
	"encoding/hex"
)

// GenerateToken returns a URL-safe random token (raw, to put in a link) and its
// SHA-256 hash (to store). We keep only the hash server-side, so the token in a
// password-reset email can't be reused from a database leak.
func GenerateToken() (raw, hash string, err error) {
	b := make([]byte, 32)
	if _, err := rand.Read(b); err != nil {
		return "", "", err
	}
	raw = base64.RawURLEncoding.EncodeToString(b)
	return raw, HashToken(raw), nil
}

// HashToken hashes a raw token for storage/lookup.
func HashToken(raw string) string {
	sum := sha256.Sum256([]byte(raw))
	return hex.EncodeToString(sum[:])
}