3rd_fix download

app/utils/decorators.py

@@ -90,42 +90,64 @@ def jwt_login_required(f):
 
 
 def admin_required(f):
-    """管理員權限裝飾器"""
+    """管理員權限裝飾器（使用JWT認證）"""
     @wraps(f)
+    @jwt_required()
     def decorated_function(*args, **kwargs):
-        # 先檢查是否已登入
-        user_id = session.get('user_id')
+        from app.utils.logger import get_logger
+        from flask import request
+        logger = get_logger(__name__)
         
-        if not user_id:
+        try:
+            username = get_jwt_identity()
+            claims = get_jwt()
+            
+            # 設定到 g 物件供其他地方使用
+            g.current_user_username = username
+            g.current_user_id = claims.get('user_id')
+            g.is_admin = claims.get('is_admin', False)
+            
+            logger.info(f"🔑 [JWT Admin Auth] User: {username}, UserID: {claims.get('user_id')}, Admin: {claims.get('is_admin')}")
+            
+            # 檢查管理員權限
+            if not claims.get('is_admin', False):
+                logger.warning(f"❌ [Admin Auth] Permission denied for user: {username}")
+                return jsonify({
+                    'success': False,
+                    'error': 'PERMISSION_DENIED',
+                    'message': '權限不足，需要管理員權限'
+                }), 403
+                
+            # 驗證用戶是否存在且仍為管理員
+            from app.models import User
+            user = User.query.get(claims.get('user_id'))
+            if not user:
+                logger.error(f"❌ [Admin Auth] User not found: {claims.get('user_id')}")
+                return jsonify({
+                    'success': False,
+                    'error': 'USER_NOT_FOUND',
+                    'message': '使用者不存在'
+                }), 401
+                
+            if not user.is_admin:
+                logger.warning(f"❌ [Admin Auth] User no longer admin: {username}")
+                return jsonify({
+                    'success': False,
+                    'error': 'PERMISSION_DENIED',
+                    'message': '權限不足，需要管理員權限'
+                }), 403
+            
+            # 設定完整用戶資訊
+            g.current_user = user
+            
+        except Exception as e:
+            logger.error(f"❌ [Admin Auth] JWT validation failed: {str(e)}")
             return jsonify({
                 'success': False,
                 'error': 'AUTHENTICATION_REQUIRED',
-                'message': '請先登入'
+                'message': '認證失效，請重新登入'
             }), 401
         
-        # 取得使用者資訊
-        from app.models import User
-        user = User.query.get(user_id)
-        if not user:
-            session.clear()
-            return jsonify({
-                'success': False,
-                'error': 'USER_NOT_FOUND',
-                'message': '使用者不存在'
-            }), 401
-        
-        # 檢查管理員權限
-        if not user.is_admin:
-            return jsonify({
-                'success': False,
-                'error': 'PERMISSION_DENIED',
-                'message': '權限不足，需要管理員權限'
-            }), 403
-        
-        g.current_user = user
-        g.current_user_id = user.id
-        g.is_admin = True
-        
         return f(*args, **kwargs)
     
     return decorated_function