From 9c73d7058256f0a242d8d6ef3c2a250d38791ad5 Mon Sep 17 00:00:00 2001
From: qing <1776177662@qq.com>
Date: Wed, 5 Aug 2026 16:29:29 +0800
Subject: [PATCH] =?UTF-8?q?docs(gateway):=20=E6=A0=87=E6=B3=A8=E6=97=A7?=
 =?UTF-8?q?=E5=93=88=E5=B8=8C=E8=87=AA=E5=8A=A8=E8=BF=81=E7=A7=BB=E5=B7=B2?=
 =?UTF-8?q?=E8=A2=AB=E6=B3=A8=E9=87=8A=E7=A6=81=E7=94=A8?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

README 安全特性中"旧哈希自动迁移"实际在 main.cpp L1102-1109 被注释，标注其当前未生效。
---
 gateway/README.md | 2 +-
 1 file changed, 1 insertion(+), 1 deletion(-)

diff --git a/gateway/README.md b/gateway/README.md
index 347a3af..16acd4a 100644
--- a/gateway/README.md
+++ b/gateway/README.md
@@ -22,7 +22,7 @@ UniServe Framework 的应用层网关，C++20 实现。
 | 密码哈希 | PBKDF2-HMAC-SHA256，100000 轮，16 字节随机盐，32 字节哈希 |
 | 密码强度校验 | 至少 8 字符；大写/小写/数字/特殊字符中至少 3 类 |
 | 邮箱格式校验 | 正则匹配 `^[a-zA-Z0-9._%+\-]+@[a-zA-Z0-9.\-]+\.[a-zA-Z]{2,}$` |
-| 旧哈希自动迁移 | 登录时若发现 SHA256 旧哈希，验证通过后自动迁移为 PBKDF2 |
+| 旧哈希自动迁移 | 登录时若发现 SHA256 旧哈希，验证通过后自动迁移为 PBKDF2（⚠️ 当前源码中该迁移逻辑已被注释禁用，见 `main.cpp` L1102-1109，未生效） |
 | Token 机制 | `Base64(payload) + "_" + RSA-Sign(payload)`，验签 + 过期校验（默认 1 小时） |
 | 常数时间比较 | PBKDF2 验证用 `diff |= hash[i] ^ expected[i]` 防 timing attack |
 | CAPTCHA | 一次性、5 分钟过期，登录与注册均可选启用 |