chore: bump version to 1.1.0; update docs for release

- Cargo.toml: 1.0.1 -> 1.1.0
- README.md: add 1.1.0 security features to feature list; link RELEASE_1_1.md
- docs/RELEASE_1_1.md: new release notes for v1.1.0
- docs/PRODUCTION_DEPLOYMENT.md: add DB_POOL_SIZE, mark Redis as mandatory in production
- docs/KEY_ROTATION.md: update version reference to 1.1.0
- docs/RELEASE_1_0.md: mark 1.x items completed in 1.1.0

Author: bruceblink

Cargo.lock

@@ -1,6 +1,6 @@
 [package]
 name = "keylo"
-version = "1.0.1"
+version = "1.1.0"
 edition = "2021"
 
 [[bin]]

Cargo.toml

@@ -1,4 +1,4 @@
-# Keylo v1.0.1
+# Keylo v1.1.0
 
 **Keylo** 是一个轻量、可扩展的 **统一认证与授权服务**（Auth Service），为你的多服务系统提供统一的 JWT 签发、Session 管理和 OAuth 支持。
 
@@ -15,6 +15,12 @@
 * ✅ PostgreSQL 自动迁移，Redis 可选增强限流、锁定和 OAuth state
 * ✅ 使用 Axum 0.8 + Tokio 的模块化 Rust 服务架构
 * ✅ Docker / GHCR 镜像发布支持
+* ✅ 客户端密钥 bcrypt 哈希存储，杜绝明文泄露风险
+* ✅ 生产环境强制 Redis 限流，禁止降级为内存模式
+* ✅ 密码复杂度策略（大写、小写、数字、特殊字符）
+* ✅ OAuth state 原子消费（GETDEL），消除 TOCTOU 竞态
+* ✅ 服务 Token audience 严格校验
+* ✅ 数据库连接池大小可通过 `DB_POOL_SIZE` 环境变量配置
 
 ---
 
@@ -105,9 +111,10 @@ cargo tarpaulin --out Html
 
 ### 生产部署与发布说明
 
-Keylo 1.0 的生产部署要求、发布能力边界和密钥轮换建议见以下文档：
+Keylo 的生产部署要求、发布能力边界和密钥轮换建议见以下文档：
 
 * [docs/PRODUCTION_DEPLOYMENT.md](docs/PRODUCTION_DEPLOYMENT.md)
+* [docs/RELEASE_1_1.md](docs/RELEASE_1_1.md)
 * [docs/RELEASE_1_0.md](docs/RELEASE_1_0.md)
 * [docs/KEY_ROTATION.md](docs/KEY_ROTATION.md)
 

README.md

@@ -1,6 +1,6 @@
-# Keylo 1.0 密钥轮换建议
+# Keylo 1.1.0 密钥轮换建议
 
-Keylo 1.0 已支持通过 `JWT_KEY_ID` 和 JWKS 暴露当前验签公钥，但 1.0 版本的密钥轮换策略仍建议以人工控制的方式执行。
+Keylo 1.1.0 已支持通过 `JWT_KEY_ID` 和 JWKS 暴露当前验签公钥，但当前版本的密钥轮换策略仍建议以人工控制的方式执行。
 
 ## 轮换目标
 

docs/KEY_ROTATION.md

@@ -1,16 +1,16 @@
-# Keylo 1.0 生产部署指南
+# Keylo 1.1.0 生产部署指南
 
-本文档定义 Keylo 1.0 在生产环境中的最小部署要求、配置要求和上线前检查项。
+本文档定义 Keylo 1.1.0 在生产环境中的最小部署要求、配置要求和上线前检查项。
 
 ## 目标
 
-Keylo 在生产环境中承担统一认证中心职责，因此部署目标不是“能启动”，而是：
+Keylo 在生产环境中承担统一认证中心职责，因此部署目标不是"能启动"，而是：
 
 - 使用显式提供的 RSA 密钥对签发 JWT
 - 通过 JWKS 暴露公开验签密钥
 - 提供用户与服务 Token 内省能力
 - 使用 PostgreSQL 持久化认证状态
-- 可选接入 Redis 支持分布式限流、登录锁定和 OAuth state 管理
+- **（1.1.0 起生产环境强制）** 接入 Redis 支持分布式限流、登录锁定和 OAuth state 管理
 
 ## 必要配置
 
@@ -23,6 +23,7 @@ JWT_KEY_ID=keylo-rs256-1
 JWT_PRIVATE_KEY_PATH=/app/keys/private.pem
 JWT_PUBLIC_KEY_PATH=/app/keys/public.pem
 DATABASE_URL=postgres://keylo_user:keylo_password@postgres:5432/keylo
+DB_POOL_SIZE=20
 ADMIN_CLIENT_ID=cli-admin-root
 ADMIN_CLIENT_SECRET=replace-with-strong-admin-secret
 REDIS_URL=redis://redis:6379
@@ -33,8 +34,10 @@ RUST_LOG=keylo=info,axum=info
 
 - 生产环境禁止使用内置开发密钥。
 - 生产环境要求显式提供管理客户端。
-- 生产环境要求显式提供 Redis。
+- **1.1.0 起生产环境 Redis 为强制依赖**：若 Redis 不可用，限流中间件将拒绝请求，服务不会降级为内存限流。
+- `DB_POOL_SIZE` 控制数据库连接池大小，生产环境建议根据并发量设置（默认 5）。
 - 如果数据库初始化失败，服务会直接失败启动，不再回退到内存模式。
+- 客户端密钥（`client_secret`）存储为 bcrypt 哈希；从 1.0.x 升级时需重置所有客户端密钥。
 
 ## RSA 密钥要求
 

docs/PRODUCTION_DEPLOYMENT.md

@@ -63,6 +63,12 @@ Keylo 1.0 明确不再推荐共享 JWT 签名密钥模式，而是以以下方
 
 以下内容不阻塞 1.0 发布，但属于 1.x 后续增强：
 
+- 客户端密钥 bcrypt 哈希存储 → **已在 1.1.0 完成**
+- 生产环境强制 Redis 限流 → **已在 1.1.0 完成**
+- 密码复杂度策略 → **已在 1.1.0 完成**
+- OAuth state 原子消费（GETDEL）→ **已在 1.1.0 完成**
+- 服务 Token audience 严格校验 → **已在 1.1.0 完成**
+- 数据库连接池可配置 → **已在 1.1.0 完成**
 - 多把 RSA 密钥并行发布
 - 自动密钥轮换流程
 - 更细粒度的健康检查与 readiness 探针

docs/RELEASE_1_0.md

@@ -0,0 +1,107 @@
+# Keylo 1.1.0 发布说明
+
+发布日期：2026年4月
+
+## 版本定位
+
+Keylo 1.1.0 是 1.0 正式发布后的第一个安全增强版本，重点方向是**生产安全加固**、**配置灵活性提升**和**代码健壮性改善**。本版本不引入破坏性 API 变更，可直接平滑升级。
+
+---
+
+## 主要改进
+
+### 🔐 安全加固
+
+#### 客户端密钥 bcrypt 哈希存储
+客户端密钥（`client_secret`）不再以明文形式存储于数据库，改为 bcrypt 哈希。即使数据库泄露，攻击者也无法直接获取有效密钥。
+
+**升级注意**：现有客户端需重置密钥，新密钥将以哈希形式存储。
+
+#### 生产环境强制 Redis 限流
+当 `ENVIRONMENT=production` 时，若 Redis 不可用，限流中间件将拒绝请求，而不再降级为内存模式。这防止了 Redis 故障时限流保护静默失效的风险。
+
+#### 密码复杂度策略
+注册和修改密码接口现在强制要求密码同时包含：
+- 至少一个大写字母
+- 至少一个小写字母
+- 至少一个数字
+- 至少一个特殊字符（如 `!@#$%^&*`）
+
+#### OAuth state 原子消费（GETDEL）
+OAuth 回调中的 state 验证改为原子 `GETDEL` 操作，消除了读取和删除之间的 TOCTOU 竞态条件，防止 state 被重放利用。
+
+#### 服务 Token audience 严格校验
+服务 Token 的 `aud` 字段现在在 JWT 层强制验证，不再仅依赖业务层检查，确保服务 Token 不会被跨服务滥用。
+
+#### OAuth 提供商 URL 强制 HTTPS
+注册 OAuth 提供商时，`authorization_url`、`token_url` 等端点 URL 必须使用 HTTPS scheme，拒绝 HTTP 配置。
+
+#### X-Forwarded-For / X-Real-IP 校验
+对 `X-Forwarded-For` 和 `X-Real-IP` 请求头中的 IP 地址进行合法性验证，防止伪造 IP 绕过限流。
+
+#### CORS 严格来源策略
+添加 CORS 中间件，按配置的白名单策略控制跨域请求，默认拒绝未授权来源。
+
+#### auth_introspect IP 级限流
+`/v1/auth/introspect` 端点新增基于 IP 的独立限流，防止批量枚举 Token 有效性。
+
+---
+
+### ⚙️ 配置增强
+
+#### 数据库连接池大小可配置
+新增 `DB_POOL_SIZE` 环境变量，允许按部署规模调整数据库连接池大小。
+
+```env
+DB_POOL_SIZE=20
+```
+
+默认值：`5`（开发环境）；生产环境建议根据负载调整。
+
+---
+
+### 🛡️ 代码健壮性
+
+#### 消除 `panic!` 调用
+将 `main.rs` 和 `state.rs` 中遗留的 `panic!` 调用替换为正确的错误传播（`?` 和 `Result`），避免服务在异常情况下直接崩溃。
+
+#### 第三方导入批次大小限制
+`/v1/admin/users/migrations/import` 接口新增批次大小上限校验，防止超大批次请求造成服务压力。
+
+---
+
+## 新增环境变量
+
+| 变量 | 说明 | 默认值 |
+|------|------|------|
+| `DB_POOL_SIZE` | 数据库连接池大小 | `5` |
+
+---
+
+## 升级指南
+
+### 从 1.0.x 升级
+
+1. **更新服务镜像** 至 `v1.1.0`。
+2. **重置客户端密钥**：由于密钥存储格式从明文改为 bcrypt 哈希，需通过管理接口重新设置所有客户端的 `client_secret`，或在数据库中使用 bcrypt 哈希值手动更新。
+3. **确认 Redis 可用性**：生产环境若之前 Redis 偶尔不可用而服务仍正常运行，1.1.0 起将返回错误。确保 Redis 在生产环境中稳定运行。
+4. **可选**：按需配置 `DB_POOL_SIZE`。
+5. 重启服务，数据库迁移将自动执行。
+
+---
+
+## 兼容性说明
+
+- API 接口无破坏性变更，客户端无需修改调用方式。
+- 密码复杂度新规则仅在注册和修改密码时触发，**不影响现有用户登录**。
+- `DB_POOL_SIZE` 为可选配置，不设置时行为与 1.0.x 一致。
+
+---
+
+## 1.1.0 已知限制（延续自 1.0）
+
+以下内容不阻塞 1.1.0 发布，计划在后续版本中完善：
+
+- 不支持多把 RSA 密钥并行发布（双 key 平滑过渡）
+- 不支持自动密钥轮换流程
+- JWKS 缓存刷新依赖下游系统主动拉取