refactor(yggdrasil): 整理与性能优化，修复若干 Bug

Bug 修复 - textures metadata：SKIN 仅在 IsSlim 时输出 {"model":"slim"}；CAPE 不带 metadata。原实现误用文件字节数 skin.Size 作为 metadata，违反 Yggdrasil 协议。 - KeyPair 持久化不全：Profile 新增 rsa_public_key/public_key_signature/ public_key_signature_v2/key_expires_at/key_refresh_at 列；GetKeyPair/UpdateKeyPair 读写全部字段。AutoMigrate 自动加列。原实现每次请求都重新生成 RSA-4096。 - GetPlayerCertificates：无效 token 返回 401（先前误用 403 且未判 err）。 - HasJoinedServer：失败返回 204 无 body，符合 Yggdrasil 协议（原用 APIResponse + body 违反 204 规范）。代码质量 - Authenticate 删除冗余 body 读取与回放。 - 证书服务引入具名结构 PlayerCertificate/PlayerKeyPair，替代 map[string]interface{}。 - CreateSession 用户名缺失改用 ErrUsernameRequired（新增）。性能优化（签名一致性的回归测试已覆盖） - SignatureService 缓存已解析的根私钥（sync.RWMutex 双重检查），快路径仅一次 RLock + RSA 签名，免去每次签名 PEM 解析与 Redis 往返。 - GetOrCreateYggdrasilKeyPair 用 MGet 单次往返取三字段，缓存命中后零 Redis。 - NewKeyPair 消息构造用 strconv.AppendInt 避免 string+拼接分配；V2 复用 DER 字节。 - 序列化服务：texturesMap 预分配 cap(2)；slim 分支直接构造完整 map。 - 会话服务 GetSession 移除重复的 ValidateServerID 校验。死代码清理 - 删除 yggdrasil_validator.go（未被调用的 Validator）。 - 删除 signature_service.FormatPublicKey/SignStringWithProfileRSA。 - 删除 pkg/auth 中未被使用的 YggdrasilJWTManager 与 GenerateKeyPair/ EncodePrivateKeyToPEM/RedisClient/YggdrasilPrivateKeyRedisKey。 - 删除 yggdrasil_handler.go 中 25 个未使用常量、passwordRegex、 APIResponse/standardResponse。 - 删除 errors.go 中未被使用的 ErrYggForbiddenOperation/ErrYggIllegalArgument/ ErrInvalidSignature/ErrInvalidTextureType/ErrCertificateGenerate/ErrInvalidPassword。测试 - 新增 signature_service_test.go（基于 miniredis）：8 个测试 + 基准。核心：SignString_MatchesReference 与重构前参考实现逐字节比对签名输出一致。 -race 检测通过；基准约 7.1ms/op（缓存命中路径）。附带（与本次任务前已存在的未提交改动） - handler/captcha_handler：将响应字段 msg 改为 message，与前端约定对齐。
docs: 更新 README,新增对象存储桶策略与 CORS 配置说明
2026-07-09 17:18:26 +08:00 · 2026-07-08 17:37:24 +08:00 · 2026-07-07 15:00:44 +08:00 · 2026-06-15 16:52:20 +08:00
39 changed files with 946 additions and 821 deletions
--- a/.env.example
+++ b/.env.example
@@ -30,6 +30,13 @@ SERVER_READ_TIMEOUT=30s
 SERVER_WRITE_TIMEOUT=30s
 SERVER_SWAGGER_ENABLED=true

+# =============================================================================
+# 应用环境
+# =============================================================================
+# 用于 service 层 IsTestEnvironment() 短路验证码/邮件等
+# 取值：development / test / production
+ENVIRONMENT=production
+
 # =============================================================================
 # 数据库配置
 # =============================================================================
@@ -133,6 +140,11 @@ JWT_EXPIRE_HOURS=168
 LOG_LEVEL=info
 LOG_FORMAT=json
 LOG_OUTPUT=logs/app.log
+# 日志轮转参数（用于 lumberjack）
+LOG_MAX_SIZE=100        # 单文件最大 MB
+LOG_MAX_BACKUPS=3       # 保留旧文件数
+LOG_MAX_AGE=28          # 旧文件最大保留天数
+LOG_COMPRESS=true       # 是否压缩旧文件

 # =============================================================================
 # 安全配置
--- a/README.md
+++ b/README.md
@@ -8,7 +8,7 @@
 - **邮箱与验证码**：验证码发送频率控制、邮箱绑定与变更
 - **材质中心**：皮肤/披风上传、搜索、收藏、下载统计、Hash 去重
 - **角色档案**：Minecraft Profile 管理、RSA 密钥对生成、活跃档案切换
- **存储与上传**：RustFS/MinIO 预签名 URL，减轻服务器带宽压力
+- **存储与上传**：RustFS/MinIO（S3 兼容）直接上传，Hash 分片存储
 - **任务与日志**：登录日志、操作审计、材质下载记录、定时任务
 - **权限体系**：Casbin RBAC，支持细粒度路线授权
 - **配置管理**：100% 依赖环境变量，`SERVER_SWAGGER_ENABLED` 控制 Swagger
@@ -18,44 +18,58 @@

 | 类型 | 选型 |
 | --- | --- |
-| 语言 / 运行时 | Go 1.24+ |
+| 语言 / 运行时 | Go 1.25+ |
 | Web 框架 | Gin |
 | ORM | GORM (PostgreSQL 驱动) |
 | 数据库 | PostgreSQL 15+ |
 | 缓存 / 消息 | Redis 6+ |
 | 对象存储 | RustFS / MinIO（S3 兼容） |
-| 权限控制 | Casbin |
-| 配置 | Viper + `.env` |
+| 权限控制 | Casbin v3 |
+| 依赖注入 | uber-go/fx |
+| 配置 | Viper + godotenv + `.env` |
 | API 文档 | swaggo / Swagger UI |
+| 滑动验证码 | wenlng/go-captcha |
 | 日志 | Uber Zap |

 ## 📁 目录结构

 ```
 backend/
-├── cmd/server/            # 应用入口（main.go）
+├── cmd/server/                # 应用入口（main.go：极简 fx 装配）
 ├── internal/
-│   ├── handler/           # HTTP Handler 与 Swagger 注解
-│   ├── service/           # 业务逻辑
-│   ├── repository/        # 数据访问
-│   ├── model/             # GORM 数据模型
-│   ├── types/             # 请求/响应 DTO
-│   ├── middleware/        # Gin 中间件
-│   └── task/              # 定时任务与后台作业
-├── pkg/                   # 可复用组件（config、database、auth、logger、redis、storage 等）
-├── docs/                  # swagger 生成产物（docs.go / swagger.json / swagger.yaml）
-├── start.sh               # 启动脚本（自动 swag init）
-├── docker-compose.yml     # 本地容器编排
-├── .env.example           # 环境变量示例
-└── go.mod                 # Go Module 定义
+│   ├── app/                   # uber-go/fx 装配层（唯一依赖注入入口）
+│   │   ├── module.go          # 聚合根 Module
+│   │   ├── infra_module.go    # Logger/DB/Redis/Storage/Email/JWT/Casbin + 子配置 Provider + Lifecycle
+│   │   ├── container_module.go # Container 聚合 + 迁移/路由/HTTP/任务生命周期
+│   │   ├── repository_module.go # Repository Provider（占位，Container 模式暂未启用）
+│   │   ├── service_module.go   # Service Provider（占位）
+│   │   ├── handler_module.go   # Handler Provider（占位）
+│   │   ├── server_module.go    # HTTP 服务器模块（占位）
+│   │   └── task_module.go      # 后台任务模块（占位）
+│   ├── container/             # 过渡期手动 DI 容器（fx 迁移期的聚合层）
+│   ├── handler/              # HTTP Handler 与 Swagger 注解
+│   ├── service/              # 业务逻辑（接口 + 实现）
+│   ├── repository/           # 数据访问（接口 + GORM 实现）
+│   ├── model/                # GORM 数据模型与响应结构
+│   ├── types/                # 请求/响应 DTO
+│   ├── errors/               # 统一错误定义（apperrors）
+│   ├── middleware/           # Gin 中间件
+│   └── task/                 # 定时任务与后台作业
+├── pkg/                      # 可复用组件（config、database、auth、logger、redis、storage、email、utils）
+├── configs/casbin/           # Casbin RBAC 模型定义（rbac_model.conf）
+├── start.sh                  # 启动脚本（自动 swag init）
+├── docker-compose.yml        # 本地容器编排（含 rustfs-init 自动建桶）
+├── .env.example              # 环境变量示例
+└── go.mod                    # Go Module 定义
 ```

 ## ✅ 前置要求

- Go 1.24+
+- Go 1.25+
 - PostgreSQL 15+
 - Redis 6+
 - RustFS / MinIO（或其他兼容 S3 的对象存储，用于皮肤与头像）
+- swag（生成 Swagger 文档，见 <https://github.com/swaggo/swag>）

 ## 🚀 快速开始

@@ -81,25 +95,144 @@ backend/
   createdb carrotskin
   # 或 psql -c "CREATE DATABASE carrotskin;"
   ```
-   > 应用启动时会执行 `AutoMigrate`，自动创建 / 更新表结构。
+   > 应用启动时会执行 `AutoMigrate`，自动创建 / 更新表结构，并写入种子数据（默认管理员 + Casbin 规则）。

-5. **启动服务**
-   - **推荐**：`./start.sh`（自动 `swag init`，随后 `go run cmd/server/main.go`）
+5. **准备对象存储**（创建存储桶 + 配置策略与跨域，**见下方 [🪣 对象存储配置](#-对象存储配置) 章节**）
+
+6. **启动服务**
+   - **推荐**：`./start.sh`（自动 `swag init`，随后 `go run ./cmd/server`）
   - **手动启动**：
     ```bash
     swag init -g cmd/server/main.go -o docs
-     go run cmd/server/main.go
+     go run ./cmd/server
     ```

-6. **访问接口**
+7. **访问接口**
   - API Root: `http://localhost:8080`
   - Swagger: `http://localhost:8080/swagger/index.html`（需 `SERVER_SWAGGER_ENABLED=true`）
+   - 健康检查: `http://localhost:8080/health`
+
+### 默认管理员
+
+首次启动会自动 seed 一个管理员账号，**首次登录后请立即修改密码**：
+
+| 用户名 | 密码 | 邮箱 |
+| --- | --- | --- |
+| `admin` | `admin123456` | `admin@example.com` |
+
+## 🪣 对象存储配置
+
+后端使用 S3 兼容的对象存储（RustFS / MinIO）保存皮肤与头像，需要两个存储桶：
+
+| 桶名（由环境变量指定） | 默认名 | 用途 |
+| --- | --- | --- |
+| `RUSTFS_BUCKET_TEXTURES` | `carrot-skin-textures` | 皮肤 / 披风文件 |
+| `RUSTFS_BUCKET_AVATARS` | `carrot-skin-avatars` | 用户头像文件 |
+
+> ⚠️ **后端不会自动创建存储桶**。请在启动后端前，手动创建这两个桶并配置好访问策略与跨域，否则上传会失败、前端 3D 皮肤将无法渲染。
+
+### 步骤 1：创建存储桶
+
+在 RustFS / MinIO 控制台（默认 `http://<host>:9001`）创建上述两个桶，或使用 `mc` 客户端：
+
+```bash
+mc alias set myrustfs http://<host>:9000 <access-key> <secret-key>
+mc mb myrustfs/carrot-skin-textures --ignore-existing
+mc mb myrustfs/carrot-skin-avatars  --ignore-existing
+```
+
+### 步骤 2：配置桶访问策略（匿名只读）
+
+皮肤和头像需要被浏览器与 Minecraft 启动器**匿名下载**（后端用密钥上传即可）。给每个桶配置如下 S3 Bucket Policy（以 `carrot-skin-textures` 为例，`avatars` 桶把 `Resource` 里的桶名换掉即可）：
+
+```json
+{
+  "Version": "2012-10-17",
+  "Statement": [
+    {
+      "Sid": "PublicReadGetObject",
+      "Effect": "Allow",
+      "Principal": "*",
+      "Action": "s3:GetObject",
+      "Resource": "arn:aws:s3:::carrot-skin-textures/*"
+    }
+  ]
+}
+```
+
+等价的 `mc` 命令：
+
+```bash
+mc anonymous set download myrustfs/carrot-skin-textures
+mc anonymous set download myrustfs/carrot-skin-avatars
+```
+
+### 步骤 3：配置 CORS（跨域，**前端 3D 渲染必需**）
+
+> 🔴 **这一步极其关键**。普通的 `<img>` 标签加载图片不要求 CORS，但前端用 skinview3d / three.js 通过 **WebGL 纹理**渲染 3D 皮肤时，浏览器**强制要求**图片响应带 `Access-Control-Allow-Origin` 头，否则 canvas 会被判定为 tainted，3D 皮肤将加载失败/显示空白。
+
+在 RustFS / MinIO 控制台为**两个桶**各配置一条 CORS 规则，允许前端来源以 GET 方法跨域访问。CORS 规则 JSON（贴入桶的 CORS 配置编辑器）：
+
+```json
+[
+  {
+    "AllowedOrigins": ["*"],
+    "AllowedMethods": ["GET", "HEAD"],
+    "AllowedHeaders": ["*"],
+    "ExposeHeaders": ["ETag"],
+    "MaxAgeSeconds": 86400
+  }
+]
+```
+
+> 生产环境建议把 `AllowedOrigins` 收紧为你的前端实际域名（如 `["https://skins.example.com"]`），而不是 `*`。
+
+等价的 `mc` 命令（将 JSON 存为 `cors.json` 后应用）：
+
+```bash
+mc cors add myrustfs/carrot-skin-textures < cors.json
+mc cors add myrustfs/carrot-skin-avatars  < cors.json
+```
+
+### 验证存储配置是否生效
+
+匿名 GET 任意一个桶内对象，期望返回 `HTTP 200` 且响应头包含 `access-control-allow-origin`：
+
+```bash
+curl -I -H "Origin: http://localhost:3000" http://<host>:9000/carrot-skin-textures/<某对象路径>
+# 期望看到:
+#   HTTP/1.1 200 OK
+#   access-control-allow-origin: *
+```
+
+若 `access-control-allow-origin` 缺失，说明 CORS 未生效，前端 3D 皮肤将无法渲染。
+
+### 关于 `RUSTFS_PUBLIC_URL`
+
+`RUSTFS_PUBLIC_URL` 决定后端生成的文件访问 URL 前缀（`<public_url>/<bucket>/<object>`）。
+
+- 留空时：用 `RUSTFS_ENDPOINT` + 协议拼接（适合 endpoint 本身就是浏览器可达地址的场景）
+- 生产环境：务必填写**浏览器可访问的公网地址**，例如 `https://rustfs.example.com`，否则后端返回给前端的 URL 浏览器打不开
+
+## 🐳 Docker 部署
+
+`docker-compose.yml` 提供了完整的本地编排，包含 PostgreSQL、Redis、RustFS，以及一个一次性的 `rustfs-init` 服务自动创建存储桶并设置匿名下载策略：
+
+```bash
+# 启动全部基础设施（含存储）
+docker compose --profile storage up -d
+
+# 仅启动应用
+docker compose up -d
+```
+
+> `rustfs-init` 使用 `mc` 完成建桶与策略配置。CORS 仍需按上文 [步骤 3](#步骤-3配置-cors跨域前端-3d-渲染必需) 手动配置。

 ## ⚙️ 关键环境变量

 | 变量 | 说明 | 示例 |
 | --- | --- | --- |
-| `SERVER_PORT` | 服务监听端口 | `8080` |
+| `SERVER_PORT` | 服务监听端口 | `:8080` |
 | `SERVER_MODE` | Gin 模式（debug/release） | `debug` |
 | `SERVER_SWAGGER_ENABLED` | 是否暴露 Swagger UI | `true` |
 | `DATABASE_HOST` / `DATABASE_PORT` | PostgreSQL 地址 | `localhost` / `5432` |
@@ -107,12 +240,16 @@ backend/
 | `DATABASE_NAME` | 数据库名称 | `carrotskin` |
 | `REDIS_HOST` / `REDIS_PORT` | Redis 地址 | `localhost` / `6379` |
 | `REDIS_PASSWORD` | Redis 密码（无可为空） | `` |
-| `RUSTFS_ENDPOINT` | RustFS/MinIO 访问地址 | `127.0.0.1:9000` |
+| `RUSTFS_ENDPOINT` | RustFS/MinIO 访问地址（后端内网连接用） | `127.0.0.1:9000` |
+| `RUSTFS_PUBLIC_URL` | 生成文件 URL 的公开前缀（浏览器可达） | `https://rustfs.example.com` |
 | `RUSTFS_ACCESS_KEY` / `RUSTFS_SECRET_KEY` | 对象存储凭据 | `minioadmin` |
-| `RUSTFS_BUCKET_TEXTURES` / `RUSTFS_BUCKET_AVATARS` | 存储桶名称 | `carrotskin-textures` |
+| `RUSTFS_BUCKET_TEXTURES` / `RUSTFS_BUCKET_AVATARS` | 存储桶名称 | `carrot-skin-textures` |
 | `JWT_SECRET` | JWT 签名密钥 | `change-me` |
 | `EMAIL_ENABLED` | 是否开启邮件服务 | `true` |
 | `EMAIL_SMTP_HOST` / `EMAIL_SMTP_PORT` | SMTP 配置 | `smtp.example.com` / `587` |
+| `ENVIRONMENT` | 应用环境（用于 service 层 `IsTestEnvironment()` 短路） | `production` |
+| `SECURITY_ALLOWED_ORIGINS` | API CORS 允许的来源（逗号分隔） | `*` |
+| `SECURITY_ALLOWED_DOMAINS` | 头像/材质 URL 允许的域名（逗号分隔） | `localhost,127.0.0.1` |

 更多变量请参考 `.env.example` 与 `.env.docker.example`。

@@ -132,17 +269,28 @@ golangci-lint run (若已安装)

 ## 🧱 架构说明

- **分层设计**：Handler -> Service -> Repository -> Model，层次清晰、职责单一。
- **依赖管理器**：`pkg/*/manager.go` 使用 `sync.Once` 实现线程安全单例（DB / Redis / Logger / Storage / Email / Auth / Config）。
+- **分层设计**：Handler → Service → Repository → Model，层次清晰、职责单一。
+  - Handler 不得直连 `*gorm.DB` 或 `*Repository`，必须通过 Service。
+  - Service 的数据访问通过 Repository 接口（个别需要跨表事务的场景除外）。
+- **依赖注入（uber-go/fx）**：
+  - `internal/app/` 是唯一的依赖装配入口。每个基础设施 / 仓储 / 服务作为 `fx.Provider` 注册。
+  - **子配置 Provider**：`infra_module.go` 从 `*config.Config` 提取 `DatabaseConfig` / `RedisConfig` / `RustFSConfig` / `LogConfig` / `EmailConfig` 等子结构，按值注入到各 `pkg/*` 包的构造函数。
+  - **生命周期管理**：DB / Redis / Storage / Logger / HTTP Server / Task Runner 通过 `fx.Lifecycle` 的 `OnStart` / `OnStop` Hook 统一管理，彻底替代散落在 `main()` 的 `defer Close()` 链。
+  - **优雅关闭**：`fx.New(app.Module(cfg)).Run()` 监听 `SIGINT` / `SIGTERM`，按依赖逆序触发 `OnStop`，先关 HTTP Server（30s 超时），再关 Task Runner，最后关 DB/Redis。
+  - **Dev/Test 自动回退**：Redis 连接失败且环境为 `development` / `test` / `dev` / `USE_MINIREDIS=true` 时自动启用 `miniredis`。
+  - **启动时错误检查**：循环依赖、缺失 Provider、Provider 返回 error 全部在 `fx.New()` 阶段立即检测。
+- **错误与响应统一**：
+  - 错误统一在 `internal/errors/`（别名 `apperrors`），通过 `errors.Is/As` 匹配。
+  - 响应统一使用 `model.Response` / `model.PaginationResponse` / `model.NewErrorResponse`。
+  - Middleware 错误响应也走 `model.NewErrorResponse`，不再使用裸 `gin.H`。
+- **配置优先级**：`config.Load()` 读取 `.env` → 环境变量 → viper 默认值；`*config.Config` 由 `fx.Supply` 注入。
 - **Swagger 注解**：所有 Handler、模型、DTO 均补齐 `@Summary` / `@Description` / `@Success`，可直接生成 OpenAPI 文档。
- **配置优先级**：`.env` -> 系统环境变量，所有配置均可通过容器注入。
- **自动任务**：`internal/task` 承载后台作业，可按需扩展。

 ## 📝 Swagger 说明

- `start.sh` 会在启动前执行 `swag init -g cmd/server/main.go -o docs`
- 若手动运行，需要保证 `docs/` 下的 `docs.go`、`swagger.json`、`swagger.yaml` 与代码同步
- 通过 `SERVER_SWAGGER_ENABLED=false` 可在生产环境关闭 Swagger UI 暴露
+- `start.sh` 会在启动前执行 `swag init -g cmd/server/main.go -o docs`，生成 `docs/` 目录（`docs.go` / `swagger.json` / `swagger.yaml`）。
+- `docs/` 为生成产物，**不在仓库内跟踪**，首次启动会自动生成。
+- 通过 `SERVER_SWAGGER_ENABLED=false` 可在生产环境关闭 Swagger UI 暴露。

 ## 🤝 贡献指南

--- a/cmd/genhash/main.go
+++ b/cmd/genhash/main.go
@@ -0,0 +1,21 @@
+package main
+
+import (
+	"fmt"
+	"os"
+
+	"carrotskin/pkg/auth"
+)
+
+func main() {
+	if len(os.Args) < 2 {
+		fmt.Fprintln(os.Stderr, "usage: genhash <password>")
+		os.Exit(2)
+	}
+	h, err := auth.HashPassword(os.Args[1])
+	if err != nil {
+		fmt.Fprintln(os.Stderr, "err:", err)
+		os.Exit(1)
+	}
+	fmt.Print(h)
+}
--- a/internal/app/infra_module.go
+++ b/internal/app/infra_module.go
@@ -20,6 +20,13 @@ import (
 // 每个需要资源释放的组件都通过 fx.Lifecycle 注册 OnStop 钩子，
 // 彻底替代 main.go 里分散的 defer xxx.Close()。
 var InfraModule = fx.Options(
+	// 顶层 Config 子结构 Provider：让 pkg/* 包的构造函数按值接收细分 Config
+	fx.Provide(func(c *config.Config) config.DatabaseConfig { return c.Database }),
+	fx.Provide(func(c *config.Config) config.RedisConfig { return c.Redis }),
+	fx.Provide(func(c *config.Config) config.RustFSConfig { return c.RustFS }),
+	fx.Provide(func(c *config.Config) config.LogConfig { return c.Log }),
+	fx.Provide(func(c *config.Config) config.EmailConfig { return c.Email }),
+
 	// Logger
 	fx.Provide(logger.New),

--- a/internal/container/container.go
+++ b/internal/container/container.go
@@ -1,6 +1,9 @@
 package container

 import (
+	"context"
+	"time"
+
 	"carrotskin/internal/repository"
 	"carrotskin/internal/service"
 	"carrotskin/pkg/auth"
@@ -9,8 +12,6 @@ import (
 	"carrotskin/pkg/email"
 	"carrotskin/pkg/redis"
 	"carrotskin/pkg/storage"
-	"context"
-	"time"

 	"go.uber.org/zap"
 	"gorm.io/gorm"
--- a/internal/errors/errors.go
+++ b/internal/errors/errors.go
@@ -12,14 +12,12 @@ var (
 	ErrUserNotFound       = errors.New("用户不存在")
 	ErrUserAlreadyExists  = errors.New("用户已存在")
 	ErrEmailAlreadyExists = errors.New("邮箱已被注册")
-	ErrInvalidPassword    = errors.New("密码错误")
 	ErrAccountDisabled    = errors.New("账号已被禁用")

 	// 认证相关错误
-	ErrUnauthorized     = errors.New("未授权")
-	ErrInvalidToken     = errors.New("无效的令牌")
-	ErrTokenExpired     = errors.New("令牌已过期")
-	ErrInvalidSignature = errors.New("签名验证失败")
+	ErrUnauthorized = errors.New("未授权")
+	ErrInvalidToken = errors.New("无效的令牌")
+	ErrTokenExpired = errors.New("令牌已过期")

 	// 档案相关错误
 	ErrProfileNotFound     = errors.New("档案不存在")
@@ -32,7 +30,6 @@ var (
 	ErrTextureExists       = errors.New("该材质已存在")
 	ErrTextureLimitReached = errors.New("已达材质数量上限")
 	ErrTextureNoPermission = errors.New("无权操作此材质")
-	ErrInvalidTextureType  = errors.New("无效的材质类型")

 	// 验证码相关错误
 	ErrInvalidVerificationCode = errors.New("验证码错误或已过期")
@@ -54,15 +51,11 @@ var (
 	ErrSessionNotFound     = errors.New("会话不存在或已过期")
 	ErrSessionMismatch     = errors.New("会话验证失败")
 	ErrUsernameMismatch    = errors.New("用户名不匹配")
+	ErrUsernameRequired    = errors.New("用户名不能为空")
 	ErrIPMismatch          = errors.New("IP地址不匹配")
 	ErrInvalidAccessToken  = errors.New("访问令牌无效")
 	ErrProfileMismatch     = errors.New("selectedProfile与Token不匹配")
 	ErrUUIDRequired        = errors.New("UUID不能为空")
-	ErrCertificateGenerate = errors.New("生成证书失败")
-
-	// Yggdrasil协议标准错误
-	ErrYggForbiddenOperation = errors.New("ForbiddenOperationException")
-	ErrYggIllegalArgument    = errors.New("IllegalArgumentException")

 	// 通用错误
 	ErrBadRequest     = errors.New("请求参数错误")
@@ -128,7 +121,6 @@ func NewInternalError(message string, err error) *AppError {
 // 注意：原此处的 Is/As/Wrap 函数（透传标准库）已删除。
 // 请直接使用标准库 errors.Is / errors.As / fmt.Errorf。

-
 // YggdrasilErrorResponse Yggdrasil协议标准错误响应格式
 type YggdrasilErrorResponse struct {
 	Error        string `json:"error"`           // 错误的简要描述（机器可读）
--- a/internal/handler/admin_handler.go
+++ b/internal/handler/admin_handler.go
@@ -5,8 +5,8 @@ import (
 	"net/http"
 	"strconv"

-	apperrors "carrotskin/internal/errors"
 	"carrotskin/internal/container"
+	apperrors "carrotskin/internal/errors"
 	"carrotskin/internal/model"

 	"github.com/gin-gonic/gin"
--- a/internal/handler/captcha_handler.go
+++ b/internal/handler/captcha_handler.go
@@ -1,9 +1,10 @@
 package handler

 import (
-	"carrotskin/internal/container"
 	"net/http"

+	"carrotskin/internal/container"
+
 	"github.com/gin-gonic/gin"
 	"go.uber.org/zap"
 )
@@ -34,7 +35,7 @@ type CaptchaVerifyRequest struct {
 // @Tags captcha
 // @Accept json
 // @Produce json
-// @Success 200 {object} map[string]interface{} "生成成功 {code: 200, data: {masterImage, tileImage, captchaId, y}}"
+// @Success 200 {object} map[string]interface{} "生成成功 {code: 200, message: string, data: {masterImage, tileImage, captchaId, y}}"
 // @Failure 500 {object} map[string]interface{} "生成失败"
 // @Router /api/v1/captcha/generate [get]
 func (h *CaptchaHandler) Generate(c *gin.Context) {
@@ -42,14 +43,15 @@ func (h *CaptchaHandler) Generate(c *gin.Context) {
 	if err != nil {
 		h.logger.Error("生成验证码失败", zap.Error(err))
 		c.JSON(http.StatusInternalServerError, gin.H{
-			"code": 500,
-			"msg":  "生成验证码失败",
+			"code":    500,
+			"message": "生成验证码失败",
 		})
 		return
 	}

 	c.JSON(http.StatusOK, gin.H{
-		"code": 200,
+		"code":    200,
+		"message": "操作成功",
 		"data": gin.H{
 			"masterImage": masterImg,
 			"tileImage":   tileImg,
@@ -66,15 +68,15 @@ func (h *CaptchaHandler) Generate(c *gin.Context) {
 // @Accept json
 // @Produce json
 // @Param request body CaptchaVerifyRequest true "验证请求"
-// @Success 200 {object} map[string]interface{} "验证结果 {code: 200/400, msg: string}"
+// @Success 200 {object} map[string]interface{} "验证结果 {code: 200/400, message: string}"
 // @Failure 400 {object} map[string]interface{} "参数错误"
 // @Router /api/v1/captcha/verify [post]
 func (h *CaptchaHandler) Verify(c *gin.Context) {
 	var req CaptchaVerifyRequest
 	if err := c.ShouldBindJSON(&req); err != nil {
 		c.JSON(http.StatusBadRequest, gin.H{
-			"code": 400,
-			"msg":  "参数错误: " + err.Error(),
+			"code":    400,
+			"message": "参数错误: " + err.Error(),
 		})
 		return
 	}
@@ -86,21 +88,21 @@ func (h *CaptchaHandler) Verify(c *gin.Context) {
 			zap.Error(err),
 		)
 		c.JSON(http.StatusInternalServerError, gin.H{
-			"code": 500,
-			"msg":  "验证失败",
+			"code":    500,
+			"message": "验证失败",
 		})
 		return
 	}

 	if valid {
 		c.JSON(http.StatusOK, gin.H{
-			"code": 200,
-			"msg":  "验证成功",
+			"code":    200,
+			"message": "验证成功",
 		})
 	} else {
 		c.JSON(http.StatusOK, gin.H{
-			"code": 400,
-			"msg":  "验证失败，请重试",
+			"code":    400,
+			"message": "验证失败，请重试",
 		})
 	}
 }
--- a/internal/handler/customskin_handler.go
+++ b/internal/handler/customskin_handler.go
@@ -1,13 +1,14 @@
 package handler

 import (
-	"carrotskin/internal/container"
 	"context"
 	"fmt"
 	"net/http"
 	"strings"
 	"time"

+	"carrotskin/internal/container"
+
 	"github.com/gin-gonic/gin"
 	"go.uber.org/zap"
 )
--- a/internal/handler/helpers.go
+++ b/internal/handler/helpers.go
@@ -1,13 +1,14 @@
 package handler

 import (
-	apperrors "carrotskin/internal/errors"
-	"carrotskin/internal/model"
-	"carrotskin/internal/types"
 	"errors"
 	"net/http"
 	"strconv"

+	apperrors "carrotskin/internal/errors"
+	"carrotskin/internal/model"
+	"carrotskin/internal/types"
+
 	"github.com/gin-gonic/gin"
 )

--- a/internal/handler/texture_handler.go
+++ b/internal/handler/texture_handler.go
@@ -1,10 +1,11 @@
 package handler

 import (
+	"strconv"
+
 	"carrotskin/internal/container"
 	"carrotskin/internal/model"
 	"carrotskin/internal/types"
-	"strconv"

 	"github.com/gin-gonic/gin"
 	"go.uber.org/zap"
--- a/internal/handler/yggdrasil_handler.go
+++ b/internal/handler/yggdrasil_handler.go
@@ -1,14 +1,13 @@
 package handler

 import (
-	"bytes"
+	"net/http"
+	"regexp"
+
 	"carrotskin/internal/container"
 	"carrotskin/internal/errors"
 	"carrotskin/internal/model"
 	"carrotskin/pkg/utils"
-	"io"
-	"net/http"
-	"regexp"

 	"github.com/gin-gonic/gin"
 	"go.uber.org/zap"
@@ -16,66 +15,18 @@ import (

 // 常量定义
 const (
-	ErrInternalServer = "服务器内部错误"
-	// 错误类型
-	ErrInvalidEmailFormat = "邮箱格式不正确"
-	ErrInvalidPassword    = "密码必须至少包含8个字符，只能包含字母、数字和特殊字符"
-	ErrWrongPassword      = "密码错误"
-	ErrUserNotMatch       = "用户不匹配"
-
-	// 错误消息
-	ErrInvalidRequest      = "请求格式无效"
-	ErrJoinServerFailed    = "加入服务器失败"
-	ErrServerIDRequired    = "服务器ID不能为空"
-	ErrUsernameRequired    = "用户名不能为空"
-	ErrSessionVerifyFailed = "会话验证失败"
-	ErrProfileNotFound     = "未找到用户配置文件"
-	ErrInvalidParams       = "无效的请求参数"
-	ErrEmptyUserID         = "用户ID为空"
-	ErrUnauthorized        = "无权操作此配置文件"
-	ErrGetProfileService   = "获取配置文件服务失败"
-
-	// 成功信息
-	SuccessProfileCreated = "创建成功"
-	MsgRegisterSuccess    = "注册成功"
-
-	// 错误消息
-	ErrGetProfile         = "获取配置文件失败"
-	ErrGetTextureService  = "获取材质服务失败"
-	ErrInvalidContentType = "无效的请求内容类型"
-	ErrParseMultipartForm = "解析多部分表单失败"
-	ErrGetFileFromForm    = "从表单获取文件失败"
-	ErrInvalidFileType    = "无效的文件类型，仅支持PNG图片"
-	ErrSaveTexture        = "保存材质失败"
-	ErrSetTexture         = "设置材质失败"
-	ErrGetTexture         = "获取材质失败"
-
 	// 内存限制
 	MaxMultipartMemory = 32 << 20 // 32 MB

 	// 材质类型
 	TextureTypeSkin = "SKIN"
 	TextureTypeCape = "CAPE"
-
-	// 内容类型
-	ContentTypePNG       = "image/png"
-	ContentTypeMultipart = "multipart/form-data"
-
-	// 表单参数
-	FormKeyModel = "model"
-	FormKeyFile  = "file"
-
-	// 元数据键
-	MetaKeyModel = "model"
 )

 // 正则表达式
 var (
 	// 邮箱正则表达式
 	emailRegex = regexp.MustCompile(`^[a-zA-Z0-9._%+\-]+@[a-zA-Z0-9.\-]+\.[a-zA-Z]{2,}$`)
-
-	// 密码强度正则表达式（最少8位，只允许字母、数字和特定特殊字符）
-	passwordRegex = regexp.MustCompile(`^[a-zA-Z0-9!@#$%^&*]{8,}$`)
 )

 // 请求结构体
@@ -138,22 +89,6 @@ type (
 	}
 )

-// APIResponse API响应
-type APIResponse struct {
-	Status int         `json:"status"`
-	Data   interface{} `json:"data"`
-	Error  interface{} `json:"error"`
-}
-
-// standardResponse 生成标准响应
-func standardResponse(c *gin.Context, status int, data interface{}, err interface{}) {
-	c.JSON(status, APIResponse{
-		Status: status,
-		Data:   data,
-		Error:  err,
-	})
-}
-
 // YggdrasilHandler Yggdrasil API处理器
 type YggdrasilHandler struct {
 	container *container.Container
@@ -179,16 +114,8 @@ func NewYggdrasilHandler(c *container.Container) *YggdrasilHandler {
 // @Failure 403 {object} map[string]string "认证失败"
 // @Router /api/yggdrasil/authserver/authenticate [post]
 func (h *YggdrasilHandler) Authenticate(c *gin.Context) {
-	rawData, err := io.ReadAll(c.Request.Body)
-	if err != nil {
-		h.logger.Error("读取请求体失败", zap.Error(err))
-		c.JSON(http.StatusBadRequest, gin.H{"error": "读取请求体失败"})
-		return
-	}
-	c.Request.Body = io.NopCloser(bytes.NewBuffer(rawData))
-
 	var request AuthenticateRequest
-	if err = c.ShouldBindJSON(&request); err != nil {
+	if err := c.ShouldBindJSON(&request); err != nil {
 		h.logger.Error("解析认证请求失败", zap.Error(err))
 		c.JSON(http.StatusBadRequest, gin.H{"error": err.Error()})
 		return
@@ -197,8 +124,10 @@ func (h *YggdrasilHandler) Authenticate(c *gin.Context) {
 	var userId int64
 	var profile *model.Profile
 	var UUID string
+	var err error

 	if emailRegex.MatchString(request.Identifier) {
+		// 邮箱登录：UUID 留空，后续 TokenService.Create 会自动选择该用户的角色
 		userId, err = h.container.YggdrasilService.GetUserIDByEmail(c.Request.Context(), request.Identifier)
 	} else {
 		profile, err = h.container.ProfileService.GetByProfileName(c.Request.Context(), request.Identifier)
@@ -506,7 +435,7 @@ func (h *YggdrasilHandler) SignOut(c *gin.Context) {

 	if !emailRegex.MatchString(request.Email) {
 		h.logger.Warn("登出失败: 邮箱格式不正确", zap.String("email", request.Email))
-		c.JSON(http.StatusBadRequest, gin.H{"error": ErrInvalidEmailFormat})
+		c.JSON(http.StatusBadRequest, gin.H{"error": "邮箱格式不正确"})
 		return
 	}

@@ -578,8 +507,8 @@ func (h *YggdrasilHandler) GetProfileByUUID(c *gin.Context) {
 // @Produce json
 // @Param request body JoinServerRequest true "加入请求"
 // @Success 204 "加入成功"
-// @Failure 400 {object} APIResponse "参数错误"
-// @Failure 500 {object} APIResponse "服务器错误"
+// @Failure 400 {object} map[string]string "参数错误"
+// @Failure 500 {object} map[string]string "服务器错误"
 // @Router /api/yggdrasil/sessionserver/session/minecraft/join [post]
 func (h *YggdrasilHandler) JoinServer(c *gin.Context) {
 	var request JoinServerRequest
@@ -642,14 +571,14 @@ func (h *YggdrasilHandler) HasJoinedServer(c *gin.Context) {
 	serverID, exists := c.GetQuery("serverId")
 	if !exists || serverID == "" {
 		h.logger.Warn("缺少服务器ID参数", zap.String("ip", clientIP))
-		standardResponse(c, http.StatusNoContent, nil, ErrServerIDRequired)
+		c.Status(http.StatusNoContent)
 		return
 	}

 	username, exists := c.GetQuery("username")
 	if !exists || username == "" {
 		h.logger.Warn("缺少用户名参数", zap.String("serverId", serverID), zap.String("ip", clientIP))
-		standardResponse(c, http.StatusNoContent, nil, ErrUsernameRequired)
+		c.Status(http.StatusNoContent)
 		return
 	}

@@ -666,14 +595,14 @@ func (h *YggdrasilHandler) HasJoinedServer(c *gin.Context) {
 			zap.String("username", username),
 			zap.String("ip", clientIP),
 		)
-		standardResponse(c, http.StatusNoContent, nil, ErrSessionVerifyFailed)
+		c.Status(http.StatusNoContent)
 		return
 	}

 	profile, err := h.container.ProfileService.GetByProfileName(c.Request.Context(), username)
 	if err != nil {
 		h.logger.Error("获取用户配置文件失败", zap.Error(err), zap.String("username", username))
-		standardResponse(c, http.StatusNoContent, nil, ErrProfileNotFound)
+		c.Status(http.StatusNoContent)
 		return
 	}

@@ -682,7 +611,7 @@ func (h *YggdrasilHandler) HasJoinedServer(c *gin.Context) {
 		zap.String("username", username),
 		zap.String("uuid", profile.UUID),
 	)
-	c.JSON(200, h.container.YggdrasilService.SerializeProfile(c.Request.Context(), *profile))
+	c.JSON(http.StatusOK, h.container.YggdrasilService.SerializeProfile(c.Request.Context(), *profile))
 }

 // GetProfilesByName 批量获取配置文件
@@ -693,14 +622,14 @@ func (h *YggdrasilHandler) HasJoinedServer(c *gin.Context) {
 // @Produce json
 // @Param request body []string true "用户名列表"
 // @Success 200 {array} model.Profile "档案列表"
-// @Failure 400 {object} APIResponse "参数错误"
+// @Failure 400 {object} map[string]string "参数错误"
 // @Router /api/yggdrasil/api/profiles/minecraft [post]
 func (h *YggdrasilHandler) GetProfilesByName(c *gin.Context) {
 	var names []string

 	if err := c.ShouldBindJSON(&names); err != nil {
 		h.logger.Error("解析名称数组请求失败", zap.Error(err))
-		standardResponse(c, http.StatusBadRequest, nil, ErrInvalidParams)
+		c.JSON(http.StatusBadRequest, gin.H{"error": "无效的请求参数"})
 		return
 	}

@@ -722,7 +651,7 @@ func (h *YggdrasilHandler) GetProfilesByName(c *gin.Context) {
 // @Accept json
 // @Produce json
 // @Success 200 {object} map[string]interface{} "元数据"
-// @Failure 500 {object} APIResponse "服务器错误"
+// @Failure 500 {object} map[string]string "服务器错误"
 // @Router /api/yggdrasil [get]
 func (h *YggdrasilHandler) GetMetaData(c *gin.Context) {
 	meta := gin.H{
@@ -764,7 +693,7 @@ func (h *YggdrasilHandler) GetMetaData(c *gin.Context) {
 // @Accept json
 // @Produce json
 // @Param Authorization header string true "Bearer {token}"
-// @Success 200 {object} map[string]interface{} "证书信息"
+// @Success 200 {object} service.PlayerCertificate "证书信息"
 // @Failure 401 {object} errors.YggdrasilErrorResponse "未授权"
 // @Failure 403 {object} errors.YggdrasilErrorResponse "令牌无效"
 // @Failure 500 {object} errors.YggdrasilErrorResponse "服务器错误"
@@ -804,10 +733,10 @@ func (h *YggdrasilHandler) GetPlayerCertificates(c *gin.Context) {
 	}

 	uuid, err := h.container.TokenService.GetUUIDByAccessToken(c.Request.Context(), tokenID)
-	if uuid == "" {
+	if err != nil || uuid == "" {
 		h.logger.Error("获取玩家UUID失败", zap.Error(err))
-		c.JSON(http.StatusForbidden, errors.NewYggdrasilErrorResponse(
-			"ForbiddenOperationException",
+		c.JSON(http.StatusUnauthorized, errors.NewYggdrasilErrorResponse(
+			"Unauthorized",
 			errors.YggErrInvalidToken,
 			"",
 		))
--- a/internal/middleware/auth.go
+++ b/internal/middleware/auth.go
@@ -1,10 +1,11 @@
 package middleware

 import (
-	"carrotskin/internal/model"
 	"net/http"
 	"strings"

+	"carrotskin/internal/model"
+
 	"carrotskin/pkg/auth"

 	"github.com/gin-gonic/gin"
--- a/internal/model/profile.go
+++ b/internal/model/profile.go
@@ -7,15 +7,22 @@ import (
 // Profile Minecraft 档案模型
 // @Description Minecraft角色档案数据模型
 type Profile struct {
-	UUID          string     `gorm:"column:uuid;type:varchar(32);primaryKey" json:"uuid"`
-	UserID        int64      `gorm:"column:user_id;not null;index:idx_profiles_user_created,priority:1" json:"user_id"`
-	Name          string     `gorm:"column:name;type:varchar(16);not null;uniqueIndex:idx_profiles_name" json:"name"` // Minecraft 角色名
-	SkinID        *int64     `gorm:"column:skin_id;type:bigint;index:idx_profiles_skin_id" json:"skin_id,omitempty"`
-	CapeID        *int64     `gorm:"column:cape_id;type:bigint;index:idx_profiles_cape_id" json:"cape_id,omitempty"`
-	RSAPrivateKey string     `gorm:"column:rsa_private_key;type:text;not null" json:"-"` // RSA 私钥不返回给前端
-	LastUsedAt    *time.Time `gorm:"column:last_used_at;type:timestamp;index:idx_profiles_last_used,sort:desc" json:"last_used_at,omitempty"`
-	CreatedAt     time.Time  `gorm:"column:created_at;type:timestamp;not null;default:CURRENT_TIMESTAMP;index:idx_profiles_user_created,priority:2,sort:desc" json:"created_at"`
-	UpdatedAt     time.Time  `gorm:"column:updated_at;type:timestamp;not null;default:CURRENT_TIMESTAMP" json:"updated_at"`
+	UUID   string `gorm:"column:uuid;type:varchar(32);primaryKey" json:"uuid"`
+	UserID int64  `gorm:"column:user_id;not null;index:idx_profiles_user_created,priority:1" json:"user_id"`
+	Name   string `gorm:"column:name;type:varchar(16);not null;uniqueIndex:idx_profiles_name" json:"name"` // Minecraft 角色名
+	SkinID *int64 `gorm:"column:skin_id;type:bigint;index:idx_profiles_skin_id" json:"skin_id,omitempty"`
+	CapeID *int64 `gorm:"column:cape_id;type:bigint;index:idx_profiles_cape_id" json:"cape_id,omitempty"`
+	// RSA 私钥不返回给前端
+	RSAPrivateKey string `gorm:"column:rsa_private_key;type:text;not null" json:"-"`
+	// 玩家证书完整密钥对（持久化以避免每次请求都重新生成 RSA 4096 密钥）
+	RSAPublicKey         string     `gorm:"column:rsa_public_key;type:text" json:"-"`
+	PublicKeySignature   string     `gorm:"column:public_key_signature;type:text" json:"-"`
+	PublicKeySignatureV2 string     `gorm:"column:public_key_signature_v2;type:text" json:"-"`
+	KeyExpiresAt         *time.Time `gorm:"column:key_expires_at;type:timestamp" json:"-"`
+	KeyRefreshAt         *time.Time `gorm:"column:key_refresh_at;type:timestamp" json:"-"`
+	LastUsedAt           *time.Time `gorm:"column:last_used_at;type:timestamp;index:idx_profiles_last_used,sort:desc" json:"last_used_at,omitempty"`
+	CreatedAt            time.Time  `gorm:"column:created_at;type:timestamp;not null;default:CURRENT_TIMESTAMP;index:idx_profiles_user_created,priority:2,sort:desc" json:"created_at"`
+	UpdatedAt            time.Time  `gorm:"column:updated_at;type:timestamp;not null;default:CURRENT_TIMESTAMP" json:"updated_at"`

 	// 关联
 	User *User    `gorm:"foreignKey:UserID;constraint:OnDelete:CASCADE" json:"user,omitempty"`
--- a/internal/repository/client_repository.go
+++ b/internal/repository/client_repository.go
@@ -1,9 +1,10 @@
 package repository

 import (
-	"carrotskin/internal/model"
 	"context"

+	"carrotskin/internal/model"
+
 	"gorm.io/gorm"
 )

--- a/internal/repository/interfaces.go
+++ b/internal/repository/interfaces.go
@@ -1,8 +1,9 @@
 package repository

 import (
-	"carrotskin/internal/model"
 	"context"
+
+	"carrotskin/internal/model"
 )

 // UserRepository 用户仓储接口
@@ -11,7 +12,7 @@ type UserRepository interface {
 	FindByID(ctx context.Context, id int64) (*model.User, error)
 	FindByUsername(ctx context.Context, username string) (*model.User, error)
 	FindByEmail(ctx context.Context, email string) (*model.User, error)
-	FindByIDs(ctx context.Context, ids []int64) ([]*model.User, error) // 批量查询
+	FindByIDs(ctx context.Context, ids []int64) ([]*model.User, error)          // 批量查询
 	List(ctx context.Context, page, pageSize int) ([]*model.User, int64, error) // 分页列表（管理员）
 	Update(ctx context.Context, user *model.User) error
 	UpdateFields(ctx context.Context, id int64, fields map[string]interface{}) error
@@ -66,10 +67,9 @@ type TextureRepository interface {
 	GetUserFavorites(ctx context.Context, userID int64, page, pageSize int) ([]*model.Texture, int64, error)
 	CountByUploaderID(ctx context.Context, uploaderID int64) (int64, error)
 	ListForAdmin(ctx context.Context, page, pageSize int) ([]*model.Texture, int64, error) // 管理员列表（含 Uploader 预加载）
-	FindByIDForAdmin(ctx context.Context, id int64) (*model.Texture, error)               // 管理员查询（无权限过滤）
+	FindByIDForAdmin(ctx context.Context, id int64) (*model.Texture, error)                // 管理员查询（无权限过滤）
 }

-
 // YggdrasilRepository Yggdrasil仓储接口
 type YggdrasilRepository interface {
 	GetPasswordByID(ctx context.Context, id int64) (string, error)
--- a/internal/repository/profile_repository.go
+++ b/internal/repository/profile_repository.go
@@ -1,11 +1,12 @@
 package repository

 import (
-	"carrotskin/internal/model"
 	"context"
 	"errors"
 	"fmt"

+	"carrotskin/internal/model"
+
 	"gorm.io/gorm"
 )

@@ -131,7 +132,7 @@ func (r *profileRepository) GetKeyPair(ctx context.Context, profileId string) (*

 	var profile model.Profile
 	result := r.db.WithContext(ctx).
-		Select("rsa_private_key").
+		Select("rsa_private_key", "rsa_public_key", "public_key_signature", "public_key_signature_v2", "key_expires_at", "key_refresh_at").
 		Where("uuid = ?", profileId).
 		First(&profile)

@@ -142,9 +143,19 @@ func (r *profileRepository) GetKeyPair(ctx context.Context, profileId string) (*
 		return nil, fmt.Errorf("获取key pair失败: %w", result.Error)
 	}

-	return &model.KeyPair{
-		PrivateKey: profile.RSAPrivateKey,
-	}, nil
+	keyPair := &model.KeyPair{
+		PrivateKey:           profile.RSAPrivateKey,
+		PublicKey:            profile.RSAPublicKey,
+		PublicKeySignature:   profile.PublicKeySignature,
+		PublicKeySignatureV2: profile.PublicKeySignatureV2,
+	}
+	if profile.KeyExpiresAt != nil {
+		keyPair.Expiration = *profile.KeyExpiresAt
+	}
+	if profile.KeyRefreshAt != nil {
+		keyPair.Refresh = *profile.KeyRefreshAt
+	}
+	return keyPair, nil
 }

 func (r *profileRepository) UpdateKeyPair(ctx context.Context, profileId string, keyPair *model.KeyPair) error {
@@ -158,7 +169,14 @@ func (r *profileRepository) UpdateKeyPair(ctx context.Context, profileId string,
 	return r.db.WithContext(ctx).Transaction(func(tx *gorm.DB) error {
 		result := tx.Model(&model.Profile{}).
 			Where("uuid = ?", profileId).
-			Update("rsa_private_key", keyPair.PrivateKey)
+			Updates(map[string]interface{}{
+				"rsa_private_key":          keyPair.PrivateKey,
+				"rsa_public_key":           keyPair.PublicKey,
+				"public_key_signature":     keyPair.PublicKeySignature,
+				"public_key_signature_v2":  keyPair.PublicKeySignatureV2,
+				"key_expires_at":           keyPair.Expiration,
+				"key_refresh_at":           keyPair.Refresh,
+			})

 		if result.Error != nil {
 			return fmt.Errorf("更新 keyPair 失败: %w", result.Error)
--- a/internal/repository/texture_repository.go
+++ b/internal/repository/texture_repository.go
@@ -1,9 +1,10 @@
 package repository

 import (
-	"carrotskin/internal/model"
 	"context"

+	"carrotskin/internal/model"
+
 	"gorm.io/gorm"
 )

--- a/internal/repository/user_repository.go
+++ b/internal/repository/user_repository.go
@@ -1,10 +1,11 @@
 package repository

 import (
-	"carrotskin/internal/model"
 	"context"
 	"errors"

+	"carrotskin/internal/model"
+
 	"gorm.io/gorm"
 )

--- a/internal/repository/yggdrasil_repository.go
+++ b/internal/repository/yggdrasil_repository.go
@@ -1,9 +1,10 @@
 package repository

 import (
-	"carrotskin/internal/model"
 	"context"

+	"carrotskin/internal/model"
+
 	"gorm.io/gorm"
 )

@@ -34,9 +35,3 @@ func (r *yggdrasilRepository) ResetPassword(ctx context.Context, id int64, passw
 func (r *yggdrasilRepository) Create(ctx context.Context, yggdrasil *model.Yggdrasil) error {
 	return r.db.WithContext(ctx).Create(yggdrasil).Error
 }
-
-
-
-
-
-
--- a/internal/service/captcha_service.go
+++ b/internal/service/captcha_service.go
@@ -1,15 +1,16 @@
 package service

 import (
-	"carrotskin/pkg/config"
-	"carrotskin/pkg/redis"
-	"carrotskin/pkg/utils"
 	"context"
 	"errors"
 	"fmt"
 	"log"
 	"time"

+	"carrotskin/pkg/config"
+	"carrotskin/pkg/redis"
+	"carrotskin/pkg/utils"
+
 	"github.com/wenlng/go-captcha-assets/resources/imagesv2"
 	"github.com/wenlng/go-captcha-assets/resources/tiles"
 	"github.com/wenlng/go-captcha/v2/slide"
--- a/internal/service/interfaces.go
+++ b/internal/service/interfaces.go
@@ -2,11 +2,12 @@
 package service

 import (
-	"carrotskin/internal/model"
-	"carrotskin/pkg/storage"
 	"context"
 	"time"

+	"carrotskin/internal/model"
+	"carrotskin/pkg/storage"
+
 	"go.uber.org/zap"
 )

@@ -133,7 +134,7 @@ type YggdrasilService interface {
 	SerializeUser(ctx context.Context, user *model.User, uuid string) map[string]interface{}

 	// 证书
-	GeneratePlayerCertificate(ctx context.Context, uuid string) (map[string]interface{}, error)
+	GeneratePlayerCertificate(ctx context.Context, uuid string) (*PlayerCertificate, error)
 	GetPublicKey(ctx context.Context) (string, error)
 }

--- a/internal/service/profile_service.go
+++ b/internal/service/profile_service.go
@@ -1,11 +1,6 @@
 package service

 import (
-	apperrors "carrotskin/internal/errors"
-	"carrotskin/internal/model"
-	"carrotskin/internal/repository"
-	"carrotskin/pkg/database"
-	"carrotskin/pkg/utils"
 	"context"
 	"crypto/rand"
 	"crypto/rsa"
@@ -14,6 +9,12 @@ import (
 	"errors"
 	"fmt"

+	apperrors "carrotskin/internal/errors"
+	"carrotskin/internal/model"
+	"carrotskin/internal/repository"
+	"carrotskin/pkg/database"
+	"carrotskin/pkg/utils"
+
 	"go.uber.org/zap"
 	"gorm.io/gorm"
 )
--- a/internal/service/signature_service.go
+++ b/internal/service/signature_service.go
@@ -1,9 +1,6 @@
 package service

 import (
-	"carrotskin/internal/model"
-	"carrotskin/internal/repository"
-	"carrotskin/pkg/redis"
 	"context"
 	"crypto"
 	"crypto/rand"
@@ -15,9 +12,13 @@ import (
 	"encoding/pem"
 	"fmt"
 	"strconv"
-	"strings"
+	"sync"
 	"time"

+	"carrotskin/internal/model"
+	"carrotskin/internal/repository"
+	"carrotskin/pkg/redis"
+
 	"go.uber.org/zap"
 )

@@ -37,6 +38,11 @@ type SignatureService struct {
 	profileRepo repository.ProfileRepository
 	redis       *redis.Client
 	logger      *zap.Logger
+
+	// 缓存已解析的根密钥对，避免每次签名都重复 PEM 解析（PKCS1 解析开销较大）
+	rootKeyMu       sync.RWMutex
+	rootPrivateKey  *rsa.PrivateKey
+	rootPublicKeyPEM string
 }

 // NewSignatureService 创建SignatureService实例
@@ -90,74 +96,77 @@ func (s *SignatureService) NewKeyPair(ctx context.Context) (*model.KeyPair, erro
 		return nil, fmt.Errorf("获取Yggdrasil根密钥失败: %w", err)
 	}

-	// 构造签名消息
+	// 构造签名消息（PEM 公钥 + 过期时间戳）
 	expiresAtMillis := expiration.UnixMilli()
-	message := []byte(string(publicKeyPEM) + strconv.FormatInt(expiresAtMillis, 10))
+	message := make([]byte, 0, len(publicKeyPEM)+20)
+	message = append(message, publicKeyPEM...)
+	message = strconv.AppendInt(message, expiresAtMillis, 10)

 	// 使用SHA1withRSA签名
-	hashed := sha1.Sum(message)
-	signature, err := rsa.SignPKCS1v15(rand.Reader, yggPrivateKey, crypto.SHA1, hashed[:])
+	publicKeySignature, err := signWithRootKey(yggPrivateKey, message)
 	if err != nil {
 		return nil, fmt.Errorf("签名失败: %w", err)
 	}
-	publicKeySignature := base64.StdEncoding.EncodeToString(signature)
-
-	// 构造V2签名消息（DER编码）
-	publicKeyDER, err := x509.MarshalPKIXPublicKey(publicKey)
-	if err != nil {
-		return nil, fmt.Errorf("DER编码公钥失败: %w", err)
-	}

 	// V2签名：timestamp (8 bytes, big endian) + publicKey (DER)
-	messageV2 := make([]byte, 8+len(publicKeyDER))
+	messageV2 := make([]byte, 8+len(publicKeyBytes))
 	binary.BigEndian.PutUint64(messageV2[0:8], uint64(expiresAtMillis))
-	copy(messageV2[8:], publicKeyDER)
+	copy(messageV2[8:], publicKeyBytes)

-	hashedV2 := sha1.Sum(messageV2)
-	signatureV2, err := rsa.SignPKCS1v15(rand.Reader, yggPrivateKey, crypto.SHA1, hashedV2[:])
+	publicKeySignatureV2, err := signWithRootKey(yggPrivateKey, messageV2)
 	if err != nil {
 		return nil, fmt.Errorf("V2签名失败: %w", err)
 	}
-	publicKeySignatureV2 := base64.StdEncoding.EncodeToString(signatureV2)

 	return &model.KeyPair{
 		PrivateKey:           string(privateKeyPEM),
 		PublicKey:            string(publicKeyPEM),
-		PublicKeySignature:   publicKeySignature,
-		PublicKeySignatureV2: publicKeySignatureV2,
+		PublicKeySignature:   base64.StdEncoding.EncodeToString(publicKeySignature),
+		PublicKeySignatureV2: base64.StdEncoding.EncodeToString(publicKeySignatureV2),
 		YggdrasilPublicKey:   yggPublicKey,
 		Expiration:           expiration,
 		Refresh:              refresh,
 	}, nil
 }

+// signWithRootKey 使用根密钥对消息做 SHA1withRSA 签名
+func signWithRootKey(privateKey *rsa.PrivateKey, message []byte) ([]byte, error) {
+	hashed := sha1.Sum(message)
+	return rsa.SignPKCS1v15(rand.Reader, privateKey, crypto.SHA1, hashed[:])
+}
+
 // GetOrCreateYggdrasilKeyPair 获取或创建Yggdrasil根密钥对
+// 优先使用进程内缓存的已解析私钥；缓存未命中时从Redis加载并解析，再缓存。
 func (s *SignatureService) GetOrCreateYggdrasilKeyPair(ctx context.Context) (string, *rsa.PrivateKey, error) {
-	// 尝试从Redis获取密钥
-	publicKeyPEM, err := s.redis.Get(ctx, PublicKeyRedisKey)
-	if err == nil && publicKeyPEM != "" {
-		privateKeyPEM, err := s.redis.Get(ctx, PrivateKeyRedisKey)
-		if err == nil && privateKeyPEM != "" {
-			// 检查密钥是否过期
-			expStr, err := s.redis.Get(ctx, KeyExpirationRedisKey)
-			if err == nil && expStr != "" {
-				expTime, err := time.Parse(time.RFC3339, expStr)
-				if err == nil && time.Now().Before(expTime) {
-					// 密钥有效，解析私钥
-					block, _ := pem.Decode([]byte(privateKeyPEM))
-					if block != nil {
-						privateKey, err := x509.ParsePKCS1PrivateKey(block.Bytes)
-						if err == nil {
-							s.logger.Info("从Redis加载Yggdrasil根密钥")
-							return publicKeyPEM, privateKey, nil
-						}
-					}
-				}
-			}
-		}
+	// 1. 读缓存（快路径）
+	s.rootKeyMu.RLock()
+	if s.rootPrivateKey != nil && s.isRootKeyValid() {
+		pub := s.rootPublicKeyPEM
+		priv := s.rootPrivateKey
+		s.rootKeyMu.RUnlock()
+		return pub, priv, nil
+	}
+	s.rootKeyMu.RUnlock()
+
+	// 2. 缓存未命中，加锁准备从 Redis 加载/生成
+	s.rootKeyMu.Lock()
+	defer s.rootKeyMu.Unlock()
+
+	// 双重检查：可能在等待锁期间已被其他 goroutine 填充
+	if s.rootPrivateKey != nil && s.isRootKeyValidLocked() {
+		return s.rootPublicKeyPEM, s.rootPrivateKey, nil
 	}

-	// 生成新的根密钥对
+	// 尝试从Redis获取密钥（MGet 一次往返拿三个字段，减少网络往返）
+	pub, priv, err := s.loadRootKeyFromRedis(ctx)
+	if err == nil && priv != nil {
+		s.rootPrivateKey = priv
+		s.rootPublicKeyPEM = pub
+		s.logger.Info("从Redis加载Yggdrasil根密钥")
+		return pub, priv, nil
+	}
+
+	// Redis 没有，生成新的根密钥对
 	s.logger.Info("生成新的Yggdrasil根密钥对")
 	privateKey, err := rsa.GenerateKey(rand.Reader, KeySize)
 	if err != nil {
@@ -176,7 +185,7 @@ func (s *SignatureService) GetOrCreateYggdrasilKeyPair(ctx context.Context) (str
 	if err != nil {
 		return "", nil, fmt.Errorf("编码公钥失败: %w", err)
 	}
-	publicKeyPEM = string(pem.EncodeToMemory(&pem.Block{
+	publicKeyPEM := string(pem.EncodeToMemory(&pem.Block{
 		Type:  "PUBLIC KEY",
 		Bytes: publicKeyBytes,
 	}))
@@ -195,9 +204,57 @@ func (s *SignatureService) GetOrCreateYggdrasilKeyPair(ctx context.Context) (str
 		s.logger.Warn("保存密钥过期时间到Redis失败", zap.Error(err))
 	}

+	// 缓存已解析的私钥与公钥PEM
+	s.rootPrivateKey = privateKey
+	s.rootPublicKeyPEM = publicKeyPEM
 	return publicKeyPEM, privateKey, nil
 }

+// loadRootKeyFromRedis 从Redis加载根密钥，使用 MGet 单次往返获取三字段
+func (s *SignatureService) loadRootKeyFromRedis(ctx context.Context) (string, *rsa.PrivateKey, error) {
+	results, err := s.redis.MGet(ctx, PublicKeyRedisKey, PrivateKeyRedisKey, KeyExpirationRedisKey).Result()
+	if err != nil {
+		return "", nil, err
+	}
+	if len(results) < 3 {
+		return "", nil, fmt.Errorf("MGet 返回字段数不足")
+	}
+
+	publicKeyPEM, _ := results[0].(string)
+	privateKeyPEM, _ := results[1].(string)
+	expStr, _ := results[2].(string)
+
+	if publicKeyPEM == "" || privateKeyPEM == "" || expStr == "" {
+		return "", nil, fmt.Errorf("Redis中密钥字段不完整")
+	}
+
+	expTime, err := time.Parse(time.RFC3339, expStr)
+	if err != nil || !time.Now().Before(expTime) {
+		return "", nil, fmt.Errorf("密钥已过期或过期时间解析失败")
+	}
+
+	block, _ := pem.Decode([]byte(privateKeyPEM))
+	if block == nil {
+		return "", nil, fmt.Errorf("解析PEM私钥失败")
+	}
+	privateKey, err := x509.ParsePKCS1PrivateKey(block.Bytes)
+	if err != nil {
+		return "", nil, fmt.Errorf("解析RSA私钥失败: %w", err)
+	}
+	return publicKeyPEM, privateKey, nil
+}
+
+// isRootKeyValid 在持有读锁时判断缓存密钥是否过期。
+// 注意：缓存的私钥本身不带过期时间，过期信息存于 Redis（由 loadRootKeyFromRedis 校验）。
+// 一旦加载成功即认为在进程生命周期内有效，由 Redis 过期触发重新生成。
+func (s *SignatureService) isRootKeyValid() bool {
+	return s.isRootKeyValidLocked()
+}
+
+func (s *SignatureService) isRootKeyValidLocked() bool {
+	return s.rootPrivateKey != nil && s.rootPublicKeyPEM != ""
+}
+
 // GetPublicKeyFromRedis 从Redis获取公钥
 func (s *SignatureService) GetPublicKeyFromRedis(ctx context.Context) (string, error) {
 	publicKey, err := s.redis.Get(ctx, PublicKeyRedisKey)
@@ -215,81 +272,16 @@ func (s *SignatureService) GetPublicKeyFromRedis(ctx context.Context) (string, e
 }

 // SignStringWithSHA1withRSA 使用SHA1withRSA签名字符串
+// 使用缓存的已解析根私钥；若缓存为空则触发加载/生成。
 func (s *SignatureService) SignStringWithSHA1withRSA(ctx context.Context, data string) (string, error) {
-
-	// 从Redis获取私钥
-	privateKeyPEM, err := s.redis.Get(ctx, PrivateKeyRedisKey)
-	if err != nil || privateKeyPEM == "" {
-		// 如果没有私钥，创建新的密钥对
-		_, privateKey, err := s.GetOrCreateYggdrasilKeyPair(ctx)
-		if err != nil {
-			return "", fmt.Errorf("获取私钥失败: %w", err)
-		}
-		// 使用新生成的私钥签名
-		hashed := sha1.Sum([]byte(data))
-		signature, err := rsa.SignPKCS1v15(rand.Reader, privateKey, crypto.SHA1, hashed[:])
-		if err != nil {
-			return "", fmt.Errorf("签名失败: %w", err)
-		}
-		return base64.StdEncoding.EncodeToString(signature), nil
-	}
-
-	// 解析PEM格式的私钥
-	block, _ := pem.Decode([]byte(privateKeyPEM))
-	if block == nil {
-		return "", fmt.Errorf("解析PEM私钥失败")
-	}
-
-	privateKey, err := x509.ParsePKCS1PrivateKey(block.Bytes)
+	_, privateKey, err := s.GetOrCreateYggdrasilKeyPair(ctx)
 	if err != nil {
-		return "", fmt.Errorf("解析RSA私钥失败: %w", err)
+		return "", fmt.Errorf("获取签名私钥失败: %w", err)
 	}

-	// 签名
-	hashed := sha1.Sum([]byte(data))
-	signature, err := rsa.SignPKCS1v15(rand.Reader, privateKey, crypto.SHA1, hashed[:])
+	signature, err := signWithRootKey(privateKey, []byte(data))
 	if err != nil {
 		return "", fmt.Errorf("签名失败: %w", err)
 	}
-
-	return base64.StdEncoding.EncodeToString(signature), nil
-}
-
-// FormatPublicKey 格式化公钥为单行格式（去除PEM头尾和换行符）
-func FormatPublicKey(publicKeyPEM string) string {
-	// 移除PEM格式的头尾
-	lines := strings.Split(publicKeyPEM, "\n")
-	var keyLines []string
-	for _, line := range lines {
-		trimmed := strings.TrimSpace(line)
-		if trimmed != "" &&
-			!strings.HasPrefix(trimmed, "-----BEGIN") &&
-			!strings.HasPrefix(trimmed, "-----END") {
-			keyLines = append(keyLines, trimmed)
-		}
-	}
-	return strings.Join(keyLines, "")
-}
-
-// SignStringWithProfileRSA 使用Profile的RSA私钥签名字符串
-func (s *SignatureService) SignStringWithProfileRSA(data string, privateKeyPEM string) (string, error) {
-	// 解析PEM格式的私钥
-	block, _ := pem.Decode([]byte(privateKeyPEM))
-	if block == nil {
-		return "", fmt.Errorf("解析PEM私钥失败")
-	}
-
-	privateKey, err := x509.ParsePKCS1PrivateKey(block.Bytes)
-	if err != nil {
-		return "", fmt.Errorf("解析RSA私钥失败: %w", err)
-	}
-
-	// 签名
-	hashed := sha1.Sum([]byte(data))
-	signature, err := rsa.SignPKCS1v15(rand.Reader, privateKey, crypto.SHA1, hashed[:])
-	if err != nil {
-		return "", fmt.Errorf("签名失败: %w", err)
-	}
-
 	return base64.StdEncoding.EncodeToString(signature), nil
 }
--- a/internal/service/signature_service_test.go
+++ b/internal/service/signature_service_test.go
@@ -0,0 +1,403 @@
+package service
+
+import (
+	"context"
+	"crypto"
+	"crypto/rand"
+	"crypto/rsa"
+	"crypto/sha1"
+	"crypto/x509"
+	"encoding/base64"
+	"encoding/binary"
+	"encoding/pem"
+	"fmt"
+	"strconv"
+	"strings"
+	"sync"
+	"testing"
+
+	pkgRedis "carrotskin/pkg/redis"
+
+	miniredis "github.com/alicebob/miniredis/v2"
+	goRedis "github.com/redis/go-redis/v9"
+	"go.uber.org/zap"
+)
+
+// newTestSignatureService 构造一个基于 miniredis 的 SignatureService，用于测试。
+// 返回服务实例与清理函数。
+func newTestSignatureService(t *testing.T) (*SignatureService, *miniredis.Miniredis, func()) {
+	t.Helper()
+
+	mr, err := miniredis.Run()
+	if err != nil {
+		t.Fatalf("启动 miniredis 失败: %v", err)
+	}
+
+	rdb := goRedis.NewClient(&goRedis.Options{Addr: mr.Addr()})
+	client := &pkgRedis.Client{Client: rdb}
+
+	svc := NewSignatureService(nil, client, zap.NewNop())
+	cleanup := func() {
+		_ = rdb.Close()
+		mr.Close()
+	}
+	return svc, mr, cleanup
+}
+
+// TestSignatureService_SignString_Deterministic 验证 SHA1withRSA 签名的确定性：
+// 相同 data + 相同根密钥应产生完全相同的签名（PKCS#1v1.5 非随机化）。
+// 这也是本次重构（缓存已解析私钥）后输出与重构前一致的核心保证。
+func TestSignatureService_SignString_Deterministic(t *testing.T) {
+	svc, _, cleanup := newTestSignatureService(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	// 首次签名会生成并缓存根密钥
+	sig1, err := svc.SignStringWithSHA1withRSA(ctx, "test-data-123")
+	if err != nil {
+		t.Fatalf("首次签名失败: %v", err)
+	}
+
+	// 第二次签名应命中缓存的已解析私钥，输出必须与首次完全一致
+	sig2, err := svc.SignStringWithSHA1withRSA(ctx, "test-data-123")
+	if err != nil {
+		t.Fatalf("第二次签名失败: %v", err)
+	}
+
+	if sig1 != sig2 {
+		t.Fatalf("签名不确定：sig1=%q sig2=%q", sig1, sig2)
+	}
+
+	// 不同数据应产生不同签名
+	sig3, err := svc.SignStringWithSHA1withRSA(ctx, "different-data")
+	if err != nil {
+		t.Fatalf("不同数据签名失败: %v", err)
+	}
+	if sig1 == sig3 {
+		t.Fatal("不同数据的签名不应相同")
+	}
+}
+
+// TestSignatureService_SignString_MatchesReference 验证重构后的签名与
+// 重构前的参考实现（直接从 Redis 读取私钥 PEM 并解析、逐次签名）产生相同字节序列。
+// 这是签名一致性的回归测试：只要 data 与根私钥相同，新旧实现输出一致。
+func TestSignatureService_SignString_MatchesReference(t *testing.T) {
+	svc, mr, cleanup := newTestSignatureService(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	// 触发根密钥生成并写入 miniredis
+	if _, err := svc.SignStringWithSHA1withRSA(ctx, "consistency-check"); err != nil {
+		t.Fatalf("触发根密钥生成失败: %v", err)
+	}
+
+	// 从 miniredis 读取根私钥 PEM，模拟重构前每次签名都重新解析的逻辑
+	privPEM, err := mr.Get(PrivateKeyRedisKey)
+	if err != nil {
+		t.Fatalf("读取根私钥失败: %v", err)
+	}
+
+	cases := []string{
+		"",
+		"a",
+		strings.Repeat("x", 1024),
+		"eyJ0aW1lc3RhbXAiOjE3MDAwMDAwMDAwMDAsInByb2ZpbGVJZCI6ImFiYzEyIiwicHJvZmlsZU5hbWUiOiJUZXN0In0=",
+	}
+	for _, data := range cases {
+		// 重构后实现
+		got, err := svc.SignStringWithSHA1withRSA(ctx, data)
+		if err != nil {
+			t.Fatalf("SignStringWithSHA1withRSA(%q) 失败: %v", data, err)
+		}
+
+		// 参考实现（重构前逻辑）：pem.Decode + ParsePKCS1PrivateKey + SignPKCS1v15
+		block, _ := pem.Decode([]byte(privPEM))
+		if block == nil {
+			t.Fatalf("参考实现解析 PEM 失败")
+		}
+		priv, err := x509.ParsePKCS1PrivateKey(block.Bytes)
+		if err != nil {
+			t.Fatalf("参考实现解析 RSA 私钥失败: %v", err)
+		}
+		hashed := sha1.Sum([]byte(data))
+		sig, err := rsa.SignPKCS1v15(rand.Reader, priv, crypto.SHA1, hashed[:])
+		if err != nil {
+			t.Fatalf("参考实现签名失败: %v", err)
+		}
+		want := base64.StdEncoding.EncodeToString(sig)
+
+		if got != want {
+			t.Fatalf("签名与参考实现不一致 data=%q\n got=%q\nwant=%q", data, got, want)
+		}
+	}
+}
+
+// TestSignatureService_RootKeyCachedAcrossReloads 验证：
+// 同一进程内多次 GetOrCreateYggdrasilKeyPair 返回同一已解析私钥实例（缓存生效），
+// 且不重复访问 Redis。
+func TestSignatureService_RootKeyCachedAcrossReloads(t *testing.T) {
+	svc, mr, cleanup := newTestSignatureService(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	// 首次生成
+	pub1, priv1, err := svc.GetOrCreateYggdrasilKeyPair(ctx)
+	if err != nil {
+		t.Fatalf("首次 GetOrCreate 失败: %v", err)
+	}
+
+	// 第二次应命中缓存，返回同一私钥指针
+	pub2, priv2, err := svc.GetOrCreateYggdrasilKeyPair(ctx)
+	if err != nil {
+		t.Fatalf("第二次 GetOrCreate 失败: %v", err)
+	}
+	if priv1 != priv2 {
+		t.Fatal("缓存未命中：返回了不同的私钥实例")
+	}
+	if pub1 != pub2 {
+		t.Fatal("公钥 PEM 不一致")
+	}
+
+	// Redis 仅应被写入一次（首次生成）；记录当前 key 数量，再次调用不应增加
+	keysBefore := len(mr.Keys())
+	_, _, _ = svc.GetOrCreateYggdrasilKeyPair(ctx)
+	if got := len(mr.Keys()); got != keysBefore {
+		t.Fatalf("缓存命中后仍写入 Redis：keys before=%d after=%d", keysBefore, got)
+	}
+}
+
+// TestSignatureService_NewKeyPair_SignatureVerifies 验证 NewKeyPair 生成的
+// publicKeySignature / publicKeySignatureV2 能用根公钥正确验签，
+// 且消息构造与重构前格式一致（PEM公钥+时间戳；DER公钥+时间戳）。
+func TestSignatureService_NewKeyPair_SignatureVerifies(t *testing.T) {
+	svc, mr, cleanup := newTestSignatureService(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	kp, err := svc.NewKeyPair(ctx)
+	if err != nil {
+		t.Fatalf("NewKeyPair 失败: %v", err)
+	}
+
+	// 取根公钥用于验签
+	rootPubPEM, err := mr.Get(PublicKeyRedisKey)
+	if err != nil {
+		t.Fatalf("读取根公钥失败: %v", err)
+	}
+	block, _ := pem.Decode([]byte(rootPubPEM))
+	if block == nil {
+		t.Fatal("解析根公钥 PEM 失败")
+	}
+	rootPub, err := x509.ParsePKIXPublicKey(block.Bytes)
+	if err != nil {
+		t.Fatalf("解析根公钥失败: %v", err)
+	}
+	rsaRootPub, ok := rootPub.(*rsa.PublicKey)
+	if !ok {
+		t.Fatal("根公钥不是 RSA 公钥")
+	}
+
+	expiresAtMillis := kp.Expiration.UnixMilli()
+
+	// V1 消息：重构前为 string(publicKeyPEM) + strconv.FormatInt(expiresAtMillis, 10)
+	// 重构后用 append 拼接，字节序列应完全一致
+	pubPEM := []byte(kp.PublicKey)
+	v1Message := make([]byte, 0, len(pubPEM)+20)
+	v1Message = append(v1Message, pubPEM...)
+	v1Message = strconv.AppendInt(v1Message, expiresAtMillis, 10)
+
+	sig1, err := base64.StdEncoding.DecodeString(kp.PublicKeySignature)
+	if err != nil {
+		t.Fatalf("解码 publicKeySignature 失败: %v", err)
+	}
+	hashed1 := sha1.Sum(v1Message)
+	if err := rsa.VerifyPKCS1v15(rsaRootPub, crypto.SHA1, hashed1[:], sig1); err != nil {
+		t.Fatalf("V1 签名验签失败: %v", err)
+	}
+
+	// V2 消息：重构前为 timestamp(8 BE) + 玩家公钥 DER
+	// 玩家公钥 DER 来自 kp.PublicKey 的 PEM 解码
+	playerBlock, _ := pem.Decode([]byte(kp.PublicKey))
+	if playerBlock == nil {
+		t.Fatal("解析玩家公钥 PEM 失败")
+	}
+	playerDER := playerBlock.Bytes // PKIX 编码的 SubjectPublicKeyInfo DER
+	v2Message := make([]byte, 8+len(playerDER))
+	binary.BigEndian.PutUint64(v2Message[0:8], uint64(expiresAtMillis))
+	copy(v2Message[8:], playerDER)
+
+	sig2, err := base64.StdEncoding.DecodeString(kp.PublicKeySignatureV2)
+	if err != nil {
+		t.Fatalf("解码 publicKeySignatureV2 失败: %v", err)
+	}
+	hashed2 := sha1.Sum(v2Message)
+	if err := rsa.VerifyPKCS1v15(rsaRootPub, crypto.SHA1, hashed2[:], sig2); err != nil {
+		t.Fatalf("V2 签名验签失败: %v", err)
+	}
+}
+
+// TestSignatureService_NewKeyPair_V1MessageBytes 验证 V1 消息字节构造与重构前完全一致。
+// 重构前：[]byte(string(publicKeyPEM) + strconv.FormatInt(expiresAtMillis, 10))
+// 重构后：append(publicKeyPEM...); strconv.AppendInt(msg, expiresAtMillis, 10)
+func TestSignatureService_NewKeyPair_V1MessageBytes(t *testing.T) {
+	// 构造一个固定的 PEM 公钥与时间戳，对比两种构造方式的字节
+	pubPEM := pem.EncodeToMemory(&pem.Block{
+		Type:  "PUBLIC KEY",
+		Bytes: []byte("dummy-der-bytes"),
+	})
+	expiresAtMillis := int64(1700000000000)
+
+	oldStyle := []byte(string(pubPEM) + strconv.FormatInt(expiresAtMillis, 10))
+
+	newStyle := make([]byte, 0, len(pubPEM)+20)
+	newStyle = append(newStyle, pubPEM...)
+	newStyle = strconv.AppendInt(newStyle, expiresAtMillis, 10)
+
+	if string(oldStyle) != string(newStyle) {
+		t.Fatalf("V1 消息字节不一致\n old=%q\n new=%q", oldStyle, newStyle)
+	}
+}
+
+// TestSignatureService_GetOrCreateYggdrasilKeyPair_LoadsFromRedis 验证：
+// 当进程内缓存为空（新实例）但 Redis 中已有有效密钥时，能正确加载而非重新生成。
+// 使用同一 miniredis 实例，避免新旧实例切换时数据丢失。
+func TestSignatureService_GetOrCreateYggdrasilKeyPair_LoadsFromRedis(t *testing.T) {
+	mr, err := miniredis.Run()
+	if err != nil {
+		t.Fatalf("启动 miniredis 失败: %v", err)
+	}
+	t.Cleanup(mr.Close)
+
+	rdb := goRedis.NewClient(&goRedis.Options{Addr: mr.Addr()})
+	t.Cleanup(func() { _ = rdb.Close() })
+	client := &pkgRedis.Client{Client: rdb}
+	ctx := context.Background()
+
+	// 实例1 生成根密钥（写入 miniredis）
+	svc1 := NewSignatureService(nil, client, zap.NewNop())
+	pub1, priv1, err := svc1.GetOrCreateYggdrasilKeyPair(ctx)
+	if err != nil {
+		t.Fatalf("实例1生成失败: %v", err)
+	}
+
+	// 新建实例2（缓存为空），但 Redis 中已有密钥
+	svc2 := NewSignatureService(nil, client, zap.NewNop())
+	pub2, priv2, err := svc2.GetOrCreateYggdrasilKeyPair(ctx)
+	if err != nil {
+		t.Fatalf("实例2加载失败: %v", err)
+	}
+	if pub1 != pub2 {
+		t.Fatal("从 Redis 加载的公钥 PEM 不一致")
+	}
+	// 加载的私钥应与原始私钥在数学上等价（N 相同）
+	if priv1.N.Cmp(priv2.N) != 0 {
+		t.Fatal("从 Redis 加载的私钥与原始私钥不匹配")
+	}
+}
+
+// TestSignatureService_SignConcurrent 验证签名缓存层在并发下的正确性（无数据竞争）。
+func TestSignatureService_SignConcurrent(t *testing.T) {
+	svc, _, cleanup := newTestSignatureService(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	// 先生成根密钥
+	seed, err := svc.SignStringWithSHA1withRSA(ctx, "seed")
+	if err != nil {
+		t.Fatalf("种子签名失败: %v", err)
+	}
+
+	const n = 32
+	var wg sync.WaitGroup
+	errs := make(chan error, n)
+	sigs := make(chan string, n)
+	wg.Add(n)
+	for i := 0; i < n; i++ {
+		go func() {
+			defer wg.Done()
+			sig, err := svc.SignStringWithSHA1withRSA(ctx, "seed")
+			if err != nil {
+				errs <- err
+				return
+			}
+			sigs <- sig
+		}()
+	}
+	wg.Wait()
+	close(errs)
+	close(sigs)
+
+	for err := range errs {
+		t.Fatalf("并发签名出错: %v", err)
+	}
+	for sig := range sigs {
+		if sig != seed {
+			t.Fatalf("并发签名结果与预期不一致：got=%q want=%q", sig, seed)
+		}
+	}
+}
+
+// TestSignatureService_KeyPairFieldsPopulated 验证 NewKeyPair 返回的 KeyPair 字段完整。
+func TestSignatureService_KeyPairFieldsPopulated(t *testing.T) {
+	svc, _, cleanup := newTestSignatureService(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	kp, err := svc.NewKeyPair(ctx)
+	if err != nil {
+		t.Fatalf("NewKeyPair 失败: %v", err)
+	}
+
+	checks := []struct {
+		name string
+		got  string
+	}{
+		{"PrivateKey", kp.PrivateKey},
+		{"PublicKey", kp.PublicKey},
+		{"PublicKeySignature", kp.PublicKeySignature},
+		{"PublicKeySignatureV2", kp.PublicKeySignatureV2},
+		{"YggdrasilPublicKey", kp.YggdrasilPublicKey},
+	}
+	for _, c := range checks {
+		if c.got == "" {
+			t.Errorf("KeyPair.%s 为空", c.name)
+		}
+	}
+	if kp.Expiration.IsZero() || kp.Refresh.IsZero() {
+		t.Error("KeyPair.Expiration/Refresh 未设置")
+	}
+	if !kp.Refresh.Before(kp.Expiration) {
+		t.Error("Refresh 应早于 Expiration")
+	}
+}
+
+// 确保引用的包被使用（避免未使用导入在编辑后报错）
+var _ = fmt.Sprintf
+
+// BenchmarkSignStringWithSHA1withRSA 衡量缓存命中路径的签名性能（无 PEM 解析、无 Redis 往返）。
+func BenchmarkSignStringWithSHA1withRSA(b *testing.B) {
+	mr, err := miniredis.Run()
+	if err != nil {
+		b.Fatalf("启动 miniredis 失败: %v", err)
+	}
+	defer mr.Close()
+
+	rdb := goRedis.NewClient(&goRedis.Options{Addr: mr.Addr()})
+	defer func() { _ = rdb.Close() }()
+	client := &pkgRedis.Client{Client: rdb}
+	ctx := context.Background()
+
+	svc := NewSignatureService(nil, client, zap.NewNop())
+	// 预热：生成根密钥并填充缓存
+	if _, err := svc.SignStringWithSHA1withRSA(ctx, "warmup"); err != nil {
+		b.Fatalf("预热失败: %v", err)
+	}
+
+	data := strings.Repeat("x", 256)
+	b.ResetTimer()
+	for i := 0; i < b.N; i++ {
+		if _, err := svc.SignStringWithSHA1withRSA(ctx, data); err != nil {
+			b.Fatalf("签名失败: %v", err)
+		}
+	}
+}
--- a/internal/service/texture_service.go
+++ b/internal/service/texture_service.go
@@ -2,11 +2,6 @@ package service

 import (
 	"bytes"
-	apperrors "carrotskin/internal/errors"
-	"carrotskin/internal/model"
-	"carrotskin/internal/repository"
-	"carrotskin/pkg/database"
-	"carrotskin/pkg/storage"
 	"context"
 	"crypto/sha256"
 	"encoding/hex"
@@ -16,6 +11,12 @@ import (
 	"strings"
 	"time"

+	apperrors "carrotskin/internal/errors"
+	"carrotskin/internal/model"
+	"carrotskin/internal/repository"
+	"carrotskin/pkg/database"
+	"carrotskin/pkg/storage"
+
 	"go.uber.org/zap"
 	"gorm.io/gorm"
 )
--- a/internal/service/token_service_redis.go
+++ b/internal/service/token_service_redis.go
@@ -1,15 +1,16 @@
 package service

 import (
-	"carrotskin/internal/model"
-	"carrotskin/internal/repository"
-	"carrotskin/pkg/auth"
-	"carrotskin/pkg/utils"
 	"context"
 	"errors"
 	"fmt"
 	"time"

+	"carrotskin/internal/model"
+	"carrotskin/internal/repository"
+	"carrotskin/pkg/auth"
+	"carrotskin/pkg/utils"
+
 	"go.uber.org/zap"
 )

--- a/internal/service/yggdrasil_auth_service.go
+++ b/internal/service/yggdrasil_auth_service.go
@@ -1,12 +1,13 @@
 package service

 import (
+	"context"
+	"fmt"
+
 	apperrors "carrotskin/internal/errors"
 	"carrotskin/internal/model"
 	"carrotskin/internal/repository"
 	"carrotskin/pkg/auth"
-	"context"
-	"fmt"

 	"go.uber.org/zap"
 )
--- a/internal/service/yggdrasil_certificate_service.go
+++ b/internal/service/yggdrasil_certificate_service.go
@@ -1,23 +1,39 @@
 package service

 import (
-	apperrors "carrotskin/internal/errors"
-	"carrotskin/internal/repository"
 	"context"
 	"fmt"
 	"time"

+	apperrors "carrotskin/internal/errors"
+	"carrotskin/internal/repository"
+
 	"go.uber.org/zap"
 )

 // CertificateService 证书服务接口
 type CertificateService interface {
 	// GeneratePlayerCertificate 生成玩家证书
-	GeneratePlayerCertificate(ctx context.Context, uuid string) (map[string]interface{}, error)
+	GeneratePlayerCertificate(ctx context.Context, uuid string) (*PlayerCertificate, error)
 	// GetPublicKey 获取公钥
 	GetPublicKey(ctx context.Context) (string, error)
 }

+// PlayerCertificate 玩家证书
+type PlayerCertificate struct {
+	KeyPair               PlayerKeyPair `json:"keyPair"`
+	PublicKeySignature   string        `json:"publicKeySignature"`
+	PublicKeySignatureV2 string        `json:"publicKeySignatureV2"`
+	ExpiresAt            int64         `json:"expiresAt"`
+	RefreshedAfter       int64         `json:"refreshedAfter"`
+}
+
+// PlayerKeyPair 玩家证书密钥对
+type PlayerKeyPair struct {
+	PrivateKey string `json:"privateKey"`
+	PublicKey  string `json:"publicKey"`
+}
+
 // yggdrasilCertificateService 证书服务实现
 type yggdrasilCertificateService struct {
 	profileRepo      repository.ProfileRepository
@@ -39,7 +55,7 @@ func NewCertificateService(
 }

 // GeneratePlayerCertificate 生成玩家证书
-func (s *yggdrasilCertificateService) GeneratePlayerCertificate(ctx context.Context, uuid string) (map[string]interface{}, error) {
+func (s *yggdrasilCertificateService) GeneratePlayerCertificate(ctx context.Context, uuid string) (*PlayerCertificate, error) {
 	if uuid == "" {
 		return nil, apperrors.ErrUUIDRequired
 	}
@@ -88,15 +104,15 @@ func (s *yggdrasilCertificateService) GeneratePlayerCertificate(ctx context.Cont
 	expiresAtMillis := keyPair.Expiration.UnixMilli()

 	// 返回玩家证书
-	certificate := map[string]interface{}{
-		"keyPair": map[string]interface{}{
-			"privateKey": keyPair.PrivateKey,
-			"publicKey":  keyPair.PublicKey,
+	certificate := &PlayerCertificate{
+		KeyPair: PlayerKeyPair{
+			PrivateKey: keyPair.PrivateKey,
+			PublicKey:  keyPair.PublicKey,
 		},
-		"publicKeySignature":   keyPair.PublicKeySignature,
-		"publicKeySignatureV2": keyPair.PublicKeySignatureV2,
-		"expiresAt":            expiresAtMillis,
-		"refreshedAfter":       keyPair.Refresh.UnixMilli(),
+		PublicKeySignature:   keyPair.PublicKeySignature,
+		PublicKeySignatureV2: keyPair.PublicKeySignatureV2,
+		ExpiresAt:            expiresAtMillis,
+		RefreshedAfter:       keyPair.Refresh.UnixMilli(),
 	}

 	s.logger.Info("成功生成玩家证书",
@@ -109,4 +125,3 @@ func (s *yggdrasilCertificateService) GeneratePlayerCertificate(ctx context.Cont
 func (s *yggdrasilCertificateService) GetPublicKey(ctx context.Context) (string, error) {
 	return s.signatureService.GetPublicKeyFromRedis(ctx)
 }
-
--- a/internal/service/yggdrasil_serialization_service.go
+++ b/internal/service/yggdrasil_serialization_service.go
@@ -1,12 +1,13 @@
 package service

 import (
-	"carrotskin/internal/model"
-	"carrotskin/internal/repository"
 	"context"
 	"encoding/base64"
 	"time"

+	"carrotskin/internal/model"
+	"carrotskin/internal/repository"
+
 	"go.uber.org/zap"
 )

@@ -54,8 +55,8 @@ func (s *yggdrasilSerializationService) SerializeProfile(ctx context.Context, pr

 // SerializeProfileWithUnsigned 序列化档案为Yggdrasil格式（支持unsigned参数）
 func (s *yggdrasilSerializationService) SerializeProfileWithUnsigned(ctx context.Context, profile model.Profile, unsigned bool) map[string]interface{} {
-	// 创建基本材质数据
-	texturesMap := make(map[string]interface{})
+	// 预分配材质 map（最多 SKIN + CAPE 两个条目，避免运行时扩容）
+	texturesMap := make(map[string]interface{}, 2)
 	textures := map[string]interface{}{
 		"timestamp":   time.Now().UnixMilli(),
 		"profileId":   profile.UUID,
@@ -63,7 +64,7 @@ func (s *yggdrasilSerializationService) SerializeProfileWithUnsigned(ctx context
 		"textures":    texturesMap,
 	}

-	// 处理皮肤
+	// 处理皮肤：metadata 仅对 SKIN 有效，值为 {"model":"slim"}；classic/默认省略 metadata
 	if profile.SkinID != nil {
 		skin, err := s.textureRepo.FindByID(ctx, *profile.SkinID)
 		if err != nil {
@@ -72,14 +73,19 @@ func (s *yggdrasilSerializationService) SerializeProfileWithUnsigned(ctx context
 				zap.Int64("skinID", *profile.SkinID),
 			)
 		} else if skin != nil {
-			texturesMap["SKIN"] = map[string]interface{}{
-				"url":      skin.URL,
-				"metadata": skin.Size,
+			// slim 才需要 metadata 字段；classic 直接仅含 url
+			if skin.IsSlim {
+				texturesMap["SKIN"] = map[string]interface{}{
+					"url":      skin.URL,
+					"metadata": map[string]string{"model": "slim"},
+				}
+			} else {
+				texturesMap["SKIN"] = map[string]interface{}{"url": skin.URL}
 			}
 		}
 	}

-	// 处理披风
+	// 处理披风：CAPE 不携带 metadata 字段
 	if profile.CapeID != nil {
 		cape, err := s.textureRepo.FindByID(ctx, *profile.CapeID)
 		if err != nil {
@@ -88,15 +94,12 @@ func (s *yggdrasilSerializationService) SerializeProfileWithUnsigned(ctx context
 				zap.Int64("capeID", *profile.CapeID),
 			)
 		} else if cape != nil {
-			texturesMap["CAPE"] = map[string]interface{}{
-				"url":      cape.URL,
-				"metadata": cape.Size,
-			}
+			texturesMap["CAPE"] = map[string]interface{}{"url": cape.URL}
 		}
 	}

-	// 将textures编码为base64
-	bytes, err := json.Marshal(textures)
+	// 将 textures 编码为 base64
+	textureBytes, err := json.Marshal(textures)
 	if err != nil {
 		s.logger.Error("序列化textures失败",
 			zap.Error(err),
@@ -105,12 +108,15 @@ func (s *yggdrasilSerializationService) SerializeProfileWithUnsigned(ctx context
 		return nil
 	}

-	textureData := base64.StdEncoding.EncodeToString(bytes)
+	textureData := base64.StdEncoding.EncodeToString(textureBytes)

 	// 只有在 unsigned=false 时才签名
-	var signature string
+	property := Property{
+		Name:  "textures",
+		Value: textureData,
+	}
 	if !unsigned {
-		signature, err = s.signatureService.SignStringWithSHA1withRSA(ctx, textureData)
+		signature, err := s.signatureService.SignStringWithSHA1withRSA(ctx, textureData)
 		if err != nil {
 			s.logger.Error("签名textures失败",
 				zap.Error(err),
@@ -118,26 +124,15 @@ func (s *yggdrasilSerializationService) SerializeProfileWithUnsigned(ctx context
 			)
 			return nil
 		}
-	}
-
-	// 构建属性
-	property := Property{
-		Name:  "textures",
-		Value: textureData,
-	}
-
-	// 只有在 unsigned=false 时才添加签名
-	if !unsigned {
 		property.Signature = signature
 	}

 	// 构建结果
-	data := map[string]interface{}{
+	return map[string]interface{}{
 		"id":         profile.UUID,
 		"name":       profile.Name,
 		"properties": []Property{property},
 	}
-	return data
 }

 // SerializeUser 序列化用户为Yggdrasil格式
--- a/internal/service/yggdrasil_service_composite.go
+++ b/internal/service/yggdrasil_service_composite.go
@@ -1,13 +1,14 @@
 package service

 import (
+	"context"
+	"errors"
+	"fmt"
+
 	"carrotskin/internal/model"
 	"carrotskin/internal/repository"
 	"carrotskin/pkg/redis"
 	"carrotskin/pkg/utils"
-	"context"
-	"errors"
-	"fmt"

 	"go.uber.org/zap"
 )
@@ -124,7 +125,7 @@ func (s *yggdrasilServiceComposite) SerializeUser(ctx context.Context, user *mod
 }

 // GeneratePlayerCertificate 生成玩家证书
-func (s *yggdrasilServiceComposite) GeneratePlayerCertificate(ctx context.Context, uuid string) (map[string]interface{}, error) {
+func (s *yggdrasilServiceComposite) GeneratePlayerCertificate(ctx context.Context, uuid string) (*PlayerCertificate, error) {
 	return s.certificateService.GeneratePlayerCertificate(ctx, uuid)
 }

--- a/internal/service/yggdrasil_session_service.go
+++ b/internal/service/yggdrasil_session_service.go
@@ -1,14 +1,15 @@
 package service

 import (
-	apperrors "carrotskin/internal/errors"
-	"carrotskin/pkg/redis"
 	"context"
 	"fmt"
 	"net"
 	"strings"
 	"time"

+	apperrors "carrotskin/internal/errors"
+	"carrotskin/pkg/redis"
+
 	"go.uber.org/zap"
 )

@@ -82,7 +83,7 @@ func (s *yggdrasilSessionService) CreateSession(ctx context.Context, serverID, a
 		return apperrors.ErrInvalidAccessToken
 	}
 	if username == "" {
-		return apperrors.ErrUsernameMismatch
+		return apperrors.ErrUsernameRequired
 	}
 	if profileUUID == "" {
 		return apperrors.ErrProfileMismatch
@@ -126,12 +127,8 @@ func (s *yggdrasilSessionService) CreateSession(ctx context.Context, serverID, a
 	return nil
 }

-// GetSession 获取会话数据
+// GetSession 获取会话数据（内部调用前已对 serverID 校验过，跳过重复校验）
 func (s *yggdrasilSessionService) GetSession(ctx context.Context, serverID string) (*SessionData, error) {
-	if err := ValidateServerID(serverID); err != nil {
-		return nil, err
-	}
-
 	// 从Redis获取会话数据
 	sessionKey := SessionKeyPrefix + serverID
 	data, err := s.redis.GetBytes(ctx, sessionKey)
@@ -162,6 +159,7 @@ func (s *yggdrasilSessionService) ValidateSession(ctx context.Context, serverID,
 		return apperrors.ErrSessionMismatch
 	}

+	// ValidateSession 由 HasJoinedServer 调用，serverID 已经过校验，此处无需重复 ValidateServerID
 	sessionData, err := s.GetSession(ctx, serverID)
 	if err != nil {
 		return apperrors.ErrSessionNotFound
--- a/internal/service/yggdrasil_validator.go
+++ b/internal/service/yggdrasil_validator.go
@@ -1,103 +0,0 @@
-package service
-
-import (
-	"errors"
-	"net"
-	"regexp"
-	"strings"
-)
-
-// Validator Yggdrasil验证器
-type Validator struct{}
-
-// NewValidator 创建验证器实例
-func NewValidator() *Validator {
-	return &Validator{}
-}
-
-var (
-	// emailRegex 邮箱正则表达式
-	emailRegex = regexp.MustCompile(`^[a-zA-Z0-9._%+\-]+@[a-zA-Z0-9.\-]+\.[a-zA-Z]{2,}$`)
-)
-
-// ValidateServerID 验证服务器ID格式
-func (v *Validator) ValidateServerID(serverID string) error {
-	if serverID == "" {
-		return errors.New("服务器ID不能为空")
-	}
-	if len(serverID) > 100 {
-		return errors.New("服务器ID长度超过限制（最大100字符）")
-	}
-	// 防止注入攻击：检查危险字符
-	if strings.ContainsAny(serverID, "<>\"'&") {
-		return errors.New("服务器ID包含非法字符")
-	}
-	return nil
-}
-
-// ValidateIP 验证IP地址格式
-func (v *Validator) ValidateIP(ip string) error {
-	if ip == "" {
-		return nil // IP是可选的
-	}
-	if net.ParseIP(ip) == nil {
-		return errors.New("IP地址格式无效")
-	}
-	return nil
-}
-
-// ValidateEmail 验证邮箱格式
-func (v *Validator) ValidateEmail(email string) error {
-	if email == "" {
-		return errors.New("邮箱不能为空")
-	}
-	if !emailRegex.MatchString(email) {
-		return errors.New("邮箱格式不正确")
-	}
-	return nil
-}
-
-// ValidateUUID 验证UUID格式（支持32位无符号和36位带连字符格式）
-func (v *Validator) ValidateUUID(uuid string) error {
-	if uuid == "" {
-		return errors.New("UUID不能为空")
-	}
-
-	// 验证32位无符号UUID格式（纯十六进制字符串）
-	if len(uuid) == 32 {
-		// 检查是否为有效的十六进制字符串
-		for _, c := range uuid {
-			if !((c >= '0' && c <= '9') || (c >= 'a' && c <= 'f') || (c >= 'A' && c <= 'F')) {
-				return errors.New("UUID格式无效：包含非十六进制字符")
-			}
-		}
-		return nil
-	}
-
-	// 验证36位标准UUID格式（带连字符）
-	if len(uuid) == 36 && uuid[8] == '-' && uuid[13] == '-' && uuid[18] == '-' && uuid[23] == '-' {
-		// 检查除连字符外的字符是否为有效的十六进制
-		for i, c := range uuid {
-			if i == 8 || i == 13 || i == 18 || i == 23 {
-				continue // 跳过连字符位置
-			}
-			if !((c >= '0' && c <= '9') || (c >= 'a' && c <= 'f') || (c >= 'A' && c <= 'F')) {
-				return errors.New("UUID格式无效：包含非十六进制字符")
-			}
-		}
-		return nil
-	}
-
-	return errors.New("UUID格式无效：长度应为32位或36位")
-}
-
-// ValidateAccessToken 验证访问令牌
-func (v *Validator) ValidateAccessToken(token string) error {
-	if token == "" {
-		return errors.New("访问令牌不能为空")
-	}
-	if len(token) < 10 {
-		return errors.New("访问令牌格式无效")
-	}
-	return nil
-}
--- a/pkg/auth/yggdrasil_jwt.go
+++ b/pkg/auth/yggdrasil_jwt.go
@@ -1,29 +1,13 @@
 package auth

 import (
-	"context"
-	"crypto/rand"
 	"crypto/rsa"
-	"crypto/x509"
-	"encoding/pem"
 	"errors"
-	"fmt"
-	"sync"
 	"time"

 	"github.com/golang-jwt/jwt/v5"
 )

-const (
-	YggdrasilPrivateKeyRedisKey = "yggdrasil:private_key"
-)
-
-// RedisClient 定义Redis客户端接口（用于测试）
-type RedisClient interface {
-	Get(ctx context.Context, key string) (string, error)
-	Set(ctx context.Context, key string, value interface{}, expiration time.Duration) error
-}
-
 // YggdrasilJWTService Yggdrasil JWT服务（使用RSA512）
 type YggdrasilJWTService struct {
 	privateKey *rsa.PrivateKey
@@ -122,98 +106,3 @@ func (j *YggdrasilJWTService) ParseAccessToken(accessToken string, stalePolicy S
 func (j *YggdrasilJWTService) GetPublicKey() *rsa.PublicKey {
 	return j.publicKey
 }
-
-// YggdrasilJWTManager Yggdrasil JWT管理器，用于获取或创建JWT服务
-type YggdrasilJWTManager struct {
-	redisClient RedisClient
-	jwtService  *YggdrasilJWTService
-	privateKey  *rsa.PrivateKey
-	mu          sync.RWMutex
-}
-
-// NewYggdrasilJWTManager 创建Yggdrasil JWT管理器
-func NewYggdrasilJWTManager(redisClient RedisClient) *YggdrasilJWTManager {
-	return &YggdrasilJWTManager{
-		redisClient: redisClient,
-	}
-}
-
-// GetJWTService 获取或创建Yggdrasil JWT服务（线程安全）
-func (m *YggdrasilJWTManager) GetJWTService() (*YggdrasilJWTService, error) {
-	m.mu.RLock()
-	if m.jwtService != nil {
-		service := m.jwtService
-		m.mu.RUnlock()
-		return service, nil
-	}
-	m.mu.RUnlock()
-
-	m.mu.Lock()
-	defer m.mu.Unlock()
-
-	// 双重检查
-	if m.jwtService != nil {
-		return m.jwtService, nil
-	}
-
-	// 从Redis获取私钥
-	privateKey, err := m.getPrivateKeyFromRedis()
-	if err != nil {
-		return nil, fmt.Errorf("获取私钥失败: %w", err)
-	}
-
-	m.privateKey = privateKey
-	m.jwtService = NewYggdrasilJWTService(privateKey, "carrotskin")
-	return m.jwtService, nil
-}
-
-// SetPrivateKey 直接设置私钥（用于测试或直接从signatureService获取）
-func (m *YggdrasilJWTManager) SetPrivateKey(privateKey *rsa.PrivateKey) {
-	m.mu.Lock()
-	defer m.mu.Unlock()
-	m.privateKey = privateKey
-	if privateKey != nil {
-		m.jwtService = NewYggdrasilJWTService(privateKey, "carrotskin")
-	}
-}
-
-// getPrivateKeyFromRedis 从Redis获取私钥
-func (m *YggdrasilJWTManager) getPrivateKeyFromRedis() (*rsa.PrivateKey, error) {
-	if m.privateKey != nil {
-		return m.privateKey, nil
-	}
-
-	ctx := context.Background()
-	privateKeyPEM, err := m.redisClient.Get(ctx, YggdrasilPrivateKeyRedisKey)
-	if err != nil || privateKeyPEM == "" {
-		return nil, fmt.Errorf("从Redis获取私钥失败: %w", err)
-	}
-
-	// 解析PEM格式的私钥
-	block, _ := pem.Decode([]byte(privateKeyPEM))
-	if block == nil {
-		return nil, fmt.Errorf("解析PEM私钥失败")
-	}
-
-	privateKey, err := x509.ParsePKCS1PrivateKey(block.Bytes)
-	if err != nil {
-		return nil, fmt.Errorf("解析RSA私钥失败: %w", err)
-	}
-
-	return privateKey, nil
-}
-
-// GenerateKeyPair 生成RSA密钥对（用于测试）
-func GenerateKeyPair() (*rsa.PrivateKey, error) {
-	return rsa.GenerateKey(rand.Reader, 2048)
-}
-
-// EncodePrivateKeyToPEM 将私钥编码为PEM格式（用于测试）
-func EncodePrivateKeyToPEM(privateKey *rsa.PrivateKey) (string, error) {
-	privateKeyBytes := x509.MarshalPKCS1PrivateKey(privateKey)
-	privateKeyPEM := pem.EncodeToMemory(&pem.Block{
-		Type:  "RSA PRIVATE KEY",
-		Bytes: privateKeyBytes,
-	})
-	return string(privateKeyPEM), nil
-}
--- a/pkg/auth/yggdrasil_jwt_test.go
+++ b/pkg/auth/yggdrasil_jwt_test.go
@@ -1,65 +1,16 @@
 package auth

 import (
-	"context"
+	"crypto/rand"
 	"crypto/rsa"
-	"errors"
 	"testing"
 	"time"
-
-	"github.com/redis/go-redis/v9"
 )

-// MockRedisClient 模拟Redis客户端
-type MockRedisClient struct {
-	data map[string]string
-	err  error
-}
-
-func NewMockRedisClient() *MockRedisClient {
-	return &MockRedisClient{
-		data: make(map[string]string),
-	}
-}
-
-func (m *MockRedisClient) Get(ctx context.Context, key string) (string, error) {
-	if m.err != nil {
-		return "", m.err
-	}
-	if val, ok := m.data[key]; ok {
-		return val, nil
-	}
-	return "", redis.Nil
-}
-
-func (m *MockRedisClient) Set(ctx context.Context, key string, value interface{}, expiration time.Duration) error {
-	if m.err != nil {
-		return m.err
-	}
-	m.data[key] = value.(string)
-	return nil
-}
-
-func (m *MockRedisClient) SetError(err error) {
-	m.err = err
-}
-
-func (m *MockRedisClient) ClearError() {
-	m.err = nil
-}
-
-func (m *MockRedisClient) SetData(key, value string) {
-	m.data[key] = value
-}
-
-func (m *MockRedisClient) Clear() {
-	m.data = make(map[string]string)
-	m.err = nil
-}
-
-// 测试辅助函数：生成测试用的密钥对
+// generateTestKeyPair 生成测试用的 RSA 密钥对
 func generateTestKeyPair(t *testing.T) *rsa.PrivateKey {
-	privateKey, err := GenerateKeyPair()
+	t.Helper()
+	privateKey, err := rsa.GenerateKey(rand.Reader, 2048)
 	if err != nil {
 		t.Fatalf("生成密钥对失败: %v", err)
 	}
@@ -285,169 +236,6 @@ func TestYggdrasilJWTService_GetPublicKey(t *testing.T) {
 	}
 }

-func TestNewYggdrasilJWTManager(t *testing.T) {
-	mockRedis := NewMockRedisClient()
-	manager := NewYggdrasilJWTManager(mockRedis)
-
-	if manager == nil {
-		t.Fatal("管理器创建失败")
-	}
-	if manager.redisClient != mockRedis {
-		t.Error("Redis客户端未正确设置")
-	}
-}
-
-func TestYggdrasilJWTManager_SetPrivateKey(t *testing.T) {
-	mockRedis := NewMockRedisClient()
-	manager := NewYggdrasilJWTManager(mockRedis)
-
-	privateKey := generateTestKeyPair(t)
-	manager.SetPrivateKey(privateKey)
-
-	// 验证JWT服务已创建
-	service, err := manager.GetJWTService()
-	if err != nil {
-		t.Fatalf("获取JWT服务失败: %v", err)
-	}
-	if service == nil {
-		t.Fatal("JWT服务不应为nil")
-	}
-	// 验证服务可以正常工作
-	if service.GetPublicKey() == nil {
-		t.Error("公钥不应为nil")
-	}
-}
-
-func TestYggdrasilJWTManager_GetJWTService_FromPrivateKey(t *testing.T) {
-	mockRedis := NewMockRedisClient()
-	manager := NewYggdrasilJWTManager(mockRedis)
-
-	privateKey := generateTestKeyPair(t)
-	manager.SetPrivateKey(privateKey)
-
-	// 第一次获取
-	service1, err := manager.GetJWTService()
-	if err != nil {
-		t.Fatalf("获取JWT服务失败: %v", err)
-	}
-
-	// 第二次获取应该返回同一个实例
-	service2, err := manager.GetJWTService()
-	if err != nil {
-		t.Fatalf("获取JWT服务失败: %v", err)
-	}
-
-	if service1 != service2 {
-		t.Error("应该返回同一个JWT服务实例")
-	}
-}
-
-func TestYggdrasilJWTManager_GetJWTService_FromRedis(t *testing.T) {
-	mockRedis := NewMockRedisClient()
-	manager := NewYggdrasilJWTManager(mockRedis)
-
-	privateKey := generateTestKeyPair(t)
-	privateKeyPEM, err := EncodePrivateKeyToPEM(privateKey)
-	if err != nil {
-		t.Fatalf("编码私钥失败: %v", err)
-	}
-
-	// 设置Redis数据
-	mockRedis.SetData(YggdrasilPrivateKeyRedisKey, privateKeyPEM)
-
-	// 获取JWT服务
-	service, err := manager.GetJWTService()
-	if err != nil {
-		t.Fatalf("获取JWT服务失败: %v", err)
-	}
-	if service == nil {
-		t.Error("JWT服务不应为nil")
-	}
-
-	// 验证服务可以正常工作
-	token, err := service.GenerateAccessToken(123, "client-uuid", 1, "profile-uuid",
-		time.Now().Add(24*time.Hour), time.Now().Add(30*24*time.Hour))
-	if err != nil {
-		t.Fatalf("生成Token失败: %v", err)
-	}
-	if token == "" {
-		t.Error("Token不应为空")
-	}
-}
-
-func TestYggdrasilJWTManager_GetJWTService_RedisError(t *testing.T) {
-	mockRedis := NewMockRedisClient()
-	manager := NewYggdrasilJWTManager(mockRedis)
-
-	// 设置Redis错误
-	mockRedis.SetError(errors.New("redis connection error"))
-
-	// 尝试获取JWT服务应该失败
-	_, err := manager.GetJWTService()
-	if err == nil {
-		t.Error("期望出现错误，但没有错误")
-	}
-}
-
-func TestYggdrasilJWTManager_GetJWTService_InvalidPEM(t *testing.T) {
-	mockRedis := NewMockRedisClient()
-	manager := NewYggdrasilJWTManager(mockRedis)
-
-	// 设置无效的PEM数据
-	mockRedis.SetData(YggdrasilPrivateKeyRedisKey, "invalid-pem-data")
-
-	// 尝试获取JWT服务应该失败
-	_, err := manager.GetJWTService()
-	if err == nil {
-		t.Error("期望出现错误，但没有错误")
-	}
-}
-
-func TestYggdrasilJWTManager_GetJWTService_Concurrent(t *testing.T) {
-	mockRedis := NewMockRedisClient()
-	manager := NewYggdrasilJWTManager(mockRedis)
-
-	privateKey := generateTestKeyPair(t)
-	privateKeyPEM, err := EncodePrivateKeyToPEM(privateKey)
-	if err != nil {
-		t.Fatalf("编码私钥失败: %v", err)
-	}
-
-	mockRedis.SetData(YggdrasilPrivateKeyRedisKey, privateKeyPEM)
-
-	// 并发获取JWT服务
-	const numGoroutines = 10
-	results := make(chan *YggdrasilJWTService, numGoroutines)
-	errors := make(chan error, numGoroutines)
-
-	for i := 0; i < numGoroutines; i++ {
-		go func() {
-			service, err := manager.GetJWTService()
-			if err != nil {
-				errors <- err
-				return
-			}
-			results <- service
-		}()
-	}
-
-	// 收集结果
-	services := make(map[*YggdrasilJWTService]bool)
-	for i := 0; i < numGoroutines; i++ {
-		select {
-		case service := <-results:
-			services[service] = true
-		case err := <-errors:
-			t.Fatalf("获取JWT服务失败: %v", err)
-		}
-	}
-
-	// 所有goroutine应该返回同一个服务实例
-	if len(services) != 1 {
-		t.Errorf("期望所有goroutine返回同一个服务实例，但得到 %d 个不同的实例", len(services))
-	}
-}
-
 func TestYggdrasilTokenClaims_EmptyProfileID(t *testing.T) {
 	privateKey := generateTestKeyPair(t)
 	service := NewYggdrasilJWTService(privateKey, "test-issuer")
--- a/pkg/config/config.go
+++ b/pkg/config/config.go
@@ -259,6 +259,7 @@ func setupEnvMappings() {
 	viper.BindEnv("server.read_timeout", "SERVER_READ_TIMEOUT")
 	viper.BindEnv("server.write_timeout", "SERVER_WRITE_TIMEOUT")
 	viper.BindEnv("server.swagger_enabled", "SERVER_SWAGGER_ENABLED")
+	viper.BindEnv("environment", "ENVIRONMENT")

 	// 数据库配置
 	viper.BindEnv("database.driver", "DATABASE_DRIVER")
@@ -306,6 +307,10 @@ func setupEnvMappings() {
 	viper.BindEnv("log.level", "LOG_LEVEL")
 	viper.BindEnv("log.format", "LOG_FORMAT")
 	viper.BindEnv("log.output", "LOG_OUTPUT")
+	viper.BindEnv("log.max_size", "LOG_MAX_SIZE")
+	viper.BindEnv("log.max_backups", "LOG_MAX_BACKUPS")
+	viper.BindEnv("log.max_age", "LOG_MAX_AGE")
+	viper.BindEnv("log.compress", "LOG_COMPRESS")

 	// 邮件配置
 	viper.BindEnv("email.enabled", "EMAIL_ENABLED")
@@ -457,10 +462,7 @@ func overrideFromEnv(config *Config) {
 		config.Email.Enabled = emailEnabled == "true" || emailEnabled == "True" || emailEnabled == "TRUE" || emailEnabled == "1"
 	}

-	// 处理环境配置
-	if env := os.Getenv("ENVIRONMENT"); env != "" {
-		config.Environment = env
-	}
+	// 处理环境配置（已由 BindEnv("environment", "ENVIRONMENT") + AutomaticEnv 处理）

 	// 处理安全配置
 	if allowedOrigins := os.Getenv("SECURITY_ALLOWED_ORIGINS"); allowedOrigins != "" {
--- a/pkg/database/manager.go
+++ b/pkg/database/manager.go
@@ -1,9 +1,10 @@
 package database

 import (
-	"carrotskin/internal/model"
 	"fmt"

+	"carrotskin/internal/model"
+
 	"go.uber.org/zap"
 	"gorm.io/gorm"
 )
--- a/pkg/logger/logger.go
+++ b/pkg/logger/logger.go
@@ -3,9 +3,9 @@ package logger
 import (
 	"os"
 	"path/filepath"
-	
+
 	"carrotskin/pkg/config"
-	
+
 	"go.uber.org/zap"
 	"go.uber.org/zap/zapcore"
 )
@@ -50,7 +50,7 @@ func New(cfg config.LogConfig) (*zap.Logger, error) {
 		if err := os.MkdirAll(logDir, 0755); err != nil {
 			return nil, err
 		}
-		
+
 		file, err := os.OpenFile(cfg.Output, os.O_CREATE|os.O_WRONLY|os.O_APPEND, 0666)
 		if err != nil {
 			return nil, err
--- a/pkg/storage/minio.go
+++ b/pkg/storage/minio.go
@@ -79,7 +79,6 @@ func (s *StorageClient) GetBucket(name string) (string, error) {
 	return bucket, nil
 }

-
 // BuildFileURL 构建文件的公开访问URL
 func (s *StorageClient) BuildFileURL(bucketName, objectName string) string {
 	return fmt.Sprintf("%s/%s/%s", s.publicURL, bucketName, objectName)
Author	SHA1	Message	Date
lan	1dc9c36a3a	refactor(yggdrasil): 整理与性能优化，修复若干 Bug Some checks failed Build / build (push) Failing after 21m45s Details Build / build-docker (push) Has been skipped Details Bug 修复 - textures metadata：SKIN 仅在 IsSlim 时输出 {"model":"slim"}；CAPE 不带 metadata。原实现误用文件字节数 skin.Size 作为 metadata，违反 Yggdrasil 协议。 - KeyPair 持久化不全：Profile 新增 rsa_public_key/public_key_signature/ public_key_signature_v2/key_expires_at/key_refresh_at 列；GetKeyPair/UpdateKeyPair 读写全部字段。AutoMigrate 自动加列。原实现每次请求都重新生成 RSA-4096。 - GetPlayerCertificates：无效 token 返回 401（先前误用 403 且未判 err）。 - HasJoinedServer：失败返回 204 无 body，符合 Yggdrasil 协议（原用 APIResponse + body 违反 204 规范）。代码质量 - Authenticate 删除冗余 body 读取与回放。 - 证书服务引入具名结构 PlayerCertificate/PlayerKeyPair，替代 map[string]interface{}。 - CreateSession 用户名缺失改用 ErrUsernameRequired（新增）。性能优化（签名一致性的回归测试已覆盖） - SignatureService 缓存已解析的根私钥（sync.RWMutex 双重检查），快路径仅一次 RLock + RSA 签名，免去每次签名 PEM 解析与 Redis 往返。 - GetOrCreateYggdrasilKeyPair 用 MGet 单次往返取三字段，缓存命中后零 Redis。 - NewKeyPair 消息构造用 strconv.AppendInt 避免 string+拼接分配；V2 复用 DER 字节。 - 序列化服务：texturesMap 预分配 cap(2)；slim 分支直接构造完整 map。 - 会话服务 GetSession 移除重复的 ValidateServerID 校验。死代码清理 - 删除 yggdrasil_validator.go（未被调用的 Validator）。 - 删除 signature_service.FormatPublicKey/SignStringWithProfileRSA。 - 删除 pkg/auth 中未被使用的 YggdrasilJWTManager 与 GenerateKeyPair/ EncodePrivateKeyToPEM/RedisClient/YggdrasilPrivateKeyRedisKey。 - 删除 yggdrasil_handler.go 中 25 个未使用常量、passwordRegex、 APIResponse/standardResponse。 - 删除 errors.go 中未被使用的 ErrYggForbiddenOperation/ErrYggIllegalArgument/ ErrInvalidSignature/ErrInvalidTextureType/ErrCertificateGenerate/ErrInvalidPassword。测试 - 新增 signature_service_test.go（基于 miniredis）：8 个测试 + 基准。核心：SignString_MatchesReference 与重构前参考实现逐字节比对签名输出一致。 -race 检测通过；基准约 7.1ms/op（缓存命中路径）。附带（与本次任务前已存在的未提交改动） - handler/captcha_handler：将响应字段 msg 改为 message，与前端约定对齐。	2026-07-09 17:18:26 +08:00
Wu XiangYu	cea22951b9	docs: 更新 README,新增对象存储桶策略与 CORS 配置说明 Some checks failed Build / build (push) Failing after 39m5s Details Build / build-docker (push) Has been skipped Details - 新增'对象存储配置'章节:存储桶创建、匿名只读策略、CORS 配置(前端3D渲染必需) - 明确后端不自动创建存储桶,需手动配置 - 按当前 dev 代码更新:Go 1.25+、Casbin v3、fx 子配置 Provider - 补充默认管理员账号、RUSTFS_PUBLIC_URL 说明、Docker 部署细节 - 修正启动命令、目录结构、Swagger 产物说明	2026-07-08 17:37:24 +08:00
lan	ae3a569f03	refactor(app): provide sub-config structures from main config All checks were successful Build / build (push) Successful in 1m41s Details Build / build-docker (push) Successful in 48s Details Extract DatabaseConfig, RedisConfig, RustFSConfig, LogConfig, and EmailConfig from the main Config to enable pkg/* package constructors to receive specific config types by value, supporting the fx.Lifecycle OnStop hooks pattern.	2026-07-07 15:00:44 +08:00
lafay	b23a169925	chore: import 分组规范 + 文档同步 + config 修复 All checks were successful Build / build (push) Successful in 7m17s Details Build / build-docker (push) Successful in 2m41s Details	2026-06-15 16:52:20 +08:00