opsx
3c27e58a73
安全加固（降低二进制泄露/逆向的信息面）：
1. 初始密码随机化
- 首次启动生成 16 位随机密码（大小写+数字，排除 0/O/1/l/I 易混淆字符）
- 写入数据卷 initial-admin-password.txt（0600）并打印到首次启动日志
- admin 首次改密后自动删除该文件（seed.CleanupInitPassword）
- 支持 ADMIN_INIT_PASSWORD 环境变量指定（自动化部署 / 固定密码场景）
- 生成失败直接 Fatal 退出，不再降级到公开默认口令
2. 移除硬编码 admin123
- main.go 不再打印 "Default login: admin / admin123"
- 二进制内 admin123 命中：2 → 0
3. -trimpath
- build.sh / run.sh 编译加 -trimpath
- 二进制内 /app/backend/ 源码路径命中：66 → 0
4. 文档
- README 新增「第 4 步：获取管理员初始密码」
（docker compose exec / logs / docker cp / named volume 四种方式 + K8s 对应命令）
- .env.example 补 ADMIN_INIT_PASSWORD
- kubernetes/deployment.yaml 加 env 注释说明
验证（strings 对比加固前后二进制）：
admin123 2 → 0
/app/backend/ 66 → 0
initial-admin-password.txt / ADMIN_INIT_PASSWORD / CleanupInitPassword 均存在
107 lines
2.7 KiB
Go
107 lines
2.7 KiB
Go
package controllers
|
|
|
|
import (
|
|
"opsxloki/dto"
|
|
"opsxloki/models"
|
|
"opsxloki/pkg/jwt"
|
|
"opsxloki/seed"
|
|
"opsxloki/services"
|
|
"opsxloki/utils"
|
|
|
|
"github.com/gin-gonic/gin"
|
|
)
|
|
|
|
type AuthController struct {
|
|
service *services.AuthService
|
|
}
|
|
|
|
func NewAuthController() *AuthController {
|
|
return &AuthController{service: services.NewAuthService()}
|
|
}
|
|
|
|
func (ctrl *AuthController) Login(c *gin.Context) {
|
|
var req dto.LoginRequest
|
|
if !utils.BindAndValidate(c, &req) {
|
|
return
|
|
}
|
|
user, tokenPair, err := ctrl.service.Login(req.Username, req.Password)
|
|
if err != nil {
|
|
utils.Unauthorized(c, "用户名或密码错误")
|
|
return
|
|
}
|
|
utils.Success(c, gin.H{
|
|
"accessToken": tokenPair.AccessToken,
|
|
"refreshToken": tokenPair.RefreshToken,
|
|
"expiresAt": tokenPair.ExpiresAt.Unix(),
|
|
"user": models.SanitizedJSON(user),
|
|
})
|
|
}
|
|
|
|
func (ctrl *AuthController) RefreshToken(c *gin.Context) {
|
|
var req dto.RefreshTokenRequest
|
|
if !utils.BindAndValidate(c, &req) {
|
|
return
|
|
}
|
|
claims, err := jwt.ParseRefreshToken(req.RefreshToken)
|
|
if err != nil {
|
|
utils.Unauthorized(c, "invalid or expired refresh token")
|
|
return
|
|
}
|
|
// 对照数据库校验用户存在性与会话版本：改密/重置密码后旧 refresh token 立即失效
|
|
user, err := ctrl.service.GetUserByID(claims.UserID)
|
|
if err != nil {
|
|
utils.Unauthorized(c, "user no longer exists")
|
|
return
|
|
}
|
|
if claims.TokenVersion != user.TokenVersion {
|
|
utils.Unauthorized(c, "session revoked, please login again")
|
|
return
|
|
}
|
|
// 以用户当前 role 与版本签发，角色变更在刷新时即时生效
|
|
tokenPair, err := jwt.GenerateTokenPair(user.ID, user.Username, user.Role, user.TokenVersion)
|
|
if err != nil {
|
|
utils.Error(c, 500, err.Error())
|
|
return
|
|
}
|
|
utils.Success(c, gin.H{
|
|
"accessToken": tokenPair.AccessToken,
|
|
"refreshToken": tokenPair.RefreshToken,
|
|
"expiresAt": tokenPair.ExpiresAt.Unix(),
|
|
})
|
|
}
|
|
|
|
func (ctrl *AuthController) GetUser(c *gin.Context) {
|
|
claims, ok := jwt.GetUserFromContext(c)
|
|
if !ok {
|
|
utils.Unauthorized(c, "")
|
|
return
|
|
}
|
|
user, err := ctrl.service.GetUserByID(claims.UserID)
|
|
if err != nil {
|
|
utils.Error(c, 404, "用户不存在")
|
|
return
|
|
}
|
|
utils.Success(c, models.SanitizedJSON(user))
|
|
}
|
|
|
|
func (ctrl *AuthController) ChangePassword(c *gin.Context) {
|
|
var req dto.ChangePasswordRequest
|
|
if !utils.BindAndValidate(c, &req) {
|
|
return
|
|
}
|
|
claims, ok := jwt.GetUserFromContext(c)
|
|
if !ok {
|
|
utils.Unauthorized(c, "")
|
|
return
|
|
}
|
|
if err := ctrl.service.ChangePassword(claims.UserID, req.OldPassword, req.NewPassword); err != nil {
|
|
utils.Error(c, 400, err.Error())
|
|
return
|
|
}
|
|
// admin 首次改密后删除初始密码明文文件（幂等，非 admin 不触发）
|
|
if claims.Username == "admin" {
|
|
seed.CleanupInitPassword()
|
|
}
|
|
utils.Success(c, gin.H{"message": "password changed"})
|
|
}
|