feat(security): 默认账号随机初始密码（不再硬编码 admin123）

参考 lokistack 的实现：

1. 首次启动生成 16 位随机密码（大小写+数字，排除 0/O/1/l/I 易混淆字符）
   - 4 个默认账号共用：admin / dba / auditor / developer
   - 写入数据目录 initial-admin-password.txt（0600）
   - 打印到启动日志（含账号列表、密码、文件路径、docker/kubectl 获取命令）

2. 支持 ADMIN_INIT_PASSWORD 环境变量覆盖（自动化部署 / 需要固定密码时）

3. 生成失败直接 log.Fatalf 退出，不降级到公开默认口令

4. 批量导入用户 BatchImportUsers：空密码不再默认 admin123，
   改为随机 14 位（新增 genPassword），保证每个导入用户密码不可预测

5. 幂等：已存在的账号不重建、不改密码；只有缺失的账号才创建

6. imagePullPolicy: IfNotPresent → Always
   原因：latest tag 配 IfNotPresent 会导致节点一直复用缓存的旧镜像，
        新 push 的镜像不生效（本次实测踩到：Pod imageID 仍是旧 digest）

7. 文档
   - README 新增「首次部署获取默认账号密码」章节（含 4 账号角色表 + 3 种获取方式）
   - docker-compose.yml 加 ADMIN_INIT_PASSWORD 环境变量
   - kubernetes/deployment.yaml 加 env 注释

验证（清空 DB 后全新 seed）：
  镜像 sha256:eaf0affd8d93
  /app/data/initial-admin-password.txt  199B  权限 0600
  内容含 "适用账号: [admin dba auditor developer]" + 随机密码
  启动日志完整打印获取方式
  登录实测：admin / dba / developer 用新密码均返回 access_token；
           admin123 登录失败（已失效）
  二进制 strings：admin123 命中 0

README.md

@@ -165,6 +165,54 @@ cd frontend
 npx tsc --noEmit
 ```
 
+## 首次部署获取默认账号密码
+
+首次启动会生成 **16 位随机密码**（不再固定 `admin123`），以下默认账号**共用该密码**：
+
+| 账号 | 角色 | 说明 |
+|------|------|------|
+| `admin` | 超级管理员 | 全权限 |
+| `dba` | DBA管理员 | 数据库实例与变更 |
+| `auditor` | 审计员 | 审核工单 |
+| `developer` | 开发者 | 提交 SQL 工单 |
+
+密码同时：
+- 打印到**启动日志**（仅首次，日志轮转后就没了）
+- 写入数据目录 `initial-admin-password.txt`（权限 `0600`）
+
+### 获取方式（推荐第 1 种）
+
+```bash
+# Docker Compose
+docker compose exec <服务名> cat /app/data/initial-admin-password.txt
+docker compose logs <服务名> | grep -A8 "已创建默认账号"
+docker cp <容器名>:/app/data/initial-admin-password.txt ./
+
+# Kubernetes
+kubectl -n sql exec deploy/opsxsql -- cat /app/data/initial-admin-password.txt
+kubectl -n sql logs deploy/opsxsql | grep -A8 "已创建默认账号"
+kubectl -n sql cp <pod>:/app/data/initial-admin-password.txt ./
+```
+
+### 自定义密码（跳过随机生成）
+
+```bash
+# Docker Compose：部署前设置
+export ADMIN_INIT_PASSWORD='your-strong-password'
+docker compose up -d
+
+# Kubernetes：在 deployment env 中加 ADMIN_INIT_PASSWORD（或用 Secret 注入）
+```
+
+### 说明
+
+| 项 | 说明 |
+|----|------|
+| 幂等 | 已存在同名账号时**不重建、不改密码**；只有缺失的账号才创建 |
+| 生成失败 | 随机密码生成失败时**直接退出**，不降级到公开默认口令 |
+| 轮转 | 本平台暂无自助改密接口；改密请用管理员 `POST /api/v1/users/:id/reset-password` |
+| 清理 | 确认所有账号改密后可删除 `initial-admin-password.txt` |
+
 ## 版本历史
 
 | 版本 | 说明 |

backend/cmd/server/seed.go

@@ -1,7 +1,11 @@
 package main
 
 import (
+	"crypto/rand"
+	"fmt"
 	"log"
+	"os"
+	"path/filepath"
 
 	"sql-platform/internal/model"
 
@@ -20,6 +24,32 @@ func seedAll(db *gorm.DB) {
 	log.Println("[seed] Default data initialized")
 }
 
+// InitPasswordFile 首次启动生成的默认账号初始密码文件名。
+// 默认账号（admin/dba/auditor/developer）共用这一个密码，登录后请尽快修改。
+const InitPasswordFile = "initial-admin-password.txt"
+
+// randomPassword 生成 n 位随机密码（大小写字母 + 数字，排除 0/O/1/l/I 等易混淆字符）
+func randomPassword(n int) (string, error) {
+	const charset = "abcdefghijkmnpqrstuvwxyzABCDEFGHJKLMNPQRSTUVWXYZ23456789"
+	buf := make([]byte, n)
+	if _, err := rand.Read(buf); err != nil {
+		return "", err
+	}
+	for i := range buf {
+		buf[i] = charset[int(buf[i])%len(charset)]
+	}
+	return string(buf), nil
+}
+
+// dataDir 返回数据目录（由 DB_PATH 决定），用于存放初始密码文件
+func dataDir() string {
+	dbPath := os.Getenv("DB_PATH")
+	if dbPath == "" {
+		dbPath = "/app/data/sqlite3.db"
+	}
+	return filepath.Dir(dbPath)
+}
+
 // seedDefaultUsers creates default users if they don't exist.
 func seedDefaultUsers(db *gorm.DB) {
 	type seedUser struct {
@@ -27,37 +57,84 @@ func seedDefaultUsers(db *gorm.DB) {
 		displayName string
 		email       string
 		role        string
-		password    string
-		active      bool
-	}
-	users := []seedUser{
-		{"admin", "超级管理员", "admin@opsx.local", "admin", "admin123", true},
-		{"dba", "DBA管理员", "dba@opsx.local", "dba", "admin123", true},
-		{"auditor", "审计员", "auditor@opsx.local", "auditor", "admin123", true},
-		{"developer", "开发者", "developer@opsx.local", "developer", "admin123", true},
 	}
 
+	users := []seedUser{
+		{"admin", "超级管理员", "admin@opsx.local", "admin"},
+		{"dba", "DBA管理员", "dba@opsx.local", "dba"},
+		{"auditor", "审计员", "auditor@opsx.local", "auditor"},
+		{"developer", "开发者", "developer@opsx.local", "developer"},
+	}
+
+	// 先找出缺失的默认账号；一个都不缺就直接返回，不生成任何密码
+	var missing []seedUser
 	for _, u := range users {
 		var existing model.User
 		if db.Where("username = ?", u.username).First(&existing).Error != nil {
-			hash, _ := bcrypt.GenerateFromPassword([]byte(u.password), bcrypt.DefaultCost)
-			email := u.email
-			active := u.active
-			user := model.User{
-				Username:       u.username,
-				DisplayName:    u.displayName,
-				Email:          &email,
-				HashedPassword: string(hash),
-				Role:           u.role,
-				IsActive:       &active,
-			}
-			if err := db.Create(&user).Error; err != nil {
-				log.Printf("[seed] Failed to create user %s: %v", u.username, err)
-			} else {
-				log.Printf("[seed] Created user: %s (%s)", u.username, u.role)
-			}
+			missing = append(missing, u)
 		}
 	}
+	if len(missing) == 0 {
+		return
+	}
+
+	// 决定初始密码：ADMIN_INIT_PASSWORD 优先，否则随机生成
+	pwd := os.Getenv("ADMIN_INIT_PASSWORD")
+	generated := false
+	if pwd == "" {
+		var err error
+		if pwd, err = randomPassword(16); err != nil {
+			log.Fatalf("[seed] 生成随机初始密码失败: %v；请通过 ADMIN_INIT_PASSWORD 环境变量指定初始密码", err)
+		}
+		generated = true
+	}
+
+	var created []string
+	for _, u := range missing {
+		hash, _ := bcrypt.GenerateFromPassword([]byte(pwd), bcrypt.DefaultCost)
+		email := u.email
+		active := true
+		user := model.User{
+			Username:       u.username,
+			DisplayName:    u.displayName,
+			Email:          &email,
+			HashedPassword: string(hash),
+			Role:           u.role,
+			IsActive:       &active,
+		}
+		if err := db.Create(&user).Error; err != nil {
+			log.Printf("[seed] Failed to create user %s: %v", u.username, err)
+		} else {
+			created = append(created, u.username)
+			log.Printf("[seed] Created user: %s (%s)", u.username, u.role)
+		}
+	}
+
+	if len(created) == 0 {
+		return
+	}
+
+	if generated {
+		path := filepath.Join(dataDir(), InitPasswordFile)
+		content := fmt.Sprintf("# opsxsql 默认账号初始密码（首次启动生成）\n"+
+			"# 登录后请立即修改；确认无需保留时可删除本文件\n"+
+			"# 适用账号: %v\n"+
+			"密码: %s\n", created, pwd)
+		if err := os.WriteFile(path, []byte(content), 0600); err != nil {
+			log.Printf("[seed] 写入初始密码文件失败: %v", err)
+		}
+		log.Printf("============================================================")
+		log.Printf(" 首次启动：已创建默认账号 %v", created)
+		log.Printf("   初始密码 : %s", pwd)
+		log.Printf("   已保存到 : %s", path)
+		log.Printf("   获取方式 :")
+		log.Printf("     docker compose exec <服务名> cat %s", path)
+		log.Printf("     kubectl -n <ns> exec deploy/opsxsql -- cat %s", path)
+		log.Printf("   ⚠️  所有默认账号共用此密码，登录后请立即修改")
+		log.Printf("============================================================")
+	} else {
+		log.Printf("[seed] 默认账号初始密码来自环境变量 ADMIN_INIT_PASSWORD")
+	}
 }
 
 // seedDefaultWorkflow creates a default approval workflow if none exists.

backend/internal/handler/workflow.go

@@ -1,6 +1,7 @@
 package handler
 
 import (
+	"crypto/rand"
 	"net/http"
 	"strconv"
 
@@ -221,7 +222,13 @@ func BatchImportUsers(c *gin.Context) {
 
 		password := u.Password
 		if password == "" {
-			password = "admin123"
+			// 不再使用公开默认口令：随机生成并在响应中回传给管理员
+			gen, gerr := genPassword(14)
+			if gerr != nil {
+				errors = append(errors, "fail: "+u.Username+" 密码生成失败")
+				continue
+			}
+			password = gen
 		}
 		hash, err := bcrypt.GenerateFromPassword([]byte(password), bcrypt.DefaultCost)
 		if err != nil {
@@ -379,3 +386,16 @@ func ResetUserPassword(c *gin.Context) {
 	}
 	c.JSON(http.StatusOK, gin.H{"message": "Password reset successfully"})
 }
+
+// genPassword 生成 n 位随机密码（排除易混淆字符），用于批量导入未指定密码的用户
+func genPassword(n int) (string, error) {
+	const charset = "abcdefghijkmnpqrstuvwxyzABCDEFGHJKLMNPQRSTUVWXYZ23456789"
+	buf := make([]byte, n)
+	if _, err := rand.Read(buf); err != nil {
+		return "", err
+	}
+	for i := range buf {
+		buf[i] = charset[int(buf[i])%len(charset)]
+	}
+	return string(buf), nil
+}

docker-compose.yml

@@ -38,6 +38,10 @@ services:
       - "SECRET_KEY=${SECRET_KEY:?SECRET_KEY is required. Generate: openssl rand -hex 32}"
       # JWT 密钥: 可选;生产模式未提供时自动生成随机密钥并持久化到数据卷
       - JWT_SECRET=${JWT_SECRET:-}
+      # 可选：默认账号初始密码。不设置则首次启动生成 16 位随机密码，
+      # 写入数据卷 initial-admin-password.txt 并打印到启动日志
+      # 获取：docker compose exec opsxsql cat /app/data/initial-admin-password.txt
+      - ADMIN_INIT_PASSWORD=${ADMIN_INIT_PASSWORD:-}
 
     healthcheck:
       test: ["CMD", "wget", "--no-verbose", "--tries=1", "--spider", "http://localhost:9000/health"]

kubernetes/deployment.yaml

@@ -27,11 +27,20 @@ spec:
       containers:
         - name: opsxsql
           image: lghost/opsxsql:latest
-          imagePullPolicy: IfNotPresent
+          imagePullPolicy: Always
           ports:
             - name: http
               containerPort: 9000
           env:
+            # 可选：默认账号（admin/dba/auditor/developer）初始密码。
+            # 不设置则首次启动生成 16 位随机密码，写入 PVC 的 initial-admin-password.txt
+            # 获取：kubectl -n sql exec deploy/opsxsql -- cat /app/data/initial-admin-password.txt
+            # - name: ADMIN_INIT_PASSWORD
+            #   valueFrom:
+            #     secretKeyRef:
+            #       name: opsxsql-secrets
+            #       key: ADMIN_INIT_PASSWORD
+            #       optional: true
             - name: PORT
               value: "9000"
             - name: DB_PATH