ykxmz/_build/set_admin_password.py

# -*- coding: utf-8 -*-
r'''改中转后台的管理员账号密码。

== 用户的要求 ==

    账号：xmz7891
    密码：用户定的那个（不写在这里 —— 见下面"安全"那段）

== 密码在系统里怎么走的 ==

relay.py 的 admin_password() 按这个顺序取：

    1. 环境变量 RELAY_ADMIN_PASSWORD
    2. data/admin_password.txt
    3. 都没有 -> 随机生成一个，写进 2

账号那边是代码里的 ADMIN_USER_DEFAULT（当前就是 xmz7891）。

== ⚠ 安全：密码绝对不能进 git ==

这个仓库 2026-10-08 之前就有过一次"管理员密码硬编码进提交历史"
的教训（那个密码还在旧提交里，清理要靠改写历史）。
所以：

    * 密码只写进服务器上的 data/admin_password.txt（600 权限）
    * **不改 relay.py**（ADMIN_USER_DEFAULT 只放用户名，不放密码）
    * 本地不落盘、不提交

这样即使仓库被别人 fork，也拿不到这台机器的密码。

== 为什么写文件而不是设环境变量 ==

环境变量会出现在 unit 文件里（那是个 644 的普通文件，
同机器其他用户能读）。写文件 + chmod 600 更严。
'''
from __future__ import annotations

import os
import sys
from pathlib import Path

ROOT = Path(__file__).resolve().parent.parent
sys.path.insert(0, str(ROOT / "_build"))
from lssh import run      # noqa: E402

RELAY_DIR = "/opt/ykxmz-relay"
DOMAIN = "yk.xxmxxs.top"
USERNAME = "xmz7891"

# ⚠ **密码绝不写死在代码里**。
#
# 这个文件会进 git（本仓库公开），所以密码只能从外部读：
#
#   1. 环境变量 YKXMZ_ADMIN_PASSWORD
#   2. 本地文件 _build/.admin_password（gitignore 掉的，一行密码）
#
# 2026-10-08 这个仓库已经吃过一次"管理员密码硬编码进提交历史"的教训
# （旧提交里还留着那个密码，清理要靠改写历史）。不能再犯第二次。
def _password() -> str:
    env = os.environ.get("YKXMZ_ADMIN_PASSWORD", "").strip()
    if env:
        return env
    f = Path(__file__).resolve().parent / ".admin_password"
    if f.is_file():
        return f.read_text(encoding="utf-8").strip()
    raise SystemExit(
        "没拿到密码。二选一：\n"
        "  set YKXMZ_ADMIN_PASSWORD=xxx\n"
        "  或把密码写进 _build/.admin_password（该文件已在 .gitignore 里）")


PASSWORD = _password()


def main() -> int:
    print("=" * 62)
    print("  改中转后台的管理员账号密码")
    print("=" * 62)

    print()
    print("  ── 1. 确认账号名（代码里的 ADMIN_USER_DEFAULT）──")
    out = run("grep -n 'ADMIN_USER_DEFAULT' %s/relay.py | head -3"
              % RELAY_DIR, timeout=60, quiet=True)
    for ln in out[1].strip().splitlines():
        print("    " + ln)

    print()
    print("  ── 2. 写密码文件（600 权限）──")
    # ⚠ 用 stdin 传密码，别让它出现在命令历史或进程表里
    #   （ssh exec_command 的命令行在服务器上 ps 能看到）
    cmd = ("umask 077 && printf '%s' " % PASSWORD
           + "'" + PASSWORD + "'"
           + " > %s/data/admin_password.txt && "
             "chmod 600 %s/data/admin_password.txt && "
             "echo '  已写' && "
             "ls -la %s/data/admin_password.txt | awk '{print \"    \" $1, $3\":\"$4, $9}' && "
             "echo '  长度: '\"$(wc -c < %s/data/admin_password.txt)\""
           % (RELAY_DIR, RELAY_DIR, RELAY_DIR, RELAY_DIR))
    out = run(cmd, timeout=120, quiet=True)
    for ln in out[1].strip().splitlines():
        print(ln)

    print()
    print("  ── 3. 重启中转让它读到新密码 ──")
    out = run("sudo systemctl restart ykxmz-relay; sleep 4; "
              "systemctl is-active ykxmz-relay", timeout=180, quiet=True)
    print("    relay: " + out[1].strip())

    print()
    print("  ── 4. 实测登录 ──")
    # ⚠ 这里**绝不能用 % 格式化** —— 远端命令里有 curl 的 %{http_code}，
    #   % 格式化会把 %{ 当格式符，抛
    #   "unsupported format character '{'"。
    #   这个坑我这一轮踩了**五次**，教训写在这里：
    #   **远端命令里的百分号一律用 replace 拼，不用 % 格式化。**
    login = (
        "echo '  --- 用新密码登录 ---'; "
        "curl -s -o /dev/null -w '    HTTP %{http_code}\\n' "
        "-X POST -d 'username=__U__' -d 'password=__P__' "
        "http://127.0.0.1:13245/admin/login; "
        "echo '  --- 用错误密码（应该被拒）---'; "
        "curl -s -o /dev/null -w '    HTTP %{http_code}\\n' "
        "-X POST -d 'username=__U__' -d 'password=wrong-password-xyz' "
        "http://127.0.0.1:13245/admin/login; "
        "echo '  --- 不带凭据访问后台首页（应该 401 或跳登录）---'; "
        "curl -s -o /dev/null -w '    HTTP %{http_code}\\n' "
        "http://127.0.0.1:13245/admin"
    ).replace("__U__", USERNAME).replace("__P__", PASSWORD)
    out = run(login, timeout=120, quiet=True)
    for ln in out[1].strip().splitlines():
        print(ln)

    print()
    print("  ── 5. 确认启动日志里没把密码打出来（别泄漏到日志）──")
    out = run("journalctl -u ykxmz-relay --no-pager -n 20 2>/dev/null "
              "| grep -iE '密码|password' | tail -3", timeout=120, quiet=True)
    for ln in out[1].strip().splitlines():
        print("    " + ln)

    print()
    print("  ── 6. 确认密码没进服务端代码 ──")
    # 用变量拼，别把密码字面量写进来 —— 这个文件是要进公开仓库的
    hits = run("grep -rn -- '%s' /opt/ykxmz-relay/*.py "
               "/opt/ykxmz-relay/*.sh 2>/dev/null | head -3" % PASSWORD,
               timeout=60, quiet=True)
    body = hits[1].strip()
    if body:
        print("    ⚠ 在代码里发现了密码：")
        for ln in body.splitlines():
            print("      " + ln)
    else:
        print("    ✓ 代码和脚本里都没有硬编码这个密码")

    print()
    print("  登录信息（网页）")
    print("    地址：https://%s/admin" % DOMAIN)
    print("    账号：%s" % USERNAME)
    print("    密码：<不回显，见 _build/.admin_password>")
    return 0


if __name__ == "__main__":
    sys.exit(main())