如何实现Node-RED用户首次登录后强制重置密码？

Node-RED本身没有原生的「强制首次登录重置密码」或一次性密码功能，但可以通过扩展认证逻辑和自定义前端交互来实现需求，以下是具体思路和实现步骤：

核心实现思路 #

1. 标记初始用户状态：在初始用户的配置中添加自定义字段（如mustResetPassword），默认设为true，标识该用户需要强制重置密码。
2. 拦截登录验证流程：扩展Node-RED的adminAuth认证逻辑，在用户登录验证成功后，检查该标记字段，若为true则返回特殊标识。
3. 触发前端重置跳转：通过自定义前端脚本监听登录成功事件，检测到特殊标识后自动跳转到密码修改页面。
4. 更新用户状态：在用户完成密码重置后，将mustResetPassword字段设为false，避免后续登录重复触发强制重置。

具体代码实现 #

1. 修改settings.js中的认证配置 #

在Node-RED的配置文件settings.js中，扩展adminAuth的认证逻辑，添加用户状态标记和验证拦截：

adminAuth: {
    type: "credentials",
    users: [
        {
            username: "default_user",
            // 提前生成的默认密码哈希（示例：密码为"default_pass"）
            password: "$2a$08$zZWtXTja0fB1pzD4sHCMyOCMYz2Z6dNbM6tl8sJogENOMcxWV9DN.",
            permissions: "*",
            mustResetPassword: true // 标记需要强制重置密码
        }
    ],
    authenticate: function(username, password) {
        return new Promise((resolve, reject) => {
            const user = this.users.find(u => u.username === username);
            if (!user) return reject(new Error("用户不存在"));
            
            // 使用bcrypt验证密码
            require('bcryptjs').compare(password, user.password, (err, isMatch) => {
                if (err) return reject(err);
                if (!isMatch) return reject(new Error("密码错误"));
                
                // 检查是否需要强制重置
                if (user.mustResetPassword) {
                    resolve({ 
                        username: user.username, 
                        permissions: user.permissions, 
                        mustReset: true 
                    });
                } else {
                    resolve({ 
                        username: user.username, 
                        permissions: user.permissions 
                    });
                }
            });
        }).bind(this);
    },
    // 扩展getUser方法，传递重置标记
    getUser: function(username) {
        return new Promise(resolve => {
            const user = this.users.find(u => u.username === username);
            if (user) {
                resolve({
                    username: user.username,
                    permissions: user.permissions,
                    mustResetPassword: user.mustResetPassword
                });
            } else {
                resolve(null);
            }
        }).bind(this);
    }
}

2. 添加前端跳转逻辑 #

在settings.js的editorTheme中注入自定义脚本，监听登录成功事件并触发重置跳转：

editorTheme: {
    page: {
        scripts: [
            {
                content: `
                    // 监听登录成功事件
                    RED.events.on('auth:loggedIn', (user) => {
                        if (user.mustReset) {
                            // 跳转到密码修改页面（Node-RED默认修改路径）
                            window.location.href = '/change-password';
                        }
                    });
                `
            }
        ]
    }
}

3. 密码重置后更新用户状态 #

如果使用文件存储用户（如上述示例），需要在密码修改完成后更新mustResetPassword字段。可以通过扩展admin API端点或监听密码修改事件实现：

// 在settings.js中添加admin API扩展
adminMiddleware: function(req, res, next) {
    // 拦截密码修改请求
    if (req.method === 'POST' && req.path === '/auth/user/password') {
        // 解析请求体
        const body = req.body;
        const user = adminAuth.users.find(u => u.username === body.username);
        if (user) {
            // 修改密码后重置标记
            user.mustResetPassword = false;
            // 可选：将更新后的用户列表写入文件持久化
            require('fs').writeFileSync('/data/users.json', JSON.stringify(adminAuth.users));
        }
    }
    next();
}

容器镜像交付配置 #

将修改后的settings.js和相关脚本打包进Node-RED基础镜像，Dockerfile示例：

FROM nodered/node-red:latest

# 复制自定义配置文件
COPY settings.js /data/settings.js

# 安装依赖（如bcryptjs，若Node-RED镜像未预装）
RUN npm install bcryptjs --prefix /data

注意事项 #

• 密码哈希生成：默认密码必须使用bcrypt哈希存储，可通过bcrypt.hashSync("your_default_pass", 8)生成。
• 状态持久化：若用户配置需要持久化，建议将用户信息存储在外部数据库（如MongoDB）而非本地文件，避免容器重启后丢失状态。
• 安全传输：默认凭证需通过加密邮件发送，确保传输过程安全。

内容的提问来源于stack exchange，提问作者Mounika Annamreddy