如何在Kuzzle中为用户添加密码重置额外数据并限制用户修改？

针对你提出的问题，我来分享一套在Kuzzle中安全实现密码重置的方案，解决令牌存储和权限控制的核心问题：

一、密码重置令牌的存储位置 #

Kuzzle的用户文档支持扩展字段，最适合存放这类敏感且用户不可修改数据的地方是用户文档的metadata字段。你可以在其中添加专用子字段，比如：

• metadata.passwordResetToken：存储生成的重置令牌
• metadata.passwordResetExpiry：存储令牌的过期时间戳

默认情况下，普通用户没有权限修改自己的metadata字段（除非你主动开放了权限），这为我们的安全控制打下了天然基础。

二、防止用户自行修改令牌的权限控制 #

你提到的security.updateUser端点是正确的选择，但必须通过**管道（Pipeline）或钩子（Hook）**严格限制修改权限，确保只有可信的服务端操作才能修改这些令牌字段：

1. 使用管道拦截security.updateUser请求 #

编写一个管道函数，拦截security:updateUser动作，做以下校验：

• 检查当前执行请求的用户角色：只有管理员账号或专门的服务角色（比如用于处理密码重置的后台服务账号）才能修改passwordResetToken和passwordResetExpiry字段
• 如果是普通用户发起的请求，且请求体中包含修改这些令牌字段的内容，直接抛出权限错误，拒绝请求

示例管道逻辑伪代码：

app.pipeline.register('security:updateUser', async (request, context) => {
  const { userId, body } = request;
  const currentUser = await context.accessors.security.getUser(userId);

  // 检查当前用户是否为管理员或服务角色
  const hasPermission = currentUser.roles.some(role => role._id === 'admin' || role._id === 'password-reset-service');
  
  // 如果用户试图修改令牌字段且无权限，拒绝请求
  if (!hasPermission && (body.metadata?.passwordResetToken || body.metadata?.passwordResetExpiry)) {
    throw new context.errors.ForbiddenError('You are not allowed to modify password reset tokens');
  }

  return request;
});

2. 配合钩子做后置校验（可选） #

除了前置管道拦截，你还可以注册security.user.update的后置钩子，确保最终存储的用户文档中，令牌字段只有可信来源能修改，进一步加固安全：

app.hook.register('security.user.update:after', async (request, result) => {
  const modifiedUser = result.user;
  const originalUser = await request.context.accessors.security.getUser(modifiedUser._id);

  // 对比原始文档和修改后的文档，检查令牌字段是否被无权限用户修改
  const tokenChanged = modifiedUser.metadata?.passwordResetToken !== originalUser.metadata?.passwordResetToken;
  const expiryChanged = modifiedUser.metadata?.passwordResetExpiry !== originalUser.metadata?.passwordResetExpiry;

  if (tokenChanged || expiryChanged) {
    const currentUser = await request.context.accessors.security.getUser(request.userId);
    const hasPermission = currentUser.roles.some(role => role._id === 'admin' || role._id === 'password-reset-service');
    if (!hasPermission) {
      // 回滚修改或记录安全日志
      await request.context.accessors.security.updateUser(modifiedUser._id, originalUser);
      throw new request.context.errors.ForbiddenError('Unauthorized modification of password reset tokens');
    }
  }
});

三、完整的密码重置流程示例 #

1. 用户发起重置请求：用户输入邮箱，后端验证邮箱对应的用户存在
2. 生成并存储令牌：后端用管理员账号调用security.updateUser，将生成的令牌和过期时间存入该用户的metadata中
3. 发送重置链接：将包含令牌的链接发送到用户邮箱
4. 用户验证令牌：用户点击链接后，后端验证令牌的有效性和过期时间
5. 重置密码并清除令牌：验证通过后，允许用户设置新密码，同时调用security.updateUser清除metadata中的令牌和过期字段

额外注意事项 #

• 令牌必须设置合理的过期时间（比如15分钟），避免长期有效带来的安全风险
• 建议对令牌进行哈希存储（比如使用bcrypt），即使数据库泄露，攻击者也无法直接使用令牌
• 确保服务端调用security.updateUser时使用的是具有管理员权限的账号，普通用户的请求完全被管道拦截

内容的提问来源于stack exchange，提问作者Thomas Arbona