mhoennigandClaude Opus 5
7816184fe3
Der Schlusshinweis erklaerte einen Fehler, den man in dem Moment gar nicht
gemacht hat, in Begriffen von vorhin ('genauso wie beim Hashen') — nach einem
gelungenen Vorgang ist das ein Raetsel statt einer Hilfe.
Jetzt steht dort zuerst der fertige Befehl, mit der oeffentlichen Adresse aus
DEPLOY_TARGET eingesetzt, und was er liefern soll. Die Warnung kommt danach,
in einem Satz und ohne Rueckbezug.
Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
151 lines
5.3 KiB
Bash
Executable File
151 lines
5.3 KiB
Bash
Executable File
#!/usr/bin/env bash
|
|
#
|
|
# Werkbaum — Master-Passwort der Dokumentenliste setzen (D77).
|
|
#
|
|
# Fragt das Passwort **verdeckt ab** und hasht es auf dem Server. Bewusst so
|
|
# und nicht `htpasswd -b … PASSWORT`: Ein Passwort auf der Kommandozeile landet
|
|
# in der Shell-History, und schlimmer — die Shell fasst es vorher an. `ge$heim`
|
|
# wird zu `ge`, `ge heim` zu `geheim`. Gehasht wird dann etwas anderes als das,
|
|
# was man später eintippt, und der Server antwortet mit 401, obwohl alles
|
|
# richtig aussieht (genau so passiert, D76-Nachtrag 6).
|
|
#
|
|
# Verwendung:
|
|
# scripts/reset-password.sh [ssh-ziel] [--no-restart]
|
|
#
|
|
# ssh-ziel ohne Angabe BACKEND_SSH aus .env (Vorlage: .env.example)
|
|
# --no-restart Hash schreiben, Dienst nicht neu starten
|
|
#
|
|
# Das Passwort verlässt diesen Rechner nur über die SSH-Verbindung und wird
|
|
# **nur als Hash** gespeichert (`<BACKEND_DIR>/env`, Modus 600). Danach prüft
|
|
# das Skript selbst, ob Hash und Passwort zueinander passen — der Fehler oben
|
|
# sieht sonst aus wie ein Konfigurationsfehler.
|
|
#
|
|
# Siehe docs/DECISIONS.md D77 und backend/README.md.
|
|
|
|
set -euo pipefail
|
|
|
|
SSH_TARGET=""
|
|
RESTART=1
|
|
for arg in "$@"; do
|
|
case "$arg" in
|
|
--no-restart) RESTART=0 ;;
|
|
-h|--help)
|
|
awk 'NR>2 { if ($0 ~ /^#/) { sub(/^# ?/, ""); print } else exit }' "$0"
|
|
exit 0 ;;
|
|
-*) echo "Unbekannte Option: $arg" >&2; exit 2 ;;
|
|
*)
|
|
if [ -n "$SSH_TARGET" ]; then echo "Zu viele Argumente." >&2; exit 2; fi
|
|
SSH_TARGET="$arg" ;;
|
|
esac
|
|
done
|
|
|
|
ROOT="$(cd "$(dirname "$0")/.." && pwd)"
|
|
# shellcheck source=/dev/null
|
|
. "$ROOT/scripts/lib-env.sh"
|
|
|
|
[ -n "$SSH_TARGET" ] || SSH_TARGET="$(env_value BACKEND_SSH)"
|
|
if [ -z "$SSH_TARGET" ]; then
|
|
echo "Usage: $0 <ssh-ziel> (oder BACKEND_SSH in .env)" >&2
|
|
exit 2
|
|
fi
|
|
DIR="$(env_value BACKEND_DIR)"; DIR="${DIR:-opt/werkbaum}"
|
|
case "$DIR" in /*) DIR_SH="$DIR" ;; *) DIR_SH="\$HOME/$DIR" ;; esac
|
|
|
|
echo "==> Master-Passwort für ${SSH_TARGET}"
|
|
echo " (die Dokumentenliste; alles andere ist über die Dokument-UUID erreichbar)"
|
|
|
|
# Verdeckt einlesen, zweimal. `read -s` gibt es in bash überall; auf ein
|
|
# Terminal angewiesen ist es nicht, deshalb der Hinweis bei Rohr-Eingabe.
|
|
if [ ! -t 0 ]; then
|
|
echo "Kein Terminal — dieses Skript fragt nach und braucht eines." >&2
|
|
exit 2
|
|
fi
|
|
printf ' Neues Passwort: '
|
|
read -rs PASSWORT
|
|
printf '\n Wiederholen: '
|
|
read -rs PASSWORT2
|
|
printf '\n'
|
|
|
|
if [ "$PASSWORT" != "$PASSWORT2" ]; then
|
|
echo "Die beiden Eingaben sind verschieden — nichts geändert." >&2
|
|
exit 1
|
|
fi
|
|
if [ -z "$PASSWORT" ]; then
|
|
echo "Leeres Passwort — nichts geändert." >&2
|
|
exit 1
|
|
fi
|
|
if [ "${#PASSWORT}" -lt 8 ]; then
|
|
# Keine Regeln über Sonderzeichen; die Länge ist das, was zählt, und dieses
|
|
# eine Passwort schützt eine Liste, die alle Dokument-Adressen preisgäbe.
|
|
echo "Kürzer als 8 Zeichen — bitte länger wählen." >&2
|
|
exit 1
|
|
fi
|
|
|
|
# Das Passwort geht über **stdin** an den Server, nie als Argument: Argumente
|
|
# stehen in der Prozessliste, die auf einem geteilten Host jeder lesen kann.
|
|
echo "==> hashen und speichern"
|
|
printf '%s' "$PASSWORT" | ssh "$SSH_TARGET" DIR="$DIR_SH" RESTART="$RESTART" 'bash -s' <<'REMOTE'
|
|
set -euo pipefail
|
|
DIR="$(eval echo "$DIR")"
|
|
export XDG_RUNTIME_DIR="${XDG_RUNTIME_DIR:-/run/user/$(id -u)}"
|
|
|
|
PASSWORT="$(cat)"
|
|
[ -n "$PASSWORT" ] || { echo "Kein Passwort angekommen." >&2; exit 1; }
|
|
|
|
command -v htpasswd >/dev/null || {
|
|
echo "htpasswd fehlt auf dem Server (Paket apache2-utils)." >&2; exit 1; }
|
|
|
|
# htpasswd -i liest das Passwort von stdin - es steht also weder in der
|
|
# Prozessliste noch in einer History.
|
|
HASH="$(printf '%s' "$PASSWORT" | htpasswd -niBC 12 '' | tr -d ':\n')"
|
|
case "$HASH" in
|
|
\$2*) : ;;
|
|
*) echo "htpasswd hat keinen bcrypt-Hash geliefert." >&2; exit 1 ;;
|
|
esac
|
|
|
|
mkdir -p "$DIR"
|
|
umask 077
|
|
printf 'WERKBAUM_MASTER_PASSWORD_HASH={bcrypt}%s\n' "$HASH" > "$DIR/env.neu"
|
|
mv "$DIR/env.neu" "$DIR/env"
|
|
chmod 600 "$DIR/env"
|
|
echo " gespeichert in $DIR/env (Modus 600)"
|
|
|
|
# Gegenprobe, bevor irgendjemand sich wundert: Passen Hash und Passwort?
|
|
CHK="$(mktemp)"
|
|
trap 'rm -f "$CHK"' EXIT
|
|
printf 'werkbaum:%s\n' "$HASH" > "$CHK"
|
|
if printf '%s' "$PASSWORT" | htpasswd -vi "$CHK" werkbaum >/dev/null 2>&1; then
|
|
echo " Gegenprobe: Hash und Passwort passen zueinander."
|
|
else
|
|
echo " ! Gegenprobe FEHLGESCHLAGEN - der Hash passt nicht zum Passwort." >&2
|
|
exit 1
|
|
fi
|
|
|
|
if [ "$RESTART" = "1" ]; then
|
|
if systemctl --user is-enabled werkbaum-backend.service >/dev/null 2>&1; then
|
|
systemctl --user restart werkbaum-backend.service
|
|
echo " Dienst neu gestartet."
|
|
else
|
|
echo " ! Dienst noch nicht eingerichtet - scripts/deploy-backend.sh ausführen."
|
|
fi
|
|
fi
|
|
REMOTE
|
|
|
|
unset PASSWORT PASSWORT2
|
|
|
|
# Die oeffentliche Adresse steht nicht in der Backend-Konfiguration, wohl aber
|
|
# im rsync-Ziel des Frontends (`.../doms/<domain>/htdocs-ssl`). Wenn sie sich
|
|
# daraus ablesen laesst, wird aus dem Hinweis ein Befehl zum Kopieren.
|
|
BASIS="$(env_value DEPLOY_TARGET | sed -n 's|.*/doms/\([^/]*\)/.*|https://\1|p')"
|
|
BASIS="${BASIS:-https://<deine-adresse>}"
|
|
|
|
echo "==> Fertig. So probierst du es aus:"
|
|
echo
|
|
echo " curl -su werkbaum ${BASIS}/api/v1/documents"
|
|
echo
|
|
echo " curl fragt dann nach dem Passwort. Erwartet wird [] - eine leere Liste."
|
|
echo
|
|
echo " Schreib das Passwort nicht mit in den Befehl: Die Shell kann es"
|
|
echo " veraendern, bevor curl es sieht (aus ge\$heim wird ge), und du"
|
|
echo " bekommst ein 401, obwohl alles richtig gesetzt ist."
|