feat: 添加 WebUI 密码自动生成和帮助提示功能，增强安全性 (#376)

Author: wess09

.gitignore

@@ -19,6 +19,7 @@ dev_tools/debug_tools
 *.lock
 config/reloadflag
 config/reloadalas
+/password.txt
 test.py
 test/
 !test/

module/webui/app.py

@@ -6,6 +6,8 @@
 import json
 import queue
 import requests
+import secrets
+import string
 import threading
 import time
 import re
@@ -141,6 +143,10 @@
     "你的公网IP已泄露 请加群https://join.nanoda.work/#/join联系我们解除安全限制"
 )
 PUBLIC_WEBUI_WITHOUT_PASSWORD_MESSAGE = "当前配置允许所有设备访问，请添加密码\n\n设置方法:\n在config/deploy.yaml中添加:\nWebUI:\n  Password: 你的密码\n然后重启\n\n温馨提示：密码推荐大小写字母+数字不小于六位\n\n目前配置允許所有裝置存取，請新增密碼。\n\n設定方法:\n在config/deploy.yaml中添加:\nWebUI:\n  Password: 你的密碼\n然後重新啟動\n\n溫馨提示：密碼建議包含大小寫英文字母與數字，且不少於六位。\n\nThe current configuration allows access from all devices. Please set a password.\n\nHow to configure:\nAdd the following to config/deploy.yaml:\nWebUI:\n  Password: your_password\nThen restart the application.\n\nTip: It is recommended to use a password containing uppercase and lowercase letters as well as numbers, with a minimum length of 6 characters.\n\n現在の設定では、すべてのデバイスからアクセスできます。パスワードを設定してください。\n\n設定方法:\nconfig/deploy.yaml に以下を追加してください:\nWebUI:\n  Password: あなたのパスワード\nその後、アプリケーションを再起動してください。\n\nヒント：パスワードは英大文字・英小文字・数字を含み、6文字以上にすることを推奨します。"
+PUBLIC_WEBUI_PASSWORD_GENERATE_FAILED_MESSAGE = (
+    "当前配置允许所有设备访问，但自动生成密码失败，请手动在 config/deploy.yaml 设置 Password 后重启。"
+)
+WEBUI_AUTO_PASSWORD_FILE = "password.txt"
 
 
 def is_public_webui_host(host):
@@ -170,6 +176,57 @@ def is_webui_password_set(password):
     return bool(str(password or "").strip())
 
 
+def generate_webui_password(length=32):
+    """
+    生成包含大小写字母和数字的 WebUI 密码。
+
+    Args:
+        length (int): 密码长度。
+
+    Returns:
+        str: 随机密码。
+    """
+    letters_upper = string.ascii_uppercase
+    letters_lower = string.ascii_lowercase
+    digits = string.digits
+    alphabet = letters_upper + letters_lower + digits
+    password = [
+        secrets.choice(letters_upper),
+        secrets.choice(letters_lower),
+        secrets.choice(digits),
+    ]
+    password.extend(secrets.choice(alphabet) for _ in range(length - len(password)))
+    secrets.SystemRandom().shuffle(password)
+    return "".join(password)
+
+
+def ensure_public_webui_password(key):
+    """
+    公网监听且未设置密码时自动生成密码。
+
+    Args:
+        key: 命令行或部署配置中的 WebUI 密码。
+
+    Returns:
+        tuple[str | None, str | None]: 有效密码和失败原因。
+    """
+    host = State.webui_host or State.deploy_config.WebuiHost
+    if not is_public_webui_host(host) or is_webui_password_set(key):
+        return key, None
+
+    try:
+        password = generate_webui_password()
+        from deploy.atomic import atomic_write
+
+        atomic_write(WEBUI_AUTO_PASSWORD_FILE, f"{password}\n")
+        State.deploy_config.Password = password
+        logger.warning(f"WebUI 已自动生成密码，请在根目录 {WEBUI_AUTO_PASSWORD_FILE} 查看。")
+        return password, None
+    except Exception as e:
+        logger.exception(f"WebUI 自动生成密码失败: {e}")
+        return None, str(e)
+
+
 def timedelta_to_text(delta=None):
     time_delta_name_suffix_dict = {
         "Y": "YearsAgo",
@@ -5126,6 +5183,7 @@ def app():
     AlasGUI.set_theme(theme=theme)
     lang.LANG = State.deploy_config.Language
     key = args.key or State.deploy_config.Password
+    key, password_error = ensure_public_webui_password(key)
     cdn = args.cdn if args.cdn else State.deploy_config.CDN
     runs = None
     if args.run:
@@ -5160,13 +5218,12 @@ def _block_restricted_device():
         )
         return True
 
-    def _block_public_webui_without_password():
-        host = State.webui_host or State.deploy_config.WebuiHost
-        if not is_public_webui_host(host) or is_webui_password_set(key):
+    def _block_public_webui_password_error():
+        if password_error is None:
             return False
         popup(
             "安全保护",
-            PUBLIC_WEBUI_WITHOUT_PASSWORD_MESSAGE,
+            PUBLIC_WEBUI_PASSWORD_GENERATE_FAILED_MESSAGE,
             implicit_close=False,
             closable=False,
         )
@@ -5175,9 +5232,9 @@ def _block_public_webui_without_password():
     def index():
         if _block_restricted_device():
             return
-        if _block_public_webui_without_password():
+        if _block_public_webui_password_error():
             return
-        if key is not None and not login(key):
+        if is_webui_password_set(key) and not login(key):
             logger.warning(f"{info.user_ip} login failed.")
             time.sleep(1.5)
             run_js("location.reload();")
@@ -5189,9 +5246,9 @@ def index():
     def manage():
         if _block_restricted_device():
             return
-        if _block_public_webui_without_password():
+        if _block_public_webui_password_error():
             return
-        if key is not None and not login(key):
+        if is_webui_password_set(key) and not login(key):
             logger.warning(f"{info.user_ip} login failed.")
             time.sleep(1.5)
             run_js("location.reload();")

module/webui/utils.py

@@ -14,8 +14,8 @@
 from typing import Callable, Generator, List
 
 import pywebio
-from pywebio.input import PASSWORD, input
-from pywebio.output import PopupSize, popup, put_html, toast
+from pywebio.input import PASSWORD, actions, input, input_group
+from pywebio.output import PopupSize, popup, put_html, put_text, toast
 from pywebio.session import eval_js, info as session_info, register_thread, run_js
 from rich.console import Console
 from rich.terminal_theme import TerminalTheme
@@ -530,13 +530,47 @@ def _record_login_failure():
         return _webui_login_failure_count
 
 
+def _show_password_help(action):
+    if action == "new":
+        popup(
+            "没设置过密码？",
+            put_text("系统已自动生成密码，请到项目根目录 password.txt 查看。"),
+        )
+    elif action == "forgot":
+        popup(
+            "忘记密码？",
+            put_text("请到 config/deploy.yaml 的 Password 字段查看当前密码。"),
+        )
+
+
+def _input_webui_password():
+    while True:
+        data = input_group(inputs=[
+            input(
+                name="password",
+                label="请输入 WebUI 密码",
+                type=PASSWORD,
+                placeholder="PASSWORD",
+            ),
+            actions(name="action", buttons=[
+                {"label": "登录", "value": "login", "type": "submit", "color": "primary"},
+                {"label": "没设置过密码？", "value": "new", "type": "submit", "color": "secondary"},
+                {"label": "忘记密码？", "value": "forgot", "type": "submit", "color": "secondary"},
+            ]),
+        ])
+        action = data["action"]
+        if action == "login":
+            return data["password"]
+        _show_password_help(action)
+
+
 def login(password):
     if is_login_forbidden():
         toast("密码错误次数过多，请重启后再试。", color="error")
         return False
     if get_localstorage("password") == str(password):
         return True
-    pwd = input(label="Please login below.", type=PASSWORD, placeholder="PASSWORD")
+    pwd = _input_webui_password()
     if is_login_forbidden():
         toast("密码错误次数过多，请重启后再试。", color="error")
         return False