Merge pull request 'Land password login and admin temporary reset UI pinned by Dev' (#107) from feature/auth-password-management-frontend into main

Land password login and admin temporary reset UI pinned by Dev (#107)

e2e/admin-user-create.playwright.ts

@@ -66,10 +66,8 @@ test('管理员建号：UI 请求新契约并给出待初始化提示', async ({
   const body = await createBody
   expect(body).toEqual({ owner: newOwner, profile: { name: '组合验收' } })
 
-  // 契约断言二：成功提示逐字含「待初始化」与 CLI 发放指引。
-  await expect(page.locator('.ad-notice')).toHaveText(
-    `已创建 ${newOwner}（待初始化）：请在服务器执行 user initialize-account 发放激活 Key`,
-  )
+  // 契约断言二：页面创建后账号可直接使用，不再提示 CLI 初始化。
+  await expect(page.locator('.ad-notice')).toContainText(`已创建 ${newOwner}`)
 
   // 契约断言三：用户表出现该账号，状态为未设密码（HTTP 建号不能设密码/授权限）。
   const row = page.locator('.ad-table tbody tr', { hasText: newOwner })
@@ -78,6 +76,6 @@ test('管理员建号：UI 请求新契约并给出待初始化提示', async ({
   await expect(row).not.toContainText('ADMIN')
 
   // 界面说明与后端流程一致（激活 Key 由服务器本地 CLI 发放）。
-  await expect(page.locator('.ad-create .ad-hint')).toContainText('待初始化')
-  await expect(page.locator('.ad-create .ad-hint')).toContainText('user initialize-account')
+  await expect(page.locator('.ad-create .ad-hint')).toContainText('初始密码')
+  await expect(page.locator('.ad-create .ad-hint')).not.toContainText('user initialize-account')
 })

e2e/login-key.playwright.ts

@@ -1,7 +1,5 @@
-// 登录恢复流程真实浏览器验收（2026-10-13 合同，docs/svc-deploy/
-// 2026-10-13-login-recovery-contract.md）：管理员签发一次性登录 Key →
-// 用户在登录页只输 Key 兑换 → 受限设密门（无当前密码框）→ 设密成功回登录页 →
-// 新密码登录进工作台；重复兑换同一 Key 被拒。
+// 管理员随机临时密码与登录入口回归：管理员重置 → 用户密码登录 → 强制改密；
+// 登录页不再提供一次性 Key 登录 tab。Key 的分发/管理 API 与非登录页流程保留。
 // 驱动：任意 auth-on 实例（PLAYWRIGHT_BASE_URL + E2E_PLAIN_BASE；
 // scripts/e2e.sh 第 4 阶段顺路覆盖，或对隔离实例直连——见 Dev 任务卡
 // feature/svc-login-recovery-flow 的真实浏览器验收记录）。
@@ -53,23 +51,21 @@ async function adminLogin(page: Page) {
   await expect(page.locator('.tsb-tool', { hasText: '代理' })).toBeVisible({ timeout: 15_000 })
 }
 
-test('登录恢复全流程：签发 → 兑换 → 免旧密码设密 → 新密码登录；重复兑换被拒', async ({ page }) => {
+test('管理员随机重置：临时密码登录后强制改密；登录页不提供 Key 登录', async ({ page }) => {
   // 全流程含多次 argon2 登录与两道门，30s 默认预算不够。
   test.setTimeout(120_000)
-  // 1) 管理员进入用户管理，为目标用户生成一次性登录 Key（明文仅显示一次）。
+  // 1) 管理员进入用户管理，为目标用户生成随机临时密码（明文仅显示一次）。
   await adminLogin(page)
   await page.locator('.tsb-user').click()
   await page.getByRole('button', { name: '系统管理…' }).click()
   const zone = page.getByRole('dialog', { name: '系统管理' })
   await expect(zone).toBeVisible()
-  // 每个用户行都有同款按钮：限定目标用户所在行。
-  await zone.locator('tr', { hasText: USER }).getByRole('button', { name: '生成登录 Key' }).click()
-  await zone.getByRole('button', { name: '生成 Key', exact: true }).click()
-  const keyInput = zone.locator('input[aria-label="一次性登录 Key（仅显示一次）"]')
-  await expect(keyInput).toBeVisible({ timeout: 10_000 })
-  const key = await keyInput.inputValue()
-  expect(key).toMatch(/^alk_/)
-  await expect(zone.getByText(/单次有效/)).toBeVisible()
+  const row = zone.locator('tr', { hasText: USER })
+  await row.getByRole('button', { name: '重置临时密码' }).click()
+  const temporaryPassword = zone.locator('input[aria-label="一次性密码"]')
+  await expect(temporaryPassword).toBeVisible({ timeout: 10_000 })
+  const password = await temporaryPassword.inputValue()
+  expect(password.length).toBeGreaterThan(0)
 
   // 2) 管理员退出系统管理与登录态，回到登录页。
   //（Key 面板内也有「关闭」；退出全屏层要点头部的「返回工作台」。）
@@ -78,35 +74,30 @@ test('登录恢复全流程：签发 → 兑换 → 免旧密码设密 → 新
   await page.getByRole('button', { name: '退出登录' }).click()
   await expect(page.getByRole('button', { name: '登录', exact: true })).toBeVisible({ timeout: 10_000 })
 
-  // 3) 用户只输 Key 兑换；身份由服务端绑定确定（页面不出现用户名输入框）。
-  await page.getByRole('tab', { name: '一次性登录 Key' }).click()
-  await page.getByPlaceholder('alk_…').fill(key)
-  await page.getByRole('button', { name: '兑换并设置新密码' }).click()
-
-  // 4) 受限设密门：服务端确认用户名；无当前密码输入框。
+  // 3) 用户使用临时密码登录后进入强制改密门。
+  await passwordLogin(page, USER, password)
   const gate = page.locator('.lg-card')
-  await expect(gate.getByText(`账号 ${USER}（服务端确认）`)).toBeVisible({ timeout: 10_000 })
-  await expect(gate.locator('input[autocomplete="current-password"]')).toHaveCount(0)
+  await expect(gate.getByText(`账号 ${USER}`)).toBeVisible({ timeout: 10_000 })
+  await expect(gate.locator('input[autocomplete="current-password"]')).toHaveCount(1)
   const pw = gate.locator('input[type="password"]')
-  await pw.nth(0).fill(USER_PW)
+  await pw.nth(0).fill(password)
   await pw.nth(1).fill(USER_PW)
+  await pw.nth(2).fill(USER_PW)
   await gate.getByRole('button', { name: '设置新密码', exact: true }).click()
 
-  // 5) 成功页：提示用新密码登录，唯一出口回登录页。
+  // 4) 成功页：提示用新密码登录，唯一出口回登录页。
   await expect(page.getByRole('heading', { name: '密码已更新' })).toBeVisible({ timeout: 10_000 })
   await page.getByRole('button', { name: '返回登录', exact: true }).click()
   await expect(page.getByRole('button', { name: '登录', exact: true })).toBeVisible()
 
-  // 6) 新密码登录进工作台（旧初始密码已不可用一并验证）。
+  // 5) 新密码登录进工作台。
   await passwordLogin(page, USER, USER_PW)
   await expect(page.locator('.tsb-tool', { hasText: '代理' })).toBeVisible({ timeout: 15_000 })
 
-  // 7) 同一 Key 重复兑换被拒，错误文案指向管理员重签。
+  // 6) 登录页不再提供一次性 Key 登录入口。
   await page.locator('.tsb-user').click()
   await page.getByRole('button', { name: '退出登录' }).click()
   await expect(page.getByRole('button', { name: '登录', exact: true })).toBeVisible({ timeout: 10_000 })
-  await page.getByRole('tab', { name: '一次性登录 Key' }).click()
-  await page.getByPlaceholder('alk_…').fill(key)
-  await page.getByRole('button', { name: '兑换并设置新密码' }).click()
-  await expect(page.getByText('该 Key 已被使用过，请联系管理员重新签发')).toBeVisible({ timeout: 10_000 })
+  await expect(page.getByRole('tab', { name: '一次性登录 Key' })).toHaveCount(0)
+  await expect(page.getByPlaceholder('alk_…')).toHaveCount(0)
 })

src/api.ts

@@ -105,8 +105,9 @@ export const api = {
     return r.json() as Promise<{ owner: string; name: string; isAdmin: boolean; mustChangePassword: boolean; reloginRequired: boolean }>
   }),
   listAdminUsers: () => auth.fetch(`${BASE}/api/admin/users`).then(r => json<{ userId: string; owner: string; name: string; isAdmin: boolean; mustChangePassword: boolean; hasPassword: boolean; passwordSetAt?: string; createdAt: string; stateVersion: number; profileVersion: number; initializationState: string }[]>(r)),
-  // 建号只创建待初始化账号（无密码、无权限位）；初始凭证由服务器本地 CLI 发放激活 Key。
-  createAdminUser: (owner: string, name: string) => auth.fetch(`${BASE}/api/admin/users`, { method: 'POST', headers: { 'Content-Type': 'application/json' }, body: JSON.stringify({ owner, profile: { name } }) }).then(r => json<{ owner: string; initializationState: string }>(r)),
+  // 管理员建号：可提供初始密码；省略密码时由服务端生成并仅返回一次。
+  createAdminUser: (owner: string, name: string, password?: string) => auth.fetch(`${BASE}/api/admin/users`, { method: 'POST', headers: { 'Content-Type': 'application/json' }, body: JSON.stringify({ owner, profile: { name }, ...(password ? { password } : {}) }) }).then(r => json<{ userId: string; owner: string; passwordSet: boolean; mustChangePassword: boolean; initializationState: string; initialPassword?: string }>(r)),
+  adminResetUserPassword: (owner: string) => auth.fetch(`${BASE}/api/admin/users/${encodeURIComponent(owner)}/password`, { method: 'POST', headers: { 'Content-Type': 'application/json' }, body: '{}' }).then(r => json<{ owner: string; temporaryPassword: string; mustChangePassword: boolean }>(r)),
   // ---- 管理员：一次性登录 Key（HTTP 签发端点已被恢复提案契约替换为 410，客户端方法随之移除；
   // list/revoke 仍有效，供恢复提案视图复用；兑换入口不变）----
   adminListLoginKeys: (owner: string) => auth.fetch(`${BASE}/api/admin/users/${encodeURIComponent(owner)}/login-keys`).then(r => json<{ keys: { id: string; owner: string; purpose: string; status: string; expiresAt: string; createdAt: string; createdBy?: string }[] }>(r)).then(d => d.keys ?? []),

src/components/LoginPage.tsx

@@ -1,5 +1,5 @@
 // 登录与改密（管理员发放制，R2 + 2026-10-13 登录恢复合同）：
-// LoginPage —— 用户名+密码（默认入口）/ 一次性登录 Key（恢复/激活，只输 Key）；
+// LoginPage —— 用户名+密码唯一入口；
 // ChangePasswordGate —— 受限会话强制设密：模式由服务端 passwordChangeMode 派生，
 // grant_setup 免当前密码（激活/恢复 Key 兑换），current_required 必须校验当前密码
 //（初始密码首登；2026-10-14 后端加固，空 current 会被 401 拒绝）。
@@ -33,10 +33,8 @@ function BrandPanel() {
  * 长期 API 密钥（ask_）不再作为浏览器日常登录入口——程序化客户端直接带
  * Authorization 头；浏览器保存长期密钥属于持久凭据暴露面。 */
 export function LoginPage({ onAuthed, onMustChange }: { onAuthed: () => void; onMustChange: (owner: string) => void }) {
-  const [tab, setTab] = useState<'password' | 'loginkey'>('password')
   const [owner, setOwner] = useState('')
   const [password, setPassword] = useState('')
-  const [key, setKey] = useState('')
   const [err, setErr] = useState('')
   const [busy, setBusy] = useState(false)
 
@@ -56,51 +54,20 @@ export function LoginPage({ onAuthed, onMustChange }: { onAuthed: () => void; on
     } finally { setBusy(false) }
   }
 
-  const submitKey = async () => {
-    setErr(''); setBusy(true)
-    try {
-      // 只提交 Key：目标账户由服务端绑定记录确定，客户端不能指定身份。
-      const me = await api.redeemLoginKey(key.trim())
-      if (me.sessionScope === 'set_password_only' || me.mustChangePassword) {
-        onMustChange(me.owner)
-        return
-      }
-      onAuthed()
-    } catch (e) {
-      setErr(humanRedeemError(String(e)))
-    } finally { setBusy(false) }
-  }
-
   return (
     <div className="lg-wrap">
       <BrandPanel />
       <div className="lg-formside">
-      <form className="lg-card" onSubmit={e => { e.preventDefault(); tab === 'password' ? submitPassword() : submitKey() }}>
+      <form className="lg-card" onSubmit={e => { e.preventDefault(); submitPassword() }}>
         <div className="lg-brand"><BrandMark size={26} />Agent-System</div>
         <h2 className="lg-title">登录</h2>
-        <p className="lg-sub">账号由管理员发放；忘记密码请联系管理员签发一次性登录 Key</p>
-        <div className="lg-tabs" role="tablist">
-          <button type="button" role="tab" aria-selected={tab === 'password'} className={`lg-tab ${tab === 'password' ? 'on' : ''}`} onClick={() => setTab('password')}>账号密码</button>
-          <button type="button" role="tab" aria-selected={tab === 'loginkey'} className={`lg-tab ${tab === 'loginkey' ? 'on' : ''}`} onClick={() => setTab('loginkey')}>一次性登录 Key</button>
-        </div>
-        {tab === 'password' ? (
-          <>
+        <p className="lg-sub">账号由管理员发放；忘记密码请联系管理员重置临时密码</p>
         <label className="lg-label">用户名</label>
         <input className="lg-input" value={owner} onChange={e => setOwner(e.target.value)} autoFocus autoComplete="username" placeholder="由管理员分配" />
         <label className="lg-label">密码</label>
         <input className="lg-input" type="password" value={password} onChange={e => setPassword(e.target.value)} autoComplete="current-password" placeholder="初始密码或常用密码" />
         <Err msg={err} />
         <button className="lg-submit" type="submit" disabled={busy || !owner.trim() || !password}>{busy ? '验证中…' : '登录'}</button>
-          </>
-        ) : (
-          <>
-            <label className="lg-label">一次性登录 Key</label>
-            <input className="lg-input lg-mono" value={key} onChange={e => setKey(e.target.value)} autoFocus placeholder="alk_…" />
-            <Err msg={err} />
-            <button className="lg-submit" type="submit" disabled={busy || !key}>{busy ? '兑换中…' : '兑换并设置新密码'}</button>
-            <p className="lg-hint">忘记密码时由管理员发起恢复提案，并由你在已登录设备的「设置 → 账号」中本人确认后获得；新账号使用管理员交付的激活 Key。单次有效、限时兑换。程序化客户端请继续使用 API 密钥（Authorization 头）。</p>
-          </>
-        )}
       </form>
       </div>
     </div>

src/components/adminSections.tsx

@@ -11,10 +11,8 @@ import type { SettingDesc } from '../contracts'
 import { docBridge } from './Workbench'
 import { recoveryProposalErrorMessage, recoveryProposalHint, recoveryStatusLabel } from '../recovery'
 
-// ---- 用户管理（原 AdminUsersModal 主体，R2 管理员发放制）：建号仅创建待初始化
-// 账号（HTTP 契约不含密码与管理员位），初始凭证由服务器本地 CLI 发放激活 Key；
-// 恢复走属主确认制提案：管理员提案 → 用户在「设置 → 账号」本人确认 → 一次性 Key
-// 只在属主会话内出现（直接签发 Key 的 HTTP 入口已被 410 替换）。----
+// ---- 用户管理：页面建号可设置/生成初始密码，管理员重置生成临时密码；
+// 保留恢复提案与 Key 管理作为既有非登录页恢复流程。 ----
 interface AdminUserRow { userId: string; owner: string; name: string; isAdmin: boolean; mustChangePassword: boolean; hasPassword: boolean; passwordSetAt?: string; createdAt: string; stateVersion: number }
 
 export function UsersPanel() {
@@ -24,6 +22,8 @@ export function UsersPanel() {
   const [notice, setNotice] = useState('')
   const [owner, setOwner] = useState('')
   const [name, setName] = useState('')
+  const [initialPassword, setInitialPassword] = useState('')
+  const [generatedCredential, setGeneratedCredential] = useState<{ owner: string; password: string; kind: 'initial' | 'temporary' } | null>(null)
   const [busy, setBusy] = useState(false)
   // 恢复提案面板：propFor 打开指定用户的提案视图（创建 / 状态 / 撤销）。
   const [propFor, setPropFor] = useState<AdminUserRow | null>(null)
@@ -41,13 +41,24 @@ export function UsersPanel() {
     setErr(''); setNotice('')
     setBusy(true)
     try {
-      const out = await api.createAdminUser(owner.trim(), name.trim())
-      setNotice(`已创建 ${out.owner}（待初始化）：请在服务器执行 user initialize-account 发放激活 Key`)
-      setOwner(''); setName('')
+      const out = await api.createAdminUser(owner.trim(), name.trim(), initialPassword.trim() || undefined)
+      setGeneratedCredential(out.initialPassword ? { owner: out.owner, password: out.initialPassword, kind: 'initial' } : null)
+      setNotice(out.initialPassword ? `已创建 ${out.owner}，请将下方一次性初始密码交付给用户。首次登录后必须改密。` : `已创建 ${out.owner}。用户首次登录后必须改密。`)
+      setOwner(''); setName(''); setInitialPassword('')
       await refresh()
     } catch (e) { setErr(String(e).includes('409') ? '用户名已存在' : String(e)) } finally { setBusy(false) }
   }
 
+  const resetPassword = async (u: AdminUserRow) => {
+    setErr(''); setNotice(''); setGeneratedCredential(null); setBusy(true)
+    try {
+      const out = await api.adminResetUserPassword(u.owner)
+      setGeneratedCredential({ owner: u.owner, password: out.temporaryPassword, kind: 'temporary' })
+      setNotice(`已为 ${u.owner} 生成临时密码。该用户登录后必须立即修改密码。`)
+      await refresh()
+    } catch (e) { setErr(String(e)) } finally { setBusy(false) }
+  }
+
   const openProposals = async (u: AdminUserRow) => {
     setErr(''); setNotice(''); setPropFor(u); setProposals(null)
     await refreshProposals(u.userId)
@@ -60,7 +71,13 @@ export function UsersPanel() {
       await api.createAdminRecoveryProposal(propFor.userId, propFor.stateVersion, crypto.randomUUID())
       setNotice(`已为 ${propFor.owner} 建立恢复提案：请该用户在「设置 → 账号」由本人确认；确认后一次性 Key 只在其会话内出现`)
       await refreshProposals(propFor.userId)
-    } catch (e) { setErr(recoveryProposalErrorMessage(String(e))) } finally { setBusy(false) }
+    } catch (e) {
+      if (String(e).includes('409')) {
+        await resetPassword(propFor)
+        return
+      }
+      setErr(recoveryProposalErrorMessage(String(e)))
+    } finally { setBusy(false) }
   }
 
   const revokeProposal = async (p: RecoveryProposal) => {
@@ -79,12 +96,18 @@ export function UsersPanel() {
           <div className="ad-row">
             <input className="lg-input" placeholder="用户名（登录名）" value={owner} onChange={e => setOwner(e.target.value)} />
             <input className="lg-input" placeholder="显示名（可空）" value={name} onChange={e => setName(e.target.value)} />
+            <input className="lg-input" type="password" autoComplete="new-password" placeholder="初始密码（留空随机生成）" value={initialPassword} onChange={e => setInitialPassword(e.target.value)} />
             <button className="lg-submit ad-create-btn" disabled={busy || !owner.trim()} onClick={create}>创建账号</button>
           </div>
-          <p className="ad-hint">账号创建后处于待初始化状态：在服务器执行 user initialize-account 发放一次性激活 Key，用户经兑换入口设置密码后登录</p>
+          <p className="ad-hint">可填写管理员指定的初始密码；留空则由服务端生成一次性随机密码。用户首次登录后必须改密。</p>
         </div>
       )}
       {notice && <div className="ad-notice"><Icon name="check" size={14} />{notice}</div>}
+      {generatedCredential && <div className="ad-reset">
+        <p className="ad-hint">{generatedCredential.kind === 'initial' ? '初始密码' : '临时密码'}仅显示一次，请立即安全交付给 {generatedCredential.owner}。</p>
+        <input className="lg-input ad-mono" readOnly value={generatedCredential.password} aria-label="一次性密码" />
+        <button type="button" className="ad-mini" onClick={() => setGeneratedCredential(null)}>关闭</button>
+      </div>}
       {err && <div className="lg-err"><Icon name="alert" size={14} />{err}</div>}
       {propFor ? (
         <div className="ad-reset">
@@ -125,9 +148,10 @@ export function UsersPanel() {
                 <td>{u.isAdmin ? <span className="ad-chip ad-chip-admin">ADMIN</span> : <span className="ad-chip">USER</span>}</td>
                 <td>{u.mustChangePassword ? <span className="ad-chip ad-chip-warn">待改密</span> : u.hasPassword ? '正常' : '未设密码'}</td>
                 <td className="ad-dim">{u.passwordSetAt ? new Date(u.passwordSetAt).toLocaleString() : '—'}</td>
-                <td>{me?.isAdmin && (
+                <td>{me?.isAdmin && <span className="ad-row">
+                  <button className="ad-mini" disabled={busy} onClick={() => resetPassword(u)}>重置临时密码</button>
                   <button className="ad-mini" onClick={() => openProposals(u)}>恢复提案</button>
-                )}</td>
+                </span>}</td>
               </tr>
             ))}
             {users !== null && users.length === 0 && <tr><td colSpan={6} className="ad-dim">暂无账号</td></tr>}