feat: first-run claim wizard (no default admin, claim code from the backend log); owner list shows account and passkey; container install first [CI]

packaging/container/deploy-node.sh

@@ -4,7 +4,8 @@
 #
 #   首次部署 Agent：sudo sh deploy-node.sh agent --image-repo REPO --server https://panel --join jt_xxx --name hk-1
 #   首次部署 Probe：sudo sh deploy-node.sh probe --image-repo REPO --server https://panel --join jt_xxx --name home-1
-#   首次部署 Backend：sudo sh deploy-node.sh backend --channel dev --admin-password '…' [--public-url https://panel] [--port 29181] [--env KEY=VALUE]...
+#   首次部署 Backend：sudo sh deploy-node.sh backend --channel dev [--public-url https://panel] [--port 29181] [--env KEY=VALUE]...
+#     没有默认管理员：部署完打开面板，按页面引导自己创建管理员、注册 passkey、建立信任根；页面要的认领码在后端日志里（journalctl -u moshiro-backend）。
 #   更新（配置迁移、单元和更新器、镜像）：sudo sh deploy-node.sh agent   （其余参数沿用上次的更新器配置）
 #   旧版 Probe（probe.json 里没有 fleet 段）：加上 --server --join --name 重新运行即可，旧文件备份为 probe.json.old
 #
@@ -16,7 +17,7 @@ set -eu
 usage() {
   echo "usage: deploy-node.sh <agent|probe|backend> [--engine podman|docker] [--image-repo R] [--channel dev|release] [--tag T] [--image REF]" >&2
   echo "       [--server URL --join TOKEN --name NAME] [--policy auto|manual] [--authfile F]" >&2
-  echo "       backend: [--channel dev|release] [--port N] [--admin-user U] [--admin-password P] [--public-url URL] [--env KEY=VALUE]..." >&2
+  echo "       backend: [--channel dev|release] [--port N] [--admin-user U --admin-password P：只给自动化用，正常不要] [--public-url URL] [--env KEY=VALUE]..." >&2
   exit 2
 }
 
@@ -143,18 +144,17 @@ if [ "$ROLE" = backend ]; then
   # Backend 的环境文件放在宿主机上（单元用 --env-file 读取）；已有的不会被覆盖
   install -d -m 755 /etc/moshiro
   if [ ! -f /etc/moshiro/backend.env ]; then
-    if [ -z "$ADMIN_PASSWORD" ]; then
-      ADMIN_PASSWORD="$(head -c 18 /dev/urandom | base64 | tr -d '/+=' | head -c 20)"
-      echo "generated admin password (shown once): $ADMIN_PASSWORD"
-    fi
     (
       umask 077
       {
         echo "MoShiro__DataDirectory=/data"
         echo "MoShiro__UpdateChannel=$CHANNEL"
         echo "MoShiro__ImageNamespace=$NAMESPACE"
-        echo "MoShiro__InitialAdminUser=${ADMIN_USER:-admin}"
-        echo "MoShiro__InitialAdminPassword=$ADMIN_PASSWORD"
+        # 没有默认管理员：第一个管理员由部署的人在首次打开的页面上自己填，认领码在后端日志里（--admin-password 只给自动化用）
+        if [ -n "$ADMIN_PASSWORD" ]; then
+          echo "MoShiro__InitialAdminUser=${ADMIN_USER:-admin}"
+          echo "MoShiro__InitialAdminPassword=$ADMIN_PASSWORD"
+        fi
         [ -z "$PUBLIC_URL" ] || echo "MoShiro__PublicUrl=$PUBLIC_URL"
         # 其他设置原样写入，例如 --env MoShiro__CorsOrigins=http://localhost:5173 --env MoShiro__SecureCookies=false
         [ -z "$EXTRA_ENV" ] || printf '%s' "$EXTRA_ENV"