From 7b3403d943ac04f76837cb603544bd0136450e30 Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?Reinhard=20X=2E=20F=C3=BCrst?= <rexfue@gmail.com>
Date: Fri, 7 Aug 2026 06:46:28 +0000
Subject: [PATCH] espid2sensor: Admin-Bootstrap via ADMIN_EMAIL/ADMIN_PASSWORD
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Für extern verwaltete Deployments (Portainer, kein direkter Mongo-Zugriff)
wird beim Start automatisch ein Admin-User angelegt, falls die
user-Collection leer ist und ADMIN_EMAIL/ADMIN_PASSWORD gesetzt sind.
Login-Seite zeigt einen Hinweis, solange noch kein User existiert.

Version auf 1.5.0 angehoben.
---
 espid2sensor/docs/beschreibung.md |  6 ++++++
 espid2sensor/package.json         |  4 ++--
 espid2sensor/routes/auth.js       |  8 +++++---
 espid2sensor/server.js            | 23 ++++++++++++++++++++++-
 espid2sensor/views/login.pug      |  2 ++
 5 files changed, 37 insertions(+), 6 deletions(-)

diff --git a/espid2sensor/docs/beschreibung.md b/espid2sensor/docs/beschreibung.md
index 7b6d784..67ac439 100755
--- a/espid2sensor/docs/beschreibung.md
+++ b/espid2sensor/docs/beschreibung.md
@@ -1,6 +1,12 @@
 # Beschreibung von esp2senor
 
 
+### Erststart / Bootstrap
+
+Ist die `user`-Collection in der Mongo-Datenbank leer (z.B. bei einem neuen, extern verwalteten Deployment ohne direkten Datenbankzugriff), legt der Server beim Start automatisch einen Admin-User an — vorausgesetzt, die Umgebungsvariablen `ADMIN_EMAIL` und `ADMIN_PASSWORD` sind gesetzt. Fehlen sie, erscheint auf der Login-Seite ein entsprechender Hinweis und im Log eine Warnung.
+
+Nach dem ersten Login mit diesen Zugangsdaten sollte das Passwort über den **Profil**-Tab geändert werden. Sobald mindestens ein User existiert, greift der Bootstrap-Mechanismus nicht mehr — weitere User werden wie gewohnt über den **User**-Tab (nur für Admins) angelegt.
+
 ### Aufruf
 Für die Tests:
 
diff --git a/espid2sensor/package.json b/espid2sensor/package.json
index 0879969..07817a5 100644
--- a/espid2sensor/package.json
+++ b/espid2sensor/package.json
@@ -1,7 +1,7 @@
 {
   "name": "espid2sensor",
-  "version": "1.4.0",
-  "date": "2026-08-06",
+  "version": "1.5.0",
+  "date": "2026-08-07",
   "type": "module",
   "description": "Kleine Webapp ESP-ID <-> Sensornummer, speichern in MongoDB",
   "main": "server.js",
diff --git a/espid2sensor/routes/auth.js b/espid2sensor/routes/auth.js
index b7b5658..c998574 100644
--- a/espid2sensor/routes/auth.js
+++ b/espid2sensor/routes/auth.js
@@ -7,13 +7,15 @@ export function registerAuthRoutes(app) {
   const errText = 'Falsche Email oder falsches Passwort.' 
 
 
-  app.get('/login', (req, res) => {
+  app.get('/login', async (req, res) => {
     const version = pkg.version
     const vdate = pkg.date
-    res.render('login', { 
+    const noUsers = (await usersCollection.countDocuments()) === 0;
+    res.render('login', {
       error: null,
       version: version,
-      vdate: vdate
+      vdate: vdate,
+      noUsers: noUsers
     })
   });
 
diff --git a/espid2sensor/server.js b/espid2sensor/server.js
index 1ef5b01..cbda172 100644
--- a/espid2sensor/server.js
+++ b/espid2sensor/server.js
@@ -3,10 +3,11 @@ import session from 'express-session';
 import path from 'path';
 import { fileURLToPath } from 'url';
 import dotenv from 'dotenv';
+import bcrypt from 'bcrypt';
 import pkg from './package.json' with { type: "json" }
 dotenv.config();
 
-import { initMongo } from './db/mongo.js';
+import { initMongo, getCollections } from './db/mongo.js';
 import { registerApiRoutes } from './routes/api.js';
 import { registerAuthRoutes } from './routes/auth.js';
 import { registerAddressRoute } from './routes/address.js';
@@ -34,6 +35,26 @@ app.set('view engine', 'pug');
 
 // DB verbinden
 await initMongo();
+await bootstrapAdmin();
+
+// Legt beim allerersten Start (leere user-Collection) einen Admin aus
+// ADMIN_EMAIL/ADMIN_PASSWORD an - notwendig für extern verwaltete Deployments
+// ohne direkten Mongo-Zugriff (z.B. per Portainer betriebene Server).
+async function bootstrapAdmin() {
+  const { usersCollection } = getCollections();
+  const count = await usersCollection.countDocuments();
+  if (count > 0) return;
+
+  const email = process.env.ADMIN_EMAIL;
+  const password = process.env.ADMIN_PASSWORD;
+  if (!email || !password) {
+    console.warn('Keine User in der Datenbank und ADMIN_EMAIL/ADMIN_PASSWORD nicht gesetzt — es kann sich niemand einloggen.');
+    return;
+  }
+  const passwordHash = await bcrypt.hash(password, 10);
+  await usersCollection.insertOne({ email: email.toLowerCase(), passwordHash, role: 'admin' });
+  console.log(`Bootstrap-Admin angelegt: ${email.toLowerCase()}`);
+}
 
 // Login-Middleware
 function requireLogin(req, res, next) {
diff --git a/espid2sensor/views/login.pug b/espid2sensor/views/login.pug
index 3e29149..811b2d9 100644
--- a/espid2sensor/views/login.pug
+++ b/espid2sensor/views/login.pug
@@ -17,6 +17,8 @@ html(lang="de")
         input#password(type="password" name="password" required)
         button(type="submit") Login
       p.hint Passwort vergessen? Bitte an einen Admin wenden.
+      if noUsers
+        p.hint Es ist noch kein User angelegt. Bitte ADMIN_EMAIL und ADMIN_PASSWORD als Umgebungsvariablen setzen und den Container neu starten.
       #version Version: #{version} vom #{vdate}
     
       if error