Config UI: Add authentication

[naltatis]

Add password authentication to secure sensitive configuration data. Limited scope to one "admin" user.

• 🔐 admin password can be set via api once(!)
• 🎟️ using JWT tokens via httpOnly cookie (90d validity)
• 🔮 using bcrypt to store encrypted admin pw hash in db

addresses #6029

TODOs

• login UI
• pw reset via CLI -> evcc password [set|reset]
• secure all /config routes
• e2e test: login, existing flow
• e2e test: set password, logout
• move auth from site to global
• pw change function

Ideas for some time in the future

• Option to require auth for all evcc UI/APIs
• Support for multiple users or integration tokens

Video

auth.mp4

[VolkerK62]

ist das dann Zwang, oder geht es auch ohne?

[naltatis]

Für alles, was Config-UI ist, würde ich das als "Pflicht" sehen. Das offen im Netzwerk stehen zu haben (auch im eigenen) ist keine gute Idee. Da wird ja später auch so etwas wie Scripting/Plugins drüber möglich sein.

[VolkerK62]

Ah, also nur, wenn die Config betroffen ist. Nicht beim normalen Zugriff aufs UI.

[andig]

admin password can be set via api once(!)

I don't think thats a good idea. First user could run any script. We should either do this during

evcc configure

or/plus add a cli command.

[naltatis]

I don't think thats a good idea. First user could run any script. We should either do this during
evcc configure

Ja, wir müssen noch über den Flow sprechen, wie das initiale Setzen des Passworts passiert. Vmtl. müssen wir das bei der Einrichtung durch die UI erzwingen. Das Passwort in die Umgebungsvariable oder evcc.yaml (via evcc configure) zu schreiben ist keine Lösung. Unser Ziel ist es ja eine 100% via Webbrowser-Einrichtung zu ermöglichen.

[AnBo83]

Moin, da immer mehr über die UI zu konfigurieren ist wird dieses Thema immer aktueller. Da sich seit einem Monat nichts getan hat wollte ich mal vorsichtig nachfragen wie weit die Implementierung ist?

[naltatis]

Ongoing. Mehrere Baustellen, die hier zusammenführen.

[andig]

Die Rückfragen halten uns offen gesagt nur von der Arbeit ab. Wenn sich etwas tut wird es hier sichtbar...

[naltatis]

Mandatory "Set Password" Modal (wip)

[naltatis]

Set initial password flow.

set.password.mp4

[andig]

Schick, ich hab nur Kleinigkeiten.

[naltatis]

@andig Ich hab jetzt erstmal alle UI relevanten Stellen (Passwort anlegen/aktualisieren, Login) abgeklemmt. Damit können wir diesen PR in den Master mergen. Auch die entsprechenden Tests sind erstmal geskippt. Alle Stellen sind mit einem entsprechenden TODO versehen (... once auth is released).

Zusammen mit dem ersten echten Use-Case (#11739) würden wir das Feature dann komplett aktivieren.

Einzige offene Frage: jetzt rein oder kurz nach dem nächsten Release?

[StevieC121176]

eine Frage, ist dieses Feature schon aktiviert da schon im Master?

[naltatis]

Das Feature ist im Master aber aktuell noch Code-seitig auskommentiert. Wir werden es vmtl. zusammen mit dem YAML Editor aktiv schalten.