身份提供商密码管理后端API Docker镜像

1. 镜像概述

本镜像提供身份提供商（Identity Provider）密码管理的后端API服务，主要用于处理用户密码相关的核心业务逻辑，包括密码重置、修改、验证及安全存储等功能。作为身份管理系统的关键组件，该镜像旨在提供高可用、可扩展且符合安全标准的密码管理解决方案，支持与各类身份认证系统集成。

2. 核心功能与特性

2.1 核心功能

• 密码重置流程：支持通过***/短信验证码触发的密码重置，包含令牌生成、验证及过期控制
• 密码修改：提供用户自主修改密码的API，支持旧密码验证
• 密码强度验证：内置密码复杂度检测（如长度、字符类型组合、常见密码排除）
• 密码安全存储：采用bcrypt/Argon2等算法对密码进行不可逆加密存储，避免明文风险
• 审计日志：记录密码操作（重置、修改、验证失败）的详细日志，支持合规审计

2.2 关键特性

• API认证与授权：支持基于JWT/OAuth2.0的API访问控制，防止未授权调用
• 高可用性：无状态服务设计，支持多实例部署，配合负载均衡实现高可用
• 多数据库支持：兼容PostgreSQL、MySQL等主流关系型数据库，存储用户密码元数据
• 配置驱动：通过环境变量或配置文件灵活调整服务参数，无需修改代码
• 监控集成：暴露Prometheus指标接口，支持服务健康检查与性能监控

3. 使用场景与适用范围

3.1 典型使用场景

• 企业身份管理系统：作为企业内部IAM（身份与访问管理）系统的密码管理模块，统一处理员工密码生命周期
• SaaS平台用户认证：为SaaS应用提供用户密码重置、修改功能，集成到用户中心模块
• 多应用统一密码管理：支持多租户/多应用场景下的密码策略统一配置与管理
• 合规性密码管理：满足GDPR、HIPAA等合规要求，提供密码加密存储与操作审计能力

3.2 适用范围

• 需独立管理用户密码生命周期的后端服务
• 对密码安全性、可审计性有严格要求的系统
• 需要快速集成密码管理功能的身份认证系统

4. 使用方法与配置说明

4.1 前提条件

• 已安装Docker Engine（20.10+）或Docker Desktop
• 可用的关系型数据库实例（PostgreSQL 13+ 或 MySQL 8.0+）
• （可选）用于发送验证码的邮件/短信服务接口

4.2 基本使用（Docker Run）

通过docker run命令快速启动服务，需指定必要的环境变量（如数据库连接信息、API端口等）：

bash
docker run -d \
  --name idp-password-api \
  -p 8080:8080 \
  -e DB_HOST=postgres-host \
  -e DB_PORT=5432 \
  -e DB_USER=password_admin \
  -e DB_PASSWORD=secure-db-pass \
  -e DB_NAME=password_management \
  -e API_PORT=8080 \
  -e JWT_SECRET=your-256-bit-secret-key \
  -e PASSWORD_MIN_LENGTH=10 \
  -e LOG_LEVEL=info \
  your-registry/idp-password-api:latest

4.3 Docker Compose配置示例

通过docker-compose.yml整合服务与依赖（如数据库），简化部署流程：

yaml
version: '3.8'

services:
  password-api:
    image: your-registry/idp-password-api:latest
    container_name: idp-password-api
    restart: always
    ports:
      - "8080:8080"
    environment:
      - DB_HOST=postgres
      - DB_PORT=5432
      - DB_USER=password_admin
      - DB_PASSWORD=secure-db-pass
      - DB_NAME=password_management
      - API_PORT=8080
      - JWT_SECRET=${JWT_SECRET}  # 建议通过.env文件传入
      - PASSWORD_MIN_LENGTH=10
      - PASSWORD_REQUIRE_SPECIAL_CHAR=true
      - LOG_LEVEL=info
      - SMTP_HOST=smtp.example.com  # 用于发送密码重置邮件
      - SMTP_PORT=587
      - SMTP_USER=***
      - SMTP_PASSWORD=${SMTP_PASSWORD}
    depends_on:
      - postgres

  postgres:
    image: postgres:14-alpine
    container_name: password-db
    restart: always
    environment:
      - POSTGRES_USER=password_admin
      - POSTGRES_PASSWORD=secure-db-pass
      - POSTGRES_DB=password_management
    volumes:
      - postgres-data:/var/lib/postgresql/data

volumes:
  postgres-data:

4.4 环境变量说明

4.5 配置参数补充说明

• 密码策略配置：通过PASSWORD_*前缀的环境变量调整密码复杂度策略，所有布尔类型参数默认值为true，可设为false关闭对应要求。
• 数据库连接池：默认连接池大小为10，可通过DB_POOL_SIZE环境变量调整（如DB_POOL_SIZE=20）。
• JWT令牌有效期：默认24小时，可通过JWT_EXPIRY_HOURS调整（如JWT_EXPIRY_HOURS=12）。
• 密码重置令牌有效期：默认1小时，可通过RESET_TOKEN_EXPIRY_MINUTES调整（如RESET_TOKEN_EXPIRY_MINUTES=30）。

5. 注意事项

• 安全建议：JWT_SECRET、DB_PASSWORD等敏感信息建议通过Docker Secrets或环境变量文件（.env）传入，避免直接暴露在命令行或配置文件中。
• HTTPS配置：生产环境中需通过反向代理（如Nginx、Traefik）启用HTTPS，防止API通信数据泄露。
• 数据备份：定期备份数据库数据，避免密码元数据丢失。
• 镜像更新：建议关注镜像更新，及时修复安全漏洞（可通过docker pull your-registry/idp-password-api:latest更新）。