lmacka/snappass

SnapPass

镜像概述和主要用途

SnapPass是一个用于安全共享密码的Web应用，被称为“密码版的SnapChat”。它解决了通过邮件、聊天工具等方式传输密码可能导致的长期留存和安全风险问题。当接收者查看密码链接后，密码即会失效，有效防止密码被未授权访问或长期存储。

核心功能和特性

• 一次性密码共享：密码链接被查看后立即失效，防止重复访问
• 安全加密：使用Fernet对称加密算法（来自cryptography库）加密密码
• 无密钥存储：每个密码生成唯一随机密钥，仅作为链接一部分发送，不存储在服务器
• Redis依赖：使用Redis存储加密后的密码，确保数据高效存取
• 灵活配置：支持通过环境变量进行多方面配置，适应不同部署环境
• API支持：提供简单API和REST API，方便集成到脚本或CI/CD流程中

安全性

• 密码采用Fernet对称加密算法加密，确保即使Redis数据库被未授权访问，密码仍无法被解密
• 加密密钥随机生成，不存储在服务器，仅作为密码链接的一部分发送给用户
• 密码查看一次后即从Redis中删除，避免长期留存风险

依赖要求

• Redis：用于存储加密后的密码
• Python 3.8+：运行应用的环境要求（若直接部署而非使用Docker）

安装方法

通过pip安装

bash
$ pip install snappass
$ snappass
* Running on http://0.0.0.0:5000/
* Restarting with reloader

通过Docker部署

使用Docker和Docker Compose部署：

bash
$ docker-compose up -d

此命令将拉取所有依赖（Redis和Python 3.7环境），启动SnapPass和Redis服务，SnapPass可通过 http://localhost:5000 访问。

配置说明

通过环境变量进行配置，以下是主要配置项：

使用场景和适用范围

• 团队内部安全共享临时密码（如服务器登录密码、数据库凭证）
• CI/CD流程中传递敏感凭证，避免明文存储
• 需要一次性传递敏感信息的场景，确保信息不被长期留存

APIs

SnapPass提供两种API，满足不同使用需求：

简单API

适用于快速创建密码链接，无需Web界面，适合嵌入脚本或CI/CD流程。

创建密码

发送POST请求到/api/set_password：

bash
$ curl -X POST -H "Content-Type: application/json" -d '{"password": "foobar"}' http://localhost:5000/api/set_password/

响应（包含密码链接和TTL）：

json
{
    "link": "http://127.0.0.1:5000/snappassbedf19b161794fd288faec3eba15fa41~hHnILpQ50ZfJc3nurDfHCb_22rBr5gGEya68e_cZOrY%3D",
    "ttl": 1209600
}

自定义TTL（默认2周，***秒）

bash
$ curl -X POST -H "Content-Type: application/json" -d '{"password": "foobar", "ttl": 3600 }' http://localhost:5000/api/set_password/

REST API

提供完整的密码生命周期管理，适合程序化交互，无需解析HTML内容。

创建密码

发送POST请求到/api/v2/passwords：

bash
$ curl -X POST -H "Content-Type: application/json" -d '{"password": "foobar"}' http://localhost:5000/api/v2/passwords

响应（包含token、链接和TTL）：

json
{
    "token": "snappassbedf19b161794fd288faec3eba15fa41~hHnILpQ50ZfJc3nurDfHCb_22rBr5gGEya68e_cZOrY=",
    "links": [{
        "rel": "self",
        "href": "http://127.0.0.1:5000/api/v2/passwords/snappassbedf19b161794fd288faec3eba15fa41~hHnILpQ50ZfJc3nurDfHCb_22rBr5gGEya68e_cZOrY%3D"
    }, {
        "rel": "web-view",
        "href": "http://127.0.0.1:5000/snappassbedf19b161794fd288faec3eba15fa41~hHnILpQ50ZfJc3nurDfHCb_22rBr5gGEya68e_cZOrY%3D"
    }],
    "ttl": 1209600
}

检查密码是否存在

发送HEAD请求到/api/v2/passwords/<token>（token需URL编码）：

bash
$ curl --head http://localhost:5000/api/v2/passwords/snappassbedf19b161794fd288faec3eba15fa41~hHnILpQ50ZfJc3nurDfHCb_22rBr5gGEya68e_cZOrY%3D

• 若密码有效、未被读取且未过期：返回200 OK
• 否则：返回404 NOT FOUND

读取密码

发送GET请求到/api/v2/passwords/<token>：

bash
$ curl -X GET http://localhost:5000/api/v2/passwords/snappassbedf19b161794fd288faec3eba15fa41~hHnILpQ50ZfJc3nurDfHCb_22rBr5gGEya68e_cZOrY%3D

• 若密码有效、未被读取且未过期：返回包含密码的JSON响应：

  json
  {
      "password": "foobar"
  }
  

• 否则：返回404 NOT FOUND错误响应

API注意事项

• TTL可自定义，但不能超过应用默认最大值
• 密码通过请求体传递，避免在URL中泄露（防止服务器日志记录）
• 建议将/api端点限制在内部网络访问，Web界面可配置认证

类似工具

• https://github.com/generateui/Snappass.NET%EF%BC%9ASnapPass%E7%9A%84.NET%EF%BC%88ASP.NET Core）移植版