meeko auth hash

meeko auth hash calcula el hash de una contraseña con hashPassword, el mismo que comprueba verifyPassword, sin escribir código. En una terminal la pide dos veces sin mostrarla; con una tubería, la lee de stdin. Es la forma de crear la contraseña de un administrador inicial o de una cuenta de servicio sin que el texto quede en el historial de la shell.

Sólo el hash va a la salida estándar, en una línea: meeko auth hash >> .env o una tubería reciben una línea limpia. Las preguntas y los errores van a la salida de errores.

Uso#

meeko auth hash

Contraseña:
Repite la contraseña:
scrypt$131072$8$1$5jmbLtw9yk7j9cKXvoj1Cw$MycUbPu8gwqzW2hpMac0eTDbEnanlwS4rw-uc4MbSiU

Tipo#

meeko auth hash

Parámetros#

El comando no admite opciones: meeko auth sin hash da Falta el subcomando de auth: meeko auth hash, y otro subcomando, Subcomando desconocido de auth: ….

Resultado#

Una línea scrypt$<N>$<r>$<p>$<sal>$<hash> en la salida estándar y código 0. Los parámetros son los actuales de hashPassword: N = 2^17, r = 8 y p = 1, una sal aleatoria de 16 bytes y una clave de 32, en base64url. Cada ejecución da un hash distinto para la misma contraseña, por la sal.

Ejemplos#

Añadirlo al .env#

printf 'ADMIN_PASSWORD_HASH=' >> .env
meeko auth hash >> .env

Las preguntas siguen apareciendo en la terminal, porque van a la salida de errores. El .env queda con ADMIN_PASSWORD_HASH=scrypt$131072$8$1$…; Meeko lo lee sin expandir los $.

Desde una variable, en CI o un script#

printf '%s' "$ADMIN_PASSWORD" | npx meeko auth hash

En PowerShell:

$env:ADMIN_PASSWORD | npx meeko auth hash

printf '%s' no añade salto de línea; echo sí, y el comando quita uno, así que los dos valen.

Comprobarlo en el inicio de sesión#

// server/api/login.post.ts
import { verifyPassword } from "@meekojs/meeko/password";
import { Login, LoginResult } from "../../shared/schemas";

export default defineApiRoute({
  body: Login,
  response: LoginResult,
  origin: "required",
  rateLimit: { limit: 5, window: "5m" },
  async handler({ body, context }) {
    const valid = await verifyPassword(body.password, process.env.ADMIN_PASSWORD_HASH ?? "");
    if (!valid || body.username !== process.env.ADMIN_USERNAME) throw new ApiError("INVALID_CREDENTIALS", 401);
    await context.session.create({ user: body.username });
    return { ok: true };
  },
});

Errores comunes#

Pegar el hash sin comillas en la shell#

export ADMIN_PASSWORD_HASH=scrypt$131072$8$1$a60roveYGWNsSr73LMYxbw$eN20ddK5QyliDsTEoU5ah1SHPar1flUtYQd4J-a6dzI

La shell expande $1, $8 y el resto como variables: la variable queda en scrypt31072, y verifyPassword lanza TypeError: Invalid password hash: expected scrypt$<N>$<r>$<p>$<salt>$<hash> within Meeko's limits. Pasa igual con $ en un docker-compose.yml, que también interpola.

export ADMIN_PASSWORD_HASH='scrypt$131072$8$1$a60roveYGWNsSr73LMYxbw$eN20ddK5QyliDsTEoU5ah1SHPar1flUtYQd4J-a6dzI'

En un .env de Meeko no hacen falta comillas: no expande variables.

Varias líneas por la tubería#

printf 'secreto\notra\n' | meeko auth hash

La entrada debe tener una sola línea con la contraseña. El comando no recorta espacios ni toma la primera línea: lo que llega es la contraseña.

printf '%s' 'secreto' | meeko auth hash

Escribir la contraseña como argumento#

meeko auth hash secreto

Argumento de más para auth: secreto, con el uso y código 1. Un argumento quedaría en el historial de la shell y en la lista de procesos; por eso no existe.

meeko auth hash

Notas#

• Seguridad. La contraseña nunca va a la salida estándar ni a los argumentos. En la terminal no hay eco; con printf '%s' "$VAR", la variable sí puede quedar en el historial si la escribes literal en la línea de comandos.
• Coste. Cada hash ocupa 128 MiB durante el cálculo y tarda una fracción de segundo; es lo esperado de scrypt con estos parámetros.
• Dónde funciona. Se ejecuta con Node; el hash sirve en cualquier runtime que tenga @meekojs/meeko/password (Node, Bun, Deno). Cloudflare Workers no tiene memoria suficiente para verificarlo.
• Windows. En PowerShell, $env:VAR | meeko auth hash envía la línea con su salto de línea, que el comando quita (\n o \r\n). En cmd, echo secreto | meeko auth hash incluye el espacio antes de | en la contraseña ("secreto "): escribe echo secreto| meeko auth hash.
• Rehash. Si algún día cambian los parámetros por defecto, los hashes antiguos siguen siendo válidos; needsRehash(hash) dice cuándo conviene recalcularlo tras un inicio de sesión correcto.

Relacionado#

• hashPasswordCalcula el hash scrypt de una contraseña en un formato autodescriptivo, listo para guardarlo en una columna o en .env.
• verifyPasswordComprueba una contraseña contra un hash scrypt guardado, en tiempo constante, recalculándolo con los parámetros del propio hash.
• needsRehashIndica si un hash de contraseña debe recalcularse con los parámetros actuales de hashPassword, para actualizarlo tras un inicio de sesión correcto.
• ContraseñasMeeko como framework full-stack
• AutenticaciónMeeko como framework full-stack