PocketBase自定义邮件模板参数的技术实现方案

在开发多应用系统时，我们经常需要为不同应用定制密码重置邮件中的链接地址。本文将以PocketBase为例，详细介绍如何实现自定义参数在邮件模板中的传递和使用。

需求背景

当多个应用共享同一个PocketBase后端时，每个应用可能需要不同的密码重置链接。例如，iOS和Android应用可能需要使用不同的URL scheme来打开密码重置页面。然而，PocketBase默认不直接支持在请求密码重置时传递自定义参数到邮件模板中。

技术挑战

直接通过API传递自定义参数存在安全隐患，因为requestPasswordReset是公开端点，无法验证参数来源和类型。PocketBase官方出于安全考虑，不建议直接开放这种功能。

解决方案

我们可以通过PocketBase的钩子(hook)系统实现间接的参数传递：

1. 邮件模板准备：在邮件模板中使用自定义占位符，如{CUSTOM_APP_URL}

2. 请求参数传递：在请求密码重置时，通过查询参数或请求体传递自定义应用URL

3. 钩子实现：使用JavaScript钩子拦截请求并处理邮件内容

具体实现代码

// pb_hooks/main.pb.js

// 拦截密码重置请求
onRecordRequestPasswordResetRequest((e) => {
    // 从请求中获取自定义应用URL
    const customAppBaseUrl = e.request.url.query().get("customAppUrl");
    
    // 使用记录模型临时存储数据
    e.record.set("__customAppUrl__", customAppBaseUrl)
    
    e.next();
}, "users")

// 处理密码重置邮件发送
onMailerRecordPasswordResetSend((e) => {
    // 获取临时存储的自定义URL，若无则使用默认应用URL
    const customAppBaseUrl = e.record.get("__customAppUrl__") || e.app.settings().meta.appURL
    
    if (customAppBaseUrl) {
        // 替换邮件内容中的占位符
        e.message.html = e.message.html.replaceAll("{CUSTOM_APP_URL}", customAppBaseUrl);
        e.message.text = e.message.text.replaceAll("{CUSTOM_APP_URL}", customAppBaseUrl);
    }
    
    e.next();
}, "users")

安全注意事项

1. 参数验证：在实际应用中，应该验证自定义URL是否在允许的域名列表中
2. 敏感数据处理：避免在记录中存储敏感信息，即使只是临时存储
3. 日志记录：建议记录相关操作以便审计

替代方案

如果应用完全分离，可以考虑：

1. 为每个应用创建独立的用户集合（如app1_users、app2_users）
2. 在每个集合的邮件模板中硬编码应用特定的URL

总结

通过PocketBase的钩子系统，我们实现了在保持安全性的前提下，灵活地为不同应用定制密码重置邮件内容。这种方案既满足了业务需求，又遵循了系统的安全设计原则。开发者可以根据实际需求调整实现细节，如增加更严格的参数验证或更完善的错误处理机制。