docs: удалить оставшиеся файлы (перенесены в ipwhitelist-app)

2026-05-30 19:12:19 +03:00
parent 21eea523d5
commit 32671bfa43
3 changed files with 335 additions and 0 deletions
@@ -0,0 +1,96 @@
+# IP WhiteList — План (pending задачи, 2026-05-30 14:43)
+
+> **Ветка:** `sonnet` · **Обновлено:** 2026-05-30 14:43  
+> Всё что было в старых планах — реализовано. Здесь только то, чего ещё нет.
+
+---
+
+## Блокер 1 — Keycloak OIDC (нужны данные от DevOps)
+
+Код OIDC Authorization Code Flow написан и готов (`src/auth.js`).  
+Не активируется пока не получены:
+
+| Что нужно | Env-переменная | Статус |
+|---|---|---|
+| client_id в realm cloud | `KC_CLIENT_ID` | ❌ ждём DevOps |
+| client_secret | `KC_CLIENT_SECRET` | ❌ ждём DevOps |
+| redirect_uri зарегистрирован в KK | (в самом KK) | ❌ ждём DevOps |
+| SESSION_SECRET для продакшена | `SESSION_SECRET` | ❌ нужно сгенерировать |
+
+Без этого сервис работает в mock-режиме (`/dev-login` как тестовый backdoor).
+
+---
+
+## Блокер 2 — Admin-роль из Keycloak
+
+Сейчас admin = `clientId === WZ01112`.  
+Как реально приходит `isAdmin` из KK — не ясно (см. [questions.md](questions.md)).  
+После получения ответа — 1–2 строки в `userFromPayload()` в `src/auth.js`.
+
+---
+
+## Задача 1 — Деплой ветки sonnet
+
+- [ ] Передеплоить на `white.nodejsk8s.dev.nubes.ru` (сейчас там master)
+- [ ] Добавить env-секреты в k8s: `SESSION_SECRET`, `CSRF_SECRET`
+- [ ] Проверить smoke-тест: `/healthz`, `/login`, `/export`
+
+---
+
+## Задача 2 — Сессии при multi-pod
+
+Сейчас: MemoryStore (in-process, не масштабируется).  
+При нескольких репликах k8s сессии будут теряться.
+
+- [ ] `npm install connect-redis ioredis`
+- [ ] Подключить Redis в `server.js` (3 строки конфига)
+- [ ] Добавить `REDIS_URL` в env
+
+**Блокер:** нужен Redis в k8s (или принять ограничение на 1 реплику пока).
+
+---
+
+## Задача 3 — IP-ограничение /export
+
+ТЗ: endpoint доступен без авторизации, ограничен по IP на старте.  
+Текущее решение: открытый endpoint с rate-limit (20 req/мин).
+
+- [ ] Уточнить: ограничение в приложении или ingress? (см. [questions.md](questions.md))
+- [ ] Если в приложении: whitelist IP через `EXPORT_ALLOWED_IPS` env var
+
+---
+
+## Задача 4 — Пагинация
+
+При `custom_limit` > 50 таблица станет неудобной.  
+Сейчас все записи выводятся без пагинации.
+
+- [ ] `GET /?page=N` + `LIMIT/OFFSET` в `queries.listEntries()`
+- [ ] Кнопки Назад/Вперёд в `views/index.ejs`
+
+Низкий приоритет — текущий дефолтный лимит 15 записей на компанию.
+
+---
+
+## Задача 5 — Auto-dismiss alert
+
+Flash-алерты (ошибка/успех) сейчас исчезают только при перезагрузке.
+
+- [ ] 10 строк JS в `views/index.ejs`: `setTimeout(() => alert.remove(), 5000)`
+
+---
+
+## Не делать (закрыто)
+
+| Что | Почему |
+|---|---|
+| ~~CSRF-защита~~ | ✅ csrf-csrf (double-submit cookie) |
+| ~~Рефакторинг server.js~~ | ✅ 131 строка, роутеры вынесены |
+| ~~Автотесты~~ | ✅ 50 unit-тестов (`node tests/run-tests.js`) |
+| ~~aggregateCIDRs в /export~~ | ✅ в `src/validators.js` |
+| ~~Admin-панель~~ | ✅ `src/routes/admin.js`, `views/admin.ejs` |
+| ~~Редактирование записи~~ | ✅ `POST /edit/:id` |
+| ~~Аудит~~ | ✅ `GET /audit` |
+| ~~OIDC Authorization Code Flow~~ | ✅ `src/auth.js` + `src/routes/auth.js` |
+| ~~Session middleware~~ | ✅ `express-session` в `server.js` |
+| ~~Dev-login backdoor~~ | ✅ `/dev-login` с пресетами + кастомные поля |