doc: сводка ревью, STATE.md, тесты, HAR, WhiteIPlist

2026-05-30 08:47:19 +03:00
parent b238124d2d
commit 3b46ad1a08
9 changed files with 31981 additions and 0 deletions
@@ -0,0 +1,109 @@
+# Состояние проекта на 2026-05-30 (коммит `2fb4548`)
+
+## Репозитории
+
+| Репо | URL | Ветка | Локальный путь |
+|---|---|---|---|
+| Код приложения | `https://gitea.services.ngcloud.ru/Nail/ipwhitelist-app.git` | master | `/home/naeel/ipwhitelist-app` |
+| Документация | `https://gitea.services.ngcloud.ru/Nail/IPWhiteList.git` | main | `/home/naeel/IPWhiteList` |
+
+## Стек
+
+Node.js + Express + EJS + PostgreSQL + pg pool + jsonwebtoken
+
+## Деплой
+
+- URL: `https://white.nodejsk8s.dev.nubes.ru`
+- DEV_MODE=true (мок-аутентификация)
+- ⚠️ Код запушен, но Nubes не передеплоил — крутится старая версия
+
+## БД
+
+- `write.bde8229b-1381-4330-b24b-727ad73fcb44.dev.nubes.ru`
+- user: `super`, db: `ipwhitelist`
+- Миграция от 2026-05-30 применена (CHECK, UNIQUE, индексы)
+
+---
+
+## Что сделано (запушено)
+
+### 1. `src/validators.js` — исправлены 3 бага
+- Запрещённые диапазоны: `isSubnetOf` → `overlaps` (обход через суперсеть `/22`)
+- Маска: `parseInt('24abc')` глотал мусор → строгая проверка `/^\d{1,2}$/`
+- Множественные слэши: `10.0.0.0/24/8` теперь отклоняется
+
+### 2. `src/queries.js` — транзакции + гонки
+- `createEntry`, `updateEntry`, `deleteEntry` — внутри транзакции с `SELECT ... FOR UPDATE`
+- `getOrCreateCompany` — атомарный `INSERT ... ON CONFLICT`
+- `getLimit` — `!= null` вместо `||` (custom_limit=0 не игнорируется)
+- `logAudit` — принимает клиента транзакции (пишется атомарно)
+- `getExportCIDRs` — фильтр по `companyId`
+- `deleteEntry` — `company_id` в WHERE
+
+### 3. `src/auth.js` — **новый.** Мок JWT-аутентификация
+- Генерирует RSA-ключи при старте
+- JWKS endpoint: `/.well-known/jwks.json`
+- `verifyJWT(token)` — RS256, issuer: `mock-auth-api`
+- `issueJWT(claims)` — выпускает токен с claims как в HAR (`ClientID`, `company_id`, `company_name`, `email`)
+- Middleware: извлекает JWT из cookie (`jwt`) или `Authorization: Bearer`
+- DEV_MODE: при `DEV_MODE=true && NODE_ENV!=production` — обход auth
+- **Для прода:** выставить `JWKS_URL=https://auth-api.../jwks` → switches to external verification
+
+### 4. `views/login.ejs` — **новый.** Мок-страница входа
+- Выбор из 3 пользователей (admin WZ01112, тест WZ01325, компания 2 WZ02001)
+- В проде заменяется на редирект в Keycloak
+
+### 5. `server.js`
+- `cookie-parser` для чтения JWT из cookie
+- `/healthz` — выше auth (k8s probe)
+- `/login` GET/POST — мок-логин
+- `/logout` — чистит cookie
+- `/export` — только для своей компании (с авторизацией)
+- `req.query.error` читается
+- `urlencoded({ limit: '32kb' })`
+
+### 6. `sql/schema.sql`
+- UNIQUE INDEX на активный `(company_id, value_cidr)` WHERE deleted_at IS NULL
+- CHECK на `value_cidr` формат
+- CHECK на `audit_log.action IN ('CREATE','UPDATE','DELETE')`
+- CHECK на `custom_limit IS NULL OR >= 0`
+- FK: `ON DELETE RESTRICT`
+- Составной индекс `(company_id, created_at DESC)` на audit_log
+- Индекс `(company_id, created_at DESC)` на whitelist_entries
+
+### 7. `views/index.ejs`
+- `pattern` + `maxlength="18"` + `title` на инпуте value
+
+---
+
+## Ревью (`/home/naeel/IPWhiteList/research/`)
+
+| Файл | Что |
+|---|---|
+| `REVIEW-SUMMARY.md` | Сводка всех находок (11 критических, 21 средний) |
+| `opus-review-validators.md` | 1 критичный + 2 средних |
+| `opus-review-queries.md` | 3 гонки + audit + getLimit |
+| `opus-review-server.md` | JWT без подписи, 401, CSRF, /export |
+| `opus-review-schema.md` | UNIQUE, CIDR, FK, индексы |
+| `opus-review-ejs.md` | CSRF, clickjacking, client-валидация |
+| `auth-flow.md` | Анализ HAR: claims, цепочка auth-api |
+
+---
+
+## Не сделано (production-hardening, не баги)
+
+- helmet (X-Frame-Options, CSP, HSTS)
+- rate-limit на POST /add, /delete, /export
+- CSRF-токены в формах
+- JWT-верификация через внешний JWKS (нужен URL от девопсов)
+- Admin-признак в токене (нужен пример токена админа)
+- Multi-company (нужен формат claims от платформы)
+
+## Для прода
+
+Выставить в `.env`:
+```
+NODE_ENV=production
+JWKS_URL=<auth-api JWKS URL>
+```
+Всё остальное работает без изменений.