IPWhiteList/docs/questions.md

Вопросы для уточнения — IP WhiteList

Дата: 2026-05-30
Кому: команда Keycloak / Nubes
Статус: ждём ответов

---

1. Admin-роль: «отдельный чек-бокс»

ТЗ: Администратор = clientId = WZ01112 + отдельный чек-бокс.

Вопросы:

• В каком claim приходит этот чек-бокс? (realm_role, client_role, group, attribute?)
• Как точно называется claim? Примеры возможных значений:
  • "roles": ["whitelist-admin"]
  • "resource_access.whitelist.roles": ["admin"]
  • "is_admin": true
• Нужна ли поддержка нескольких админов (не только WZ01112)?

Как обойти: захардкодить clientId === 'WZ01112' как признак админа, добавить TODO с ссылкой на этот файл.

---

2. Multi-company: формат claims

ТЗ: Пользователь может принадлежать нескольким компаниям, в UI — переключатель.

Вопросы:

• clientID в токене — это строка или массив строк?
• Если массив — как называется claim? (clientIDs, groups, что-то ещё?)
• Есть ли claim с названием компании (для отображения в переключателе)?
• Пример реального payload токена (без секретов) для пользователя с 2+ компаниями.

Как обойти: всегда считать clientId строкой (один клиент), переключатель не делать, добавить TODO.

---

3. IP-ограничение /export

ТЗ: Endpoint экспорта «на старте может работать без авторизации (по сетевому ограничению)».

Вопросы:

• Ограничение делаем в приложении или на уровне ingress (nginx/traefik)?
• Если в приложении — где взять список разрешённых IP? (env var, файл, БД?)
• Если ingress — кто настраивает?

Как обойти: оставить /export открытым, добавить TODO.

---

4. Email пользователя

ТЗ: email — идентификация пользователя для аудита.

Вопросы:

• Как называется claim с email? (email, preferred_username, что-то ещё?)
• Всегда ли он присутствует в токене?

Как обойти: брать payload.email с fallback на payload.sub, добавить TODO.

---

5. DEV_MODE

Вопросы:

• Нужен ли dev-режим на платформе Nubes (не локально)?
• Или всегда только реальный Keycloak?

Как обойти: оставить DEV_MODE=true с проверкой что в production падает при включении.

---

Условные обозначения в коде

// TODO(Keycloak): уточнить формат claim — см. docs/questions.md#1
// FIXME(Keycloak): временно, заменить после ответа команды
// HACK(DEV_MODE): заглушка, убрать перед продакшеном