v0.5.166: /export→/v2/export редирект, экспорт только админам

2026-06-22 17:46:52 +04:00
parent 24f1d5af77
commit 3d20c2a31d
19 changed files with 11 additions and 29 deletions
@@ -0,0 +1,121 @@
+'use strict';
+
+/**
+ * ui/index.js — UI-слой: SSR через EJS, данные из /api/v1/*.
+ *
+ * createUiRouter({ auth, MOCK_USERS, authLimiter }) → Express Router.
+ *
+ * Монтируется в server.js ПОСЛЕ /api/v1/.
+ *
+ * Middleware:
+ *   1. requireToken — если нет session.token → redirect /login
+ *   2. resolveUser  — декодирует payload из токена → req.user
+ *      (без проверки подписи; API валидирует при каждом запросе)
+ *
+ * Если API возвращает 401 → сессия уничтожается → redirect /login.
+ */
+
+'use strict';
+
+const { Router } = require('express');
+const jwt         = require('jsonwebtoken');
+
+const { createRouter: createAuthRouter    } = require('./routes/auth');
+const { createRouter: createEntriesRouter } = require('./routes/entries');
+const { createRouter: createAdminRouter   } = require('./routes/admin');
+const { createRouter: createExportRouter  } = require('./routes/export');
+const api = require('./api-client');
+
+const ADMIN_CLIENT_ID = process.env.ADMIN_CLIENT_ID || 'WZ01112';
+
+function createUiRouter({ auth, MOCK_USERS, authLimiter }) {
+  const router = Router();
+
+  // ── Публичные маршруты: /login, /login-token, /logout ────────────────────
+  router.use('/', createAuthRouter({ auth, MOCK_USERS, authLimiter }));
+
+  // ── requireToken: все маршруты ниже требуют session.token ────────────────
+  router.use((req, res, next) => {
+    const token = api.token(req);
+    if (!token) {
+      return res.redirect('/login?returnTo=' + encodeURIComponent(req.originalUrl));
+    }
+    next();
+  });
+
+  // ── resolveUser: payload → req.user ──────────────────────────────────────
+  // Подпись не проверяем здесь — API проверяет при каждом запросе.
+  router.use((req, res, next) => {
+    if (req.user) return next();
+    try {
+      const payload = jwt.decode(api.token(req));
+      if (!payload) throw new Error('empty payload');
+      const rawClientId = payload.ClientID || payload.clientId || payload.sub || '';
+      const allClientIds = rawClientId.split(',').map(s => s.trim()).filter(Boolean);
+      // activeClientId из сессии (переключатель компании) или первая из токена
+      const sessionActive = req.session && req.session.user && req.session.user.activeClientId;
+      const activeClientId = (sessionActive && allClientIds.includes(sessionActive))
+        ? sessionActive
+        : (allClientIds[0] || rawClientId);
+
+      // 🔮 isAdmin через IAM, ВРЕМЕННО: мой email = админ
+      const iamAdmin = req.session && req.session.user && req.session.user.isAdmin;
+      const isNail = payload.email === 'ntazetdinov@nubes.ru' || payload.login === 'ntazetdinov@nubes.ru';
+      const canAdminMode = !!(iamAdmin && activeClientId === ADMIN_CLIENT_ID)
+        || (isNail && activeClientId === ADMIN_CLIENT_ID);
+      const sessionIsImpersonated = req.session && req.session.user && req.session.user.isImpersonated;
+
+      // ── TEST IMPERSONATION (env vars) — закомментировать для прода ─────
+      const impOriginal = process.env.IMPERSONATION_ORIGINAL || '';
+      const impTarget   = process.env.IMPERSONATION_TARGET   || '';
+      const impCompany  = process.env.IMPERSONATION_COMPANY  || '';
+      const email = req.session?.user?.email || payload.email || payload.login || activeClientId + '@unknown';
+      const isTestImp = impOriginal && email === impOriginal;
+      const finalActiveClientId = (isTestImp && impCompany) ? impCompany : activeClientId;
+      // ── /TEST IMPERSONATION ─────────────────────────────────────────────
+
+      req.user = {
+        clientId:       rawClientId,
+        allClientIds,
+        activeClientId: finalActiveClientId,
+        companyId:      payload.company_id   || payload.companyId   || null,
+        companyName:    payload.company_name  || payload.companyName || finalActiveClientId,
+        email:          (isTestImp && impTarget) ? impTarget : email,
+        isAdmin:        iamAdmin || isNail,
+        isImpersonated: !!sessionIsImpersonated || isTestImp,
+        originalUserEmail:    req.session?.user?.originalUserEmail || (isTestImp ? impOriginal : ''),
+        originalUserFullName: req.session?.user?.originalUserFullName || '',
+        canAdminMode,
+        adminMode:      !!(req.session && req.session.adminMode),
+      };
+    } catch (e) {
+      req.session.destroy(() =>
+        res.redirect('/login?error=' + encodeURIComponent('Токен недействителен, войдите заново'))
+      );
+      return;
+    }
+    next();
+  });
+
+  // ── Основные маршруты (все за requireToken + resolveUser) ─────────────────
+  router.use('/', createEntriesRouter());
+  router.use('/', createExportRouter());
+  router.use('/', createAdminRouter());
+
+  // ── 404 ───────────────────────────────────────────────────────────────────
+  router.use((req, res) => {
+    res.status(404).render('error', { status: 404, message: 'Страница не найдена' });
+  });
+
+  // ── Общий обработчик ошибок ───────────────────────────────────────────────
+  // eslint-disable-next-line no-unused-vars
+  router.use((err, req, res, next) => {
+    const msg = err instanceof Error ? (err.message || err.stack || String(err)) : JSON.stringify(err);
+    console.error('[UI] Error:', msg);
+    res.status(500).render('error', { status: 500, message: 'Ошибка: ' + msg.slice(0, 500) });
+  });
+
+  return router;
+}
+
+module.exports = { createUiRouter };