116 lines
5.5 KiB
JavaScript
116 lines
5.5 KiB
JavaScript
const express = require('express');
|
|
const cookieParser = require('cookie-parser');
|
|
const path = require('path');
|
|
const helmet = require('helmet');
|
|
// rateLimit.js: mutationLimiter (POST-роуты) и exportLimiter (GET /export)
|
|
const { mutationLimiter, exportLimiter } = require('./src/middleware/rateLimit');
|
|
// csrf.js: фабрика для инициализации CSRF-защиты (double-submit cookie pattern)
|
|
const { initCsrf } = require('./src/middleware/csrf');
|
|
require('dotenv').config();
|
|
const { checkConnection } = require('./src/db');
|
|
const { initAuth, requireAdmin } = require('./src/auth');
|
|
const { aggregateCIDRs } = require('./src/validators');
|
|
const q = require('./src/queries');
|
|
// config.js: MOCK_USERS (мок-пользователи для dev) и backUrl (хелпер редиректа)
|
|
const { MOCK_USERS, backUrl } = require('./src/config');
|
|
|
|
const app = express();
|
|
const PORT = process.env.PORT || 3000;
|
|
|
|
app.set('view engine', 'ejs');
|
|
app.set('views', path.join(__dirname, 'views'));
|
|
|
|
// ── Безопасность HTTP-заголовков ───────────────────────────────────────────────
|
|
// helmet выставляет: X-Content-Type-Options, X-Frame-Options, Strict-Transport-Security,
|
|
// Referrer-Policy и пр. CSP отключён явно — EJS использует inline-стили/скрипты.
|
|
app.use(helmet({ contentSecurityPolicy: false }));
|
|
|
|
app.use(express.static(path.join(__dirname, 'public')));
|
|
app.use(express.urlencoded({ extended: true, limit: '32kb' }));
|
|
app.use(cookieParser());
|
|
|
|
async function start() {
|
|
const auth = await initAuth();
|
|
|
|
// ── CSRF защита ────────────────────────────────────────────────────────────
|
|
// initCsrf() читает CSRF_SECRET и NODE_ENV из process.env.
|
|
// Возвращает: doubleCsrfProtection (middleware на POST) и
|
|
// generateCsrfToken (вызов в GET-роутах для передачи токена в шаблон).
|
|
const { doubleCsrfProtection, generateCsrfToken } = initCsrf();
|
|
|
|
// ── Публичные маршруты (до auth.middleware) ──────────────────────────────────
|
|
|
|
// k8s liveness probe — простая проверка что сервер жив
|
|
app.get('/healthz', (req, res) => res.send('OK'));
|
|
|
|
// JWKS endpoint для валидации токенов внешними сервисами (только в mock-режиме)
|
|
if (auth.jwksHandler) app.get('/.well-known/jwks.json', auth.jwksHandler);
|
|
|
|
// GET /export: агрегированный список CIDR, без авторизации.
|
|
// src/routes/export.js содержит логику и комментарии.
|
|
app.use(require('./src/routes/export').createRouter({
|
|
q,
|
|
exportLimiter,
|
|
aggregateCIDRs,
|
|
}));
|
|
|
|
// GET /login, POST /login, GET /logout.
|
|
// src/routes/auth.js содержит логику и комментарии.
|
|
app.use(require('./src/routes/auth').createRouter({
|
|
auth,
|
|
doubleCsrfProtection,
|
|
generateCsrfToken,
|
|
MOCK_USERS,
|
|
}));
|
|
|
|
// ── Все маршруты ниже требуют валидного JWT (проверяет auth.middleware) ───────
|
|
app.use(auth.middleware);
|
|
|
|
// GET /, POST /add, POST /edit/:id, POST /delete/:id.
|
|
// src/routes/entries.js содержит логику и комментарии.
|
|
app.use(require('./src/routes/entries').createRouter({
|
|
q,
|
|
doubleCsrfProtection,
|
|
mutationLimiter,
|
|
generateCsrfToken,
|
|
backUrl,
|
|
}));
|
|
|
|
// GET /audit, GET /admin, POST /admin/limit/:companyId.
|
|
// src/routes/admin.js содержит логику и комментарии.
|
|
app.use(require('./src/routes/admin').createRouter({
|
|
q,
|
|
requireAdmin,
|
|
doubleCsrfProtection,
|
|
mutationLimiter,
|
|
generateCsrfToken,
|
|
}));
|
|
|
|
// ── CSRF error handler ────────────────────────────────────────────────────────
|
|
// doubleCsrfProtection вызывает next(err) с кодом 403 при невалидном токене.
|
|
// Ловим ДО общего обработчика — возвращаем понятное сообщение пользователю.
|
|
// eslint-disable-next-line no-unused-vars
|
|
app.use((err, req, res, next) => {
|
|
if (err && (err.status === 403 || err.code === 'EBADCSRFTOKEN')) {
|
|
return res.status(403).send(
|
|
'<p style="font-family:sans-serif;padding:2rem">' +
|
|
'Недействительный CSRF-токен. ' +
|
|
'<a href="javascript:history.back()">Вернитесь назад</a> и повторите действие.' +
|
|
'</p>'
|
|
);
|
|
}
|
|
console.error('Unhandled error:', err);
|
|
res.status(500).send('Внутренняя ошибка сервера');
|
|
});
|
|
|
|
// ── Старт сервера ─────────────────────────────────────────────────────────────
|
|
checkConnection()
|
|
.then(() => console.log('DB connected'))
|
|
.catch(e => console.error('DB not ready:', e.message));
|
|
|
|
app.listen(PORT, () => console.log('Server on port ' + PORT));
|
|
}
|
|
|
|
start().catch(e => { console.error('Startup error:', e); process.exit(1); });
|
|
|