131 lines
6.5 KiB
JavaScript
131 lines
6.5 KiB
JavaScript
/**
|
|
* server.js — точка входа приложения.
|
|
*
|
|
* Отвечает только за:
|
|
* 1. Инициализацию Express и глобальных middleware (helmet, static, body-parser)
|
|
* 2. Инициализацию auth (initAuth) и CSRF (initCsrf)
|
|
* 3. Подключение роутеров из src/routes/ с передачей зависимостей
|
|
* 4. Старт HTTP-сервера
|
|
*
|
|
* Бизнес-логика — в src/routes/*.js
|
|
* DB-запросы — в src/queries.js
|
|
* Auth/JWT — в src/auth.js
|
|
* Валидация — в src/validators.js
|
|
* Конфиг/хелперы — в src/config.js
|
|
*/
|
|
|
|
'use strict';
|
|
|
|
const express = require('express');
|
|
const cookieParser = require('cookie-parser');
|
|
const path = require('path');
|
|
const helmet = require('helmet');
|
|
require('dotenv').config();
|
|
|
|
const { checkConnection } = require('./src/db');
|
|
const { initAuth } = require('./src/auth');
|
|
const q = require('./src/queries');
|
|
const { MOCK_USERS, APP_VERSION } = require('./src/config');
|
|
const { authLimiter } = require('./src/middleware/rateLimit');
|
|
const { createSessionMiddleware } = require('./src/middleware/session');
|
|
const { CSP_DIRECTIVES } = require('./src/middleware/csp');
|
|
const { createUiRouter } = require('./ui/index');
|
|
|
|
const app = express();
|
|
const PORT = process.env.PORT || 3000;
|
|
|
|
app.set('view engine', 'ejs');
|
|
app.set('views', path.join(__dirname, 'views'));
|
|
|
|
// Версия доступна во всех шаблонах как <%= appVersion %> без передачи вручную.
|
|
app.locals.appVersion = APP_VERSION;
|
|
|
|
// ── Безопасность HTTP-заголовков ───────────────────────────────────────────────
|
|
// helmet выставляет все security-заголовки одним вызовом, включая CSP.
|
|
// Директивы CSP вынесены в src/middleware/csp.js.
|
|
app.use(helmet({ contentSecurityPolicy: { directives: CSP_DIRECTIVES } }));
|
|
|
|
// За reverse-proxy (nginx/k8s ingress) — доверяем первому хопу для secure cookies.
|
|
if (process.env.NODE_ENV === 'production') app.set('trust proxy', 1);
|
|
|
|
app.use(express.static(path.join(__dirname, 'public')));
|
|
app.use(express.urlencoded({ extended: true, limit: '32kb' }));
|
|
app.use(cookieParser());
|
|
|
|
async function start() {
|
|
const auth = await initAuth();
|
|
|
|
// ── Сессии ────────────────────────────────────────────────────────────────
|
|
const { pool } = require('./src/db');
|
|
app.use(createSessionMiddleware(pool));
|
|
|
|
// ── Fail-fast в production ────────────────────────────────────────────────
|
|
// Если секреты не заданы — приложение в проде немедленно падает.
|
|
// Дефолтные значения — только для локальной разработки.
|
|
if (process.env.NODE_ENV === 'production') {
|
|
const DEFAULT_SESSION = 'dev-session-secret-change-me';
|
|
if (!process.env.SESSION_SECRET || process.env.SESSION_SECRET === DEFAULT_SESSION) {
|
|
console.error('FATAL: SESSION_SECRET не задан или равен дефолту в production!');
|
|
process.exit(1);
|
|
}
|
|
}
|
|
|
|
// k8s liveness probe — простая проверка что сервер жив
|
|
app.get('/healthz', (req, res) => res.send('OK'));
|
|
|
|
// JWKS endpoint для валидации токенов внешними сервисами (только в mock-режиме)
|
|
if (auth.jwksHandler) app.get('/.well-known/jwks.json', auth.jwksHandler);
|
|
|
|
// ── ВРЕМЕННЫЙ публичный endpoint /exp (без авторизации) ──────────────────
|
|
// TODO: убрать когда /export станет публичным по ТЗ п. 4.7
|
|
{
|
|
const { exportLimiter } = require('./src/middleware/rateLimit');
|
|
const { aggregateCIDRs } = require('./src/validators');
|
|
app.get('/exp', exportLimiter, async (req, res) => {
|
|
try {
|
|
const cidrs = await q.getExportCIDRs(null); // null = все компании
|
|
const aggregated = aggregateCIDRs(cidrs);
|
|
res.setHeader('Content-Type', 'text/plain; charset=utf-8');
|
|
res.setHeader('Content-Disposition', 'inline; filename="whitelist.txt"');
|
|
res.send(aggregated.join('\n') + (aggregated.length ? '\n' : ''));
|
|
} catch (e) {
|
|
console.error('/exp error:', e);
|
|
res.status(500).send('Export error');
|
|
}
|
|
});
|
|
}
|
|
|
|
// ── REST API v1 (Bearer JWT, без сессий/CSRF) ─────────────────────────────
|
|
const { createApiRouter } = require('./src/api/index');
|
|
app.use('/api/v1', createApiRouter({ auth, q }));
|
|
|
|
// ── UI-слой: SSR через EJS, данные из /api/v1/* ───────────────────────────
|
|
// Монтируется ПОСЛЕ /api/v1/ — не перехватывает API-запросы.
|
|
// Хранит Bearer token в сессии, рендерит те же views/*.ejs.
|
|
app.use('/', createUiRouter({ auth, MOCK_USERS, authLimiter }));
|
|
|
|
// ── Общий обработчик ошибок ───────────────────────────────────────────────
|
|
// eslint-disable-next-line no-unused-vars
|
|
app.use((err, req, res, next) => {
|
|
console.error('Unhandled error:', err);
|
|
res.status(500).send('Внутренняя ошибка сервера');
|
|
});
|
|
|
|
// ── Старт сервера ─────────────────────────────────────────────────────────────
|
|
checkConnection()
|
|
.then(() => console.log('DB connected'))
|
|
.catch(e => console.error('DB not ready:', e.message));
|
|
|
|
return app;
|
|
}
|
|
|
|
// Запускаем сервер только если файл запущен напрямую (не через require)
|
|
if (require.main === module) {
|
|
start()
|
|
.then(a => a.listen(PORT, () => console.log('Server on port ' + PORT)))
|
|
.catch(e => { console.error('Startup error:', e); process.exit(1); });
|
|
}
|
|
|
|
module.exports = { start };
|
|
|