food-market

nns/food-market

Fork 0

Commit graph

Author	SHA1	Message	Date
nns	8e54e2e0d6	feat(s13): security headers + rate-limits + sensitive-ops audit + session revoke + Grafana Sprint 13 — security + observability deep. 7 пунктов чек-листа ✓. Подробности — docs/sprint13-progress.md и docs/food-market-server-postgres-role.md. Главное: - food-market-server (back.food-market.kz, legacy backend) теперь работает на dedicated PG-роли food_market_server_app (NOSUPERUSER / NOCREATEDB / NOCREATEROLE / NOREPLICATION / NOBYPASSRLS) с CRUD-only грантами. Раньше использовался postgres-superuser с паролем 1q2w3e4r. Бэкап конфига сохранён, rollback одной командой. - SecurityHeadersMiddleware навешивает CSP / X-Frame-Options DENY / X-Content-Type-Options nosniff / Referrer-Policy strict-origin / Permissions-Policy. HSTS 365d + includeSubDomains + preload. Те же заголовки в deploy/nginx.conf для SPA HTML. - Rate-limit: • Signup-IP — 3/час + 10/день (на stage'е переопределено через .env RATE_SIGNUP_HOUR=30 чтобы не ломать e2e). • Forgot-password — per-email 3/час + per-IP 10/час. - SensitiveOpsAudit сервис, wired в: • TwoFactor enroll/disable • Employees.Update при смене RoleId (action=AssignRole, payload с prev/next role + полный RolePermissions) • MeAccount.ChangePassword (новый endpoint) • MeSessions.RevokeAll (новый endpoint) - POST /api/me/sessions/revoke-all — через IOpenIddictAuthorizationManager.FindBySubjectAsync + TryRevokeAsync. Integration-тест: refresh после revoke → 400/401. - Hangfire dashboard — nginx-route добавлен (раньше /hangfire ловился SPA-fallback'ом). Фильтр SuperAdmin'ом уже был. Тест: anon/tenant → 401/403/404. - Grafana dashboard JSON (deploy/grafana/dashboards/food-market.json, 9 панелей) + инструкции импорта в docs/observability.md. Проверено на stage'е: все 6 security-заголовков видны на /; /hangfire → 401 (закрыт); 4-я форгот → 429; stage-smoke (5 этапов) ✓. Тесты: 68 unit + 9 integration (включая 3 новых: SessionRevokeTests, HangfireAccessTests). Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>	2026-06-07 12:30:10 +05:00
nns	7b7a7091b9	feat(auth): TOTP 2FA для админов через AuthenticatorTokenProvider (P2-4) ASP.NET Identity AuthenticatorTokenProvider (RFC 6238 — Google Authenticator, Authy, 1Password OTP). TwoFactorEnabled и SecurityStamp уже были в users-таблице из Identity-схемы. Endpoints (Bearer-auth): - GET /api/me/2fa/status — { enabled: bool }. - POST /api/me/2fa/enroll — генерирует SecretKey (если ещё нет), возвращает otpauth-URI для QR + сам shared-key. Пока 2FA включён, enroll возвращает alreadyEnabled=true без секрета. - POST /api/me/2fa/verify { code } — валидирует и включает 2FA. - POST /api/me/2fa/disable { code } — выключает + ResetAuthenticatorKeyAsync. Требует текущий code как защиту от случайного отключения. AuthorizationController.Exchange (password grant): после успеха проверки пароля смотрит TwoFactorEnabledAsync; если true и нет otp_code в запросе — возвращает invalid_grant с error_description="2fa_required"; если otp_code невалиден — "2fa_invalid"; иначе токен выдаётся. Опционально для всех ролей — User самостоятельно решает включать или нет. Для админов рекомендуется (отдельная политика — следующий шаг). Тесты: 4 интеграционных (enroll+verify+status, неверный code → 400, token-endpoint require otp_code, disable с code). Тесты сами генерируют TOTP через ручную RFC 6238 имплементацию (HMAC-SHA1, 30-сек step). Bonus: добавлены DI-заглушки UnusedSupplyWriter / UnusedRetailSalePoster для CQRS-handler'ов из TD-1 — handler'ы пока не подключены к контроллерам, заглушки нужны чтобы DI-validation на старте не падала. Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>	2026-05-28 17:57:32 +05:00

Author

SHA1

Message

Date

nns

8e54e2e0d6

feat(s13): security headers + rate-limits + sensitive-ops audit + session revoke + Grafana

Sprint 13 — security + observability deep. 7 пунктов чек-листа ✓.

Подробности — docs/sprint13-progress.md и docs/food-market-server-postgres-role.md.

Главное:
- food-market-server (back.food-market.kz, legacy backend) теперь
  работает на dedicated PG-роли food_market_server_app (NOSUPERUSER /
  NOCREATEDB / NOCREATEROLE / NOREPLICATION / NOBYPASSRLS) с CRUD-only
  грантами. Раньше использовался postgres-superuser с паролем 1q2w3e4r.
  Бэкап конфига сохранён, rollback одной командой.
- SecurityHeadersMiddleware навешивает CSP / X-Frame-Options DENY /
  X-Content-Type-Options nosniff / Referrer-Policy strict-origin /
  Permissions-Policy. HSTS 365d + includeSubDomains + preload.
  Те же заголовки в deploy/nginx.conf для SPA HTML.
- Rate-limit:
  • Signup-IP — 3/час + 10/день (на stage'е переопределено через
    .env RATE_SIGNUP_HOUR=30 чтобы не ломать e2e).
  • Forgot-password — per-email 3/час + per-IP 10/час.
- SensitiveOpsAudit сервис, wired в:
  • TwoFactor enroll/disable
  • Employees.Update при смене RoleId (action=AssignRole,
    payload с prev/next role + полный RolePermissions)
  • MeAccount.ChangePassword (новый endpoint)
  • MeSessions.RevokeAll (новый endpoint)
- POST /api/me/sessions/revoke-all — через
  IOpenIddictAuthorizationManager.FindBySubjectAsync + TryRevokeAsync.
  Integration-тест: refresh после revoke → 400/401.
- Hangfire dashboard — nginx-route добавлен (раньше /hangfire ловился
  SPA-fallback'ом). Фильтр SuperAdmin'ом уже был. Тест: anon/tenant →
  401/403/404.
- Grafana dashboard JSON (deploy/grafana/dashboards/food-market.json,
  9 панелей) + инструкции импорта в docs/observability.md.

Проверено на stage'е: все 6 security-заголовков видны на /;
/hangfire → 401 (закрыт); 4-я форгот → 429; stage-smoke (5 этапов) ✓.

Тесты: 68 unit + 9 integration (включая 3 новых: SessionRevokeTests,
HangfireAccessTests).

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

2026-06-07 12:30:10 +05:00

nns

7b7a7091b9

feat(auth): TOTP 2FA для админов через AuthenticatorTokenProvider (P2-4)

ASP.NET Identity AuthenticatorTokenProvider (RFC 6238 — Google
Authenticator, Authy, 1Password OTP). TwoFactorEnabled и SecurityStamp
уже были в users-таблице из Identity-схемы.

Endpoints (Bearer-auth):
- GET /api/me/2fa/status — { enabled: bool }.
- POST /api/me/2fa/enroll — генерирует SecretKey (если ещё нет),
  возвращает otpauth-URI для QR + сам shared-key. Пока 2FA включён,
  enroll возвращает alreadyEnabled=true без секрета.
- POST /api/me/2fa/verify { code } — валидирует и включает 2FA.
- POST /api/me/2fa/disable { code } — выключает + ResetAuthenticatorKeyAsync.
  Требует текущий code как защиту от случайного отключения.

AuthorizationController.Exchange (password grant): после успеха проверки
пароля смотрит TwoFactorEnabledAsync; если true и нет otp_code в
запросе — возвращает invalid_grant с error_description="2fa_required";
если otp_code невалиден — "2fa_invalid"; иначе токен выдаётся.

Опционально для всех ролей — User самостоятельно решает включать или нет.
Для админов рекомендуется (отдельная политика — следующий шаг).

Тесты: 4 интеграционных (enroll+verify+status, неверный code → 400,
token-endpoint require otp_code, disable с code). Тесты сами генерируют
TOTP через ручную RFC 6238 имплементацию (HMAC-SHA1, 30-сек step).

Bonus: добавлены DI-заглушки UnusedSupplyWriter / UnusedRetailSalePoster
для CQRS-handler'ов из TD-1 — handler'ы пока не подключены к
контроллерам, заглушки нужны чтобы DI-validation на старте не падала.

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

2026-05-28 17:57:32 +05:00

2 commits