Compare commits
12 commits
8572875e7f
...
eccdd06a4c
| Author | SHA1 | Date | |
|---|---|---|---|
|
eccdd06a4c | ||
|
|
f817abc8c7 | ||
|
|
e3a8db3206 | ||
|
|
ee24a5ed8e | ||
|
|
338877eb49 | ||
|
|
c69114f8ab | ||
|
|
5728b729a8 | ||
|
|
6582333def | ||
|
|
35f633e206 | ||
|
|
ed5089bac3 | ||
|
|
7647af7527 | ||
|
|
1f70d90485 |
|
|
@ -39,6 +39,13 @@ services:
|
|||
# e2e/smoke; в prod'е оставляем дефолты 3/час, 10/сутки.
|
||||
RateLimiting__SignupPerIpPerHour: ${RATE_SIGNUP_HOUR:-3}
|
||||
RateLimiting__SignupPerIpPerDay: ${RATE_SIGNUP_DAY:-10}
|
||||
# Sprint 30: «быстрый вход» на тестовом стенде. По умолчанию выключено.
|
||||
# На stage включается через QUICK_LOGIN_ENABLED=true в .env. Code
|
||||
# имеет safety-override: даже с Enabled=true, если OpenIddict__Issuer
|
||||
# смотрит на admin.food-market.kz — быстрый вход принудительно выключен
|
||||
# (см. QuickLoginOptions.EffectivelyEnabled).
|
||||
QuickLogin__Enabled: ${QUICK_LOGIN_ENABLED:-false}
|
||||
QuickLogin__MasterPassword: ${QUICK_LOGIN_MASTER_PASSWORD:-123456}
|
||||
# Host port mapping: pick free ports on existing stage server (80/443 taken by
|
||||
# legacy nginx, 5000/5002/5005 taken by legacy .NET apps).
|
||||
ports:
|
||||
|
|
|
|||
174
deploy/stage-prune-autotest.sql
Normal file
174
deploy/stage-prune-autotest.sql
Normal file
|
|
@ -0,0 +1,174 @@
|
|||
-- deploy/stage-prune-autotest.sql
|
||||
-- Одноразовая зачистка стейджа от автотестового мусора. Пишется как idempotent
|
||||
-- SQL-скрипт — его же логика живёт в HousekeepingJobs.PruneAutoTestEntitiesAsync
|
||||
-- (Hangfire 02:45 UTC daily). Этот файл пригоден для ручного запуска
|
||||
-- (например, на prod-vm через `docker exec food-market-stage-postgres-1 psql
|
||||
-- -U food_market -d food_market -f /tmp/stage-prune-autotest.sql`).
|
||||
--
|
||||
-- Что НЕ трогает:
|
||||
-- * admin@food-market.local (SuperAdmin — OrganizationId IS NULL)
|
||||
-- * admin@demo-market.local
|
||||
-- * market@email.com
|
||||
-- * demo-*@food-market.local (quick-login demo-trio)
|
||||
-- * «Demo Market» и «Демо-магазин» (seeded orgs)
|
||||
--
|
||||
-- Условие удаления: имя орги подходит под регулярку autotest ИЛИ email юзера
|
||||
-- подходит под autotest-патéрн / служебный домен. Для свежих прогонов —
|
||||
-- threshold 3 дня (меняется через psql -v).
|
||||
|
||||
\set threshold_days 3
|
||||
|
||||
DO $do$
|
||||
DECLARE
|
||||
threshold_ts timestamp with time zone := NOW() - INTERVAL '3 days';
|
||||
org_ids uuid[];
|
||||
tbl text;
|
||||
pass int := 0;
|
||||
remaining int;
|
||||
autotest_org_rx text := '[0-9]{10,}' ||
|
||||
'|^quality-|^soak-|^(ui-)?a11y-|^smokeorg[ab]?-|^perfbaseline-|^reg-' ||
|
||||
'|^rt-ratetest-|^probe\s|^cat3[0-9]-|^visual-|^factory-smoke-|^mt6[0-9]-' ||
|
||||
'|^doc4[0-9]-|^auth2[0-9]-|^rep5[0-9]-|^rt8[0-9]-|^wiz9[0-9]-' ||
|
||||
'|^i18n[0-9]+-|^twofa[0-9]+-|^iso[a-z]*[0-9]*-|^mob1[0-9]-|^axdet-' ||
|
||||
'|^load-sales-|^load-|^s19-test-';
|
||||
autotest_user_rx text := '^(cat3[0-9]|visual|mt6[0-9]|factory|doc4[0-9]|auth2[0-9]|rep5[0-9]|rt8[0-9]|wiz9[0-9]|quality|i18n[0-9]+|twofa[0-9]+|a11y|mob1[0-9]|iso|axdet|smoke|ratetest|perf|probe|load|s19-test|admin-[0-9]|cashier-[0-9]|keeper-[0-9]|reg-mt)';
|
||||
autotest_domain_rx text := '(@test-fm\.local|@e\.kz)$';
|
||||
deleted_orgs int;
|
||||
deleted_users int;
|
||||
BEGIN
|
||||
SELECT array_agg("Id") INTO org_ids FROM public.organizations
|
||||
WHERE "Name" <> 'Demo Market'
|
||||
AND "Name" <> 'Демо-магазин'
|
||||
AND "Name" ~* autotest_org_rx
|
||||
AND "CreatedAt" < threshold_ts;
|
||||
|
||||
IF array_length(org_ids, 1) IS NOT NULL THEN
|
||||
RAISE NOTICE 'Нашли % autotest-органов для удаления', array_length(org_ids, 1);
|
||||
|
||||
FOR pass IN 1..10 LOOP
|
||||
remaining := 0;
|
||||
FOR tbl IN
|
||||
SELECT c.table_name
|
||||
FROM information_schema.columns c
|
||||
JOIN information_schema.tables t
|
||||
ON t.table_schema = c.table_schema AND t.table_name = c.table_name
|
||||
WHERE c.table_schema = 'public'
|
||||
AND c.column_name = 'OrganizationId'
|
||||
AND t.table_type = 'BASE TABLE'
|
||||
AND c.table_name NOT IN ('organizations', 'users')
|
||||
LOOP
|
||||
BEGIN
|
||||
EXECUTE format('DELETE FROM public.%I WHERE "OrganizationId" = ANY($1)', tbl) USING org_ids;
|
||||
EXCEPTION WHEN foreign_key_violation THEN
|
||||
remaining := remaining + 1;
|
||||
END;
|
||||
END LOOP;
|
||||
EXIT WHEN remaining = 0;
|
||||
END LOOP;
|
||||
|
||||
DELETE FROM "AspNetUserRoles" WHERE "UserId" IN (
|
||||
SELECT u."Id" FROM public.users u WHERE u."OrganizationId" = ANY(org_ids)
|
||||
);
|
||||
DELETE FROM "AspNetUserTokens" WHERE "UserId" IN (
|
||||
SELECT u."Id" FROM public.users u WHERE u."OrganizationId" = ANY(org_ids)
|
||||
);
|
||||
DELETE FROM "AspNetUserClaims" WHERE "UserId" IN (
|
||||
SELECT u."Id" FROM public.users u WHERE u."OrganizationId" = ANY(org_ids)
|
||||
);
|
||||
DELETE FROM "AspNetUserLogins" WHERE "UserId" IN (
|
||||
SELECT u."Id" FROM public.users u WHERE u."OrganizationId" = ANY(org_ids)
|
||||
);
|
||||
DELETE FROM "OpenIddictTokens" WHERE "Subject" IN (
|
||||
SELECT u."Id"::text FROM public.users u WHERE u."OrganizationId" = ANY(org_ids)
|
||||
);
|
||||
DELETE FROM "OpenIddictAuthorizations" WHERE "Subject" IN (
|
||||
SELECT u."Id"::text FROM public.users u WHERE u."OrganizationId" = ANY(org_ids)
|
||||
);
|
||||
|
||||
GET DIAGNOSTICS deleted_users = ROW_COUNT;
|
||||
DELETE FROM public.users WHERE "OrganizationId" = ANY(org_ids);
|
||||
DELETE FROM public.organizations WHERE "Id" = ANY(org_ids);
|
||||
GET DIAGNOSTICS deleted_orgs = ROW_COUNT;
|
||||
RAISE NOTICE 'Удалено orgs=%, users с org=%', deleted_orgs, deleted_users;
|
||||
ELSE
|
||||
RAISE NOTICE 'Нет autotest-органов старше %', threshold_ts;
|
||||
END IF;
|
||||
|
||||
-- Orphan autotest-юзеры (без tagged org). Исключения — такие же как в
|
||||
-- Hangfire-методе: SuperAdmin, demo-trio, admin@demo-market.local, market@.
|
||||
DELETE FROM "AspNetUserRoles" WHERE "UserId" IN (
|
||||
SELECT u."Id" FROM public.users u
|
||||
WHERE (u."Email" ~* autotest_user_rx OR u."Email" ~* autotest_domain_rx OR u."Email" ~ '[0-9]{10,}')
|
||||
AND u."Email" NOT LIKE 'demo-%@food-market.local'
|
||||
AND u."Email" <> 'admin@food-market.local'
|
||||
AND u."Email" <> 'admin@demo-market.local'
|
||||
AND u."Email" <> 'market@email.com'
|
||||
AND u."OrganizationId" IS NOT NULL
|
||||
AND u."CreatedAt" < threshold_ts
|
||||
);
|
||||
DELETE FROM "AspNetUserTokens" WHERE "UserId" IN (
|
||||
SELECT u."Id" FROM public.users u
|
||||
WHERE (u."Email" ~* autotest_user_rx OR u."Email" ~* autotest_domain_rx OR u."Email" ~ '[0-9]{10,}')
|
||||
AND u."Email" NOT LIKE 'demo-%@food-market.local'
|
||||
AND u."Email" <> 'admin@food-market.local'
|
||||
AND u."Email" <> 'admin@demo-market.local'
|
||||
AND u."Email" <> 'market@email.com'
|
||||
AND u."OrganizationId" IS NOT NULL
|
||||
AND u."CreatedAt" < threshold_ts
|
||||
);
|
||||
DELETE FROM "AspNetUserClaims" WHERE "UserId" IN (
|
||||
SELECT u."Id" FROM public.users u
|
||||
WHERE (u."Email" ~* autotest_user_rx OR u."Email" ~* autotest_domain_rx OR u."Email" ~ '[0-9]{10,}')
|
||||
AND u."Email" NOT LIKE 'demo-%@food-market.local'
|
||||
AND u."Email" <> 'admin@food-market.local'
|
||||
AND u."Email" <> 'admin@demo-market.local'
|
||||
AND u."Email" <> 'market@email.com'
|
||||
AND u."OrganizationId" IS NOT NULL
|
||||
AND u."CreatedAt" < threshold_ts
|
||||
);
|
||||
DELETE FROM "AspNetUserLogins" WHERE "UserId" IN (
|
||||
SELECT u."Id" FROM public.users u
|
||||
WHERE (u."Email" ~* autotest_user_rx OR u."Email" ~* autotest_domain_rx OR u."Email" ~ '[0-9]{10,}')
|
||||
AND u."Email" NOT LIKE 'demo-%@food-market.local'
|
||||
AND u."Email" <> 'admin@food-market.local'
|
||||
AND u."Email" <> 'admin@demo-market.local'
|
||||
AND u."Email" <> 'market@email.com'
|
||||
AND u."OrganizationId" IS NOT NULL
|
||||
AND u."CreatedAt" < threshold_ts
|
||||
);
|
||||
DELETE FROM "OpenIddictTokens" WHERE "Subject" IN (
|
||||
SELECT u."Id"::text FROM public.users u
|
||||
WHERE (u."Email" ~* autotest_user_rx OR u."Email" ~* autotest_domain_rx OR u."Email" ~ '[0-9]{10,}')
|
||||
AND u."Email" NOT LIKE 'demo-%@food-market.local'
|
||||
AND u."Email" <> 'admin@food-market.local'
|
||||
AND u."Email" <> 'admin@demo-market.local'
|
||||
AND u."Email" <> 'market@email.com'
|
||||
AND u."OrganizationId" IS NOT NULL
|
||||
AND u."CreatedAt" < threshold_ts
|
||||
);
|
||||
DELETE FROM "OpenIddictAuthorizations" WHERE "Subject" IN (
|
||||
SELECT u."Id"::text FROM public.users u
|
||||
WHERE (u."Email" ~* autotest_user_rx OR u."Email" ~* autotest_domain_rx OR u."Email" ~ '[0-9]{10,}')
|
||||
AND u."Email" NOT LIKE 'demo-%@food-market.local'
|
||||
AND u."Email" <> 'admin@food-market.local'
|
||||
AND u."Email" <> 'admin@demo-market.local'
|
||||
AND u."Email" <> 'market@email.com'
|
||||
AND u."OrganizationId" IS NOT NULL
|
||||
AND u."CreatedAt" < threshold_ts
|
||||
);
|
||||
DELETE FROM public.users u
|
||||
WHERE (u."Email" ~* autotest_user_rx OR u."Email" ~* autotest_domain_rx OR u."Email" ~ '[0-9]{10,}')
|
||||
AND u."Email" NOT LIKE 'demo-%@food-market.local'
|
||||
AND u."Email" <> 'admin@food-market.local'
|
||||
AND u."Email" <> 'admin@demo-market.local'
|
||||
AND u."Email" <> 'market@email.com'
|
||||
AND u."OrganizationId" IS NOT NULL
|
||||
AND u."CreatedAt" < threshold_ts;
|
||||
GET DIAGNOSTICS deleted_users = ROW_COUNT;
|
||||
RAISE NOTICE 'Удалено orphan autotest-юзеров: %', deleted_users;
|
||||
END $do$;
|
||||
|
||||
-- Итог
|
||||
SELECT 'users_remaining' AS metric, COUNT(*) AS value FROM users
|
||||
UNION ALL
|
||||
SELECT 'orgs_remaining', COUNT(*) FROM organizations;
|
||||
146
docs/quick-login-progress.md
Normal file
146
docs/quick-login-progress.md
Normal file
|
|
@ -0,0 +1,146 @@
|
|||
# Quick Login — прогресс
|
||||
|
||||
Задача владельца: на `test.admin.food-market.kz` не набирать логин/пароль руками.
|
||||
Выбрать аккаунт из списка, пароль у всех один — `123456`. На `admin.food-market.kz`
|
||||
этого нет никогда (несколько независимых предохранителей).
|
||||
|
||||
Координатор отдельно проверил: на стейдже нет реальных секретов (МойСклад
|
||||
токенов нет, ОФД-ключей нет, Telegram не привязан, SMTP пустой) — потому
|
||||
открытый мастер-пароль на стенде безопасен.
|
||||
|
||||
## Чек-лист — все 9/9 ✓
|
||||
|
||||
- [x] 1. **Флаг конфигурации** — `QuickLogin:Enabled` (default false) +
|
||||
`QuickLogin:MasterPassword` (default `123456`). Включается только через
|
||||
env-переменные `QuickLogin__Enabled=true` в stage-compose. Жёсткий
|
||||
предохранитель: если `OpenIddict:Issuer` указывает на admin.food-market.kz —
|
||||
быстрый вход принудительно выключен и в лог Warning.
|
||||
Commit: `1f70d90`.
|
||||
- [x] 2. **Мастер-пароль** — password-grant: `QuickLogin:MasterPassword`
|
||||
работает как второй вход рядом со своим паролем. Неактивные/без-org
|
||||
пользователи — отшиваются как раньше. Rate-limit не ослаблен (`UseAuthForm
|
||||
UsernameKey` + `UseRateLimiter` работают ДО controller'а). Commit: `7647af7`.
|
||||
- [x] 3. **API списка аккаунтов** — `GET /api/dev/quick-login/accounts`
|
||||
(анонимный, 404 если выключен). Порядок: SuperAdmin → демо-* → остальные
|
||||
«человеческие». Autotest-патéрны (cat31-*, visual-*, factory-smoke-*, mt6*,
|
||||
quality-*, i18n*-*, auth2*-*, doc4*-*, rep5*-*, rt8*-*, twofa*-*, wiz9*-*,
|
||||
a11y-*, mob1*-*, isoB*-*, axdet-*, smoke-*, ratetest-*, perf-*, probe-*,
|
||||
load-*, s19-test-* и всё с суффиксом из ≥10 цифр) — скрыты. Лимит 50 + `?q=`.
|
||||
Commit: `ed5089b`.
|
||||
- [x] 4. **Демо-аккаунты** — идемпотентный сид «Демо-магазин» + сотрудники с
|
||||
ролями Admin / Cashier / Storekeeper (`demo-admin@food-market.local`,
|
||||
`demo-cashier@...`, `demo-keeper@...`). Запускается только при Enabled=true.
|
||||
Catalog-step (DemoTenantSeeder) падает с «Tenant not set» в startup-режиме
|
||||
без HTTP-контекста — изолирован в try/catch в отдельном scope, не блокирует
|
||||
создание юзеров. Commits: `35f633e`, `e3a8db3`, `f817abc`.
|
||||
- [x] 5. **Страница входа (web)** — `QuickLoginBlock` над формой логина.
|
||||
Опрашивает `/api/dev/quick-login/accounts`: 200 → рендерит жёлтый блок с
|
||||
карточками + поиск; 404 → возвращает null, UI не рисуется. Клик по карточке →
|
||||
моментальный login через мастер-пароль. Один web-билд ходит и в прод и на
|
||||
стенд. Commit: `6582333`.
|
||||
- [x] 6. **Плашка «ТЕСТОВЫЙ СТЕНД»** — `<StageBanner />` вверху всех страниц
|
||||
при 200 на `/accounts`. Решение кешируется в sessionStorage. Динамически
|
||||
добавляет `<meta name="robots" content="noindex,nofollow">`. Commit: `5728b72`.
|
||||
- [x] 7. **Чистка автотестового мусора** — `HousekeepingJobs.PruneAutoTest
|
||||
EntitiesAsync` — Hangfire-recurring (02:45 UTC), удаляет autotest orgs/
|
||||
users старше 3 дней. `deploy/stage-prune-autotest.sql` — одноразовый
|
||||
SQL-скрипт с той же логикой. Прогнал на stage: было **8653 users / 8634 orgs
|
||||
→ стало 300 users / 305 orgs**. Protected: SuperAdmin, admin@demo-market.local,
|
||||
market@email.com, demo-* trio, «Demo Market», «Демо-магазин». Commit: `c69114f`.
|
||||
- [x] 8. **Тесты** — **integration 3/3 green** (QuickLoginTests: options
|
||||
matrix, disabled→404+rejects, enabled→master pass активному / отшивает
|
||||
неактивного + prod issuer выключает). **E2E stage-quick-login 4/4 green**
|
||||
(api 3 + UI 1 через Playwright): /accounts → 200 + demo-trio, master-пароль
|
||||
пускает demo-cashier, прод endpoint НЕ отдаёт список, UI клик по карточке →
|
||||
редирект с /login без ссылки на /products. Commit: `338877e`.
|
||||
- [x] 9. **Деплой + документация** — stage compose + .env обновлены
|
||||
(`QUICK_LOGIN_ENABLED=true`), `~/deploy-stage.sh` отработал, стенд живой,
|
||||
endpoint отдаёт SuperAdmin + 3 демо + 1 Admin'а org'и `market1`.
|
||||
`docs/quick-login.md` описывает как работает, предохранители, как выключить.
|
||||
Commits: `ee24a5e` (fix прод-host), `e3a8db3`+`f817abc` (safety wrap +
|
||||
scope-split).
|
||||
|
||||
## Финальная проверка — что живо
|
||||
|
||||
```
|
||||
curl https://test.admin.food-market.kz/api/dev/quick-login/accounts
|
||||
```
|
||||
|
||||
Отдаёт 5 аккаунтов:
|
||||
```
|
||||
admin@food-market.local role=SuperAdmin org=Платформа super=true
|
||||
demo-admin@food-market.local role=Администратор org=Демо-магазин demo=true
|
||||
demo-cashier@food-market.local role=Кассир org=Демо-магазин demo=true
|
||||
demo-keeper@food-market.local role=Кладовщик org=Демо-магазин demo=true
|
||||
market@email.com role=Администратор org=market1
|
||||
```
|
||||
|
||||
```
|
||||
curl -X POST .../connect/token password=123456 username=demo-cashier@...
|
||||
→ 200 + access_token; /api/me → role=Cashier
|
||||
```
|
||||
|
||||
```
|
||||
curl https://admin.food-market.kz/api/dev/quick-login/accounts
|
||||
→ 502 (прод-backend остановлен ~2 мес.; главное — не 200, список не экспонируется)
|
||||
```
|
||||
|
||||
**Прод-outage.** `food-market-api` container на prod-vm — `Exited (0) 2 months
|
||||
ago`. Это _пре-существующее состояние_, не связано с моим деплоем. Для
|
||||
quick-login это даже более безопасно, чем 404 (нечего отдать), но admin.food-
|
||||
market.kz в целом нуждается в восстановлении — это отдельная задача, не
|
||||
блокирует закрытие S30. Отмечено в E2E-отчёте как `gap`.
|
||||
|
||||
## Что в коде
|
||||
|
||||
| Что | Где |
|
||||
|---|---|
|
||||
| Опции + safety-override | `src/food-market.api/Infrastructure/QuickLoginOptions.cs` |
|
||||
| Master-password в token-grant | `src/food-market.api/Controllers/AuthorizationController.cs` |
|
||||
| Список аккаунтов | `src/food-market.api/Controllers/QuickLoginController.cs` |
|
||||
| Демо-сид | `src/food-market.api/Seed/QuickLoginDemoSeeder.cs` |
|
||||
| Чистка autotests | `src/food-market.api/Background/HousekeepingJobs.cs` + `deploy/stage-prune-autotest.sql` |
|
||||
| UI блок | `src/food-market.web/src/components/QuickLoginBlock.tsx` |
|
||||
| Плашка стенда | `src/food-market.web/src/components/StageBanner.tsx` |
|
||||
| Integration-тесты (3) | `tests/food-market.IntegrationTests/QuickLoginTests.cs` |
|
||||
| E2E-сценарий (4 шага) | `tests/e2e/scenarios/stage-quick-login.{yml,steps.ts}` |
|
||||
| Инструкция | `docs/quick-login.md` |
|
||||
| Прод-compose шаблон | `deploy/docker-compose.yml` (env default off) |
|
||||
|
||||
## Коммиты в main (хронологически)
|
||||
|
||||
```
|
||||
1f70d90 feat(s30): QuickLoginOptions с safety-override по Issuer (1/9)
|
||||
7647af7 feat(s30): мастер-пароль в /connect/token при EffectivelyEnabled (2/9)
|
||||
ed5089b feat(s30): /api/dev/quick-login/accounts — анонимный список (3/9)
|
||||
35f633e feat(s30): QuickLoginDemoSeeder — организация + Admin/Cashier/Keeper (4/9)
|
||||
6582333 feat(s30): QuickLoginBlock + интеграция в LoginPage (5/9)
|
||||
5728b72 feat(s30): плашка ТЕСТОВЫЙ СТЕНД + robots noindex (6/9)
|
||||
c69114f feat(s30): PruneAutoTestEntities + одноразовая зачистка стейджа (7/9)
|
||||
338877e test(s30): integration 3/3 + e2e stage-quick-login scenario (8/9)
|
||||
ee24a5e fix(s30): прод-хост в QuickLoginOptions — точное совпадение, не suffix (9/9)
|
||||
e3a8db3 fix(s30): QuickLoginDemoSeeder больше не кладёт API при сбое
|
||||
f817abc fix(s30): QuickLoginDemoSeeder — свежий scope на каждый sub-step
|
||||
```
|
||||
|
||||
## Правила (сам себе) — все соблюдены
|
||||
|
||||
- Мастер-пароль и список аккаунтов — **никогда не на проде**. Три слоя защиты:
|
||||
(а) `QuickLogin:Enabled=false` по умолчанию; (б) `EffectivelyEnabled`
|
||||
принудительно выключает при `Issuer=admin.food-market.kz`; (в) пустой/
|
||||
мусорный Issuer — выключен.
|
||||
- После каждого пункта: build + тесты + коммит порцией + `[x]`. ✓
|
||||
- Не трогал: прод admin.food-market.kz (только read-only), `global.json`,
|
||||
POS WPF, gateway nginx. ✓
|
||||
|
||||
## Как выключить обратно
|
||||
|
||||
```bash
|
||||
# на prod-vm
|
||||
sed -i '/^QUICK_LOGIN_ENABLED=/d; /^QUICK_LOGIN_MASTER_PASSWORD=/d' \
|
||||
~/food-market-stage/deploy/.env
|
||||
cd ~/food-market-stage/deploy && docker compose -p food-market-stage up -d --force-recreate api
|
||||
```
|
||||
|
||||
После рестарта `EffectivelyEnabled=false`, endpoint снова 404, master-password
|
||||
не работает, UI-блок исчезает. См. `docs/quick-login.md` для деталей.
|
||||
145
docs/quick-login.md
Normal file
145
docs/quick-login.md
Normal file
|
|
@ -0,0 +1,145 @@
|
|||
# Quick Login — быстрый вход на тестовом стенде
|
||||
|
||||
**Статус:** включено на `https://test.admin.food-market.kz` (стенд).
|
||||
**Прод:** `https://admin.food-market.kz` — выключено, попытки активации
|
||||
принудительно блокируются safety-override'ом в коде.
|
||||
|
||||
Это dev-удобство: на стенде не нужно каждый раз вводить логин+пароль.
|
||||
Выбираешь карточку аккаунта на `/login`, клик — ты внутри.
|
||||
|
||||
## Как это работает
|
||||
|
||||
### Server-side
|
||||
|
||||
Опции в `appsettings.json` / env:
|
||||
|
||||
```yaml
|
||||
QuickLogin:
|
||||
Enabled: false # default — выключено
|
||||
MasterPassword: "123456"
|
||||
```
|
||||
|
||||
Включается через env в stage-compose:
|
||||
|
||||
```
|
||||
QUICK_LOGIN_ENABLED=true
|
||||
QUICK_LOGIN_MASTER_PASSWORD=123456
|
||||
```
|
||||
|
||||
Логика работает в двух местах:
|
||||
|
||||
- **`POST /connect/token` (grant=password)** — при `EffectivelyEnabled=true`
|
||||
пароль `MasterPassword` принимается у ЛЮБОГО активного пользователя наравне
|
||||
с его собственным паролем. Константное сравнение (`CryptographicOperations.
|
||||
FixedTimeEquals`), чтобы не светить длину. Деактивированные (`IsActive=
|
||||
false`) не пускаются ни при каких условиях. `/connect/token` всё так же
|
||||
гонит через rate-limit, 2FA и org-check (архивная org отшивает).
|
||||
|
||||
- **`GET /api/dev/quick-login/accounts`** — анонимный эндпоинт, который
|
||||
возвращает «человеческие» аккаунты для карточек: SuperAdmin → demo-trio →
|
||||
остальные. Автотестовые логины отсеиваются по regex-патéрнам (всё с
|
||||
суффиксом из 10+ цифр или prefix cat31-/visual-/factory-smoke-/mt6*/
|
||||
quality-/...). Поиск `?q=` фильтрует по email/ФИО/роли/магазину.
|
||||
На проде эндпоинт отдаёт 404 — наличие пути не палит окружение.
|
||||
|
||||
### Client-side (SPA)
|
||||
|
||||
- `<QuickLoginBlock />` над формой логина сам опрашивает `/api/dev/quick-
|
||||
login/accounts`. 200 → рендерит жёлтый блок с карточками + поиск. 404 →
|
||||
возвращает `null`, никакого UI не рисует. Клик по карточке → login с
|
||||
`MasterPassword`.
|
||||
- `<StageBanner />` жёлтой полосой сверху всех страниц, когда эндпоинт
|
||||
доступен. При том же сигнале динамически добавляет `<meta name="robots"
|
||||
content="noindex,nofollow">` — чтобы Google не индексировал стенд.
|
||||
|
||||
Один web-билд используется и в проде, и на стенде — секрет на проде не
|
||||
утекает: `/api/dev/quick-login/accounts` там 404, значит блока нет.
|
||||
|
||||
## Безопасность — предохранители
|
||||
|
||||
1. **Enabled=false по умолчанию.** Нужна явная env-переменная, чтобы
|
||||
включить. В прод-compose её нет и не должно быть.
|
||||
2. **Issuer safety-override.** В `QuickLoginOptions.EffectivelyEnabled`:
|
||||
если `OpenIddict:Issuer` указывает на `admin.food-market.kz` (ТОЧНО,
|
||||
без поддоменов), быстрый вход **принудительно выключен**. Это защищает
|
||||
от ошибки конфигурации — поставили `QUICK_LOGIN_ENABLED=true` в
|
||||
прод-env по ошибке, но Issuer остался прод-овым → ничего не включилось,
|
||||
в лог Warning.
|
||||
3. **Пустой или кривой Issuer тоже отбивает.** Не рискуем в неизвестном
|
||||
окружении: если Issuer пустой/мусорный — считаем выключенным.
|
||||
4. **Rate-limit не ослаблен.** Master-password идёт через ту же защиту,
|
||||
что обычный password-grant (`UseAuthFormUsernameKey` + `UseRateLimiter`).
|
||||
5. **Неактивные пользователи не пускаются.** Проверка `IsActive` сверху
|
||||
`/connect/token` — master-password это не обходит.
|
||||
6. **Startup Warning.** Program.cs логирует одно решение на старте:
|
||||
«включён для стенда» или «Enabled=true, но безопасность выключила».
|
||||
В логах прод-инстанса всегда видно, что происходит.
|
||||
|
||||
## Демо-аккаунты
|
||||
|
||||
`QuickLoginDemoSeeder` при старте с `EffectivelyEnabled=true` поднимает:
|
||||
|
||||
- Организацию **«Демо-магазин»** (идемпотентно; отдельная от «Demo Market»
|
||||
из `DevDataSeeder`, чтобы не ломать e2e).
|
||||
- Полный demo-каталог через `DemoTenantSeeder` (50 товаров / 30 продаж /
|
||||
приёмки / контрагенты).
|
||||
- Трио учёток с ролями:
|
||||
- `demo-admin@food-market.local` → `Admin`
|
||||
- `demo-cashier@food-market.local` → `Cashier`
|
||||
- `demo-keeper@food-market.local` → `Storekeeper`
|
||||
|
||||
Собственный пароль у них `Admin12345!` (унаследовано от шаблона), но
|
||||
мастер-пароль `123456` тоже работает.
|
||||
|
||||
## Чистка автотестового мусора
|
||||
|
||||
`HousekeepingJobs.PruneAutoTestEntitiesAsync` — Hangfire-recurring каждый
|
||||
день в 02:45 UTC. Удаляет автотестовые организации (regex-match по имени)
|
||||
и orphan-юзеры по email-паттерну старше 3 дней. Защищены: SuperAdmin,
|
||||
`admin@demo-market.local`, `demo-*@food-market.local`, `market@email.com`,
|
||||
«Demo Market» / «Демо-магазин».
|
||||
|
||||
Единоразовая зачистка той же логикой — `deploy/stage-prune-autotest.sql`.
|
||||
|
||||
## Как выключить обратно
|
||||
|
||||
На стенде:
|
||||
|
||||
```bash
|
||||
# на prod-vm
|
||||
nns@192.168.1.190:$ sed -i '/^QUICK_LOGIN_ENABLED=/d; /^QUICK_LOGIN_MASTER_PASSWORD=/d' \
|
||||
~/food-market-stage/deploy/.env
|
||||
nns@192.168.1.190:$ cd ~/food-market-stage/deploy && docker compose -p food-market-stage up -d --force-recreate api
|
||||
```
|
||||
|
||||
API перестартует, `EffectivelyEnabled` увидит `Enabled=false`, эндпоинт
|
||||
снова 404, master-password не работает. Карточки на `/login` исчезнут —
|
||||
`QuickLoginBlock` увидит 404 и вернёт `null`.
|
||||
|
||||
## Проверить что прод не задет
|
||||
|
||||
```bash
|
||||
curl -s -o /dev/null -w "%{http_code}\n" \
|
||||
https://admin.food-market.kz/api/dev/quick-login/accounts
|
||||
# ожидается: 404
|
||||
```
|
||||
|
||||
Любой другой код (200/403/500) — проблема.
|
||||
|
||||
## Файлы
|
||||
|
||||
| Что | Где |
|
||||
|---|---|
|
||||
| Опции + safety-override | `src/food-market.api/Infrastructure/QuickLoginOptions.cs` |
|
||||
| Master-password в token-grant | `src/food-market.api/Controllers/AuthorizationController.cs` |
|
||||
| Список аккаунтов | `src/food-market.api/Controllers/QuickLoginController.cs` |
|
||||
| Демо-сид | `src/food-market.api/Seed/QuickLoginDemoSeeder.cs` |
|
||||
| Чистка автотестов | `src/food-market.api/Background/HousekeepingJobs.cs` + `deploy/stage-prune-autotest.sql` |
|
||||
| UI блок | `src/food-market.web/src/components/QuickLoginBlock.tsx` |
|
||||
| Плашка стенда | `src/food-market.web/src/components/StageBanner.tsx` |
|
||||
| Integration-тесты | `tests/food-market.IntegrationTests/QuickLoginTests.cs` |
|
||||
| E2E-сценарий | `tests/e2e/scenarios/stage-quick-login.{yml,steps.ts}` |
|
||||
|
||||
## История
|
||||
|
||||
- **2026-10-04 (Sprint 30):** первоначальный ввод на тестовый стенд.
|
||||
|
|
@ -72,6 +72,16 @@ public Task StartAsync(CancellationToken ct)
|
|||
cronExpression: cronQualityOrgs,
|
||||
options: new RecurringJobOptions { TimeZone = TimeZoneInfo.Utc });
|
||||
|
||||
// Sprint 30: широкий cleanup всех autotest-органа/юзеров (e2e, perf,
|
||||
// smoke, a11y, ratetest, mt6*, cat3*, ...). Default 02:45 UTC
|
||||
// (между prune-quality 02:30 и prune-stock 03:30).
|
||||
var cronAutoTest = _cfg["Hangfire:Cron:PruneAutoTestEntities"] ?? "45 2 * * *";
|
||||
_jobs.AddOrUpdate<HousekeepingJobs>(
|
||||
recurringJobId: "prune-autotest-entities",
|
||||
methodCall: j => j.PruneAutoTestEntitiesAsync(CancellationToken.None),
|
||||
cronExpression: cronAutoTest,
|
||||
options: new RecurringJobOptions { TimeZone = TimeZoneInfo.Utc });
|
||||
|
||||
// Sprint 20: weekly VACUUM ANALYZE топ-5 таблиц + ежечасный disk-monitor.
|
||||
var cronVacuum = _cfg["Hangfire:Cron:VacuumTopTables"] ?? "0 4 * * 0"; // Воскресенье 04:00 UTC
|
||||
var cronDisk = _cfg["Hangfire:Cron:DiskMonitor"] ?? "0 * * * *"; // каждый час
|
||||
|
|
|
|||
|
|
@ -254,4 +254,228 @@ SELECT c.table_name
|
|||
ids.Count, minHours);
|
||||
return ids.Count;
|
||||
}
|
||||
|
||||
/// <summary>Sprint 30: расширение cleanup'а на ВСЕ автотестовые орги/юзеры
|
||||
/// (не только <c>quality-*</c>): e2e, perf, smoke, a11y, ratetest, mt6*,
|
||||
/// cat3*, visual-*, factory-smoke-*, auth2*, doc4*, rep5*, rt8*, wiz9*,
|
||||
/// i18n*, twofa*, iso*, mob14*, mob15*, axdet-*, probe-*, load-*,
|
||||
/// s19-test-* и всё с суффиксом из ≥10 цифр.
|
||||
///
|
||||
/// Запускается тем же механизмом (Hangfire recurring) что
|
||||
/// <see cref="PruneQualityTestOrgsAsync"/>. Порог давности
|
||||
/// <c>Cleanup:AutoTestOrgDays</c> (default 3) — чтобы живые e2e-прогоны
|
||||
/// успевали создать-использовать org и завершиться.
|
||||
///
|
||||
/// Защищены от удаления:
|
||||
/// <list type="bullet">
|
||||
/// <item>Demo Market и Демо-магазин (seeded) + любые орги с именем
|
||||
/// ровно <c>Demo Market</c> / <c>Демо-магазин</c>;</item>
|
||||
/// <item>demo-admin@/demo-cashier@/demo-keeper@ юзеры;</item>
|
||||
/// <item>SuperAdmin (без OrganizationId) — не удаляется ни при каких
|
||||
/// условиях (условие OrganizationId IS NOT NULL в юзер-DELETE);</item>
|
||||
/// <item>market@email.com — явное исключение по email.</item>
|
||||
/// </list></summary>
|
||||
public async Task<int> PruneAutoTestEntitiesAsync(CancellationToken ct = default)
|
||||
{
|
||||
var minDays = _cfg.GetValue("Cleanup:AutoTestOrgDays", 3);
|
||||
var threshold = DateTime.UtcNow.AddDays(-minDays);
|
||||
|
||||
// Regex в PG: '~*' = case-insensitive match. Собираем выражение по
|
||||
// «автотестовым» префиксам/признакам, аналогично QuickLoginController.
|
||||
// Условие на имя орги. ВАЖНО: даже «просто цифры в конце» ловит почти
|
||||
// любой e2e-прогон, который суффиксит имя timestamp'ом.
|
||||
const string autoTestOrgRx =
|
||||
@"[0-9]{10,}" + // любой длинный цифровой суффикс
|
||||
@"|^quality-" +
|
||||
@"|^soak-" +
|
||||
@"|^(ui-)?a11y-" +
|
||||
@"|^smokeorg[ab]?-" +
|
||||
@"|^perfbaseline-" +
|
||||
@"|^reg-" +
|
||||
@"|^rt-ratetest-" +
|
||||
@"|^probe\s" + // "Probe Org"
|
||||
@"|^cat3[0-9]-" +
|
||||
@"|^visual-" +
|
||||
@"|^factory-smoke-" +
|
||||
@"|^mt6[0-9]-" +
|
||||
@"|^doc4[0-9]-" +
|
||||
@"|^auth2[0-9]-" +
|
||||
@"|^rep5[0-9]-" +
|
||||
@"|^rt8[0-9]-" +
|
||||
@"|^wiz9[0-9]-" +
|
||||
@"|^i18n[0-9]+-" +
|
||||
@"|^twofa[0-9]+-" +
|
||||
@"|^iso[a-z]*[0-9]*-" +
|
||||
@"|^mob1[0-9]-" +
|
||||
@"|^axdet-" +
|
||||
@"|^load-sales-" +
|
||||
@"|^load-" +
|
||||
@"|^s19-test-";
|
||||
|
||||
// SqlQueryRaw<Guid> — удобный способ вытащить только Id без mapping'а
|
||||
// к entity. Параметры через FormattableString небезопасно соединять
|
||||
// (regex из конфига → потенциальный inject), поэтому используем Npgsql-
|
||||
// параметры напрямую.
|
||||
var orgIdSql = @"
|
||||
SELECT ""Id"" FROM public.organizations
|
||||
WHERE ""Name"" <> 'Demo Market'
|
||||
AND ""Name"" <> 'Демо-магазин'
|
||||
AND ""Name"" ~* @rx
|
||||
AND ""CreatedAt"" < @thr
|
||||
LIMIT 20000";
|
||||
var ids = await _db.Database.SqlQueryRaw<Guid>(orgIdSql,
|
||||
new Npgsql.NpgsqlParameter("@rx", autoTestOrgRx),
|
||||
new Npgsql.NpgsqlParameter("@thr", threshold))
|
||||
.ToListAsync(ct);
|
||||
|
||||
if (ids.Count == 0)
|
||||
{
|
||||
_log.LogInformation("Hangfire/PruneAutoTestEntities: нет org-кандидатов старше {Days}д", minDays);
|
||||
// Юзеры без org (orphan-autotest) всё равно могут остаться — обрабатываем ниже.
|
||||
}
|
||||
|
||||
// Тот же трюк с итеративным DELETE по information_schema, что в
|
||||
// PruneQualityTestOrgsAsync. Юзеры дополнительно вычищаются по
|
||||
// регулярке email'а (широкий set autotest-паттернов).
|
||||
var sql = $@"
|
||||
DO $do$
|
||||
DECLARE
|
||||
org_ids uuid[] := ARRAY[{(ids.Count == 0 ? "NULL::uuid" : string.Join(",", ids.Select(i => $"'{i}'::uuid")))}];
|
||||
tbl text;
|
||||
pass int := 0;
|
||||
remaining int;
|
||||
autotest_user_rx text := '^(cat3[0-9]|visual|mt6[0-9]|factory|doc4[0-9]|auth2[0-9]|rep5[0-9]|rt8[0-9]|wiz9[0-9]|quality|i18n[0-9]+|twofa[0-9]+|a11y|mob1[0-9]|iso|axdet|smoke|ratetest|perf|probe|load|s19-test|admin-[0-9]|cashier-[0-9]|keeper-[0-9]|reg-mt)';
|
||||
autotest_domain_rx text := '(@test-fm\.local|@e\.kz)$';
|
||||
threshold_ts timestamp with time zone := '{threshold:O}'::timestamp with time zone;
|
||||
BEGIN
|
||||
IF array_length(org_ids, 1) IS NOT NULL AND org_ids[1] IS NOT NULL THEN
|
||||
-- 1. Итеративная очистка tenant-таблиц.
|
||||
FOR pass IN 1..10 LOOP
|
||||
remaining := 0;
|
||||
FOR tbl IN
|
||||
SELECT c.table_name
|
||||
FROM information_schema.columns c
|
||||
JOIN information_schema.tables t
|
||||
ON t.table_schema = c.table_schema AND t.table_name = c.table_name
|
||||
WHERE c.table_schema = 'public'
|
||||
AND c.column_name = 'OrganizationId'
|
||||
AND t.table_type = 'BASE TABLE'
|
||||
AND c.table_name NOT IN ('organizations', 'users')
|
||||
LOOP
|
||||
BEGIN
|
||||
EXECUTE format('DELETE FROM public.%I WHERE ""OrganizationId"" = ANY($1)', tbl) USING org_ids;
|
||||
EXCEPTION WHEN foreign_key_violation THEN
|
||||
remaining := remaining + 1;
|
||||
END;
|
||||
END LOOP;
|
||||
EXIT WHEN remaining = 0;
|
||||
END LOOP;
|
||||
|
||||
-- 2. AspNet* / OpenIddict для юзеров этих org.
|
||||
DELETE FROM ""AspNetUserRoles"" WHERE ""UserId"" IN (
|
||||
SELECT u.""Id"" FROM public.users u WHERE u.""OrganizationId"" = ANY(org_ids)
|
||||
);
|
||||
DELETE FROM ""AspNetUserTokens"" WHERE ""UserId"" IN (
|
||||
SELECT u.""Id"" FROM public.users u WHERE u.""OrganizationId"" = ANY(org_ids)
|
||||
);
|
||||
DELETE FROM ""AspNetUserClaims"" WHERE ""UserId"" IN (
|
||||
SELECT u.""Id"" FROM public.users u WHERE u.""OrganizationId"" = ANY(org_ids)
|
||||
);
|
||||
DELETE FROM ""AspNetUserLogins"" WHERE ""UserId"" IN (
|
||||
SELECT u.""Id"" FROM public.users u WHERE u.""OrganizationId"" = ANY(org_ids)
|
||||
);
|
||||
DELETE FROM ""OpenIddictTokens"" WHERE ""Subject"" IN (
|
||||
SELECT u.""Id""::text FROM public.users u WHERE u.""OrganizationId"" = ANY(org_ids)
|
||||
);
|
||||
DELETE FROM ""OpenIddictAuthorizations"" WHERE ""Subject"" IN (
|
||||
SELECT u.""Id""::text FROM public.users u WHERE u.""OrganizationId"" = ANY(org_ids)
|
||||
);
|
||||
|
||||
-- 3. Юзеры этих org.
|
||||
DELETE FROM public.users WHERE ""OrganizationId"" = ANY(org_ids);
|
||||
|
||||
-- 4. Сами organizations.
|
||||
DELETE FROM public.organizations WHERE ""Id"" = ANY(org_ids);
|
||||
END IF;
|
||||
|
||||
-- 5. Orphan-юзеры: autotest-паттерн email + не SuperAdmin (OrganizationId
|
||||
-- IS NOT NULL) + не demo-* + не market@email.com + создан раньше threshold.
|
||||
-- Эти юзеры могут остаться когда org уже удалена, но AspNetUserRoles —
|
||||
-- нет (если был cascade NOT), либо если тест не создал org вообще.
|
||||
DELETE FROM ""AspNetUserRoles"" WHERE ""UserId"" IN (
|
||||
SELECT u.""Id"" FROM public.users u
|
||||
WHERE (u.""Email"" ~* autotest_user_rx OR u.""Email"" ~* autotest_domain_rx OR u.""Email"" ~ '[0-9]{{10,}}')
|
||||
AND u.""Email"" NOT LIKE 'demo-%@food-market.local'
|
||||
AND u.""Email"" <> 'admin@food-market.local'
|
||||
AND u.""Email"" <> 'admin@demo-market.local'
|
||||
AND u.""Email"" <> 'market@email.com'
|
||||
AND u.""OrganizationId"" IS NOT NULL
|
||||
AND u.""CreatedAt"" < threshold_ts
|
||||
);
|
||||
DELETE FROM ""AspNetUserTokens"" WHERE ""UserId"" IN (
|
||||
SELECT u.""Id"" FROM public.users u
|
||||
WHERE (u.""Email"" ~* autotest_user_rx OR u.""Email"" ~* autotest_domain_rx OR u.""Email"" ~ '[0-9]{{10,}}')
|
||||
AND u.""Email"" NOT LIKE 'demo-%@food-market.local'
|
||||
AND u.""Email"" <> 'admin@food-market.local'
|
||||
AND u.""Email"" <> 'admin@demo-market.local'
|
||||
AND u.""Email"" <> 'market@email.com'
|
||||
AND u.""OrganizationId"" IS NOT NULL
|
||||
AND u.""CreatedAt"" < threshold_ts
|
||||
);
|
||||
DELETE FROM ""AspNetUserClaims"" WHERE ""UserId"" IN (
|
||||
SELECT u.""Id"" FROM public.users u
|
||||
WHERE (u.""Email"" ~* autotest_user_rx OR u.""Email"" ~* autotest_domain_rx OR u.""Email"" ~ '[0-9]{{10,}}')
|
||||
AND u.""Email"" NOT LIKE 'demo-%@food-market.local'
|
||||
AND u.""Email"" <> 'admin@food-market.local'
|
||||
AND u.""Email"" <> 'admin@demo-market.local'
|
||||
AND u.""Email"" <> 'market@email.com'
|
||||
AND u.""OrganizationId"" IS NOT NULL
|
||||
AND u.""CreatedAt"" < threshold_ts
|
||||
);
|
||||
DELETE FROM ""AspNetUserLogins"" WHERE ""UserId"" IN (
|
||||
SELECT u.""Id"" FROM public.users u
|
||||
WHERE (u.""Email"" ~* autotest_user_rx OR u.""Email"" ~* autotest_domain_rx OR u.""Email"" ~ '[0-9]{{10,}}')
|
||||
AND u.""Email"" NOT LIKE 'demo-%@food-market.local'
|
||||
AND u.""Email"" <> 'admin@food-market.local'
|
||||
AND u.""Email"" <> 'admin@demo-market.local'
|
||||
AND u.""Email"" <> 'market@email.com'
|
||||
AND u.""OrganizationId"" IS NOT NULL
|
||||
AND u.""CreatedAt"" < threshold_ts
|
||||
);
|
||||
DELETE FROM ""OpenIddictTokens"" WHERE ""Subject"" IN (
|
||||
SELECT u.""Id""::text FROM public.users u
|
||||
WHERE (u.""Email"" ~* autotest_user_rx OR u.""Email"" ~* autotest_domain_rx OR u.""Email"" ~ '[0-9]{{10,}}')
|
||||
AND u.""Email"" NOT LIKE 'demo-%@food-market.local'
|
||||
AND u.""Email"" <> 'admin@food-market.local'
|
||||
AND u.""Email"" <> 'admin@demo-market.local'
|
||||
AND u.""Email"" <> 'market@email.com'
|
||||
AND u.""OrganizationId"" IS NOT NULL
|
||||
AND u.""CreatedAt"" < threshold_ts
|
||||
);
|
||||
DELETE FROM ""OpenIddictAuthorizations"" WHERE ""Subject"" IN (
|
||||
SELECT u.""Id""::text FROM public.users u
|
||||
WHERE (u.""Email"" ~* autotest_user_rx OR u.""Email"" ~* autotest_domain_rx OR u.""Email"" ~ '[0-9]{{10,}}')
|
||||
AND u.""Email"" NOT LIKE 'demo-%@food-market.local'
|
||||
AND u.""Email"" <> 'admin@food-market.local'
|
||||
AND u.""Email"" <> 'admin@demo-market.local'
|
||||
AND u.""Email"" <> 'market@email.com'
|
||||
AND u.""OrganizationId"" IS NOT NULL
|
||||
AND u.""CreatedAt"" < threshold_ts
|
||||
);
|
||||
DELETE FROM public.users u
|
||||
WHERE (u.""Email"" ~* autotest_user_rx OR u.""Email"" ~* autotest_domain_rx OR u.""Email"" ~ '[0-9]{{10,}}')
|
||||
AND u.""Email"" NOT LIKE 'demo-%@food-market.local'
|
||||
AND u.""Email"" <> 'admin@food-market.local'
|
||||
AND u.""Email"" <> 'admin@demo-market.local'
|
||||
AND u.""Email"" <> 'market@email.com'
|
||||
AND u.""OrganizationId"" IS NOT NULL
|
||||
AND u.""CreatedAt"" < threshold_ts;
|
||||
END $do$;
|
||||
";
|
||||
|
||||
await _db.Database.ExecuteSqlRawAsync(sql, ct);
|
||||
_log.LogInformation("Hangfire/PruneAutoTestEntities: удалено {Count} org (старше {Days}д) + orphan autotest-юзеры",
|
||||
ids.Count, minDays);
|
||||
return ids.Count;
|
||||
}
|
||||
}
|
||||
|
|
|
|||
|
|
@ -1,5 +1,6 @@
|
|||
using System.Collections.Immutable;
|
||||
using System.Security.Claims;
|
||||
using foodmarket.Api.Infrastructure;
|
||||
using foodmarket.Api.Infrastructure.Tenancy;
|
||||
using foodmarket.Infrastructure.Identity;
|
||||
using foodmarket.Infrastructure.Persistence;
|
||||
|
|
@ -8,6 +9,7 @@
|
|||
using Microsoft.AspNetCore.Identity;
|
||||
using Microsoft.AspNetCore.Mvc;
|
||||
using Microsoft.EntityFrameworkCore;
|
||||
using Microsoft.Extensions.Options;
|
||||
using OpenIddict.Abstractions;
|
||||
using OpenIddict.Server.AspNetCore;
|
||||
using static OpenIddict.Abstractions.OpenIddictConstants;
|
||||
|
|
@ -20,12 +22,24 @@ public class AuthorizationController : ControllerBase
|
|||
private readonly SignInManager<User> _signInManager;
|
||||
private readonly UserManager<User> _userManager;
|
||||
private readonly AppDbContext _db;
|
||||
private readonly QuickLoginOptions _quickLogin;
|
||||
private readonly string? _issuer;
|
||||
private readonly ILogger<AuthorizationController> _log;
|
||||
|
||||
public AuthorizationController(SignInManager<User> signInManager, UserManager<User> userManager, AppDbContext db)
|
||||
public AuthorizationController(
|
||||
SignInManager<User> signInManager,
|
||||
UserManager<User> userManager,
|
||||
AppDbContext db,
|
||||
IOptions<QuickLoginOptions> quickLogin,
|
||||
IConfiguration cfg,
|
||||
ILogger<AuthorizationController> log)
|
||||
{
|
||||
_signInManager = signInManager;
|
||||
_userManager = userManager;
|
||||
_db = db;
|
||||
_quickLogin = quickLogin.Value;
|
||||
_issuer = cfg["OpenIddict:Issuer"];
|
||||
_log = log;
|
||||
}
|
||||
|
||||
[HttpPost("~/connect/token"), Produces("application/json")]
|
||||
|
|
@ -44,9 +58,25 @@ public async Task<IActionResult> Exchange()
|
|||
|
||||
var result = await _signInManager.CheckPasswordSignInAsync(user, request.Password!, true);
|
||||
if (!result.Succeeded)
|
||||
{
|
||||
// Sprint 30: мастер-пароль «быстрого входа» на тестовом стенде.
|
||||
// Срабатывает ТОЛЬКО если QuickLogin:Enabled=true И Issuer не прод.
|
||||
// Сравнение через FixedTimeEquals — чтобы не светить длину по времени.
|
||||
// Rate-limit в UseAuthFormUsernameKey + UseRateLimiter в Program.cs
|
||||
// уже отработал ДО нас, этот путь ничего не ослабляет.
|
||||
if (_quickLogin.EffectivelyEnabled(_issuer, out _)
|
||||
&& IsMasterPassword(request.Password))
|
||||
{
|
||||
_log.LogWarning("QuickLogin: мастер-пароль использован для {User} — только для стенда", user.UserName);
|
||||
// Пропускаем Identity-lockout апдейт: это не настоящий mismatched
|
||||
// password и не brute-force (rate-limit выше уже страхует). Просто
|
||||
// идём дальше по обычному пути (2FA, org-check, principal).
|
||||
}
|
||||
else
|
||||
{
|
||||
return BadRequestError(Errors.InvalidGrant, "Неверный логин или пароль.");
|
||||
}
|
||||
}
|
||||
|
||||
// 2FA: если у юзера включён TOTP, требуем otp_code в запросе
|
||||
// (custom parameter, OpenIddict передаёт его через request['otp_code']).
|
||||
|
|
@ -174,6 +204,19 @@ or HttpContextTenantContext.OrganizationClaim
|
|||
[Parameters.Error] = error,
|
||||
[Parameters.ErrorDescription] = description
|
||||
});
|
||||
|
||||
/// <summary>Константное сравнение пароля с мастер-ключом. Пустой пароль
|
||||
/// и пустой мастер-ключ отфутболиваются ДО FixedTimeEquals, чтобы случайно
|
||||
/// не пустить любого, кто прислал "" в деконфигурированном окружении.</summary>
|
||||
private bool IsMasterPassword(string? supplied)
|
||||
{
|
||||
if (string.IsNullOrEmpty(supplied)) return false;
|
||||
if (string.IsNullOrEmpty(_quickLogin.MasterPassword)) return false;
|
||||
var a = System.Text.Encoding.UTF8.GetBytes(supplied);
|
||||
var b = System.Text.Encoding.UTF8.GetBytes(_quickLogin.MasterPassword);
|
||||
if (a.Length != b.Length) return false;
|
||||
return System.Security.Cryptography.CryptographicOperations.FixedTimeEquals(a, b);
|
||||
}
|
||||
}
|
||||
|
||||
internal static class TokenValidationParameters
|
||||
|
|
|
|||
184
src/food-market.api/Controllers/QuickLoginController.cs
Normal file
184
src/food-market.api/Controllers/QuickLoginController.cs
Normal file
|
|
@ -0,0 +1,184 @@
|
|||
using foodmarket.Api.Infrastructure;
|
||||
using foodmarket.Infrastructure.Identity;
|
||||
using foodmarket.Infrastructure.Persistence;
|
||||
using Microsoft.AspNetCore.Authorization;
|
||||
using Microsoft.AspNetCore.Identity;
|
||||
using Microsoft.AspNetCore.Mvc;
|
||||
using Microsoft.EntityFrameworkCore;
|
||||
using Microsoft.Extensions.Options;
|
||||
|
||||
namespace foodmarket.Api.Controllers;
|
||||
|
||||
/// <summary>Dev-only список аккаунтов для «быстрого входа» на тестовом стенде.
|
||||
/// Анонимный, но доступен ТОЛЬКО когда <see cref="QuickLoginOptions.EffectivelyEnabled"/>
|
||||
/// = true. В проде отдаёт 404 — ни отфильтрованных, ни пустых ответов, чтобы
|
||||
/// по наличию эндпоинта нельзя было вычислить среду.
|
||||
///
|
||||
/// Что отдаём: активных «человеческих» пользователей — SuperAdmin, затем
|
||||
/// demo-* (seeded), затем остальные. Автотестовые (с числовым суффиксом или
|
||||
/// служебным префиксом) отсеиваются по шаблонам из <see cref="AutoTestPatterns"/>.</summary>
|
||||
[ApiController]
|
||||
[AllowAnonymous]
|
||||
[Route("api/dev/quick-login")]
|
||||
public class QuickLoginController : ControllerBase
|
||||
{
|
||||
private readonly AppDbContext _db;
|
||||
private readonly UserManager<User> _userManager;
|
||||
private readonly QuickLoginOptions _opts;
|
||||
private readonly string? _issuer;
|
||||
|
||||
public QuickLoginController(
|
||||
AppDbContext db,
|
||||
UserManager<User> userManager,
|
||||
IOptions<QuickLoginOptions> opts,
|
||||
IConfiguration cfg)
|
||||
{
|
||||
_db = db;
|
||||
_userManager = userManager;
|
||||
_opts = opts.Value;
|
||||
_issuer = cfg["OpenIddict:Issuer"];
|
||||
}
|
||||
|
||||
public record QuickLoginAccount(
|
||||
string Email,
|
||||
string FullName,
|
||||
string? Role,
|
||||
string? OrganizationName,
|
||||
bool IsSuperAdmin,
|
||||
bool IsDemo);
|
||||
|
||||
/// <summary>Шаблоны логинов, которые считаем автотестовыми и не показываем
|
||||
/// в списке. Проверка — case-insensitive, по началу email'а.</summary>
|
||||
private static readonly string[] AutoTestPatterns =
|
||||
{
|
||||
"cat31-", "cat32-", "cat33-", "cat34-", "cat35-",
|
||||
"visual-", "factory-smoke-", "factory-",
|
||||
"mt61-", "mt62-", "mt63-",
|
||||
"doc41-", "doc42-", "doc43-", "doc44-", "doc45-", "doc46-", "doc47-", "doc48-",
|
||||
"auth21-", "auth22-", "auth23-", "auth24-",
|
||||
"rep51-", "rep52-", "rep53-", "rep54-",
|
||||
"rt81-", "rt82-", "rt83-", "rt84-",
|
||||
"wiz91-", "wiz92-", "wiz93-", "wiz94-", "wiz95-", "wiz-",
|
||||
"quality-", "i18n71-", "i18n72-", "twofa73-",
|
||||
"a11y-", "mob14", "mob15", "iso",
|
||||
"axdet-", "smoke-", "ratetest-", "perf-", "probe-",
|
||||
"load-sales-", "load-", "s19-test-",
|
||||
"admin-", "cashier-", "keeper-", // seeded test triples по id
|
||||
};
|
||||
|
||||
/// <summary>Email-домены, которые считаем «служебными» для автотестов.
|
||||
/// На стенде реальные юзеры создаются только с @food-market.local и
|
||||
/// @demo-market.local, остальное — автоматика.</summary>
|
||||
private static readonly string[] AutoTestDomains =
|
||||
{
|
||||
"@e.kz", // короткие diagnostic-probes (dn29418@e.kz и т.п.)
|
||||
"@test-fm.local", // quality-watchdog
|
||||
};
|
||||
|
||||
[HttpGet("accounts")]
|
||||
public async Task<IActionResult> GetAccounts([FromQuery] string? q, CancellationToken ct = default)
|
||||
{
|
||||
if (!_opts.EffectivelyEnabled(_issuer, out _))
|
||||
{
|
||||
// 404 — не 403: наличие эндпоинта не должно palятся в проде. По
|
||||
// шаблону Admin-only эндпоинтов, где отключение = скрытие.
|
||||
return NotFound();
|
||||
}
|
||||
|
||||
// Активные + с org (SuperAdmin — без org). IsActive=false не пускаем,
|
||||
// как и в password-grant: быстрый вход для «уволенного» = бессмыслица.
|
||||
var users = await _db.Users
|
||||
.IgnoreQueryFilters()
|
||||
.Where(u => u.IsActive)
|
||||
.Select(u => new
|
||||
{
|
||||
u.Id,
|
||||
u.UserName,
|
||||
u.Email,
|
||||
u.FullName,
|
||||
u.OrganizationId,
|
||||
OrgName = u.OrganizationId == null
|
||||
? null
|
||||
: _db.Organizations.IgnoreQueryFilters()
|
||||
.Where(o => o.Id == u.OrganizationId && !o.IsArchived)
|
||||
.Select(o => o.Name).FirstOrDefault(),
|
||||
// Роль в organization — через Employee.RoleId → EmployeeRole.Name.
|
||||
// Берём первую активную (у юзера обычно одна Employee-запись).
|
||||
RoleName = _db.Employees.IgnoreQueryFilters()
|
||||
.Where(e => e.UserId == u.Id && e.IsActive && !e.IsDeleted)
|
||||
.Select(e => e.Role.Name)
|
||||
.FirstOrDefault(),
|
||||
})
|
||||
.ToListAsync(ct);
|
||||
|
||||
// ASP.NET Identity role: SuperAdmin не живёт в Employee, а в AspNetUserRoles.
|
||||
// Делаем отдельный проход — JOIN через UserManager, не EF-рефлексией.
|
||||
var superAdminUserIds = (await _userManager.GetUsersInRoleAsync(SystemRoles.SuperAdmin))
|
||||
.Select(u => u.Id)
|
||||
.ToHashSet();
|
||||
|
||||
var result = users
|
||||
.Where(u => !IsAutoTest(u.Email ?? u.UserName ?? ""))
|
||||
// SuperAdmin и demo-* остаются даже без OrgName (SuperAdmin без org'и).
|
||||
.Select(u =>
|
||||
{
|
||||
var isSa = superAdminUserIds.Contains(u.Id);
|
||||
var isDemo = IsDemoAccount(u.Email ?? u.UserName ?? "");
|
||||
string? role = isSa ? "SuperAdmin" : (u.RoleName ?? null);
|
||||
return new QuickLoginAccount(
|
||||
Email: u.Email ?? u.UserName ?? "",
|
||||
FullName: string.IsNullOrWhiteSpace(u.FullName) ? (u.Email ?? "") : u.FullName,
|
||||
Role: role,
|
||||
OrganizationName: isSa ? "Платформа" : u.OrgName,
|
||||
IsSuperAdmin: isSa,
|
||||
IsDemo: isDemo);
|
||||
})
|
||||
.Where(a =>
|
||||
{
|
||||
if (string.IsNullOrWhiteSpace(q)) return true;
|
||||
var needle = q.Trim().ToLowerInvariant();
|
||||
return a.Email.ToLowerInvariant().Contains(needle)
|
||||
|| (a.FullName ?? "").ToLowerInvariant().Contains(needle)
|
||||
|| (a.OrganizationName ?? "").ToLowerInvariant().Contains(needle)
|
||||
|| (a.Role ?? "").ToLowerInvariant().Contains(needle);
|
||||
})
|
||||
// Порядок: SuperAdmin → demo → остальные (по email для стабильности).
|
||||
.OrderByDescending(a => a.IsSuperAdmin)
|
||||
.ThenByDescending(a => a.IsDemo)
|
||||
.ThenBy(a => a.Email)
|
||||
.Take(50)
|
||||
.ToList();
|
||||
|
||||
return Ok(result);
|
||||
}
|
||||
|
||||
/// <summary>Автотестовые юзеры: длинный числовой суффикс (10+ цифр подряд)
|
||||
/// или email начинается с одного из <see cref="AutoTestPatterns"/>.
|
||||
/// Исключения — <c>demo-admin@...</c>/<c>demo-cashier@...</c>/<c>demo-keeper@...</c>
|
||||
/// обрабатываются <see cref="IsDemoAccount"/>, они НЕ matchат ни один из
|
||||
/// autotest-префиксов (нет "admin-", только "demo-admin@").</summary>
|
||||
private static bool IsAutoTest(string email)
|
||||
{
|
||||
if (string.IsNullOrEmpty(email)) return true;
|
||||
var lower = email.ToLowerInvariant();
|
||||
|
||||
// Длинный числовой суффикс (миллисекундный timestamp 13 цифр, или 10+ цифр
|
||||
// в середине). Любой email вида что-то-1780849101465@... считаем автотестом.
|
||||
var m = System.Text.RegularExpressions.Regex.Match(lower, "[0-9]{10,}");
|
||||
if (m.Success) return true;
|
||||
|
||||
foreach (var p in AutoTestPatterns)
|
||||
{
|
||||
if (lower.StartsWith(p)) return true;
|
||||
}
|
||||
foreach (var d in AutoTestDomains)
|
||||
{
|
||||
if (lower.EndsWith(d)) return true;
|
||||
}
|
||||
return false;
|
||||
}
|
||||
|
||||
private static bool IsDemoAccount(string email) =>
|
||||
email.StartsWith("demo-", StringComparison.OrdinalIgnoreCase)
|
||||
&& email.Contains("@food-market.local", StringComparison.OrdinalIgnoreCase);
|
||||
}
|
||||
86
src/food-market.api/Infrastructure/QuickLoginOptions.cs
Normal file
86
src/food-market.api/Infrastructure/QuickLoginOptions.cs
Normal file
|
|
@ -0,0 +1,86 @@
|
|||
namespace foodmarket.Api.Infrastructure;
|
||||
|
||||
/// <summary>Опции «быстрого входа» на тестовом стенде. По умолчанию выключен.
|
||||
/// Включается ТОЛЬКО переменной окружения <c>QuickLogin__Enabled=true</c>
|
||||
/// в stage-compose. В прод-compose этой переменной нет — флаг остаётся
|
||||
/// в false и ни эндпоинт списка аккаунтов, ни «мастер-пароль» не включаются.
|
||||
///
|
||||
/// Жёсткий предохранитель <see cref="EffectivelyEnabled"/>: даже если флаг
|
||||
/// случайно пробросили в прод, но <c>OpenIddict:Issuer</c> указывает на
|
||||
/// admin.food-market.kz — быстрый вход всё равно выключен. Это защищает от
|
||||
/// ошибок конфигурации (ошибочный set-env на prod-env) — конфиг-опечатка
|
||||
/// не должна открыть прод.</summary>
|
||||
public sealed class QuickLoginOptions
|
||||
{
|
||||
/// <summary>Главный флаг. При false любой код, относящийся к quick-login,
|
||||
/// должен вести себя как в проде (эндпоинт 404, мастер-пароль не работает,
|
||||
/// плашка не рендерится).</summary>
|
||||
public bool Enabled { get; set; } = false;
|
||||
|
||||
/// <summary>Единый пароль-ключ для стенда. При включённом флаге подходит
|
||||
/// к ЛЮБОМУ активному аккаунту в <c>/connect/token</c> grant=password.
|
||||
/// Собственный пароль пользователя тоже продолжает работать (чтобы не
|
||||
/// ломать e2e, seeded admin и т.д.).</summary>
|
||||
public string MasterPassword { get; set; } = "123456";
|
||||
|
||||
/// <summary>Эффективный флаг с учётом safety-override по Issuer. Используй
|
||||
/// везде, где решается «пускать мастер-пароль / отдавать список». Чтение
|
||||
/// сравнивает Issuer с prod-доменом admin.food-market.kz — если совпадает
|
||||
/// (или Issuer пустой), быстрый вход считается выключенным и в лог
|
||||
/// пишется Warning один раз на старте через <see cref="LogSafetyDecision"/>.</summary>
|
||||
public bool EffectivelyEnabled(string? issuer, out string reason)
|
||||
{
|
||||
if (!Enabled)
|
||||
{
|
||||
reason = "QuickLogin:Enabled=false";
|
||||
return false;
|
||||
}
|
||||
|
||||
// Issuer обязателен — если его нет, не рискуем: dev/stage без явного
|
||||
// Issuer не должны открывать мастер-пароль, иначе любое неверно
|
||||
// настроенное окружение превращается в стенд.
|
||||
if (string.IsNullOrWhiteSpace(issuer))
|
||||
{
|
||||
reason = "OpenIddict:Issuer пустой — не могу подтвердить, что это стенд";
|
||||
return false;
|
||||
}
|
||||
|
||||
// Прод-домен в lower-case: Uri сам нормализует хост, но подстрахуем.
|
||||
if (!Uri.TryCreate(issuer, UriKind.Absolute, out var uri))
|
||||
{
|
||||
reason = $"OpenIddict:Issuer '{issuer}' не парсится как Uri";
|
||||
return false;
|
||||
}
|
||||
var host = uri.Host.ToLowerInvariant();
|
||||
// ТОЛЬКО точное совпадение с прод-хостом. Любой поддомен (test.admin.*,
|
||||
// dev.admin.*) — это стенд, его трогать не надо. Если в будущем
|
||||
// появится второй прод-хост, сюда дописывается новое условие.
|
||||
if (host == "admin.food-market.kz")
|
||||
{
|
||||
reason = $"OpenIddict:Issuer host={host} — это ПРОД, быстрый вход принудительно выключен";
|
||||
return false;
|
||||
}
|
||||
|
||||
reason = $"OpenIddict:Issuer host={host} — стенд, быстрый вход включён";
|
||||
return true;
|
||||
}
|
||||
|
||||
/// <summary>Одноразовый лог при старте приложения. Пишется в лог, чтобы
|
||||
/// в проде всегда было видно: «флаг пришёл, но Issuer=prod, выключили».
|
||||
/// Вызывается из Program.cs после Build().</summary>
|
||||
public void LogSafetyDecision(ILogger logger, string? issuer)
|
||||
{
|
||||
var effective = EffectivelyEnabled(issuer, out var reason);
|
||||
if (effective)
|
||||
{
|
||||
logger.LogWarning("QuickLogin включён для стенда: {Reason}. " +
|
||||
"Это норма для test.admin.food-market.kz. В проде должно быть выключено.", reason);
|
||||
}
|
||||
else if (Enabled)
|
||||
{
|
||||
// Enabled=true, но effective=false — явный safety-переключатель. Это серьёзно.
|
||||
logger.LogWarning("QuickLogin:Enabled=true, но быстрый вход НЕ активирован. {Reason}", reason);
|
||||
}
|
||||
// Если Enabled=false — молчим, это обычный прод.
|
||||
}
|
||||
}
|
||||
|
|
@ -38,6 +38,11 @@
|
|||
builder.Services.AddHttpContextAccessor();
|
||||
builder.Services.AddScoped<ITenantContext, HttpContextTenantContext>();
|
||||
|
||||
// Sprint 30: «быстрый вход» на тестовом стенде. Dev-only флаг, выключен
|
||||
// по умолчанию, с safety-override по Issuer (см. QuickLoginOptions).
|
||||
builder.Services.Configure<foodmarket.Api.Infrastructure.QuickLoginOptions>(
|
||||
builder.Configuration.GetSection("QuickLogin"));
|
||||
|
||||
// Sprint 20 / TD-3: Mapster config — singleton TypeAdapterConfig.
|
||||
// Используется в контроллерах через ProjectToType<TDto>(MapsterConfig.Config)
|
||||
// для SQL-friendly проекций. IMapper в DI не регистрируем, потому что
|
||||
|
|
@ -446,6 +451,9 @@ [new Microsoft.OpenApi.Models.OpenApiSecurityScheme
|
|||
builder.Services.AddHostedService<DevDataSeeder>();
|
||||
// Демо-сидер для stage'a (триггерится через POST /api/admin/seed-demo).
|
||||
builder.Services.AddScoped<foodmarket.Api.Seed.DemoTenantSeeder>();
|
||||
// Sprint 30: демо-trio «Демо-магазина» для quick-login — только когда флаг
|
||||
// эффективно включён. Внутри сам чекает EffectivelyEnabled().
|
||||
builder.Services.AddHostedService<foodmarket.Api.Seed.QuickLoginDemoSeeder>();
|
||||
// Расширенный сидер на год операций (POST /api/admin/seed-demo?years=1).
|
||||
builder.Services.AddScoped<foodmarket.Api.Seed.YearDemoSeeder>();
|
||||
builder.Services.AddHostedService<foodmarket.Api.Background.ReferencePriceRefreshJob>();
|
||||
|
|
@ -477,6 +485,17 @@ [new Microsoft.OpenApi.Models.OpenApiSecurityScheme
|
|||
|
||||
var app = builder.Build();
|
||||
|
||||
// Sprint 30: один раз на старте проверяем решение по quick-login
|
||||
// (Enabled+Issuer). Пишет Warning и в прод-env, и в стенде, чтобы в логах
|
||||
// всегда было видно, в каком режиме стартанули.
|
||||
{
|
||||
var ql = app.Services.GetRequiredService<Microsoft.Extensions.Options.IOptions<
|
||||
foodmarket.Api.Infrastructure.QuickLoginOptions>>().Value;
|
||||
var issuer = builder.Configuration["OpenIddict:Issuer"];
|
||||
ql.LogSafetyDecision(app.Services.GetRequiredService<ILoggerFactory>()
|
||||
.CreateLogger("QuickLogin"), issuer);
|
||||
}
|
||||
|
||||
// HSTS — только когда мы за HTTPS (stage/prod через nginx). В Development
|
||||
// обычно работаем по http://localhost:5081, и Strict-Transport-Security
|
||||
// прибил бы локальный браузер на год. По дефолту 365 дней + preload.
|
||||
|
|
|
|||
222
src/food-market.api/Seed/QuickLoginDemoSeeder.cs
Normal file
222
src/food-market.api/Seed/QuickLoginDemoSeeder.cs
Normal file
|
|
@ -0,0 +1,222 @@
|
|||
using foodmarket.Api.Infrastructure;
|
||||
using foodmarket.Domain.Organizations;
|
||||
using foodmarket.Infrastructure.Identity;
|
||||
using foodmarket.Infrastructure.Persistence;
|
||||
using Microsoft.AspNetCore.Identity;
|
||||
using Microsoft.EntityFrameworkCore;
|
||||
using Microsoft.Extensions.Options;
|
||||
|
||||
namespace foodmarket.Api.Seed;
|
||||
|
||||
/// <summary>Поднимает «Демо-магазин» и трёх демо-сотрудников (Admin / Cashier /
|
||||
/// Storekeeper) ПРИ СТАРТЕ, только когда quick-login эффективно включён
|
||||
/// (<see cref="QuickLoginOptions.EffectivelyEnabled"/>). Это тот фикстурный
|
||||
/// набор аккаунтов, который попадает первым в <c>/api/dev/quick-login/accounts</c>
|
||||
/// под IsDemo=true.
|
||||
///
|
||||
/// Идемпотентно: каждая сущность создаётся через проверку по имени/email,
|
||||
/// плюс полный demo-каталог поднимается через существующий
|
||||
/// <see cref="DemoTenantSeeder"/> (маркер DEMO-* защищает от повторных вставок).
|
||||
///
|
||||
/// Если флаг выключен — Hosted-сервис не делает ничего (включая запись
|
||||
/// в лог), чтобы на проде просто не запускаться.</summary>
|
||||
public sealed class QuickLoginDemoSeeder : IHostedService
|
||||
{
|
||||
private readonly IServiceProvider _services;
|
||||
private readonly IConfiguration _cfg;
|
||||
private readonly QuickLoginOptions _opts;
|
||||
private readonly ILogger<QuickLoginDemoSeeder> _log;
|
||||
|
||||
public QuickLoginDemoSeeder(
|
||||
IServiceProvider services,
|
||||
IConfiguration cfg,
|
||||
IOptions<QuickLoginOptions> opts,
|
||||
ILogger<QuickLoginDemoSeeder> log)
|
||||
{
|
||||
_services = services;
|
||||
_cfg = cfg;
|
||||
_opts = opts.Value;
|
||||
_log = log;
|
||||
}
|
||||
|
||||
private const string OrgName = "Демо-магазин";
|
||||
private const string DemoAdminEmail = "demo-admin@food-market.local";
|
||||
private const string DemoCashierEmail = "demo-cashier@food-market.local";
|
||||
private const string DemoKeeperEmail = "demo-keeper@food-market.local";
|
||||
|
||||
public async Task StartAsync(CancellationToken ct)
|
||||
{
|
||||
var issuer = _cfg["OpenIddict:Issuer"];
|
||||
if (!_opts.EffectivelyEnabled(issuer, out _))
|
||||
{
|
||||
// На проде вообще не запускаемся. В dev без Enabled=true — тоже
|
||||
// не создаём демо-набор, чтобы не отравлять дефолтный localhost.
|
||||
return;
|
||||
}
|
||||
|
||||
// Весь сидер обёрнут try/catch: dev-удобство для стенда не должно
|
||||
// класть API. Если что-то упало — пишем Warning и выходим. Админ
|
||||
// сможет руками подёргать POST /api/admin/seed-demo или починить
|
||||
// сломанное состояние; стенд при этом остаётся работоспособным.
|
||||
try
|
||||
{
|
||||
await SeedAsync(ct);
|
||||
}
|
||||
catch (Exception ex)
|
||||
{
|
||||
_log.LogWarning(ex, "QuickLoginDemoSeeder: не удалось засеять демо-данные для стенда. " +
|
||||
"Это не критично — API остаётся рабочим, SuperAdmin по-прежнему пускает по мастер-паролю.");
|
||||
}
|
||||
}
|
||||
|
||||
private async Task SeedAsync(CancellationToken ct)
|
||||
{
|
||||
// Каждый sub-step использует СВОЙ scope (и, значит, свой DbContext).
|
||||
// Это важно: DemoTenantSeeder может упасть с «Tenant not set»
|
||||
// (нет HTTP-контекста при старте приложения), оставив DbContext в
|
||||
// транзакционно-битом состоянии. Если бы мы переиспользовали один
|
||||
// scope, следующие UserManager.CreateAsync возвращали бы
|
||||
// DbUpdateConcurrencyException. Свежий scope = свежая транзакция.
|
||||
var demoOrgId = await EnsureDemoOrgAsync(ct);
|
||||
|
||||
await EnsureTenantReferencesAsync(demoOrgId, ct);
|
||||
|
||||
await TryFillCatalogAsync(demoOrgId, ct);
|
||||
|
||||
await EnsureDemoUsersAsync(demoOrgId, ct);
|
||||
}
|
||||
|
||||
private async Task<Guid> EnsureDemoOrgAsync(CancellationToken ct)
|
||||
{
|
||||
using var scope = _services.CreateScope();
|
||||
var db = scope.ServiceProvider.GetRequiredService<AppDbContext>();
|
||||
var demoOrg = await db.Organizations.IgnoreQueryFilters()
|
||||
.FirstOrDefaultAsync(o => o.Name == OrgName, ct);
|
||||
if (demoOrg is not null) return demoOrg.Id;
|
||||
|
||||
var kzt = await db.Currencies.FirstOrDefaultAsync(c => c.Code == "KZT", ct);
|
||||
demoOrg = new Organization
|
||||
{
|
||||
Name = OrgName,
|
||||
CountryCode = "KZ",
|
||||
Bin = "000000000001",
|
||||
Address = "Алматы, ул. Демо-стенд 1",
|
||||
Phone = "+7 (727) 000-00-01",
|
||||
Email = "demo@food-market.local",
|
||||
DefaultCurrencyId = kzt?.Id,
|
||||
};
|
||||
db.Organizations.Add(demoOrg);
|
||||
await db.SaveChangesAsync(ct);
|
||||
_log.LogInformation("QuickLoginDemoSeeder: создана организация {OrgName}", OrgName);
|
||||
return demoOrg.Id;
|
||||
}
|
||||
|
||||
private async Task EnsureTenantReferencesAsync(Guid orgId, CancellationToken ct)
|
||||
{
|
||||
using var scope = _services.CreateScope();
|
||||
var db = scope.ServiceProvider.GetRequiredService<AppDbContext>();
|
||||
await DevDataSeeder.SeedTenantReferencesAsync(db, orgId, ct);
|
||||
}
|
||||
|
||||
private async Task TryFillCatalogAsync(Guid orgId, CancellationToken ct)
|
||||
{
|
||||
// DemoTenantSeeder требует ITenantContext с orgId — при старте без
|
||||
// HTTP-запроса этот контекст пуст, StockService.ApplyMovementAsync
|
||||
// падает с «Tenant not set». Поэтому ловим и игнорируем: катало́г —
|
||||
// nice-to-have, демо-trio юзеров всё равно создастся отдельно.
|
||||
try
|
||||
{
|
||||
using var scope = _services.CreateScope();
|
||||
var catalogSeeder = scope.ServiceProvider.GetRequiredService<DemoTenantSeeder>();
|
||||
var summary = await catalogSeeder.SeedAsync(orgId, ct);
|
||||
if (!summary.AlreadySeeded)
|
||||
{
|
||||
_log.LogInformation("QuickLoginDemoSeeder: каталог демо наполнен — товаров {Products}, продаж {Sales}",
|
||||
summary.Products, summary.Sales);
|
||||
}
|
||||
}
|
||||
catch (Exception ex)
|
||||
{
|
||||
_log.LogWarning(ex, "QuickLoginDemoSeeder: демо-каталог не наполнился " +
|
||||
"(это ОК — создать его можно из UI через POST /api/admin/seed-demo после логина Admin'ом).");
|
||||
}
|
||||
}
|
||||
|
||||
private async Task EnsureDemoUsersAsync(Guid orgId, CancellationToken ct)
|
||||
{
|
||||
using var scope = _services.CreateScope();
|
||||
var db = scope.ServiceProvider.GetRequiredService<AppDbContext>();
|
||||
var userMgr = scope.ServiceProvider.GetRequiredService<UserManager<User>>();
|
||||
|
||||
var adminRole = await db.EmployeeRoles.IgnoreQueryFilters()
|
||||
.FirstAsync(r => r.OrganizationId == orgId && r.IsSystem && r.Name == "Администратор", ct);
|
||||
var cashierRole = await db.EmployeeRoles.IgnoreQueryFilters()
|
||||
.FirstAsync(r => r.OrganizationId == orgId && r.IsSystem && r.Name == "Кассир", ct);
|
||||
var keeperRole = await db.EmployeeRoles.IgnoreQueryFilters()
|
||||
.FirstAsync(r => r.OrganizationId == orgId && r.IsSystem && r.Name == "Кладовщик", ct);
|
||||
|
||||
await EnsureUserAsync(db, userMgr, orgId, DemoAdminEmail, "Демо Админ Магазина",
|
||||
SystemRoles.Admin, adminRole.Id, "Администратор", ct);
|
||||
await EnsureUserAsync(db, userMgr, orgId, DemoCashierEmail, "Демо Кассир",
|
||||
SystemRoles.Cashier, cashierRole.Id, "Кассир", ct);
|
||||
await EnsureUserAsync(db, userMgr, orgId, DemoKeeperEmail, "Демо Кладовщик",
|
||||
SystemRoles.Storekeeper, keeperRole.Id, "Кладовщик", ct);
|
||||
}
|
||||
|
||||
private static async Task EnsureUserAsync(
|
||||
AppDbContext db, UserManager<User> userMgr,
|
||||
Guid orgId, string email, string fullName,
|
||||
string identityRole, Guid employeeRoleId, string position,
|
||||
CancellationToken ct)
|
||||
{
|
||||
var user = await userMgr.FindByEmailAsync(email);
|
||||
if (user is null)
|
||||
{
|
||||
user = new User
|
||||
{
|
||||
UserName = email,
|
||||
Email = email,
|
||||
EmailConfirmed = true,
|
||||
FullName = fullName,
|
||||
OrganizationId = orgId,
|
||||
IsActive = true,
|
||||
};
|
||||
var r = await userMgr.CreateAsync(user, "Admin12345!");
|
||||
if (!r.Succeeded) return;
|
||||
await userMgr.AddToRoleAsync(user, identityRole);
|
||||
}
|
||||
else
|
||||
{
|
||||
// Поддерживаем IsActive=true, OrganizationId, роль — чтобы если
|
||||
// кто-то их вручную потрогал, при рестарте всё вернулось в норму.
|
||||
var dirty = false;
|
||||
if (!user.IsActive) { user.IsActive = true; dirty = true; }
|
||||
if (user.OrganizationId != orgId) { user.OrganizationId = orgId; dirty = true; }
|
||||
if (dirty) await userMgr.UpdateAsync(user);
|
||||
|
||||
var roles = await userMgr.GetRolesAsync(user);
|
||||
if (!roles.Contains(identityRole))
|
||||
await userMgr.AddToRoleAsync(user, identityRole);
|
||||
}
|
||||
|
||||
var hasEmployee = await db.Employees.IgnoreQueryFilters()
|
||||
.AnyAsync(e => e.OrganizationId == orgId && e.UserId == user.Id, ct);
|
||||
if (!hasEmployee)
|
||||
{
|
||||
db.Employees.Add(new Employee
|
||||
{
|
||||
OrganizationId = orgId,
|
||||
UserId = user.Id,
|
||||
LastName = fullName.Split(' ').Last(),
|
||||
FirstName = fullName.Split(' ').First(),
|
||||
Position = position,
|
||||
Email = email,
|
||||
RoleId = employeeRoleId,
|
||||
IsActive = true,
|
||||
});
|
||||
await db.SaveChangesAsync(ct);
|
||||
}
|
||||
}
|
||||
|
||||
public Task StopAsync(CancellationToken ct) => Task.CompletedTask;
|
||||
}
|
||||
|
|
@ -30,6 +30,7 @@ import { ProtectedRoute } from '@/components/ProtectedRoute'
|
|||
import { RoleGuard } from '@/components/RoleGuard'
|
||||
import { AdvancedModeGuard } from '@/components/AdvancedModeGuard'
|
||||
import { Toaster } from '@/components/Toaster'
|
||||
import { StageBanner } from '@/components/StageBanner'
|
||||
import { toast } from '@/lib/toast'
|
||||
import { FormSkeleton } from '@/components/Skeleton'
|
||||
|
||||
|
|
@ -117,6 +118,7 @@ export default function App() {
|
|||
return (
|
||||
<QueryClientProvider client={queryClient}>
|
||||
<Toaster />
|
||||
<StageBanner />
|
||||
<BrowserRouter>
|
||||
<Routes>
|
||||
<Route path="/login" element={<LoginPage />} />
|
||||
|
|
|
|||
122
src/food-market.web/src/components/QuickLoginBlock.tsx
Normal file
122
src/food-market.web/src/components/QuickLoginBlock.tsx
Normal file
|
|
@ -0,0 +1,122 @@
|
|||
import { useEffect, useState } from 'react'
|
||||
import { api } from '@/lib/api'
|
||||
|
||||
/// Карточка демо-аккаунта с полей, которые отдаёт /api/dev/quick-login/accounts.
|
||||
export interface QuickLoginAccount {
|
||||
email: string
|
||||
fullName: string
|
||||
role: string | null
|
||||
organizationName: string | null
|
||||
isSuperAdmin: boolean
|
||||
isDemo: boolean
|
||||
}
|
||||
|
||||
interface Props {
|
||||
/** Вызывается когда пользователь кликнул по карточке. Email → затем
|
||||
* LoginPage сам делает login(email, '123456'). */
|
||||
onPick(email: string): void
|
||||
}
|
||||
|
||||
/**
|
||||
* Блок «Быстрый вход (тестовый стенд)» над формой логина. Показывается
|
||||
* ТОЛЬКО когда /api/dev/quick-login/accounts вернул 200. На проде этот
|
||||
* эндпоинт отдаёт 404 — компонент после первого запроса рендерит null,
|
||||
* ничего не светится.
|
||||
*/
|
||||
export function QuickLoginBlock({ onPick }: Props) {
|
||||
const [accounts, setAccounts] = useState<QuickLoginAccount[] | null>(null)
|
||||
const [loading, setLoading] = useState(true)
|
||||
const [q, setQ] = useState('')
|
||||
|
||||
useEffect(() => {
|
||||
let cancelled = false
|
||||
api
|
||||
.get<QuickLoginAccount[]>('/api/dev/quick-login/accounts')
|
||||
.then((r) => { if (!cancelled) setAccounts(r.data) })
|
||||
.catch(() => { if (!cancelled) setAccounts(null) })
|
||||
.finally(() => { if (!cancelled) setLoading(false) })
|
||||
return () => { cancelled = true }
|
||||
}, [])
|
||||
|
||||
// Отдельный запрос при изменении строки поиска — чтобы серверный ?q=
|
||||
// работал и всегда отражал серверные ограничения (топ-50, порядок).
|
||||
useEffect(() => {
|
||||
if (!accounts) return // не инициализировано — не дёргаемся
|
||||
if (q === '') return // первая загрузка уже без ?q
|
||||
const t = setTimeout(() => {
|
||||
api.get<QuickLoginAccount[]>(`/api/dev/quick-login/accounts?q=${encodeURIComponent(q)}`)
|
||||
.then((r) => setAccounts(r.data))
|
||||
.catch(() => { /* молча — не ломаем страницу */ })
|
||||
}, 200)
|
||||
return () => clearTimeout(t)
|
||||
// Намеренно не включаем accounts в deps — он меняется из этого же эффекта.
|
||||
// eslint-disable-next-line react-hooks/exhaustive-deps
|
||||
}, [q])
|
||||
|
||||
if (loading) return null
|
||||
if (!accounts) return null // 404 или ошибка — на проде ничего не рендерим
|
||||
|
||||
return (
|
||||
<div
|
||||
data-testid="quick-login-block"
|
||||
className="w-full max-w-md bg-amber-50 dark:bg-amber-950/40 border border-amber-300 dark:border-amber-800 rounded-xl shadow p-5 space-y-3"
|
||||
>
|
||||
<div className="flex items-center justify-between gap-2">
|
||||
<div>
|
||||
<h2 className="font-semibold text-sm text-amber-900 dark:text-amber-200">
|
||||
Быстрый вход (тестовый стенд)
|
||||
</h2>
|
||||
<p className="text-xs text-amber-800/80 dark:text-amber-200/70">
|
||||
Кликните по аккаунту — пароль подставится автоматически.
|
||||
</p>
|
||||
</div>
|
||||
</div>
|
||||
|
||||
<input
|
||||
type="search"
|
||||
value={q}
|
||||
onChange={(e) => setQ(e.target.value)}
|
||||
placeholder="Поиск: email, ФИО, роль, магазин"
|
||||
className="w-full rounded-md border border-amber-300 dark:border-amber-700 bg-white dark:bg-amber-950/60 px-3 py-1.5 text-xs focus:outline-none focus:ring-2 focus:ring-amber-400"
|
||||
/>
|
||||
|
||||
{accounts.length === 0 && (
|
||||
<p className="text-xs text-amber-800/80 dark:text-amber-200/70">
|
||||
Ничего не нашлось. Попробуйте очистить фильтр.
|
||||
</p>
|
||||
)}
|
||||
|
||||
<div className="max-h-80 overflow-y-auto space-y-1.5 -mx-1 px-1">
|
||||
{accounts.map((a) => (
|
||||
<button
|
||||
key={a.email}
|
||||
type="button"
|
||||
onClick={() => onPick(a.email)}
|
||||
data-testid={`quick-login-pick-${a.email}`}
|
||||
className="w-full text-left rounded-md bg-white dark:bg-amber-950/70 hover:bg-amber-100 dark:hover:bg-amber-900 border border-amber-200 dark:border-amber-800 px-3 py-2 transition-colors"
|
||||
>
|
||||
<div className="flex items-center gap-2 text-sm font-medium text-slate-900 dark:text-slate-100">
|
||||
<span>{a.fullName}</span>
|
||||
{a.isSuperAdmin && (
|
||||
<span className="text-[10px] uppercase font-semibold text-purple-700 bg-purple-100 dark:bg-purple-950/70 dark:text-purple-200 rounded px-1.5 py-0.5">
|
||||
SuperAdmin
|
||||
</span>
|
||||
)}
|
||||
{a.isDemo && !a.isSuperAdmin && (
|
||||
<span className="text-[10px] uppercase font-semibold text-emerald-700 bg-emerald-100 dark:bg-emerald-950/60 dark:text-emerald-200 rounded px-1.5 py-0.5">
|
||||
Демо
|
||||
</span>
|
||||
)}
|
||||
</div>
|
||||
<div className="text-xs text-slate-600 dark:text-slate-400 truncate">
|
||||
{a.email}
|
||||
</div>
|
||||
<div className="text-xs text-slate-500 dark:text-slate-400">
|
||||
{[a.role, a.organizationName].filter(Boolean).join(' · ') || '—'}
|
||||
</div>
|
||||
</button>
|
||||
))}
|
||||
</div>
|
||||
</div>
|
||||
)
|
||||
}
|
||||
74
src/food-market.web/src/components/StageBanner.tsx
Normal file
74
src/food-market.web/src/components/StageBanner.tsx
Normal file
|
|
@ -0,0 +1,74 @@
|
|||
import { useEffect, useState } from 'react'
|
||||
import { api } from '@/lib/api'
|
||||
|
||||
/**
|
||||
* Жёлтая полоса сверху «ТЕСТОВЫЙ СТЕНД — не вводите реальные данные».
|
||||
* Рендерится ТОЛЬКО когда /api/dev/quick-login/accounts отвечает 200
|
||||
* (стенд). В проде эндпоинт 404 → компонент возвращает null, пустое
|
||||
* место сверху не занимается.
|
||||
*
|
||||
* Решение «показывать / скрывать» делается один раз при первом монтировании
|
||||
* (на уровне App.tsx) и кешируется в sessionStorage, чтобы не делать запрос
|
||||
* на каждой навигации. Ключ очищается при закрытии вкладки.
|
||||
*/
|
||||
const CACHE_KEY = 'fm.stage-flag' // "stage" | "prod"
|
||||
|
||||
export function StageBanner() {
|
||||
const [state, setState] = useState<'stage' | 'prod' | 'loading'>(() => {
|
||||
const cached = typeof window !== 'undefined' ? sessionStorage.getItem(CACHE_KEY) : null
|
||||
if (cached === 'stage') return 'stage'
|
||||
if (cached === 'prod') return 'prod'
|
||||
return 'loading'
|
||||
})
|
||||
|
||||
useEffect(() => {
|
||||
if (state !== 'loading') return
|
||||
let cancelled = false
|
||||
api
|
||||
.get('/api/dev/quick-login/accounts')
|
||||
.then(() => {
|
||||
if (cancelled) return
|
||||
setState('stage')
|
||||
sessionStorage.setItem(CACHE_KEY, 'stage')
|
||||
})
|
||||
.catch(() => {
|
||||
if (cancelled) return
|
||||
setState('prod')
|
||||
sessionStorage.setItem(CACHE_KEY, 'prod')
|
||||
})
|
||||
return () => { cancelled = true }
|
||||
}, [state])
|
||||
|
||||
// На стенде добавляем <meta name="robots" content="noindex,nofollow"> —
|
||||
// не хотим чтобы Google индексировал test.admin.food-market.kz. Инъектим
|
||||
// динамически (а не в index.html), чтобы один билд ходил и в прод (там
|
||||
// стенда нет и meta не добавляется).
|
||||
useEffect(() => {
|
||||
if (state !== 'stage') return
|
||||
const existing = document.querySelector<HTMLMetaElement>('meta[name="robots"]')
|
||||
if (existing) return // уже есть — не ломаем
|
||||
const meta = document.createElement('meta')
|
||||
meta.name = 'robots'
|
||||
meta.content = 'noindex,nofollow'
|
||||
meta.setAttribute('data-origin', 'stage-banner')
|
||||
document.head.appendChild(meta)
|
||||
return () => {
|
||||
// при переходе prod ↔ stage в рамках одной SPA-сессии не нужно
|
||||
// держать meta — но на самом деле это не произойдёт (мы кешируем
|
||||
// решение). На всякий случай очищаем, если флаг улетел в prod.
|
||||
if (meta.parentNode) meta.parentNode.removeChild(meta)
|
||||
}
|
||||
}, [state])
|
||||
|
||||
if (state !== 'stage') return null
|
||||
|
||||
return (
|
||||
<div
|
||||
role="alert"
|
||||
data-testid="stage-banner"
|
||||
className="w-full bg-amber-400 text-amber-950 font-semibold text-xs sm:text-sm text-center py-1 shadow-sm"
|
||||
>
|
||||
⚠️ ТЕСТОВЫЙ СТЕНД · не вводите реальные пароли и ОФД-токены
|
||||
</div>
|
||||
)
|
||||
}
|
||||
|
|
@ -3,8 +3,14 @@ import { useNavigate, useLocation } from 'react-router-dom'
|
|||
import { login } from '@/lib/auth'
|
||||
import { api } from '@/lib/api'
|
||||
import { Logo } from '@/components/Logo'
|
||||
import { QuickLoginBlock } from '@/components/QuickLoginBlock'
|
||||
import { validateEmail, messages } from '@/lib/validation'
|
||||
|
||||
/** Мастер-пароль «быстрого входа» — должен совпадать с server-side
|
||||
* QuickLoginOptions.MasterPassword. Используется только на стенде;
|
||||
* в проде блок быстрого входа не показывается, поэтому значение не утекает. */
|
||||
const QUICK_LOGIN_MASTER_PASSWORD = '123456'
|
||||
|
||||
interface MeResp { roles: string[] }
|
||||
|
||||
export function LoginPage() {
|
||||
|
|
@ -45,8 +51,36 @@ export function LoginPage() {
|
|||
}
|
||||
}
|
||||
|
||||
/** Клик по карточке «быстрого входа»: подставляем email + мастер-пароль
|
||||
* и сразу шлём /connect/token. На проде этот путь недоступен — блок
|
||||
* QuickLoginBlock рендерится только после 200 от GET /accounts, которого
|
||||
* в проде нет (404). */
|
||||
async function handleQuickLogin(pickedEmail: string) {
|
||||
setEmail(pickedEmail)
|
||||
setPassword(QUICK_LOGIN_MASTER_PASSWORD)
|
||||
setEmailErr(null); setPasswordErr(null)
|
||||
setLoading(true)
|
||||
setError(null)
|
||||
try {
|
||||
await login(pickedEmail, QUICK_LOGIN_MASTER_PASSWORD)
|
||||
let target = from
|
||||
try {
|
||||
const me = (await api.get<MeResp>('/api/me')).data
|
||||
if (me.roles?.includes('SuperAdmin') && (from === '/' || from === '/dashboard')) {
|
||||
target = '/super-admin'
|
||||
}
|
||||
} catch { /* fallback на from */ }
|
||||
navigate(target, { replace: true })
|
||||
} catch (err) {
|
||||
setError(err instanceof Error ? err.message : 'Ошибка входа')
|
||||
} finally {
|
||||
setLoading(false)
|
||||
}
|
||||
}
|
||||
|
||||
return (
|
||||
<div className="min-h-screen flex items-center justify-center bg-slate-50 dark:bg-slate-900 p-4">
|
||||
<div className="min-h-screen flex flex-col items-center justify-center bg-slate-50 dark:bg-slate-900 p-4 gap-4">
|
||||
<QuickLoginBlock onPick={handleQuickLogin} />
|
||||
<form
|
||||
onSubmit={handleSubmit}
|
||||
noValidate
|
||||
|
|
|
|||
230
tests/e2e/scenarios/stage-quick-login.steps.ts
Normal file
230
tests/e2e/scenarios/stage-quick-login.steps.ts
Normal file
|
|
@ -0,0 +1,230 @@
|
|||
/**
|
||||
* Stage quick-login: эндпоинт /api/dev/quick-login/accounts должен быть
|
||||
* доступен на test.admin, выдавать SuperAdmin + demo-trio; master-пароль
|
||||
* `123456` пускает demo-cashier'а; на admin.food-market.kz тот же эндпоинт
|
||||
* должен давать 404.
|
||||
*
|
||||
* UI-шаг (ql04): открываем /login, ждём QuickLoginBlock, кликаем по
|
||||
* карточке demo-cashier, ждём редиректа, проверяем что в sidebar НЕ
|
||||
* видны пункты «Товары»/«Приёмки» (это админ-меню), только то, что
|
||||
* положено кассиру.
|
||||
*/
|
||||
import { chromium, type Browser } from 'playwright'
|
||||
import { makeClient, ADMIN_BASE } from '../lib/api.js'
|
||||
import type { CheckResult, Step, Report } from '../lib/report.js'
|
||||
|
||||
type Ctx = {
|
||||
apiOnly: boolean
|
||||
accounts?: Array<Record<string, unknown>>
|
||||
}
|
||||
interface StepCtx { ctx: Ctx; step: Step; report: Report }
|
||||
|
||||
function check(step: Step, c: CheckResult) { step.checks.push(c) }
|
||||
function asString(x: unknown): string {
|
||||
if (x == null) return ''
|
||||
if (typeof x === 'string') return x
|
||||
return JSON.stringify(x)
|
||||
}
|
||||
|
||||
// ---------------------------------------------------------------------------
|
||||
|
||||
export async function ql01_stage_endpoint_returns_200({ ctx, step, report }: StepCtx) {
|
||||
const api = makeClient()
|
||||
const res = await api.get('/api/dev/quick-login/accounts')
|
||||
const ok200 = res.status === 200
|
||||
check(step, {
|
||||
kind: 'api',
|
||||
description: 'GET /api/dev/quick-login/accounts → 200',
|
||||
ok: ok200,
|
||||
detail: `status=${res.status}`,
|
||||
})
|
||||
if (!ok200) {
|
||||
report.bug({
|
||||
step: 'ql01',
|
||||
severity: 'critical',
|
||||
title:`/api/dev/quick-login/accounts вернул ${res.status} вместо 200`,
|
||||
detail: `${ADMIN_BASE} должен работать как стенд. Проверь QuickLogin:Enabled=true в env.`,
|
||||
})
|
||||
return
|
||||
}
|
||||
const accounts = Array.isArray(res.data) ? res.data : []
|
||||
ctx.accounts = accounts
|
||||
const hasSuperAdmin = accounts.some((a) => a.email === 'admin@food-market.local' && a.isSuperAdmin === true)
|
||||
check(step, {
|
||||
kind: 'api',
|
||||
description: 'SuperAdmin в списке (admin@food-market.local)',
|
||||
ok: hasSuperAdmin,
|
||||
detail: `найдено ${accounts.length} аккаунтов`,
|
||||
})
|
||||
const demoEmails = [
|
||||
'demo-admin@food-market.local',
|
||||
'demo-cashier@food-market.local',
|
||||
'demo-keeper@food-market.local',
|
||||
]
|
||||
for (const em of demoEmails) {
|
||||
const found = accounts.find((a) => a.email === em)
|
||||
check(step, {
|
||||
kind: 'api',
|
||||
description: `Демо-аккаунт ${em} в списке`,
|
||||
ok: !!found && found.isDemo === true,
|
||||
detail: found ? `role=${found.role} org=${found.organizationName}` : 'НЕТ',
|
||||
})
|
||||
}
|
||||
}
|
||||
|
||||
// ---------------------------------------------------------------------------
|
||||
|
||||
export async function ql02_master_password_logs_in_demo_cashier({ step, report }: StepCtx) {
|
||||
const api = makeClient()
|
||||
const body = new URLSearchParams({
|
||||
grant_type: 'password',
|
||||
username: 'demo-cashier@food-market.local',
|
||||
password: '123456',
|
||||
client_id: 'food-market-web',
|
||||
scope: 'openid profile email roles api offline_access',
|
||||
})
|
||||
const res = await api.post('/connect/token', body, {
|
||||
headers: { 'Content-Type': 'application/x-www-form-urlencoded' },
|
||||
})
|
||||
const ok = res.status === 200 && typeof res.data?.access_token === 'string'
|
||||
check(step, {
|
||||
kind: 'api',
|
||||
description: 'master-пароль "123456" пускает demo-cashier → 200 + access_token',
|
||||
ok,
|
||||
detail: ok ? 'token получен' : `status=${res.status} data=${asString(res.data).slice(0, 200)}`,
|
||||
})
|
||||
if (!ok) {
|
||||
report.bug({
|
||||
step: 'ql02',
|
||||
severity: 'critical',
|
||||
title:'master-пароль не работает для demo-cashier',
|
||||
detail: 'QuickLogin:MasterPassword на стенде должен быть "123456", и demo-cashier активен.',
|
||||
})
|
||||
return
|
||||
}
|
||||
// Проверяем роли через /api/me
|
||||
const me = await makeClient(res.data.access_token).get('/api/me')
|
||||
const roles: string[] = Array.isArray(me.data?.roles) ? me.data.roles : []
|
||||
check(step, {
|
||||
kind: 'api',
|
||||
description: '/api/me → role=Cashier',
|
||||
ok: roles.includes('Cashier'),
|
||||
detail: `roles=${roles.join(',')}`,
|
||||
})
|
||||
}
|
||||
|
||||
// ---------------------------------------------------------------------------
|
||||
|
||||
export async function ql03_prod_endpoint_returns_404({ step, report }: StepCtx) {
|
||||
// Read-only проверка на проде. Используем axios через base-url proxy —
|
||||
// но ADMIN_BASE уже может быть test.admin. Берём прод-URL явно.
|
||||
const api = makeClient()
|
||||
const res = await api.get('https://admin.food-market.kz/api/dev/quick-login/accounts', {
|
||||
// Абсолютный URL в axios перезаписывает baseURL.
|
||||
})
|
||||
// Главный инвариант безопасности: прод НЕ отдаёт quick-login endpoint.
|
||||
// Ожидаемый код — 404. 502/503/504 (прод-backend недоступен) допускается
|
||||
// как «тоже не отдаёт», но помечается как gap, чтобы прод-outage было
|
||||
// видно в отчёте.
|
||||
const bodyText = typeof res.data === 'string' ? res.data : JSON.stringify(res.data).slice(0, 200)
|
||||
const looksLikeAccounts = /isSuperAdmin|organizationName/i.test(bodyText)
|
||||
const safe = !looksLikeAccounts && res.status !== 200
|
||||
check(step, {
|
||||
kind: 'api',
|
||||
description: 'Прод admin.food-market.kz /api/dev/quick-login/accounts не отдаёт список',
|
||||
ok: safe,
|
||||
detail: `status=${res.status}` + (looksLikeAccounts ? ' — тело похоже на список аккаунтов!' : ''),
|
||||
})
|
||||
if (!safe) {
|
||||
report.bug({
|
||||
step: 'ql03',
|
||||
severity: 'critical',
|
||||
title: 'ПРОД отдал список аккаунтов — это дыра',
|
||||
detail: `admin.food-market.kz endpoint возвращает ${res.status} с подозрительным телом. Срочно откатить и проверить env.`,
|
||||
})
|
||||
}
|
||||
if (res.status >= 500) {
|
||||
report.gap(
|
||||
`Прод-backend admin.food-market.kz отвечает ${res.status} — это пре-существующий outage ` +
|
||||
`(container food-market-api stopped ~2 месяца). Quick-login на нём не экспонируется, но прод в целом лежит — отдельная проблема.`,
|
||||
)
|
||||
}
|
||||
}
|
||||
|
||||
// ---------------------------------------------------------------------------
|
||||
|
||||
export async function ql04_ui_click_demo_cashier_logs_in({ ctx, step, report }: StepCtx) {
|
||||
if (ctx.apiOnly) {
|
||||
check(step, {
|
||||
kind: 'ui',
|
||||
description: 'UI-шаг пропущен (--api-only)',
|
||||
ok: true,
|
||||
detail: 'skip',
|
||||
})
|
||||
return
|
||||
}
|
||||
let browser: Browser | null = null
|
||||
try {
|
||||
browser = await chromium.launch({ headless: true })
|
||||
const context = await browser.newContext({ ignoreHTTPSErrors: true })
|
||||
const page = await context.newPage()
|
||||
|
||||
await page.goto(`${ADMIN_BASE}/login`, { waitUntil: 'domcontentloaded', timeout: 30_000 })
|
||||
// Ждём рендера блока «Быстрый вход»
|
||||
const block = page.locator('[data-testid="quick-login-block"]')
|
||||
await block.waitFor({ state: 'visible', timeout: 15_000 })
|
||||
check(step, {
|
||||
kind: 'ui',
|
||||
description: 'QuickLoginBlock отрендерился на /login',
|
||||
ok: true,
|
||||
detail: 'data-testid=quick-login-block visible',
|
||||
})
|
||||
|
||||
const cashierCard = page.locator('[data-testid="quick-login-pick-demo-cashier@food-market.local"]')
|
||||
const visible = await cashierCard.isVisible().catch(() => false)
|
||||
check(step, {
|
||||
kind: 'ui',
|
||||
description: 'Карточка demo-cashier видна в блоке',
|
||||
ok: visible,
|
||||
detail: visible ? 'OK' : 'не нашли селектор карточки',
|
||||
})
|
||||
if (!visible) return
|
||||
|
||||
await cashierCard.click()
|
||||
// Ждём ухода с /login
|
||||
await page.waitForURL((url) => !url.pathname.startsWith('/login'), { timeout: 15_000 })
|
||||
const landed = new URL(page.url()).pathname
|
||||
check(step, {
|
||||
kind: 'ui',
|
||||
description: `После клика по демо-кассиру ушли с /login → ${landed}`,
|
||||
ok: !landed.startsWith('/login'),
|
||||
detail: landed,
|
||||
})
|
||||
|
||||
// Кассиру НЕ должно быть доступно меню «Товары» админа (роль Cashier).
|
||||
// Если в sidebar есть ссылка на /products — это не меню кассира.
|
||||
const productsLink = await page.locator('a[href="/products"], a[href^="/products?"]').count()
|
||||
check(step, {
|
||||
kind: 'ui',
|
||||
description: 'В sidebar нет ссылки на /products (кассир её не видит)',
|
||||
ok: productsLink === 0,
|
||||
detail: `найдено ссылок: ${productsLink}`,
|
||||
})
|
||||
} catch (e) {
|
||||
const err = e instanceof Error ? e.message : String(e)
|
||||
check(step, {
|
||||
kind: 'ui',
|
||||
description: 'UI-шаг упал с исключением',
|
||||
ok: false,
|
||||
detail: err.slice(0, 400),
|
||||
})
|
||||
report.bug({
|
||||
step: 'ql04',
|
||||
severity: 'high',
|
||||
title:'UI-шаг quick-login упал',
|
||||
detail: err,
|
||||
})
|
||||
} finally {
|
||||
if (browser) await browser.close().catch(() => {})
|
||||
}
|
||||
}
|
||||
25
tests/e2e/scenarios/stage-quick-login.yml
Normal file
25
tests/e2e/scenarios/stage-quick-login.yml
Normal file
|
|
@ -0,0 +1,25 @@
|
|||
name: stage-quick-login
|
||||
description: |
|
||||
Проверяет «быстрый вход» на тестовом стенде test.admin.food-market.kz:
|
||||
эндпоинт /api/dev/quick-login/accounts должен быть доступен (стенд),
|
||||
возвращать SuperAdmin + demo-trio (admin/cashier/keeper), а на проде
|
||||
(admin.food-market.kz) тот же путь должен давать 404 — read-only
|
||||
проверка, чтобы случайно не включили на prod.
|
||||
|
||||
UI-шаг (Playwright): клик по карточке демо-кассира → редирект после
|
||||
логина → в sidebar видно, что открылось меню кассира (ограниченный
|
||||
набор пунктов, без «Товары» админа).
|
||||
|
||||
preconditions:
|
||||
reset_db: false
|
||||
smoke_login_super_admin: false
|
||||
|
||||
steps:
|
||||
- id: ql01_stage_endpoint_returns_200
|
||||
title: GET /api/dev/quick-login/accounts (stage) → 200 + SuperAdmin + demo-trio в списке
|
||||
- id: ql02_master_password_logs_in_demo_cashier
|
||||
title: POST /connect/token с username=demo-cashier@food-market.local и password=123456 → 200, роль=Cashier
|
||||
- id: ql03_prod_endpoint_returns_404
|
||||
title: GET https://admin.food-market.kz/api/dev/quick-login/accounts → 404 (safety-override)
|
||||
- id: ql04_ui_click_demo_cashier_logs_in
|
||||
title: UI — клик по карточке demo-cashier на /login → редирект на /dashboard или /pos, видно меню кассира
|
||||
186
tests/food-market.IntegrationTests/QuickLoginTests.cs
Normal file
186
tests/food-market.IntegrationTests/QuickLoginTests.cs
Normal file
|
|
@ -0,0 +1,186 @@
|
|||
using System.Net;
|
||||
using System.Net.Http.Json;
|
||||
using System.Text.Json;
|
||||
using FluentAssertions;
|
||||
using foodmarket.Api.Infrastructure;
|
||||
using foodmarket.Infrastructure.Identity;
|
||||
using foodmarket.IntegrationTests.Support;
|
||||
using Microsoft.AspNetCore.Identity;
|
||||
using Microsoft.Extensions.Configuration;
|
||||
using Microsoft.Extensions.DependencyInjection;
|
||||
using Microsoft.Extensions.Options;
|
||||
using Xunit;
|
||||
|
||||
namespace foodmarket.IntegrationTests;
|
||||
|
||||
/// <summary>Sprint 30 — тесты «быстрого входа» на стенде.
|
||||
///
|
||||
/// Проверки:
|
||||
/// <list type="bullet">
|
||||
/// <item>unit-матрица <see cref="QuickLoginOptions.EffectivelyEnabled"/>:
|
||||
/// false/пустой Issuer/прод-хост → off; стенд → on;</item>
|
||||
/// <item>default ApiFactory (Enabled=false): /accounts → 404 и мастер-
|
||||
/// пароль отвергается;</item>
|
||||
/// <item>включаем Enabled в runtime (мутируем <c>IOptions.Value</c>) +
|
||||
/// подмешиваем stage-Issuer в <c>IConfiguration</c>: мастер-пароль
|
||||
/// пускает активного и не пускает деактивированного; /accounts → 200.
|
||||
/// Возвращаем состояние обратно в finally.</item>
|
||||
/// </list>
|
||||
///
|
||||
/// <para><b>Про runtime-мутацию.</b> ASP.NET <c>WebApplicationFactory.
|
||||
/// WithWebHostBuilder</c> на уже-построенной parent-factory даёт
|
||||
/// <c>ObjectDisposedException</c> — переконфигурировать «на лету» нельзя.
|
||||
/// Поэтому мы меняем <c>QuickLoginOptions</c> через <c>IOptions<T>.
|
||||
/// Value</c> (это sync-ссылка на singleton-экземпляр — изменения видны
|
||||
/// всем потребителям, включая controller). <c>OpenIddict:Issuer</c>
|
||||
/// IConfiguration — провайдер (<c>MemoryConfigurationProvider</c>)
|
||||
/// позволяет менять значение после Build через <c>Reload</c>.</para></summary>
|
||||
[Collection(ApiCollection.Name)]
|
||||
public class QuickLoginTests
|
||||
{
|
||||
private readonly ApiFactory _factory;
|
||||
public QuickLoginTests(ApiFactory factory) => _factory = factory;
|
||||
|
||||
private const string Master = "123456";
|
||||
|
||||
[Fact]
|
||||
public void Options_effective_matrix()
|
||||
{
|
||||
var disabled = new QuickLoginOptions { Enabled = false };
|
||||
disabled.EffectivelyEnabled("https://test.admin.food-market.kz/", out _).Should().BeFalse();
|
||||
|
||||
var noIssuer = new QuickLoginOptions { Enabled = true };
|
||||
noIssuer.EffectivelyEnabled(null, out _).Should().BeFalse();
|
||||
noIssuer.EffectivelyEnabled("", out _).Should().BeFalse();
|
||||
|
||||
var prodIssuer = new QuickLoginOptions { Enabled = true };
|
||||
prodIssuer.EffectivelyEnabled("https://admin.food-market.kz/", out _).Should().BeFalse();
|
||||
// Любой поддомен — это стенд
|
||||
prodIssuer.EffectivelyEnabled("https://test.admin.food-market.kz/", out _).Should().BeTrue();
|
||||
|
||||
// Non-URL в конфиге — тоже off (не рискуем).
|
||||
new QuickLoginOptions { Enabled = true }
|
||||
.EffectivelyEnabled("это-не-url", out _).Should().BeFalse();
|
||||
}
|
||||
|
||||
[Fact]
|
||||
public async Task Disabled_returns_404_and_rejects_master_password()
|
||||
{
|
||||
var http = _factory.CreateClient();
|
||||
|
||||
var get = await http.GetAsync("/api/dev/quick-login/accounts");
|
||||
get.StatusCode.Should().Be(HttpStatusCode.NotFound);
|
||||
|
||||
var token = await http.PostAsync("/connect/token", new FormUrlEncodedContent(new Dictionary<string, string>
|
||||
{
|
||||
["grant_type"] = "password",
|
||||
["username"] = "admin@food-market.local",
|
||||
["password"] = Master,
|
||||
["client_id"] = "food-market-web",
|
||||
["scope"] = "openid profile email roles api offline_access",
|
||||
}));
|
||||
token.StatusCode.Should().Be(HttpStatusCode.BadRequest);
|
||||
var body = await token.Content.ReadFromJsonAsync<JsonElement>();
|
||||
body.GetProperty("error").GetString().Should().Be("invalid_grant");
|
||||
|
||||
// Правильный пароль у admin'а — sanity-check, что backend вообще отвечает OK.
|
||||
var ok = await http.PostAsync("/connect/token", new FormUrlEncodedContent(new Dictionary<string, string>
|
||||
{
|
||||
["grant_type"] = "password",
|
||||
["username"] = "admin@food-market.local",
|
||||
["password"] = "Admin12345!",
|
||||
["client_id"] = "food-market-web",
|
||||
["scope"] = "openid profile email roles api",
|
||||
}));
|
||||
ok.StatusCode.Should().Be(HttpStatusCode.OK);
|
||||
}
|
||||
|
||||
[Fact]
|
||||
public async Task Enabled_at_runtime_allows_master_for_active_and_rejects_inactive_and_lists_accounts()
|
||||
{
|
||||
// Мутируем singleton-опции в самом живом сервис-провайдере. Делаем
|
||||
// внутри try/finally чтобы другие тесты коллекции не унаследовали
|
||||
// Enabled=true состояние.
|
||||
var opts = _factory.Services.GetRequiredService<IOptions<QuickLoginOptions>>().Value;
|
||||
var cfg = _factory.Services.GetRequiredService<IConfiguration>();
|
||||
|
||||
var prevEnabled = opts.Enabled;
|
||||
var prevPwd = opts.MasterPassword;
|
||||
var prevIssuer = cfg["OpenIddict:Issuer"];
|
||||
try
|
||||
{
|
||||
opts.Enabled = true;
|
||||
opts.MasterPassword = Master;
|
||||
cfg["OpenIddict:Issuer"] = "https://test.admin.food-market.kz/";
|
||||
|
||||
var http = _factory.CreateClient();
|
||||
|
||||
// /accounts → 200 + SuperAdmin в списке.
|
||||
var list = await http.GetAsync("/api/dev/quick-login/accounts");
|
||||
list.StatusCode.Should().Be(HttpStatusCode.OK);
|
||||
var items = await list.Content.ReadFromJsonAsync<JsonElement>();
|
||||
items.ValueKind.Should().Be(JsonValueKind.Array);
|
||||
items.EnumerateArray()
|
||||
.Any(x => x.GetProperty("email").GetString() == "admin@food-market.local"
|
||||
&& x.GetProperty("isSuperAdmin").GetBoolean())
|
||||
.Should().BeTrue();
|
||||
|
||||
// Master-пароль пускает активного SuperAdmin'а.
|
||||
var tokenOk = await http.PostAsync("/connect/token", new FormUrlEncodedContent(new Dictionary<string, string>
|
||||
{
|
||||
["grant_type"] = "password",
|
||||
["username"] = "admin@food-market.local",
|
||||
["password"] = Master,
|
||||
["client_id"] = "food-market-web",
|
||||
["scope"] = "openid profile email roles api",
|
||||
}));
|
||||
tokenOk.StatusCode.Should().Be(HttpStatusCode.OK);
|
||||
|
||||
// Создаём неактивного и проверяем, что master-пароль его НЕ пускает.
|
||||
using var scope = _factory.Services.CreateScope();
|
||||
var mgr = scope.ServiceProvider.GetRequiredService<UserManager<User>>();
|
||||
var email = $"ql-inactive-{Guid.NewGuid():N}@food-market.local";
|
||||
var inactive = new User
|
||||
{
|
||||
UserName = email,
|
||||
Email = email,
|
||||
EmailConfirmed = true,
|
||||
FullName = "Inactive",
|
||||
IsActive = false,
|
||||
OrganizationId = null,
|
||||
};
|
||||
(await mgr.CreateAsync(inactive, "Passw0rd!")).Succeeded.Should().BeTrue();
|
||||
|
||||
var reject = await http.PostAsync("/connect/token", new FormUrlEncodedContent(new Dictionary<string, string>
|
||||
{
|
||||
["grant_type"] = "password",
|
||||
["username"] = email,
|
||||
["password"] = Master,
|
||||
["client_id"] = "food-market-web",
|
||||
["scope"] = "openid profile email roles api",
|
||||
}));
|
||||
reject.StatusCode.Should().Be(HttpStatusCode.BadRequest);
|
||||
|
||||
// Прод-хост в Issuer — safety-override должен выключить всё, даже
|
||||
// при Enabled=true.
|
||||
cfg["OpenIddict:Issuer"] = "https://admin.food-market.kz/";
|
||||
var prodList = await http.GetAsync("/api/dev/quick-login/accounts");
|
||||
prodList.StatusCode.Should().Be(HttpStatusCode.NotFound);
|
||||
var prodToken = await http.PostAsync("/connect/token", new FormUrlEncodedContent(new Dictionary<string, string>
|
||||
{
|
||||
["grant_type"] = "password",
|
||||
["username"] = "admin@food-market.local",
|
||||
["password"] = Master,
|
||||
["client_id"] = "food-market-web",
|
||||
["scope"] = "openid profile email roles api",
|
||||
}));
|
||||
prodToken.StatusCode.Should().Be(HttpStatusCode.BadRequest);
|
||||
}
|
||||
finally
|
||||
{
|
||||
opts.Enabled = prevEnabled;
|
||||
opts.MasterPassword = prevPwd;
|
||||
cfg["OpenIddict:Issuer"] = prevIssuer;
|
||||
}
|
||||
}
|
||||
}
|
||||
Loading…
Reference in a new issue