nns 9d48ca6483 fix(rate-limit): per-username 5/мин + per-IP 30/мин — brute-force на конкретный аккаунт ловится, CI/NAT не страдают ... Регрессия после ba54155: rate-limit 5/мин per-IP сваливал stage e2e (75 тестов с одного IP, каждый по /connect/token при apiSignup → 22+ из них падали на 429 после 5-й попытки). Per-IP лимит был неправильной осью защиты. Новая стратегия в AuthRateLimiterExtensions: - Per-username (только /connect/token): 5/мин, 20/час. Защищает от перебора пароля к конкретному account независимо от IP атакующего. Username вытаскивается form-body peek-middleware'ом перед UseRateLimiter (EnableBuffering + ручной парс x-www-form-urlencoded, тело ≤4KB). - Per-IP (token+signup): 30/мин, 200/час. Защищает от спам-регистрации и от 1-IP-перебирает-тысячи-аккаунтов сценария. - Back-compat: legacy RateLimiting:PerMinute/PerHour мапятся в IP-лимит. Проверено через https://test.admin.food-market.kz: - 6 неверных попыток на ОДНУ учётку → 6-я → 429 ✓ - 8 неверных попыток на РАЗНЫЕ учётки с того же IP → все 400 (IP-лимит 30/мин не достигнут) ✓ Также добавлены verify-spec'и stage-ui-verify-pos-sync (п.14) и stage-ui-verify-stock-race (п.15). Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>		2026-06-04 17:20:28 +05:00
..
Authorization	feat(authz): permission-based авторизация по флагам роли (P0-5)	2026-05-27 02:37:28 +05:00
Cqrs	feat(auth): TOTP 2FA для админов через AuthenticatorTokenProvider (P2-4)	2026-05-28 17:57:32 +05:00
Email	feat(email): HTML-шаблоны MailKit + invite/weekly/low-stock джобы (P1-22)	2026-05-28 16:37:32 +05:00
Health	feat(api): health-пробы /health/live и /health/ready (P0-4)	2026-05-27 02:23:48 +05:00
Observability	feat(logging): структурные log-fields в Serilog (TD-4)	2026-05-28 17:46:17 +05:00
RateLimiting	fix(rate-limit): per-username 5/мин + per-IP 30/мин — brute-force на конкретный аккаунт ловится, CI/NAT не страдают	2026-06-04 17:20:28 +05:00
Security	feat(auth): prod X509-ключи OpenIddict с persistent self-signed (P0-1)	2026-05-27 02:47:00 +05:00
Tenancy	feat(audit): per-tenant журнал мутаций OrgAuditLog (P1-18)	2026-05-28 16:26:36 +05:00
Validation	feat(validation): FluentValidation + ValidationFilter для DTO (TD-2)	2026-05-28 17:40:46 +05:00
IdentityRoleMapper.cs	fix(auth): Cashier/Storekeeper больше не видят /api/organization/employees + Identity-роль маппится из orgRole	2026-05-08 01:03:30 +05:00