nns/food-market
1
0
Fork 0
Code Issues Pull requests Actions Packages Projects Releases Wiki Activity
food-market/docs/quick-login-progress.md
nns ed5089bac3 feat(s30): /api/dev/quick-login/accounts — анонимный список для стенда (шаг 3/9) 
Анонимный эндпоинт, который ВИДЕН только когда QuickLogin эффективно
включён (EffectivelyEnabled=true). В проде отдаёт 404, чтобы по наличию
эндпоинта нельзя было вычислить среду.

Фильтрация:
- IsActive=false → не показываем;
- автотестовые (prefix cat31-/visual-/factory-/mt6*/doc4*/auth2*/rep5*/
  rt8*/wiz9*/quality-/i18n*/twofa*/a11y-/mob14-/mob15-/iso*/axdet-/
  smoke-/ratetest-/perf-/probe-/load-/s19-test-/admin-/cashier-/
  keeper-) → не показываем;
- email@e.kz, @test-fm.local — служебные домены diag-probes, тоже скрыты;
- длинный числовой суффикс [0-9]{10,} в email → автотест.

Порядок: SuperAdmin → demo → остальные (ThenBy email для стабильности).
Лимит 50 + поиск ?q по email/full-name/org-name/role (case-insensitive).

Карточка: email, FullName, роль (SuperAdmin / EmployeeRole.Name),
название org, флаги IsSuperAdmin/IsDemo для сортировки/отображения.

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>
2026-10-04 15:38:23 +05:00

4.9 KiB
Raw Blame History

Quick Login — прогресс

Задача владельца: на test.admin.food-market.kz не набирать логин/пароль руками. Выбрать аккаунт из списка, пароль у всех один — 123456. На admin.food-market.kz этого нет никогда (несколько независимых предохранителей).

Координатор отдельно проверил: на стейдже нет реальных секретов (МойСклад токенов нет, ОФД-ключей нет, Telegram не привязан, SMTP пустой) — потому открытый мастер-пароль на стенде безопасен.

Чек-лист

  • 1. Флаг конфигурации — QuickLogin:Enabled (default false) + QuickLogin:MasterPassword (default 123456). Включается только через env-переменные QuickLogin__Enabled=true в stage-compose. Жёсткий предохранитель: если OpenIddict:Issuer указывает на admin.food-market.kz — быстрый вход принудительно выключен и в лог Warning.
  • 2. Мастер-пароль — password-grant: QuickLogin:MasterPassword работает как второй вход рядом со своим паролем. Неактивные/без-org пользователи — отшиваются как раньше. Rate-limit не ослаблять.
  • 3. API списка аккаунтов — GET /api/dev/quick-login/accounts (анонимный, 404 если выключен). Порядок: SuperAdmin → демо-* → остальные «человеческие». Autotest-патéрны (cat31-, visual-, factory-smoke-, mt6, quality-, i18n-, auth2-, doc4-, rep5-, rt8-, twofa-, wiz9-, a11y-, mob1*-, isoB-, axdet-, smoke-, ratetest-, perf-, probe-, load-, s19-test- и всё с суффиксом из ≥10 цифр) — скрыты. Лимит 50 + ?q=.
  • 4. Демо-аккаунты — идемпотентный сид «Демо-магазин» (через существующий DemoTenantSeeder) + сотрудники с ролями Admin / Cashier / Storekeeper (demo-admin@food-market.local, demo-cashier@..., demo-keeper@...). Запускается только при Enabled=true.
  • 5. Страница входа (web) — если GET .../accounts вернул 200 — над обычной формой блок «Быстрый вход (тестовый стенд)» с карточками + поиск. Клик — моментальный логин через мастер-пароль. На проде блока нет.
  • 6. Плашка «ТЕСТОВЫЙ СТЕНД» — при Enabled=true жёлтая полоса сверху + <meta robots="noindex,nofollow"> в index.html стенда.
  • 7. Чистка автотестового мусора — SQL-скрипт для стейджа + расширение HousekeepingJobs.PruneQualityTestOrgsAsync на новые autotest-патéрны, чтобы cron 02:30 UTC гасил новые юзеры сам. Не трогать: SuperAdmin, admin@demo-market.local, market@email.com, demo-* аккаунты.
  • 8. Тесты — integration (3): Enabled=false → эндпоинт 404 + мастер- пароль отвергается; Issuer=admin.food-market.kz → выключен даже с Enabled=true; Enabled=true → мастер-пароль пускает активного и не пускает неактивного. E2E stage: клик по демо-кассиру → меню кассира. Прод: curl https://admin.food-market.kz/api/dev/quick-login/accounts → 404.
  • 9. Деплой + документация — поднять env в stage-compose (локальный репо + prod-vm ~/food-market-stage/deploy/docker-compose.yml), ~/deploy-stage.sh, ретест, docs/quick-login.md.

Правила (сам себе)

  • Мастер-пароль и список аккаунтов — никогда не на проде. По умолчанию выключено, Issuer=admin.* — выключено независимо от флага.
  • После каждого пункта: build + соответствующие тесты + коммит порцией + [x] в этом файле.
  • Не трогать: прод admin.food-market.kz (кроме read-only проверки 404), global.json, POS WPF, gateway nginx.

Условие остановки

9 пунктов [x], тесты зелёные, стейдж задеплоен, прод-эндпоинт 404 → итог в этом файле + touch ~/.fm-watchdog/DONE.