28 lines
3.3 KiB
Markdown
28 lines
3.3 KiB
Markdown
 
|
# Мелкие улучшения безопасности и журнала (изменение 023)
|
|||
|
|
|
|||
|
|
Находка ревью № 13, серьёзность — низкая. Пункты независимы, внедряются одним изменением.
|
|||
|
|
|
|||
|
|
## Context и решение
|
|||
|
|
1. **LIKE без экранирования.** `list_prefixes`, `list_users`, `_like()` в `refs.py` не экранируют `%` и `_` (в журнале это сделано — `_escape_like`).
|
|||
|
|
→ Перенести `_escape_like` в `app/services.py` как общий `like_pattern(q)` и использовать во всех поисках (`escape="\\"`).
|
|||
|
|
2. **Неудачные попытки очистки журнала не журналируются.** → В `clear_journal` при неверном пароле — запись `journal.clear_failed` (осталось попыток), при блокировке — `journal.clear_locked`.
|
|||
|
|
Бейджи в UI (`eventBadge`): `clear_failed`/`clear_locked` — красный.
|
|||
|
|
3. **Нет заголовков безопасности.** → В `RequestContextMiddleware` (или отдельном ASGI-middleware) добавлять к ответам:
|
|||
|
|
`Content-Security-Policy: default-src 'self'; img-src 'self' data:; style-src 'self'; frame-ancestors 'none'`, `X-Content-Type-Options: nosniff`,
|
|||
|
|
`Referrer-Policy: no-referrer`. Проверить, что UI не использует inline-скрипты/стили (в `app.js` есть атрибуты `style="…"` → для них нужен `style-src 'self' 'unsafe-inline'`;
|
|||
|
|
скрипты inline не используются). Swagger `/docs` грузит ресурсы с CDN → для путей `/docs`, `/redoc` CSP не ставится.
|
|||
|
|
4. **Удаление префикса с `force=true`** не фиксирует число удалённых адресов. → Подсчёт до удаления, `diff: {"force": true, "addresses_deleted": N}`.
|
|||
|
|
5. **Токены после смены пароля действуют до истечения.** → Колонка `users.password_changed_at` (миграция), в токен — `iat`; `current_user` отклоняет токены с `iat < password_changed_at`.
|
|||
|
|
Смена пароля самим пользователем выдаёт новый токен в ответе (`/users/me/password` → `{"ok": true, "access_token": …}`), UI сохраняет его — текущая сессия не прерывается.
|
|||
|
|
|
|||
|
|
## Файлы
|
|||
|
|
`app/services.py`, `app/api/v1/{refs,prefixes,users,journal,auth}.py`, `app/request_context.py`, `app/security.py`, `app/models.py`,
|
|||
|
|
`alembic/versions/<next>_password_changed_at.py`, `web/app.js`, `tests/test_api.py`, `tests/test_users.py`, `README.md`.
|
|||
|
|
|
|||
|
|
## Тесты (минимум)
|
|||
|
|
- Поиск организаций по `%` не возвращает все записи.
|
|||
|
|
- Смена пароля: старый токен → 401, новый из ответа → 200.
|
|||
|
|
- Заголовки: `GET /` содержит `Content-Security-Policy` и `X-Content-Type-Options`.
|
|||
|
|
|
|||
|
|
## Проверка
|
|||
|
|
`pytest -q`; в браузере (Playwright) — пройти все экраны UI без ошибок CSP в консоли; журнал — записи `journal.clear_failed`.
|