Задачи 011-024: доработки по ревью кодовой базы и исправление находок

Ревью кодовой базы (docs/reviews/2026-09-26-codebase-review.md) и планы по каждой находке: 011 IP уникален в VRF и хранится в самом узком префиксе (addresses.vrf_id, составной FK с каскадом при переносе VRF, миграция 0007 с остановкой на дублях). 012 Ограничение попыток входа (login_attempts, 429 + Retry-After), выравнивание времени ответа, журнал без вытеснения анонимными событиями (миграция 0006). 013 Границы пагинации: отрицательные/чрезмерные limit/offset дают 422 вместо 500. 014 Экран адресов: страница свободных адресов арифметикой, пагинация в SQL. 015 Запрет адреса сети/broadcast, загрузка не выше 100 %. 016 Роль по умолчанию — viewer. 017 Проверка JWT_SECRET/ADMIN_PASSWORD при старте. 018 null в PATCH очищает текстовые поля; нейтральный текст конфликта БД. 019 Пакетная загрузка в списках вместо N+1. 020 Автоназначение адреса вне вложенных префиксов, с блокировкой префикса. 021 Advisory-lock при снятии прав администратора, уникальный lower(username) (миграция 0008). 022 Контейнер не от root, healthcheck, блокировка миграций, requirements.lock. 023 Экранирование LIKE, журнал отказов очистки, заголовки безопасности, учёт force-удаления, отзыв токенов при смене пароля (claim pv, миграция 0005). 024 Исправление находок ревью 011-023 (docs/reviews/2026-09-26-changes-011-023-review.md): сериализация попыток входа, запрет переноса адресов в адрес сети/broadcast, журнал входов, запрет смены своего пароля через PATCH, валидация PATCH устройства, обновлён тест токенов. Тесты: 14 passed. Документация: README.md, docs/changes/011-024, docs/reviews. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-09-26 21:33:50 +03:00
1 parent cd09ef0805
commit 13e17fbb47
@@ -0,0 +1,30 @@
+# Экран адресов: ресурсоёмкие ветки list_addresses (изменение 014)
+
+Находка ревью № 4, серьёзность — средняя (DoS с ролью viewer).
+
+## Context
+`GET /prefixes/{id}/addresses` (`app/api/v1/prefixes.py`, `list_addresses`):
+- при `status=free` собирает в память `offset + limit` свободных адресов; `offset` не ограничен → на IPv6-префиксе один запрос с `offset=10^8` занимает CPU и память воркера;
+- без фильтров основной запрос идёт **без LIMIT/OFFSET** — на крупных подсетях загружаются все адреса ради одной страницы.
+
+## Решение
+1. **Свободные адреса без материализации:** функция `free_page(net, occupied_sorted, offset, limit)` в `app/services.py` — идёт по занятым диапазонам,
+   считает длины свободных промежутков арифметически, пропускает `offset` без перебора и возвращает только `limit` адресов. Для IPv4 ≤ /30 учитывает исключение адреса сети и broadcast.
+   Занятые адреса — одним запросом `SELECT address … ORDER BY address` (для пула из 10⁵ адресов — приемлемо; при росте — курсор по ключу).
+2. **Режимы:**
+   - `status` = assigned/reserved/deprecated или поиск `q` → пагинация в SQL (`ORDER BY address LIMIT/OFFSET`, `total` — `count()`);
+   - без фильтров и `cap <= FREE_LISTING_LIMIT` (4096) → как сейчас, смешанный список (он ограничен размером подсети);
+   - без фильтров и `cap > FREE_LISTING_LIMIT` → только записанные адреса, пагинация в SQL (сейчас — выборка всего и срез в Python);
+   - `status=free` → `free_page`, `total = summary.free`.
+3. `offset` — верхний предел как в № 013; для `status=free` дополнительно `offset <= summary.free`.
+4. Ответ API и поведение UI (кнопка «Показать ещё 100») не меняются.
+
+## Файлы
+`app/services.py`, `app/api/v1/prefixes.py`, `tests/test_api.py`, `README.md`.
+
+## Тест
+- Чистая функция `free_page`: IPv4 /24 с занятыми `.1–.3` → offset 0 даёт `.4…`; offset за пределами → пусто; IPv6 /64 с `offset=10^12` — мгновенно.
+- API: `status=free&offset=1000000` на IPv6 /64 отвечает быстро (порог времени в тесте не ставим — проверяем корректность адресов).
+
+## Проверка
+`pytest -q`; экран адресов демо-префиксов `10.10.1.0/24` и `fd00::/8` в UI: списки, фильтр «Свободен», «Показать ещё 100». Замер времени ответа до/после на `/16` с 60 000 адресов (скрипт в scratchpad).
@@ -0,0 +1,11 @@
+# Итог: экран адресов — ресурсоёмкие ветки (изменение 014)
+
+## Что сделано
+- `app/services.py`: `free_page(net, occupied, offset, limit)` — страница свободных адресов арифметикой по промежуткам (без перебора; IPv4 ≤ /30 без адреса сети и broadcast).
+- `list_addresses` переписан: `status=free` → `free_page`, `total = summary.free`; фильтры `status`/`q` и подсети > /20 без фильтров — пагинация и `count` в SQL (раньше загружались все адреса и нарезались в Python); малые подсети без фильтров — смешанный список, как раньше (ограничен размером подсети).
+  `offset` ≤ 10 000 000 (изменение 013). Ответ API и поведение UI не менялись.
+- `README.md`: раздел «Модель данных».
+
+## Проверка
+Проверка: стенд `ipam_control_006` пересобран, миграции применены до 0008 (`alembic check` — расхождений нет); ручная проверка (скрипт во временной папке, в репозиторий не добавлялся); автотесты по условию этапа не писались. IPv6 /48, `status=free&offset=9000000` → 200 за ~0,02 с; `offset` выше предела → 422; первые свободные адреса, смешанный список /25 (126 строк) корректны.
+Не проверено: замер на /16 с десятками тысяч адресов; экран адресов в браузере.