Задачи 011-024: доработки по ревью кодовой базы и исправление находок

Ревью кодовой базы (docs/reviews/2026-09-26-codebase-review.md) и планы по каждой находке: 011 IP уникален в VRF и хранится в самом узком префиксе (addresses.vrf_id, составной FK с каскадом при переносе VRF, миграция 0007 с остановкой на дублях). 012 Ограничение попыток входа (login_attempts, 429 + Retry-After), выравнивание времени ответа, журнал без вытеснения анонимными событиями (миграция 0006). 013 Границы пагинации: отрицательные/чрезмерные limit/offset дают 422 вместо 500. 014 Экран адресов: страница свободных адресов арифметикой, пагинация в SQL. 015 Запрет адреса сети/broadcast, загрузка не выше 100 %. 016 Роль по умолчанию — viewer. 017 Проверка JWT_SECRET/ADMIN_PASSWORD при старте. 018 null в PATCH очищает текстовые поля; нейтральный текст конфликта БД. 019 Пакетная загрузка в списках вместо N+1. 020 Автоназначение адреса вне вложенных префиксов, с блокировкой префикса. 021 Advisory-lock при снятии прав администратора, уникальный lower(username) (миграция 0008). 022 Контейнер не от root, healthcheck, блокировка миграций, requirements.lock. 023 Экранирование LIKE, журнал отказов очистки, заголовки безопасности, учёт force-удаления, отзыв токенов при смене пароля (claim pv, миграция 0005). 024 Исправление находок ревью 011-023 (docs/reviews/2026-09-26-changes-011-023-review.md): сериализация попыток входа, запрет переноса адресов в адрес сети/broadcast, журнал входов, запрет смены своего пароля через PATCH, валидация PATCH устройства, обновлён тест токенов. Тесты: 14 passed. Документация: README.md, docs/changes/011-024, docs/reviews. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-09-26 21:33:50 +03:00
1 parent cd09ef0805
commit 13e17fbb47
@@ -0,0 +1,25 @@
+# Проверка секретов при старте (изменение 017)
+
+Находка ревью № 7, серьёзность — средняя.
+
+## Context
+`Settings.jwt_secret = "dev-only-secret"` (`app/config.py`). При запуске без `JWT_SECRET` (локально, другое развёртывание) токены подписываются
+общеизвестным ключом — их можно подделать для любого логина. В compose пустое значение даёт 500 при входе (PyJWT отвергает пустой ключ) — ошибка всплывает поздно.
+Аналогично: при пустой БД и пустом `ADMIN_PASSWORD` администратор молча не создаётся.
+
+## Решение
+1. `app/config.py`: `jwt_secret: str` без значения по умолчанию; валидатор — не короче 32 символов и не из списка известных заглушек (`change-me`, `dev-only-secret`, `secret`).
+   Ошибка — при импорте настроек, т.е. при старте: контейнер падает с понятным сообщением «JWT_SECRET не задан или слишком короткий (python scripts/gen_env.py)».
+2. `app/main.py` `seed()`: пустая таблица `users` и пустой `ADMIN_PASSWORD` → `logging.warning` с инструкцией (не падение: БД может заполняться иначе);
+   `ADMIN_PASSWORD` короче 8 символов → отказ старта (иначе создаётся пароль слабее, чем разрешает UI).
+3. `.env.example`: пометка, что `JWT_SECRET` ≥ 32 символов; `scripts/gen_env.py` уже генерирует 64 символа — без изменений.
+4. `alembic/env.py` импортирует `settings` — проверить, что миграции не требуют `JWT_SECRET` (при необходимости вынести `database_url` в отдельный доступ).
+
+## Файлы
+`app/config.py`, `app/main.py`, `alembic/env.py` (при необходимости), `.env.example`, `README.md` (Быстрый старт).
+
+## Тест
+Юнит-тест без БД: `Settings(jwt_secret="short")` → `ValidationError`; `Settings(jwt_secret="x"*32)` — успешно.
+
+## Проверка
+Пересборка стенда с текущим `.env` — старт успешен; запуск контейнера с `JWT_SECRET=` → контейнер завершается с сообщением в логах; `alembic upgrade head` работает.