Задачи 011-024: доработки по ревью кодовой базы и исправление находок

Ревью кодовой базы (docs/reviews/2026-09-26-codebase-review.md) и планы по каждой находке: 011 IP уникален в VRF и хранится в самом узком префиксе (addresses.vrf_id, составной FK с каскадом при переносе VRF, миграция 0007 с остановкой на дублях). 012 Ограничение попыток входа (login_attempts, 429 + Retry-After), выравнивание времени ответа, журнал без вытеснения анонимными событиями (миграция 0006). 013 Границы пагинации: отрицательные/чрезмерные limit/offset дают 422 вместо 500. 014 Экран адресов: страница свободных адресов арифметикой, пагинация в SQL. 015 Запрет адреса сети/broadcast, загрузка не выше 100 %. 016 Роль по умолчанию — viewer. 017 Проверка JWT_SECRET/ADMIN_PASSWORD при старте. 018 null в PATCH очищает текстовые поля; нейтральный текст конфликта БД. 019 Пакетная загрузка в списках вместо N+1. 020 Автоназначение адреса вне вложенных префиксов, с блокировкой префикса. 021 Advisory-lock при снятии прав администратора, уникальный lower(username) (миграция 0008). 022 Контейнер не от root, healthcheck, блокировка миграций, requirements.lock. 023 Экранирование LIKE, журнал отказов очистки, заголовки безопасности, учёт force-удаления, отзыв токенов при смене пароля (claim pv, миграция 0005). 024 Исправление находок ревью 011-023 (docs/reviews/2026-09-26-changes-011-023-review.md): сериализация попыток входа, запрет переноса адресов в адрес сети/broadcast, журнал входов, запрет смены своего пароля через PATCH, валидация PATCH устройства, обновлён тест токенов. Тесты: 14 passed. Документация: README.md, docs/changes/011-024, docs/reviews. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2026-09-26 21:33:50 +03:00
1 parent cd09ef0805
commit 13e17fbb47
@@ -0,0 +1,26 @@
+# Эксплуатация: контейнер, миграции, TLS, зависимости (изменение 022)
+
+Находка ревью № 12, серьёзность — низкая.
+
+## Context
+- `Dockerfile`: процесс работает от root, нет `HEALTHCHECK`; у сервиса `app` в compose нет `healthcheck`, хотя `/healthz` есть.
+- `alembic upgrade head` в `CMD` выполняется при старте каждой реплики — при масштабировании миграции гоняются параллельно.
+- Приложение отдаётся по HTTP на `0.0.0.0:8088`: JWT и пароли идут открытым текстом по LAN.
+- Зависимости заданы диапазонами без lock-файла — сборки невоспроизводимы.
+
+## Решение
+1. **Dockerfile:** пользователь `app` (uid 10001), `USER app`; `HEALTHCHECK` через `python -c` запрос к `/healthz` (curl в slim-образе отсутствует).
+2. **Compose:** `healthcheck` у `app`; `restart: unless-stopped` у обоих сервисов; порт приложения по умолчанию — `127.0.0.1:${APP_PORT}` с переменной `APP_BIND` (по умолчанию 127.0.0.1)
+   для явного открытия в LAN.
+3. **Миграции:** в `alembic/env.py` — `pg_advisory_lock` на время `run_migrations` (одна реплика мигрирует, остальные ждут и видят актуальную схему).
+4. **TLS:** раздел README «Публикация» — пример блока Caddy (на хосте уже есть контейнер `caddy`) с reverse-proxy на `127.0.0.1:${APP_PORT}` и `TRUSTED_PROXIES` = адрес сети Docker прокси.
+   Конфигурацию Caddy на хосте не меняем — только документация.
+5. **Зависимости:** `requirements.lock` через `pip-compile` (pip-tools в `requirements-dev.txt`); `Dockerfile` ставит из lock-файла; обновление — командой из README.
+
+## Файлы
+`Dockerfile`, `docker-compose.yml`, `alembic/env.py`, `requirements.lock`, `requirements-dev.txt`, `.env.example`, `README.md`.
+
+## Проверка
+- Пересборка стенда `ipam_control_006`: контейнер `healthy`, процесс не root (`docker exec … id`), тесты `pytest -q` проходят.
+- Два одновременных `docker compose run app alembic upgrade head` на пустой БД — без ошибок.
+- Изменение `APP_BIND` по умолчанию меняет доступность с LAN — **согласовать с пользователем перед внедрением** (сейчас UI открывается по 192.168.5.9:8088).