diff --git a/.env.example b/.env.example index 76f9a49..185f06f 100644 --- a/.env.example +++ b/.env.example @@ -11,3 +11,6 @@ DB_HOST_PORT=55432 # APP_BIND=127.0.0.1 — публиковать порт приложения только на loopback (за reverse-proxy с TLS); по умолчанию 0.0.0.0 # CIDR доверенных reverse-proxy через запятую (у них берётся X-Forwarded-For); по умолчанию пусто — IP клиента = адрес сокета TRUSTED_PROXIES= +# Публикация через общий Caddy на этом же хосте (изменение 034): Caddy ходит на опубликованный порт и приходит +# с адреса шлюза Docker-моста — доверять диапазону мостов +# TRUSTED_PROXIES=172.16.0.0/12 diff --git a/README.md b/README.md index a3f56f6..97e3d7c 100644 --- a/README.md +++ b/README.md @@ -28,7 +28,7 @@ venv/bin/python scripts/seed_demo.py # по желанию: демо-да | Слой | Технологии | |---|---| | API | FastAPI, pydantic v2, JWT (срок 8 ч), пароли в argon2, роли `superadmin`, `admin`, `viewer` с привязкой к организации | -| БД | PostgreSQL 16, SQLAlchemy 2, Alembic (миграции `0001`–`0013`), типы `CIDR`/`INET` | +| БД | PostgreSQL 16, SQLAlchemy 2, Alembic (миграции `0001`–`0014`), типы `CIDR`/`INET` | | UI | Статический SPA (vanilla JS, ES-модуль) раздаётся приложением; шрифты IBM Plex хранятся локально, внешних зависимостей нет | ``` @@ -125,18 +125,22 @@ docs/changes/ планы и итоги доработок docs/reviews/ - Контейнер приложения работает от непривилегированного пользователя, у него есть healthcheck (`/healthz`) и перезапуск `unless-stopped`. - Миграции выполняются при старте под advisory-lock. Зависимости зафиксированы в `requirements.lock` (обновление: `venv/bin/pip-compile --strip-extras -o requirements.lock requirements.txt`). -- Приложение отдаёт HTTP. Для TLS поставьте reverse-proxy и задайте `APP_BIND=127.0.0.1` и `TRUSTED_PROXIES`. Пример для Caddy: - ``` - ipam.example.com { - reverse_proxy 127.0.0.1:8088 - } - ``` +- Приложение отдаёт HTTP, TLS обеспечивает reverse-proxy. Стенд опубликован как `https://rxipam.rxmsk.ru` через общий Caddy хоста + (`/opt/lvraid/apps/caddy/Caddyfile`, блок `rxipam.rxmsk.ru`): + - Caddy проксирует на опубликованный порт приложения (`172.19.0.1:8088` — шлюз его Docker-сети). Сети не объединяются: + в сети Caddy уже есть сервисы с именами `app` и `db`. + - Из интернета доступны UI и `/api/v1`. `/docs`, `/redoc`, `/openapi.json` — только из частных сетей (RFC 1918/4193, loopback), иначе 404. + - `TRUSTED_PROXIES=172.16.0.0/12` в `.env`: Caddy приходит в приложение с адреса шлюза Docker-моста, реальный IP клиента берётся + из `X-Forwarded-For`. Без этого все интернет-клиенты делят один IP — и лимит входа, и журнал. + - LAN-клиенты по публичному имени идут через hairpin NAT шлюза и видны как `192.168.5.253`. Чтобы видеть их реальные адреса, + нужен split DNS: `rxipam.rxmsk.ru` → `192.168.5.9` внутри LAN. - Переход на ролевую модель (миграция 0011): прежние `admin` становятся `superadmin`, прежние `viewer` отключаются до назначения организации суперадминистратором. - Перед обновлением рабочей БД проверьте данные скриптами только для чтения: `scripts/find_duplicate_addresses.py` и `scripts/find_unusable_addresses.py`. - Имя compose-проекта задаётся флагом `-p`. Текущий стенд поднят как `ipam_control_006` (`docker compose -p ipam_control_006 …`); без флага команды работают с проектом `ipam_control`. ## Интерфейс - Экраны: «Обзор», «Префиксы» (дерево по VRF), «Адреса» подсети, «Организации», «Операторы», «Устройства», «Журнал», «Пользователи» (только `superadmin`). +- В «Пользователях» видна дата и IP последнего входа (изменение 035); «—», если пользователь ещё не входил. - Переключатель организации — только у `superadmin`; `admin`/`viewer` работают в своей организации. - Строка реестра кликабельна целиком. Действия над строкой — в меню «⋯». - Групповые операции через чекбоксы (кроме «Журнала»): удаление, смена типа устройств, статус префиксов и адресов, доступ пользователей. @@ -185,6 +189,8 @@ docker compose -p ipam_control_006 up -d --build && venv/bin/python -m pytest -q | 030 | Исправление замечаний ревью 025–029 | [план](docs/changes/030-review-fixes-025-029/PLAN.md) · [итог](docs/changes/030-review-fixes-025-029/SUMMARY.md) | | 032 | Ролевая модель с привязкой к организации и суперадминистратором | [план](docs/changes/032-role-model-org-scope/PLAN.md) · [итог](docs/changes/032-role-model-org-scope/SUMMARY.md) | | 033 | Исправление находок ревью 032 | [план](docs/changes/033-review-fixes-032/PLAN.md) · [итог](docs/changes/033-review-fixes-032/SUMMARY.md) | +| 034 | Публикация через Caddy: rxipam.rxmsk.ru | [план](docs/changes/034-caddy-publication/PLAN.md) · [итог](docs/changes/034-caddy-publication/SUMMARY.md) | +| 035 | Последний вход пользователя: дата и IP | [план](docs/changes/035-user-last-login/PLAN.md) · [итог](docs/changes/035-user-last-login/SUMMARY.md) | ## Отчёты ревью - [Ревью кодовой базы](docs/reviews/2026-09-26-codebase-review.md) (находки → изменения 011–023) diff --git a/alembic/versions/0014_users_last_login.py b/alembic/versions/0014_users_last_login.py new file mode 100644 index 0000000..ee8a6ca --- /dev/null +++ b/alembic/versions/0014_users_last_login.py @@ -0,0 +1,32 @@ +"""Последний вход пользователя: дата и IP (изменение 035) + +Revision ID: 0014 +Revises: 0013 +""" +from alembic import op +import sqlalchemy as sa +from sqlalchemy.dialects.postgresql import INET + + +revision = "0014" +down_revision = "0013" +branch_labels = None +depends_on = None + + +def upgrade() -> None: + op.add_column("users", sa.Column("last_login_at", sa.DateTime(timezone=True), nullable=True)) + op.add_column("users", sa.Column("last_login_ip", INET(), nullable=True)) + + # Backfill из журнала: последнее событие session.login на username (если журнал ротирован/очищен — останется NULL) + op.execute(sa.text( + "UPDATE users SET last_login_at = a.ts, last_login_ip = a.client_ip " + "FROM (SELECT DISTINCT ON (username) username, ts, client_ip FROM audit_log " + "WHERE entity_type = 'session' AND action = 'login' ORDER BY username, ts DESC) a " + "WHERE users.username = a.username" + )) + + +def downgrade() -> None: + op.drop_column("users", "last_login_ip") + op.drop_column("users", "last_login_at") diff --git a/app/api/v1/auth.py b/app/api/v1/auth.py index 8f262a2..8d46c54 100644 --- a/app/api/v1/auth.py +++ b/app/api/v1/auth.py @@ -121,6 +121,8 @@ def login(body: LoginIn, db: Session = Depends(get_db)): raise HTTPException(401, "Неверный логин или пароль") db.execute(delete(LoginAttempt).where(LoginAttempt.username == name)) _remember_login(db, name, ip) + user.last_login_at = func.now() # изменение 035 + user.last_login_ip = ip # изменение 035 audit(db, user, "session", None, "login", user.username, message=f"Вход в UI: {user.username}") db.commit() return TokenOut(access_token=create_token(user)) diff --git a/app/models.py b/app/models.py index 52d7eb1..70cb288 100644 --- a/app/models.py +++ b/app/models.py @@ -149,6 +149,8 @@ class User(Base): organization_id: Mapped[int | None] = mapped_column(ForeignKey("organizations.id"), index=True) # изменение 032: NK для admin/viewer, NULL для superadmin is_active: Mapped[bool] = mapped_column(Boolean, default=True) password_changed_at: Mapped[datetime | None] = mapped_column(DateTime(timezone=True)) # токены с iat раньше — недействительны + last_login_at: Mapped[datetime | None] = mapped_column(DateTime(timezone=True)) # изменение 035: время последнего успешного входа + last_login_ip: Mapped[str | None] = mapped_column(INET) # изменение 035: IP последнего успешного входа Index("uq_users_lower_username", func.lower(User.username), unique=True) # логин уникален без учёта регистра diff --git a/app/schemas.py b/app/schemas.py index d3df566..7934f73 100644 --- a/app/schemas.py +++ b/app/schemas.py @@ -88,6 +88,13 @@ class UserOut(ORM): role: Role organization_id: int | None = None # изменение 032 is_active: bool = True + last_login_at: datetime | None = None # изменение 035 + last_login_ip: str | None = None # изменение 035 + + @field_validator("last_login_ip", mode="before") + @classmethod + def _last_login_ip_text(cls, v): + return ip_text(v) if v is not None else None class UserIn(BaseModel): diff --git a/docs/changes/034-caddy-publication/PLAN.md b/docs/changes/034-caddy-publication/PLAN.md new file mode 100644 index 0000000..7909fb1 --- /dev/null +++ b/docs/changes/034-caddy-publication/PLAN.md @@ -0,0 +1,117 @@ +# Публикация IPAM через Caddy: rxipam.rxmsk.ru (изменение 034) + +> Отклонение при выполнении: схема с общей сетью `app_internal` (раздел 1) отменена из-за коллизии имён `app`/`db` — см. `SUMMARY.md`. + +## Context +IPAM сейчас доступен только из LAN по HTTP (`192.168.5.9:8088`). Его нужно опубликовать в интернет через общий Caddy +(`/opt/lvraid/apps/caddy`) под `rxipam.rxmsk.ru` с TLS. + +**Решения пользователя:** +- из интернета доступны UI и `/api/v1`; +- Swagger и OpenAPI (`/docs`, `/redoc`, `/openapi.json`) доступны только из частных сетей (RFC 1918 / RFC 4193, loopback); +- CNAME `rxipam` → `mkt.rxmsk.ru` в Cloudflare пользователь создаёт сам. + +Отличить вызов API из UI от прямого вызова на уровне прокси нельзя: браузер SPA сам ходит в `/api/v1`. +Поэтому API в интернете защищают JWT, роли и лимиты входа приложения. + +**Факты разведки:** +- Caddy работает в контейнере `caddy`, сети `app_external` (172.18/16) и `app_internal` (172.19/16). + Сертификаты — ACME DNS-01 через Cloudflare, работает и без открытого 80. +- Caddy видит настоящие публичные IP клиентов (в логах `93.123.x`, `13.210.x` …), поэтому `remote_ip` для разграничения надёжен. + LAN-клиенты, заходящие по публичному имени, приходят с `192.168.5.253`: это шлюз MikroTik (hairpin NAT), он в частном диапазоне. +- Приложение (`ipam_control_006-app-1`) — в своей сети `ipam_control_006_default`, Caddy его сейчас не видит. +- `X-Forwarded-For` приложение учитывает только от `TRUSTED_PROXIES` (`app/request_context.py::resolve_client_ip`, справа налево). + Сейчас список пуст. Без него после публикации все интернет-клиенты получат один IP — IP Caddy, тогда: + - лимит 20 неудач на IP блокирует вход всем сразу; + - в журнале исчезнут реальные адреса. + +## Изменения + +### 1. Сеть: приложение в `app_internal` (репозиторий ipam_control) +- Новый `docker-compose.caddy.yml`: сервису `app` добавить сеть `app_internal` (external) с алиасом `ipam-app`, сеть `default` сохранить. + Отдельный файл нужен, чтобы стенд на машине без Caddy (без сети `app_internal`) продолжал подниматься базовым `docker-compose.yml`. +- `.env` стенда: + - `COMPOSE_FILE=docker-compose.yml:docker-compose.caddy.yml` — команды `docker compose -p ipam_control_006 …` из README и тестов не меняются; + - `TRUSTED_PROXIES=172.19.0.0/16` — подсеть `app_internal`. IP контейнера Caddy при пересоздании может смениться, поэтому /32 не подходит. + Остальные контейнеры этой сети — свои сервисы, риск подделки XFF от них приемлем. +- `.env.example`: закомментированные `COMPOSE_FILE` и `TRUSTED_PROXIES` с пояснением. +- `APP_BIND` оставить `0.0.0.0`: прямой LAN-доступ `:8088` сохраняется, порт на шлюзе наружу не проброшен. + +### 2. Caddyfile (`/opt/lvraid/apps/caddy/Caddyfile`) +- Перед правкой — копия `Caddyfile.bak-2026-09-27`. +- Править **на месте**: файл смонтирован в контейнер одиночным bind-mount `:ro`. Замена inode, как делают редакторы с atomic-rename, + оставит контейнер со старым файлом — после правки сверить `docker exec caddy cat /etc/caddy/Caddyfile`. +- Новый блок в стиле соседних (`vault`, `artstore`): +``` +# IPAM Manager +rxipam.rxmsk.ru { + log { + output file /var/log/caddy/rxipam.log { + roll_size 100mb + roll_keep 5 + roll_keep_for 720h + } + format json + level INFO + } + + # Swagger/OpenAPI — только из частных сетей (RFC 1918/4193, loopback); из интернета — как будто их нет + @docs_external { + path /docs /docs/* /redoc /redoc/* /openapi.json + not remote_ip private_ranges + } + respond @docs_external 404 + + reverse_proxy ipam-app:8000 + + header { + Strict-Transport-Security "max-age=31536000; includeSubDomains; preload" + -Server + } +} +``` +- `remote_ip` (TCP-пир), а не `client_ip`: у Caddy нет `trusted_proxies`, поэтому заголовки клиента на решение не влияют. +- XFF к приложению Caddy формирует сам и не доверяет входящему. Приложение берёт из него реальный IP (п. 1). +- `level INFO` — access-лог для разбора инцидентов (у соседей `ERROR`). CSP и прочие заголовки ставит приложение. +- Применение: + - `docker exec caddy caddy validate --config /etc/caddy/Caddyfile`; + - `docker exec caddy caddy reload --config /etc/caddy/Caddyfile`, без рестарта: остальные сайты не прерываются. + +### 3. Документация (правила проекта) +- `docs/changes/034-caddy-publication/PLAN.md` — этот план; по завершении — `SUMMARY.md`. +- `README.md`, раздел «Публикация и эксплуатация»: + - пример Caddy заменить фактической схемой: `docker-compose.caddy.yml`, `COMPOSE_FILE`, `TRUSTED_PROXIES`, ограничение Swagger; + - добавить строку 034 в историю изменений. +- План 031 частично перекрыт. Часть 2 (свой Caddy-профиль) заменяется общим Caddy. Часть 1 (`DOCS_ENABLED=false` по умолчанию) + остаётся как вторая линия защиты — отдельной задачей, в этот объём не входит. + +## Замечания (без действий в этом объёме) +- LAN-пользователи через публичное имя идут через hairpin и для приложения выглядят одним IP `192.168.5.253`. Они делят лимит + «20 неудач на IP» и неразличимы в журнале. Лечится split DNS на MikroTik (`rxipam.rxmsk.ru` → `192.168.5.9` внутри LAN): + трафик пойдёт на Caddy напрямую с реальным LAN-IP. Рекомендация пользователю. +- Если шлюз когда-либо начнёт делать SNAT входящего интернет-трафика (masquerade на WAN→LAN), интернет-клиенты + станут «частными» и получат Swagger. Это проверяется пунктом «из интернета» ниже; при смене конфигурации шлюза — перепроверять. + +## Порядок выполнения +1. Пользователь: CNAME `rxipam` → `mkt.rxmsk.ru` (proxy в Cloudflare выключен, как у соседних: иначе `remote_ip` = IP Cloudflare). +2. ipam_control: `docker-compose.caddy.yml`, `.env` (`COMPOSE_FILE`, `TRUSTED_PROXIES`), `docker compose -p ipam_control_006 up -d`; + проверить `docker exec caddy wget -qO- http://ipam-app:8000/healthz`. +3. Caddy: бэкап, правка блока, validate, reload. +4. Проверки (ниже), затем документация и коммит в ipam_control (Caddyfile вне репозитория). + +## Проверка +- DNS: `getent hosts rxipam.rxmsk.ru` → `62.176.10.113`. Сертификат выпущен: `docker logs caddy` без ошибок ACME, + `curl -sI https://rxipam.rxmsk.ru/` → 200, HSTS присутствует. +- Из LAN (частный IP): `/` 200, `/api/v1/auth/me` без токена 401, `/docs` и `/openapi.json` 200. +- Из интернета (мобильный интернет пользователя или внешний хост): + - `/` 200 и вход в UI работает; + - `/docs`, `/docs/`, `/redoc`, `/openapi.json`, `/openapi.json?x=1`, `//docs`, `/%64ocs` → 404; + - в `rxipam.log` у этих запросов `remote_ip` публичный, `status` 404. +- Реальный IP в приложении: войти из интернета → в журнале (событие входа) `client_ip` — публичный адрес, не `172.19.x`. + Вход из LAN через FQDN даёт `192.168.5.253`. +- Регрессия: `venv/bin/python -m pytest -q` (15 passed) — тесты идут на `127.0.0.1:8088`, мимо Caddy. +- Остальные сайты Caddy после reload отвечают: `curl -sI https://vault.rxmsk.ru`, `https://artstore.rxmsk.ru` → не 5xx. + +## Откат +- Caddy: вернуть `Caddyfile.bak-2026-09-27` (на месте) и `caddy reload`. +- ipam_control: убрать `COMPOSE_FILE`/`TRUSTED_PROXIES` из `.env`, `docker compose -p ipam_control_006 up -d`. diff --git a/docs/changes/034-caddy-publication/SUMMARY.md b/docs/changes/034-caddy-publication/SUMMARY.md new file mode 100644 index 0000000..b6d7516 --- /dev/null +++ b/docs/changes/034-caddy-publication/SUMMARY.md @@ -0,0 +1,53 @@ +# Итог: публикация через Caddy — rxipam.rxmsk.ru (изменение 034) + +План: `PLAN.md`. Стенд `ipam_control_006` опубликован как `https://rxipam.rxmsk.ru` через общий Caddy хоста (`/opt/lvraid/apps/caddy`). +Из интернета доступны UI и `/api/v1`; Swagger и OpenAPI — только из частных сетей. + +## Отклонение от плана: без общей Docker-сети +План предлагал подключить приложение к сети Caddy `app_internal` (`docker-compose.caddy.yml`, алиас `ipam-app`). +При применении обнаружилась коллизия имён. Compose регистрирует имя сервиса как DNS-алиас в каждой сети контейнера, +а в `app_internal` уже есть `db` и `app` стека Nextcloud: +- приложение по имени `db` ушло в базу Nextcloud и не стартовало; +- Caddy адресует Nextcloud как `app:9000` — второй `app` в той же сети ломал бы Nextcloud. + +Подключение откатили примерно через минуту: приложение всё это время перезапускалось, в логе Nextcloud ошибок нет, `rxcloud` отвечает. +**Итоговая схема:** Caddy проксирует на опубликованный порт приложения через шлюз своей сети — `reverse_proxy 172.19.0.1:8088`. +Сети не объединяются, `docker-compose.yml` не менялся, `docker-compose.caddy.yml` не создавался. + +## Что сделано +| Где | Изменение | +|---|---| +| `/opt/lvraid/apps/caddy/Caddyfile` (вне репозитория) | Блок `rxipam.rxmsk.ru`: access-лог `rxipam.log` (JSON, INFO, ротация); `@docs_external` (`/docs`, `/docs/*`, `/redoc`, `/redoc/*`, `/openapi.json` и `not remote_ip private_ranges`) → 404; `reverse_proxy 172.19.0.1:8088`; HSTS, `-Server`. Бэкап: `Caddyfile.bak-2026-09-27`. Правка на месте, inode сохранён — контейнер видит новый файл; применено `caddy reload` | +| `.env` стенда (вне репозитория) | `TRUSTED_PROXIES=172.16.0.0/12`: запросы Caddy приходят в приложение с шлюза Docker-моста (`172.31.0.1`) через NAT хоста. Диапазон вместо /32 — подсеть проекта может смениться при пересоздании сети | +| `.env.example` | Закомментированный пример `TRUSTED_PROXIES` для публикации через Caddy на том же хосте | +| `README.md` | «Публикация и эксплуатация» — фактическая схема вместо примера; строка 034 в истории | +| `tests/test_journal.py` | Из интеграционного `test_client_ip_and_request_meta_recorded` убрана проверка «подделка XFF игнорируется»: с `TRUSTED_PROXIES=172.16.0.0/12` запросы тестов с хоста (через `172.31.0.1`) доверенные. Логику покрывает unit-тест `test_resolve_client_ip_trusts_forwarded_header_only_from_proxies` | + +## Проверки +- `caddy validate` — конфигурация корректна; `caddy reload` без рестарта. Соседние сайты после reload: vault, artstore, aycv — 200, rxcloud — 302 (редирект на вход). +- Сертификат Let's Encrypt для `rxipam.rxmsk.ru` выпущен (DNS-01, Cloudflare). +- Из частной сети через Caddy: `/` 200, `/api/v1/auth/me` без токена 401, `/docs` и `/openapi.json` 200. Заголовки HSTS и CSP присутствуют. +- Matcher Swagger проверен на временном Caddy того же образа (тот же `path`, без условия по IP): + `/docs`, `//docs`, `/%64ocs`, `/docs/oauth2-redirect`, `/openapi.json`, `/%6fpenapi.json`, `/redoc`, `/%72edoc` → 404; `/` 200, API 401. + Проверка важна: приложение само отдаёт Swagger на URL-кодированные пути (`/%64ocs` → 200), и закрывает их именно Caddy. +- `private_ranges` раскрывается в `192.168.0.0/16, 172.16.0.0/12, 10.0.0.0/8, 127.0.0.1/8, fd00::/8, ::1`. +- Реальный IP клиента: запрос через Caddy с LAN-адреса хоста и подложным `X-Forwarded-For: 8.8.8.8` → в журнале `192.168.5.9`. + Подложный заголовок отброшен Caddy, реальный адрес получен из XFF. +- `pytest -q` — 15 passed (после правки теста выше). +- Пробные неудачные входы (`rv-probe-034`, `rv-probe-034b`) остались в журнале как события `session.failed`. + +## Не проверено (требует пользователя) +- DNS: CNAME `rxipam` → `mkt.rxmsk.ru` (proxy Cloudflare выключен) ещё не создан — имя не резолвится. +- Доступ из интернета (мобильный интернет или внешний хост): `/` 200 и вход в UI; `/docs`, `/openapi.json` → 404; + в `rxipam.log` у этих запросов публичный `remote_ip`; в журнале приложения — публичный `client_ip` события входа. + +## Рекомендации +- Доверие `172.16.0.0/12` означает, что процессы и контейнеры **на самом хосте** (приходят через шлюз Docker-моста) могут подставить свой IP в `X-Forwarded-For`. LAN- и интернет-клиенты этого не могут: у LAN-клиентов, идущих напрямую на `:8088`, в журнале реальные адреса. Исключить хост из доверенных можно только прямой сетью Caddy ↔ приложение без NAT — это требует переименовать сервисы `app`/`db` стенда (коллизия выше), отдельная задача. +- Split DNS на MikroTik (`rxipam.rxmsk.ru` → `192.168.5.9` в LAN): иначе LAN-клиенты через hairpin видны как `192.168.5.253` + и делят лимит «20 неудач на IP». +- План 031, часть 1 (`DOCS_ENABLED=false` по умолчанию) — вторая линия защиты Swagger, отдельной задачей. +- `172.19.0.1` — шлюз внешней сети `app_internal`. При её пересоздании с другой подсетью обновить `reverse_proxy` в Caddyfile. + +## Откат +- Caddy: содержимое `Caddyfile.bak-2026-09-27` записать поверх `Caddyfile` на месте, затем `docker exec caddy caddy reload --config /etc/caddy/Caddyfile`. +- Стенд: убрать `TRUSTED_PROXIES` из `.env`, `docker compose -p ipam_control_006 up -d`. diff --git a/docs/changes/035-user-last-login/PLAN.md b/docs/changes/035-user-last-login/PLAN.md new file mode 100644 index 0000000..ef323b9 --- /dev/null +++ b/docs/changes/035-user-last-login/PLAN.md @@ -0,0 +1,66 @@ +# Последний вход пользователя: дата и IP на странице «Пользователи» (изменение 035) + +## Context +Суперадминистратору нужно видеть в разделе «Пользователи», когда каждый пользователь последний раз входил в систему и с какого IP. +Сейчас это можно найти только поиском по журналу. `known_logins` для этого не подходит: там IP за 30 дней, ротация удаляет старые записи, +и он хранит набор IP, а не последний вход. + +**Решение:** два поля в `users` — время и IP последнего успешного входа. Поля обновляются в `POST /auth/login`, +отдаются в `UserOut` и выводятся колонкой в таблице пользователей. +IP берётся тот же, что уже вычисляет `request_context` для журнала: реальный адрес клиента за Caddy (`TRUSTED_PROXIES`, изменение 034). + +## Изменения + +### БД и модель +- `app/models.py::User`: + - `last_login_at: Mapped[datetime | None]` (`DateTime(timezone=True)`); + - `last_login_ip: Mapped[str | None]` (`INET`); + - комментарий «изменение 035». +- Миграция `alembic/versions/0014_users_last_login.py` (down_revision `0013`): + - две nullable-колонки; + - backfill из журнала: для каждого пользователя берётся последнее событие `session.login` (`DISTINCT ON (username) … ORDER BY username, ts DESC`) + по `audit_log.username = users.username`, из него — `ts` и `client_ip`; + - если журнал ротирован или очищен, значения остаются `NULL` («—» в UI). + - `downgrade` — удалить колонки. + +### API +- `app/api/v1/auth.py::login`, ветка успешного входа (рядом с `_remember_login`): + `user.last_login_at = func.now()`, `user.last_login_ip = ip`, в той же транзакции, что и запись `session.login`. + Неудачные попытки поля не трогают. +- `app/schemas.py::UserOut`: `last_login_at: datetime | None = None`, `last_login_ip: str | None = None`. + INET приводить к строке тем же способом, что уже используется для `client_ip` в `AuditOut` и адресов (`ip_text`), + чтобы в JSON был `"192.168.5.9"`, а не объект. `UserOut` собирается через `model_validate` из ORM, поэтому нужен + `@field_validator("last_login_ip", mode="before")` с вызовом `ip_text()`. + `UserOut` отдают и `/users` (только `superadmin`), и `/auth/me` (свои данные) — утечки чужих IP нет. + +### UI (`web/app.js::screens.users`) +- Новая колонка «Последний вход» после «Статус»: + - дата — `fmtDate(u.last_login_at)` (как в журнале, UTC); + - под ней или через разделитель — IP моноширинным шрифтом, `muted`; + - «—», если входа не было. +- Расширить `cols` (`selCols(...)`) и заголовок `.th` на одну колонку. Ширину подобрать так, чтобы таблица не переполнялась, + по образцу соседних колонок (≈170–190px). + +### Тесты (минимально) +- `tests/test_users.py::test_users_management`: после входа созданного пользователя (`_client(name, ...)`) + `GET /users?q=` → у записи заполнены `last_login_at` и `last_login_ip`. Новых тестов не добавлять. + +### Документация (правила проекта) +- `docs/changes/035-user-last-login/PLAN.md` — этот план; по завершении — `SUMMARY.md`. +- `README.md`: + - раздел «Интерфейс»: в «Пользователях» видны дата и IP последнего входа; + - миграции `0001`–`0014`; + - строка 035 в истории изменений. + +## Исполнение +По принятой схеме: код и тест пишет агент на Sonnet (без запуска тестов и стенда), затем ревью, пересборка стенда, +проверки и SUMMARY — моя часть. + +## Проверка +- `docker compose -p ipam_control_006 up -d --build app` → `alembic current` = `0014`, `alembic check` — чисто; + откат до 0013 и повторный upgrade — без ошибок. +- Backfill: у суперадминистратора из `.env`, который входил, `last_login_at`/`last_login_ip` совпадают с последним `session.login` в журнале. +- Вход через Caddy с LAN-адреса хоста (`--resolve rxipam.rxmsk.ru:443:192.168.5.9`) → `last_login_ip = 192.168.5.9`; + неудачная попытка не меняет поля. +- `GET /users` — поля в JSON строками; `pytest -q` — все зелёные. +- UI: колонка «Последний вход» с датой и IP, «—» у пользователей без входа. В браузере проверяет пользователь, если нужно. diff --git a/docs/changes/035-user-last-login/SUMMARY.md b/docs/changes/035-user-last-login/SUMMARY.md new file mode 100644 index 0000000..0279d66 --- /dev/null +++ b/docs/changes/035-user-last-login/SUMMARY.md @@ -0,0 +1,25 @@ +# Итог: последний вход пользователя — дата и IP (изменение 035) + +План: `PLAN.md`. В разделе «Пользователи» появилась колонка «Последний вход»: дата (UTC) и IP последнего успешного входа. + +## Что сделано +| Файл | Изменение | +|---|---| +| `app/models.py` | `User.last_login_at` (`timestamptz`), `User.last_login_ip` (`INET`), nullable | +| `alembic/versions/0014_users_last_login.py` | Колонки и перенос данных из журнала: последнее событие `session.login` на логин. Если журнал ротирован или очищен — `NULL` | +| `app/api/v1/auth.py` | Успешный вход записывает `last_login_at = now()` и `last_login_ip` в той же транзакции, что и `session.login`. IP — тот же, что в журнале (реальный клиент за Caddy, изменение 034). Неудачные попытки поля не трогают | +| `app/schemas.py` | `UserOut.last_login_at`, `UserOut.last_login_ip`. INET приводится к строке через `field_validator` с существующей `ip_text()`. Поля видны в `/users` (только `superadmin`) и в `/auth/me` (свои) | +| `web/app.js` | Колонка «Последний вход» после «Статус»: дата и IP моноширинным шрифтом, «—», если входа не было | +| `tests/test_users.py` | В `test_users_management`: после входа созданного пользователя поля заполнены в `GET /users` | +| `README.md` | «Интерфейс», миграции `0001`–`0014`, строка 035 в истории | + +## Проверки +- Стенд пересобран: `alembic current` — `0014`, `alembic check` — чисто, откат до 0013 и повторный upgrade — без ошибок. +- Перенос данных: у `tstark` дата и IP (`192.168.5.253`) совпадают с последним `session.login` в журнале; у `sbas-sa` входов не было — `NULL`. +- Временный `viewer` (создан и удалён через SQL): вход через Caddy с LAN-адреса хоста дал `last_login_ip = 192.168.5.9` + и дату входа, в JSON — строки. Неудачная попытка поля не изменила. +- `node --check web/app.js`, `import app.main` — чисто. +- `pytest -q` — 15 passed. Перед прогоном учётная запись `admin` из `.env` (удалена через UI в 08:54, фикстура `client` без неё не работает) создана заново через SQL как `superadmin` с паролем из `.env`; попытки входа под удалённым `admin` (блокировка «логин + IP») очищены. Создание через SQL в журнал не попало. + +## Не проверено +- Колонка в браузере — не просматривалась. diff --git a/tests/test_journal.py b/tests/test_journal.py index 090b059..9c5cbd8 100644 --- a/tests/test_journal.py +++ b/tests/test_journal.py @@ -55,12 +55,12 @@ def test_clear_requires_password_and_locks_out(db): def test_client_ip_and_request_meta_recorded(client, org): - hdr = {"User-Agent": "ipam-tests/1.0", "X-Forwarded-For": "203.0.113.9"} # подделка XFF от недоверенного пира + # доверие к X-Forwarded-For зависит от TRUSTED_PROXIES стенда (за Caddy хост доверенный, изменение 034) — логику проверяет unit-тест ниже + hdr = {"User-Agent": "ipam-tests/1.0"} cidr = f"fd00:{uuid.uuid4().int % 0xF000 + 0x1000:x}:{uuid.uuid4().int % 0xF000 + 0x1000:x}::/64" client.post("/prefixes", headers=hdr, json={"organization_id": org["id"], "vrf_id": org["vrf_id"], "prefix": cidr}) entry = client.get("/audit", params={"q": cidr}).json()["items"][0] assert ipaddress.ip_address(entry["client_ip"]) - assert entry["client_ip"] != "203.0.113.9" # заголовок не доверенного прокси игнорируется assert entry["meta"]["user_agent"] == "ipam-tests/1.0" and entry["meta"]["method"] == "POST" and entry["meta"]["path"] == "/api/v1/prefixes" assert client.get("/audit", params={"q": cidr, "client_ip": entry["client_ip"]}).json()["total"] >= 1 # точный IP assert client.get("/audit", params={"q": cidr, "client_ip": "203.0.113.0/24"}).json()["total"] == 0 diff --git a/tests/test_users.py b/tests/test_users.py index 6d4755c..007463e 100644 --- a/tests/test_users.py +++ b/tests/test_users.py @@ -38,6 +38,11 @@ def test_users_management(client, org): assert other.get("/users").status_code == 403 # список пользователей только для суперадминистратора (изменение 032) assert other.post("/organizations", json={"name": "qa", "inn": "1234567890"}).status_code == 403 # роль «просмотр» — только чтение + # последний вход фиксируется и виден суперадминистратору (изменение 035) + found = client.get("/users", params={"q": name}).json()["items"][0] + assert isinstance(found["last_login_at"], str) and found["last_login_at"] + assert isinstance(found["last_login_ip"], str) and found["last_login_ip"] + # отключение действует немедленно, включая ранее выданный токен assert client.patch(f"/users/{uid}", json={"is_active": False}).json()["is_active"] is False assert other.get("/auth/me").status_code == 401 diff --git a/web/app.js b/web/app.js index caaf2ef..35b18dd 100644 --- a/web/app.js +++ b/web/app.js @@ -698,7 +698,7 @@ screens.users = async () => { const q = S.q || ""; const { items, total } = await api("/users", { params: { q, limit: 500 } }); S.rows = items; - const cols = selCols("minmax(200px,1.5fr) 190px minmax(180px,1fr) 190px minmax(140px,1fr) 44px"); // изменение 032: добавлен столбец для организации + const cols = selCols("minmax(200px,1.5fr) 190px minmax(180px,1fr) 190px 180px minmax(140px,1fr) 44px"); // изменение 032: столбец организации; изменение 035: столбец последнего входа setSelectable(items.filter((u) => u.id !== user?.id).map((u) => u.id)); // свою запись выбрать нельзя const rows = items.map((u, n) => { const self = u.id === user?.id; @@ -713,12 +713,13 @@ screens.users = async () => { ${badge(u.role === "superadmin" ? "purple" : u.role === "admin" ? "blue" : "", ROLE_RU[u.role] || u.role)} ${u.role === "superadmin" ? "—" : esc(orgName)} ${u.is_active ? badge("green", "Доступ разрешён") : badge("red", "Отключён")} +${u.last_login_at ? `${fmtDate(u.last_login_at)}${esc(u.last_login_ip || "—")}` : '—'} ${self ? "свои роль и доступ менять нельзя" : ""} ${iconBtn(I.dots(), "menu", "Действия", `data-menu="user-row-${u.id}"`)}${popMenu("user-row-" + u.id, items2, "row-pop")}`; }).join(""); return shell("users", `${header("Пользователи", `${total} ${plural(total, "учётная запись", "учётные записи", "учётных записей")} · роли: суперадминистратор — полные права, администратор — запись в организации, просмотр — чтение`, btn("Добавить пользователя", "users-new", { cls: "primary", icon: I.plus() }))}
${searchBox(q, "Поиск по логину", 260)}
-${bulkBar(btn("Разрешить доступ", "bulk-access", { data: 'data-value="1"' }) + btn("Отключить доступ", "bulk-access", { data: 'data-value="0"' }))}
${selAllCell()}ЛогинРольОрганизацияСтатус
+${bulkBar(btn("Разрешить доступ", "bulk-access", { data: 'data-value="1"' }) + btn("Отключить доступ", "bulk-access", { data: 'data-value="0"' }))}
${selAllCell()}ЛогинРольОрганизацияСтатусПоследний вход
${rows || '
Пользователей нет
'}
Показано ${items.length} из ${total} ${plural(total, "записи", "записей", "записей")}
`); }; function userDialog(u) {