0 Fork 0

Files

T

ayurishchevandClaude Opus 5.5 13e17fbb47 Задачи 011-024: доработки по ревью кодовой базы и исправление находок

Ревью кодовой базы (docs/reviews/2026-09-26-codebase-review.md) и планы по каждой находке:
011 IP уникален в VRF и хранится в самом узком префиксе (addresses.vrf_id, составной FK
с каскадом при переносе VRF, миграция 0007 с остановкой на дублях).
012 Ограничение попыток входа (login_attempts, 429 + Retry-After), выравнивание времени
ответа, журнал без вытеснения анонимными событиями (миграция 0006).
013 Границы пагинации: отрицательные/чрезмерные limit/offset дают 422 вместо 500.
014 Экран адресов: страница свободных адресов арифметикой, пагинация в SQL.
015 Запрет адреса сети/broadcast, загрузка не выше 100 %.
016 Роль по умолчанию — viewer.
017 Проверка JWT_SECRET/ADMIN_PASSWORD при старте.
018 null в PATCH очищает текстовые поля; нейтральный текст конфликта БД.
019 Пакетная загрузка в списках вместо N+1.
020 Автоназначение адреса вне вложенных префиксов, с блокировкой префикса.
021 Advisory-lock при снятии прав администратора, уникальный lower(username) (миграция 0008).
022 Контейнер не от root, healthcheck, блокировка миграций, requirements.lock.
023 Экранирование LIKE, журнал отказов очистки, заголовки безопасности, учёт force-удаления,
отзыв токенов при смене пароля (claim pv, миграция 0005).
024 Исправление находок ревью 011-023 (docs/reviews/2026-09-26-changes-011-023-review.md):
сериализация попыток входа, запрет переноса адресов в адрес сети/broadcast, журнал входов,
запрет смены своего пароля через PATCH, валидация PATCH устройства, обновлён тест токенов.

Тесты: 14 passed. Документация: README.md, docs/changes/011-024, docs/reviews.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

2026-09-26 21:33:50 +03:00

3.3 KiB

Raw Blame History

Мелкие улучшения безопасности и журнала (изменение 023)

Находка ревью № 13, серьёзность — низкая. Пункты независимы, внедряются одним изменением.

Context и решение

LIKE без экранирования. list_prefixes, list_users, _like() в refs.py не экранируют % и _ (в журнале это сделано — _escape_like). → Перенести _escape_like в app/services.py как общий like_pattern(q) и использовать во всех поисках (escape="\\").
Неудачные попытки очистки журнала не журналируются. → В clear_journal при неверном пароле — запись journal.clear_failed (осталось попыток), при блокировке — journal.clear_locked. Бейджи в UI (eventBadge): clear_failed/clear_locked — красный.
Нет заголовков безопасности. → В RequestContextMiddleware (или отдельном ASGI-middleware) добавлять к ответам: Content-Security-Policy: default-src 'self'; img-src 'self' data:; style-src 'self'; frame-ancestors 'none', X-Content-Type-Options: nosniff, Referrer-Policy: no-referrer. Проверить, что UI не использует inline-скрипты/стили (в app.js есть атрибуты style="…" → для них нужен style-src 'self' 'unsafe-inline'; скрипты inline не используются). Swagger /docs грузит ресурсы с CDN → для путей /docs, /redoc CSP не ставится.
Удаление префикса с force=true не фиксирует число удалённых адресов. → Подсчёт до удаления, diff: {"force": true, "addresses_deleted": N}.
Токены после смены пароля действуют до истечения. → Колонка users.password_changed_at (миграция), в токен — iat; current_user отклоняет токены с iat < password_changed_at. Смена пароля самим пользователем выдаёт новый токен в ответе (/users/me/password → {"ok": true, "access_token": …}), UI сохраняет его — текущая сессия не прерывается.

Файлы

app/services.py, app/api/v1/{refs,prefixes,users,journal,auth}.py, app/request_context.py, app/security.py, app/models.py, alembic/versions/<next>_password_changed_at.py, web/app.js, tests/test_api.py, tests/test_users.py, README.md.

Тесты (минимум)

Поиск организаций по % не возвращает все записи.
Смена пароля: старый токен → 401, новый из ответа → 200.
Заголовки: GET / содержит Content-Security-Policy и X-Content-Type-Options.

Проверка

pytest -q; в браузере (Playwright) — пройти все экраны UI без ошибок CSP в консоли; журнал — записи journal.clear_failed.

3.3 KiB Raw Blame History Unescape Escape