ayurishchevandClaude Opus 5.5
13e17fbb47
Ревью кодовой базы (docs/reviews/2026-09-26-codebase-review.md) и планы по каждой находке:
011 IP уникален в VRF и хранится в самом узком префиксе (addresses.vrf_id, составной FK
с каскадом при переносе VRF, миграция 0007 с остановкой на дублях).
012 Ограничение попыток входа (login_attempts, 429 + Retry-After), выравнивание времени
ответа, журнал без вытеснения анонимными событиями (миграция 0006).
013 Границы пагинации: отрицательные/чрезмерные limit/offset дают 422 вместо 500.
014 Экран адресов: страница свободных адресов арифметикой, пагинация в SQL.
015 Запрет адреса сети/broadcast, загрузка не выше 100 %.
016 Роль по умолчанию — viewer.
017 Проверка JWT_SECRET/ADMIN_PASSWORD при старте.
018 null в PATCH очищает текстовые поля; нейтральный текст конфликта БД.
019 Пакетная загрузка в списках вместо N+1.
020 Автоназначение адреса вне вложенных префиксов, с блокировкой префикса.
021 Advisory-lock при снятии прав администратора, уникальный lower(username) (миграция 0008).
022 Контейнер не от root, healthcheck, блокировка миграций, requirements.lock.
023 Экранирование LIKE, журнал отказов очистки, заголовки безопасности, учёт force-удаления,
отзыв токенов при смене пароля (claim pv, миграция 0005).
024 Исправление находок ревью 011-023 (docs/reviews/2026-09-26-changes-011-023-review.md):
сериализация попыток входа, запрет переноса адресов в адрес сети/broadcast, журнал входов,
запрет смены своего пароля через PATCH, валидация PATCH устройства, обновлён тест токенов.
Тесты: 14 passed. Документация: README.md, docs/changes/011-024, docs/reviews.
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
2.9 KiB
2.9 KiB
Итог: мелкие улучшения безопасности и журнала (изменение 023)
Что сделано
- LIKE:
contains()/like_escape()вapp/services.py; все поиски (refs,prefixes,users, журнал) экранируют%и_. - Журнал очистки: неверный пароль →
journal.clear_failed(осталось попыток), блокировка →journal.clear_locked; красные бейджи в UI. - Заголовки безопасности (
SecurityHeadersMiddlewareвapp/main.py):Content-Security-Policy(default-src 'self',style-src 'self' 'unsafe-inline'— UI использует атрибутыstyle,frame-ancestors 'none'),X-Frame-Options,X-Content-Type-Options,Referrer-Policy; для/docs,/redoc,/openapi.jsonCSP не ставится (Swagger с CDN). force-удаление префикса: в журналеdiff = {"force": true, "addresses_deleted": N}.- Отзыв токенов при смене пароля: миграция
0005(users.password_changed_at); в токене claimpv(версия пароля),current_userотклоняет токены с другой версией (401). Отклонение от плана: вместо сравненияiat— версия пароля (не зависит от точности часов).POST /users/me/passwordвозвращает новыйaccess_token, UI подхватывает его — текущая сессия не прерывается; сброс пароля администратором отзывает токены пользователя.
- Побочный эффект:
tests/test_users.py::test_users_management(строка «выданный ранее токен продолжает работать») теперь падает — поведение изменено намеренно; тест обновить на этапе ревью с тестами. README.md: разделы API, «Пользователи и роли», «Журнал».
Проверка
Проверка: стенд ipam_control_006 пересобран, миграции применены до 0008 (alembic check — расхождений нет); ручная проверка (скрипт во временной папке, в репозиторий не добавлялся); автотесты по условию этапа не писались. Заголовки на / есть, на /docs CSP нет; поиск % в организациях пуст; старый токен после смены пароля → 401, новый → 200; addresses_deleted в журнале. UI при этом не открывался в браузере — CSP проверить на этапе ревью (консоль браузера).