0 Fork 0

Files

T

ayurishchevandClaude Opus 5.5 13e17fbb47 Задачи 011-024: доработки по ревью кодовой базы и исправление находок

Ревью кодовой базы (docs/reviews/2026-09-26-codebase-review.md) и планы по каждой находке:
011 IP уникален в VRF и хранится в самом узком префиксе (addresses.vrf_id, составной FK
с каскадом при переносе VRF, миграция 0007 с остановкой на дублях).
012 Ограничение попыток входа (login_attempts, 429 + Retry-After), выравнивание времени
ответа, журнал без вытеснения анонимными событиями (миграция 0006).
013 Границы пагинации: отрицательные/чрезмерные limit/offset дают 422 вместо 500.
014 Экран адресов: страница свободных адресов арифметикой, пагинация в SQL.
015 Запрет адреса сети/broadcast, загрузка не выше 100 %.
016 Роль по умолчанию — viewer.
017 Проверка JWT_SECRET/ADMIN_PASSWORD при старте.
018 null в PATCH очищает текстовые поля; нейтральный текст конфликта БД.
019 Пакетная загрузка в списках вместо N+1.
020 Автоназначение адреса вне вложенных префиксов, с блокировкой префикса.
021 Advisory-lock при снятии прав администратора, уникальный lower(username) (миграция 0008).
022 Контейнер не от root, healthcheck, блокировка миграций, requirements.lock.
023 Экранирование LIKE, журнал отказов очистки, заголовки безопасности, учёт force-удаления,
отзыв токенов при смене пароля (claim pv, миграция 0005).
024 Исправление находок ревью 011-023 (docs/reviews/2026-09-26-changes-011-023-review.md):
сериализация попыток входа, запрет переноса адресов в адрес сети/broadcast, журнал входов,
запрет смены своего пароля через PATCH, валидация PATCH устройства, обновлён тест токенов.

Тесты: 14 passed. Документация: README.md, docs/changes/011-024, docs/reviews.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

2026-09-26 21:33:50 +03:00

3.2 KiB

Raw Blame History

Экран адресов: ресурсоёмкие ветки list_addresses (изменение 014)

Находка ревью № 4, серьёзность — средняя (DoS с ролью viewer).

Context

GET /prefixes/{id}/addresses (app/api/v1/prefixes.py, list_addresses):

при status=free собирает в память offset + limit свободных адресов; offset не ограничен → на IPv6-префиксе один запрос с offset=10^8 занимает CPU и память воркера;
без фильтров основной запрос идёт без LIMIT/OFFSET — на крупных подсетях загружаются все адреса ради одной страницы.

Решение

Свободные адреса без материализации: функция free_page(net, occupied_sorted, offset, limit) в app/services.py — идёт по занятым диапазонам, считает длины свободных промежутков арифметически, пропускает offset без перебора и возвращает только limit адресов. Для IPv4 ≤ /30 учитывает исключение адреса сети и broadcast. Занятые адреса — одним запросом SELECT address … ORDER BY address (для пула из 10⁵ адресов — приемлемо; при росте — курсор по ключу).
Режимы:
- status = assigned/reserved/deprecated или поиск q → пагинация в SQL (ORDER BY address LIMIT/OFFSET, total — count());
- без фильтров и cap <= FREE_LISTING_LIMIT (4096) → как сейчас, смешанный список (он ограничен размером подсети);
- без фильтров и cap > FREE_LISTING_LIMIT → только записанные адреса, пагинация в SQL (сейчас — выборка всего и срез в Python);
- status=free → free_page, total = summary.free.
offset — верхний предел как в № 013; для status=free дополнительно offset <= summary.free.
Ответ API и поведение UI (кнопка «Показать ещё 100») не меняются.

Файлы

app/services.py, app/api/v1/prefixes.py, tests/test_api.py, README.md.

Тест

Чистая функция free_page: IPv4 /24 с занятыми .1–.3 → offset 0 даёт .4…; offset за пределами → пусто; IPv6 /64 с offset=10^12 — мгновенно.
API: status=free&offset=1000000 на IPv6 /64 отвечает быстро (порог времени в тесте не ставим — проверяем корректность адресов).

Проверка

pytest -q; экран адресов демо-префиксов 10.10.1.0/24 и fd00::/8 в UI: списки, фильтр «Свободен», «Показать ещё 100». Замер времени ответа до/после на /16 с 60 000 адресов (скрипт в scratchpad).

3.2 KiB Raw Blame History Unescape Escape