0 Fork 0

Files

T

ayurishchevandClaude Opus 5.5 13e17fbb47 Задачи 011-024: доработки по ревью кодовой базы и исправление находок

Ревью кодовой базы (docs/reviews/2026-09-26-codebase-review.md) и планы по каждой находке:
011 IP уникален в VRF и хранится в самом узком префиксе (addresses.vrf_id, составной FK
с каскадом при переносе VRF, миграция 0007 с остановкой на дублях).
012 Ограничение попыток входа (login_attempts, 429 + Retry-After), выравнивание времени
ответа, журнал без вытеснения анонимными событиями (миграция 0006).
013 Границы пагинации: отрицательные/чрезмерные limit/offset дают 422 вместо 500.
014 Экран адресов: страница свободных адресов арифметикой, пагинация в SQL.
015 Запрет адреса сети/broadcast, загрузка не выше 100 %.
016 Роль по умолчанию — viewer.
017 Проверка JWT_SECRET/ADMIN_PASSWORD при старте.
018 null в PATCH очищает текстовые поля; нейтральный текст конфликта БД.
019 Пакетная загрузка в списках вместо N+1.
020 Автоназначение адреса вне вложенных префиксов, с блокировкой префикса.
021 Advisory-lock при снятии прав администратора, уникальный lower(username) (миграция 0008).
022 Контейнер не от root, healthcheck, блокировка миграций, requirements.lock.
023 Экранирование LIKE, журнал отказов очистки, заголовки безопасности, учёт force-удаления,
отзыв токенов при смене пароля (claim pv, миграция 0005).
024 Исправление находок ревью 011-023 (docs/reviews/2026-09-26-changes-011-023-review.md):
сериализация попыток входа, запрет переноса адресов в адрес сети/broadcast, журнал входов,
запрет смены своего пароля через PATCH, валидация PATCH устройства, обновлён тест токенов.

Тесты: 14 passed. Документация: README.md, docs/changes/011-024, docs/reviews.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

2026-09-26 21:33:50 +03:00

2.8 KiB

Raw Blame History

Эксплуатация: контейнер, миграции, TLS, зависимости (изменение 022)

Находка ревью № 12, серьёзность — низкая.

Context

Dockerfile: процесс работает от root, нет HEALTHCHECK; у сервиса app в compose нет healthcheck, хотя /healthz есть.
alembic upgrade head в CMD выполняется при старте каждой реплики — при масштабировании миграции гоняются параллельно.
Приложение отдаётся по HTTP на 0.0.0.0:8088: JWT и пароли идут открытым текстом по LAN.
Зависимости заданы диапазонами без lock-файла — сборки невоспроизводимы.

Решение

Dockerfile: пользователь app (uid 10001), USER app; HEALTHCHECK через python -c запрос к /healthz (curl в slim-образе отсутствует).
Compose: healthcheck у app; restart: unless-stopped у обоих сервисов; порт приложения по умолчанию — 127.0.0.1:${APP_PORT} с переменной APP_BIND (по умолчанию 127.0.0.1) для явного открытия в LAN.
Миграции: в alembic/env.py — pg_advisory_lock на время run_migrations (одна реплика мигрирует, остальные ждут и видят актуальную схему).
TLS: раздел README «Публикация» — пример блока Caddy (на хосте уже есть контейнер caddy) с reverse-proxy на 127.0.0.1:${APP_PORT} и TRUSTED_PROXIES = адрес сети Docker прокси. Конфигурацию Caddy на хосте не меняем — только документация.
Зависимости: requirements.lock через pip-compile (pip-tools в requirements-dev.txt); Dockerfile ставит из lock-файла; обновление — командой из README.

Файлы

Dockerfile, docker-compose.yml, alembic/env.py, requirements.lock, requirements-dev.txt, .env.example, README.md.

Проверка

Пересборка стенда ipam_control_006: контейнер healthy, процесс не root (docker exec … id), тесты pytest -q проходят.
Два одновременных docker compose run app alembic upgrade head на пустой БД — без ошибок.
Изменение APP_BIND по умолчанию меняет доступность с LAN — согласовать с пользователем перед внедрением (сейчас UI открывается по 192.168.5.9:8088).

2.8 KiB Raw Blame History Unescape Escape