From 0ef1880e55b60e51209ad05bc8fb879c799a7298 Mon Sep 17 00:00:00 2001 From: bot-backend Date: Sat, 5 Sep 2026 22:51:22 +0500 Subject: [PATCH] =?UTF-8?q?fix(rbac):=20=D0=BD=D0=B5=20=D0=BE=D1=82=D0=B2?= =?UTF-8?q?=D0=B5=D1=87=D0=B0=D1=82=D1=8C=20401=20=D0=B7=D0=B0=20=D0=BD?= =?UTF-8?q?=D0=B5=D1=81=D1=83=D1=89=D0=B5=D1=81=D1=82=D0=B2=D1=83=D1=8E?= =?UTF-8?q?=D1=89=D0=B8=D0=B9=20=D0=BF=D1=83=D1=82=D1=8C=20(#3324)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit rbac_guard — HTTP-middleware, он отрабатывает до роутинга и потому отвечал 401 с rbac-текстом даже на пути, которых в приложении нет. Аноним получал бесплатный оракул периметра: мусор под «интересным» префиксом давал 401, а такой же мусор под публичным префиксом — 404 роутера, то есть выключенная ручка была отличима от несуществующей. Guard теперь пропускает запрос дальше, если ни один маршрут роутера не матчится (Match.NONE у всех) — 404 отдаёт тот же роутер, что и на любой другой мусор. Существующие маршруты не затронуты: Match.PARTIAL (путь есть, метод другой) по-прежнему идёт в guard, реальный закрытый маршрут анониму даёт 401, публичный — работает без идентичности. --- tradein-mvp/backend/app/core/rbac.py | 32 ++++++++++++++++++++++ tradein-mvp/backend/tests/test_auth_api.py | 13 +++++++-- tradein-mvp/backend/tests/test_rbac.py | 31 +++++++++++++++++++++ 3 files changed, 73 insertions(+), 3 deletions(-) diff --git a/tradein-mvp/backend/app/core/rbac.py b/tradein-mvp/backend/app/core/rbac.py index 62701225..67b2d736 100644 --- a/tradein-mvp/backend/app/core/rbac.py +++ b/tradein-mvp/backend/app/core/rbac.py @@ -35,6 +35,7 @@ from typing import Any from fastapi import Request from fastapi.responses import JSONResponse, Response +from starlette.routing import Match from app.core.auth import get_role, is_path_allowed from app.core.config import settings @@ -181,6 +182,32 @@ def _db_role_path_allowed(role: str, path: str) -> bool: return any(_db_glob_match(p, path) for p in paths) +def _path_is_routed(request: Request) -> bool: + """Есть ли у пути хоть один маршрут в роутере приложения. + + #3324: guard — HTTP-middleware, он отрабатывает ДО роутинга, поэтому раньше + отвечал 401 и на пути, которых в приложении нет вовсе. Анониму этого хватало, + чтобы бесплатно разведать периметр: мусор под «интересным» префиксом + (``/api/public/whatever``) давал 401 с rbac-текстом, а мусор под публичным + префиксом — 404 роутера. Выключенная/закрытая ручка отличалась от + несуществующей. Несуществующий путь обязан отвечать одинаково независимо от + префикса, поэтому такие запросы пропускаются дальше — 404 отдаёт роутер, тот + же самый, что и на любой другой мусор. + + Ослабления нет: ``Match.NONE`` по ВСЕМ маршрутам значит, что выполнять + нечего — хендлера, до которого можно было бы дотянуться, не существует. + ``Match.PARTIAL`` (путь есть, метод другой) считается маршрутом и идёт в + guard как раньше — там путь реально существует, скрывать нечего. + + Неизвестное приложение (``scope["app"]`` не выставлен) — ведём себя как + раньше, то есть отдаём запрос в guard. + """ + router = getattr(request.scope.get("app"), "router", None) + if router is None: + return True + return any(route.matches(request.scope)[0] != Match.NONE for route in router.routes) + + def _propagate_authenticated_user(request: Request, username: str) -> None: """Инжектит ``X-Authenticated-User`` в ASGI scope — ПЕРЕЗАПИСЫВАЯ, а не только добавляя при отсутствии, — чтобы ``RateLimitMiddleware``/ @@ -239,6 +266,11 @@ async def rbac_guard( if path in _PUBLIC_PATHS or path.startswith(_PUBLIC_PATH_PREFIXES): return await call_next(request) + # #3324: путь, которого нет в роутере, отвечает как любой несуществующий + # путь (404 роутера) — иначе 401 работает оракулом существования ручки. + if not _path_is_routed(request): + return await call_next(request) + username: str | None = None role: str | None = None from_session = False diff --git a/tradein-mvp/backend/tests/test_auth_api.py b/tradein-mvp/backend/tests/test_auth_api.py index 9436d1f7..adbb6496 100644 --- a/tradein-mvp/backend/tests/test_auth_api.py +++ b/tradein-mvp/backend/tests/test_auth_api.py @@ -248,6 +248,13 @@ def _build_test_app(store: _Store) -> FastAPI: async def tradein_cache_stats() -> dict: return {"ok": True} + # По той же причине ручка настоящая: с #3324 guard не отвечает 401/403 за + # несуществующий путь (несуществующее обязано быть неотличимо от + # несуществующего), поэтому admin-гейт проверяется на реальном роуте. + @app.get("/api/v1/admin/dummy") + async def admin_dummy() -> dict: + return {"ok": True} + def _override_get_db(): # generator dependency — matches app.core.db.get_db shape yield _FakeDB(store) @@ -1306,9 +1313,9 @@ def test_session_user_can_reach_tradein_but_not_admin(client: TestClient, store: assert ok.status_code == 200 denied = client.get("/api/v1/admin/dummy") - # rbac_guard's admin-gate matches the path regex BEFORE routing even happens - # (route isn't registered on this test app) — role=employee != admin -> 403, - # never a 404 (a bare "any non-2xx" assertion would mask a rbac_guard typo). + # Роут зарегистрирован (см. _build_test_app), поэтому 403 приходит именно от + # admin-гейта rbac_guard'а: role=employee != admin. Не 404 — иначе «any + # non-2xx» маскировал бы опечатку в guard'е; и не 200 — иначе гейт не сработал. assert denied.status_code == 403 diff --git a/tradein-mvp/backend/tests/test_rbac.py b/tradein-mvp/backend/tests/test_rbac.py index dc3ecc0b..6447cded 100644 --- a/tradein-mvp/backend/tests/test_rbac.py +++ b/tradein-mvp/backend/tests/test_rbac.py @@ -384,6 +384,37 @@ def test_rbac_guard_no_header_on_non_admin_path_returns_401(client: TestClient) assert "no authenticated user" in resp.json()["detail"].lower() +def test_rbac_guard_unrouted_path_answers_the_same_everywhere(client: TestClient) -> None: + """#3324: аноним не должен по ответу отличать несуществующий путь от закрытого. + + Сравниваются два ОТВЕТА между собой, а не с константой: важно именно + неразличимость. До фикса мусор под «интересным» префиксом получал 401 с + rbac-текстом, а такой же мусор рядом — 404 роутера, и по этой разнице + периметр разведывался бесплатно. + """ + for interesting, boring in ( + # Пара, на которой оракул был виден в чистом виде: под публичным + # префиксом guard молчал (404 роутера), а рядом отвечал 401. + ("/api/v1/trade-in/zzz", "/api/v1/trade-in/r/zzz"), + ("/api/public/zzz", "/api/zzz"), + ("/trade-in/api/public/zzz", "/trade-in/api/zzz"), + ("/api/v1/admin/zzz", "/zzz"), + ): + first = client.get(interesting) + second = client.get(boring) + assert (first.status_code, first.json()) == (second.status_code, second.json()), ( + f"{interesting} → {first.status_code} {first.json()}, " + f"{boring} → {second.status_code} {second.json()}" + ) + assert first.status_code == 404 + + # Защита не ослаблена: РЕАЛЬНЫЙ закрытый маршрут анониму по-прежнему 401. + assert client.get("/api/v1/trade-in/support/unread").status_code == 401 + assert client.get("/api/v1/me").status_code == 401 + # Реальный публичный маршрут по-прежнему работает без идентичности. + assert client.get("/api/v1/trade-in/support/anon/unread").status_code == 200 + + # --------------------------------------------------------------------------- # 2026-07-31: внутренние разделы («Доля в продаже» / «Кэш») закрыты от клиентов # ---------------------------------------------------------------------------