From 8c4be70193447ea430358cf5401a6084f466bce8 Mon Sep 17 00:00:00 2001 From: bot-backend Date: Sat, 5 Sep 2026 23:12:17 +0500 Subject: [PATCH] =?UTF-8?q?fix(rbac):=20=D1=87=D0=B5=D1=81=D1=82=D0=BD?= =?UTF-8?q?=D1=8B=D0=B9=20=D0=B4=D0=BE=D0=BA=D1=81=D1=82=D1=80=D0=B8=D0=BD?= =?UTF-8?q?=D0=B3=20=D0=BF=D1=80=D0=BE=20=D1=80=D0=B0=D0=B7=D0=BC=D0=B5?= =?UTF-8?q?=D0=BD=20=D0=BE=D1=80=D0=B0=D0=BA=D1=83=D0=BB=D0=BE=D0=B2=20+?= =?UTF-8?q?=20=D1=82=D1=80=D0=B5=D0=B9=D0=BB=D0=B8=D0=BD=D0=B3-=D1=81?= =?UTF-8?q?=D0=BB=D1=8D=D1=88=20=D0=B1=D0=BE=D0=BB=D1=8C=D1=88=D0=B5=20?= =?UTF-8?q?=D0=BD=D0=B5=20=D0=B2=D1=8B=D0=B4=D0=B0=D1=91=D1=82=20=D0=BC?= =?UTF-8?q?=D0=B0=D1=80=D1=88=D1=80=D1=83=D1=82?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Ревью #3352: комментарий у _path_is_routed утверждал «ослабления нет» — неверно. Раньше 401 был ПРЕФИКСНЫМ оракулом (таблицу маршрутов по нему не перечислить), теперь 401/404 — оракул СУЩЕСТВОВАНИЯ маршрута, включая имена admin-ручек. Докстринг переписан честно, с проверенным по caddy/sites/apps.caddy фактом: блок handle /trade-in/api/* стоит выше import users.caddy.snippet, внешнего basic_auth у trade-in нет — значит перебор имён выполним и снаружи. Второй канал того же оракула закрыт: /api/v1/me/ не матчил ни один маршрут, guard пропускал, а роутер отвечал 307 на существующий путь. FastAPI получил redirect_slashes=False (проверено: ни одного route с трейлинг-слэшем, ни одного такого вызова во фронте; deny-правила уже на глоб-форме). Тесты: PARTIAL-кейс (POST на GET-путь анониму → 401, не 404/405), трейлинг-слэш на РЕАЛЬНОМ app.main (тест на копии был бы тавтологией), admin-гейт сверяется по тексту 'admin only' — scope-ветка отвечает тем же 403, но 'forbidden for role'. --- tradein-mvp/backend/app/core/rbac.py | 38 +++++++++++++++++++--- tradein-mvp/backend/app/main.py | 10 ++++++ tradein-mvp/backend/tests/test_auth_api.py | 4 +++ tradein-mvp/backend/tests/test_rbac.py | 23 +++++++++++++ 4 files changed, 71 insertions(+), 4 deletions(-) diff --git a/tradein-mvp/backend/app/core/rbac.py b/tradein-mvp/backend/app/core/rbac.py index 67b2d736..f760ec54 100644 --- a/tradein-mvp/backend/app/core/rbac.py +++ b/tradein-mvp/backend/app/core/rbac.py @@ -194,10 +194,40 @@ def _path_is_routed(request: Request) -> bool: префикса, поэтому такие запросы пропускаются дальше — 404 отдаёт роутер, тот же самый, что и на любой другой мусор. - Ослабления нет: ``Match.NONE`` по ВСЕМ маршрутам значит, что выполнять - нечего — хендлера, до которого можно было бы дотянуться, не существует. - ``Match.PARTIAL`` (путь есть, метод другой) считается маршрутом и идёт в - guard как раньше — там путь реально существует, скрывать нечего. + ЧТО ИМЕННО РАЗМЕНЯНО (это НЕ «ослабления нет»). Раньше аноним получал 401 на + ЛЮБОЙ non-public путь — то есть оракул был ПРЕФИКСНЫЙ: он говорил «префикс + закрыт», но перечислить по нему таблицу маршрутов было нельзя. Теперь 401 = + «такой маршрут есть», 404 = «нет», и это уже оракул СУЩЕСТВОВАНИЯ маршрута: + перебором аноним восстанавливает список всех ручек приложения, включая имена + под ``/api/v1/admin/*``. Доступа это не даёт (закрытая ручка по-прежнему + отвечает 401/403), но карту периметра — даёт. + + Почему размен принят. Точечно: 404 на несуществующее — норма HTTP, а + подобранное ИМЯ ручки без креденшелов бесполезно; исчезает же реальный + признак «этот префикс что-то охраняет». Это защита в глубину, и её глубина + здесь честно меньше, чем была. + + ⚠️ Периметр admin-путей снаружи НЕ срезан — проверено по конфигу, а не по + предположению: ``caddy/sites/apps.caddy`` → блок ``handle /trade-in/api/*`` + делает ``uri strip_prefix /trade-in`` + ``reverse_proxy tradein-backend:8000`` + и стоит ЦЕЛИКОМ ВЫШЕ ``import caddy/users.caddy.snippet`` (basic_auth), т.е. + у trade-in своя авторизация и внешнего barrier'а нет. Значит внешний + ``https://gendsgn.ru/trade-in/api/v1/admin/...`` доходит до этого guard'а + анонимно, и перебор имён admin-ручек выполним снаружи, не только изнутри + docker-сети. Хочется убрать — резать надо в Caddy (отдельный issue), guard + этого не сделает: он про роли, а не про сетевой периметр. + + ``Match.NONE`` по ВСЕМ маршрутам значит, что выполнять нечего — хендлера, до + которого можно было бы дотянуться, не существует. ``Match.PARTIAL`` (путь + есть, метод другой) считается маршрутом и идёт в guard как раньше — там путь + реально существует, скрывать нечего. + + Трейлинг-слэш был вторым каналом того же оракула в обход guard'а: + ``/api/v1/me/`` не матчит ни один маршрут (``Match.NONE``) → guard пропускает + → Starlette-роутер отвечал 307 на ``/api/v1/me``, то есть «маршрут есть» + сообщал редирект, а не 401. Закрыто в ``app/main.py``: + ``FastAPI(redirect_slashes=False)`` — теперь такой путь даёт тот же 404, что + и любой другой мусор. Неизвестное приложение (``scope["app"]`` не выставлен) — ведём себя как раньше, то есть отдаём запрос в guard. diff --git a/tradein-mvp/backend/app/main.py b/tradein-mvp/backend/app/main.py index 74c2d2ad..e391025e 100644 --- a/tradein-mvp/backend/app/main.py +++ b/tradein-mvp/backend/app/main.py @@ -218,6 +218,16 @@ app = FastAPI( description="Оценка вторичного жилья (выкупная стоимость) — копия trade-in feature из gendesign", # noqa: E501 version="0.1.0", lifespan=lifespan, + # #3324: трейлинг-слэш обходил rbac_guard как канал разведки периметра. + # `/api/v1/me/` не матчит ни один маршрут → guard пропускает (см. + # rbac._path_is_routed) → роутер отвечал 307 на `/api/v1/me`, т.е. «маршрут + # существует» сообщал редирект вместо 401. Выключение проверено на предмет + # поломок: ни один route не объявлен с трейлинг-слэшем (нет `@router.get("/")` + # и пустых путей), ни один из 173 вызовов `api/v1` во фронте + # (tradein-mvp/frontend/src) не заканчивается слэшем, mount/StaticFiles нет. + # Deny-правила на слэш тоже не зависят от редиректа — они переведены на + # глоб-форму специально ради этого (см. auth_session.DB_ROLE_PATHS). + redirect_slashes=False, ) diff --git a/tradein-mvp/backend/tests/test_auth_api.py b/tradein-mvp/backend/tests/test_auth_api.py index adbb6496..b8be6b73 100644 --- a/tradein-mvp/backend/tests/test_auth_api.py +++ b/tradein-mvp/backend/tests/test_auth_api.py @@ -1316,7 +1316,11 @@ def test_session_user_can_reach_tradein_but_not_admin(client: TestClient, store: # Роут зарегистрирован (см. _build_test_app), поэтому 403 приходит именно от # admin-гейта rbac_guard'а: role=employee != admin. Не 404 — иначе «any # non-2xx» маскировал бы опечатку в guard'е; и не 200 — иначе гейт не сработал. + # Один статус этого не доказывает: scope-check (deny-список employee) отвечает + # тем же 403, поэтому сверяем ТЕКСТ — 'admin only' пишет только admin-гейт, + # scope-ветка пишет 'forbidden for role' (app/core/rbac.py). assert denied.status_code == 403 + assert denied.json()["detail"] == "admin only", denied.text # --------------------------------------------------------------------------- diff --git a/tradein-mvp/backend/tests/test_rbac.py b/tradein-mvp/backend/tests/test_rbac.py index 6447cded..27e16daa 100644 --- a/tradein-mvp/backend/tests/test_rbac.py +++ b/tradein-mvp/backend/tests/test_rbac.py @@ -411,10 +411,33 @@ def test_rbac_guard_unrouted_path_answers_the_same_everywhere(client: TestClient # Защита не ослаблена: РЕАЛЬНЫЙ закрытый маршрут анониму по-прежнему 401. assert client.get("/api/v1/trade-in/support/unread").status_code == 401 assert client.get("/api/v1/me").status_code == 401 + # Match.PARTIAL — путь есть, метод чужой (/api/v1/me зарегистрирован как GET). + # Такой запрос обязан идти в guard (401), а НЕ проваливаться в роутер за 405: + # иначе «метод не тот» стало бы ещё одним способом обойти проверку личности. + assert client.post("/api/v1/me").status_code == 401 # Реальный публичный маршрут по-прежнему работает без идентичности. assert client.get("/api/v1/trade-in/support/anon/unread").status_code == 200 +def test_real_app_does_not_redirect_trailing_slash() -> None: + """#3324: `/api/v1/me/` анониму → 404, а не 307 на существующий путь. + + Трейлинг-слэш был вторым каналом оракула существования: путь со слэшем не + матчит ни один маршрут (Match.NONE) → guard пропускает → Starlette отвечал + 307 на `/api/v1/me`, т.е. сообщал «маршрут есть» в обход 401. + + Проверяется РЕАЛЬНОЕ приложение (app.main), а не локальный _build_test_app: + флаг `redirect_slashes=False` живёт именно там, и тест на своей копии app + был бы тавтологией — он подтверждал бы настройку фикстуры, а не прода. + Импорт локальный: модуль этого файла намеренно не тянет app.main (см. шапку). + """ + from app.main import app as real_app + + # TestClient без `with` не запускает lifespan — в БД никто не ходит. + resp = TestClient(real_app).get("/api/v1/me/", follow_redirects=False) + assert resp.status_code == 404, f"{resp.status_code} {resp.headers.get('location')}" + + # --------------------------------------------------------------------------- # 2026-07-31: внутренние разделы («Доля в продаже» / «Кэш») закрыты от клиентов # ---------------------------------------------------------------------------