2 commits

Author	SHA1	Message	Date
bot-backend	8db67fe4d0	feat(tradein): DSN к БД auth собирается из AUTH_DB_PASSWORD, а не дублирует секрет ... Чтобы включить IDENTITY_STORE=auth, до этого требовалось положить в runtime-окружение полный AUTH_DATABASE_URL с паролем внутри — при том что пароль уже лежит там же отдельной переменной AUTH_DB_PASSWORD (её читает deploy-пайплайн для ALTER ROLE). Один секрет в двух местах разъезжается: сменили пароль роли, DSN остался старым — вход ложится молча и целиком. Теперь явный AUTH_DATABASE_URL по-прежнему выигрывает (обратная совместимость и аварийный обход, скажем sslmode); если он пуст, а AUTH_DB_PASSWORD задан, DSN собирается из частей. Части переопределяемы через AUTH_DB_HOST, _PORT, _NAME, _USER. Дефолт хоста — gendesign-postgres, не postgres. Внутри стека «Меры» имя postgres резолвится в ЕЁ СОБСТВЕННЫЙ контейнер (tradein-postgres), и такой дефолт не упал бы «неизвестным хостом», а молча увёл бы аутентификацию в живую БД tradein, где нет ни роли auth_app, ни таблиц реестра. Нужный сервер виден по алиасу gendesign-postgres в сети gendesign_shared, к которой tradein-backend подписан. Пароль и имя пользователя экранируются quote(safe=""). Имя БД и хост — намеренно нет: SQLAlchemy раскодирует обратно только userinfo, а path отдаёт как есть, поэтому quote("c/d") уехало бы в сервер литеральным c%2Fd. Найдено прогоном, закреплено тестом. Закрыта реальная утечка на пути ЯВНОГО AUTH_DATABASE_URL: на «почти URL» SQLAlchemy доходит до int(port) и падает ValueError с символом ПАРОЛЯ в тексте (он съезжает на позицию порта). Без обрыва цепочки обломок печатался бы в traceback, то есть в логи и GlitchTip. Теперь ValueError и ArgumentError перевыбрасываются своим сообщением from None; тест рендерит traceback целиком и проверяет, что пароля там нет. Пустое значение AUTH_DB_PORT больше не роняет импорт. Порт типизирован int и валидируется до всякой нашей логики, а settings создаётся на уровне модуля — пустая строка уводила контейнер в restart-loop В ЛЮБОМ режиме, включая дефолтный tradein, где к БД auth нет ни одного обращения. Прод не меняется: при IDENTITY_STORE=tradein (дефолт) ничего из этого не читается и соединение с auth не открывается. Тесты: +16 профильных, 118 passed на связке auth-сьютов. Проверено исполнением: пустой порт даёт 5432; пароль со спецсимволами экранируется и в открытом виде в DSN не встречается.	2026-08-02 12:05:41 +03:00
bot-backend	eccb895db1	feat(tradein): переключаемый реестр людей — подготовка переезда «Меры» в БД auth [PR-2b/6] ... Дефолт не меняет ничего: IDENTITY_STORE="tradein" — это сегодняшний прод, tradein_users/tradein_sessions, соединение с БД auth не открывается вообще. Переключение делается одной переменной окружения ПОСЛЕ того, как на проде появится пароль auth_app и будут скопированы данные. Так сделано намеренно: мерж, который зависит от невыполненного ручного шага, — это мерж, который ломает прод в момент невнимательности. Ядро. app/services/identity_store.py — единственное место, знающее, в какой БД и в каких таблицах живёт реестр. Имена таблиц берутся из фиксированного словаря по значению флага, не конкатенацией с вводом. app/core/auth_db.py — ЛЕНИВЫЙ engine БД auth (core/db.py создаёт свой на импорте; такое же для auth роняло бы старт без DSN). Одно понятие состояния доступа вместо двух. В tradein_users состояние — булев is_active, в auth.users — access_state из трёх значений. Конверсия живёт в одной функции to_access_state(): True→active, False→disabled, а неизвестная строка, NULL или чужой тип → disabled с WARNING. Fail-closed выбран сознательно: если следующая миграция добавит четвёртое состояние, оно по умолчанию НЕ будет пускать. Проверка доступа — свойство can_sign_in, а не сравнение со строкой. Логин в режиме auth. Пароль проверяется ВСЕГДА и ДО ветвления по состоянию — иначе появляется timing-oracle и перечисление логинов. Верный пароль + trial_expired → 403 с машиночитаемым code="access_expired", сессия НЕ создаётся. Верный пароль + disabled → тот же generic 401, что и при неверном пароле. Резолв уже выданной сессии пропускает только active — блокировка обрывает сессию немедленно, а не по истечении sliding-refresh. Старт падает явно, если IDENTITY_STORE=auth, а DSN не задан. Без этого ошибка конфигурации не похожа на аварию: продуктовая БД жива, приложение работает, а rbac_guard ловит исключение резолва вместе с любым другим сбоем и падает в legacy trusted-header ветку — то есть сутками раздаёт права из roles.yaml мимо реестра, включая аккаунты с disabled. Форма входа понимает новый код ответа. Ветвление по detail.code, а не по тексту: текст бэк вправе менять, код — нет. Гранты соблюдены, а не обойдены: auth_app не имеет UPDATE на role/manager_id и не имеет DELETE на users (миграция 004, column-level). Тесты: 2996 passed (+59). Единственный красный — test_search_cache_hit — предсуществующий: проверен контрольным полным прогоном на чистом main (2937 passed, тот же красный).	2026-08-01 02:50:14 +03:00