fix(tradein/security): defense-in-depth trusted-header auth + rate-limiter fix (#2213) #2229

Merged

lekss361 merged 1 commit from fix/tradein-defense-in-depth-auth into main

2026-07-02 21:15:59 +00:00

lekss361 commented

2026-07-02 21:08:15 +00:00

Owner

Summary

Shared-secret Caddy↔tradein-backend: при заданном TRADEIN_INTERNAL_AUTH_SECRET каждый запрос с X-Authenticated-User обязан нести X-Internal-Auth-Secret (secrets.compare_digest, constant-time) — подделка username изнутри docker-сети даёт 401 + WARNING. Fail-open до провижининга (env не задан → поведение байт-как-раньше + WARNING на старте). Caddy header_up перезаписывает клиентский заголовок (та же механика, что защищает X-Authenticated-User).
Rate-limiter: per-user (user:<name>, лимит ×5) / per-IP (ip:<addr>) ключи вместо освобождения всех authenticated; client IP из rightmost XFF (единственный доверенный прокси Caddy аппендит real IP; leftmost клиент-контролируем и игнорируется).
Caddyfile: убран глобальный log_credentials (писал обратимые base64 basic-auth пароли в оба лога). glitchtip-auth-forwarder деградирует gracefully (attempted_username → (none), 401-события продолжают уходить — проверено).
Тесты: 13 новых/переписанных (secret-gate negative paths + per-user isolation + XFF-spoof).

⚠️ Провижининг секрета (human, ПОРЯДОК КРИТИЧЕН)

openssl rand -hex 32.
Сначала Caddy-стек: значение в /opt/gendesign/.env → recreate caddy-контейнера (reload env не перечитает).
Потом tradein-стек: то же значение в рантайм-окружение tradein-backend → restart backend.
Обратный порядок (backend раньше Caddy) = fail-closed 401 на всё приложение. Пока секрет не задан нигде — ничего не меняется (fail-open, WARNING в логах).
Значения в двух env-файлах обязаны совпадать; дрейф = outage.

Как проверено

Полный локальный pytest: 2983 passed, 6 skipped, 1 deselected.
code-reviewer (adversarial): ✅ APPROVE — fail-open/fail-closed семантика проверена (полу-провижининг = fail-closed, не bypass); SSR-форжинг невозможен (все страницы "use client", route handlers отсутствуют); bypass-анализ чист (_PUBLIC_PATHS только /health /docs /redoc /openapi.json); Caddy аппендит XFF (rightmost корректен); forwarder None-safe.
Секретов в diff нет (только имена env-переменных).

Refs #2213

## Summary - **Shared-secret Caddy↔tradein-backend:** при заданном `TRADEIN_INTERNAL_AUTH_SECRET` каждый запрос с `X-Authenticated-User` обязан нести `X-Internal-Auth-Secret` (`secrets.compare_digest`, constant-time) — подделка username изнутри docker-сети даёт 401 + WARNING. **Fail-open до провижининга** (env не задан → поведение байт-как-раньше + WARNING на старте). Caddy `header_up` перезаписывает клиентский заголовок (та же механика, что защищает X-Authenticated-User). - **Rate-limiter:** per-user (`user:<name>`, лимит ×5) / per-IP (`ip:<addr>`) ключи вместо освобождения всех authenticated; client IP из **rightmost** XFF (единственный доверенный прокси Caddy аппендит real IP; leftmost клиент-контролируем и игнорируется). - **Caddyfile:** убран глобальный `log_credentials` (писал обратимые base64 basic-auth пароли в оба лога). glitchtip-auth-forwarder деградирует gracefully (`attempted_username` → `(none)`, 401-события продолжают уходить — проверено). - Тесты: 13 новых/переписанных (secret-gate negative paths + per-user isolation + XFF-spoof). ## ⚠️ Провижининг секрета (human, ПОРЯДОК КРИТИЧЕН) 1. `openssl rand -hex 32`. 2. **Сначала** Caddy-стек: значение в `/opt/gendesign/.env` → **recreate** caddy-контейнера (reload env не перечитает). 3. **Потом** tradein-стек: то же значение в рантайм-окружение tradein-backend → restart backend. 4. Обратный порядок (backend раньше Caddy) = fail-closed **401 на всё приложение**. Пока секрет не задан нигде — ничего не меняется (fail-open, WARNING в логах). 5. Значения в двух env-файлах обязаны совпадать; дрейф = outage. ## Как проверено - Полный локальный pytest: **2983 passed, 6 skipped, 1 deselected**. - code-reviewer (adversarial): ✅ APPROVE — fail-open/fail-closed семантика проверена (полу-провижининг = fail-closed, не bypass); SSR-форжинг невозможен (все страницы "use client", route handlers отсутствуют); bypass-анализ чист (_PUBLIC_PATHS только /health /docs /redoc /openapi.json); Caddy аппендит XFF (rightmost корректен); forwarder None-safe. - Секретов в diff нет (только имена env-переменных). Refs #2213

Rows
Columns