trade-in — своя авторизация (#2558) #2569

Merged

lekss361 merged 2 commits from feat/tradein-caddy-cutover into main

2026-07-30 21:52:01 +00:00

lekss361 commented

2026-07-30 21:06:43 +00:00

Owner

Часть #2558 (эпик #2549, cutover). ⚠️ Не мержить раньше фикса навигации (fix/tradein-team-nav-and-401) — иначе пользователь попадёт на форму входа, но раздел «Команда» из v2-навигации по-прежнему недостижим.

Оба trade-in-блока (handle /trade-in/api/*, @tradein) + @saleshare-редирект перенесены выше import caddy/users.caddy.snippet → short-circuit до auth-гейта (тот же механизм, что уже у /health, /preview/*, @uipreview). Site Finder (/api/*, handle {}) остаётся под basic_auth без изменений.

Ключевое по безопасности. После снятия гейта {http.auth.user.id} пуст. Вместо того чтобы полагаться на неподтверждённое поведение header_up <field> <empty> (может не установить заголовок → клиентский X-Authenticated-User прошёл бы насквозь, а backend в AUTH_MODE=dual всё ещё принимает legacy trusted-header путь = внешняя подмена личности), применено документированное явное удаление header_up -X-Authenticated-User в обоих блоках. X-Internal-Auth-Secret из env (#2213) не тронут.

@saleshare перенесён тоже: он ведёт на /trade-in/sale-share, который теперь публичен — оставить короткую ссылку строже целевой страницы было бы несогласованно.

Валидация: caddy validate --adapter caddyfile в официальном образе caddy:2 локально (со смонтированным snippet) → Valid configuration. Прод не трогался, reload сделает деплой.

Последствия после мержа: тестовые учётки admintest/pilottest/analysttest/expiredtest есть только в roles.yaml, в tradein_users не мигрировались → потеряют доступ к Мере (боевые 13 имеют пароли, вход проверен). Follow-up на заметку: legacy dual-mode путь для trade-in становится мёртвым (всегда 401 без cookie) — можно рассмотреть AUTH_MODE=db_only отдельным issue.

Post-deploy smoke: /trade-in без basic-auth → форма входа; / и /api/* Site Finder → по-прежнему 401 basic_auth.

Часть #2558 (эпик #2549, cutover). ⚠️ **Не мержить раньше фикса навигации** (`fix/tradein-team-nav-and-401`) — иначе пользователь попадёт на форму входа, но раздел «Команда» из v2-навигации по-прежнему недостижим. Оба trade-in-блока (`handle /trade-in/api/*`, `@tradein`) + `@saleshare`-редирект перенесены **выше** `import caddy/users.caddy.snippet` → short-circuit до auth-гейта (тот же механизм, что уже у `/health`, `/preview/*`, `@uipreview`). Site Finder (`/api/*`, `handle {}`) остаётся под basic_auth без изменений. **Ключевое по безопасности.** После снятия гейта `{http.auth.user.id}` пуст. Вместо того чтобы полагаться на неподтверждённое поведение `header_up <field> <empty>` (может не установить заголовок → клиентский `X-Authenticated-User` прошёл бы насквозь, а backend в `AUTH_MODE=dual` всё ещё принимает legacy trusted-header путь = внешняя подмена личности), применено документированное явное удаление `header_up -X-Authenticated-User` в обоих блоках. `X-Internal-Auth-Secret` из env (#2213) не тронут. `@saleshare` перенесён тоже: он ведёт на `/trade-in/sale-share`, который теперь публичен — оставить короткую ссылку строже целевой страницы было бы несогласованно. Валидация: `caddy validate --adapter caddyfile` в официальном образе `caddy:2` локально (со смонтированным snippet) → `Valid configuration`. Прод не трогался, reload сделает деплой. **Последствия после мержа:** тестовые учётки `admintest`/`pilottest`/`analysttest`/`expiredtest` есть только в roles.yaml, в `tradein_users` не мигрировались → потеряют доступ к Мере (боевые 13 имеют пароли, вход проверен). Follow-up на заметку: legacy dual-mode путь для trade-in становится мёртвым (всегда 401 без cookie) — можно рассмотреть `AUTH_MODE=db_only` отдельным issue. Post-deploy smoke: `/trade-in` без basic-auth → форма входа; `/` и `/api/*` Site Finder → по-прежнему 401 basic_auth.

Rows
Columns