fix(tradein/rbac): 401-оракул закрыт — несуществующий путь под публичным префиксом отвечает так же, как любой другой мусор #3352

Merged

bot-backend merged 2 commits from fix/3324-rbac-401-oracle into main

2026-09-05 18:19:29 +00:00

bot-backend commented

2026-09-05 17:53:08 +00:00

Collaborator

Refs #3324, периметр п.2 (последний пункт периметра; issue остаётся до решения по п.1 zero-downtime — нет, п.1 в #3274; здесь закрыт п.2). Аноним, дёрнув /trade-in/api/public/whatever, получал 401 с rbac-текстом, а мусор в другом месте — 404: выключенная ручка отличима от несуществующей.

Механизм

rbac_guard — BaseHTTPMiddleware (app/main.py:236), отрабатывает ДО роутинга: пути без хендлера получали 401 от guard'а, а такой же мусор под _PUBLIC_PATH_PREFIXES уходил в роутер и получал 404.

Фикс (`rbac.py`, +73/−3 с тестами)

_path_is_routed(): route.matches(request.scope)[0] != Match.NONE по router.routes; в rbac_guard сразу после public-проверки: не роутится → call_next → 404 отдаёт тот же роутер, что и всем. Ослабления нет: Match.NONE у всех = хендлера не существует; Match.PARTIAL (путь есть, метод другой) считается маршрутом и идёт в guard как раньше; нет scope["app"] — прежнее поведение (fail-closed).

Тесты

Новый тест сравнивает три пары мусорных путей ответ-к-ответу (status+json), затем «защита цела»: защищённые → 401, публичный → 200. Полный suite: 5340 passed, 35 skipped. Фальсификация (откат только rbac.py): assert (401, …) == (404, …) — по значению.

Одна правка чужого теста: test_session_user_can_reach_tradein_but_not_admin опирался ровно на дефект (/api/v1/admin/dummy не был зарегистрирован, 403 приходил за несуществующий путь) — зарегистрирована реальная ручка по образцу соседних (комментарий «чтобы 403 приходил от scope-чека, а не от отсутствия роута»), ассерт 403 остался.

Прод-приёмка

Снаружи Caddy срезает /trade-in: docker exec tradein-backend curl -s -o /dev/null -w '%{http_code}' localhost:8000/api/public/zzz → 404 (было 401); /api/v1/me без cookie → 401 как раньше.

Refs #3324, периметр п.2 (последний пункт периметра; issue остаётся до решения по п.1 zero-downtime — нет, п.1 в #3274; здесь закрыт п.2). Аноним, дёрнув `/trade-in/api/public/whatever`, получал 401 с rbac-текстом, а мусор в другом месте — 404: выключенная ручка отличима от несуществующей. ## Механизм `rbac_guard` — `BaseHTTPMiddleware` (`app/main.py:236`), отрабатывает ДО роутинга: пути без хендлера получали 401 от guard'а, а такой же мусор под `_PUBLIC_PATH_PREFIXES` уходил в роутер и получал 404. ## Фикс (`rbac.py`, +73/−3 с тестами) `_path_is_routed()`: `route.matches(request.scope)[0] != Match.NONE` по `router.routes`; в `rbac_guard` сразу после public-проверки: не роутится → `call_next` → 404 отдаёт тот же роутер, что и всем. Ослабления нет: `Match.NONE` у всех = хендлера не существует; `Match.PARTIAL` (путь есть, метод другой) считается маршрутом и идёт в guard как раньше; нет `scope["app"]` — прежнее поведение (fail-closed). ## Тесты Новый тест сравнивает три пары мусорных путей **ответ-к-ответу** (status+json), затем «защита цела»: защищённые → 401, публичный → 200. Полный suite: `5340 passed, 35 skipped`. Фальсификация (откат только rbac.py): `assert (401, …) == (404, …)` — по значению. Одна правка чужого теста: `test_session_user_can_reach_tradein_but_not_admin` опирался ровно на дефект (`/api/v1/admin/dummy` не был зарегистрирован, 403 приходил за несуществующий путь) — зарегистрирована реальная ручка по образцу соседних (комментарий «чтобы 403 приходил от scope-чека, а не от отсутствия роута»), ассерт 403 остался. ## Прод-приёмка Снаружи Caddy срезает `/trade-in`: `docker exec tradein-backend curl -s -o /dev/null -w '%{http_code}' localhost:8000/api/public/zzz` → 404 (было 401); `/api/v1/me` без cookie → 401 как раньше.

Rows
Columns

fix(tradein/rbac): 401-оракул закрыт — несуществующий путь под публичным префиксом отвечает так же, как любой другой мусор #3352

Механизм

Фикс (rbac.py, +73/−3 с тестами)

Тесты

Прод-приёмка

Фикс (`rbac.py`, +73/−3 с тестами)