fix(tradein/rbac): аноним на admin-префиксе получает единый 404 — существование admin-ручек снаружи не перебирается #3371

Merged

bot-backend merged 3 commits from fix/3360-admin-prefix-anon-404 into main 2026-09-05 20:32:06 +00:00

Conversation 1 Commits 3 Files changed 3 +123 -15

bot-backend commented 2026-09-05 19:52:01 +00:00

Collaborator

Copy link

Closes #3360 [SECURITY] (находка доводки #3352). /trade-in/api/v1/admin/* снаружи доходит до guard'а анонимно (Caddy не режет префикс), а после #3352 аноним отличал существующую admin-ручку (401) от несуществующей (404).

Факт: срез в Caddy невозможен

admin-API зовут из браузера: 66 вызовов /api/v1/admin/* в 12 файлах фронта (app/scrapers/**, components/scrapers/*, lib/admin-audit-api.ts, GuardedRoute.tsx, Topbar.tsx). Реализован только guard-вариант.

Механизм (rbac.py)

_unauthenticated(path, detail): на _ADMIN_API_RE — 404 {"detail": "Not Found"} (+ logger.info о зонде), иначе прежний 401. Через него все три анонимные ветки: auth_mode != dual, нет X-Authenticated-User, невалидный X-Internal-Auth-Secret (#2213). Аутентифицированные не тронуты: admin → 200, не-admin → 403 «admin only».

Смоук периметра: пара /trade-in/api/v1/admin/proxies (реальный) и /admin/users (нет) — обе 404; ПТИЦА gendsgn.ru/api/v1/admin/* оставлен 401 (другой бэкенд за basic_auth).

Тесты

test_rbac.py: существующий …_no_header_on_admin_path_returns_401 → _404 (он фиксировал старое поведение); +2: сравнение ответ-к-ответу существующей vs несуществующей admin-ручки, admin 200 / analyst 403 / /me анониму 401; покрытие всех трёх анонимных веток. Полный suite 5464 passed. Фальсификация (откат rbac.py): существующая → 401 …, несуществующая → 404 …, подделка мимо Caddy → 401 — по значению.

Прод-приёмка

scripts/smoke-mera-perimeter.sh (оба admin-пути 404) + живой админ-UI под admin (/scrapers работает). Внешних интеграторов, ходящих в admin-API анонимно, в коде нет.

Closes #3360 [SECURITY] (находка доводки #3352). `/trade-in/api/v1/admin/*` снаружи доходит до guard'а анонимно (Caddy не режет префикс), а после #3352 аноним отличал существующую admin-ручку (401) от несуществующей (404). ## Факт: срез в Caddy невозможен admin-API зовут из браузера: 66 вызовов `/api/v1/admin/*` в 12 файлах фронта (`app/scrapers/**`, `components/scrapers/*`, `lib/admin-audit-api.ts`, `GuardedRoute.tsx`, `Topbar.tsx`). Реализован только guard-вариант. ## Механизм (`rbac.py`) `_unauthenticated(path, detail)`: на `_ADMIN_API_RE` — `404 {"detail": "Not Found"}` (+ `logger.info` о зонде), иначе прежний 401. Через него все три анонимные ветки: `auth_mode != dual`, нет `X-Authenticated-User`, невалидный `X-Internal-Auth-Secret` (#2213). Аутентифицированные не тронуты: admin → 200, не-admin → 403 «admin only». Смоук периметра: пара `/trade-in/api/v1/admin/proxies` (реальный) и `/admin/users` (нет) — обе 404; ПТИЦА `gendsgn.ru/api/v1/admin/*` оставлен 401 (другой бэкенд за basic_auth). ## Тесты `test_rbac.py`: существующий `…_no_header_on_admin_path_returns_401` → `_404` (он фиксировал старое поведение); +2: сравнение ответ-к-ответу существующей vs несуществующей admin-ручки, admin 200 / analyst 403 / `/me` анониму 401; покрытие всех трёх анонимных веток. **Полный suite `5464 passed`.** Фальсификация (откат rbac.py): `существующая → 401 …, несуществующая → 404 …`, `подделка мимо Caddy → 401` — по значению. ## Прод-приёмка `scripts/smoke-mera-perimeter.sh` (оба admin-пути 404) + живой админ-UI под admin (`/scrapers` работает). Внешних интеграторов, ходящих в admin-API анонимно, в коде нет.

bot-backend added 1 commit 2026-09-05 19:52:02 +00:00

fix(rbac): анониму на admin-префиксе отвечать 404, а не 401 ... 990a59e469

#3360. Периметр /trade-in/api/v1/admin/* снаружи не срезан (caddy/sites/apps.caddy:
блок `handle /trade-in/api/*` стоит выше `import caddy/users.caddy.snippet`), и
срезать его нельзя: admin-UI кабинета зовёт эти пути ИЗ БРАУЗЕРА (12 файлов
tradein-mvp/frontend/src — scrapers/**, components/scrapers/**, admin-audit-api.ts,
GuardedRoute). Значит внешний аноним доходит до rbac_guard, а после #3324
(несуществующий путь → 404 роутера) 401 на существующей ручке стал оракулом:
перебором имён восстанавливался список admin-API.

Все три ветки «личность не установлена» (нет X-Authenticated-User, auth_mode=db_only,
подделанный заголовок без #2213-секрета) на admin-префиксе теперь отдают ровно то же,
что роутер даёт на несуществующий путь. Аутентифицированные не тронуты: admin — 200,
не-admin — 403 «admin only» (прятать наличие ручки от опознанного человека незачем).

Смоук периметра: пара admin-путей — существующий /admin/proxies и несуществующий
/admin/users — оба обязаны быть 404 снаружи.

bot-backend commented 2026-09-05 20:02:38 +00:00

Author

Collaborator

Copy link

Deep-ревью ⚠️ approve. Остаточный оракул, названный ревью («подделанный X-Authenticated-User с именем не из roles.yaml → 403 vs 404 — жив внутри docker-сети, если секрет пуст»): проверено на проде — TRADEIN_INTERNAL_AUTH_SECRET в контейнере tradein-backend непустой (64 символа), гейт #2213 действует; снаружи заголовок срезает Caddy (apps.caddy:205, :590).

Единственный minor (ветка db_only в тесте зелёная по построению — сверять detail равенством) — в доводке; мерж после неё и зелёного CI.

Deep-ревью ⚠️ approve. Остаточный оракул, названный ревью («подделанный `X-Authenticated-User` с именем не из roles.yaml → 403 vs 404 — жив внутри docker-сети, если секрет пуст»): проверено на проде — `TRADEIN_INTERNAL_AUTH_SECRET` в контейнере tradein-backend **непустой (64 символа)**, гейт #2213 действует; снаружи заголовок срезает Caddy (`apps.caddy:205, :590`). Единственный minor (ветка `db_only` в тесте зелёная по построению — сверять `detail` равенством) — в доводке; мерж после неё и зелёного CI.

Light1YT added 1 commit 2026-09-05 20:04:49 +00:00

test(rbac): сделать db_only-ветку anon-cloak фальсифицируемой ... d5fb675858

Ассерт `/api/v1/me → 401` проходил в обоих мирах: если monkeypatch
auth_mode тихо не подействует, запрос без заголовка уходит в ветку «нет
заголовка» и даёт тот же 401 (и тот же 404 на admin-пути). Теперь
сверяется detail РАВЕНСТВОМ со строкой db_only-ветки; `in` не годится —
'valid session required' является подстрокой dual-текста.

Мутация (monkeypatch режима закомментирован) даёт красный:
assert 'no authenticated user (valid session required)' == 'valid session required'

bot-backend referenced this pull request 2026-09-05 20:06:27 +00:00

chore(smoke): периметр-смоук бьёт в реальный роут истории — /api/v1/trade-in/history, а не в несуществующий /api/v1/history #3374

Light1YT added 1 commit 2026-09-05 20:16:38 +00:00

Merge remote-tracking branch 'origin/main' into HEAD ... 6e0a34a683

# Conflicts:
#	scripts/smoke-mera-perimeter.sh

bot-backend merged commit 357c4348ac into main 2026-09-05 20:32:06 +00:00

bot-backend referenced this pull request from a commit 2026-09-05 20:32:07 +00:00

Merge pull request 'fix(tradein/rbac): аноним на admin-префиксе получает единый 404 — существование admin-ручек снаружи не перебирается' (#3371) from fix/3360-admin-prefix-anon-404 into main

bot-backend referenced this pull request 2026-09-05 20:41:50 +00:00

[SECURITY] Caddy: /trade-in/api/v1/admin/* доступен снаружи анонимно до guard'а — нет среза админского префикса на периметре #3360

Sign in to join this conversation.

Reviewers

No reviewers

Labels

Clear labels   

Fable 5 ревью

Находки полного мульти-агентного ревью (Claude Fable 5, 2026-06-09)

  

GG-форсайт

Новое ТЗ от Ген Геныча (июнь 2026): Site Finder v2 — ИИ-прогноз продуктовой стратегии девелопера. Актуальный приоритет.

  

admin

Admin UI / internal tools / pipeline tracker

  

analytics

Аналитика данных / matching

  

auth

Authentication / authorization / multi-tenancy

  

automation

Автоматизация / cron / scheduler

  

bug

Something isn't working

  

business

Коммерческая воронка / пилоты / pipeline / реестр ПО

  

chore

Operational housekeeping

  

ci

Forgejo Actions / build pipeline

  

compliance

152-ФЗ / реестр ПО / legal / TOS

  

data

Data sources, parsers, ETL

  

data-moat

Уникальные данные — sales tracker, CRM aggregation

  

docs

README / runbooks / onboarding

  

duplicate

This issue or pull request already exists

  

dx

Developer experience / build speed

  

enhancement

New feature or request

  

feedback/max

Feedback from Max (Senior partner)

  

generative

Generative Design — concept generation engine

  

needs-discussion

Pending team sync / decision

  

needs-human

Human review/decision required

  

observability

Monitoring / metrics / logs / Sentry / Uptime

  

pause-bots

Kill-switch — all autonomous bots pause

  

performance

Latency / throughput / DB query tuning

  

priority/p0

Critical / production-blocker

  

priority/p1

High priority

  

priority/p2

Normal priority

  

priority/p3

Низкий приоритет (follow-up, tech-debt)

  

scope/backend

Backend Python — FastAPI, Celery, scrapers

  

scope/db

DB migrations, indexes, SQL

  

scope/devops

docker-compose, Caddy, workflows

  

scope/frontend

Frontend — Next.js, React, TypeScript

  

scope/qa

Tests, smoke, Playwright

  

scrapers

Скрапперы (Avito/Cian/Yandex/Rosreestr)

  

security

Security audit / secrets / vulnerabilities

  

site-finder

Site Finder scoring quality & data layer

  

stage/1

Stage 1: Generative MVP (нед 2-7)

  

stage/2

Stage 2: Site Finder MVP (нед 8-12)

  

status/blocked

Blocked — needs human intervention

  

status/done

Closed, completed

  

status/needs-analysis

Raw/fuzzy task filed by human — auto-analyst подхватывает: code-archeology + декомпозиция в actionable scope/* + status/ready (или split на под-issues)

  

status/needs-fix

Reviewer/QA вернул worker на доработку — worker сам чинит свой PR (fixup), НЕ требует human (в отличие от status/blocked)

  

status/qa

PR merged, awaiting smoke test

  

status/ready

Ready for pickup by worker bot

  

status/review

PR open, awaiting code review

  

status/wip

Work in progress (worker claimed)

  

tech-debt

Технический долг

  

tradein

Trade-In MVP проект

  

ux

User experience / responsive / conversion

  

week ревью 1

Week review 1 — находки multi-agent аудита проекта (2026-06-14)

  

wontfix

This will not be worked on

  

ИРД

Исходно-разрешительная документация — слой ограничений участка для analyze-таблицы

  

вторичка

Trade-In Estimator — проект оценки вторичного жилья

No labels

Fable 5 ревью

GG-форсайт

admin

analytics

auth

automation

bug

business

chore

ci

compliance

data

data-moat

docs

duplicate

dx

enhancement

feedback/max

generative

needs-discussion

needs-human

observability

pause-bots

performance

priority/p0

priority/p1

priority/p2

priority/p3

scope/backend

scope/db

scope/devops

scope/frontend

scope/qa

scrapers

security

site-finder

stage/1

stage/2

status/blocked

status/done

status/needs-analysis

status/needs-fix

status/qa

status/ready

status/review

status/wip

tech-debt

tradein

ux

week ревью 1

wontfix

ИРД

вторичка

Milestone

Clear milestone

No items

No milestone

Projects

Clear projects

No items

No project

Assignees

Clear assignees

No assignees

2 participants

Notifications

Subscribe

Due date

The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference: lekss361/gendesign#3371

No description provided.