lekss361/gendesign
1
0
Fork 0
Code Issues 60 Pull requests 3 Projects Releases Packages Wiki Activity Actions

feat(tradein/ui): login-форма + session-aware RouteGuard (#2555) #2562

Merged
lekss361 merged 2 commits from feat/tradein-login-ui into main 2026-07-30 18:10:47 +00:00
Conversation 0 Commits 2 Files changed 5 +390 -8
lekss361 commented 2026-07-30 17:47:41 +00:00
Owner
Copy link

Closes #2555 (эпик #2549, шаг 5/8).

  • app/login/page.tsx — форма username+password, русские ошибки (401 / 429 / сеть), sanitizeNext() против open-redirect (только одиночный /, отбрасывает //host и /\host)
  • components/auth/RouteGuard.tsx — 401 → /login?next=<путь>; ранний bypass для /login (как у /ui-preview) против редирект-петли; ветка expired (trial-экран) и dev-режим не тронуты
  • lib/useMe.ts — Role расширена до admin|manager|employee|pilot|analyst|expired
  • lib/useLogout.ts (новый) + TopNav v2 переключён на session-logout
  • basePath: next= строится из пути БЕЗ /trade-in (Next префиксит сам) — иначе задвоение префикса
  • Cookie: все запросы same-origin, дефолтный same-origin credentials уже шлёт tradein_session — правок в api.ts не потребовалось

tsc --noEmit + lint + npm run build чисто (/login — static route, 4.57 kB). Legacy UserMenu на остальных страницах намеренно оставлен на basic_auth-логауте (вне scope). Визуал — проверка на проде после мержа (RouteGuard без бекенда рендерит null).

Closes #2555 (эпик #2549, шаг 5/8). - `app/login/page.tsx` — форма username+password, русские ошибки (401 / 429 / сеть), `sanitizeNext()` против open-redirect (только одиночный `/`, отбрасывает `//host` и `/\host`) - `components/auth/RouteGuard.tsx` — 401 → `/login?next=<путь>`; ранний bypass для `/login` (как у `/ui-preview`) против редирект-петли; ветка `expired` (trial-экран) и dev-режим не тронуты - `lib/useMe.ts` — `Role` расширена до `admin|manager|employee|pilot|analyst|expired` - `lib/useLogout.ts` (новый) + TopNav v2 переключён на session-logout - basePath: `next=` строится из пути БЕЗ `/trade-in` (Next префиксит сам) — иначе задвоение префикса - Cookie: все запросы same-origin, дефолтный `same-origin` credentials уже шлёт `tradein_session` — правок в `api.ts` не потребовалось `tsc --noEmit` + lint + `npm run build` чисто (`/login` — static route, 4.57 kB). Legacy UserMenu на остальных страницах намеренно оставлен на basic_auth-логауте (вне scope). Визуал — проверка на проде после мержа (RouteGuard без бекенда рендерит null).
lekss361 added 1 commit 2026-07-30 17:47:41 +00:00
feat(tradein/ui): login-форма + session-aware RouteGuard (#2555)
All checks were successful
CI / changes (pull_request) Successful in 10s
Details
CI Trade-In / changes (pull_request) Successful in 10s
Details
CI Trade-In / backend-tests (pull_request) Has been skipped
Details
CI / backend-tests (pull_request) Has been skipped
Details
CI / frontend-tests (pull_request) Has been skipped
Details
CI / openapi-codegen-check (pull_request) Has been skipped
Details
CI Trade-In / frontend-checks (pull_request) Successful in 1m4s
Details
15d506b7dd 
POST /api/v1/auth/login/logout уже в main (DB-backed session, httponly
cookie tradein_session). Фронт: /login-форма (username+password, ошибки
401/429 по-русски, next= redirect с open-redirect guard), RouteGuard
редиректит на /login при 401 вместо NoAccessScreen variant=session
(prod-only, dev-режим без Caddy не трогаем), useLogout хук чистит
/me-кэш и уходит на /login. Role расширена admin|manager|employee (новые)
+ pilot|analyst|expired (legacy dual-mode resolver на бэке).
bot-backend added 1 commit 2026-07-30 17:58:24 +00:00
fix(tradein/ui): харденинг sanitizeNext + сохранение query в next (#2555)
All checks were successful
CI Trade-In / changes (pull_request) Successful in 9s
Details
CI / changes (pull_request) Successful in 9s
Details
CI Trade-In / backend-tests (pull_request) Has been skipped
Details
CI / frontend-tests (pull_request) Has been skipped
Details
CI / backend-tests (pull_request) Has been skipped
Details
CI / openapi-codegen-check (pull_request) Has been skipped
Details
CI Trade-In / frontend-checks (pull_request) Successful in 1m1s
Details
e6d68c349e 
PR #2562 review, 3 однострочника:
1. sanitizeNext обходился: WHATWG URL-парсер (router.push) вырезает ASCII
   tab/CR/LF из ВСЕЙ строки перед парсингом, так что "/\t//evil" проходил
   regex (позиция 1 — таб, не "/"/"\\"), а после навигации резолвился в
   protocol-relative "//evil" → чужой origin. Теперь сначала strip
   [\t\r\n], потом валидация — regex видит ту же строку, что увидит парсер.
2. next=/login (или /login?...) кидал юзера обратно на форму входа
   (RouteGuard не гейтит /login) — dead-end. Фолбэк на "/".
3. RouteGuard брал next= только из usePathname(), без query — сессия,
   истёкшая на deep-link (/v2?id=<uuid>), теряла отчёт после релогина.
   Добавлен window.location.search в next (effect всегда client-side).
lekss361 merged commit acba900f21 into main 2026-07-30 18:10:47 +00:00
Sign in to join this conversation.
Reviewers
No reviewers
Labels
Clear labels   
admin

Admin UI / internal tools / pipeline tracker

  
analytics

Аналитика данных / matching

  
auth

Authentication / authorization / multi-tenancy

  
automation

Автоматизация / cron / scheduler

  
bug

Something isn't working

  
business

Коммерческая воронка / пилоты / pipeline / реестр ПО

  
chore

Operational housekeeping

  
ci

Forgejo Actions / build pipeline

  
compliance

152-ФЗ / реестр ПО / legal / TOS

  
data

Data sources, parsers, ETL

  
data-moat

Уникальные данные — sales tracker, CRM aggregation

  
docs

README / runbooks / onboarding

  
duplicate

This issue or pull request already exists

  
dx

Developer experience / build speed

  
enhancement

New feature or request

  
Fable 5 ревью

Находки полного мульти-агентного ревью (Claude Fable 5, 2026-06-09)

  
feedback/max

Feedback from Max (Senior partner)

  
generative

Generative Design — concept generation engine

  
GG-форсайт

Новое ТЗ от Ген Геныча (июнь 2026): Site Finder v2 — ИИ-прогноз продуктовой стратегии девелопера. Актуальный приоритет.

  
needs-discussion

Pending team sync / decision

  
needs-human

Human review/decision required

  
observability

Monitoring / metrics / logs / Sentry / Uptime

  
pause-bots

Kill-switch — all autonomous bots pause

  
performance

Latency / throughput / DB query tuning

  
priority/p0

Critical / production-blocker

  
priority/p1

High priority

  
priority/p2

Normal priority

  
priority/p3

Низкий приоритет (follow-up, tech-debt)

  
scope/backend

Backend Python — FastAPI, Celery, scrapers

  
scope/db

DB migrations, indexes, SQL

  
scope/devops

docker-compose, Caddy, workflows

  
scope/frontend

Frontend — Next.js, React, TypeScript

  
scope/qa

Tests, smoke, Playwright

  
scrapers

Скрапперы (Avito/Cian/Yandex/Rosreestr)

  
security

Security audit / secrets / vulnerabilities

  
site-finder

Site Finder scoring quality & data layer

  
stage/1

Stage 1: Generative MVP (нед 2-7)

  
stage/2

Stage 2: Site Finder MVP (нед 8-12)

  
status/blocked

Blocked — needs human intervention

  
status/done

Closed, completed

  
status/needs-analysis

Raw/fuzzy task filed by human — auto-analyst подхватывает: code-archeology + декомпозиция в actionable scope/* + status/ready (или split на под-issues)

  
status/needs-fix

Reviewer/QA вернул worker на доработку — worker сам чинит свой PR (fixup), НЕ требует human (в отличие от status/blocked)

  
status/qa

PR merged, awaiting smoke test

  
status/ready

Ready for pickup by worker bot

  
status/review

PR open, awaiting code review

  
status/wip

Work in progress (worker claimed)

  
tech-debt

Технический долг

  
tradein

Trade-In MVP проект

  
ux

User experience / responsive / conversion

  
week ревью 1

Week review 1 — находки multi-agent аудита проекта (2026-06-14)

  
wontfix

This will not be worked on

  
вторичка

Trade-In Estimator — проект оценки вторичного жилья

  
ИРД

Исходно-разрешительная документация — слой ограничений участка для analyze-таблицы

No labels
admin
analytics
auth
automation
bug
business
chore
ci
compliance
data
data-moat
docs
duplicate
dx
enhancement
Fable 5 ревью
feedback/max
generative
GG-форсайт
needs-discussion
needs-human
observability
pause-bots
performance
priority/p0
priority/p1
priority/p2
priority/p3
scope/backend
scope/db
scope/devops
scope/frontend
scope/qa
scrapers
security
site-finder
stage/1
stage/2
status/blocked
status/done
status/needs-analysis
status/needs-fix
status/qa
status/ready
status/review
status/wip
tech-debt
tradein
ux
week ревью 1
wontfix
вторичка
ИРД
Milestone
Clear milestone
No items
No milestone
Projects
Clear projects
No items
No project
Assignees
Clear assignees
No assignees
2 participants
Notifications
Due date
The due date is invalid or out of range. Please use the format "yyyy-mm-dd".

No due date set.

Dependencies

No dependencies set.

Reference: lekss361/gendesign#2562
No description provided.
Delete branch "feat/tradein-login-ui"

Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?