fix(security): forwarder PermissionError — убрать USER nobody (read /var/log/caddy) #432

Merged

lekss361 merged 2 commits from fix/auth-forwarder-permission into main

2026-05-23 09:04:01 +00:00

Author	SHA1	Message	Date
lekss361	5beed7dfce	fix(security): forwarder PermissionError — убрать USER nobody (read /var/log/caddy) Caddy пишет access log под UID 0; контейнер с USER nobody (65534) не может открыть файл → ни один auth event не пересылался (GlitchTip issue #71). Удалён USER nobody из Dockerfile — форвардер запускается под root. Security: caddy_logs mount read-only, нет network listener, нет shell. auth_forwarder_state — write-only форвардера, не shared с другими сервисами. Добавлен throttle на capture_exception: не более 1 Sentry event в 5 минут при persistent ошибке (деque-паттерн как у basic_auth_storm).	2026-05-23 11:58:10 +03:00
lekss361	4dbfcfad4a	feat(deploy): автоматизировать build+up glitchtip-auth-forwarder - Добавить ops/glitchtip-auth-forwarder/** в paths-filter trigger deploy.yml - docker compose build glitchtip-auth-forwarder перед up -d (локальная сборка на VPS) - force-recreate glitchtip-auth-forwarder после caddy (подхватывает rebuild) - Обновить runbook: убрать упоминание ручного шага, добавить секцию Deploy	2026-05-23 11:58:10 +03:00

Author

SHA1

Message

Date

lekss361

5beed7dfce

fix(security): forwarder PermissionError — убрать USER nobody (read /var/log/caddy)

Caddy пишет access log под UID 0; контейнер с USER nobody (65534)
не может открыть файл → ни один auth event не пересылался (GlitchTip issue #71).

Удалён USER nobody из Dockerfile — форвардер запускается под root.
Security: caddy_logs mount read-only, нет network listener, нет shell.
auth_forwarder_state — write-only форвардера, не shared с другими сервисами.

Добавлен throttle на capture_exception: не более 1 Sentry event в 5 минут
при persistent ошибке (деque-паттерн как у basic_auth_storm).

2026-05-23 11:58:10 +03:00

lekss361

4dbfcfad4a

feat(deploy): автоматизировать build+up glitchtip-auth-forwarder

- Добавить ops/glitchtip-auth-forwarder/** в paths-filter trigger deploy.yml
- docker compose build glitchtip-auth-forwarder перед up -d (локальная сборка на VPS)
- force-recreate glitchtip-auth-forwarder после caddy (подхватывает rebuild)
- Обновить runbook: убрать упоминание ручного шага, добавить секцию Deploy

2026-05-23 11:58:10 +03:00