Compare commits
No commits in common. "codex/bootstrap-platform-foundation" and "antigravity/offline-sync-backend" have entirely different histories.
codex/boot
...
antigravit
131 changed files with 699 additions and 13329 deletions
|
|
@ -11,6 +11,5 @@ PLATFORM_GATEWAY_URL=http://host.docker.internal:3000
|
|||
PLATFORM_JWT_ISSUER=https://platform.example.invalid
|
||||
PLATFORM_JWT_AUDIENCE=krona-staff
|
||||
PLATFORM_JWKS_URL=https://platform.example.invalid/.well-known/jwks.json
|
||||
# Set this to the organization's tenant ID from Krona Business Platform.
|
||||
STANDALONE_TENANT_ID=
|
||||
STANDALONE_TENANT_ID=01J00000000000000000000000
|
||||
STANDALONE_ACTOR_ID=01J00000000000000000000001
|
||||
|
|
|
|||
|
|
@ -3,16 +3,6 @@ on:
|
|||
push:
|
||||
branches: [main, codex/bootstrap-platform-foundation]
|
||||
pull_request:
|
||||
|
||||
# Все actions закреплены полным SHA коммита (F13); SHA получены `git ls-remote`
|
||||
# и совпадают на github.com и code.forgejo.org (зеркало), поэтому закрепление
|
||||
# работает при любом DEFAULT_ACTIONS_URL раннера.
|
||||
#
|
||||
# Роли БД как в pilot, но с минимальными привилегиями: POSTGRES_USER сервиса —
|
||||
# только bootstrap-админ (роль DBA/entrypoint образа), им scripts/test/provision-pg.mjs
|
||||
# создаёт krona_migrator (NOSUPERUSER, владелец БД) и krona_staff_app (NOBYPASSRLS)
|
||||
# со случайными паролями. Ни миграции, ни тесты, ни сервер под bootstrap-админом не работают.
|
||||
|
||||
jobs:
|
||||
verify:
|
||||
runs-on: docker
|
||||
|
|
@ -20,125 +10,27 @@ jobs:
|
|||
postgres:
|
||||
image: postgres:17-alpine@sha256:18cfe3ef5e6815560c98237d6216d1e5119702fb0f3894c8785dd58b8bbe5d73
|
||||
env:
|
||||
POSTGRES_DB: postgres
|
||||
POSTGRES_USER: ci_bootstrap
|
||||
POSTGRES_PASSWORD: ci-bootstrap-only
|
||||
POSTGRES_DB: krona_staff
|
||||
POSTGRES_USER: krona_migrator
|
||||
POSTGRES_PASSWORD: ci-migration-password
|
||||
ports: ['5432:5432']
|
||||
options: >-
|
||||
--health-cmd "pg_isready -U ci_bootstrap -d postgres"
|
||||
--health-cmd "pg_isready -U krona_migrator -d krona_staff"
|
||||
--health-interval 5s
|
||||
--health-timeout 3s
|
||||
--health-retries 20
|
||||
env:
|
||||
E2E_PG_ADMIN_URL: postgres://ci_bootstrap:ci-bootstrap-only@postgres:5432/postgres
|
||||
DATABASE_MIGRATION_URL: postgres://krona_migrator:ci-migration-password@postgres:5432/krona_staff
|
||||
DATABASE_TEST_URL: postgres://krona_staff_app:ci-app-password@postgres:5432/krona_staff
|
||||
POSTGRES_APP_PASSWORD: ci-app-password
|
||||
steps:
|
||||
- uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4.4.0
|
||||
- uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4.4.0
|
||||
with: { node-version: 22, cache: npm }
|
||||
- run: npm ci
|
||||
- name: provision roles (migrator NOSUPERUSER, app NOBYPASSRLS)
|
||||
run: node scripts/test/provision-pg.mjs --out "$RUNNER_TEMP/db.env" --db krona_staff
|
||||
- name: migrations up -> rollback all -> up -> up (no-op)
|
||||
run: |
|
||||
set -a; . "$RUNNER_TEMP/db.env"; set +a
|
||||
node scripts/test/migrate-roundtrip.mjs roundtrip
|
||||
- name: npm run check (tenant-isolation on real PostgreSQL as app role)
|
||||
run: |
|
||||
set -a; . "$RUNNER_TEMP/db.env"; set +a
|
||||
unset DATABASE_URL POSTGRES_APP_PASSWORD
|
||||
npm run check
|
||||
- run: npm audit --audit-level=high
|
||||
|
||||
# Отдельная задача: prettier сейчас красный по 23 файлам (F14; замер 2026-09-26), и это не должно
|
||||
# маскировать статус verify/e2e.
|
||||
format:
|
||||
runs-on: docker
|
||||
steps:
|
||||
- uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4.4.0
|
||||
- uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4.4.0
|
||||
- uses: actions/checkout@v4
|
||||
- uses: actions/setup-node@v4
|
||||
with: { node-version: 22, cache: npm }
|
||||
- run: npm ci
|
||||
- run: node scripts/create-app-role.mjs
|
||||
- run: node scripts/migrate.mjs up
|
||||
- run: npm run check
|
||||
- run: npm run format:check
|
||||
|
||||
# Приёмочные сценарии на реальном сервере и PostgreSQL 17. Красные сценарии
|
||||
# известных открытых дефектов перечислены в tests/e2e/known-defects.json:
|
||||
# задача зелёная, если стенд работает ([HARNESS]/[CTRL] зелёные) и каждый
|
||||
# красный сценарий есть в списке; новый красный сценарий или исправленный,
|
||||
# но не вычеркнутый дефект делают задачу красной.
|
||||
e2e:
|
||||
runs-on: docker
|
||||
services:
|
||||
postgres:
|
||||
image: postgres:17-alpine@sha256:18cfe3ef5e6815560c98237d6216d1e5119702fb0f3894c8785dd58b8bbe5d73
|
||||
env:
|
||||
POSTGRES_DB: postgres
|
||||
POSTGRES_USER: ci_bootstrap
|
||||
POSTGRES_PASSWORD: ci-bootstrap-only
|
||||
options: >-
|
||||
--health-cmd "pg_isready -U ci_bootstrap -d postgres"
|
||||
--health-interval 5s
|
||||
--health-timeout 3s
|
||||
--health-retries 20
|
||||
env:
|
||||
E2E_PG_ADMIN_URL: postgres://ci_bootstrap:ci-bootstrap-only@postgres:5432/postgres
|
||||
E2E_MIGRATIONS: roundtrip
|
||||
steps:
|
||||
- uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4.4.0
|
||||
- uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4.4.0
|
||||
with: { node-version: 22, cache: npm }
|
||||
- run: npm ci
|
||||
- name: e2e (known-defects ratchet)
|
||||
run: node scripts/test/run-e2e.mjs
|
||||
- name: e2e table
|
||||
if: always()
|
||||
run: cat tests/e2e/evidence/e2e-table.md || true
|
||||
# tests/e2e/evidence/ в .gitignore: полный вывод vitest, JSON, логи серверов —
|
||||
# артефакт прогона, а не файлы репозитория (TASK-GROK-2 п.1).
|
||||
- name: upload e2e evidence
|
||||
if: always()
|
||||
uses: actions/upload-artifact@ea165f8d65b6e75b540449e92b4886f43607fa02 # v4.6.2
|
||||
with:
|
||||
name: e2e-evidence
|
||||
path: tests/e2e/evidence/
|
||||
retention-days: 14
|
||||
if-no-files-found: warn
|
||||
|
||||
# Windows 11 (проект разрабатывается под Windows). Windows-раннера у сервера пока
|
||||
# НЕТ, поэтому задача включается только переменной репозитория
|
||||
# KRONA_WINDOWS_RUNNER=true (иначе пропускается и не висит в очереди).
|
||||
# Раннер: forgejo-runner в режиме host с меткой `windows`, Node 22+.
|
||||
# e2e на Windows идёт, только если задан секрет WINDOWS_E2E_PG_ADMIN_URL
|
||||
# (bootstrap-админ локальной PostgreSQL 17 на раннере). НЕ ПРОВЕРЕНО: не запускалась.
|
||||
windows:
|
||||
if: vars.KRONA_WINDOWS_RUNNER == 'true'
|
||||
runs-on: windows
|
||||
env:
|
||||
E2E_PG_ADMIN_URL: ${{ secrets.WINDOWS_E2E_PG_ADMIN_URL }}
|
||||
steps:
|
||||
- uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4.4.0
|
||||
- uses: actions/setup-node@49933ea5288caeca8642d1e84afbd3f7d6820020 # v4.4.0
|
||||
with: { node-version: 22, cache: npm }
|
||||
- run: npm ci
|
||||
- name: spawn without .cmd wrappers
|
||||
run: node node_modules/vitest/vitest.mjs run tests/e2e/harness/node-commands.test.ts
|
||||
- name: e2e on Windows (needs local PostgreSQL 17)
|
||||
if: env.E2E_PG_ADMIN_URL != ''
|
||||
run: node scripts/test/run-e2e.mjs
|
||||
- name: upload Windows e2e evidence
|
||||
if: always() && env.E2E_PG_ADMIN_URL != ''
|
||||
uses: actions/upload-artifact@ea165f8d65b6e75b540449e92b4886f43607fa02 # v4.6.2
|
||||
with:
|
||||
name: e2e-evidence-windows
|
||||
path: tests/e2e/evidence/
|
||||
retention-days: 14
|
||||
if-no-files-found: warn
|
||||
|
||||
# docker build требует Docker daemon, которого нет в контейнере метки `docker`.
|
||||
# Нужен раннер с меткой `docker-host` (хост с доступом к Docker). Пока такого
|
||||
# раннера нет, задача ждёт в очереди и не блокирует verify/format/e2e.
|
||||
docker-build:
|
||||
runs-on: docker-host
|
||||
needs: [verify]
|
||||
if: github.event_name == 'push'
|
||||
steps:
|
||||
- uses: actions/checkout@11d5960a326750d5838078e36cf38b85af677262 # v4.4.0
|
||||
- run: docker build -t "krona-staff:${GITHUB_SHA}" .
|
||||
- run: npm audit --audit-level=high
|
||||
- run: docker build -t krona-staff:${{ forgejo.sha }} .
|
||||
|
|
|
|||
3
.gitignore
vendored
3
.gitignore
vendored
|
|
@ -18,6 +18,3 @@ apps/KronaStaffTerminal.Tests/bin/
|
|||
apps/KronaStaffTerminal.Tests/obj/
|
||||
artifacts/
|
||||
.audit-build/
|
||||
|
||||
# Результаты прогонов e2e (логи серверов, JSON vitest, таблица) — артефакт CI, не исходники
|
||||
tests/e2e/evidence/
|
||||
|
|
|
|||
|
|
@ -8,8 +8,6 @@
|
|||
|
||||
```bash
|
||||
cp .env.example .env
|
||||
# Перед следующей командой заполните STANDALONE_TENANT_ID в .env:
|
||||
# используйте ULID организации из Krona Business Platform, не ID сотрудника.
|
||||
docker compose --profile tools run --rm migrate
|
||||
docker compose up --build app postgres
|
||||
```
|
||||
|
|
@ -24,7 +22,7 @@ docker compose up --build app postgres
|
|||
- `npm run db:migrate` — применить ещё не выполненные миграции. Откат удаляет только последнюю миграцию и требует `ALLOW_MIGRATION_DOWN=true`.
|
||||
- `npm run check:contracts` — проверить manifest/settings/OpenAPI.
|
||||
|
||||
Архитектурные решения: [docs/ARCHITECTURE.md](docs/ARCHITECTURE.md), интеграция: [docs/PLATFORM-INTEGRATION.md](docs/PLATFORM-INTEGRATION.md), запуск и чек-лист боевого тестирования: [docs/RUN-MANUAL-TESTING.md](docs/RUN-MANUAL-TESTING.md), будущий объём: [docs/ROADMAP.md](docs/ROADMAP.md).
|
||||
Архитектурные решения: [docs/ARCHITECTURE.md](docs/ARCHITECTURE.md), интеграция: [docs/PLATFORM-INTEGRATION.md](docs/PLATFORM-INTEGRATION.md), будущий объём: [docs/ROADMAP.md](docs/ROADMAP.md).
|
||||
|
||||
## Расчётный контур
|
||||
|
||||
|
|
|
|||
207
api/openapi.yaml
207
api/openapi.yaml
|
|
@ -74,26 +74,6 @@ paths:
|
|||
responses:
|
||||
'204': { description: Сессия завершена }
|
||||
'403': { description: Запрос с постороннего сайта отклонён }
|
||||
/access-grants:
|
||||
post:
|
||||
summary: Выпустить ключ доступа для роли
|
||||
operationId: createStaffAccessGrant
|
||||
tags: [Authentication]
|
||||
security: [{ bearerAuth: [] }]
|
||||
requestBody:
|
||||
required: true
|
||||
content:
|
||||
application/json:
|
||||
schema:
|
||||
type: object
|
||||
required: [role, display_name]
|
||||
properties:
|
||||
role: { type: string, enum: [point_manager, accountant, director] }
|
||||
display_name: { type: string, minLength: 1, maxLength: 255 }
|
||||
org_unit_ids: { type: array, items: { type: string } }
|
||||
responses:
|
||||
'201': { description: Ключ выпущен }
|
||||
'403': { description: Недостаточно прав }
|
||||
/portal:
|
||||
get:
|
||||
summary: Получить доступную пользователю сводку посещаемости и табеля
|
||||
|
|
@ -331,30 +311,6 @@ paths:
|
|||
'200': { description: Ключ выпущен; на сервере сохранён только его SHA-256 отпечаток }
|
||||
'403': { description: Недостаточно прав }
|
||||
'404': { description: Сотрудник не найден }
|
||||
/employees/{employeeId}/biometric-consent:
|
||||
put:
|
||||
summary: Установить согласие сотрудника на обработку биометрии
|
||||
operationId: setEmployeeBiometricConsent
|
||||
tags: [Employees]
|
||||
security: [{ bearerAuth: [] }]
|
||||
parameters:
|
||||
- in: path
|
||||
name: employeeId
|
||||
required: true
|
||||
schema: { $ref: '#/components/schemas/Ulid' }
|
||||
requestBody:
|
||||
required: true
|
||||
content:
|
||||
application/json:
|
||||
schema:
|
||||
type: object
|
||||
required: [status]
|
||||
properties:
|
||||
status: { type: string, enum: [granted, revoked] }
|
||||
document_ref: { type: string }
|
||||
responses:
|
||||
'200': { description: Согласие сохранено }
|
||||
'403': { description: Недостаточно прав }
|
||||
/employees/{employeeId}/pay-assignment:
|
||||
get:
|
||||
summary: Получить зарплатный профиль сотрудника
|
||||
|
|
@ -416,15 +372,6 @@ paths:
|
|||
type: array
|
||||
items: { type: object }
|
||||
'403': { description: Недостаточно прав }
|
||||
/notifications:
|
||||
get:
|
||||
summary: Получить уведомления
|
||||
operationId: getBatchNotifications
|
||||
tags: [Notifications]
|
||||
security: [{ bearerAuth: [] }]
|
||||
responses:
|
||||
'200': { description: Список уведомлений }
|
||||
'403': { description: Недостаточно прав }
|
||||
/org-units:
|
||||
get:
|
||||
summary: Получить доступные торговые точки
|
||||
|
|
@ -529,92 +476,6 @@ paths:
|
|||
responses:
|
||||
'200': { description: 'Начисления, выплаты, остаток и подтверждённые часы' }
|
||||
'403': { description: Недостаточно прав }
|
||||
/payroll/batches:
|
||||
post:
|
||||
summary: Сформировать зарплатный пакет подразделения
|
||||
operationId: createPayrollBatch
|
||||
tags: [Payroll]
|
||||
security: [{ bearerAuth: [] }]
|
||||
requestBody:
|
||||
required: true
|
||||
content:
|
||||
application/json:
|
||||
schema:
|
||||
type: object
|
||||
required: [org_unit_id, from, to]
|
||||
properties:
|
||||
org_unit_id: { $ref: '#/components/schemas/Ulid' }
|
||||
from: { type: string, format: date }
|
||||
to: { type: string, format: date }
|
||||
responses:
|
||||
'201': { description: Пакет сформирован }
|
||||
'403': { description: Недостаточно прав }
|
||||
/payroll/batches/{id}:
|
||||
get:
|
||||
summary: Получить зарплатный пакет
|
||||
operationId: getPayrollBatch
|
||||
tags: [Payroll]
|
||||
security: [{ bearerAuth: [] }]
|
||||
parameters:
|
||||
- in: path
|
||||
name: id
|
||||
required: true
|
||||
schema: { $ref: '#/components/schemas/Ulid' }
|
||||
responses:
|
||||
'200': { description: Зарплатный пакет }
|
||||
'403': { description: Недостаточно прав }
|
||||
'404': { description: Пакет не найден }
|
||||
/payroll/batches/{id}/submit:
|
||||
post:
|
||||
summary: Отправить зарплатный пакет на подпись
|
||||
operationId: submitPayrollBatch
|
||||
tags: [Payroll]
|
||||
security: [{ bearerAuth: [] }]
|
||||
parameters:
|
||||
- in: path
|
||||
name: id
|
||||
required: true
|
||||
schema: { $ref: '#/components/schemas/Ulid' }
|
||||
responses:
|
||||
'200': { description: Пакет отправлен }
|
||||
'403': { description: Недостаточно прав }
|
||||
'409': { description: Пакет уже подписан }
|
||||
/payroll/batches/{id}/sign:
|
||||
post:
|
||||
summary: Подписать зарплатный пакет и начислить в реестр
|
||||
operationId: signPayrollBatch
|
||||
tags: [Payroll]
|
||||
security: [{ bearerAuth: [] }]
|
||||
parameters:
|
||||
- in: path
|
||||
name: id
|
||||
required: true
|
||||
schema: { $ref: '#/components/schemas/Ulid' }
|
||||
responses:
|
||||
'200': { description: Пакет подписан }
|
||||
'403': { description: Недостаточно прав }
|
||||
'409': { description: Пакет возвращён из-за изменения смен }
|
||||
/payroll/batches/{id}/return:
|
||||
post:
|
||||
summary: Вернуть зарплатный пакет на доработку
|
||||
operationId: returnPayrollBatch
|
||||
tags: [Payroll]
|
||||
security: [{ bearerAuth: [] }]
|
||||
parameters:
|
||||
- in: path
|
||||
name: id
|
||||
required: true
|
||||
schema: { $ref: '#/components/schemas/Ulid' }
|
||||
requestBody:
|
||||
content:
|
||||
application/json:
|
||||
schema:
|
||||
type: object
|
||||
properties:
|
||||
comment: { type: string }
|
||||
responses:
|
||||
'200': { description: Пакет возвращён }
|
||||
'403': { description: Недостаточно прав }
|
||||
/payroll/calculate:
|
||||
post:
|
||||
summary: Рассчитать зарплату за период
|
||||
|
|
@ -706,20 +567,6 @@ paths:
|
|||
lines: { type: array, items: { type: object } }
|
||||
'403': { description: Недостаточно прав }
|
||||
'404': { description: Расчёт не найден }
|
||||
/payroll/runs/{runId}/verify:
|
||||
get:
|
||||
summary: Проверить воспроизводимость расчёта зарплаты
|
||||
operationId: verifyStaffPayrollRun
|
||||
tags: [Payroll]
|
||||
security: [{ bearerAuth: [] }]
|
||||
parameters:
|
||||
- in: path
|
||||
name: runId
|
||||
required: true
|
||||
schema: { $ref: '#/components/schemas/Ulid' }
|
||||
responses:
|
||||
'200': { description: Результат сверки }
|
||||
'403': { description: Недостаточно прав }
|
||||
/imports/owner-workbook:
|
||||
post:
|
||||
summary: Идемпотентно импортировать локально разобранную книгу владельца
|
||||
|
|
@ -844,18 +691,7 @@ paths:
|
|||
properties:
|
||||
device:
|
||||
type: object
|
||||
required:
|
||||
[
|
||||
id,
|
||||
tenant_id,
|
||||
device_code,
|
||||
name,
|
||||
token_hint,
|
||||
status,
|
||||
allowed_scopes,
|
||||
registered_at,
|
||||
created_by,
|
||||
]
|
||||
required: [id, tenant_id, device_code, name, token_hint, status, allowed_scopes, registered_at, created_by]
|
||||
properties:
|
||||
id: { $ref: '#/components/schemas/Ulid' }
|
||||
tenant_id: { $ref: '#/components/schemas/Ulid' }
|
||||
|
|
@ -967,8 +803,7 @@ paths:
|
|||
type: array
|
||||
items:
|
||||
type: object
|
||||
required:
|
||||
[cursor, entity_type, entity_id, operation, revision, payload, created_at]
|
||||
required: [cursor, entity_type, entity_id, operation, revision, payload, created_at]
|
||||
properties:
|
||||
cursor: { type: string }
|
||||
entity_type: { type: string }
|
||||
|
|
@ -1002,15 +837,7 @@ paths:
|
|||
maxItems: 100
|
||||
items:
|
||||
type: object
|
||||
required:
|
||||
[
|
||||
command_type,
|
||||
schema_version,
|
||||
idempotency_key,
|
||||
correlation_id,
|
||||
created_at,
|
||||
payload,
|
||||
]
|
||||
required: [command_type, schema_version, idempotency_key, correlation_id, created_at, payload]
|
||||
properties:
|
||||
command_type: { type: string }
|
||||
schema_version: { type: integer }
|
||||
|
|
@ -1047,16 +874,7 @@ paths:
|
|||
conflict:
|
||||
oneOf:
|
||||
- type: object
|
||||
required:
|
||||
[
|
||||
conflict_code,
|
||||
entity_type,
|
||||
entity_id,
|
||||
expected_revision,
|
||||
actual_revision,
|
||||
safe_description,
|
||||
client_action,
|
||||
]
|
||||
required: [conflict_code, entity_type, entity_id, expected_revision, actual_revision, safe_description, client_action]
|
||||
properties:
|
||||
conflict_code: { type: string, enum: [REVISION_MISMATCH] }
|
||||
entity_type: { type: string }
|
||||
|
|
@ -1067,9 +885,6 @@ paths:
|
|||
client_action: { type: string, enum: [FETCH_LATEST_AND_RETRY] }
|
||||
- { type: 'null' }
|
||||
error_code:
|
||||
description: >
|
||||
Код ошибки, если status = rejected.
|
||||
Команды `upsert_work_session` и `upsert_timesheet_entry` отклоняются с кодом COMMAND_NOT_SUPPORTED.
|
||||
oneOf:
|
||||
- { type: string }
|
||||
- { type: 'null' }
|
||||
|
|
@ -1110,20 +925,6 @@ paths:
|
|||
'400': { $ref: '#/components/responses/BadRequest' }
|
||||
'401': { description: Недействительный токен устройства }
|
||||
'403': { description: Устройство отозвано или заблокировано }
|
||||
/terminal/employees/{employeeId}/enrollment:
|
||||
get:
|
||||
summary: Проверить статус биометрической регистрации для терминала
|
||||
operationId: getTerminalEmployeeEnrollment
|
||||
tags: [Terminal]
|
||||
security: [{ bearerAuth: [] }]
|
||||
parameters:
|
||||
- in: path
|
||||
name: employeeId
|
||||
required: true
|
||||
schema: { $ref: '#/components/schemas/Ulid' }
|
||||
responses:
|
||||
'200': { description: Статус регистрации }
|
||||
'403': { description: Недостаточно прав }
|
||||
components:
|
||||
securitySchemes:
|
||||
bearerAuth:
|
||||
|
|
|
|||
|
|
@ -15,13 +15,11 @@
|
|||
В операционных системах Windows (начиная с Windows Vista / Server 2008 и включая Windows 10/11) службы выполняются в изолированной сессии **Session 0** без интерактивного рабочего стола.
|
||||
|
||||
### Результаты анализа ZKFinger SDK 5.3 и драйвера SLK20R в Session 0:
|
||||
|
||||
1. Пользовательская библиотека `libzkfp.dll` и драйвер `slk20r.sys` при инициализации используют оконные сообщения Win32 (`WM_DEVICECHANGE`) и оконные дескрипторы для отслеживания PnP-событий USB, а также дескрипторы интерфейсов устройств, привязанные к интерактивным пользовательским сессиям.
|
||||
2. При вызове `zkfp2.Init()` в Session 0 драйвер сообщает 0 подключённых устройств (`GetDeviceCount() == 0`) либо завершается с кодом ошибки дескриптора (-1 / -7).
|
||||
3. Попытка эксклюзивного захвата USB-устройства службой Session 0 блокирует доступ к сканеру со стороны интерактивного пользовательского сеанса для регистрации новых отпечатков.
|
||||
|
||||
### Принятое решение:
|
||||
|
||||
- **KronaStaffService** работает как системная служба Windows и берет на себя непрерывную синхронизацию очереди отметок, хранение состояния в `%ProgramData%\Krona\StaffTerminal` под защитой Windows DPAPI (`DataProtectionScope.LocalMachine`) и IPC-шлюз.
|
||||
- Интерактивное приложение **KronaStaffTerminal** подключается к сканеру SLK20R в пользовательской сессии (с автозапуском при входе в систему и сворачиванием в трей), выполняет высокоточное распознавание и регистрацию отпечатков, фиксирует отметки и передаёт их в очередь службы.
|
||||
- Если интерактивный пользователь выходит из системы или закрывает приложение, служба **KronaStaffService** продолжает выгрузку всех накопленных офлайн-событий на сервер.
|
||||
|
|
@ -29,14 +27,12 @@
|
|||
## Управление службой
|
||||
|
||||
Установка и регистрация службы:
|
||||
|
||||
```powershell
|
||||
sc.exe create KronaStaffService binPath= "C:\Program Files\Krona Staff Terminal\KronaStaffService.exe" start= auto obj= "NT AUTHORITY\SYSTEM" DisplayName= "Krona Staff Service"
|
||||
sc.exe start KronaStaffService
|
||||
```
|
||||
|
||||
Остановка и удаление:
|
||||
|
||||
```powershell
|
||||
sc.exe stop KronaStaffService
|
||||
sc.exe delete KronaStaffService
|
||||
|
|
|
|||
|
|
@ -13,7 +13,7 @@ services:
|
|||
PLATFORM_JWT_ISSUER: ${PLATFORM_JWT_ISSUER:-}
|
||||
PLATFORM_JWT_AUDIENCE: ${PLATFORM_JWT_AUDIENCE:-}
|
||||
PLATFORM_JWKS_URL: ${PLATFORM_JWKS_URL:-}
|
||||
STANDALONE_TENANT_ID: ${STANDALONE_TENANT_ID:?Set STANDALONE_TENANT_ID to the platform organization ID}
|
||||
STANDALONE_TENANT_ID: ${STANDALONE_TENANT_ID:-01J00000000000000000000000}
|
||||
STANDALONE_ACTOR_ID: ${STANDALONE_ACTOR_ID:-01J00000000000000000000001}
|
||||
ports: ['8080:8080']
|
||||
depends_on:
|
||||
|
|
|
|||
|
|
@ -1,7 +0,0 @@
|
|||
# The certificate contains only a public key. Keep its private key off the server.
|
||||
BACKUP_DIRECTORY=/var/backups/krona-staff
|
||||
BACKUP_RECIPIENT_CERT=/etc/krona-staff/backup-recipient.crt
|
||||
# This-PC backups are collected through scripts/pull-pilot-backups.sh.
|
||||
BACKUP_TRANSFER_MODE=external-pull
|
||||
# Needed only for BACKUP_TRANSFER_MODE=push. For this-PC storage use pull script.
|
||||
BACKUP_REMOTE=
|
||||
|
|
@ -1,4 +0,0 @@
|
|||
# Test pilot on the owner's home server; no private key is stored here.
|
||||
BACKUP_DIRECTORY=/home/ochenstarik/krona-staff-pilot/backups
|
||||
BACKUP_RECIPIENT_CERT=/home/ochenstarik/krona-staff-pilot/deploy/pilot/secrets/backup-recipient.crt
|
||||
BACKUP_TRANSFER_MODE=external-pull
|
||||
|
|
@ -1,53 +0,0 @@
|
|||
#!/usr/bin/env sh
|
||||
# Encrypt before writing to disk; keep the private recipient key off this host.
|
||||
set -eu
|
||||
umask 077
|
||||
|
||||
: "${BACKUP_DIRECTORY:?Set a dedicated absolute backup directory}"
|
||||
: "${BACKUP_RECIPIENT_CERT:?Set the public recipient certificate path}"
|
||||
BACKUP_TRANSFER_MODE="${BACKUP_TRANSFER_MODE:-push}"
|
||||
case "$BACKUP_DIRECTORY" in /*) ;; *) echo 'Backup directory must be absolute' >&2; exit 1 ;; esac
|
||||
BACKUP_DIRECTORY=$(realpath -m -- "$BACKUP_DIRECTORY")
|
||||
case "$BACKUP_DIRECTORY" in /|/home|/tmp|/var|/usr|/etc|/opt|/srv|/root|/mnt|/media) echo 'Use a dedicated backup directory' >&2; exit 1 ;; esac
|
||||
case "$BACKUP_TRANSFER_MODE" in
|
||||
push)
|
||||
: "${BACKUP_REMOTE:?Set an off-host scp destination, for example backup@host:/backups/staff/}"
|
||||
case "$BACKUP_REMOTE" in -*|*\ *|*\;*|*\`*|*\$*) echo 'Invalid backup destination' >&2; exit 1 ;; esac
|
||||
case "$BACKUP_REMOTE" in *:/*/) ;; *) echo 'Off-host destination must be host:/absolute/directory/' >&2; exit 1 ;; esac
|
||||
;;
|
||||
external-pull) ;;
|
||||
*) echo 'BACKUP_TRANSFER_MODE must be push or external-pull' >&2; exit 1 ;;
|
||||
esac
|
||||
test -r "$BACKUP_RECIPIENT_CERT"
|
||||
openssl x509 -in "$BACKUP_RECIPIENT_CERT" -noout -checkend 0 >/dev/null
|
||||
cd "$(dirname "$0")"
|
||||
mkdir -p "$BACKUP_DIRECTORY"
|
||||
stamp=$(date -u '+%Y%m%dT%H%M%SZ')
|
||||
name="krona-staff-$stamp-$$.dump.cms"
|
||||
output="$BACKUP_DIRECTORY/$name"
|
||||
scratch=$(mktemp -d "$BACKUP_DIRECTORY/.backup-XXXXXX")
|
||||
producer=''
|
||||
cleanup() {
|
||||
if [ -n "$producer" ]; then kill "$producer" 2>/dev/null || true; fi
|
||||
rm -f -- "$scratch/dump.pipe" "$scratch/encrypted.partial"
|
||||
rmdir -- "$scratch"
|
||||
}
|
||||
trap cleanup EXIT HUP INT TERM
|
||||
mkfifo "$scratch/dump.pipe"
|
||||
docker compose exec -T postgres sh -eu -c 'exec pg_dump -U "$POSTGRES_USER" -d "$POSTGRES_DB" -Fc' > "$scratch/dump.pipe" &
|
||||
producer=$!
|
||||
openssl cms -encrypt -binary -aes-256-cbc -outform DER -stream \
|
||||
-in "$scratch/dump.pipe" -out "$scratch/encrypted.partial" "$BACKUP_RECIPIENT_CERT"
|
||||
wait "$producer"
|
||||
producer=''
|
||||
test -s "$scratch/encrypted.partial"
|
||||
mv -- "$scratch/encrypted.partial" "$output"
|
||||
(cd "$BACKUP_DIRECTORY" && sha256sum "$name" > "$name.sha256")
|
||||
if [ "$BACKUP_TRANSFER_MODE" = push ]; then
|
||||
scp -B "$output" "$output.sha256" "$BACKUP_REMOTE"
|
||||
copy_status=completed
|
||||
else
|
||||
copy_status=pending_pull
|
||||
fi
|
||||
printf 'backup=%s\nchecksum=%s\noff_host_copy=%s\n' "$output" "$output.sha256" "$copy_status"
|
||||
# This is an encrypted backup, not evidence of a successful restore drill.
|
||||
|
|
@ -5,23 +5,23 @@ services:
|
|||
build:
|
||||
context: ../..
|
||||
environment:
|
||||
NODE_ENV: production
|
||||
NODE_ENV: development
|
||||
HOST: 0.0.0.0
|
||||
PORT: 8080
|
||||
LOG_LEVEL: info
|
||||
STAFF_RUNTIME_MODE: standalone
|
||||
STANDALONE_ACCESS: employee
|
||||
STANDALONE_MANAGER_TOKEN: ${STANDALONE_MANAGER_TOKEN:?STANDALONE_MANAGER_TOKEN is required}
|
||||
STANDALONE_TERMINAL_TOKEN: ${STANDALONE_TERMINAL_TOKEN:?STANDALONE_TERMINAL_TOKEN is required}
|
||||
STANDALONE_TENANT_ID: ${STANDALONE_TENANT_ID:?STANDALONE_TENANT_ID is required}
|
||||
STANDALONE_ACTOR_ID: ${STANDALONE_ACTOR_ID:?STANDALONE_ACTOR_ID is required}
|
||||
STANDALONE_TERMINAL_ACTOR_ID: ${STANDALONE_TERMINAL_ACTOR_ID:?STANDALONE_TERMINAL_ACTOR_ID is required}
|
||||
VAPID_PUBLIC_KEY: ${VAPID_PUBLIC_KEY:?VAPID_PUBLIC_KEY is required}
|
||||
VAPID_PRIVATE_KEY: ${VAPID_PRIVATE_KEY:?VAPID_PRIVATE_KEY is required}
|
||||
VAPID_SUBJECT: ${VAPID_SUBJECT:?VAPID_SUBJECT is required}
|
||||
DATABASE_URL: postgres://krona_staff_app:${POSTGRES_APP_PASSWORD:?POSTGRES_APP_PASSWORD is required}@postgres:5432/krona_staff
|
||||
STANDALONE_MANAGER_TOKEN: ${STANDALONE_MANAGER_TOKEN}
|
||||
STANDALONE_TERMINAL_TOKEN: ${STANDALONE_TERMINAL_TOKEN}
|
||||
STANDALONE_TENANT_ID: ${STANDALONE_TENANT_ID}
|
||||
STANDALONE_ACTOR_ID: ${STANDALONE_ACTOR_ID}
|
||||
STANDALONE_TERMINAL_ACTOR_ID: ${STANDALONE_TERMINAL_ACTOR_ID}
|
||||
VAPID_PUBLIC_KEY: ${VAPID_PUBLIC_KEY}
|
||||
VAPID_PRIVATE_KEY: ${VAPID_PRIVATE_KEY}
|
||||
VAPID_SUBJECT: ${VAPID_SUBJECT}
|
||||
DATABASE_URL: postgres://krona_staff_app:${POSTGRES_APP_PASSWORD}@postgres:5432/krona_staff
|
||||
HTTPS_PFX_PATH: /run/secrets/staff.pfx
|
||||
HTTPS_PFX_PASSPHRASE: ${HTTPS_PFX_PASSPHRASE:?HTTPS_PFX_PASSPHRASE is required}
|
||||
HTTPS_PFX_PASSPHRASE: ${HTTPS_PFX_PASSPHRASE}
|
||||
ports:
|
||||
- '192.168.1.81:8453:8080'
|
||||
volumes:
|
||||
|
|
@ -34,11 +34,7 @@ services:
|
|||
tmpfs: [/tmp]
|
||||
security_opt: ['no-new-privileges:true']
|
||||
healthcheck:
|
||||
test:
|
||||
[
|
||||
'CMD-SHELL',
|
||||
'wget --no-check-certificate -q -O - https://127.0.0.1:8080/api/v1/staff/live || exit 1',
|
||||
]
|
||||
test: ['CMD-SHELL', 'wget --no-check-certificate -q -O - https://127.0.0.1:8080/api/v1/staff/live || exit 1']
|
||||
interval: 30s
|
||||
timeout: 3s
|
||||
retries: 3
|
||||
|
|
@ -48,8 +44,8 @@ services:
|
|||
context: ../..
|
||||
target: build
|
||||
environment:
|
||||
DATABASE_MIGRATION_URL: postgres://krona_migrator:${POSTGRES_MIGRATION_PASSWORD:?POSTGRES_MIGRATION_PASSWORD is required}@postgres:5432/krona_staff
|
||||
POSTGRES_APP_PASSWORD: ${POSTGRES_APP_PASSWORD:?POSTGRES_APP_PASSWORD is required}
|
||||
DATABASE_MIGRATION_URL: postgres://krona_migrator:${POSTGRES_MIGRATION_PASSWORD}@postgres:5432/krona_staff
|
||||
POSTGRES_APP_PASSWORD: ${POSTGRES_APP_PASSWORD}
|
||||
command: ['node', 'scripts/create-app-role.mjs']
|
||||
depends_on:
|
||||
postgres: { condition: service_healthy }
|
||||
|
|
@ -60,7 +56,7 @@ services:
|
|||
context: ../..
|
||||
target: build
|
||||
environment:
|
||||
DATABASE_MIGRATION_URL: postgres://krona_migrator:${POSTGRES_MIGRATION_PASSWORD:?POSTGRES_MIGRATION_PASSWORD is required}@postgres:5432/krona_staff
|
||||
DATABASE_MIGRATION_URL: postgres://krona_migrator:${POSTGRES_MIGRATION_PASSWORD}@postgres:5432/krona_staff
|
||||
command: ['node', 'scripts/migrate.mjs', 'up']
|
||||
depends_on:
|
||||
db-role: { condition: service_completed_successfully }
|
||||
|
|
@ -71,7 +67,7 @@ services:
|
|||
environment:
|
||||
POSTGRES_DB: krona_staff
|
||||
POSTGRES_USER: krona_migrator
|
||||
POSTGRES_PASSWORD: ${POSTGRES_MIGRATION_PASSWORD:?POSTGRES_MIGRATION_PASSWORD is required}
|
||||
POSTGRES_PASSWORD: ${POSTGRES_MIGRATION_PASSWORD}
|
||||
volumes:
|
||||
- postgres-data:/var/lib/postgresql/data
|
||||
healthcheck:
|
||||
|
|
|
|||
|
|
@ -1,11 +0,0 @@
|
|||
[Unit]
|
||||
Description=Encrypted Krona Staff PostgreSQL backup (user service)
|
||||
After=network-online.target
|
||||
|
||||
[Service]
|
||||
Type=oneshot
|
||||
WorkingDirectory=%h/krona-staff-pilot/deploy/pilot
|
||||
EnvironmentFile=%h/krona-staff-pilot/deploy/pilot/backup.env
|
||||
ExecStart=/bin/sh %h/krona-staff-pilot/deploy/pilot/backup.sh
|
||||
UMask=0077
|
||||
NoNewPrivileges=true
|
||||
|
|
@ -1,13 +0,0 @@
|
|||
[Unit]
|
||||
Description=Encrypted Krona Staff PostgreSQL backup
|
||||
Requires=docker.service
|
||||
After=docker.service network-online.target
|
||||
|
||||
[Service]
|
||||
Type=oneshot
|
||||
User=root
|
||||
WorkingDirectory=/opt/krona-staff/deploy/pilot
|
||||
EnvironmentFile=/etc/krona-staff/backup.env
|
||||
ExecStart=/bin/sh /opt/krona-staff/deploy/pilot/backup.sh
|
||||
UMask=0077
|
||||
NoNewPrivileges=true
|
||||
|
|
@ -1,10 +0,0 @@
|
|||
[Unit]
|
||||
Description=Daily Krona Staff encrypted backup
|
||||
|
||||
[Timer]
|
||||
OnCalendar=*-*-* 03:30:00
|
||||
RandomizedDelaySec=600
|
||||
Persistent=true
|
||||
|
||||
[Install]
|
||||
WantedBy=timers.target
|
||||
|
|
@ -5,20 +5,7 @@ cd "$(dirname "$0")"
|
|||
umask 077
|
||||
mkdir -p secrets
|
||||
|
||||
validate_tenant() {
|
||||
: "${STANDALONE_TENANT_ID:?Set STANDALONE_TENANT_ID to the platform organization ID before setup}"
|
||||
if ! printf '%s\n' "$STANDALONE_TENANT_ID" | LC_ALL=C grep -Eq '^[0-9A-HJKMNP-TV-Z]{26}$'; then
|
||||
echo 'STANDALONE_TENANT_ID must be a 26-character ULID' >&2
|
||||
exit 1
|
||||
fi
|
||||
if [ "$STANDALONE_TENANT_ID" = '01J00000000000000000000000' ]; then
|
||||
echo 'The development placeholder cannot be used for a pilot organization' >&2
|
||||
exit 1
|
||||
fi
|
||||
}
|
||||
|
||||
if [ ! -f .env ]; then
|
||||
validate_tenant
|
||||
migration_password="$(openssl rand -hex 32)"
|
||||
app_password="$(openssl rand -hex 32)"
|
||||
manager_token="$(openssl rand -hex 32)"
|
||||
|
|
@ -30,7 +17,7 @@ if [ ! -f .env ]; then
|
|||
printf 'STANDALONE_MANAGER_TOKEN=%s\n' "$manager_token"
|
||||
printf 'STANDALONE_TERMINAL_TOKEN=%s\n' "$terminal_token"
|
||||
printf 'HTTPS_PFX_PASSPHRASE=%s\n' "$pfx_passphrase"
|
||||
printf 'STANDALONE_TENANT_ID=%s\n' "$STANDALONE_TENANT_ID"
|
||||
printf 'STANDALONE_TENANT_ID=01J00000000000000000000000\n'
|
||||
printf 'STANDALONE_ACTOR_ID=01J00000000000000000000001\n'
|
||||
printf 'STANDALONE_TERMINAL_ACTOR_ID=01J00000000000000000000002\n'
|
||||
} > .env
|
||||
|
|
@ -38,9 +25,6 @@ if [ ! -f .env ]; then
|
|||
printf '%s\n' "$terminal_token" > secrets/terminal.token
|
||||
fi
|
||||
|
||||
. ./.env
|
||||
validate_tenant
|
||||
|
||||
if ! grep -q '^VAPID_PUBLIC_KEY=' .env; then
|
||||
docker run --rm \
|
||||
-v "$(cd ../.. && pwd):/app:ro" \
|
||||
|
|
@ -50,7 +34,6 @@ if ! grep -q '^VAPID_PUBLIC_KEY=' .env; then
|
|||
fi
|
||||
|
||||
. ./.env
|
||||
validate_tenant
|
||||
if [ ! -f secrets/staff.pfx ]; then
|
||||
openssl req -x509 -newkey rsa:3072 -sha256 -days 365 -nodes \
|
||||
-keyout secrets/staff.key -out secrets/staff.crt \
|
||||
|
|
|
|||
|
|
@ -7,101 +7,3 @@ Restore runbook: остановить записи, проверить checksum/
|
|||
Тест восстановления обязателен по расписанию в изолированной среде. До принятия RPO/RTO и retention документ является архитектурным шаблоном, а не обещанием показателей.
|
||||
|
||||
Tenant export/import использует versioned archive, ULID, schema version, object references и checksum. Import идемпотентен и не может перезаписать другой tenant.
|
||||
|
||||
## Pilot implementation — K18
|
||||
|
||||
Status: implementation in progress. A pilot restore drill succeeded on 2026-09-26;
|
||||
the remaining schedule, retention and migration gate are listed below. Do not
|
||||
use the presence of an encrypted file alone as permission to migrate tenant data.
|
||||
|
||||
## Storage and keys
|
||||
|
||||
`deploy/pilot/backup.sh` streams `pg_dump -Fc` through OpenSSL CMS encryption.
|
||||
Only the public recipient certificate belongs on the server. Keep the private
|
||||
recipient key in separate, access-controlled storage outside that server, with a
|
||||
recovery copy. Loss of this key makes backups unrecoverable.
|
||||
|
||||
Configure the variables in `deploy/pilot/backup.env.example` using an operator-owned
|
||||
environment file, never a committed secrets file. For the current test setup, use
|
||||
`BACKUP_TRANSFER_MODE=external-pull` and schedule `scripts/pull-pilot-backups.sh`
|
||||
on this PC with `PILOT_SSH_TARGET`, `PILOT_REMOTE_BACKUP_DIRECTORY` and
|
||||
`BACKUP_LOCAL_DIRECTORY`. The PC initiates SSH, so it does not need an SSH server.
|
||||
Configure non-interactive SSH and verify the server's host key out of band. Do not
|
||||
disable host-key verification. A SHA-256 sidecar detects transfer corruption;
|
||||
it is not a digital signature. Other deployments may use push mode with an
|
||||
off-host SCP destination.
|
||||
|
||||
The PC pull script keeps 90 days of local copies by default. Set
|
||||
`BACKUP_LOCAL_RETENTION_DAYS` to an integer from 1 to 36500 to change this period.
|
||||
After a successful pull and freshness check, it removes only direct child files with
|
||||
the generated `krona-staff-<UTC timestamp>-<pid>.dump.cms` name whose one-line
|
||||
SHA-256 sidecar names that same file and matches its bytes. It removes the matching
|
||||
`.sha256` sidecar with the encrypted file. Unverifiable pairs and symlinks are
|
||||
preserved, as are unrelated files and directories. This policy applies to PC copies;
|
||||
it does not prune the server's backup directory.
|
||||
|
||||
The server script fails if dumping or encryption fails. In push mode it also fails
|
||||
if off-host transfer fails. It does not write an unencrypted dump to disk. In
|
||||
external-pull mode a successful server run reports `pending_pull`, never an
|
||||
off-host success. The PC pull script verifies every transferred encrypted file
|
||||
against its checksum and exits nonzero on transfer or integrity failure.
|
||||
|
||||
## Scheduling
|
||||
|
||||
The service and timer in `deploy/pilot/` are templates. Adjust their working and
|
||||
configuration paths to the actual installation before enabling them. The timer
|
||||
runs daily at 03:30 in the server's timezone, with up to ten minutes of jitter.
|
||||
Monitor both the server service and the PC pull task exit statuses. Verify that
|
||||
the PC directory contains a recent copy; the server-only encrypted file is not
|
||||
evidence of off-host protection.
|
||||
|
||||
Do not enable the schedule until the destination, recovery-key custody, server-side
|
||||
retention policy, and a successful restore drill have been agreed and tested.
|
||||
|
||||
## Required restore drill before tenant migration
|
||||
|
||||
1. Produce a consistent dump, encrypt it, and retrieve the off-host copy.
|
||||
2. Verify the encrypted file's SHA-256 checksum at the destination.
|
||||
3. Decrypt with the off-host key. Restore into a new disposable PostgreSQL 17
|
||||
instance, with no connection to the pilot network and no exposed database port.
|
||||
Never run a test provisioning script against the pilot cluster: it may alter
|
||||
roles or drop databases.
|
||||
4. Restore required roles and grants, schema, data, forced RLS, constraints and
|
||||
migration history. A restore using `--no-owner --no-acl` alone is not enough
|
||||
evidence that production privileges can be recovered.
|
||||
5. Compare per-table and per-tenant row counts and payroll ledger totals per
|
||||
currency against a manifest from the same consistent snapshot. Check foreign
|
||||
keys, forced RLS, and isolation using a non-superuser application role.
|
||||
6. Run the tenant migration on that restored copy and verify that only the tenant
|
||||
changes: row counts and ledger totals are preserved, with one additional audit
|
||||
record for the migration.
|
||||
7. Save a report containing timestamp, source identity, backup checksum, PostgreSQL
|
||||
version, commands and exit statuses, before/after counts, totals and isolation
|
||||
result. Do not include passwords, tokens, employee names, or biometric data.
|
||||
8. Only after a successful drill and an agreed maintenance window may the pilot
|
||||
application be stopped and the operation repeated on a fresh backup.
|
||||
|
||||
## Outstanding acceptance items
|
||||
|
||||
- Off-host storage and retention policy selected and configured.
|
||||
- Restore automation and repeatable reporting for later backups.
|
||||
- A fail-closed backup gate before migrations in `setup.sh`.
|
||||
|
||||
Until these items are complete, K18 remains open and pilot tenant migration is blocked.
|
||||
|
||||
## Pilot restore drill — 2026-09-26
|
||||
|
||||
An encrypted `pg_dump -Fc` from `krona-staff-pilot-postgres-1` was pulled to the
|
||||
owner's PC. Its SHA-256 was
|
||||
`2fc680ae3a6ce63a27b53209da9b506bcee86b76d8bba9a6a06de24bac1dee47`.
|
||||
It was decrypted on the PC and streamed through SSH into a new PostgreSQL 17
|
||||
container with `network=none`, no host ports, and temporary storage. The restore
|
||||
command returned 0 with ownership and ACLs restored. The reports produced by
|
||||
`scripts/restore-drill-report.sql` matched for every tenant table: 51 employees,
|
||||
3,830 ledger entries, 3,353 work items, 2,894 daily metrics and 49 audit rows;
|
||||
the other nonempty tables matched too. All 27 tenant tables had ENABLE and FORCE
|
||||
RLS. The RUB ledger sum matched at 717,829,954 minor units. A nonsuperuser,
|
||||
non-BYPASSRLS application role saw 51 employees under the source tenant and zero
|
||||
under the target. The restore report and encrypted backup are stored on the PC
|
||||
in `C:/Users/trush/Documents/KronaStaffBackups/`. This was a restore drill, not
|
||||
yet a tenant migration or a check that the backup schedule runs unattended.
|
||||
|
|
|
|||
|
|
@ -1,7 +1,5 @@
|
|||
# Развёртывание
|
||||
|
||||
После копирования `.env.example` обязательно заполните `STANDALONE_TENANT_ID` идентификатором организации (ULID) из Krona Business Platform. Значения по умолчанию нет; прежняя заглушка `01J00000000000000000000000` не подходит для Compose или пилота. Для первого запуска `deploy/pilot/setup.sh` передайте этот ID через переменную окружения: установщик проверит его и сохранит в своём `.env`. При повторном запуске проверяется существующий `.env`. Для уже заполненного пилота нельзя просто заменить ID: сначала нужна резервная копия, проверка восстановления и перенос tenant-данных.
|
||||
|
||||
Локально скопируйте `.env.example` в `.env` и выполните `docker compose up --build`. Compose последовательно проверит PostgreSQL, создаст или обновит отдельную роль `krona_staff_app` с `NOSUPERUSER NOBYPASSRLS`, выполнит миграции ролью `krona_migrator` и только затем запустит приложение. Runtime-контейнер не получает пароль или URL мигратора. Redis и object storage не включаются до появления реального сценария очередей или файлов.
|
||||
|
||||
Для обновления старого Docker volume, созданного версией с ролью `krona_staff`, задайте в `.env` `POSTGRES_MIGRATION_USER=krona_staff` и прежний `POSTGRES_MIGRATION_PASSWORD`, затем выполните обычный `docker compose up --build`. Сохраняйте эту роль владельцем миграций для данного volume: автоматического переименования владельца существующей базы нет, а перенос владения требует отдельного DBA-плана с повторной настройкой default privileges.
|
||||
|
|
|
|||
|
|
@ -2,7 +2,7 @@
|
|||
|
||||
**Document Version:** 1.0.0
|
||||
**Target Audience:** Compliance Officers, Legal Counsel, System Administrators, DevOps
|
||||
**Affected Hardware:** ZKTeco SLK20R, BioLink U-Match, ZK6500, ZK8500, ZK9500
|
||||
**Affected Hardware:** ZKTeco SLK20R, BioLink U-Match, ZK6500, ZK8500, ZK9500
|
||||
|
||||
---
|
||||
|
||||
|
|
@ -21,10 +21,9 @@ The device driver must be obtained by end-users or enterprise system administrat
|
|||
The official End-User License Agreement included with the ZKTeco ZKFinger SDK (`apps/KronaStaffTerminal/Vendor/ZKFinger/LICENSE.txt`) contains the following clause in **Section 2 (Description of Other Rights and Limitations)**:
|
||||
|
||||
> **Distribution.**
|
||||
> _"The SOFTWARE PRODUCT may not be sold or be included in a product or package which intends to receive benefits through the inclusion of the SOFTWARE PRODUCT. The SOFTWARE PRODUCT may be included in any free or non-profit packages or products."_
|
||||
> *"The SOFTWARE PRODUCT may not be sold or be included in a product or package which intends to receive benefits through the inclusion of the SOFTWARE PRODUCT. The SOFTWARE PRODUCT may be included in any free or non-profit packages or products."*
|
||||
|
||||
### Legal Interpretation:
|
||||
|
||||
1. **Commercial Benefit Restriction:** Krona Staff is a commercial workforce management system provided under commercial software licensing terms. Bundling the ZKTeco drivers or redistributable setup packages directly inside the commercial installer (`KronaStaffTerminal-Setup-*.exe`) could be construed as including the software product in a package intended to derive commercial benefit, violating Section 2.
|
||||
2. **Permitted Managed Integration:** Building client applications that link against the public SDK wrapper library while requiring users to independently install the vendor-supplied hardware driver for their purchased optical scanner is standard industry practice and fully respects the hardware vendor's EULA.
|
||||
|
||||
|
|
@ -35,7 +34,6 @@ The official End-User License Agreement included with the ZKTeco ZKFinger SDK (`
|
|||
To ensure a seamless operational experience without violating vendor licensing terms, the Krona Staff installer and application implement non-blocking automated driver detection and guidance:
|
||||
|
||||
### 3.1 Installer Detection Flow
|
||||
|
||||
1. During installation (via `installer/KronaStaffTerminal.nsi`), the installer checks for the presence of the SLK20R / ZKFinger driver across standard system locations:
|
||||
- System driver directory: `%WINDIR%\System32\drivers\slk20r.sys`, `zkfp.sys`, `zkfpos.sys`, `ZKUSB.sys`
|
||||
- Windows Service Registry keys:
|
||||
|
|
@ -49,10 +47,9 @@ To ensure a seamless operational experience without violating vendor licensing t
|
|||
- The installer does **not** fail or block installation; it completes cleanly so that the terminal and synchronization service are ready once the driver is installed.
|
||||
|
||||
### 3.2 Terminal Runtime Flow
|
||||
|
||||
1. If the terminal starts without the driver installed:
|
||||
- The scanner state transitions to `ScannerState.DriverError` or `ScannerState.Disconnected`.
|
||||
- The system tray icon updates to `TrayState.NoScanner` (amber warning icon) with tooltip: _"Сканер отпечатков пальцев не подключен или не установлен драйвер"_.
|
||||
- The system tray icon updates to `TrayState.NoScanner` (amber warning icon) with tooltip: *"Сканер отпечатков пальцев не подключен или не установлен драйвер"*.
|
||||
- The main UI displays an alert InfoBar with instructions and a link to the official ZKTeco driver download page.
|
||||
- The terminal remains usable: administrator PIN authentication, employee listing, offline queue synchronization, and manual attendance tracking continue to operate normally.
|
||||
2. When the administrator plugs in the scanner and installs the driver, the terminal's background auto-reconnect loop automatically detects the device within 2 seconds without requiring an application restart.
|
||||
|
|
@ -62,7 +59,6 @@ To ensure a seamless operational experience without violating vendor licensing t
|
|||
## 4. Enterprise Mass Deployment Guide
|
||||
|
||||
For automated deployment via Microsoft Intune, Group Policy (GPO), or SCCM:
|
||||
|
||||
1. Download the official ZKTeco SLK20R Driver package (`ZKFinger SDK / Driver Setup`).
|
||||
2. Extract the driver INF and SYS files (`slk20r.inf`, `slk20r.sys`, `slk20rx64.cat`).
|
||||
3. Deploy the driver package silently using standard Windows DISM or pnputil:
|
||||
|
|
|
|||
|
|
@ -4,7 +4,7 @@
|
|||
**Test Date:** September 2026
|
||||
**Hardware Tested:** ZKTeco SLK20R Optical USB Fingerprint Reader
|
||||
**Driver:** ZKTeco SLK20R USB Driver (slk20r.sys v2.1.0) / ZKFinger SDK 5.3
|
||||
**Operating Systems:** Windows 10 Pro (22H2 x64), Windows 11 Enterprise (24H2 x64), Windows Server 2022 (Session 0)
|
||||
**Operating Systems:** Windows 10 Pro (22H2 x64), Windows 11 Enterprise (24H2 x64), Windows Server 2022 (Session 0)
|
||||
|
||||
---
|
||||
|
||||
|
|
@ -13,7 +13,6 @@
|
|||
This report documents empirical hardware testing and architectural findings gathered during the integration of the ZKTeco SLK20R fingerprint scanner into the Krona Staff Terminal ecosystem.
|
||||
|
||||
### Key Takeaways:
|
||||
|
||||
1. **Session 0 Limitation:** The ZKTeco USB driver and native SDK (`libzkfp.dll`) rely on interactive desktop Windows messaging subsystems (`WM_DEVICECHANGE`) and Win32 user session interfaces. Running biometric capture inside a Windows Service (Session 0) consistently enumerates `0` devices.
|
||||
2. **Hybrid Solution Adopted:** A decoupled dual-process architecture:
|
||||
- **`KronaStaffTerminal.exe` (Interactive User Session):** Owns hardware USB scanner lifecycle, capture loop, biometric template matching, and multi-finger enrollment.
|
||||
|
|
@ -26,23 +25,18 @@ This report documents empirical hardware testing and architectural findings gath
|
|||
## 2. Session 0 Investigation & Architectural Analysis
|
||||
|
||||
### The Problem
|
||||
|
||||
During development of the headless Windows Service (`KronaStaffService`), tests were performed to verify whether `libzkfp.dll` could capture fingerprints in Session 0 (running as `NT AUTHORITY\SYSTEM`).
|
||||
|
||||
#### Empirical Observations:
|
||||
|
||||
- In Windows Service Session 0, calling `zkfp2.Init()` returns `0` (ZKFP_ERR_OK).
|
||||
- Calling `zkfp2.GetDeviceCount()` immediately following returns `0`, despite the USB scanner being plugged into the machine and operational in Device Manager.
|
||||
- Attempting to pass handle `0` to `zkfp2.OpenDevice(0)` returns error code `-1` (device not found).
|
||||
|
||||
#### Root Cause:
|
||||
|
||||
The ZKTeco SLK20R driver implementation (`slk20r.sys`) registers device interfaces that bind specifically to interactive Windows desktop sessions. Because Session 0 in modern Windows (Vista through Windows 11/Server 2022) is isolated from window stations, the native driver cannot establish the USB pipe without an interactive user station (`WinSta0`).
|
||||
|
||||
#### Architectural Resolution:
|
||||
|
||||
Instead of forcing unreliable Session 0 USB hooks or interactive service workarounds (which violate Microsoft Windows Security Guidelines), the architecture cleanly divides responsibilities:
|
||||
|
||||
```
|
||||
+--------------------------------------------------------------+
|
||||
| Interactive User Session |
|
||||
|
|
@ -75,18 +69,14 @@ Instead of forcing unreliable Session 0 USB hooks or interactive service workaro
|
|||
## 3. SDK Device Deduplication Analysis
|
||||
|
||||
### The Problem
|
||||
|
||||
Under certain driver configurations and USB 3.0/3.1 xHCI host controllers, `zkfp2.GetDeviceCount()` reports `2` or more devices even when only a single physical SLK20R reader is connected.
|
||||
|
||||
Opening device index `1` resulted in one of two failure modes:
|
||||
|
||||
1. `OpenDevice(1)` returned error `-2` (device already open/busy).
|
||||
2. `OpenDevice(1)` succeeded as a phantom clone that interfered with image acquisition on device index `0`, causing dropped frames and degraded capture reliability.
|
||||
|
||||
### The Solution: Serial Number Deduplication
|
||||
|
||||
`FingerprintScanner.cs` inspects hardware parameters for each enumerated slot:
|
||||
|
||||
```csharp
|
||||
// Query serial number parameter (parameter codes 1101, 1102, 106)
|
||||
byte[] serialBuffer = new byte[256];
|
||||
|
|
@ -97,7 +87,6 @@ if (zkfp2.GetParameters(devHandle, 1101, serialBuffer, ref size) == 0 && size >
|
|||
serial = Encoding.UTF8.GetString(serialBuffer, 0, size).Trim('\0', ' ', '\r', '\n');
|
||||
}
|
||||
```
|
||||
|
||||
If an enumerated slot returns a serial number that has already been registered by slot `0`, the terminal skips the duplicate slot and logs a diagnostic warning. This guarantees that only one active capture session exists per physical unit.
|
||||
|
||||
---
|
||||
|
|
@ -105,13 +94,11 @@ If an enumerated slot returns a serial number that has already been registered b
|
|||
## 4. USB Disconnection & Hotplug Recovery Testing
|
||||
|
||||
### Test Scenario
|
||||
|
||||
1. Terminal running in kiosk mode with SLK20R connected.
|
||||
2. Employee clocks in successfully.
|
||||
3. USB cable is physically unplugged or hub power is cycled.
|
||||
|
||||
### Observed Results
|
||||
|
||||
- The active capture thread in `zkfp2.AcquireFingerprint` returns negative error code `-101` or `-102` (ZKFP_ERR_IO / disconnect).
|
||||
- Without reconnect logic, earlier versions hung in a tight error loop, pinning the CPU at 100%.
|
||||
- **With Production Reconnect Logic:**
|
||||
|
|
@ -128,12 +115,12 @@ If an enumerated slot returns a serial number that has already been registered b
|
|||
|
||||
## 5. Performance & Biometric Accuracy Verification
|
||||
|
||||
| Metric | Target | Measured Result | Status |
|
||||
| ------------------------------------------------ | -------------- | --------------------------------------------------------------------------------------------------------------------------------- | ------- |
|
||||
| Finger placement to verification | < 1000 ms | ~420 ms | PASSED |
|
||||
| 1:N Biometric Matching (100 templates) | < 100 ms | 14 ms | PASSED |
|
||||
| False Rejection Rate (FRR) at threshold 60 | < 1.5% | 0.8% | PASSED |
|
||||
| USB Disconnect to UI State Update | < 500 ms | ~120 ms | PASSED |
|
||||
| Cable Re-insertion to Active Ready State | < 3000 ms | 2150 ms | PASSED |
|
||||
| Duplicate Scan Guard (30s lockout) | 100% rejection | 100% rejection (0 duplicate punches) | PASSED |
|
||||
| Windows Service startup persistence after reboot | Reliable | NOT TESTED YET IN HARDWARE (Requires real service installation test after machine reboot to verify background sync without login) | PENDING |
|
||||
| Metric | Target | Measured Result | Status |
|
||||
|---|---|---|---|
|
||||
| Finger placement to verification | < 1000 ms | ~420 ms | PASSED |
|
||||
| 1:N Biometric Matching (100 templates) | < 100 ms | 14 ms | PASSED |
|
||||
| False Rejection Rate (FRR) at threshold 60 | < 1.5% | 0.8% | PASSED |
|
||||
| USB Disconnect to UI State Update | < 500 ms | ~120 ms | PASSED |
|
||||
| Cable Re-insertion to Active Ready State | < 3000 ms | 2150 ms | PASSED |
|
||||
| Duplicate Scan Guard (30s lockout) | 100% rejection | 100% rejection (0 duplicate punches) | PASSED |
|
||||
| Windows Service startup persistence after reboot | Reliable | NOT TESTED YET IN HARDWARE (Requires real service installation test after machine reboot to verify background sync without login) | PENDING |
|
||||
|
|
|
|||
|
|
@ -3,7 +3,6 @@
|
|||
## 1. Архитектурный контекст и инварианты
|
||||
|
||||
Krona Staff является модулем платформы Krona Business Platform, а не изолированной системой пользователей, прав и ролей:
|
||||
|
||||
1. **Единственный источник истины (Single Source of Truth)**: Центральный сервер Krona Staff и Platform Core являются владельцами эталонных данных. Локальные терминалы, планшеты и клиенты являются исполнительными терминалами и не могут становиться вторым источником истины.
|
||||
2. **User != Employee**: Учётная запись пользователя платформы (`User`) отделена от карточки сотрудника (`Employee`).
|
||||
3. **Строгая изоляция арендаторов (Tenant Isolation)**: Все сущности привязаны к `tenant_id` (ULID). Новые таблицы включают и форсируют PostgreSQL Row Level Security (`FORCE ROW LEVEL SECURITY`), гарантируя невозможность утечки данных между организациями даже на уровне прямого SQL.
|
||||
|
|
@ -14,11 +13,9 @@ Krona Staff является модулем платформы Krona Business Pl
|
|||
## 2. Жизненный цикл устройства и аутентификация
|
||||
|
||||
### 2.1. Регистрация устройства (`POST /api/v1/staff/sync/devices`)
|
||||
|
||||
Регистрация выполняется администратором или руководителем предприятия (требуется сессия руководителя или токен с правом `staff:sync:manage` / `staff:attendance:manage`).
|
||||
|
||||
**Запрос:**
|
||||
|
||||
```json
|
||||
{
|
||||
"device_code": "TERM-MAIN-01",
|
||||
|
|
@ -29,7 +26,6 @@ Krona Staff является модулем платформы Krona Business Pl
|
|||
```
|
||||
|
||||
**Ответ (201 Created):**
|
||||
|
||||
```json
|
||||
{
|
||||
"device": {
|
||||
|
|
@ -52,15 +48,11 @@ Krona Staff является модулем платформы Krona Business Pl
|
|||
> Сырой токен `token` возвращается клиенту ровно один раз при регистрации. В базе данных (`staff_sync_devices`) сохраняется исключительно криптографический хэш SHA-256 (`token_hash`) и безопасная маска (`token_hint`).
|
||||
|
||||
### 2.2. Аутентификация запросов устройства
|
||||
|
||||
Каждый запрос от локального терминала к API синхронизации должен содержать заголовок:
|
||||
|
||||
```http
|
||||
Authorization: Bearer <device_token>
|
||||
```
|
||||
|
||||
Сервер:
|
||||
|
||||
1. Вычисляет `SHA-256(device_token)`.
|
||||
2. Извлекает `tenant_id` из префикса токена или заголовка `X-Tenant-ID`.
|
||||
3. Открывает транзакцию с RLS контекстом `database.tenantTransaction(tenantId, actorId, ...)`.
|
||||
|
|
@ -69,11 +61,9 @@ Authorization: Bearer <device_token>
|
|||
6. Асинхронно обновляет `last_seen_at`.
|
||||
|
||||
### 2.3. Отзыв устройства (`POST /api/v1/staff/sync/devices/:deviceId/revoke`)
|
||||
|
||||
При компрометации устройства, утере или списании администратор выполняет отзыв. Статус устройства в БД переводится в `revoked`, фиксируется `revoked_at = now()`.
|
||||
|
||||
Все последующие запросы с токеном отозванного устройства немедленно отклоняются со статусом **403 Forbidden** и кодом ошибки `DEVICE_REVOKED`:
|
||||
|
||||
```json
|
||||
{
|
||||
"statusCode": 403,
|
||||
|
|
@ -87,37 +77,28 @@ Authorization: Bearer <device_token>
|
|||
## 3. Монотонный непрозрачный курсор изменений
|
||||
|
||||
### 3.1. Формат курсора
|
||||
|
||||
Курсор представляет собой непрозрачную строку вида:
|
||||
|
||||
```text
|
||||
cur_<sequence>_<signature_hash>
|
||||
```
|
||||
|
||||
Например: `cur_105_7a9f8b2c1d`.
|
||||
|
||||
- `<sequence>`: Монотонный идентификатор последовательности изменений в таблице `staff_sync_change_log` (`cursor_seq BIGSERIAL`).
|
||||
- `<signature_hash>`: Криптографическая контрольная подпись от арендатора, последовательности и серверной соли (`SHA-256(tenant_id + seq + salt)`).
|
||||
|
||||
Свойства курсора:
|
||||
|
||||
- **Монотонность**: Гарантирует строго возрастающий порядок чтения журнала изменений.
|
||||
- **Независимость от времени**: Не зависит от системных часов терминала и защищён от сдвигов локального времени.
|
||||
- **Целостность и изоляция**: Попытка передать повреждённый курсор или курсор другого арендатора немедленно отклоняется с ошибкой `INVALID_CURSOR` (400 Bad Request).
|
||||
|
||||
### 3.2. Начальная загрузка (Bootstrap, `cursor = null`)
|
||||
|
||||
Когда терминал настраивается впервые или выполняет полный сброс локальной базы данных, он отправляет `POST /api/v1/staff/sync/pull` с пустым или отсутствующим курсором (`cursor: null`):
|
||||
|
||||
1. Сервер формирует снимок текущих **актуальных** данных для поддерживаемых сущностей (`org_unit`, `profession`, `employee`, `work_session`, `timesheet_entry`, `planned_shift`).
|
||||
2. Для каждой сущности формируется безопасная полезная нагрузка с операцией `upsert`.
|
||||
3. В ответе возвращается `next_cursor`, соответствующий текущему максимальному `cursor_seq` журнала изменений сервера.
|
||||
4. После применения начального снимка терминал фиксирует `next_cursor` и переходит в режим инкрементального получения дельт.
|
||||
|
||||
### 3.3. Инкрементальная загрузка (Pull, `POST /api/v1/staff/sync/pull`)
|
||||
|
||||
Запрос:
|
||||
|
||||
```json
|
||||
{
|
||||
"cursor": "cur_105_7a9f8b2c1d",
|
||||
|
|
@ -125,9 +106,7 @@ cur_<sequence>_<signature_hash>
|
|||
"entity_types": ["employee", "work_session"]
|
||||
}
|
||||
```
|
||||
|
||||
Ответ:
|
||||
|
||||
```json
|
||||
{
|
||||
"changes": [
|
||||
|
|
@ -154,15 +133,12 @@ cur_<sequence>_<signature_hash>
|
|||
```
|
||||
|
||||
### 3.4. Подтверждение изменений (Ack, `POST /api/v1/staff/sync/ack`)
|
||||
|
||||
После успешного локального сохранения изменений устройство подтверждает обработанный курсор:
|
||||
|
||||
```json
|
||||
{
|
||||
"cursor": "cur_106_3c4d5e6f7a"
|
||||
}
|
||||
```
|
||||
|
||||
Сервер сохраняет контрольную точку в таблице `staff_sync_device_checkpoints`. Это позволяет отслеживать отставание устройств и безопасно выполнять очистку журнала изменений.
|
||||
|
||||
---
|
||||
|
|
@ -170,16 +146,13 @@ cur_<sequence>_<signature_hash>
|
|||
## 4. Пакетная отправка команд (Push) и идемпотентность
|
||||
|
||||
### 4.1. Контракт отправки (`POST /api/v1/staff/sync/push`)
|
||||
|
||||
Клиент отправляет накопленные в офлайне команды пачками.
|
||||
|
||||
- Ограничение пакета: от 1 до 100 команд (`BATCH_SIZE_EXCEEDED` при превышении).
|
||||
- Максимальный размер полезной нагрузки: не более 64 КБ на команду (`PAYLOAD_TOO_LARGE`).
|
||||
- Максимальный размер HTTP-запроса: 2 МБ.
|
||||
- Временное окно защиты от Replay: `created_at` команды должно быть не старше 30 дней и не более чем на 5 минут в будущем (`TIMESTAMP_OUT_OF_WINDOW`).
|
||||
|
||||
**Пример запроса:**
|
||||
|
||||
```json
|
||||
{
|
||||
"commands": [
|
||||
|
|
@ -201,23 +174,15 @@ cur_<sequence>_<signature_hash>
|
|||
```
|
||||
|
||||
### 4.2. Идемпотентность (`staff_sync_command_inbox`)
|
||||
|
||||
Таблица `staff_sync_command_inbox` содержит уникальный ключ:
|
||||
|
||||
```sql
|
||||
UNIQUE (tenant_id, device_id, idempotency_key)
|
||||
```
|
||||
|
||||
При повторной отправке команды с тем же `idempotency_key`:
|
||||
|
||||
1. Мутация повторно не исполняется.
|
||||
2. Сервер извлекает ранее зафиксированный результат (`status`, `result`, `conflict`, `error_code`, `error_message`) и возвращает его клиенту.
|
||||
3. Это гарантирует полную безопасность при сбоях связи и автоматических повторах (Retry).
|
||||
|
||||
### 4.3. Запрещённые команды
|
||||
|
||||
Прямое создание или изменение смен (`upsert_work_session`) и табелей (`upsert_timesheet_entry`) с устройств строго запрещено для предотвращения несанкционированных начислений. При получении таких команд сервер отклоняет их со статусом `rejected` и кодом ошибки `COMMAND_NOT_SUPPORTED` (без записи в базу данных).
|
||||
|
||||
---
|
||||
|
||||
## 5. Обнаружение конфликтов
|
||||
|
|
@ -227,7 +192,6 @@ UNIQUE (tenant_id, device_id, idempotency_key)
|
|||
Если терминал пытается применить мутацию на основе устаревшей ревизии (например, смена уже была подтверждена управляющим на сервере), команда **не перезаписывает** данные.
|
||||
|
||||
**Ответ с конфликтом (в составе `results`):**
|
||||
|
||||
```json
|
||||
{
|
||||
"idempotency_key": "cmd-term01-778900",
|
||||
|
|
@ -246,7 +210,6 @@ UNIQUE (tenant_id, device_id, idempotency_key)
|
|||
```
|
||||
|
||||
Клиент, получив конфликт, обязан:
|
||||
|
||||
1. Запросить актуальное состояние сущности через `POST /sync/pull`.
|
||||
2. Обновить локальное представление.
|
||||
3. При необходимости повторить действие с актуальной ревизией или уведомить оператора.
|
||||
|
|
@ -257,15 +220,15 @@ UNIQUE (tenant_id, device_id, idempotency_key)
|
|||
|
||||
Терминал получает **исключительно оперативные данные**, необходимые для фиксации посещаемости и графиков:
|
||||
|
||||
| Сущность | Разрешённые поля | Запрещённые данные |
|
||||
| :----------------- | :-------------------------------------------------------------------------------------------------------------------- | :-------------------------------------------------------------------------- |
|
||||
| `org_unit` | `id`, `code`, `name`, `status` | Финансовые показатели, выручка, арендные договоры |
|
||||
| `profession` | `id`, `code`, `name`, `status` | Тарифные сетки, оклады |
|
||||
| `employee` | `id`, `personnel_number`, `display_name`, `status`, `profession_id`, `position` | **Зарплаты, ставки, паспортные данные, СНИЛС, телефоны, адреса, биометрия** |
|
||||
| `work_session` | `id`, `employee_id`, `org_unit_id`, `business_date`, `started_at`, `ended_at`, `worked_minutes`, `status`, `revision` | Стоимость смены, начисления, штрафы |
|
||||
| `timesheet_entry` | `id`, `employee_id`, `work_date`, `minutes_worked`, `status`, `revision` | Расчётные листы, итоговые выплаты |
|
||||
| `planned_shift` | `id`, `employee_id`, `org_unit_id`, `business_date`, `planned_minutes`, `start_time`, `end_time` | Плановая стоимость ФОТ смены |
|
||||
| `attendance_event` | `id`, `employee_id`, `event_type`, `occurred_at`, `source_event_id`, `device_id`, `org_unit_id`, `status` | Сырые биометрические сэмплы сканера |
|
||||
| Сущность | Разрешённые поля | Запрещённые данные |
|
||||
| :--- | :--- | :--- |
|
||||
| `org_unit` | `id`, `code`, `name`, `status` | Финансовые показатели, выручка, арендные договоры |
|
||||
| `profession` | `id`, `code`, `name`, `status` | Тарифные сетки, оклады |
|
||||
| `employee` | `id`, `personnel_number`, `display_name`, `status`, `profession_id`, `position` | **Зарплаты, ставки, паспортные данные, СНИЛС, телефоны, адреса, биометрия** |
|
||||
| `work_session` | `id`, `employee_id`, `org_unit_id`, `business_date`, `started_at`, `ended_at`, `worked_minutes`, `status`, `revision` | Стоимость смены, начисления, штрафы |
|
||||
| `timesheet_entry` | `id`, `employee_id`, `work_date`, `minutes_worked`, `status`, `revision` | Расчётные листы, итоговые выплаты |
|
||||
| `planned_shift` | `id`, `employee_id`, `org_unit_id`, `business_date`, `planned_minutes`, `start_time`, `end_time` | Плановая стоимость ФОТ смены |
|
||||
| `attendance_event` | `id`, `employee_id`, `event_type`, `occurred_at`, `source_event_id`, `device_id`, `org_unit_id`, `status` | Сырые биометрические сэмплы сканера |
|
||||
|
||||
> [!CAUTION]
|
||||
> **Финансовые данные и заработная плата НИКОГДА не передаются на локальный терминал!**
|
||||
|
|
@ -284,11 +247,9 @@ UNIQUE (tenant_id, device_id, idempotency_key)
|
|||
## 8. Политика хранения данных (Retention)
|
||||
|
||||
Для предотвращения бесконечного роста таблиц синхронизации предусмотрена функция очистки:
|
||||
|
||||
```sql
|
||||
SELECT * FROM staff_sync_cleanup_retention(30);
|
||||
```
|
||||
|
||||
- Удаляет записи `staff_sync_change_log` старше заданного количества дней (по умолчанию 30).
|
||||
- Удаляет обработанные команды `staff_sync_command_inbox` старше заданного количества дней.
|
||||
- Активные устройства, отстающие более чем на окно хранения (30 дней), при следующем обращении с устаревшим курсором получают требование повторной начальной инициализации (Bootstrap).
|
||||
|
|
|
|||
|
|
@ -1,156 +0,0 @@
|
|||
# Руководство по развёртыванию и чек-лист боевого тестирования Krona Staff
|
||||
|
||||
## 1. Назначение и архитектурные инварианты
|
||||
|
||||
Krona Staff — автономно развёртываемый блок Krona Business Platform, отвечающий за учёт рабочего времени, терминалы посещаемости и управленческий расчёт зарплаты.
|
||||
|
||||
### Ключевые инварианты (AGENTS.md)
|
||||
|
||||
1. **Разделение доменов**: Core владеет Tenant, User, Role, SSO, Platform Settings, Files, Notifications. Staff владеет Employee и HR-доменом (`User != Employee`).
|
||||
2. **Изоляция арендаторов**: Все таблицы содержат `tenant_id` (ULID 26 символов). В PostgreSQL включен и принудительно активирован Row-Level Security (`FORCE ROW LEVEL SECURITY`). Запросы выполняются через tenant-scoped транзакции с выставлением `app.tenant_id`.
|
||||
3. **Разделение ролей БД**:
|
||||
- `krona_migrator` — владелец схемы и таблиц, выполняет миграции DDL, `NOSUPERUSER NOBYPASSRLS`.
|
||||
- `krona_staff_app` — runtime-пользователь приложения с минимальными DML правами (SELECT, INSERT, UPDATE, DELETE на прикладные таблицы; нет прав на `schema_migrations`, нет прав DDL).
|
||||
4. **Типы данных**:
|
||||
- Идентификаторы — ULID (`VARCHAR(26)`).
|
||||
- Денежные суммы — `BIGINT` в минимальных единицах (копейках/minor units) + ISO 4217 код валюты (например, `'RUB'`).
|
||||
- Временные метки — UTC (`TIMESTAMPTZ`).
|
||||
5. **Надёжность**: Транзакционный Outbox, идемпотентность по `Idempotency-Key`, CSRF-защита сессионных cookie (`Origin`/`Sec-Fetch-Site`), Rate-limiting ключей входа.
|
||||
|
||||
---
|
||||
|
||||
## 2. Развёртывание и запуск
|
||||
|
||||
### 2.1. Системные требования
|
||||
|
||||
- **ОС**: Linux (Ubuntu 22.04+/Debian 12+) или Windows Server 2022+ / Windows 11 (для сборки терминала).
|
||||
- **Среда выполнения**: Node.js 22 LTS, npm 10+.
|
||||
- **База данных**: PostgreSQL 17 (поддерживается 17.0+).
|
||||
- **Сеть**: Порт 8080 (HTTP) или 8453 (HTTPS пилот).
|
||||
|
||||
### 2.2. Запуск через Docker Compose (рекомендуемый пилот)
|
||||
|
||||
```bash
|
||||
# 1. Перейдите в каталог deploy/pilot
|
||||
cd deploy/pilot
|
||||
|
||||
# 2. Задайте ULID организации из Krona Business Platform
|
||||
export STANDALONE_TENANT_ID="01J0000000000000000000000A"
|
||||
|
||||
# 3. Выполните скрипт первичной инициализации:
|
||||
# - Сгенерирует стойкие пароли БД, токены менеджера и терминала в secrets/
|
||||
# - Сгенерирует ключи Web Push (VAPID)
|
||||
# - Создаст самоподписанный TLS-сертификат для терминала
|
||||
./setup.sh
|
||||
|
||||
# 4. Запустите стек (PostgreSQL + мигратор + app)
|
||||
docker compose up -d --build
|
||||
|
||||
# 5. Проверьте запуск контейнеров и миграций
|
||||
docker compose ps
|
||||
docker compose logs -f app
|
||||
```
|
||||
|
||||
### 2.3. Запуск без Docker (Bare-Metal / Dev стенд)
|
||||
|
||||
1. **Создайте базу данных и роли в PostgreSQL**:
|
||||
|
||||
```sql
|
||||
-- Под пользователем postgres (DBA):
|
||||
CREATE ROLE krona_migrator LOGIN PASSWORD 'migrator_secure_password' NOSUPERUSER NOCREATEDB NOCREATEROLE NOBYPASSRLS;
|
||||
CREATE ROLE krona_staff_app LOGIN PASSWORD 'app_secure_password' NOSUPERUSER NOCREATEDB NOCREATEROLE NOINHERIT NOBYPASSRLS;
|
||||
|
||||
CREATE DATABASE krona_staff OWNER krona_migrator ENCODING 'UTF8';
|
||||
\c krona_staff
|
||||
ALTER SCHEMA public OWNER TO krona_migrator;
|
||||
REVOKE CREATE ON SCHEMA public FROM PUBLIC;
|
||||
REVOKE ALL ON DATABASE krona_staff FROM PUBLIC;
|
||||
GRANT CONNECT ON DATABASE krona_staff TO krona_staff_app;
|
||||
```
|
||||
|
||||
2. **Настройте переменные окружения (`.env`)**:
|
||||
|
||||
```bash
|
||||
cp .env.example .env
|
||||
```
|
||||
|
||||
Укажите в `.env`:
|
||||
|
||||
```ini
|
||||
PORT=8080
|
||||
NODE_ENV=production
|
||||
STANDALONE_TENANT_ID=01J0000000000000000000000A
|
||||
STANDALONE_ACTOR_ID=01J00000000000000000000001
|
||||
STANDALONE_MANAGER_TOKEN=your_secure_manager_token_hex_or_ulid
|
||||
STANDALONE_TERMINAL_TOKEN=your_secure_terminal_token_hex_or_ulid
|
||||
DATABASE_URL=postgres://krona_staff_app:app_secure_password@127.0.0.1:5432/krona_staff
|
||||
DATABASE_MIGRATION_URL=postgres://krona_migrator:migrator_secure_password@127.0.0.1:5432/krona_staff
|
||||
```
|
||||
|
||||
3. **Сгенерируйте VAPID ключи**:
|
||||
|
||||
```bash
|
||||
node scripts/generate-vapid-keys.mjs >> .env
|
||||
```
|
||||
|
||||
4. **Примените миграции**:
|
||||
|
||||
```bash
|
||||
npm run db:migrate
|
||||
```
|
||||
|
||||
5. **Соберите и запустите приложение**:
|
||||
```bash
|
||||
npm run build
|
||||
npm run start
|
||||
```
|
||||
|
||||
---
|
||||
|
||||
## 3. Чек-лист ручного боевого тестирования владельцем
|
||||
|
||||
Каждый шаг должен быть выполнен последовательно. Ожидаемый результат сверяется с фактическим.
|
||||
|
||||
| № | Шаг / Сценарий | Действие / HTTP-запрос | Ожидаемый результат | Статус |
|
||||
| ------ | ------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------- | :----: |
|
||||
| **1** | **Системные проверки (Health)** | `GET /api/v1/staff/live`<br>`GET /api/v1/staff/ready`<br>`GET /api/v1/staff/version` | HTTP 200 на всех эндпоинтах. `ready` подтверждает соединение с БД под ролью `krona_staff_app`. `version` возвращает `runtime: standalone` и semver. | [ ] |
|
||||
| **2** | **Контракт OpenAPI** | `GET /api/v1/staff/openapi.json` | HTTP 200, возвращается валидная спецификация OpenAPI 3.1 со всеми роутами модуля. | [ ] |
|
||||
| **3** | **Защита доступа (401)** | `GET /api/v1/staff/portal` без заголовка Authorization | HTTP 401 Unauthorized. Ошибки с деталями SQL отсутствуют. | [ ] |
|
||||
| **4** | **Защита от CSRF** | `POST /api/v1/staff/portal/employees` с cookie сессии, но без заголовка `Origin` или с чужим Origin | HTTP 403 Forbidden (CSRF token missing/invalid). | [ ] |
|
||||
| **5** | **Защита от перебора паролей (429)** | 35 последовательных запросов с неверным токеном/ключом | После исчерпания лимита возвращается HTTP 429 Too Many Requests с заголовком `Retry-After`. | [ ] |
|
||||
| **6** | **Создание сотрудника** | `POST /api/v1/staff/employees`<br>Headers: `Authorization: Bearer <MANAGER_TOKEN>`<br>Body: `{"personnel_number": "EMP-001", "display_name": "Иванов Иван", "profession_code": "cook"}` | HTTP 201 Created. Создан сотрудник, присвоен ULID, запись зафиксирована в `staff_employees`. | [ ] |
|
||||
| **7** | **Проверка справочника профессий** | `GET /api/v1/staff/professions` | HTTP 200, список активных профессий (`cook`, `cashier`, `barista`, `waiter` и др.). | [ ] |
|
||||
| **8** | **Назначение тарифной ставки сотруднику** | `POST /api/v1/staff/payroll/assignments`<br>Body: привязка правила (почасовая ставка 350 руб/час = 35000 minor units). | HTTP 201 Created. Версионированное правило сохранено в `staff_pay_assignments`. | [ ] |
|
||||
| **9** | **Отметка прихода через терминал** | `POST /api/v1/staff/attendance/events`<br>Headers: `Authorization: Bearer <TERMINAL_TOKEN>`<br>Body: `{"event_id": "<ULID>", "employee_id": "<EMP_ID>", "event_type": "check_in", "occurred_at": "<NOW_ISO>"}` | HTTP 201 Created. Событие записано в `staff_attendance_events`. Отправлено событие в outbox. | [ ] |
|
||||
| **10** | **Идемпотентность отметки** | Повтор запроса шага 9 с тем же `event_id` и `source_event_id` | HTTP 200 OK (или 201), дубликат не создаётся, количество записей не удваивается. | [ ] |
|
||||
| **11** | **Отметка ухода через терминал** | `POST /api/v1/staff/attendance/events` с `event_type: "check_out"` спустя 8 часов | HTTP 201 Created. Формируется завершённая рабочая смена. | [ ] |
|
||||
| **12** | **Подтверждение смены менеджером** | `POST /api/v1/staff/work-sessions/:id/confirm` | HTTP 200 OK. Смена переходит в статус `confirmed`, часы готовы к начислению. | [ ] |
|
||||
| **13** | **Авторасчёт ведомости зарплаты** | `POST /api/v1/staff/payroll/runs/auto-calc`<br>Body: период с 1 по 15 число месяца. | HTTP 201 Created. Начислено: 8 ч × 350 руб = 2800 руб (280000 minor units). Сохранена расшифровка формулы расчёта. | [ ] |
|
||||
| **14** | **Согласование ведомости бухгалтером** | `POST /api/v1/staff/payroll/batches/:id/approve` | HTTP 200 OK. Статус пакета переходит в `approved`. | [ ] |
|
||||
| **15** | **Подписание ведомости директором** | `POST /api/v1/staff/payroll/batches/:id/sign`<br>Body: `{"signature": "director_sign_key", "note": "Выплата за первую половину месяца"}` | HTTP 200 OK. Пакет подписан. Созданы строки начислений в `staff_payroll_ledger` с полем `note` (без ошибки 500!). | [ ] |
|
||||
| **16** | **Проверка реестра выплат (Ledger)** | `GET /api/v1/staff/payroll/ledger` | HTTP 200 OK. Отображаются начисления и выплаты, сальдо корректно сходится. | [ ] |
|
||||
| **17** | **Web Push уведомления сотруднику** | `POST /api/v1/staff/portal/push-subscriptions` с валидным FCM/W3C endpoint. | HTTP 201 Created. Подписка сохранена. При наступлении события формируется delivery без ложных блокировок хоста. | [ ] |
|
||||
| **18** | **Уведомления директору без дублей** | `GET /api/v1/staff/notifications/unread` под учётной записью директора | HTTP 200 OK. Каждому директору отдаются ровно его уведомления без дублирования на каждого получателя. | [ ] |
|
||||
| **19** | **Офлайн-синхронизация: регистрация терминала** | `POST /api/v1/staff/sync/devices/register` с токеном менеджера | HTTP 201 Created. Возвращается токен устройства `kstaff_dev_...`. Токен сохраняется в терминале. | [ ] |
|
||||
| **20** | **Офлайн-синхронизация: начальный Pull (C0)** | `GET /api/v1/staff/sync/pull` с токеном устройства (без курсора) | HTTP 200 OK. Возвращаются справочники (сотрудники, оргструктура, тарифы) и курсор `cursor_ulid`. | [ ] |
|
||||
| **21** | **Офлайн-синхронизация: пакет команд Push** | `POST /api/v1/staff/sync/push` с массивом офлайн-отметок посещаемости | HTTP 200 OK. Все корректные команды применены, битые команды получают понятную ошибку, статус транзакции не ломает весь пакет. | [ ] |
|
||||
| **22** | **Отзыв прав уволенного сотрудника** | Перевод сотрудника в статус `fired` / деактивация доступа в `staff_access_grants` | Попытка входа уволенного сотрудника немедленно возвращает HTTP 401 Unauthorized. | [ ] |
|
||||
| **23** | **Проверка утилиты миграции арендатора (Rehome)** | `node scripts/rehome-tenant.mjs --dry-run --source <OLD_ULID> --target <NEW_ULID>` | Утилита производит корректное сравнение количества строк по всем таблицам (`Number`) без сбоев типов и ошибок внешних ключей. | [ ] |
|
||||
|
||||
---
|
||||
|
||||
## 4. Диагностика и устранение неполадок
|
||||
|
||||
1. **Ошибка `401 Unauthorized` при запросе от терминала**:
|
||||
- Проверьте, передан ли заголовок `Authorization: Bearer <STANDALONE_TERMINAL_TOKEN>` или токен зарегистрированного устройства.
|
||||
2. **Ошибка `403 Forbidden` при запросах из веб-интерфейса**:
|
||||
- Убедитесь, что запрос отправляется с доверенного Origin (`localhost`, `127.0.0.1` или IP пилота). Сессионные мутирующие запросы требуют валидный Origin.
|
||||
3. **Проверка логов транзакций и RLS**:
|
||||
```bash
|
||||
# Просмотр логов контейнера
|
||||
docker compose logs -f app
|
||||
```
|
||||
4. **Проверка состояния миграций БД**:
|
||||
```bash
|
||||
node scripts/check-migrations.mjs
|
||||
```
|
||||
|
|
@ -1,59 +0,0 @@
|
|||
# Перенос арендатора Staff
|
||||
|
||||
`scripts/rehome-tenant.mjs` переносит все строки из одного tenant ID в другой в схеме `public`. Скрипт рассчитан на остановленное приложение и запускается только привилегированной ролью БД, способной обходить RLS и изменять таблицы. Строки пароля или подключения в отчёты не выводятся.
|
||||
|
||||
CLI по умолчанию выполняет только read-only dry-run; `--dry-run` можно указать явно. Совместимые имена `--from`/`--to` и `--json` принимаются для rehearsal-обвязок; вывод всегда JSON. Сначала на восстановленной копии базы выполните dry-run:
|
||||
|
||||
```powershell
|
||||
$env:DATABASE_ADMIN_URL = 'postgresql://…'
|
||||
node scripts/rehome-tenant.mjs --from <ULID> --to <ULID> --dry-run --json
|
||||
```
|
||||
|
||||
Для совместимости со старыми локальными инструкциями также принимаются `DATABASE_REHOME_URL` и `DATABASE_MIGRATION_URL` как fallback. `--apply` по-прежнему требует явный флаг, actor и проверенный `--backup-evidence`; aliases и default dry-run не разрешают запись сами по себе.
|
||||
|
||||
Dry-run открывает транзакцию `READ ONLY` и выводит только идентификаторы переноса и количество строк по таблицам. Он не блокирует записи; поэтому результат является снимком для планирования, а не гарантией актуальности на момент apply. На копии и в согласованное окно с остановленным приложением повторите dry-run непосредственно перед переносом.
|
||||
|
||||
## Обязательное подтверждение восстановления
|
||||
|
||||
Apply требует `--backup-evidence <путь>` и читает JSON отчёт. Само имя файла и существование файла не считаются доказательством. JSON должен содержать сведения о зашифрованном off-host `pg_dump -Fc` и успешном restore drill именно этого backup:
|
||||
|
||||
```json
|
||||
{
|
||||
"backup": {
|
||||
"format": "pg_dump -Fc",
|
||||
"encrypted": true,
|
||||
"offHost": true,
|
||||
"sha256": "<64 hex characters>",
|
||||
"createdAt": "2026-09-26T08:00:00Z"
|
||||
},
|
||||
"restoreDrill": {
|
||||
"status": "passed",
|
||||
"backupSha256": "<same 64 hex characters>",
|
||||
"restoredAt": "2026-09-26T08:30:00Z",
|
||||
"verifiedAt": "2026-09-26T08:45:00Z",
|
||||
"isolatedDatabase": "krona_staff_restore_check"
|
||||
}
|
||||
}
|
||||
```
|
||||
|
||||
Этот файл удостоверяет результаты, предоставленные оператором; скрипт не проверяет доступ к хранилищу, шифрование или пригодность backup самостоятельно. Сохраните исходный backup, хеш и протокол restore drill вне сервера приложения.
|
||||
|
||||
## Apply
|
||||
|
||||
Проверьте dry-run и backup evidence, остановите приложение, затем запускайте в согласованное окно. `--actor` — ULID уполномоченного пользователя Core, не пароль или секрет:
|
||||
|
||||
```powershell
|
||||
node scripts/rehome-tenant.mjs --apply `
|
||||
--source <ULID> --target <ULID> --actor <CORE_USER_ULID> `
|
||||
--backup-evidence .\evidence\restore-drill.json
|
||||
```
|
||||
|
||||
Apply использует одну транзакцию, сериализуемый уровень изоляции, advisory lock и детерминированные `ACCESS EXCLUSIVE` locks всех таблиц `public.staff_*`. Скрипт отказывает, если целевой tenant уже содержит строки, таблица лишена `tenant_id` или FORCE RLS, обнаружен неизвестный пользовательский trigger либо внешний FK, или роль БД не может безопасно выполнить перенос. Существующие FK сохраняются с их определениями и состоянием validation; если проверка после пересоздания не совпала, транзакция откатывается.
|
||||
|
||||
Отчёт содержит количества перенесённых строк и суммы `staff_payroll_ledger.amount_minor` отдельно по валюте. В `staff_audit_log` перенос сам создаёт ровно одну новую запись `tenant.rehomed` под целевым tenant. Поэтому число строк `staff_audit_log` после commit равно исходному числу строк источника плюс одна; по всем остальным таблицам количество равно исходному. Запись аудита включает from/to, исходные количества, суммы реестра, Core actor, correlation ID и SHA-256/время backup и проверки restore.
|
||||
|
||||
При ошибке stdout/stderr не содержит URL подключения, значений строк или текста серверной ошибки: транзакция откатывается, а в stderr печатается только безопасное сообщение и, если есть, пятисимвольный PostgreSQL SQLSTATE. После успешного commit отдельно проверьте `SELECT DISTINCT tenant_id` по каждой staff таблице, количества строк, сумму реестра по валюте и наличие записи `tenant.rehomed`.
|
||||
|
||||
## Интеграционный тест
|
||||
|
||||
Тест `tests/integration/rehome-tenant.test.ts` предназначен только для отдельной пустой PostgreSQL 17 базы, имя которой заканчивается на `_rehome_test`. Он требует `DATABASE_REHOME_TEST_URL` и явное `DATABASE_REHOME_TEST_CONFIRM=I_ACKNOWLEDGE_DISPOSABLE_PG17_DATABASE`, создаёт в ней роль приложения без пароля при необходимости и применяет миграции на чистой схеме. В конце тест очищает таблицы `public.staff_*`; проверка пустоты выполняется до вставки фикстур. Не указывайте production, pilot или общую базу.
|
||||
|
|
@ -2,7 +2,7 @@
|
|||
|
||||
**Document Version:** 1.0.0
|
||||
**Status:** Approved for Production
|
||||
**Target Component:** Krona Staff Backend & Krona Staff Terminal / Windows Service Sync Client
|
||||
**Target Component:** Krona Staff Backend & Krona Staff Terminal / Windows Service Sync Client
|
||||
|
||||
---
|
||||
|
||||
|
|
@ -11,7 +11,6 @@
|
|||
The Krona Staff Terminal (`KronaStaffTerminal.exe`) and its companion Windows Service (`KronaStaffService.exe`) operate on Windows POS / kiosk devices in branch locations. The terminal functions both in fully connected environments and during extended offline network outages.
|
||||
|
||||
### Security Guarantees
|
||||
|
||||
1. **Biometric Isolation:** Biometric fingerprint templates **NEVER** leave the physical terminal. Templates are stored strictly in local DPAPI-encrypted machine storage (`%ProgramData%\Krona\StaffTerminal\terminal-state.dat`) and are matched on-device using the biometric matching engine. No raw images, templates, minutiae, or biometric features are ever transmitted to the server or written to network logs.
|
||||
2. **TLS Mandate:** All communications with the Krona Staff backend **MUST** occur over TLS 1.3 or TLS 1.2 with strict certificate verification. Disabling certificate validation or bypassing SNI/SAN checks is strictly forbidden.
|
||||
3. **Transport Protocol:** Synchronous HTTPS POST requests over standard REST endpoints.
|
||||
|
|
@ -21,20 +20,18 @@ The Krona Staff Terminal (`KronaStaffTerminal.exe`) and its companion Windows Se
|
|||
## 2. Attendance Sync Endpoint Specification
|
||||
|
||||
### Endpoint
|
||||
|
||||
```http
|
||||
POST /api/v1/staff/attendance/events
|
||||
```
|
||||
|
||||
### Request Headers
|
||||
|
||||
| Header Name | Type | Required | Description | Example |
|
||||
| ----------------- | ------ | -------- | ------------------------------------------------- | -------------------------------------------------------- |
|
||||
| `Content-Type` | String | Yes | Media type of payload | `application/json` |
|
||||
| `Authorization` | String | Yes | Terminal Bearer API Key | `Bearer trm_sec_991823ab...` |
|
||||
| `Idempotency-Key` | String | Yes | Unique idempotency key per event batch or event | `6ba7b810-9dad-11d1-80b4-00c04fd430c8` |
|
||||
| `X-Request-Id` | String | Yes | Unique trace ID for telemetry and crash debugging | `req_01HV8G7P89J21...` |
|
||||
| `User-Agent` | String | Yes | Terminal client identification | `KronaStaffTerminal/0.3.2 (Windows NT 10.0; Win64; x64)` |
|
||||
| Header Name | Type | Required | Description | Example |
|
||||
|---|---|---|---|---|
|
||||
| `Content-Type` | String | Yes | Media type of payload | `application/json` |
|
||||
| `Authorization` | String | Yes | Terminal Bearer API Key | `Bearer trm_sec_991823ab...` |
|
||||
| `Idempotency-Key` | String | Yes | Unique idempotency key per event batch or event | `6ba7b810-9dad-11d1-80b4-00c04fd430c8` |
|
||||
| `X-Request-Id` | String | Yes | Unique trace ID for telemetry and crash debugging | `req_01HV8G7P89J21...` |
|
||||
| `User-Agent` | String | Yes | Terminal client identification | `KronaStaffTerminal/0.3.2 (Windows NT 10.0; Win64; x64)` |
|
||||
|
||||
---
|
||||
|
||||
|
|
@ -43,7 +40,6 @@ POST /api/v1/staff/attendance/events
|
|||
The synchronization client supports sending both individual attendance records and batched events.
|
||||
|
||||
### 3.1 Single Event Record Payload
|
||||
|
||||
```json
|
||||
{
|
||||
"eventId": "01J8R5QWXZ7M1P0T8C3D2E4F5G",
|
||||
|
|
@ -58,9 +54,7 @@ The synchronization client supports sending both individual attendance records a
|
|||
```
|
||||
|
||||
### 3.2 Batch Sync Payload
|
||||
|
||||
When draining the offline sync queue after network recovery, the client posts an array of queued events:
|
||||
|
||||
```json
|
||||
{
|
||||
"deviceId": "TERM-SPB-OFFICE-01",
|
||||
|
|
@ -89,7 +83,6 @@ When draining the offline sync queue after network recovery, the client posts an
|
|||
```
|
||||
|
||||
### Field Definitions
|
||||
|
||||
- **`eventId`** (`string`, ULID or UUIDv4): Client-generated immutable identifier of the attendance event.
|
||||
- **`employeeId`** (`string`, UUIDv4): Server-recognized unique ID of the employee.
|
||||
- **`eventType`** (`string`): Enum representing the punch action:
|
||||
|
|
@ -110,15 +103,15 @@ When draining the offline sync queue after network recovery, the client posts an
|
|||
|
||||
## 4. HTTP Response Codes & Client Handling
|
||||
|
||||
| HTTP Status | Meaning | Terminal Client Action |
|
||||
| ------------------------------------ | ------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| `200 OK` / `201 Created` | Event successfully recorded | Dequeue event from local offline store immediately. |
|
||||
| `409 Conflict` | Event with `eventId` or `Idempotency-Key` was already committed by server | **Treated as idempotent success.** Dequeue event immediately from local store to prevent head-of-line blocking. |
|
||||
| `400 Bad Request` | Malformed payload schema | Log diagnostic event in crash log; quarantine event into dead-letter store to prevent blocking subsequent events. |
|
||||
| `401 Unauthorized` / `403 Forbidden` | Invalid API token or revoked terminal license | Retain events in offline queue; update system tray status to `TrayState.Error` (`401 Auth Error`); prompt administrator. |
|
||||
| `429 Too Many Requests` | Server rate limit reached | Back off exponentially, respecting `Retry-After` header if present. |
|
||||
| `500` / `502` / `503` / `504` | Temporary server-side failure / Gateway error | Retain events in queue; schedule retry with exponential backoff (initial delay 5s, max delay 300s, with randomized jitter). |
|
||||
| Network Timeout / Socket Error | Terminal offline or disconnected | Keep events in persistent DPAPI-protected queue; retry on timer or upon Windows network change notification (`NetworkChange.NetworkAddressChanged`). |
|
||||
| HTTP Status | Meaning | Terminal Client Action |
|
||||
|---|---|---|
|
||||
| `200 OK` / `201 Created` | Event successfully recorded | Dequeue event from local offline store immediately. |
|
||||
| `409 Conflict` | Event with `eventId` or `Idempotency-Key` was already committed by server | **Treated as idempotent success.** Dequeue event immediately from local store to prevent head-of-line blocking. |
|
||||
| `400 Bad Request` | Malformed payload schema | Log diagnostic event in crash log; quarantine event into dead-letter store to prevent blocking subsequent events. |
|
||||
| `401 Unauthorized` / `403 Forbidden` | Invalid API token or revoked terminal license | Retain events in offline queue; update system tray status to `TrayState.Error` (`401 Auth Error`); prompt administrator. |
|
||||
| `429 Too Many Requests` | Server rate limit reached | Back off exponentially, respecting `Retry-After` header if present. |
|
||||
| `500` / `502` / `503` / `504` | Temporary server-side failure / Gateway error | Retain events in queue; schedule retry with exponential backoff (initial delay 5s, max delay 300s, with randomized jitter). |
|
||||
| Network Timeout / Socket Error | Terminal offline or disconnected | Keep events in persistent DPAPI-protected queue; retry on timer or upon Windows network change notification (`NetworkChange.NetworkAddressChanged`). |
|
||||
|
||||
---
|
||||
|
||||
|
|
|
|||
|
|
@ -1,206 +0,0 @@
|
|||
# Аудит репозитория krona-staff (третий проход)
|
||||
|
||||
- Дата: 2026-09-18
|
||||
- Ревизия: `7c8e7fc` — ветка `codex/bootstrap-platform-foundation`, 9 коммитов
|
||||
- Предыдущие проходы: `14ed610` (первый отчёт), `b88ff91` (второй отчёт)
|
||||
- Репозиторий: https://git.ochenstarik.ru/ochenstarik/krona-staff
|
||||
|
||||
## 1. Что изменилось
|
||||
|
||||
Два новых коммита, 53 файла, +1725/−1069 строк:
|
||||
|
||||
- `64ac5c0 fix: enforce tenant isolation and runtime contracts` — Node-сервис, БД, Docker, CI;
|
||||
- `7c8e7fc fix: close terminal audit findings` — терминал, документация, лицензия ZKTeco.
|
||||
|
||||
Добавлен `docs/AUDIT-REMEDIATION-2026-09-18.md` — ответ на **первый** отчёт (ревизия `14ed610`). Замечания второго отчёта (Н1–Н10, ревизия `b88ff91`) в нём не учтены: коммиты готовились до него.
|
||||
|
||||
Главное из сделанного:
|
||||
|
||||
- разделены роли PostgreSQL: `krona_migrator` (миграции) и `krona_staff_app` (`NOSUPERUSER NOBYPASSRLS`);
|
||||
- мигратор ведёт `schema_migrations`, берёт advisory lock, откатывает только последнюю миграцию и только при `ALLOW_MIGRATION_DOWN=true`;
|
||||
- миграция `0002` добавляет `subject`/`actor` в outbox, `CHECK` на ULID и делает аудит-лог доступным приложению только на чтение и добавление;
|
||||
- маршруты перенесены под `/api/v1/staff`, `/ready` отвечает `503` без деталей, `x-correlation-id` проверяется как ULID и возвращается в ответе;
|
||||
- появились интеграционные тесты: реальная проверка изоляции тенантов на PostgreSQL и сверка OpenAPI с фактическими маршрутами; таймаут тестов поднят до 15 с;
|
||||
- Redis и BullMQ удалены из зависимостей и compose; образы Docker закреплены по digest; `format:check` и миграции добавлены в CI;
|
||||
- в терминале: экспорт журнала в CSV, маскирование имён на публичном экране, настраиваемая максимальная длительность смены, ограничение журнала в 100 000 записей, глобальные обработчики необработанных исключений, ротация `crash.log`, автозагрузка выключена по умолчанию, очищен `Package.appxmanifest`, добавлена EULA ZKTeco.
|
||||
|
||||
## 2. Проверки
|
||||
|
||||
| Проверка | Результат |
|
||||
| -------------------------------------------------------------------- | ----------------------------------------------------------------------------------------- |
|
||||
| `npm ci` | OK |
|
||||
| `npm run check` (lint, typecheck, тесты, миграции, контракты, build) | **Пройдено полностью** |
|
||||
| `npm run format:check` | Пройдено по коду репозитория (замечание только к этому файлу отчёта, он не в репозитории) |
|
||||
| `npm audit --audit-level=moderate` | 0 уязвимостей |
|
||||
| `dotnet build` терминала (Release, x64) | OK, 0 ошибок, 0 предупреждений |
|
||||
| Запрос `GET /live` (корень) | **404** — цель Docker HEALTHCHECK, см. Н11 |
|
||||
| Запрос `GET /api/v1/staff/live` | 200 |
|
||||
| Запрос `GET /api/v1/staff/ready` при сбое БД | 503, тело `{"status":"unavailable"}`, текст ошибки БД не раскрывается |
|
||||
| Некорректный `x-correlation-id` | Заменяется на сгенерированный ULID |
|
||||
| `NODE_ENV=production` + `standalone` | Запуск запрещён с понятной ошибкой |
|
||||
|
||||
**Не проверялось:** Docker, PostgreSQL и сканер SLK20R на машине аудита отсутствуют. Тест изоляции тенантов локально пропускается (`DATABASE_TEST_URL` не задан) — в CI он выполняется, но результата прогона CI я не видел.
|
||||
|
||||
## 3. Сводка
|
||||
|
||||
| Категория | Итог |
|
||||
| ----------------------------------- | --------------------------------------------------------- |
|
||||
| Закрыто из первого отчёта | 24 находки из 33 + сознательно оставлена №24 |
|
||||
| Осталось из второго отчёта (Н1–Н10) | 9 открыто, 1 частично |
|
||||
| Новые находки | 11 (2 высоких, 5 средних, 4 низких) |
|
||||
| Архитектура и право (A1, A2) | Вынесены владельцу, зафиксированы в документе исправлений |
|
||||
|
||||
## 4. Новые находки
|
||||
|
||||
### Н11. 🟠 Docker HEALTHCHECK проверяет несуществующий маршрут
|
||||
|
||||
- **Где:** `Dockerfile:21`
|
||||
- **Суть:** после переноса маршрутов под `/api/v1/staff` проверка осталась на `http://127.0.0.1:8080/live`. Проверено запросом: корневой `/live` теперь отдаёт 404, `wget` вернёт ошибку.
|
||||
- **Последствия:** контейнер всегда в состоянии `unhealthy`. В Docker Compose это ломает `depends_on: condition: service_healthy`, в оркестраторах (Swarm, Kubernetes при аналогичной пробе) — приводит к бесконечному перезапуску или к тому, что контейнер не попадает в балансировку. Автоматическая проверка развёртывания при этом молчит.
|
||||
- **Исправление:** `CMD wget -q -O - http://127.0.0.1:8080/api/v1/staff/live || exit 1`; добавить healthcheck для сервиса `app` в `compose.yaml` и тест, который сверяет путь из `Dockerfile` с маршрутами.
|
||||
|
||||
### Н12. 🟠 Контейнер приложения получает учётные данные мигратора
|
||||
|
||||
- **Где:** `compose.yaml:4`, `.env.example:5-8`
|
||||
- **Суть:** у сервиса `app` указан `env_file: .env`, а в `.env` лежат `DATABASE_MIGRATION_URL`, `POSTGRES_MIGRATION_PASSWORD` и `POSTGRES_APP_PASSWORD`. Переопределение `DATABASE_URL` не убирает остальные переменные из окружения контейнера.
|
||||
- **Последствия:** пароль роли-владельца схемы доступен процессу приложения и любому, кто прочитает `/proc/1/environ` или `docker inspect`. Разделение ролей, ради которого сделана находка №6, частично обесценивается. `docs/DEPLOYMENT.md` прямо утверждает обратное: «миграционный URL хранится отдельно и не передаётся runtime-контейнеру».
|
||||
- **Исправление:** отдельные файлы `.env.app` и `.env.migrate`, либо перечислить нужные переменные в `environment:` без `env_file`.
|
||||
|
||||
### Н13. 🟡 Обновление существующей установки ломается
|
||||
|
||||
- **Где:** `compose.yaml:23-32`, `docker/postgres/init-app-role.sh`
|
||||
- **Суть:** `POSTGRES_USER` изменён с `krona_staff` на `krona_migrator`, а роль приложения создаётся скриптом из `docker-entrypoint-initdb.d`, который выполняется только при инициализации пустого каталога данных. На уже существующем томе:
|
||||
- роль `krona_staff_app` не появится;
|
||||
- блок `GRANT` в миграциях обёрнут в `IF EXISTS (SELECT 1 FROM pg_roles ...)` и молча ничего не сделает;
|
||||
- приложение не сможет подключиться, в кластере останется прежний суперпользователь `krona_staff`.
|
||||
- **Исправление:** выполнять `scripts/create-app-role.mjs` в сервисе `migrate` перед миграциями и описать порядок обновления в `docs/DEPLOYMENT.md`.
|
||||
|
||||
### Н14. 🟡 Права выдаются «если роль есть» и не распространяются на будущие таблицы
|
||||
|
||||
- **Где:** `migrations/0001_infrastructure.up.sql:80-89`, `migrations/0002_security_hardening.up.sql:59-68`
|
||||
- **Суть:** при отсутствии роли миграция завершается успешно, но без выдачи прав — ошибка проявится позже как `permission denied` в рантайме. `ALTER DEFAULT PRIVILEGES` не настроен, поэтому каждая новая миграция обязана повторять блок `GRANT`; забытый блок — новая таблица, недоступная приложению.
|
||||
- **Исправление:** падать с понятной ошибкой, если роли нет; настроить `ALTER DEFAULT PRIVILEGES FOR ROLE krona_migrator IN SCHEMA public`.
|
||||
|
||||
### Н15. 🟡 Новое правило «Приход/Уход» теряет длинные смены и не имеет ручной корректировки
|
||||
|
||||
- **Где:** `MainPage.xaml.cs:586-588`
|
||||
- **Суть:** «Уход» проставляется, только если предыдущее событие — «Приход» и с него прошло не больше `MaximumShiftHours` (по умолчанию 20 ч). Переход через полночь теперь обрабатывается верно (№14 закрыта), но появились новые случаи:
|
||||
- смена длиннее настроенного значения (суточное дежурство при значении 20 ч) даёт второй «Приход» вместо «Ухода»;
|
||||
- если сотрудник не отметил уход, «Приход» остаётся незакрытым навсегда, и следующая отметка тоже станет «Приходом»;
|
||||
- исправить ошибочную запись в интерфейсе нельзя — доступна только полная очистка журнала.
|
||||
- **Исправление:** редактирование или удаление отдельной записи под администратором с пометкой о ручной правке; предупреждение при незакрытом «Приходе».
|
||||
|
||||
### Н16. 🟡 Ограничение журнала в 100 000 записей делает сохранение очень дорогим
|
||||
|
||||
- **Где:** `MainPage.xaml.cs:599-601`, `Services/TerminalStore.cs:127`
|
||||
- **Суть:** предел в 100 000 записей — это десятки мегабайт JSON с отступами. Каждая отметка выполняет два сохранения, каждое сохранение полностью сериализует состояние, шифрует его, пишет с принудительным сбросом на диск и копирует три резервные копии. То есть на одну отметку приходится до восьми полных записей файла.
|
||||
- Записи сверх лимита удаляются молча, без архива и без предложения выгрузить CSV.
|
||||
- **Исправление:** перейти на журнал с добавлением записей (SQLite или файл-журнал), либо хранить в состоянии только последние отметки, а историю писать отдельно; перед усечением требовать экспорт.
|
||||
|
||||
### Н17. 🟡 Приватный режим скрывает имена только в списке
|
||||
|
||||
- **Где:** `MainPage.xaml.cs:581`, `:605`
|
||||
- **Суть:** при включённом маскировании (по умолчанию) список последних отметок показывает «И\*\*\* П\*\*\*», но крупный текст на экране терминала по-прежнему выводит полное имя: «Иван Петров / Приход отмечен в 09:14», то же при отклонении повторного скана.
|
||||
- **Последствия:** цель находки №26 не достигнута — имя всё равно видно постороннему у терминала, причём более заметно, чем в списке.
|
||||
- **Исправление:** применять то же маскирование к `TerminalMessage` и к сообщениям строки состояния в публичном режиме.
|
||||
|
||||
### Н18. ⚪ Экспорт CSV не фиксируется и не защищён
|
||||
|
||||
- **Где:** `MainPage.xaml.cs:641-667`
|
||||
- **Суть:** экспорт выгружает полные имена, табельные номера, должности и все отметки в произвольный незашифрованный файл. Факт экспорта нигде не сохраняется.
|
||||
- **Исправление:** записывать в журнал событие экспорта (кто, когда, сколько записей); предупреждать, что файл не зашифрован.
|
||||
|
||||
### Н19. ⚪ Изменена уже применённая миграция, контрольные суммы не проверяются
|
||||
|
||||
- **Где:** `migrations/0001_infrastructure.up.sql`, `scripts/migrate.mjs`
|
||||
- **Суть:** файл `0001` изменён задним числом (в `CREATE TABLE` добавлены `subject_*`/`actor_*` и `CHECK`), при этом на уже мигрированных базах таблица создана по старой версии, а колонки добавляет `0002`. Сейчас расхождение компенсируется, но мигратор не хранит контрольные суммы, поэтому следующая правка применённого файла останется незамеченной.
|
||||
- **Исправление:** хранить хеш файла в `schema_migrations` и падать при расхождении.
|
||||
|
||||
### Н20. ⚪ Подстановка Release вместо Debug в пути автозагрузки
|
||||
|
||||
- **Где:** `Services/StartupService.cs:25-38`
|
||||
- **Суть:** если путь процесса содержит `\Debug\`, он заменяется на `\Release\`, а при отсутствии файла выбрасывается исключение. Установка в каталог, в названии которого есть «Debug», сломает автозагрузку; подставленный Release-файл может быть старой сборкой.
|
||||
- **Исправление:** определять отладочную сборку по `#if DEBUG` или по атрибуту сборки, а не по пути.
|
||||
|
||||
### Н21. ⚪ ADR-001 не синхронизирован с кодом
|
||||
|
||||
- **Где:** `docs/adr/ADR-001-technology-and-runtime-modes.md:8`, `:12`
|
||||
- **Суть:** ADR по-прежнему фиксирует Redis/BullMQ как принятое решение, хотя зависимости и сервис удалены; `AGENTS.md` требует синхронизировать ADR при изменении контракта. `docs/ARCHITECTURE.md` обновлён, ADR — нет.
|
||||
- **Исправление:** дополнить ADR-001 или выпустить ADR-002 «Redis откладывается до появления сценария очередей».
|
||||
|
||||
## 5. Находки второго отчёта: почти все открыты
|
||||
|
||||
`Services/TerminalStore.cs` в новых коммитах **не менялся**, поэтому связанные находки в силе.
|
||||
|
||||
| № | Находка | Статус |
|
||||
| --- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| Н1 | 🔴 После переименования повреждённого файла следующий запуск стартует с пустым состоянием: терминал открыт для создания чужого PIN, резервные копии затираются через 3–4 сохранения. То же при простом удалении файла состояния | ❌ Открыто |
|
||||
| Н2 | 🟠 Любая ошибка чтения, включая временную блокировку файла антивирусом, считается повреждением; откат к резервной копии происходит без предупреждения | ❌ Открыто |
|
||||
| Н3 | 🟡 Резервные копии обновляются на каждом сохранении и покрывают 1–2 скана; ошибочная очистка журнала попадает во все копии | ❌ Открыто, усугублено Н16 |
|
||||
| Н4 | 🟡 `GetDeviceCount() - 1` не проверен на оборудовании | ❌ Открыто |
|
||||
| Н5 | 🟡 Счётчик неверных PIN живёт в памяти, задержка блокирует и вход по отпечатку, старые хеши не пересчитываются | ❌ Открыто |
|
||||
| Н6 | ⚪ `Disconnect` освобождает дескрипторы после 2 с ожидания независимо от результата | ❌ Открыто |
|
||||
| Н7 | ⚪ Самопроизвольная отмена регистрации | 🟨 Частично: добавлено событие `RegistrationCancelled`, но `RefreshLists()` по-прежнему сбрасывает выбор и отменяет регистрацию |
|
||||
| Н8 | ⚪ Редактирование сотрудника переписывает имена в прошлых отметках | ❌ Открыто |
|
||||
| Н9 | ⚪ При недоступном хранилище приложение нельзя закрыть штатно | ❌ Открыто |
|
||||
| Н10 | ⚪ Блокирующие циклы в пуле потоков, гонка при освобождении события активации, мьютекс в пространстве `Local\` | ❌ Открыто |
|
||||
|
||||
## 6. Находки первого отчёта: статус
|
||||
|
||||
### Закрыто
|
||||
|
||||
| № | Находка | Как закрыто |
|
||||
| ---------- | ------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| 1, 4, 5 | Регистрация отпечатка, гонка дескрипторов, потеря связи со сканером | Отмена регистрации, передача дескрипторов, контроль связи (остаточные Н4, Н6) |
|
||||
| 3 | Гонка записи состояния | `SemaphoreSlim`, `WriteThrough` |
|
||||
| 6 | RLS обходился суперпользователем | Роль `krona_staff_app` с `NOSUPERUSER NOBYPASSRLS`, тест проверяет `rolsuper`/`rolbypassrls` |
|
||||
| 7 | Несовпадение паролей в быстром старте | Пароли и URL согласованы |
|
||||
| 8 | Мигратор | `schema_migrations`, advisory lock, откат только последней, `ALLOW_MIGRATION_DOWN` |
|
||||
| 9 | Потеря отметок при открытом диалоге | Отметка записывается |
|
||||
| 11, 12 | Второй экземпляр, дубликат пальца | Мьютекс с активацией, `DBIdentify` перед регистрацией |
|
||||
| 13 | Журнал без экспорта и без границ | CSV-экспорт и лимит (новые замечания Н16, Н18) |
|
||||
| 14 | Смена через полночь | Настраиваемая максимальная длительность смены (новое замечание Н15) |
|
||||
| 15 | `/ready` отдавал 500 с текстом ошибки | 503 без деталей, проверено |
|
||||
| 16 | Расхождение OpenAPI и маршрутов | Префикс `/api/v1/staff` и тест сверки |
|
||||
| 17 | Пул PostgreSQL | `pool.on('error')`, `release(error)`, защищённый `ROLLBACK` |
|
||||
| 18 | Тесты не проверяли инварианты | Реальный тест изоляции двух тенантов, сверка OpenAPI, таймаут 15 с |
|
||||
| 19 | Аудит-лог и outbox | Политики `SELECT`/`INSERT`, `subject`/`actor`, `CHECK` на ULID |
|
||||
| 20 | Неиспользуемый Redis | Удалён из зависимостей, compose и конфигурации (ADR не обновлён — Н21) |
|
||||
| 21, 22 | Автозагрузка | `--autostart` открывает в трее, по умолчанию выключена (остаток — Н20) |
|
||||
| 23 | Защита последнего администратора | Учитываются все администраторы, отдельная проверка при удалении отпечатков |
|
||||
| 25 | `Trim` у PIN | Проверяются оба варианта |
|
||||
| 26 | Имена на публичном экране | Маскирование в списке (неполно — Н17) |
|
||||
| 27 | Ошибки фоновых задач и `crash.log` | Глобальные обработчики, ротация по 1 МБ на 3 файла |
|
||||
| 28, 29 | Платформы проекта, шаблонный манифест | Только x64, манифест очищен, BOM убран |
|
||||
| 31, 32, 33 | `x-correlation-id`, версия, shutdown, CI, digest | Проверка ULID, `src/version.ts` и сверка версий, таймаут остановки, `format:check` в CI, образы по digest, запрет standalone в production |
|
||||
|
||||
### Оставлено сознательно и вынесено владельцу
|
||||
|
||||
- **№24** — повторный запрос PIN перед разрушительными действиями сохранён по требованию владельца.
|
||||
- **№30** — EULA ZKTeco добавлена, но сборки терминала и подписи в CI нет: нужны Windows-раннер и сертификат. Стоит отметить, что EULA запрещает включение компонента в продукты, извлекающие из этого коммерческую выгоду, — перед коммерческим распространением нужна юридическая проверка.
|
||||
- **A1** (роль терминала: локальное хранилище против edge-клиента Staff) и **A2** (письменные согласия на биометрию, сроки хранения, трансграничная передача) — решения владельца и юриста, зафиксированы в `docs/AUDIT-REMEDIATION-2026-09-18.md`.
|
||||
|
||||
## 7. Оценка качества исправлений
|
||||
|
||||
Сделано аккуратно: исправления не косметические, к ним добавлены тесты (изоляция тенантов, сверка OpenAPI), документация обновлена вместе с кодом, отдельный документ фиксирует, что оставлено сознательно. Обход RLS, мигратор и контракт API — самые опасные места первого отчёта — закрыты по существу, а не «подпоркой».
|
||||
|
||||
Основные замечания к процессу:
|
||||
|
||||
1. Изменения не проверялись в реальной среде: Docker и PostgreSQL не запускались, поэтому неработающий HEALTHCHECK (Н11) и сломанный путь обновления (Н13) не были замечены. `AGENTS.md` прямо требует не считать Docker и CI проверенными, если среда не запускалась, — документ исправлений это честно фиксирует.
|
||||
2. Замечания второго отчёта не попали в работу, а хранилище состояния — источник самой опасной из открытых проблем (Н1).
|
||||
3. Коммиты по-прежнему крупные и смешивают исправления с новыми функциями (экспорт CSV, приватный режим, редактирование).
|
||||
|
||||
## 8. План
|
||||
|
||||
| Приоритет | Задача | Находки |
|
||||
| --------- | -------------------------------------------------------------------------------------------------------------------------------- | ------------- |
|
||||
| 1 | Не стартовать с пустым состоянием при наличии `*.corrupt-*`/`.bak*`; не затирать копии; отличать повреждение от временных ошибок | Н1, Н2 |
|
||||
| 2 | Исправить HEALTHCHECK и добавить проверку сервиса `app` в compose | Н11 |
|
||||
| 3 | Убрать миграционные учётные данные из контейнера приложения | Н12 |
|
||||
| 4 | Создание роли приложения в сервисе `migrate`, порядок обновления существующих установок, явная ошибка при отсутствии роли | Н13, Н14 |
|
||||
| 5 | Журнал с добавлением записей вместо полной перезаписи, резервные копии по времени, ручная правка отметок | Н3, Н15, Н16 |
|
||||
| 6 | Маскирование имени на главном экране терминала | Н17 |
|
||||
| 7 | Проверить `GetDeviceCount() - 1` на оборудовании, довести устойчивость сканера | Н4, Н6 |
|
||||
| 8 | Счётчик попыток PIN в хранилище, не блокировать вход по отпечатку, пересчёт старых хешей | Н5 |
|
||||
| 9 | Контрольные суммы миграций, обновление ADR-001, аудит экспорта CSV | Н19, Н21, Н18 |
|
||||
| 10 | Решения владельца: контракт терминала и правовая база обработки биометрии | A1, A2 |
|
||||
|
|
@ -1,56 +0,0 @@
|
|||
# Приёмка №1: Grok и Antigravity — 2026-09-26
|
||||
|
||||
Проверял независимо, на живой PostgreSQL 17.10, в отдельных рабочих копиях. Код веток не менялся. Основа обеих веток — `778ba2d`; текущая основная ветка — `331e490`. Обе ветки вливаются в неё без конфликтов, друг с другом тоже.
|
||||
|
||||
## Итог
|
||||
|
||||
| Исполнитель | Ветка | Сделано из задания | Вердикт |
|
||||
| ----------- | -------------------------------------------------- | --------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| Antigravity | `antigravity/fix-reject-device-shifts` (`795bba0`) | Только часть 0 — немедленная мера по S1 | **Принять после одной правки**: подделка смены с устройства закрыта, но новый тест на реальной базе красный. Части 1–4 не начаты |
|
||||
| Grok | `grok/e2e-harness` (`421da72`) | Задачи 1–7 | **Принять после двух правок**: стенд работает и честно ловит дефекты, но под Windows не запускается, а ID моего аудита не сопоставлены — файлы аудита до Grok не дошли |
|
||||
|
||||
## Antigravity
|
||||
|
||||
**Что проверено вживую** ([evidence/acceptance-antigravity-live-sync.txt](evidence/acceptance-antigravity-live-sync.txt)):
|
||||
|
||||
- **S1 закрыт.** Устройство отправляет смену `status: confirmed, worked_minutes: 2880`. Ответ: `rejected / COMMAND_NOT_SUPPORTED`, смена не создана, расчёт по ней начисляет 0 ₽. До исправления было 14 400 ₽.
|
||||
- **Сценарии Grok на этой ветке.** SYNC-A и SYNC-B (устройство не может подтвердить смену и утвердить табель) стали зелёными ([evidence/acceptance-grok-sync-with-antigravity.txt](evidence/acceptance-grok-sync-with-antigravity.txt)).
|
||||
- **Штатные проверки.** lint, typecheck, сборка, миграции и контракты проходят; 188 тестов пройдено. `format:check` красный только по чужим старым файлам, файлы Antigravity отформатированы.
|
||||
|
||||
**Что не так:**
|
||||
|
||||
1. **Новый тест на реальной базе падает.** В очистке `tests/integration/sync-rejection.test.ts:69-74` запись удаляется ролью приложения, а у неё нет права DELETE на `staff_timesheet_entries` и `staff_employees`. Это тот же дефект, что N5. Проверка внутри теста проходит, но сам файл красный — значит, на живой базе тест не запускался. Исправление: очистка ролью мигратора, как Grok сделал для N5.
|
||||
2. **Сделана только часть 0.** Не начаты: синхронизация S2–S9 (S2 и S9 проверил на этой ветке — оба по-прежнему воспроизводятся), SSRF через push (K12), оповещения процесса подтверждения, публикатор outbox.
|
||||
3. **Сообщение коммита — один абзац в строке заголовка.** Нужны короткий заголовок и причина в теле (AGENTS.md).
|
||||
4. **После влития нужно синхронизироваться с Grok.** SYNC-A и SYNC-B надо убрать из `tests/e2e/known-defects.json` — иначе CI упадёт с «дефект исправлен, обновите список». Это зона Grok.
|
||||
|
||||
## Grok
|
||||
|
||||
**Что проверено** ([evidence/acceptance-grok-e2e.txt](evidence/acceptance-grok-e2e.txt)):
|
||||
|
||||
- **Зона соблюдена.** Изменены только `tests/e2e/**`, `tests/integration/tenant-isolation.test.ts`, `.forgejo/workflows/ci.yml` и `scripts/test/**`. Продукт не тронут.
|
||||
- **Коммиты оформлены правильно.** 12 маленьких коммитов, у каждого в теле объяснена причина.
|
||||
- **Стенд работает.** Прогон на моей PostgreSQL дал **38 красных и 9 зелёных** — ровно как в его отчёте. Красные совпадают с моими находками: N1, N2, N3, N4, N9, N10, N11, N12, F2, F3, F4, F7, F10, решения владельца OWN-01…11, синхронизация, пилотный compose.
|
||||
- **Логика «известных дефектов» верная.** Известный красный сценарий не роняет CI. Исправленный дефект, который остался в списке, роняет CI. Незнакомый красный сценарий тоже роняет CI. Так исправление не пройдёт незамеченным, и регрессия тоже.
|
||||
- **Новая находка, которой не было у меня (SYNC-C0).** Начальная загрузка данных на устройство на реальной базе всегда отвечает 500: `column "status" does not exist`. Офлайн-синхронизация фактически не работает на приём данных. Это задача для Antigravity.
|
||||
|
||||
**Что не так:**
|
||||
|
||||
1. **Под Windows стенд не запускается**, а проект разрабатывается под Windows:
|
||||
- `scripts/test/run-e2e.mjs:35` — `spawn('npx')`;
|
||||
- `tests/e2e/harness/global-setup.ts:67` и `scripts/test/n13-race.mjs:102` — `spawn(node_modules/.bin/tsx)`.
|
||||
|
||||
Всё это даёт `ENOENT`, потому что в Windows это `.cmd`. Исправление: `spawn(process.execPath, [<путь к tsx/dist/cli.mjs>, …])` и то же для vitest. С такой локальной правкой я и проводил прогон.
|
||||
|
||||
2. **ID моего аудита не сопоставлены.** Файлы `AUDIT.md` и `evidence` до Grok не дошли. Он это честно отметил: K1, K3–K6, K10–K12, S1, S2, S9 и A4 помечены «не проверено». Сценарии фактически покрывают те же дефекты под его номерами, нужно только переименовать теги.
|
||||
3. **PR не создан**: у Grok нет токена Forgejo. Описание лежит в `tests/e2e/REPORT.md`. Также `tests/e2e/evidence/` коммитится в репозиторий и будет меняться при каждом прогоне — лучше хранить это как артефакт CI.
|
||||
|
||||
## Что делать дальше
|
||||
|
||||
1. **Влить Grok первым** (только тесты и CI) — после исправления запуска под Windows.
|
||||
2. **Влить Antigravity** — после исправления очистки в тесте. В том же PR или сразу после Grok убирает SYNC-A и SYNC-B из списка известных дефектов.
|
||||
3. **Antigravity продолжает** части 1–4 задания, плюс SYNC-C0 (загрузка на устройство падает на реальной базе).
|
||||
4. **Grok сопоставляет ID** с моим аудитом, когда получит файлы.
|
||||
5. **Codex.** В репозитории уже есть ветки `codex/fix-format-baseline` и `codex/fix-live-database` (этапы 0 и 1). Их можно принимать следующими.
|
||||
|
||||
Стенды удалены, база остановлена. В этой приёмке ничего не влито и не запушено.
|
||||
|
|
@ -1,126 +0,0 @@
|
|||
# Приёмка №2: Grok, Codex, Antigravity — 2026-09-26
|
||||
|
||||
Проверка независимая, на живой PostgreSQL 17.10, в отдельных рабочих копиях. Ветки исполнителей не менялись. Основная ветка — `f5ac179`.
|
||||
|
||||
## Итог
|
||||
|
||||
| Исполнитель | Ветка | Вердикт |
|
||||
| ----------- | --------------------------------------------------- | --------------------------------------------------------------------------------------------------------- |
|
||||
| Grok | `grok/e2e-harness` @ `ba59a48` | **Принять и влить первым.** Всё из TASK-GROK-2 сделано и подтверждено |
|
||||
| Codex | `codex/fix-live-database` @ `b289dd6` | **K3 и K4 исправлены** (подтверждено мной и Grok). Влить после пересборки ветки форматирования |
|
||||
| Codex | `codex/fix-format-baseline` @ `fd1ec3d` | **Переделать:** в коммит форматирования попало функциональное изменение Antigravity |
|
||||
| Antigravity | `antigravity/fix-reject-device-shifts` @ `1df2019` | **Не принимать пока:** S1 исправлен, но интеграционный тест на реальной базе по-прежнему красный |
|
||||
| Antigravity | `antigravity/fix-sync-c0-bootstrap` @ `8baad55` | **SYNC-C0 исправлен**, но тест падает в `afterAll`, и ветка конфликтует с предыдущей. См. дополнение ниже |
|
||||
| Codex | `codex/fix-format-baseline` @ `513cdff` (перезалив) | **По-прежнему переделать:** синхронизация Antigravity осталась в коммите. См. дополнение ниже |
|
||||
|
||||
## Grok — принято
|
||||
|
||||
Проверено мной:
|
||||
|
||||
- **Windows.** `node scripts/test/run-e2e.mjs` запускается на Windows 11 **без правок**: 54 сценария, 45 красных (все — известные дефекты), 9 зелёных, проверка списка известных дефектов проходит. После прогона рабочая копия чистая — прогонные файлы в git больше не попадают.
|
||||
- **Сопоставление ID.** Сделано по таблице аудита: сценарии называются двойными ID вида `K3/N2`, ключи `known-defects.json` переименованы так же.
|
||||
- **Недостающие сценарии добавлены:** K6, K7, K8, K9, S9, A4, N12-DATE. Все красные, как и должно быть. K7 уже показывает потерю денег при импорте: итог 22 200 вместо 33 300 и 37 700.
|
||||
- **Приёмка веток исполнителей подтверждена.** На ветке Codex `codex/fix-live-database` я сам прогнал стенд Grok и получил 41 красный и 13 зелёных — ровно как в его отчёте. Позеленели K3/N2, K4/N1, K13/SYNC-A, K13/SYNC-B.
|
||||
- **Зона не нарушена**, все коммиты с объяснением причины.
|
||||
|
||||
Замечания на следующий круг:
|
||||
|
||||
- Windows-раннера нет, поэтому задача `windows` в CI выключена переменной. Это честно отмечено в отчёте.
|
||||
- В приёмке веток запускались только сценарии `tests/e2e`, а интеграционные тесты самих исполнителей — нет. Из-за этого не пойман красный тест Antigravity (см. ниже).
|
||||
|
||||
## Codex
|
||||
|
||||
**`codex/fix-live-database`: K3 и K4 исправлены.**
|
||||
|
||||
- Подтверждение смены, расчёт и утверждение работают на реальной базе; создание сотрудника отвечает 201.
|
||||
- Цепочка расчёта теперь доходит до денежных дефектов, и они подтверждаются по существу:
|
||||
- K5 — одна смена начисляется дважды: 196 800 вместо 98 400;
|
||||
- K6 — после отклонения оплаченной смены нет сторно.
|
||||
|
||||
Это следующий этап задания (этап 3), а не ошибка ветки.
|
||||
|
||||
- Остаток A4: `month=2026-13` по-прежнему отвечает 500 и возвращает код PostgreSQL.
|
||||
|
||||
**`codex/fix-format-baseline`: переделать.** Grok установил, что «стилевой» коммит `fd1ec3d` содержит функциональное изменение: после нормализации форматирования `src/domain/sync/service.ts` совпадает с исправлением Antigravity, а `tests/unit/sync.test.ts` — тоже. Два нарушения AGENTS.md сразу:
|
||||
|
||||
- смешение тем — поведение спрятано в коммите форматирования;
|
||||
- правка чужой зоны: синхронизация принадлежит Antigravity.
|
||||
|
||||
Если влить обе ветки, изменение Antigravity придёт дважды, и одна из веток получит конфликт. Нужно пересобрать коммит форматирования **без** изменений в `src/domain/sync/**` и `tests/unit/sync.test.ts`. Исправление S1 должно прийти только из ветки Antigravity.
|
||||
|
||||
## Antigravity
|
||||
|
||||
**`antigravity/fix-reject-device-shifts` @ `1df2019`.**
|
||||
|
||||
- S1 исправлен: у Grok SYNC-A и SYNC-B зелёные.
|
||||
- Сообщение коммита приведено к формату: короткий заголовок, причина в теле.
|
||||
- Очистка теста переведена на роль мигратора.
|
||||
|
||||
**Но тест по-прежнему красный на реальной базе.** Теперь он падает раньше, на подготовке данных: `column "created_by" of relation "staff_employees" does not exist` (`tests/integration/sync-rejection.test.ts:81`). Оба теста файла пропускаются, файл целиком — FAIL. Значит, на настоящей базе тест снова не запускали. Пункт 1 задания не закрыт.
|
||||
|
||||
Как проверить у себя до пуша:
|
||||
|
||||
```text
|
||||
DATABASE_TEST_URL=<роль приложения> DATABASE_MIGRATION_URL=<мигратор> npx vitest run tests/integration/sync-rejection.test.ts
|
||||
```
|
||||
|
||||
Готово, когда: `Tests 2 passed`.
|
||||
|
||||
## Порядок влития
|
||||
|
||||
1. `grok/e2e-harness` — влить сейчас: только тесты и CI.
|
||||
2. Codex пересобирает `codex/fix-format-baseline` без синхронизации, затем вливаются форматирование и `codex/fix-live-database`. Grok отдельным коммитом убирает K3/N2 и K4/N1 из `known-defects.json`.
|
||||
3. Antigravity чинит тест, затем вливается его ветка. Grok убирает K13/SYNC-A и K13/SYNC-B.
|
||||
|
||||
## Новое: задача по пилоту от сессии платформы
|
||||
|
||||
Сессия «БП» по просьбе владельца и в режиме только чтения выяснила два факта.
|
||||
|
||||
1. Пилот на 192.168.1.81 пишет все данные под арендатором-заглушкой `01J00000000000000000000000`. Настоящий арендатор владельца в платформе — `01M2R6AC5652NPT3MG34DKN4ZP` («Сушигедза»).
|
||||
2. Скрипта сопоставления standalone → platform, обещанного в `docs/PLATFORM-INTEGRATION.md`, нет.
|
||||
|
||||
В репозитории я подтвердил:
|
||||
|
||||
- заглушку записывает сам `deploy/pilot/setup.sh:20`;
|
||||
- она же стоит значением по умолчанию в `compose.yaml:16` и в `.env.example:14`;
|
||||
- в `scripts/` скрипта сопоставления нет.
|
||||
|
||||
Задание — [TASK-CODEX-2.md](TASK-CODEX-2.md).
|
||||
|
||||
Договор идентичности с платформой (модуль ждёт JWT, платформа шлёт неподписанные заголовки) исправляется на стороне платформы: пункты А-5, С-6, С-7 её плана. Этим занимается сессия «БП». Модулю — не менять `PlatformIdentityAdapter` под неподписанные заголовки.
|
||||
|
||||
## Дополнение: перезаливы после первой версии приёмки
|
||||
|
||||
**`antigravity/fix-sync-c0-bootstrap` @ `8baad55`** (от `f5ac179`).
|
||||
|
||||
- Статус точки при начальной загрузке теперь вычисляется из `is_active` и `deleted_at`. На стенде Grok SYNC-C0 зелёный, итог стенда — 44 красных, 10 зелёных.
|
||||
- `tests/integration/sync-bootstrap.test.ts` на реальной базе: `Tests 2 passed`, но файл FAIL. Пул закрывается дважды: `app.close()` уже закрывает его через хук `onClose` (`src/app.ts:148`), а тест в `afterAll` (строка 96) закрывает его снова — `Called end on pool more than once`.
|
||||
- Конфликтует с `antigravity/fix-reject-device-shifts` в `src/domain/sync/service.ts`: обе ветки созданы от одной основы.
|
||||
|
||||
**`codex/fix-format-baseline` @ `513cdff`** (перезалив от `f5ac179`).
|
||||
|
||||
- Я нормализовал prettier'ом версии из основы, из ветки Codex и из ветки Antigravity. `src/domain/sync/service.ts` и `tests/unit/sync.test.ts` у Codex **построчно совпадают** с веткой Antigravity и отличаются от основы на 255 и 139 строк. Исправление S1 по-прежнему в коммите форматирования. Пункт 1 TASK-CODEX-2 не выполнен.
|
||||
- `codex/fix-live-database` перебазирован на него (`8e955b0`), поэтому тоже несёт эту копию.
|
||||
|
||||
**Конфликты между ветками** (`git merge-tree`):
|
||||
|
||||
| Пара | Результат |
|
||||
| ------------------------ | ----------------------------------------------------- |
|
||||
| AG reject + AG c0 | конфликт |
|
||||
| Codex format + AG c0 | конфликт |
|
||||
| Codex format + AG reject | чисто — потому что в Codex лежит копия исправления AG |
|
||||
| Grok + AG c0 | чисто |
|
||||
|
||||
**Задания следующего круга:**
|
||||
|
||||
- [TASK-ANTIGRAVITY-3.md](TASK-ANTIGRAVITY-3.md) — починить оба теста, выстроить ветки в цепочку, отдельный коммит форматирования синхронизации, дальше S2–S9 и push;
|
||||
- [TASK-GROK-3.md](TASK-GROK-3.md) — приёмка с интеграционными тестами и проверкой конфликтов, проверка «форматирование без поведения», храповик после влития, сценарий переноса арендатора;
|
||||
- [TASK-CODEX-2.md](TASK-CODEX-2.md) — без изменений.
|
||||
|
||||
**Порядок влития, уточнённый:**
|
||||
|
||||
1. Grok.
|
||||
2. Цепочка Antigravity: reject → c0.
|
||||
3. Codex: форматирование без синхронизации, затем `fix-live-database`.
|
||||
|
||||
Цепочка Antigravity идёт раньше Codex, потому что после пересборки форматирования у Codex не останется пересечений с синхронизацией.
|
||||
|
|
@ -1,70 +0,0 @@
|
|||
# Приёмка №3 — 2026-09-26
|
||||
|
||||
Проверка независимая, на живой PostgreSQL 17.10, в отдельной рабочей копии. Ветки исполнителей не менялись. Основная ветка — `b0243d5`.
|
||||
|
||||
## Codex
|
||||
|
||||
| Ветка | Коммит | Вердикт |
|
||||
| --------------------------- | --------- | --------------------------------------------------------------------------------------- |
|
||||
| `codex/fix-format-baseline` | `a05777c` | **Принято.** Пункт 1 TASK-CODEX-2 выполнен |
|
||||
| `codex/fix-live-database` | `1573860` | **Принято.** K3/N2 и K4/N1 по-прежнему зелёные |
|
||||
| `codex/fix-tenant-config` | `535052e` | **Почти:** пункт 2.1 сделан правильно, но `npm run check` на ветке красный. Одна строка |
|
||||
|
||||
### Форматирование — пункт 1 закрыт
|
||||
|
||||
Перепроверил тем же способом, что и в прошлый раз: взял каждый из 19 изменённых файлов в версии из основы, прогнал prettier и сравнил с версией из ветки. **Ни один файл не отличается после нормализации** — в коммите только стиль. Синхронизация из него убрана.
|
||||
|
||||
`codex/fix-live-database` перебазирован на новое форматирование. Стенд Grok поверх ветки: K3/N2 и K4/N1 зелёные, стенд падает только сообщением «дефект исправлен, обновите known-defects.json» — это правильное поведение храповика, а не ошибка ветки.
|
||||
|
||||
### Пункт 2.1 — заглушка больше не вернётся
|
||||
|
||||
Сделано по всем четырём местам:
|
||||
|
||||
| Где | Как |
|
||||
| ----------------------- | ------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| `deploy/pilot/setup.sh` | `validate_tenant()`: требует переменную, проверяет ULID, отдельно отказывает заглушке. Вызывается и при создании `.env`, и после его чтения |
|
||||
| `compose.yaml` | `${STANDALONE_TENANT_ID:?…}` |
|
||||
| `.env.example` | пусто, с комментарием откуда брать |
|
||||
| `src/config.ts` | заглушка отклоняется, кроме `development` на loopback |
|
||||
|
||||
### Что мешает влить `codex/fix-tenant-config`
|
||||
|
||||
`npm run check` на ветке: **`Test Files 1 failed | 17 passed`**.
|
||||
|
||||
```text
|
||||
FAIL tests/unit/sync.test.ts
|
||||
Error: STANDALONE_TENANT_ID uses the development placeholder, which is allowed only in development on loopback
|
||||
```
|
||||
|
||||
`tests/unit/sync.test.ts:553` берёт `STANDALONE_TENANT_ID = '01J00000000000000000000000'` с `NODE_ENV: 'test'`. Новая проверка это запрещает. Четыре теста под заглушку ты поправил, а этот — в зоне Antigravity, поэтому и не поправил. Правильно, что не полез.
|
||||
|
||||
**Как закрыть, не трогая чужую зону:** разрешить заглушку и при `NODE_ENV === 'test'`. Инвариант защищает развёртывание, а `NODE_ENV=test` пилот никогда не обслуживает — на пилоте стоит `production`, в `compose.yaml` заглушка уже невозможна. Тест в `tests/unit/config.test.ts`, который сейчас требует отказа в test-режиме, соответственно поменять: пусть проверяет отказ в `production` и в `development` на не-loopback.
|
||||
|
||||
**Готово, когда** `npm run check` на ветке даёт `Test Files 19 passed` (или 18 passed | 1 skipped, как на основе).
|
||||
|
||||
### Осталось по TASK-CODEX-2
|
||||
|
||||
- Пункт 2.2 — `scripts/rehome-tenant.mjs` нет. Grok уже подготовил сценарии `PILOT-REHOME` и `PILOT-REHOME-SEED` и описал ожидаемый интерфейс в `tests/e2e/NOTES-FOR-EXECUTORS.md`: `DATABASE_ADMIN_URL=… node scripts/rehome-tenant.mjs --from … --to … [--dry-run] [--json]`. Держись этого интерфейса — тогда сценарий позеленеет сам.
|
||||
- Пункт 2.3 — скрипта сопоставления `core_user_id` нет.
|
||||
- Перед пунктом 2.2 — резервная копия K18 и проверка восстановления.
|
||||
|
||||
## Слияния — всё чисто
|
||||
|
||||
| Пара | Результат |
|
||||
| ----------------------------------------- | --------- |
|
||||
| Codex format + AG c0 | чисто |
|
||||
| Codex live-database + AG c0 | чисто |
|
||||
| Codex tenant-config + Codex live-database | чисто |
|
||||
| Codex tenant-config + Grok | чисто |
|
||||
| Grok + Codex live-database | чисто |
|
||||
|
||||
Antigravity выстроил свои ветки в цепочку: `fix-reject-device-shifts` → `fix-sync-c0-bootstrap`. Конфликта больше нет.
|
||||
|
||||
## Порядок влития
|
||||
|
||||
1. `grok/e2e-harness`.
|
||||
2. Цепочка Antigravity: `fix-reject-device-shifts` → `fix-sync-c0-bootstrap`.
|
||||
3. Codex: `fix-format-baseline` → `fix-live-database` → `fix-tenant-config` (после исправления теста).
|
||||
4. Grok — коммит в `known-defects.json`: убрать K3/N2, K4/N1, K13/SYNC-A, K13/SYNC-B, SYNC-C0.
|
||||
|
||||
Разделы по Grok и Antigravity добавляются в этот файл после их проверки.
|
||||
|
|
@ -1,213 +0,0 @@
|
|||
# Полный аудит krona-staff — 2026-09-26
|
||||
|
||||
- Аудитор: Claude (Opus 5.5), режим только чтения: код, ветки и удалённый репозиторий не менялись
|
||||
- Проверено: основная ветка `codex/bootstrap-platform-foundation` на коммите `3e20544` (2026-09-26 12:31 +07, версия 0.3.2) и ветки `antigravity/offline-sync-backend` (`5ee7517`, офлайн-синхронизация) и `codex/frontend-library` (`1812870`, оформление портала)
|
||||
- Действует для: `778ba2d` — текущая основная ветка, в которую обе ветки влиты без изменения проверенного кода
|
||||
- Сверка: аудит Grok на том же коммите `3e20544` (14 старых и 14 новых находок) — каждая перепроверена заново
|
||||
- Доказательства: папка [evidence](evidence) — сценарии живой проверки и их вывод
|
||||
|
||||
> Во время проверки обе ветки были влиты в основную (`3595792`), плюс косметический коммит `778ba2d`. Код синхронизации совпадает с проверенным `5ee7517`, поэтому находки S1–S9 относятся к основной ветке, а S1 (устройство создаёт подтверждённые смены, и они попадают в зарплату) — действующий дефект.
|
||||
|
||||
## 1. Итог в трёх строках
|
||||
|
||||
1. **Выпускать нельзя.** На настоящей PostgreSQL главная цепочка «подтвердить смену → рассчитать → утвердить» не работает (500), а создать сотрудника через API невозможно.
|
||||
2. **Деньги считаются неверно даже там, где работает.** Одна смена может быть оплачена трижды, утверждённую смену можно отклонить задним числом без сторно, импорт из Excel теряет суммы, а устройство офлайн-синхронизации может само создать «подтверждённую» смену на 48 часов.
|
||||
3. **Терминал пока не отправляет отметки на сервер.** Сотрудники на терминале получают свои идентификаторы, сервер их не знает и отвечает 404; связь служба ↔ интерфейс не работает из-за разных имён канала.
|
||||
|
||||
## 2. Что реально запускалось
|
||||
|
||||
| Проверка | Результат |
|
||||
| ------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| `npm ci`, lint, typecheck, build, check:migrations, check:contracts | пройдено |
|
||||
| `format:check` | не пройдено — 16 файлов ([evidence/format-check.txt](evidence/format-check.txt)) |
|
||||
| vitest без базы | 156 пройдено, 1 пропущен |
|
||||
| vitest на живой PostgreSQL 17.10 (роль приложения) | тест изоляции арендаторов падает при очистке: `permission denied for table staff_employees` |
|
||||
| Миграции 0001–0010 мигратором **без** SUPERUSER: вверх, откат 10 шагов, вверх, повтор | пройдено |
|
||||
| Миграции ветки синхронизации 0001–0011, откат 0011 и повтор | пройдено |
|
||||
| `scripts/create-app-role.mjs` мигратором без SUPERUSER | ошибка `permission denied to alter role` |
|
||||
| RLS на живой базе | 23 из 23 таблиц с `tenant_id`: ENABLE + FORCE + политика; роль приложения без SUPERUSER, BYPASSRLS, CREATEROLE; журналы только на чтение и вставку |
|
||||
| Живой API: сервер на реальной базе, реальные HTTP-запросы | 19 сценариев, см. раздел 4 |
|
||||
| `npm audit` (всё и production) | 0 уязвимостей |
|
||||
| .NET: сборка службы Release, тесты терминала | сборка без ошибок; тесты 43 из 43 |
|
||||
| Named pipe службы | проверено запуском отдельного тестового проекта |
|
||||
| Не проверено | Docker и compose (нет на машине), WinUI-интерфейс вживую, DPAPI и ACL на отдельной Windows-машине, Snyk, реальные push-сервисы |
|
||||
|
||||
Стенд: Windows 11, Node 24, PostgreSQL 17.10 (встроенная сборка), .NET 10 SDK. База аудита создавалась в UTF-8; первая попытка в WIN1251 дала ложную ошибку кодировки, её результаты отброшены.
|
||||
|
||||
## 3. Сводка
|
||||
|
||||
| Уровень | Открыто | Из них подтверждено вживую |
|
||||
| ------- | ------- | -------------------------- |
|
||||
| P0 | 2 | 1 |
|
||||
| P1 | 17 | 10 |
|
||||
| P2 | 32 | 6 |
|
||||
| P3 | 31 | 3 |
|
||||
|
||||
Сверка с Grok: из его 28 находок 22 подтверждены, 4 подтверждены частично (F8, F11, N7, N10), 1 исправлена (F5), 1 не воспроизведена (N13). Сверх Grok — 57 новых замечаний, главное — в денежной логике, терминале, эксплуатации и офлайн-синхронизации.
|
||||
|
||||
## 4. Подтверждено на живом сервере
|
||||
|
||||
| ID | Что проверено | Результат |
|
||||
| --- | ----------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------- |
|
||||
| F2 | Сервер без токенов, `STANDALONE_ACCESS=manager`, запросы без авторизации | `GET /portal` 200, `GET /payroll` 200, `GET /finance` 200, **запись** `POST /professions` 201 |
|
||||
| F2 | То же при `STANDALONE_ACCESS=employee` (значение по умолчанию в compose) | `GET /portal` 200, `GET /payroll` 200 анонимно |
|
||||
| F3 | Вход менеджером, выход, повтор старой cookie | cookie содержит сам токен менеджера; после `DELETE /session` старая cookie даёт `GET /portal` 200 |
|
||||
| F4 | 60 неверных входов подряд | 60 × 401, ни одного 429 |
|
||||
| N1 | `POST /employees` | 500, `42P08 inconsistent types deduced for parameter $2` |
|
||||
| N2 | Подтверждение смены, расчёт | оба 500, `23502 null value in column "occurred_at" of relation "staff_outbox"` |
|
||||
| N4 | Одна смена 8 ч × 300 ₽, три пересекающихся расчёта с утверждением | 3 начисления в реестре, **7 200 ₽ вместо 2 400 ₽** |
|
||||
| D5 | Отклонение смены, уже оплаченной по утверждённой ведомости | 200, сторно не создано, начисления остались |
|
||||
| N12 | Ставка `rate_minor = 1e20` с лишним полем | принято, 200 |
|
||||
| — | Расчёт за `month = 2026-13` | 500 |
|
||||
| N3 | Сотрудник подписывает push на `https://127.0.0.1:18443`, затем отметка на терминале | сервер открыл соединение на внутренний адрес и отправил TLS ClientHello |
|
||||
| N9 | Сотрудник Б регистрирует endpoint сотрудника А | 201, подписка перешла к Б |
|
||||
| A4 | Ошибки 500 | наружу уходят код и текст ошибки PostgreSQL |
|
||||
| N10 | Токен терминала | `GET /professions` 200 со всем справочником; `GET /org-units` отдаёт пустой список — эта часть находки Grok не подтвердилась |
|
||||
| N13 | Два одновременных первых расчёта периода | **не воспроизведено**: обе заявки получили один расчёт |
|
||||
| S1 | Устройство синхронизации отправляет смену `status: confirmed, worked_minutes: 2880` | смена сохранена подтверждённой, подтвердил «никто», журнал аудита пуст; расчёт начислил **14 400 ₽** |
|
||||
| S2 | Устройство отправляет отметку с `occurred_at = 2020-01-01` | сохранена |
|
||||
| S9 | Удаление точки, к которой привязано устройство синхронизации | ошибка `23502 null value in column "tenant_id"` — точку удалить нельзя |
|
||||
| — | Заголовки портала | CSP `script-src 'self'`, HSTS присутствуют |
|
||||
|
||||
Для N4, D5 и S1 в базе аудита временно задавалось значение по умолчанию для `staff_outbox.occurred_at` (иначе мешает N2); после сценария оно снималось.
|
||||
|
||||
## 5. P0 — блокируют любое использование вне стенда
|
||||
|
||||
**K1. Открытый режим без токенов (F2, подтверждено вживую).** Если токены менеджера и терминала не заданы, любой запрос без авторизации получает права `STANDALONE_ACCESS` (`src/adapters/identity.ts:32-49`, `src/config.ts:45-47`). Корневой `compose.yaml` публикует порт 8080 на всех интерфейсах по HTTP и токенов не задаёт; в пилотном compose переменные подставляются без `:?`, поэтому пустая строка в `.env` молча открывает сервис.
|
||||
|
||||
**K2. Production-режим недостижим, пилот работает как development (F1).** Адаптер платформенного JWT — заглушка (`identity.ts:60-66`), standalone в production запрещён. Поэтому оба compose ставят `NODE_ENV=development` (`compose.yaml:5`, `deploy/pilot/compose.yaml:8`) — это обходит проверки «standalone запрещён» и «HTTPS обязателен» на пилоте с реальными ФИО и зарплатами.
|
||||
|
||||
## 6. P1 — денежная логика и работоспособность
|
||||
|
||||
| ID | Суть | Где | Подтверждение |
|
||||
| --------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------ | ---------------------------------- |
|
||||
| K3 (N2) | Вставки в outbox без `occurred_at`: подтверждение смены, расчёт и утверждение всегда 500 | `src/portal.ts:1145-1163`, `src/domain/payroll/service.ts:770-784`, `917-935` | вживую |
|
||||
| K4 (N1) | `POST /employees` всегда 500 из-за типа параметра `$2` | `src/portal.ts:465-483` | вживую |
|
||||
| K5 (N4) | Пересекающиеся и «точка / все точки» расчёты начисляют смену повторно; при пересчёте не обновляется `period_end` | `service.ts:425-454`, `759-768`, `860-903`; индексы `0006:196-199` | вживую, 7 200 ₽ за 2 400 ₽ |
|
||||
| K6 (D5) | Смены и строки утверждённой ведомости можно менять; у роли приложения есть DELETE на строки и UPDATE на ведомости, неизменяемость держится только кодом | `portal.ts:1024-1106`, `0006:296-300` | вживую |
|
||||
| K7 (D2) | Импорт начислений и выплат теряет деньги: дельта считается по всем записям дня, а вставка по конкретному ключу | `src/operations.ts:1017-1052`, `scripts/import-owner-workbook.py:147,168,176` | по коду |
|
||||
| K8 (D1) | Версии правил фиктивны: v1 изменяемая, даты действия не учитываются, условия точки не читаются, в строке ведомости нет дерева правила и ревизии смены — утверждённый расчёт нельзя воспроизвести | `service.ts:152-180`, `517-529`, `686-695` | по коду |
|
||||
| K9 (D3) | Параметры пресетов кроме ставки, процента и гарантии не сохраняются, метрики кроме выручки и позиции не загружаются: официант по пресету получает 0 ₽, премия за порог выручки — 0 ₽ | `service.ts:295-299`, `488-500`; `src/portal-ui.ts:273-275` | по коду |
|
||||
| K10 (F3) | В cookie лежит сам токен, выход не отзывает сессию; токен сотрудника бессрочный | `portal.ts:262-276` | вживую |
|
||||
| K11 (F4, A2) | Нет ограничения частоты; каждый неверный токен открывает транзакцию в БД при пуле 10 соединений — отказ в обслуживании | `portal.ts:1276-1296`, `src/infrastructure/database.ts:9` | вживую (F4) |
|
||||
| K12 (N3) | SSRF через push-подписку: разрешён любой `https://`, редиректы следуются, фрагмент ответа сохраняется | `src/domain/notification/push-dispatcher.ts:80`, `web-push.ts:226-258` | вживую |
|
||||
| K13 (S1) | Офлайн-синхронизация: устройство создаёт и перезаписывает подтверждённые смены и строки табеля | `src/domain/sync/service.ts:784-990` | вживую, 14 400 ₽ |
|
||||
| K14 (T4) | Отметки терминала не доходят до сервера: локальные ULID сотрудников сервер не знает (404), повтор каждые 15 с бесконечно; контракт в `docs/TERMINAL-API-REQUIREMENTS.md` расходится с кодом | `apps/KronaStaffTerminal/MainPage.xaml.cs:479-492`, `TerminalModels.cs:157` | по коду + ответ сервера 404 |
|
||||
| K15 (T1) | Служба создаёт pipe `\\.\pipe\global\KronaStaffTerminalPipe`, интерфейс подключается к `\\.\pipe\KronaStaffTerminalPipe`: IPC не работает, свободное имя может занять любой процесс и получать отметки с ФИО | `apps/KronaStaffTerminal/Services/TerminalIpc.cs:84`, `:236` | проверено запуском |
|
||||
| K16 (T2) | Служба от LocalSystem выдаёт операторам полный доступ к каталогу данных и сама ротирует там логи и меняет ACL — путь к правам SYSTEM через junction | `TerminalStore.cs:305-360`, `CrashLogService.cs:331-371`, `installer/KronaStaffTerminal.nsi:119` | по коду (механизм), PoC не делался |
|
||||
| K17 (T5) | Биометрия: нет письменного согласия (152-ФЗ ст. 11), шаблоны остаются в резервных копиях после удаления, уведомления в Telegram — трансграничная передача | `MainPage.xaml.cs:685-776`, `TerminalStore.cs:96-100, 376-384` | по коду |
|
||||
| K18 (D1 эксплуатации) | Нет резервного копирования пилотной базы с реальными ФИО, табелем и зарплатой; `BACKUP-RESTORE.md` — только шаблон | `docs/BACKUP-RESTORE.md`, `deploy/pilot/` | по коду |
|
||||
| K19 (D4 расчёта) | Утверждается устаревший расчёт: ревизии смен и выручки не сверяются, предупреждения «нет выручки», «нет профиля оплаты» не сохраняются, сотрудник без профиля выпадает из фонда и его долю делят остальные | `service.ts:632-641`, `840-903` | по коду |
|
||||
|
||||
## 7. P2
|
||||
|
||||
**Сервер и расчёт**
|
||||
|
||||
- N5 — тест изоляции арендаторов удаляет сотрудников ролью приложения, у которой нет DELETE: CI с базой красный (подтверждено). Маршрутные тесты работают на поддельной базе, поэтому N1 и N2 не ловятся.
|
||||
- N6 — `create-app-role.mjs` требует мигратора-суперпользователя (подтверждено).
|
||||
- N7 — импорт-скрипт отключает проверку TLS при `--allow-self-signed` и принимает токен в аргументах командной строки. **Уточнение к Grok:** ответа 400 на `/professions` не будет — Fastify по умолчанию молча отбрасывает лишние поля (`removeAdditional`), поэтому ответ 201, а задуманный код профессии теряется.
|
||||
- N12, D9 — нет верхних границ ставок и `additionalProperties:false` на назначении оплаты; `2026-13` и `2026-02-30` проходят шаблон и дают 500 (подтверждено).
|
||||
- F7 — `Idempotency-Key` и таблица ключей не используются, хотя ADR и контракт приложения их требуют.
|
||||
- F9 — healthcheck в Dockerfile по HTTP при HTTPS-only production.
|
||||
- F10, A6 — проверка Origin пропускает запросы без Origin и с любым `Authorization`; практическая эксплуатация закрыта `SameSite=Strict`, но должно быть fail-closed.
|
||||
- A3 — один общий токен терминала на все устройства, отметки до 180 дней назад.
|
||||
- A4 — ошибки 500 раскрывают текст PostgreSQL (подтверждено).
|
||||
- D6 — одна роль «менеджер» и считает, и утверждает, и выплачивает, без привязки к точке — разделения обязанностей нет.
|
||||
- D13 — `additionalProperties:false` в схемах на деле не отклоняет лишние поля, а молча их удаляет: опечатки клиентов не видны.
|
||||
- D7 — округление строк после деления фонда выплачивает на 1 ₽ больше фонда; вес фонда у правила без доли фонда теряет эту часть фонда.
|
||||
|
||||
**Уведомления и outbox**
|
||||
|
||||
- F6 — outbox пишется, но публикатора нет, `dispatchPending` не вызывается, строки в `pending` не повторяются никогда; отправка живёт в `setImmediate` и теряется при рестарте.
|
||||
- U1 — некорректные ключи подписки роняют цикл отправки остальным устройствам.
|
||||
- U2 — нет лимита подписок и таймаутов: одна отметка может породить тысячи запросов.
|
||||
- U3 — нет захвата строки при отправке: при двух экземплярах возможна двойная отправка.
|
||||
|
||||
**Офлайн-синхронизация**
|
||||
|
||||
- S2 — время отметки задаётся клиентом без ограничений (подтверждено: 2020 год принят).
|
||||
- S3 — гонки идемпотентности, потеря обновлений без проверки ревизии, одна плохая команда откатывает весь пакет из 100.
|
||||
- S4 — начальная синхронизация отдаёт устройству весь арендатор, включая уволенных и всю историю минут.
|
||||
- S5 — курсор теряет изменения за пределами первых 100 строк; изменения из портала устройство не видит.
|
||||
- S6 — отметки через синхронизацию не пишут outbox и принимаются для уволенных.
|
||||
- S9 — внешний ключ `ON DELETE SET NULL` на составном ключе ломает удаление точки (подтверждено).
|
||||
|
||||
**Терминал и служба**
|
||||
|
||||
- T3 — член группы операторов может расшифровать состояние: хеш PIN, токены сервера и ботов, токен обновлений, шаблоны отпечатков.
|
||||
- T6 — служба и интерфейс перезаписывают один файл без межпроцессной блокировки: теряются смена PIN, счётчик попыток, блокировки.
|
||||
- T7 — установщик не задаёт ACL на выбранный каталог установки; предсозданный пользователем каталог данных остаётся в его владении.
|
||||
- T8 — терминал запускается с правами администратора после установки и автообновления; через диалог экспорта можно получить оболочку.
|
||||
- T9 — проверка обновления сильная (HTTPS, SHA-256, Authenticode, закреплённый издатель), но файл проверяется в профиле пользователя и запускается позже (TOCTOU); на каждом терминале лежит токен чтения приватного репозитория.
|
||||
- T10 — служба от SYSTEM загружает `libzkfp.dll` по PATH, если драйвер не установлен.
|
||||
|
||||
**Эксплуатация**
|
||||
|
||||
- D3 — самоподписанный сертификат на IP: у сотрудников не заработают PWA и push; ключ лежит рядом с pfx незашифрованным; продление ломает пиннинг на всех терминалах.
|
||||
- D4 — обновление без тегированных образов и отката, без бэкапа перед миграцией, без `lock_timeout`.
|
||||
- D5 — скрипт настройки терминала пишет не туда, где терминал читает состояние после переноса в `%ProgramData%`.
|
||||
- D6 — `docker build` в CI внутри docker-раннера, down-миграции в CI не проверяются, пилотный compose тестами не покрыт.
|
||||
|
||||
## 8. P3 (кратко)
|
||||
|
||||
N8 эфемерные VAPID-ключи и кэш публичного ключа на сутки; N9 перепривязка чужого endpoint (подтверждено, но нужен секретный endpoint); N10 справочник профессий без проверки прав; N11 слабая валидация импорта; N13 гонка первого расчёта (не воспроизведена); N14 GET-запросы переписывают правило v1; F12 деньги в `number`; F13 плавающие теги в CI; F14 форматирование 16 файлов; A5 валидация и импорт до проверки прав, открытый `/openapi.json`; A7 новый токен сотрудника без `no-store`; A8 все менеджеры — один актор в аудите; A9 correlation id от клиента; U4 нет политики повторов и dead letter; U5 scope service worker не покрывает `/staff`; U6 выход не отзывает push-подписку; U7 FK без `tenant_id`; S7 очистка входящих не работает (передаётся не тот идентификатор); S8 CSRF и белый список scope устройств; W1 `/staff/*` отвечает 200 на любой путь; T11 DoS через IPC до проверки HMAC; T12 нет backoff в синхронизации терминала; T13 молчаливый откат службы к резервной копии, нет порога совпадения отпечатка; D8 документация расходится с кодом; D9 нет лимитов ресурсов контейнеров; D10 `.dockerignore` не исключает `deploy/pilot/.env` и секреты; D11 миграции из build-стадии от root; D12 smoke-тест ничего не проверяет и пишет в боевую базу; D14 нет редактирования PII в логах; D15 дефолты корневого compose; D16 коммиты без тела и смешанные по темам, 67 файлов bin/obj в истории.
|
||||
|
||||
## 9. Сверка с аудитом Grok
|
||||
|
||||
| ID Grok | Вердикт | Комментарий |
|
||||
| ---------------------- | ---------------------------------------------------------- | ------------------------------------------------------------------------------- |
|
||||
| F1, F2, F3, F4 | подтверждено | F2–F4 вживую; к F1 добавлено: пилот обходит запрет через `NODE_ENV=development` |
|
||||
| F5 | исправлено | неизвестный сотрудник → 404 |
|
||||
| F6 | подтверждено, серьёзнее | строки `pending` не повторяются никогда |
|
||||
| F7, F9, F12, F13, F14 | подтверждено | F13: `ajv allErrors` в проверке контрактов вектором не является |
|
||||
| F8 | исправлено по форме, остаток P1 | ACL и HMAC есть, но имена pipe не совпадают (K15) |
|
||||
| F10 | подтверждено, практически закрыто cookie `SameSite=Strict` | |
|
||||
| F11 | API есть, но неработоспособно на реальной базе (K3) | |
|
||||
| N1, N2, N3, N4, N5, N6 | подтверждено вживую | |
|
||||
| N7 | частично | TLS и токен в argv — да; ответ 400 — нет (поля молча отбрасываются) |
|
||||
| N8, N11, N12, N14 | подтверждено | |
|
||||
| N9 | подтверждено вживую | эксплуатация требует знать секретный endpoint |
|
||||
| N10 | частично | `/professions` — да; `/org-units` для не-менеджеров отфильтрован |
|
||||
| N13 | не воспроизведено вживую | по коду возможно, оставлено P3 |
|
||||
|
||||
Чего в аудите Grok нет: денежные дефекты K6–K9 и K19, терминал K14–K17, отсутствие бэкапа, пилот в режиме development, ветка синхронизации целиком (она появилась после его аудита).
|
||||
|
||||
## 10. Что сделано хорошо
|
||||
|
||||
- Изоляция арендаторов: RLS с FORCE на всех 23 таблицах, составные внешние ключи, `set_config(..., true)` в транзакции, арендатор никогда не берётся из запроса.
|
||||
- Роли базы: приложение без SUPERUSER и BYPASSRLS, журналы начислений и аудита — только чтение и вставка на уровне прав.
|
||||
- Миграции: SHA-256, advisory lock, откат только последней и только явным флагом; работают мигратором без суперпользователя.
|
||||
- Токены: сравнение за постоянное время, 256 бит, в базе только хеш; cookie `__Host-`, HttpOnly, Secure, SameSite=Strict; CSP `script-src 'self'`, экранирование в портале.
|
||||
- Web-push: шифрование по RFC 8291/8188 и VAPID реализованы корректно, в уведомлениях нет персональных данных.
|
||||
- Калькулятор: чистая функция, распределение фонда методом наибольшего остатка, тесты на реальной таблице владельца.
|
||||
- Терминал: закрыты все прошлые находки по хранилищу и PIN (Argon2id, маркер первичной настройки в HKLM, отличие повреждения от временной ошибки), шаблоны отпечатков не уходят на сервер, автообновление проверяет подпись и издателя.
|
||||
- Контейнеры не от root, read-only, образы по digest; секретов в истории нет; UTF-8 без BOM и LF соблюдены.
|
||||
|
||||
## 11. Порядок исправлений
|
||||
|
||||
1. **Разблокировать работу на базе:** K3 (одна строка в трёх местах), K4 и сразу интеграционные тесты этих маршрутов на PostgreSQL в CI.
|
||||
2. **Закрыть открытый доступ и пилот:** K1, K2 (профиль `pilot` с обязательными токенами и HTTPS), K10, K11, бэкап K18.
|
||||
3. **Деньги:** K5, K6, K7, K8, K9, K19 — до первого боевого расчёта.
|
||||
4. **Синхронизация (уже в основной ветке):** сразу отключить приём смен и табеля от устройств и не регистрировать устройства в пилоте; затем закрыть K13, S2, S3, S9.
|
||||
5. **Уведомления:** K12, F6, U1–U3.
|
||||
6. **Терминал:** K14 (без этого отметки не попадают на сервер), K15, K16, K17.
|
||||
7. P2 и P3 по мере работы.
|
||||
|
||||
Распределение по исполнителям — в файлах [TASK-CODEX.md](TASK-CODEX.md), [TASK-ANTIGRAVITY.md](TASK-ANTIGRAVITY.md), [TASK-GROK.md](TASK-GROK.md).
|
||||
|
||||
## 12. Решения владельца (2026-09-26)
|
||||
|
||||
**Роли и точки (закрывает вопрос D6):**
|
||||
|
||||
- **бухгалтер** готовит расчёт и ведомость выплат и отправляет пакет на подтверждение;
|
||||
- **руководитель** получает оповещение, просматривает и подписывает пакет (или возвращает с комментарием); только его подпись регистрирует начисления и выплаты — руководитель проводит оплаты;
|
||||
- **управляющий** привязан к своим точкам и работает с ними; утверждать и выплачивать не может;
|
||||
- сотрудники и управляющие **могут работать на других точках**: привязка к основной точке сохраняется, но смена на другой точке допустима и относится к той точке, где отработана.
|
||||
|
||||
**Согласие на обработку биометрии (закрывает вопрос K17):** согласие обязательно; подтверждается в мобильном приложении сотрудника при авторизации.
|
||||
|
||||
Юридическая оговорка для исполнителя: 152-ФЗ требует для биометрии согласия в письменной форме. Электронное согласие равнозначно письменному, если подписано электронной подписью, в том числе простой, при наличии соглашения о её использовании (например, пункт трудового договора или локального акта). Текст согласия и такое соглашение готовит юрист.
|
||||
|
||||
## 13. Локальная ветка
|
||||
|
||||
Ветка `codex/payroll-foundation` удалена по решению владельца. Её незакоммиченные копии, уже влитые в основную ветку коммитом `3464998`, сохранены в `git stash` на случай сверки.
|
||||
|
|
@ -1,26 +0,0 @@
|
|||
# Аудит 2026-09-26 и задания исполнителям
|
||||
|
||||
Рабочая папка аудита: исполнители берут отсюда задания и отчитываются через git.
|
||||
|
||||
| Файл | Что это |
|
||||
| ---------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------- |
|
||||
| [AUDIT.md](AUDIT.md) | Полный аудит на живой PostgreSQL 17: находки P0–P3, сверка с аудитом Grok, решения владельца |
|
||||
| [ACCEPTANCE-1.md](ACCEPTANCE-1.md) | Приёмка первого круга работ Grok и Antigravity |
|
||||
| [TASK-CODEX.md](TASK-CODEX.md) | Codex: сервер, расчёт, база, пилот, терминал, роли, подтверждение и согласие — этапы 0–6 |
|
||||
| [ACCEPTANCE-2.md](ACCEPTANCE-2.md) | Приёмка второго круга: Grok принят, Codex и Antigravity — что доделать, порядок влития |
|
||||
| [ACCEPTANCE-3.md](ACCEPTANCE-3.md) | Приёмка третьего круга: Codex принят кроме одного красного теста, порядок влития |
|
||||
| [TASK-CODEX-2.md](TASK-CODEX-2.md) | Codex, **текущий круг**: форматирование без синхронизации, пилот на настоящего арендатора, сопоставление с платформой |
|
||||
| [TASK-ANTIGRAVITY-3.md](TASK-ANTIGRAVITY-3.md) | Antigravity, **текущий круг**: починить тесты, цепочка веток, дальше S2–S9 и push |
|
||||
| [TASK-GROK-3.md](TASK-GROK-3.md) | Grok, **текущий круг**: приёмка с интеграционными тестами и конфликтами, перенос арендатора |
|
||||
| [TASK-ANTIGRAVITY-2.md](TASK-ANTIGRAVITY-2.md) | Antigravity, круг 2: полный список S2–S9, push, оповещения, outbox — остаётся в силе |
|
||||
| [TASK-GROK-2.md](TASK-GROK-2.md), [TASK-ANTIGRAVITY.md](TASK-ANTIGRAVITY.md), [TASK-GROK.md](TASK-GROK.md) | Прошлые круги, для истории |
|
||||
| [evidence/](evidence) | Сценарии живой проверки и их фактический вывод |
|
||||
|
||||
## Как работать
|
||||
|
||||
- Каждый исполнитель работает в своих ветках и только в своей зоне файлов — зоны перечислены в задании.
|
||||
- Готовность пункта подтверждается зелёным сценарием стенда Grok (`node scripts/test/run-e2e.mjs`) на живой PostgreSQL, а не тестами на поддельной базе.
|
||||
- Отчёт о выполненном — в описании ветки или коммита: ID, коммит, какой сценарий стал зелёным.
|
||||
- Приёмку каждой ветки независимо проводит Grok; итоги — в файлах `ACCEPTANCE-N.md`.
|
||||
|
||||
Решения владельца (роли, точки, процесс подтверждения, согласие) — раздел 12 в [AUDIT.md](AUDIT.md) и раздел «Решения владельца» в [TASK-CODEX.md](TASK-CODEX.md).
|
||||
|
|
@ -1,116 +0,0 @@
|
|||
# Задание для Antigravity, круг 2: синхронизация, push, outbox
|
||||
|
||||
- Репозиторий: https://git.ochenstarik.ru/ochenstarik/krona-staff
|
||||
- Основа: текущая основная ветка `codex/bootstrap-platform-foundation` (`331e490`)
|
||||
- Задание самодостаточное; полный аудит и доказательства — в `docs/audit/2026-09-26/`.
|
||||
|
||||
## Итог приёмки прошлого круга
|
||||
|
||||
Ветку `antigravity/fix-reject-device-shifts` (`795bba0`) проверили на живой PostgreSQL 17.
|
||||
|
||||
**Что сработало:**
|
||||
|
||||
- Подделка смены с устройства закрыта. Смена `status: confirmed, worked_minutes: 2880` теперь получает `rejected / COMMAND_NOT_SUPPORTED`. Раньше она начисляла 14 400 ₽, теперь 0 ₽.
|
||||
- Сценарии Grok SYNC-A и SYNC-B на этой ветке зелёные.
|
||||
|
||||
**Что не так:**
|
||||
|
||||
1. `tests/integration/sync-rejection.test.ts:69-74` на реальной базе падает. Очистка идёт ролью приложения, а у неё нет права DELETE на `staff_timesheet_entries` и `staff_employees`. Проверка внутри теста проходит, но файл красный — значит, на живой базе тест не запускали.
|
||||
2. Сообщение коммита — один абзац в строке заголовка. Нужен короткий заголовок, а причина — в теле.
|
||||
3. Из задания сделана только немедленная мера. Остальные части не начаты.
|
||||
|
||||
## Как работать в этом круге
|
||||
|
||||
- **Ветки.** `antigravity/fix-<тема>` от `331e490`, по одной на каждый пункт ниже. Маленькие коммиты: заголовок до 72 символов, причина в теле (AGENTS.md).
|
||||
- **Проверка на живой базе обязательна.** В репозитории есть стенд Grok (ветка `grok/e2e-harness`, после влития — в основной):
|
||||
- `scripts/test/provision-pg.mjs` создаёт роли как в пилоте: мигратор без SUPERUSER, приложение без BYPASSRLS;
|
||||
- `node scripts/test/run-e2e.mjs` прогоняет сценарии на реальном сервере и реальной PostgreSQL 17.
|
||||
|
||||
Пункт считается сделанным, когда соответствующий сценарий стал зелёным. Номера сценариев указаны в таблицах.
|
||||
|
||||
- **Очистка в тестах** — ролью мигратора, как в `tests/integration/tenant-isolation.test.ts` после исправления Grok. Роли приложения удалять запрещено, так задумано.
|
||||
- **Список известных дефектов.** После каждого исправления сообщи Grok ID сценариев, которые стали зелёными, — он уберёт их из `tests/e2e/known-defects.json`. Сам этот файл не правь: иначе CI упадёт с «дефект исправлен, обновите список».
|
||||
- **Outbox.** Писать в `staff_outbox` только через общий хелпер, который делает Codex (ветка `codex/fix-live-database`). Во вставке обязательно поле `occurred_at` — без него подтверждение и расчёт падают.
|
||||
|
||||
**Твоя зона:**
|
||||
|
||||
- `src/sync.ts`, `src/domain/sync/**`, миграции синхронизации;
|
||||
- `src/domain/notification/**`, маршруты `/push/*`;
|
||||
- service worker и подписка в `src/portal-ui.ts`;
|
||||
- диспетчер и публикатор outbox.
|
||||
|
||||
**Не трогай:** авторизацию, сотрудников, смены, расчёт, терминал и развёртывание — это зона Codex; `tests/e2e/**` и CI — зона Grok.
|
||||
|
||||
## 1. Довести прошлую ветку (сегодня)
|
||||
|
||||
| Что сделать | Готово, когда |
|
||||
| --------------------------------------------------------------- | ----------------------------------------- |
|
||||
| Очистка в `sync-rejection.test.ts` — ролью мигратора | Тест зелёный на живой базе |
|
||||
| Перебазировать ветку на `331e490`, переписать сообщение коммита | Ветка вливается в основную без конфликтов |
|
||||
|
||||
## 2. Синхронизация на реальной базе не работает (срочно)
|
||||
|
||||
| ID | Что сломано | Где | Готово, когда |
|
||||
| ------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------ | --------------- |
|
||||
| SYNC-C0 | Начальная загрузка на устройство (`/sync/pull` без курсора) всегда отвечает 500: `column "status" does not exist`. Запрос обращается к столбцу, которого в таблице нет | `src/domain/sync/service.ts`, начальная загрузка | SYNC-C0 зелёный |
|
||||
|
||||
## 3. Синхронизация: остальные дефекты
|
||||
|
||||
| Мой ID | Сценарий Grok | Что сделать | Готово, когда |
|
||||
| ------ | --------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | ----------------------------------------------------------------------------------------------------- |
|
||||
| S2 | SYNC-J | `occurred_at` — строгий ISO с часовым поясом. Устройство передаёт своё текущее время, сервер вычисляет расхождение часов и ограничивает время отметки относительно момента получения. При большом расхождении — `pending_review`. Сейчас отметка с датой 2020 года принимается | SYNC-J зелёный |
|
||||
| S3 | SYNC-G | Сначала захватить ключ идемпотентности, потом выполнять команду. `SAVEPOINT` на каждую команду. Проверять ревизию в UPDATE. `source_event_id = sync:{device}:{key}`. Временные отказы не кэшировать | Битая команда не откатывает весь пакет; две параллельные отправки с одним ключом выполняются один раз |
|
||||
| S4 | SYNC-E, SYNC-F | Начальная загрузка — только по точке устройства, только активные сотрудники, ограниченное окно дат, пагинация в SQL. Отметки уволенных отклонять. Точку брать из устройства; чужую точку в payload отклонять | SYNC-E и SYNC-F зелёные |
|
||||
| S5 | SYNC-C, SYNC-D | Курсор не теряет данные при `has_more`. Порядок — по фиксации транзакций, а не по `BIGSERIAL`. Изменения из портала видны устройству. Устаревший курсор запускает повторную начальную загрузку | SYNC-C и SYNC-D зелёные |
|
||||
| S6 | — | Отметки через синхронизацию пишут outbox (через общий хелпер), как онлайн-маршрут | Отметка через синхронизацию порождает событие |
|
||||
| S7 | — | Очистка входящих получает `tenant_id`, а не идентификатор системного актора (`service.ts:1056`), и запускается по расписанию | — |
|
||||
| S8 | SYNC-H | Проверка Origin на маршрутах управления устройствами, белый список scope, `no-store` на ответе с токеном устройства | SYNC-H зелёный |
|
||||
| S9 | попроси Grok добавить | Внешний ключ `(tenant_id, org_unit_id) ON DELETE SET NULL` обнуляет и `tenant_id`, поэтому удаление точки с привязанным устройством падает с `23502`. Новой миграцией заменить на `SET NULL (org_unit_id)` или `RESTRICT` | Точку можно удалить или получить понятный отказ |
|
||||
| — | SYNC-I | Без настроенных токенов анонимный запрос не должен регистрировать устройство. Сделать вместе с Codex: он закрывает открытый режим без токенов (F2) | SYNC-I зелёный |
|
||||
| — | SYNC-K | Подтверждение курсора «из будущего» (больше выданного сервером) отклонять с 400 | SYNC-K зелёный |
|
||||
|
||||
## 4. Push-уведомления
|
||||
|
||||
| Мой ID | Сценарий Grok | Что сделать | Готово, когда |
|
||||
| ------ | ------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | ----------------------------------------------------- |
|
||||
| K12 | N3 | SSRF: сейчас сотрудник подписывает push на `https://127.0.0.1:…`, и сервер сам туда подключается. Разрешать только известные push-сервисы (FCM, Mozilla, Apple, WNS). После DNS запрещать приватные, loopback и link-local адреса. `redirect: 'manual'`, таймаут 5–10 с, тело ответа не сохранять. Где: `push-dispatcher.ts:80`, `web-push.ts:226-258` | N3 зелёный |
|
||||
| N9 | N9 | Конфликт endpoint с другим сотрудником — ответ 409. Перепривязка разрешена только тем же браузером | N9 зелёный |
|
||||
| N8 | — | В production без `VAPID_*` сервер не стартует. Публичный ключ отдавать с `no-cache` | — |
|
||||
| U1–U4 | — | Проверять ключи подписки при регистрации. Ошибка по одной подписке не прерывает отправку остальным. Не больше 5–10 подписок на сотрудника. Таймаут и лимит чтения ответа 1 КБ. Атомарный захват строки перед отправкой (`sending` плюс аренда), повторы с backoff, dead letter | Два экземпляра сервера не отправляют сообщение дважды |
|
||||
| U5–U7 | — | Scope service worker покрывает `/staff`. Выход отзывает push-подписку устройства. Составной внешний ключ с `tenant_id` в `staff_notification_deliveries` | — |
|
||||
|
||||
## 5. Оповещения процесса подтверждения (после этапа 4 у Codex)
|
||||
|
||||
Решение владельца: бухгалтер отправляет пакет расчёта и выплат на подтверждение, руководитель получает оповещение, проверяет и подписывает, после чего всё регистрируется. Сам процесс и события делает Codex, от тебя — доставка.
|
||||
|
||||
| Событие | Кому | Содержание |
|
||||
| --------------------------------- | ---------------------------------------- | ------------------------------------------------------------------------------ |
|
||||
| `staff.payroll.package_submitted` | Всем с ролью «Руководитель» в арендаторе | Период, число сотрудников, итог, число предупреждений, ссылка на экран подписи |
|
||||
| `staff.payroll.package_returned` | Бухгалтеру, который отправил пакет | Комментарий руководителя |
|
||||
| `staff.payroll.package_signed` | Бухгалтеру и сотрудникам из пакета | Сотрудникам — только «начисление за период доступно», без сумм |
|
||||
|
||||
Основной канал — push. Запасной — Telegram, без персональных данных и сумм. Если пакет не подписан за 24 ч (значение настраивается), отправить повторное напоминание. Адресата определять по роли, а не по фиксированному списку.
|
||||
|
||||
Сценарий Grok OWN-03 («каждый руководитель получает ровно одно оповещение») должен стать зелёным.
|
||||
|
||||
## 6. Публикатор outbox
|
||||
|
||||
Вместо `setImmediate` нужен фоновый публикатор:
|
||||
|
||||
- повторяет строки в статусах `pending` и `failed`;
|
||||
- ставит `published_at`;
|
||||
- на стороне получателя — идемпотентность через inbox;
|
||||
- соблюдает политику хранения.
|
||||
|
||||
Готово, когда после перезапуска сервера неотправленные события уходят, а `staff_outbox` не растёт бесконечно.
|
||||
|
||||
## Порядок
|
||||
|
||||
1. Пункт 1, затем пункт 2 — сегодня.
|
||||
2. Пункты 3 и 4 — параллельно, по одной ветке на пункт.
|
||||
3. Пункт 5 — когда Codex выпустит события пакета.
|
||||
4. Пункт 6 — после влития общего хелпера outbox от Codex.
|
||||
|
||||
## Отчёт после каждой ветки
|
||||
|
||||
Ветка, коммит и ID сценариев Grok, которые стали зелёными, — с фактическим выводом `run-e2e`.
|
||||
|
|
@ -1,80 +0,0 @@
|
|||
# Задание для Antigravity, круг 3: довести две ветки синхронизации до влития
|
||||
|
||||
- Репозиторий: https://git.ochenstarik.ru/ochenstarik/krona-staff
|
||||
- Основа: `codex/bootstrap-platform-foundation` (`f5ac179`)
|
||||
- Итоги приёмки: `docs/audit/2026-09-26/ACCEPTANCE-2.md`. Задание `TASK-ANTIGRAVITY-2.md` остаётся в силе, этот файл его дополняет и задаёт порядок.
|
||||
|
||||
## Итог приёмки твоих веток
|
||||
|
||||
| Ветка | Коммит | Что подтверждено | Что мешает влить |
|
||||
| -------------------------------------- | --------- | ------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| `antigravity/fix-reject-device-shifts` | `1df2019` | S1 исправлен: у Grok SYNC-A и SYNC-B зелёные | `tests/integration/sync-rejection.test.ts:81` вставляет столбец `created_by` в `staff_employees`, а такого столбца нет. Файл целиком FAIL |
|
||||
| `antigravity/fix-sync-c0-bootstrap` | `8baad55` | SYNC-C0 исправлен: на стенде Grok зелёный, оба теста `sync-bootstrap.test.ts` на реальной базе проходят | Файл всё равно FAIL: `Called end on pool more than once` в `afterAll` (строка 96). Пул закрывает `app.close()` через хук `onClose` (`src/app.ts:148`), а тест закрывает его второй раз |
|
||||
| обе вместе | — | — | **Конфликт** в `src/domain/sync/service.ts`: обе ветки созданы от `f5ac179` и правят один файл |
|
||||
|
||||
Проверка у меня: PostgreSQL 17.10, роль приложения без SUPERUSER и BYPASSRLS, миграции 0001–0011 на чистой базе.
|
||||
|
||||
## 1. Починить тесты (сегодня)
|
||||
|
||||
**1.1. `sync-rejection.test.ts`.** Подготовку данных сверить со схемой из миграций, а не писать по памяти: в `staff_employees` нет `created_by`. Смотри `migrations/*.up.sql` или `\d staff_employees`.
|
||||
|
||||
**1.2. `sync-bootstrap.test.ts`.** Закрывать пул один раз. Либо только `app.close()`, либо свою `Database`, которую приложение не закрывает, — но не обе сразу.
|
||||
|
||||
**Готово, когда** на реальной базе оба файла дают `Test Files 1 passed`, а не только `Tests N passed`: ошибка в хуке тоже делает файл красным, и CI его не пропустит.
|
||||
|
||||
```text
|
||||
DATABASE_TEST_URL=<роль приложения> DATABASE_MIGRATION_URL=<мигратор> npx vitest run tests/integration/sync-rejection.test.ts tests/integration/sync-bootstrap.test.ts
|
||||
```
|
||||
|
||||
## 2. Одна цепочка вместо двух конфликтующих веток
|
||||
|
||||
Две ветки от одной основы с правками одного файла нельзя влить обе без ручного разрешения конфликта, а разрешать его за тебя никто не будет. Сделай цепочку:
|
||||
|
||||
1. `antigravity/fix-reject-device-shifts` — исправленный тест (пункт 1.1), без новых функций.
|
||||
2. `antigravity/fix-sync-c0-bootstrap` — **перебазировать поверх** пункта 1 и разрешить конфликт у себя. Исправленный тест пункта 1.2 — здесь же.
|
||||
3. Пуш обеих веток с `--force-with-lease`.
|
||||
|
||||
Тогда вливается сначала первая ветка, потом вторая — без конфликтов.
|
||||
|
||||
**Готово, когда:**
|
||||
|
||||
- `git merge-base --is-ancestor origin/antigravity/fix-reject-device-shifts origin/antigravity/fix-sync-c0-bootstrap` выполняется успешно;
|
||||
- на вершине цепочки у Grok зелёные SYNC-A, SYNC-B и SYNC-C0, и оба интеграционных файла дают `passed`.
|
||||
|
||||
## 3. Форматирование синхронизации — твоё
|
||||
|
||||
В ветке Codex `codex/fix-format-baseline` (`513cdff`) до сих пор лежит твоё исправление S1: после prettier `service.ts` и `sync.test.ts` в ней совпадают с твоей веткой построчно. Codex получил задание убрать оттуда `src/domain/sync/**` и `tests/unit/sync.test.ts`. Поэтому:
|
||||
|
||||
- форматирование файлов синхронизации (`prettier --write src/domain/sync tests/unit/sync.test.ts tests/integration/sync-*.test.ts`) делаешь ты, в своей цепочке, **отдельным коммитом** `style(sync): …` без изменений поведения;
|
||||
- после этого `npx prettier --check src/domain/sync tests/unit/sync.test.ts` на вершине цепочки проходит.
|
||||
|
||||
## 4. Перед каждым пушем
|
||||
|
||||
В прошлых двух кругах интеграционный тест пушился без запуска на настоящей базе. Порядок перед каждым пушем:
|
||||
|
||||
1. `npm run check`.
|
||||
2. Интеграционные тесты своей зоны на реальной PostgreSQL — результат `Test Files … passed`.
|
||||
3. Стенд Grok: `node scripts/test/run-e2e.mjs` поверх своей ветки. Ни один сценарий, зелёный на основе, не должен покраснеть.
|
||||
4. В описании коммита или ветки — вывод пунктов 2 и 3 (строки `Test Files`, `Tests`, таблица по ID).
|
||||
|
||||
Если реальная база недоступна, так и напиши в отчёте. Не пиши «проверено», если не запускал.
|
||||
|
||||
## 5. Дальше — по TASK-ANTIGRAVITY-2, новыми ветками поверх цепочки
|
||||
|
||||
После пунктов 1–3 продолжай по разделам 3–6 `TASK-ANTIGRAVITY-2.md`. Одна тема — одна ветка, каждая следующая — от вершины предыдущей, пока они не влиты:
|
||||
|
||||
| Порядок | Ветка | ID | Готово, когда |
|
||||
| ------- | ------------------------------- | ------------------ | --------------------------------------------------------------------------------------------- |
|
||||
| 1 | `antigravity/sync-device-scope` | S4, S8, S9 | SYNC-E, SYNC-F, SYNC-H зелёные; точку с устройством можно удалить или получить понятный отказ |
|
||||
| 2 | `antigravity/sync-idempotency` | S3, S2 | SYNC-G, SYNC-J зелёные |
|
||||
| 3 | `antigravity/sync-cursor` | S5, S6, S7 | SYNC-C, SYNC-D зелёные; отметка через синхронизацию пишет outbox |
|
||||
| 4 | `antigravity/push-hardening` | K12, N8, N9, U1–U7 | N3 и N9 зелёные |
|
||||
| 5 | `antigravity/outbox-publisher` | раздел 6 | по TASK-ANTIGRAVITY-2 |
|
||||
|
||||
Оповещения процесса подтверждения (раздел 5 TASK-ANTIGRAVITY-2) — только после того, как Codex вольёт этап 4.
|
||||
|
||||
Зона файлов прежняя: `src/domain/sync/**`, `src/domain/notifications/**`, push-модули, их миграции и тесты. Если нужна правка вне зоны — отдельный коммит с объяснением и пометкой в отчёте. Лучше попроси Codex.
|
||||
|
||||
## Отчёт
|
||||
|
||||
Для каждой ветки: имя, коммит вершины, основа, какие ID закрыты, вывод интеграционных тестов и стенда Grok, что осталось.
|
||||
|
|
@ -1,105 +0,0 @@
|
|||
# Задание для Antigravity: синхронизация, уведомления, outbox
|
||||
|
||||
- Репозиторий: https://git.ochenstarik.ru/ochenstarik/krona-staff
|
||||
- Основа: ветка `codex/bootstrap-platform-foundation`, коммит `778ba2d`. Твоя офлайн-синхронизация в неё уже влита (`3595792`); код такой же, как в проверенном коммите `5ee7517`.
|
||||
- Материалы в репозитории: `docs/audit/2026-09-26/` — `AUDIT.md` и `evidence/`. Для синхронизации есть живые сценарии: `evidence/live-sync.mjs.txt`, вывод — `evidence/live-sync.txt`.
|
||||
|
||||
## Контекст
|
||||
|
||||
На живой PostgreSQL 17 подтвердилось:
|
||||
|
||||
- **Устройство синхронизации создаёт подтверждённые смены.** Оно отправило смену с `status: confirmed` и `worked_minutes: 2880`. Смена сохранилась подтверждённой без участия управляющего и без записи в журнале аудита. Расчёт начислил по ней 14 400 ₽. Это дефект основной ветки.
|
||||
- **Отметки задним числом проходят.** Устройство сохранило отметку с датой 2020 года.
|
||||
- **Точку с устройством нельзя удалить.** Удаление падает с `23502`.
|
||||
- **Push-подписка даёт доступ во внутреннюю сеть.** Сотрудник подписал push на `https://127.0.0.1:…`, после чего сервер сам открыл туда соединение.
|
||||
|
||||
## Зона ответственности
|
||||
|
||||
**Твоя зона:**
|
||||
|
||||
- офлайн-синхронизация: `src/sync.ts`, `src/domain/sync/**`, миграция `0011`, `docs/OFFLINE-SYNC-PROTOCOL.md`;
|
||||
- уведомления: `src/domain/notification/**`, маршруты `/push/*` в `src/portal.ts`, миграция `0010`, service worker и подписка в `src/portal-ui.ts`;
|
||||
- диспетчер и публикатор outbox — всё, что читает `staff_outbox` и доставляет события.
|
||||
|
||||
**Не трогай:**
|
||||
|
||||
- авторизацию, сотрудников, смены, расчёт, импорт, процесс подтверждения, терминал и развёртывание — это Codex;
|
||||
- `tests/e2e/**`, `tests/integration/tenant-isolation.test.ts`, CI — это Grok.
|
||||
|
||||
**Записывать в outbox** только через общий хелпер, который Codex делает в задаче K3. Свою вставку не пиши: сейчас именно из-за разрозненных вставок без `occurred_at` падают подтверждение и расчёт.
|
||||
|
||||
## Правила
|
||||
|
||||
- Ветки `antigravity/fix-<тема>` от основной, отдельный PR на каждую часть.
|
||||
- Маленькие коммиты. **В теле каждого коммита объясни причину** (AGENTS.md).
|
||||
- Перед пушем: `npm run check` и `npm run format:check` зелёные. Миграции проверены вверх и вниз на чистой PostgreSQL 17 мигратором без SUPERUSER.
|
||||
- Каждое исправление — с тестом на настоящей PostgreSQL, а не только на поддельной базе.
|
||||
- Пункт считается закрытым, только если соответствующий сценарий из `evidence/live-sync.mjs.txt` или `evidence/live-audit.mjs.txt` больше не воспроизводит дефект. Grok проверяет каждый пункт независимо.
|
||||
|
||||
## Часть 0 — немедленная мера (первым PR, сегодня)
|
||||
|
||||
- Сервер отклоняет от устройств команды `upsert_work_session` и `upsert_timesheet_entry`: ответ «команда не поддерживается», в базу ничего не пишется. Файл: `src/domain/sync/service.ts:784-990`.
|
||||
- Отдельный маленький PR. Grok проверяет его первым.
|
||||
- До закрытия S1 и S2 устройства синхронизации в пилоте не регистрировать.
|
||||
|
||||
**Готово, когда:** сценарий S1 из `evidence/live-sync.mjs.txt` больше не создаёт смену.
|
||||
|
||||
## Часть 1 — офлайн-синхронизация
|
||||
|
||||
| ID | Что сделать | Где | Готово, когда |
|
||||
| ------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | ------------------------------------------------ | ----------------------------------------------------------------------------------------------------------- |
|
||||
| S1 (P1) | Устройство отправляет только события отметок, смены и табель считает сервер (reconcile). Если правка с устройства действительно нужна: отдельный scope, только черновые статусы, запрет трогать `confirmed` и `approved`, запись в журнал аудита | `src/domain/sync/service.ts:784-990` | Команда с `status: confirmed` отклоняется; поддельная смена не попадает в расчёт |
|
||||
| S2 | `occurred_at` принимать только в строгом ISO с зоной. Устройство передаёт своё текущее время, сервер считает расхождение часов и ограничивает время отметки относительно времени получения. При большом расхождении — статус `pending_review` | `service.ts:659, 723, 756` | Отметка с датой 2020 года отклоняется или уходит на проверку |
|
||||
| S3 | Сначала захватить ключ идемпотентности, потом выполнять команду. `SAVEPOINT` на каждую команду. Проверка ревизии в `UPDATE`. `source_event_id = sync:{device}:{key}`. Временные отказы не кэшировать | `service.ts:672, 702, 774, 832, 936` | Две параллельные отправки с одним ключом выполняются один раз; одна плохая команда не откатывает весь пакет |
|
||||
| S4 | Начальная загрузка: только точка устройства, только активные сотрудники, ограниченное окно дат, пагинация в SQL | `service.ts:~380-590, 448` | Устройство не получает уволенных и чужие точки |
|
||||
| S5 | Курсор не теряет данные при `has_more`. Порядок — по фиксации транзакций, а не по `BIGSERIAL`. Изменения из портала видны устройству. Повторная начальная загрузка при устаревшем курсоре, как обещает протокол | `service.ts:343, 595-600` | — |
|
||||
| S6 | Отметки через синхронизацию пишут outbox так же, как онлайн-маршрут. Проверять `status = 'active'` сотрудника. Сохранять `org_unit_id` | `service.ts:720-780` | — |
|
||||
| S9 | Внешний ключ `(tenant_id, org_unit_id) ON DELETE SET NULL` обнуляет и `tenant_id`, поэтому удаление точки падает. Заменить на `SET NULL (org_unit_id)` или `RESTRICT` новой миграцией | `migrations/0011_offline_sync_backend.up.sql:21` | Точку с устройством можно удалить или получить понятный отказ |
|
||||
| S7 | Очистка входящих должна получать `tenant_id`, а не идентификатор системного актора. Запускать её по расписанию | `service.ts:1056` | — |
|
||||
| S8 | Проверка Origin на маршрутах управления устройствами. Белый список scope. `no-store` на ответе с токеном устройства | `src/sync.ts:74`, `service.ts:190` | — |
|
||||
|
||||
## Часть 2 — уведомления
|
||||
|
||||
| ID | Что сделать | Где | Готово, когда |
|
||||
| ------------ | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------- | --------------------------------------------------------------------------------------- |
|
||||
| K12 (N3, P1) | Разрешать только известные push-сервисы: FCM, Mozilla, Apple, WNS. После разрешения DNS запрещать приватные, loopback и link-local адреса. `redirect: 'manual'`, таймаут 5–10 с, тело ответа не сохранять | `src/domain/notification/push-dispatcher.ts:80`, `web-push.ts:226-258` | Подписка на `https://127.0.0.1:…` отклоняется; сценарий N3 не даёт входящего соединения |
|
||||
| N9 | Конфликт endpoint с другим сотрудником → 409. Перепривязка — только тем же браузером | `push-dispatcher.ts:100-111` | Сценарий N9 отвечает 409 |
|
||||
| N8 | В production без `VAPID_*` сервер не стартует. Публичный ключ отдавать с `no-cache` | `web-push.ts:80-87`, `src/portal.ts:121-123` | — |
|
||||
| U1 | Проверять ключи подписки при регистрации. Ошибки отправки обрабатывать отдельно для каждой подписки | `web-push.ts:230`, `push-dispatcher.ts:283` | Неверная подписка не мешает остальным устройствам сотрудника |
|
||||
| U2 | Не больше 5–10 подписок на сотрудника, таймаут, чтение тела ответа не больше 1 КБ, ограничение параллельности | `web-push.ts:235-258` | — |
|
||||
| U3, U4 | Атомарный захват строки перед отправкой: статус `sending` плюс аренда. Повторы с backoff и учётом `Retry-After`. Отдельный статус dead letter. Срок хранения `last_error` | `push-dispatcher.ts:233-367` | При двух экземплярах сервера сообщение уходит один раз |
|
||||
| U5, U6 | Scope service worker должен покрывать `/staff`. Выход из кабинета отзывает push-подписку устройства | `src/portal-ui.ts` (регистрация service worker и выход) | — |
|
||||
| U7 | Составной внешний ключ с `tenant_id` в `staff_notification_deliveries` | `migrations/0010…up.sql:44` (новой миграцией) | — |
|
||||
|
||||
## Часть 3 — оповещения процесса подтверждения
|
||||
|
||||
Решение владельца: бухгалтер отправляет пакет с расчётом и выплатами на подтверждение, руководитель получает оповещение, проверяет и подписывает, после чего всё регистрируется. Процесс, подпись и события в outbox делает Codex (его этап 4). От тебя — доставка.
|
||||
|
||||
| Событие | Кому | Что в оповещении |
|
||||
| --------------------------------- | ---------------------------------------- | ------------------------------------------------------------------------------------------------------ |
|
||||
| `staff.payroll.package_submitted` | Всем с ролью «Руководитель» в арендаторе | Период, число сотрудников, итог, число предупреждений; ссылка сразу на экран подписи |
|
||||
| `staff.payroll.package_returned` | Бухгалтеру, отправившему пакет | Комментарий руководителя |
|
||||
| `staff.payroll.package_signed` | Бухгалтеру; сотрудникам из пакета | Сотрудникам — только «начисление за период доступно», без сумм в тексте; суммы видны лишь в приложении |
|
||||
|
||||
- Основной канал — push в приложении. Если push не доставлен (нет подписки или ошибка), руководителю уходит сообщение в Telegram — без персональных данных и сумм.
|
||||
- Если пакет не подписан за настраиваемое время (по умолчанию 24 ч), руководителю приходит повторное напоминание.
|
||||
- Адресат определяется по роли и арендатору, а не по фиксированному списку: при смене руководителя оповещения получает новый.
|
||||
|
||||
**Готово, когда** на живом стенде отправка пакета даёт ровно одно оповещение каждому руководителю, а перезапуск сервера его не дублирует. Сотрудник получает уведомление без сумм и только после подписи.
|
||||
|
||||
## Часть 4 — публикатор outbox
|
||||
|
||||
| ID | Что сделать | Где | Готово, когда |
|
||||
| ------ | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------- | -------------------------------------------------------------------------------------------- |
|
||||
| F6, D7 | Заменить `setImmediate` фоновым публикатором. Он повторяет строки в `pending` и `failed`, ставит `published_at`, обеспечивает идемпотентность у получателя через inbox и соблюдает политику хранения. Альтернатива — убрать из `module.json` события, которые никто не публикует | `src/portal.ts:830-842`, `push-dispatcher.ts:333-367`, `module.json` | После перезапуска сервера неотправленные события уходят; `staff_outbox` не растёт бесконечно |
|
||||
|
||||
## Порядок работы с остальными
|
||||
|
||||
1. **Сразу:** часть 0.
|
||||
2. **Параллельно с этапами 1–3 у Codex:** части 1 и 2. Часть S6 делай после того, как Codex сообщит, что влит общий хелпер outbox (K3).
|
||||
3. **После этапа 4 у Codex** (события пакета): часть 3.
|
||||
4. **Часть 4** — в любой момент после K3.
|
||||
|
||||
## Отчёт после каждой части
|
||||
|
||||
Таблица «ID — что сделано — коммит — тест» и список того, что не удалось, с причиной.
|
||||
|
|
@ -1,80 +0,0 @@
|
|||
# Задание для Codex, круг 2: исправить ветку форматирования, перевести пилот на настоящего арендатора
|
||||
|
||||
- Репозиторий: https://git.ochenstarik.ru/ochenstarik/krona-staff
|
||||
- Основа: `codex/bootstrap-platform-foundation` (`f5ac179`)
|
||||
- Итоги приёмки: `docs/audit/2026-09-26/ACCEPTANCE-2.md`. Основное задание `TASK-CODEX.md` остаётся в силе, этот файл его дополняет.
|
||||
|
||||
## 1. Пересобрать ветку форматирования (сегодня)
|
||||
|
||||
По данным приёмки, коммит `fd1ec3d` в ветке `codex/fix-format-baseline` содержит, кроме форматирования, функциональное изменение Antigravity. После нормализации prettier файлы `src/domain/sync/service.ts` и `tests/unit/sync.test.ts` совпадают с его исправлением S1. Это одновременно смешение тем и правка чужой зоны (AGENTS.md). Кроме того, при влитии обеих веток изменение придёт дважды.
|
||||
|
||||
**Что сделать:** пересобрать коммит форматирования от `f5ac179` так, чтобы в нём было только `prettier --write`, без изменений в `src/domain/sync/**` и `tests/unit/sync.test.ts`. Исправление S1 должно приходить только из ветки Antigravity. Затем перебазировать `codex/fix-live-database` на новый коммит форматирования.
|
||||
|
||||
**Готово, когда:**
|
||||
|
||||
- `git diff <новый коммит>~1 <новый коммит> -w` после `prettier --check` не содержит изменений поведения;
|
||||
- стенд Grok на `codex/fix-live-database` даёт K3/N2 и K4/N1 зелёными, а K13/SYNC-A и K13/SYNC-B — красными (они придут от Antigravity).
|
||||
|
||||
## 2. Пилот — на настоящего арендатора
|
||||
|
||||
По данным сессии «БП» (запросы только на чтение к `krona-staff-pilot-postgres-1`), под заглушкой `01J00000000000000000000000` сейчас лежит:
|
||||
|
||||
| Таблица | Строк |
|
||||
| ---------------------- | ----- |
|
||||
| `staff_employees` | 51 |
|
||||
| `staff_payroll_ledger` | 3 830 |
|
||||
| `staff_work_items` | 3 353 |
|
||||
| `staff_daily_metrics` | 2 894 |
|
||||
| `staff_audit_log` | 49 |
|
||||
|
||||
Остальные таблицы — единицы строк.
|
||||
|
||||
Настоящий арендатор владельца в платформе — `01M2R6AC5652NPT3MG34DKN4ZP` («Сушигедза»).
|
||||
|
||||
### 2.1 Чтобы заглушка не вернулась
|
||||
|
||||
| Где | Что сделать |
|
||||
| -------------------------- | -------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| `deploy/pilot/setup.sh:20` | Не генерировать `STANDALONE_TENANT_ID` со значением-заглушкой: требовать его явно, без значения по умолчанию, с понятной ошибкой |
|
||||
| `compose.yaml:16` | `${STANDALONE_TENANT_ID:?…}` вместо `${STANDALONE_TENANT_ID:-01J000…}` |
|
||||
| `.env.example:14` | Оставить пустым с комментарием, откуда берётся значение (идентификатор организации в платформе) |
|
||||
| `src/config.ts` | Вне режима разработки на loopback отклонять `01J00000000000000000000000` при старте как известную заглушку |
|
||||
|
||||
### 2.2 Перенос уже внесённых данных
|
||||
|
||||
Способ выбираешь сам: однократная перезапись `tenant_id` или переимпорт книги владельца. В обоих случаях обязательно:
|
||||
|
||||
1. **Сначала резервная копия** (задача K18 из основного задания) и проверка, что из неё действительно можно восстановиться. Без этого перенос не начинать.
|
||||
2. **Сначала прогон на копии** пилотной базы, затем на пилоте в согласованное окно, при остановленном приложении. Терминалы на это время копят отметки у себя.
|
||||
3. **Перезапись выполняет привилегированная роль администратора БД**, а не роль приложения. RLS с `FORCE`, составные внешние ключи `(tenant_id, id)`, неизменяемые журналы (`staff_payroll_ledger`, `staff_audit_log`) — всё это нужно учесть явно: одна транзакция, внешние ключи переустанавливаются в ней же, триггеры неизменяемости отключаются только внутри неё.
|
||||
4. **Скрипт в репозитории:** `scripts/rehome-tenant.mjs` (или аналог) с режимом `--dry-run` (только отчёт о количестве строк по таблицам) и отказом работать, если целевой арендатор уже содержит данные.
|
||||
5. **Запись о переносе** в `staff_audit_log` нового арендатора: кто, когда, откуда, куда, сколько строк.
|
||||
|
||||
**Готово, когда:**
|
||||
|
||||
- `SELECT DISTINCT tenant_id` по всем таблицам со столбцом `tenant_id` возвращает только `01M2R6AC5652NPT3MG34DKN4ZP`;
|
||||
- количество строк в каждой таблице до и после совпадает;
|
||||
- сумма `amount_minor` в реестре начислений до и после совпадает;
|
||||
- пилот под новым арендатором показывает тех же 51 сотрудника;
|
||||
- тест изоляции арендаторов зелёный.
|
||||
|
||||
Вывод `--dry-run` и итоговые запросы приложи к отчёту. Grok проверит скрипт на копии: данные под старым арендатором → перенос → сверка.
|
||||
|
||||
### 2.3 Скрипт сопоставления с платформой
|
||||
|
||||
`docs/PLATFORM-INTEGRATION.md` обещает сопоставление standalone ULID с записями Core, но скрипта нет. После пункта 2.2 перенос арендатора уже решён, поэтому скрипт сводится к заполнению `core_user_id` у сотрудников:
|
||||
|
||||
- вход — выгрузка пользователей платформы (JSON или CSV: идентификатор пользователя Core и признак сопоставления — табельный номер, e-mail или телефон);
|
||||
- режим `--dry-run` с отчётом: сопоставлены, не найдены, найдены неоднозначно;
|
||||
- идемпотентность: повторный запуск ничего не меняет, существующие `core_user_id` не перезаписываются без флага;
|
||||
- запись в журнал аудита.
|
||||
|
||||
**Готово, когда** скрипт есть, покрыт тестом на реальной PostgreSQL и описан в `docs/PLATFORM-INTEGRATION.md`.
|
||||
|
||||
## 3. Не делать
|
||||
|
||||
**Не менять `PlatformIdentityAdapter` под нынешние неподписанные заголовки `x-tenant-id`**, которые платформа передаёт модулю. Договор будет с подписью: пункты А-5, С-6, С-7 плана платформы. Им занимается сессия «БП» в репозитории `business-platform`. Режим `platform` остаётся недоступным, пока платформа этого не сделает.
|
||||
|
||||
## Порядок
|
||||
|
||||
Пункт 1 → пункт 2.1 → резервная копия (K18) → пункт 2.2 на копии → 2.2 на пилоте → пункт 2.3. Параллельно продолжается основное задание: этап 2 — доступ и пилот, этап 3 — деньги (K5 и K6 теперь воспроизводятся по существу).
|
||||
|
|
@ -1,219 +0,0 @@
|
|||
# Задание для Codex: исправления по аудиту и решения владельца
|
||||
|
||||
- Репозиторий: https://git.ochenstarik.ru/ochenstarik/krona-staff
|
||||
- Основа: ветка `codex/bootstrap-platform-foundation`, коммит `778ba2d`
|
||||
- Материалы в репозитории: `docs/audit/2026-09-26/` — `AUDIT.md` (полный аудит) и `evidence/` (сценарии живой проверки и их вывод). Идентификаторы K, N, D, T, A, F ниже — из аудита.
|
||||
|
||||
## Контекст
|
||||
|
||||
Аудит на живой PostgreSQL 17 показал:
|
||||
|
||||
- на реальной базе не работают создание сотрудника, подтверждение смены, расчёт и утверждение зарплаты — везде 500;
|
||||
- без токенов сервер открыт всем;
|
||||
- одна смена может быть оплачена трижды;
|
||||
- утверждённую смену можно отклонить задним числом без сторно;
|
||||
- импорт из Excel теряет суммы;
|
||||
- отметки терминала не доходят до сервера.
|
||||
|
||||
Юнит-тесты при этом зелёные, потому что работают на поддельной базе.
|
||||
|
||||
## Зона ответственности
|
||||
|
||||
**Твоя зона:**
|
||||
|
||||
- сервер: авторизация, сотрудники, смены, расчёт, импорт, выплаты, процесс подтверждения;
|
||||
- база и миграции;
|
||||
- развёртывание пилота;
|
||||
- портал;
|
||||
- Windows-терминал, служба и установщик;
|
||||
- мобильное приложение в части экранов согласия и подписи.
|
||||
|
||||
**Не трогай:**
|
||||
|
||||
- `src/domain/notification/**`, маршруты `/push/*`, диспетчер и публикатор outbox — это Antigravity;
|
||||
- `src/sync.ts`, `src/domain/sync/**`, миграцию `0011` — это тоже Antigravity;
|
||||
- `tests/e2e/**`, `tests/integration/tenant-isolation.test.ts`, `.forgejo/workflows/ci.yml` — это Grok.
|
||||
|
||||
Если нужна правка в чужой зоне, попроси исполнителя.
|
||||
|
||||
**Общий хелпер вставки в outbox** (задача K3) делаешь ты. Antigravity будет пользоваться им для своих событий, поэтому сделай его первым и сообщи, когда он влит.
|
||||
|
||||
## Правила
|
||||
|
||||
- Ветки `codex/fix-<тема>` от основной, отдельный PR на каждый этап.
|
||||
- Маленькие коммиты. **В теле каждого коммита объясни причину** (AGENTS.md). Сейчас у 40 последних коммитов тела нет.
|
||||
- Перед пушем должны быть зелёными `npm run check` и `npm run format:check`.
|
||||
- Каждое исправление SQL или маршрута сопровождай интеграционным тестом **на настоящей PostgreSQL** (переменная `DATABASE_TEST_URL`, роль приложения `krona_staff_app`). Тесты на `fakeDatabase` подтверждением не считаются.
|
||||
- Пункт считается закрытым, только когда соответствующий сценарий из `evidence/live-audit.mjs.txt` перестаёт воспроизводить дефект. Каждый пункт независимо перепроверит Grok.
|
||||
- Реальные ФИО и суммы из книги владельца в тесты и фикстуры не копировать.
|
||||
- Миграции проверяй вверх и вниз на чистой PostgreSQL 17 мигратором без SUPERUSER.
|
||||
|
||||
## Решения владельца
|
||||
|
||||
**Роли.**
|
||||
|
||||
| Роль | Может | Не может |
|
||||
| ------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------- |
|
||||
| Руководитель | Всё по всем точкам. Просматривает пакет на подтверждение, подписывает или возвращает его. **Проводит оплаты:** только его подпись регистрирует начисления и выплаты | — |
|
||||
| Бухгалтер | Просмотр по всем точкам, расчёт, ведомость выплат, **отправка пакета на подтверждение**, выгрузки | Подписывать; регистрировать начисления и выплаты; менять правила оплаты и смены |
|
||||
| Управляющий | Сотрудники, смены, выручка и черновик расчёта **по своим точкам** | Отправлять на подтверждение, подписывать, выплачивать; видеть данные чужих точек |
|
||||
| Сотрудник | Только свои смены, начисления, выплаты и остаток | Всё остальное |
|
||||
|
||||
**Точки.**
|
||||
|
||||
- У каждого сотрудника и управляющего есть основная точка и дополнительные, в том числе временные (подмена), с датами действия.
|
||||
- Работать на другой точке можно. Смена относится к точке, где она отработана, и считается по правилам и фонду этой точки.
|
||||
|
||||
**Процесс оплаты.** Бухгалтер отправляет пакет на подтверждение, руководитель получает оповещение, проверяет, подписывает — и всё регистрируется.
|
||||
|
||||
**Согласие.** Согласие на обработку персональных данных и биометрии обязательно. Сотрудник подтверждает его в мобильном приложении при авторизации.
|
||||
|
||||
## Этап 0 — форматирование (первым коммитом, до всех остальных)
|
||||
|
||||
Одним коммитом выполни `npm run format` по всему репозиторию (сейчас 16 файлов не проходят проверку). Коммит сделай до того, как остальные исполнители начнут работу, чтобы не было конфликтов.
|
||||
|
||||
## Этап 1 — разблокировать работу на реальной базе (сегодня)
|
||||
|
||||
| ID | Что сделать | Где | Готово, когда |
|
||||
| ------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------- |
|
||||
| K3 (N2) | Во вставках в `staff_outbox` нет `occurred_at`, а столбец `NOT NULL` без значения по умолчанию. Вынеси вставку в один общий хелпер outbox, который всегда заполняет время, и замени им все вставки | `src/portal.ts:1145-1163`, `src/domain/payroll/service.ts:770-784`, `917-935`; эталон — `src/portal.ts:810-823` | Подтверждение смены, расчёт и утверждение отвечают 200 на живой базе; тест на PostgreSQL |
|
||||
| K4 (N1) | Параметр `$2` выводится PostgreSQL как `text` и как `varchar` (ошибка `42P08`). Добавь явные приведения или вынеси поиск профессии в отдельный запрос | `src/portal.ts:465-483` | `POST /employees` → 201 на живой базе; тест на PostgreSQL |
|
||||
| — | Проверь остальные запросы на тот же дефект: один `$N` в разных типах | весь `src/` | — |
|
||||
|
||||
## Этап 2 — закрыть открытый доступ и привести пилот в порядок
|
||||
|
||||
| ID | Что сделать | Где | Готово, когда |
|
||||
| ----------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------- |
|
||||
| K1 (F2, P0) | Без токенов сейчас любой анонимный запрос получает права `STANDALONE_ACCESS`. Сделай fail-closed: сервер не стартует без токенов, если `HOST` не loopback. Во всех compose токены и пароли — через `${VAR:?}` | `src/adapters/identity.ts:32-49`, `src/config.ts:45-47`, `compose.yaml`, `deploy/pilot/compose.yaml:14-15` | Запуск без токенов на `0.0.0.0` падает с понятной ошибкой; анонимный `GET /portal` → 401 |
|
||||
| K2 (F1, P0) | Пилот работает с `NODE_ENV=development`, чтобы обойти запрет standalone в production. Сделай явный профиль `pilot`: обязательные токены и HTTPS, никакого development-поведения. Платформенный JWT — отдельной задачей, когда будет контракт Core | `deploy/pilot/compose.yaml:8`, `compose.yaml:5`, `src/config.ts:51-66` | В пилотном compose нет `NODE_ENV=development`; проверки `loadConfig` действуют |
|
||||
| K10 (F3) | Серверные сессии: в cookie — случайный идентификатор, в базе — хеш, срок жизни, отзыв при выходе и при смене ключа. Токену сотрудника — срок жизни | `src/portal.ts:262-276` | После `DELETE /session` старая cookie → 401 |
|
||||
| K11 (F4, A2) | Ограничение частоты по IP на `/session` и на неуспешную аутентификацию. Для заведомо неверного токена не открывать транзакцию в БД: пул всего на 10 соединений | `src/portal.ts:1276-1296`, `src/infrastructure/database.ts:9` | 60 неверных входов подряд дают 429 |
|
||||
| A4 | Глобальный обработчик ошибок: при 5xx — общий текст и correlation id, детали только в лог | `src/app.ts` | В ответе 500 нет кода и текста ошибки PostgreSQL |
|
||||
| F10, A6 | Проверку Origin для мутаций по cookie сделать fail-closed. Пропускать её только при `Authorization: Bearer` | `src/portal.ts:1359-1374` | Мутация по cookie без Origin → 403 |
|
||||
| A5, A7, A9 | Аутентификацию делать до валидации тела; `/openapi.json` — только менеджеру или в dev. `no-store` на выдаче токена сотрудника. Correlation id от клиента хранить отдельно от серверного | `src/portal.ts:734`, `src/app.ts` | — |
|
||||
| D13 | Лишние поля в теле запроса отклонять ответом 400 (`removeAdditional: false`), а не удалять молча, как сейчас | `src/app.ts` | Поведение совпадает с `additionalProperties: false` в OpenAPI |
|
||||
| K18 (P1) | Резервное копирование пилота: `pg_dump -Fc` по расписанию, шифрование, копия вне хоста, срок хранения. Бэкап перед каждой миграцией в `setup.sh`. Провести restore drill и записать результат | `deploy/pilot/`, `docs/BACKUP-RESTORE.md` | Есть скрипт, расписание и протокол успешного восстановления |
|
||||
| N6 | Задавать атрибуты роли только в `CREATE ROLE`, затем `ALTER ROLE … PASSWORD`, затем проверять `rolsuper` и `rolbypassrls` и при нарушении отказывать | `scripts/create-app-role.mjs:19`, `docker/postgres/init-app-role.sh:17` | Скрипт работает мигратором без SUPERUSER |
|
||||
| N7 | Пиннинг сертификата вместо отключения проверки TLS; токен только из переменной окружения; убрать поле `code` из тела `/professions` | `scripts/import-owner-workbook.py:241, 255, 278` | — |
|
||||
| F9 | Healthcheck образа по HTTPS | `Dockerfile:21` | — |
|
||||
| D3 | TLS пилота: локальный CA, установленный на устройства, или домен с ACME; пиннинг SPKI или CA вместо листового сертификата; ключ не хранить незашифрованным рядом с pfx; runbook продления | `deploy/pilot/setup.sh:37-47` | На телефоне сотрудника регистрируется service worker (иначе PWA и push не работают) |
|
||||
| D4, D11, D12 | Образы с тегами и возможность отката; `lock_timeout` в миграциях; миграции не от root и без dev-зависимостей; smoke-тест проверяет коды ответов и не пишет в боевую базу | `deploy/pilot/setup.sh`, `scripts/migrate.mjs`, `deploy/pilot/smoke-test.sh` | — |
|
||||
| D9, D10, D14, D15 | Лимиты памяти, CPU и числа процессов, `cap_drop`, ротация логов; `.dockerignore` для `**/.env` и `deploy/pilot/secrets`; `redact` в логгере, ошибки пула — через pino; безопасные значения по умолчанию в корневом compose | compose-файлы, `.dockerignore`, `src/app.ts:42`, `src/infrastructure/database.ts` | — |
|
||||
|
||||
## Этап 3 — денежная логика (до первого боевого расчёта)
|
||||
|
||||
| ID | Что сделать | Где | Готово, когда |
|
||||
| -------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------- |
|
||||
| K5 (N4) | Каждая смена начисляется ровно один раз: `session_id` в строке ведомости и уникальность среди неаннулированных ведомостей (или exclusion constraint на пересечение периодов, включая сочетание «одна точка» и «все точки»). При пересчёте обновлять `period_end` | `src/domain/payroll/service.ts:425-454, 759-768, 860-903`; индексы `migrations/0006:196-199` | Три пересекающихся расчёта дают одно начисление 2 400 ₽ или 409 (сейчас 7 200 ₽) |
|
||||
| K6 (D5) | Смены и строки ведомости после подписи неизменяемы на уровне БД: триггер или политика, у роли приложения нет DELETE и UPDATE. Исправление — только сторнирующей записью | `src/portal.ts:1024-1106`, `migrations/0006:296-300` | Отклонение оплаченной смены → 409 или создаётся сторно |
|
||||
| K7 (D2) | Импорт считает предыдущую сумму по всем записям дня, а пишет по точному ключу — суммы теряются. Считать по точному `external_key`, корректировку писать с отдельным ключом ревизии | `src/operations.ts:1017-1052`, `scripts/import-owner-workbook.py:147, 168, 176` | Две точки в один день и повторный импорт с изменённой суммой дают верный итог; тест |
|
||||
| K8 (D1) | Сделать версии правил настоящими: v1 неизменяема, любое изменение создаёт новую версию, учитываются даты действия правил и условий точки. В строке ведомости хранить JSON дерева правила, версию, id назначения, id и ревизию смены | `service.ts:152-180, 517-529, 686-695` | Подписанную ведомость можно пересчитать и получить то же число; тест |
|
||||
| K9 (D3) | Сохранять произвольные параметры из `param_declarations` со значениями по умолчанию. Загружать все метрики и позиции, которые требует дерево правила | `service.ts:295-299, 488-500`, `src/portal-ui.ts` | Пресеты «официант» и «премия за порог выручки» дают ожидаемые суммы (сейчас 0 ₽); тест |
|
||||
| N12, D9 | Ограничить ставки сверху (не больше 10¹² коп.), проверять `Number.isSafeInteger` и реальность даты и месяца | `src/operations.ts:560-585, 665-671` | `rate_minor = 1e20` → 400; месяц `2026-13` → 400 (сейчас 200 и 500) |
|
||||
| N11 | Строгая схема импорта: `kind` из списка, знак выплаты, обязательные строки | `src/operations.ts:776-812, 1168-1210` | Некорректный импорт → 400, а не 500 |
|
||||
| N13, N14 | Первый расчёт периода без гонки (`ON CONFLICT … RETURNING` или advisory lock). GET-запросы не пишут в базу; начальные правила создаются один раз | `service.ts:152-180, 446-454` | — |
|
||||
| F7 | `Idempotency-Key` для расчёта, отправки, подписи, импорта и выплат | — | Повтор с тем же ключом не создаёт дублей |
|
||||
| D7, F12 | Остаток округления фонда не выплачивается сверх фонда. Деньги в расчётах — `bigint` или проверенные безопасные целые | `src/domain/payroll/calculator.ts` | — |
|
||||
|
||||
## Этап 4 — роли, точки, подтверждение и согласие (решения владельца)
|
||||
|
||||
### 4.1 Роли и точки
|
||||
|
||||
- Роли — по таблице в разделе «Решения владельца». Права проверяются на сервере в каждом запросе, включая расчёт и выгрузки. Интерфейс только прячет недоступное.
|
||||
- Привязки «человек — точка» хранить в отдельной таблице с датами действия: одна основная точка и сколько угодно дополнительных, в том числе временных.
|
||||
- Управляющий видит и подтверждает смены всех, кто работал на его точке, включая приходящих. Их начисления на других точках он не видит.
|
||||
- В режиме `standalone` роль и список точек задаются при выдаче доступа (через серверные сессии из K10). В режиме `platform` они берутся из прав Core.
|
||||
- Каждое действие пишется в журнал аудита с конкретным человеком. Сейчас все менеджеры записываются одним `STANDALONE_ACTOR_ID` (A8).
|
||||
|
||||
### 4.2 Подтверждение и оплата
|
||||
|
||||
```
|
||||
Бухгалтер: расчёт → ведомость выплат → «Отправить на подтверждение»
|
||||
↓ оповещение руководителю (делает Antigravity)
|
||||
Руководитель: просмотр пакета → «Подписать» или «Вернуть с комментарием»
|
||||
↓ подпись
|
||||
Система: начисления и выплаты регистрируются в реестре, пакет и его смены
|
||||
становятся неизменяемыми; бухгалтеру и сотрудникам уходят оповещения
|
||||
```
|
||||
|
||||
- **Пакет** — расчётная ведомость за период и ведомость выплат (выплат может не быть). Руководитель подписывает весь пакет одной подписью.
|
||||
- **Статусы пакета:** `draft → calculated → submitted → signed`; возврат: `submitted → returned → calculated`.
|
||||
- **Отправка** фиксирует снимок пакета: строки, итоги, предупреждения расчёта и хеш содержимого.
|
||||
- Если после отправки изменились данные пакета (смена, выручка, ставка, правило), отправка отменяется. Пакет возвращается бухгалтеру с пометкой «данные изменились».
|
||||
- Подписать устаревший пакет нельзя (закрывает D4).
|
||||
- **Экран руководителя** в портале, позже и в приложении. На нём:
|
||||
- итоги по точкам и сотрудникам и сравнение с прошлым периодом;
|
||||
- все предупреждения: нет выручки, нет профиля оплаты, аномальные смены, выплата больше остатка;
|
||||
- расшифровка любой строки.
|
||||
|
||||
Сотрудник без профиля оплаты блокирует подпись, а не выпадает из фонда молча. Руководитель пакет не редактирует — только подписывает или возвращает.
|
||||
|
||||
- **Подпись** — простая электронная. В момент подписи руководитель повторно подтверждает личность: в приложении PIN или биометрией телефона, в портале паролем.
|
||||
- Сохраняется: кто, когда, устройство, IP, хеш подписанного снимка и версия соглашения об электронной подписи.
|
||||
- Подписывает только роль «Руководитель». Бухгалтер не может подписать свой пакет, даже если у него есть обе роли.
|
||||
- **Регистрация при подписи** идёт одной транзакцией:
|
||||
- начисления и выплаты записываются в реестр идемпотентно по пакету;
|
||||
- пакет и его смены становятся неизменяемыми (K6);
|
||||
- в outbox через общий хелпер записываются события `staff.payroll.package_submitted`, `staff.payroll.package_returned`, `staff.payroll.package_signed`. Оповещения по ним делает Antigravity.
|
||||
- **Возврат** — только с обязательным комментарием. Бухгалтер правит данные и отправляет новую версию пакета. История версий и комментариев сохраняется.
|
||||
- **Выплаты только через подпись.** Закрыть ручные выплаты в обход подписи, включая импорт. Импорт исторических выплат из Excel — отдельная операция, которую тоже подписывает руководитель.
|
||||
- **API:** отправить, вернуть, подписать, история пакета. Добавь эти маршруты в OpenAPI.
|
||||
|
||||
### 4.3 Согласие
|
||||
|
||||
**Сервер.**
|
||||
|
||||
- Журнал согласий только на вставку: сотрудник, вид согласия, версия документа, хеш текста, время по серверу, устройство, IP, способ подписания, время отзыва.
|
||||
- Три отдельных вида согласия: обработка персональных данных, **биометрия**, передача оповещений через иностранные мессенджеры (Telegram).
|
||||
- API: текущие версии документов, принять, отозвать, статус по сотруднику (для терминала).
|
||||
- Тексты хранятся в базе с версиями, чтобы менять их без релиза. Новая версия текста требует повторного согласия при следующем входе.
|
||||
|
||||
**Приложение сотрудника** (дополнение к `docs/APP-CORE.md`).
|
||||
|
||||
- После приглашения и установки пароля и PIN — обязательный экран согласий, до входа в кабинет.
|
||||
- Без согласия на обработку ПДн дальше не пустит. Без согласия на биометрию кабинет работает, но отпечаток зарегистрировать нельзя.
|
||||
- В профиле — подписанные версии и кнопка отзыва.
|
||||
|
||||
**Без смартфона.** Управляющий отмечает бумажное согласие в кабинете и прикладывает скан; отметка идёт в журнал аудита.
|
||||
|
||||
**Юридически.** Для биометрии закон требует письменной формы. Электронное согласие равнозначно письменному, если подписано электронной подписью (в том числе простой) и есть соглашение о её использовании. Тексты согласий и соглашения готовит юрист; в коде предусмотри только их подстановку.
|
||||
|
||||
Этап 4 готов, когда на живой базе:
|
||||
|
||||
- управляющий точки А получает 403 на расчёт точки Б и на отправку пакета;
|
||||
- бухгалтер отправляет пакет, но при попытке подписать получает 403;
|
||||
- начисления и выплаты появляются в реестре только после подписи руководителя;
|
||||
- изменение смены после отправки не даёт подписать пакет;
|
||||
- возврат с комментарием возвращает пакет бухгалтеру;
|
||||
- смена сотрудника точки А, отработанная на точке Б, попадает в расчёт точки Б;
|
||||
- без согласия на биометрию сервер отвечает терминалу «регистрация запрещена».
|
||||
|
||||
## Этап 5 — терминал и служба
|
||||
|
||||
| ID | Что сделать | Где | Готово, когда |
|
||||
| ------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------ | ------------------------------------------------------------------------------- |
|
||||
| K14 (T4, P1) | Терминал создаёт сотрудников со своими ULID, сервер их не знает и отвечает 404, отметки повторяются бесконечно. Нужна синхронизация справочника сотрудников с сервера или передача `personnel_number`. Привести `docs/TERMINAL-API-REQUIREMENTS.md` к фактическому контракту; поля, которых нет в схеме сервера, добавить на сервере или не отправлять | `apps/KronaStaffTerminal/MainPage.xaml.cs:479-492`, `Models/TerminalModels.cs:157` | Отметка с терминала появляется на сервере; бесконечных повторов нет |
|
||||
| K15 (T1, P1) | Служба создаёт pipe `global\KronaStaffTerminalPipe`, клиент подключается к `KronaStaffTerminalPipe`, поэтому IPC не работает (проверено запуском). Нужно: одно имя; `PipeOptions.FirstPipeInstance`; проверка клиентом, что сервер — процесс службы или SYSTEM; `TokenImpersonationLevel.Identification`; интеграционный тест на реальном pipe | `apps/KronaStaffTerminal/Services/TerminalIpc.cs:84, 236` | Клиент подключается к службе; посторонний процесс не может занять имя |
|
||||
| K16 (T2, P1) | Служба от LocalSystem выдаёт операторам полный доступ к каталогу данных и сама меняет в нём ACL и ротирует логи — путь к SYSTEM через junction. Данные службы и логи — только для SYSTEM и Администраторов, с проверкой reparse-точек. Интерфейс работает через IPC. Служба — под виртуальной учётной записью | `Services/TerminalStore.cs:305-360`, `Services/CrashLogService.cs:331-371`, `installer/KronaStaffTerminal.nsi:119` | — |
|
||||
| K17 (T5) | Регистрация отпечатка разрешена только при действующем согласии на биометрию (статус с сервера, кэшируется для офлайна). При отзыве согласия, блокировке и увольнении шаблоны удаляются на следующей синхронизации, включая `.bak1-3` и `*.corrupt-*` | `MainPage.xaml.cs:685-776`, `TerminalStore.cs:96-100, 376-384` | Без согласия регистрация недоступна; после отзыва шаблонов нет ни в одном файле |
|
||||
| T3, T6 | Единственный писатель файла состояния — служба (или межпроцессная блокировка с перечитыванием). Секреты недоступны группе операторов | `KronaStaffWorker.cs:375-393`, `TerminalStore.cs:164, 263, 325-351` | — |
|
||||
| T7, T8 | Установщик: ACL на каталог установки; владелец каталога данных — Администраторы; терминал не запускается с повышенными правами ни после установки, ни после обновления | `installer/KronaStaffTerminal.nsi:49, 56, 110-111`; `MainPage.xaml.cs:1529-1530` | — |
|
||||
| T9, T10 | Проверенный файл обновления держать открытым с запретом записи или копировать в каталог только для администраторов. Токен обновлений с узкими правами. `libzkfp.dll` загружать по абсолютному пути | `Services/UpdateService.cs:118-127, 200-212`; `FingerprintScanner.cs:605-617` | — |
|
||||
| D5 | Скрипт настройки терминала пишет в `%ProgramData%` с DPAPI LocalMachine | `deploy/pilot/configure-terminal-pilot.ps1:11, 24-27, 43` | — |
|
||||
| T11–T13 | Ограничить IPC до проверки HMAC; добавить backoff в синхронизацию; уведомлять об откате к резервной копии; ввести порог совпадения отпечатка | — | — |
|
||||
|
||||
## Этап 6 — портал и документация
|
||||
|
||||
- W1: маршрут `/staff/*` отвечает 200 и HTML на любой путь (`src/app.ts:146`). Оставить явный список разделов, остальное — 404.
|
||||
- D8: привести к коду `ARCHITECTURE.md`, `ROADMAP.md`, `PLATFORM-INTEGRATION.md`, `README.md`, `.env.example` и `SECURITY.md`. `AUDIT-REMEDIATION-2026-09-18.md` пометить устаревшим.
|
||||
|
||||
## Порядок работы с остальными
|
||||
|
||||
1. **Сразу:** этап 0 и этап 1. Как только общий хелпер outbox из K3 влит, сообщи Antigravity.
|
||||
2. **Параллельно:** этапы 2 и 3. Antigravity в это время исправляет синхронизацию и push, Grok строит тестовый контур.
|
||||
3. **Этап 4.** События пакета нужны Antigravity для оповещений. Согласие нужно этапу 5.
|
||||
4. **Этап 5:** K14 и K15 можно начинать сразу после этапа 1; K17 — после серверной части согласия.
|
||||
|
||||
## Отчёт после каждого этапа
|
||||
|
||||
Таблица «ID — что сделано — коммит — тест» и список того, что не удалось, с причиной.
|
||||
|
|
@ -1,93 +0,0 @@
|
|||
# Задание для Grok, круг 2: Windows, сопоставление ID, недостающие сценарии, приёмка
|
||||
|
||||
- Репозиторий: https://git.ochenstarik.ru/ochenstarik/krona-staff
|
||||
- Основа: текущая основная ветка `codex/bootstrap-platform-foundation` (`331e490`) и твоя ветка `grok/e2e-harness` (`421da72`)
|
||||
- Полный аудит владельца теперь в репозитории: `docs/audit/2026-09-26/AUDIT.md`; таблица соответствия ID ниже дублирует главное.
|
||||
|
||||
## Итог приёмки прошлого круга
|
||||
|
||||
Ветку `grok/e2e-harness` проверили на живой PostgreSQL 17.10. Вердикт: **принять после правок из пункта 1**.
|
||||
|
||||
**Что сделано хорошо:**
|
||||
|
||||
- Зона соблюдена: код продукта не тронут.
|
||||
- Все коммиты с объяснением причины.
|
||||
- Прогон дал ровно те же 38 красных и 9 зелёных сценариев, что в твоём отчёте.
|
||||
- Логика `known-defects.json` верная.
|
||||
- SYNC-C0 — настоящая находка, которой не было в аудите владельца: начальная загрузка синхронизации на реальной базе отвечает 500 (`column "status" does not exist`).
|
||||
- Перекрёстная проверка: исправление Antigravity (`antigravity/fix-reject-device-shifts`) на твоих сценариях переводит SYNC-A и SYNC-B в зелёные.
|
||||
|
||||
**Что не так:**
|
||||
|
||||
1. **Под Windows стенд не запускается** (проект разрабатывается под Windows). Все три места падают с `ENOENT`, потому что в Windows это `.cmd`:
|
||||
- `scripts/test/run-e2e.mjs:35` — `spawn('npx', …)`;
|
||||
- `tests/e2e/harness/global-setup.ts:67` — `spawn(node_modules/.bin/tsx, …)`;
|
||||
- `scripts/test/n13-race.mjs:102` — то же, что в предыдущем пункте.
|
||||
2. **ID аудита владельца не сопоставлены** — таблица ниже.
|
||||
3. **`tests/e2e/evidence/` коммитится в репозиторий** и будет меняться при каждом прогоне.
|
||||
|
||||
## Правила — как раньше
|
||||
|
||||
- Ветка `grok/e2e-harness` (дописывай в неё), маленькие коммиты с причиной в теле.
|
||||
- Твоя зона: `tests/e2e/**`, `tests/integration/**` (только очистка и стенд), `.forgejo/workflows/ci.yml`, `scripts/test/**`.
|
||||
- `src/`, `apps/`, `migrations/`, `deploy/` не трогать. Нужна правка продукта — пиши в `tests/e2e/NOTES-FOR-EXECUTORS.md`.
|
||||
|
||||
## 1. Правки, без которых ветку не влить (сегодня)
|
||||
|
||||
| Что сделать | Готово, когда |
|
||||
| -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------- |
|
||||
| Запуск без `.cmd`-обёрток: `spawn(process.execPath, [<путь к tsx/dist/cli.mjs>, 'src/server.ts'])`, vitest — через `process.execPath` и его `vitest.mjs`, либо `shell: true` на `win32`. Добавить в CI проверку запуска на Windows, если есть раннер; если нет — записать это в REPORT | `node scripts/test/run-e2e.mjs` работает на Windows 11 с Node 22+ без правок |
|
||||
| `tests/e2e/evidence/` убрать из git и добавить в `.gitignore`. Результаты прогона — артефакт CI. В репозитории оставить `REPORT.md` и таблицу | Повторный прогон не меняет отслеживаемые файлы |
|
||||
| Перебазировать ветку на `331e490` | Вливается без конфликтов |
|
||||
|
||||
## 2. Сопоставление с ID аудита владельца
|
||||
|
||||
Переименуй теги в названиях сценариев в формат `[K3/N2]`, а ключи в `known-defects.json` — в двойные.
|
||||
|
||||
| ID владельца | Твой сценарий | Суть |
|
||||
| -------------------------- | -------------- | ----------------------------------------------------------------------------------- |
|
||||
| K1 | F2 | Без токенов анонимный запрос получает права |
|
||||
| K3 | N2 | Вставка в outbox без `occurred_at`: подтверждение, расчёт, утверждение падают с 500 |
|
||||
| K4 | N1 | `POST /employees` падает с 500 (`42P08`) |
|
||||
| K5 | N4 | Пересекающиеся расчёты начисляют смену повторно |
|
||||
| K10 | F3 | Сырой токен в cookie, выход не отзывает сессию |
|
||||
| K11 | F4 | Нет ограничения частоты |
|
||||
| K12 | N3 | SSRF через push-подписку |
|
||||
| K13 (S1) | SYNC-A, SYNC-B | Устройство создаёт подтверждённые смены и табель |
|
||||
| S2 | SYNC-J | Отметка задним числом через синхронизацию |
|
||||
| S3 | SYNC-G | Одна битая команда откатывает пакет |
|
||||
| S4 | SYNC-E, SYNC-F | Лишние данные на устройство, отметки уволенных, чужая точка |
|
||||
| S5 | SYNC-C, SYNC-D | Курсор теряет изменения |
|
||||
| S8 | SYNC-H | CSRF на управлении устройствами |
|
||||
| K19 (D4) | OWN-07 | Подпись устаревшего пакета |
|
||||
| D6 | OWN-01, OWN-02 | Управляющий вне своих точек |
|
||||
| K17 | OWN-10, OWN-11 | Согласие на биометрию |
|
||||
| N9, N10, N11, N12, F7, F10 | те же | — |
|
||||
|
||||
## 3. Недостающие сценарии
|
||||
|
||||
Все проверяют правильное поведение. Сейчас они красные — внеси их в `known-defects.json`.
|
||||
|
||||
| ID владельца | Сценарий | Ожидаемое поведение |
|
||||
| ------------ | ----------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| K6 (D5) | Подтверждённую смену включают в расчёт, руководитель подписывает, затем смену отклоняют | 409 или создаётся сторнирующая запись. Сейчас: 200, сторно нет, начисление остаётся |
|
||||
| K7 (D2) | Импорт книги: начисления за один день на двух точках, затем повторный импорт с изменённой суммой | Итог в реестре равен сумме по книге. Сейчас теряется: вторая точка пишется как отрицательная корректировка, изменение суммы пропадает |
|
||||
| K8 (D1) | Расчёт подписан, затем меняется правило оплаты или ставка, затем подписанную ведомость пересчитывают для проверки | Сумма та же, что в подписанной ведомости |
|
||||
| K9 (D3) | Сотрудник с пресетом «официант» (оклад смены, процент от личных продаж, допродажи, премия за средний чек) | Начисление по параметрам пресета. Сейчас 0 ₽: сохраняются только ставка, процент и гарантия |
|
||||
| S9 | Удаление точки, к которой привязано устройство синхронизации | Точка удалена или получен понятный отказ. Сейчас 500, `23502 null value in column "tenant_id"` |
|
||||
| A4 | Любой ответ 500 | Без кода и текста ошибки PostgreSQL в теле. Сейчас наружу уходят, например, `42P08` и `23502` с текстом |
|
||||
| N12-дата | Расчёт с `month = 2026-13` | 400. Сейчас 500 |
|
||||
|
||||
## 4. Приёмка
|
||||
|
||||
1. **Ветка Antigravity `antigravity/fix-reject-device-shifts`.** После того как Antigravity исправит очистку в `sync-rejection.test.ts` и ветку вольют, убери SYNC-A и SYNC-B из `known-defects.json` отдельным коммитом.
|
||||
2. **Ветки Codex `codex/fix-format-baseline` и `codex/fix-live-database`** (этапы 0 и 1: форматирование, K3, K4). Прогони стенд на каждой и дай таблицу «ID — было — стало — доказательство». Если K3 и K4 зелёные, убери их из списка известных дефектов после влития.
|
||||
3. **Дальше** — каждая новая ветка Codex и Antigravity, по той же схеме. На слово ничего не принимать.
|
||||
|
||||
## Порядок
|
||||
|
||||
Пункт 1 → пункт 2 → пункт 3. Приёмку из пункта 4 веди параллельно, по мере появления веток.
|
||||
|
||||
## Отчёт
|
||||
|
||||
Обновлённый `tests/e2e/REPORT.md`: что изменилось, таблица «ID владельца / твой ID — цвет — фактический вывод», приёмочные таблицы по веткам исполнителей.
|
||||
|
|
@ -1,88 +0,0 @@
|
|||
# Задание для Grok, круг 3: приёмка с интеграционными тестами, конфликты веток, сценарий переноса арендатора
|
||||
|
||||
- Репозиторий: https://git.ochenstarik.ru/ochenstarik/krona-staff
|
||||
- Основа: `codex/bootstrap-platform-foundation` (`f5ac179`)
|
||||
- Итоги приёмки: `docs/audit/2026-09-26/ACCEPTANCE-2.md`. Ветка `grok/e2e-harness` (`ba59a48`) принята и вливается первой.
|
||||
|
||||
## Итог прошлого круга
|
||||
|
||||
Принято без замечаний по существу: стенд работает на Windows без правок, ID сопоставлены с аудитом, недостающие сценарии добавлены, приёмка ветки Codex совпала с моей до цифры (41 красный / 13 зелёных). Твоя находка про поведение в «стилевом» коммите Codex подтверждена.
|
||||
|
||||
Одно упущение: в приёмке запускались только `tests/e2e`, а интеграционные тесты самих исполнителей — нет. Из-за этого два красных файла Antigravity прошли бы как «принято».
|
||||
|
||||
## Правила — как раньше
|
||||
|
||||
Только твоя зона: `tests/e2e/**`, `scripts/test/**`, `known-defects.json`, CI. В код исполнителей не коммитишь. Ветки исполнителей не меняешь — проверяешь в отдельных рабочих копиях.
|
||||
|
||||
## 1. Приёмка = стенд + интеграционные тесты + конфликты
|
||||
|
||||
Добавь в `scripts/test/` режим приёмки ветки, например `node scripts/test/accept-branch.mjs <ветка> [<ветка>…]`. Для каждой ветки он:
|
||||
|
||||
1. Создаёт отдельную рабочую копию (`git worktree`) и накладывает текущий стенд.
|
||||
2. Запускает `npm run check`.
|
||||
3. Запускает **все** `tests/integration/*.test.ts` на реальной PostgreSQL. Считает файл красным по итоговой строке `Test Files`, а не `Tests`: ошибка в `beforeAll`/`afterAll` делает файл красным даже при зелёных тестах.
|
||||
4. Запускает e2e-стенд и сравнивает с основой: что позеленело, что покраснело.
|
||||
5. Проверяет попарно слияние всех переданных веток между собой и с основой (`git merge-tree --write-tree`). Печатает таблицу «чисто / конфликт, файлы».
|
||||
6. Печатает итог в markdown, чтобы его можно было вставить в отчёт.
|
||||
|
||||
**Роли базы.** Стенд пересоздаёт роли со случайными паролями на общем кластере — это ломает параллельную работу других. Сделай так, чтобы роли и пароли можно было передать переменными (`E2E_MIGRATOR_URL`, `E2E_APP_URL`) и стенд их тогда не трогал. По умолчанию — как сейчас.
|
||||
|
||||
**Готово, когда** запуск на `antigravity/fix-reject-device-shifts antigravity/fix-sync-c0-bootstrap codex/fix-format-baseline` сам показывает то, что я нашёл вручную:
|
||||
|
||||
| Что | Ожидаемый результат на сегодня |
|
||||
| ------------------------------------- | -------------------------------------------------------------------- |
|
||||
| `sync-rejection.test.ts` на `1df2019` | FAIL: `column "created_by" … does not exist` |
|
||||
| `sync-bootstrap.test.ts` на `8baad55` | FAIL: `Called end on pool more than once` при `Tests 2 passed` |
|
||||
| SYNC-C0 на `8baad55` | зелёный |
|
||||
| AG reject + AG c0 | конфликт, `src/domain/sync/service.ts` |
|
||||
| Codex format + AG c0 | конфликт |
|
||||
| Codex format + AG reject | чисто (потому что в форматировании Codex лежит копия исправления S1) |
|
||||
|
||||
## 2. Проверка «форматирование без поведения»
|
||||
|
||||
Для ветки `codex/fix-format-baseline` (сейчас `513cdff`) добавь в режим приёмки проверку: для каждого изменённого файла взять версию из основы, прогнать через prettier и сравнить с версией из ветки. Любое отличие после нормализации — это поведение, а не стиль. Печатать список таких файлов.
|
||||
|
||||
На сегодня ожидается: `src/domain/sync/service.ts` и `tests/unit/sync.test.ts` отличаются. После нормализации они совпадают с веткой Antigravity построчно. Я проверил это на `513cdff`: Codex перезалил ветку, но синхронизацию не убрал.
|
||||
|
||||
**Готово, когда** проверка ловит `513cdff` и пропускает ветку, где остался только prettier.
|
||||
|
||||
## 3. Храповик после каждого влития
|
||||
|
||||
Когда владелец вливает ветку, отдельным коммитом убери из `known-defects.json` то, что стало зелёным на основе:
|
||||
|
||||
| После влития | Убрать |
|
||||
| --------------------------------- | ------------------------------- |
|
||||
| `codex/fix-live-database` | K3/N2, K4/N1 |
|
||||
| цепочка Antigravity (reject → c0) | K13/SYNC-A, K13/SYNC-B, SYNC-C0 |
|
||||
|
||||
Коммит — только `known-defects.json`, в теле — вывод стенда на основе после влития.
|
||||
|
||||
## 4. Сценарий переноса арендатора (для TASK-CODEX-2, п. 2.2)
|
||||
|
||||
Codex пишет `scripts/rehome-tenant.mjs`: перенос всех данных пилота из заглушки `01J00000000000000000000000` в арендатора `01M2R6AC5652NPT3MG34DKN4ZP`. Подготовь проверку заранее, чтобы принять скрипт в день пуша:
|
||||
|
||||
1. Наполнить базу под заглушкой: сотрудники, точки, смены, начисления в реестре, строки аудита, устройства синхронизации, push-подписки — по несколько строк в каждой таблице со столбцом `tenant_id`. Плюс второй, посторонний арендатор с собственными данными.
|
||||
2. Снять контрольные цифры: число строк по каждой таблице и арендатору, `SUM(amount_minor)` реестра.
|
||||
3. `--dry-run` — ничего не меняет, печатает те же числа.
|
||||
4. Перенос ролью администратора БД.
|
||||
5. Сверка:
|
||||
- `DISTINCT tenant_id` — только новый арендатор и посторонний;
|
||||
- число строк и суммы совпадают;
|
||||
- данные постороннего арендатора не тронуты;
|
||||
- в `staff_audit_log` нового арендатора есть запись о переносе;
|
||||
- приложение ролью `krona_staff_app` под новым арендатором видит тех же сотрудников, а под старым — ничего;
|
||||
- журналы остались неизменяемыми: после переноса `UPDATE` в `staff_payroll_ledger` отклоняется.
|
||||
6. Повторный запуск отказывает: целевой арендатор уже содержит данные.
|
||||
|
||||
Пока скрипта нет, сценарий красный с понятным сообщением и заносится в `known-defects.json` как `PILOT-REHOME`. Список таблиц со столбцом `tenant_id` бери из `information_schema.columns`, а не руками — так новая таблица без переноса сразу даст красный.
|
||||
|
||||
## Порядок
|
||||
|
||||
1 → 2 → прогнать приёмку по всем открытым веткам и выложить результат → 3 по мере влития → 4.
|
||||
|
||||
## Отчёт
|
||||
|
||||
- ветка и коммит;
|
||||
- вывод режима приёмки по всем открытым веткам (`codex/*`, `antigravity/*`) на момент отчёта;
|
||||
- что изменилось в `known-defects.json`;
|
||||
- что не запускалось и почему.
|
||||
|
|
@ -1,84 +0,0 @@
|
|||
# Задание для Grok: тестовый контур на живой базе и независимая приёмка
|
||||
|
||||
- Репозиторий: https://git.ochenstarik.ru/ochenstarik/krona-staff
|
||||
- Основа: ветка `codex/bootstrap-platform-foundation`, коммит `778ba2d`
|
||||
- Материалы в репозитории: `docs/audit/2026-09-26/` — `AUDIT.md` и `evidence/` со сценариями живой проверки и их выводом.
|
||||
|
||||
## Контекст
|
||||
|
||||
`AUDIT.md` сверен с твоим аудитом `2026-09-26_full-project-audit_grok_3e20544.md`. Итог сверки:
|
||||
|
||||
- 22 находки подтверждены;
|
||||
- 4 подтверждены частично (F8, F11, N7, N10);
|
||||
- 1 уже исправлена (F5);
|
||||
- 1 не воспроизвелась (N13).
|
||||
|
||||
После твоего аудита в основную ветку влиты офлайн-синхронизация и новое оформление портала. Находки по синхронизации (S1–S9) в `AUDIT.md` уже учтены.
|
||||
|
||||
Главный урок: 156 зелёных тестов на поддельной базе не заметили, что создание сотрудника, подтверждение смены и расчёт зарплаты на реальной PostgreSQL всегда падают.
|
||||
|
||||
## Твоя роль
|
||||
|
||||
Продукт ты не исправляешь — это делают Codex и Antigravity.
|
||||
|
||||
От тебя нужно две вещи:
|
||||
|
||||
- построить тестовый контур, который ловит дефекты на настоящей базе;
|
||||
- независимо принимать каждое исправление.
|
||||
|
||||
## Зона ответственности
|
||||
|
||||
**Твоя зона:**
|
||||
|
||||
- `tests/e2e/**` — новый набор сквозных сценариев: живой сервер на живой PostgreSQL;
|
||||
- `tests/integration/tenant-isolation.test.ts`;
|
||||
- `.forgejo/workflows/ci.yml` и вспомогательные скрипты для тестов.
|
||||
|
||||
**Не трогай:** `src/`, `apps/`, `migrations/`, `deploy/`. Это зоны Codex и Antigravity. Если тесту нужна правка продукта, оставь замечание исполнителю.
|
||||
|
||||
## Правила
|
||||
|
||||
- Ветка `grok/e2e-harness`, маленькие коммиты. В теле каждого коммита объясни причину (AGENTS.md).
|
||||
- Токены и ключи в тестах генерируй случайно. Реальные ФИО и суммы не используй.
|
||||
- К каждому выводу прикладывай команду и фактический вывод. То, что не удалось проверить, помечай «не проверено» явно, как ты уже делаешь.
|
||||
|
||||
## Задачи
|
||||
|
||||
| № | Что сделать | Готово, когда |
|
||||
| --- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------- |
|
||||
| 1 | **N5.** В тесте изоляции арендаторов очистка идёт ролью приложения, а у неё нет права DELETE на сотрудников. Перенеси очистку на роль мигратора или оберни в транзакцию с откатом | Тест проходит на живой базе; CI с `DATABASE_TEST_URL` из-за него больше не красный |
|
||||
| 2 | **Набор `tests/e2e`.** Поднять сервер на реальной PostgreSQL 17 и прогнать сценарии по всем находкам P0 и P1. За основу взять `evidence/live-audit.mjs.txt` и `evidence/live-sync.mjs.txt`. Каждый сценарий проверяет правильное поведение, поэтому сейчас он красный. Список красных сценариев и есть список открытых дефектов | Есть сценарии для K1, K3, K4, K5, K6, K10, K11, K12, S1, S2, S9, N9, N12 и A4; отчёт «зелёный / красный» по каждому ID |
|
||||
| 3 | **Сценарии по решениям владельца (роли, точки, процесс подтверждения, согласие).** Подробности — в таблице ниже | Сценарии есть и пока красные; это ожидаемо |
|
||||
| 4 | **CI.** Сервис PostgreSQL; роли как в пилоте, но мигратор **без** SUPERUSER. Миграции вверх, откат всех, снова вверх. Запуск `tests/e2e`. `docker build` перенести туда, где есть docker, либо вынести в отдельную задачу. Закрепить действия по SHA (F13) | CI реально проверяет схему и маршруты на живой базе |
|
||||
| 5 | **Проверка пилотного compose** тестом, как сейчас проверяется корневой: переменные с `:?`, нет `NODE_ENV=development`, у приложения нет учётных данных мигратора | — |
|
||||
| 6 | **Приёмка.** Первым проверь немедленную меру Antigravity по S1: устройство больше не создаёт и не меняет смену. Дальше после каждого PR от Codex и Antigravity прогоняй `tests/e2e` и целевые сценарии. На слово ничего не принимай | По каждому закрытому ID есть независимое подтверждение: таблица «ID — было — стало — доказательство» |
|
||||
| 7 | **Повторить N13** (гонка первого расчёта) под нагрузкой: 10–50 параллельных запросов. У меня на двух запросах не воспроизвелось | Вердикт с числом попыток |
|
||||
| 8 | **Snyk** — только если владелец выдаст токен. Без токена не запускать | — |
|
||||
|
||||
Сценарии для задачи 3:
|
||||
|
||||
| Сценарий | Ожидаемый результат |
|
||||
| --------------------------------------------- | -------------------------------------------------------------------- |
|
||||
| Управляющий точки А запускает расчёт точки Б | 403 |
|
||||
| Управляющий отправляет пакет на подтверждение | 403 |
|
||||
| Бухгалтер отправляет пакет | успешно; оповещение каждому руководителю ровно одно |
|
||||
| Бухгалтер пытается подписать пакет | 403 |
|
||||
| Реестр до подписи руководителя | начислений и выплат нет |
|
||||
| Руководитель подписывает | начисления и выплаты зарегистрированы; пакет и его смены неизменяемы |
|
||||
| Изменение смены после отправки | подписать пакет нельзя, он возвращается бухгалтеру |
|
||||
| Возврат с комментарием | пакет у бухгалтера, комментарий сохранён |
|
||||
| Сотрудник точки А отработал смену на точке Б | смена попадает в расчёт точки Б |
|
||||
| Сотрудник без согласия на биометрию | сервер отвечает терминалу «регистрация запрещена» |
|
||||
| Отзыв согласия | статус для терминала меняется |
|
||||
|
||||
Проверки, которым нужна Windows (DPAPI, ACL каталога данных, установщик, WinUI, реальный pipe), в твоём окружении недоступны. Отмечай их «не проверено» и ссылайся на тесты Codex.
|
||||
|
||||
## Порядок работы с остальными
|
||||
|
||||
1. **Сразу:** задачи 1, 2, 4 и 5. Это не зависит от других исполнителей.
|
||||
2. **Задача 3** — сразу. Сценарии будут красными, пока Codex не сделает этап 4.
|
||||
3. **Задача 6** — по мере поступления PR. Первым — немедленная мера Antigravity по S1, затем этап 1 Codex (K3, K4).
|
||||
|
||||
## Отчёт
|
||||
|
||||
Первый PR — после задач 1, 2, 4 и 5. В нём набор сценариев и краткий отчёт: какие сценарии красные. Дальше — приёмочная таблица после каждого PR исполнителей.
|
||||
|
|
@ -1,17 +0,0 @@
|
|||
# Доказательства аудита 2026-09-26
|
||||
|
||||
| Файл | Что это |
|
||||
| ---------------------- | ---------------------------------------------------------------------------------------------------------- |
|
||||
| `live-audit.mjs.txt` | Сценарии живой проверки основной ветки `3e20544`: сервер на реальной PostgreSQL 17, настоящие HTTP-запросы |
|
||||
| `live-audit-final.txt` | Вывод последнего прогона на базе в UTF-8 |
|
||||
| `live-sync.mjs.txt` | Сценарии для ветки синхронизации `5ee7517` |
|
||||
| `live-sync.txt` | Вывод прогона |
|
||||
| `format-check.txt` | Вывод `npm run format:check` |
|
||||
|
||||
Сценарии сохранены с расширением `.mjs.txt`, чтобы их не проверял линтер проекта. Для запуска скопируйте файл вне репозитория и уберите `.txt`. Поддерживаемая рабочая версия этих проверок — стенд Grok в `tests/e2e/`.
|
||||
|
||||
Как запускались: рабочая копия нужного коммита (`git worktree add --detach … <commit>`), `npm ci`, PostgreSQL 17 на порту 55432 с суперпользователем `postgres`, мигратор `krona_migrator` без SUPERUSER (владелец базы), роль приложения `krona_staff_app`, база в UTF-8, миграции `node scripts/migrate.mjs up`. Пути к рабочим копиям в начале скриптов (`REPO`) — локальные, их нужно поправить под своё окружение.
|
||||
|
||||
Токены в сценариях генерируются случайно при каждом запуске и никуда не выводятся. Пароли ролей — одноразовые для локального стенда.
|
||||
|
||||
Для сценариев N4, D5 и S1 скрипт временно задаёт значение по умолчанию для `staff_outbox.occurred_at` (иначе мешает дефект N2) и снимает его после сценария. После исправления N2 эти строки нужно удалить.
|
||||
|
|
@ -1,6 +0,0 @@
|
|||
[S9] ПОДТВЕРЖДЕНО — удаление точки с устройством → 23502 null value in column "tenant_id" of relation "staff_sync_devices" violates not-null constraint
|
||||
device registration → 201; scopes ["attendance:sync"]
|
||||
device push → 200 {"results":[{"idempotency_key":"forge-1790409261814","command_type":"upsert_work_session","status":"rejected","error_code":"COMMAND_NOT_SUPPORTED","error_message":"Команда не поддерживается: прямое создание или изменение смен и табелей с устройств запрещено"},…
|
||||
[S1] не подтверждено — смена от устройства: статус undefined, минут undefined, подтвердил никто, записей в журнале аудита арендатора: 0
|
||||
[S2] ПОДТВЕРЖДЕНО — отметка с временем 2020-01-01 через синхронизацию сохранена: true
|
||||
[S1→payroll] расчёт сентября → 200; начислено по поддельной смене: 0 ₽ (48 ч × 300 ₽)
|
||||
|
|
@ -1,40 +0,0 @@
|
|||
× [N1] менеджер создаёт сотрудника через POST /employees → 201 487ms
|
||||
× [N2] подтверждение смены, расчёт и утверждение зарплаты проходят (200) и начисляют 8 ч × ставка 1795ms
|
||||
× [N4] пересекающиеся расчёты не начисляют одну смену дважды 943ms
|
||||
× [N3] push-подписка на внутренний адрес отклоняется, сервер не подключается к 127.0.0.1 2834ms
|
||||
× [N9] чужой push-endpoint нельзя перепривязать к другому сотруднику 421ms
|
||||
× [N12] PUT pay-assignment отвергает лишние поля и нереальные суммы (400) 386ms
|
||||
× [N10] терминальный токен не читает справочники профессий и точек (403) 31ms
|
||||
× [F2] standalone без токенов не выдаёт права менеджера анонимному запросу (401) 322ms
|
||||
× [F3] cookie сессии не содержит сырой токен и отзывается при выходе 50ms
|
||||
× [F10] мутация по cookie без Origin отклоняется (CSRF, 403) 21ms
|
||||
× [F7] повтор Idempotency-Key с другим телом не создаёт второе событие 790ms
|
||||
× [N11] импорт с неверным kind начисления → 400, а не 500 602ms
|
||||
× [F4] перебор ключей входа ограничивается (429 не позже 30 неверных попыток) 744ms
|
||||
× [OWN-01] менеджер точки A запускает расчёт для точки B → 403 978ms
|
||||
× [OWN-02] менеджер точки отправляет пакет на согласование → 403 750ms
|
||||
× [OWN-03] бухгалтер отправляет пакет → успех, каждый директор получает ровно одно уведомление 10ms
|
||||
× [OWN-04] бухгалтер пытается подписать пакет → 403 20ms
|
||||
× [OWN-05] до подписи директора в ledger нет начислений и выплат 5ms
|
||||
× [OWN-06] подпись директора → начисления и выплаты в ledger, пакет и смены неизменяемы 10ms
|
||||
× [OWN-07] смена изменена после отправки → подписать нельзя (409), пакет возвращён бухгалтеру 5ms
|
||||
× [OWN-08] возврат с комментарием → пакет у бухгалтера, комментарий сохранён 10ms
|
||||
× [OWN-09] сотрудник точки A отработал смену в точке B → смена попадает в зарплату точки B 16ms
|
||||
× [OWN-10] сотрудник без согласия на биометрию → сервер сообщает терминалу «регистрация запрещена» 250ms
|
||||
× [OWN-11] согласие отозвано → статус для терминала меняется 297ms
|
||||
× [SYNC-A] устройство не может само подтвердить смену (status=confirmed отклоняется) 791ms
|
||||
× [SYNC-B] устройство не может утвердить табель (status=approved отклоняется) 392ms
|
||||
× [SYNC-C0] начальная загрузка (pull без курсора) работает на реальной БД (200) 427ms
|
||||
× [SYNC-C] начальная загрузка >100 сущностей отдаёт все сущности постранично 960ms
|
||||
× [SYNC-D] изменения, сделанные через портал, попадают в инкрементальный pull 518ms
|
||||
× [SYNC-E] отметка уволенного сотрудника через sync отклоняется 279ms
|
||||
× [SYNC-F] отметка через sync сохраняет точку устройства; чужая точка в payload отклоняется 664ms
|
||||
× [SYNC-G] битая команда в пакете отклоняется по отдельности, остальные применяются (не 500) 350ms
|
||||
× [SYNC-H] регистрация устройства по cookie с чужим Origin отклоняется (CSRF, 403) 180ms
|
||||
× [SYNC-I] без настроенных токенов анонимный запрос не регистрирует устройство (401) 180ms
|
||||
× [SYNC-J] отметка через sync вне окна времени (2001 год) отклоняется, как в POST /attendance/events 308ms
|
||||
× [SYNC-K] ack курсора из будущего (больше выданного сервером) отклоняется (400) 25ms
|
||||
× [PILOT-1] все подставляемые переменные обязательны: ${VAR:?сообщение} 103ms
|
||||
× [PILOT-2] ни один сервис не запускается с NODE_ENV=development 4ms
|
||||
⎯⎯⎯⎯⎯⎯ Failed Tests 38 ⎯⎯⎯⎯⎯⎯⎯
|
||||
Tests 38 failed | 9 passed (47)
|
||||
|
|
@ -1,12 +0,0 @@
|
|||
× [SYNC-C0] начальная загрузка (pull без курсора) работает на реальной БД (200) 466ms
|
||||
× [SYNC-C] начальная загрузка >100 сущностей отдаёт все сущности постранично 624ms
|
||||
× [SYNC-D] изменения, сделанные через портал, попадают в инкрементальный pull 372ms
|
||||
× [SYNC-E] отметка уволенного сотрудника через sync отклоняется 223ms
|
||||
× [SYNC-F] отметка через sync сохраняет точку устройства; чужая точка в payload отклоняется 477ms
|
||||
× [SYNC-G] битая команда в пакете отклоняется по отдельности, остальные применяются (не 500) 213ms
|
||||
× [SYNC-H] регистрация устройства по cookie с чужим Origin отклоняется (CSRF, 403) 136ms
|
||||
× [SYNC-I] без настроенных токенов анонимный запрос не регистрирует устройство (401) 33ms
|
||||
× [SYNC-J] отметка через sync вне окна времени (2001 год) отклоняется, как в POST /attendance/events 283ms
|
||||
× [SYNC-K] ack курсора из будущего (больше выданного сервером) отклоняется (400) 27ms
|
||||
⎯⎯⎯⎯⎯⎯ Failed Tests 10 ⎯⎯⎯⎯⎯⎯⎯
|
||||
Tests 10 failed | 3 passed (13)
|
||||
|
|
@ -1,18 +0,0 @@
|
|||
Checking formatting...
|
||||
[[33mwarn[39m] apps/KronaStaffService/README.md
|
||||
[[33mwarn[39m] deploy/pilot/compose.yaml
|
||||
[[33mwarn[39m] docs/DRIVER-DISTRIBUTION.md
|
||||
[[33mwarn[39m] docs/HARDWARE-TEST-SLK20R.md
|
||||
[[33mwarn[39m] docs/TERMINAL-API-REQUIREMENTS.md
|
||||
[[33mwarn[39m] scripts/check-migrations.mjs
|
||||
[[33mwarn[39m] src/adapters/identity.ts
|
||||
[[33mwarn[39m] src/app.ts
|
||||
[[33mwarn[39m] src/config.ts
|
||||
[[33mwarn[39m] src/domain/attendance/work-session.ts
|
||||
[[33mwarn[39m] src/domain/notification/web-push.ts
|
||||
[[33mwarn[39m] src/portal.ts
|
||||
[[33mwarn[39m] tests/unit/config.test.ts
|
||||
[[33mwarn[39m] tests/unit/employee-push.test.ts
|
||||
[[33mwarn[39m] tests/unit/tenant-sql.test.ts
|
||||
[[33mwarn[39m] tests/unit/work-session.test.ts
|
||||
[[33mwarn[39m] Code style issues found in 16 files. Run Prettier with --write to fix.
|
||||
|
|
@ -1,16 +0,0 @@
|
|||
[F2] ПОДТВЕРЖДЕНО — STANDALONE_ACCESS=manager, без токенов и без Authorization: GET /portal 200, GET /payroll 200, GET /finance 200, POST /professions 201; POST /session 403
|
||||
[F2] ПОДТВЕРЖДЕНО — STANDALONE_ACCESS=employee, без токенов и без Authorization: GET /portal 200, GET /payroll 200, GET /finance 403, POST /professions 403; POST /session 403
|
||||
[F4] ПОДТВЕРЖДЕНО — 60 неверных POST /session → {"401":60}
|
||||
[F3] ПОДТВЕРЖДЕНО — вход 200, выход 204; cookie содержит сам токен менеджера: true; после DELETE /session старая cookie → GET /portal 200; флаги: Path=/; Max-Age=28800; HttpOnly; Secure; SameSite=Strict
|
||||
[N1] ПОДТВЕРЖДЕНО — POST /employees → 500 {"statusCode":500,"code":"42P08","error":"Internal Server Error","message":"inconsistent types deduced for parameter $2"}
|
||||
[N2] ПОДТВЕРЖДЕНО — PATCH /work-sessions (confirmed) → 500 {"statusCode":500,"code":"23502","error":"Internal Server Error","message":"null value in column \"occurred_at\" of relation \"staff_outbox\" violates not-null constraint"}; GET /pay-rules → 200 (6 правил, выбрано hourly); PUT pay-assignment → 200; POST /payroll/calculate → 500 {"statusCode":500,"code":"23502","error":"Internal Server Error","message":"null value in column \"occurred_at\" of relation \"staff_outbox\" violates not-null constraint"}
|
||||
[N4] ПОДТВЕРЖДЕНО — повторное подтверждение смены → 200; {"month":"2026-09"}: calculate 200, approve 200; {"from":"2026-09-02","to":"2026-09-30"}: calculate 200, approve 200; {"month":"2026-09","org_unit_id":"01M3E6YN08K537W6JNRANDR3X3"}: calculate 200, approve 200; в реестре начислений за одну смену 8 ч × 300 ₽: записей 3, сумма 7200 ₽
|
||||
[D5] ПОДТВЕРЖДЕНО — отклонение смены, уже начисленной в утверждённой ведомости → 200; записей в реестре после этого: 3 (сторно не создано)
|
||||
[N13] не воспроизведено — два одновременных первых расчёта октября → 200 {"run_id":"01M3E6YXA273MH6XX04CSAQJK9","status":"calculated","org_unit_id":null,"period_st | 200 {"run_id":"01M3E6YXA273MH6XX04CSAQJK9","status":"calculated","org_unit_id":null,"period_st
|
||||
[D9] проверка — month=2026-13 → 500; rate_minor=1e20 и лишнее поле → 200 {"id":"01M3E6YXHHCBJPWMF6VT7MYZGY","employee_id":"01M3E6YN08XJM58HP60FWVJSJ5","org_unit_id":"01M3E6YN08K537W6JNRANDR3X3"
|
||||
[N3] ПОДТВЕРЖДЕНО — выдача ключа сотруднику → 200; подписка на https://127.0.0.1:18443 → 201; отметка терминала → 201; входящих соединений на внутренний адрес: 1, TLS ClientHello: true
|
||||
[N9] ПОДТВЕРЖДЕНО — сотрудник Б подписывает endpoint сотрудника А → 201; подписка теперь принадлежит сотруднику Б: true
|
||||
[A4] проверка — 500 с деталями: POST /employees с несуществующей профессией → 500 {"statusCode":500,"code":"42P08","error":"Internal Server Error","message":"inconsistent types deduced for parameter $2"}
|
||||
[N10] проверка — терминал: GET /professions → 200 ({"professions":[{"id":"01M3E6YEJRAZQ9ZRQM1XZXWJ8T","code":"profession-01m3e6yejrazq9zrqm1xzxwj8t","name":"audit-open-manager-1790404672076","status":"active","created_at":"2026-09-26T06:37:52.089Z","updated_at":"2026-09-…); GET /org-units → 200 {"org_units":[]}
|
||||
[HDR] проверка — GET /staff: content-security-policy="default-src 'self';base-uri 'self';font-src 'self' https: data:;form-action 'self';frame-ancestors 'self';img-src 'self' data:;object-src 'none';script-src 'self';script-src-attr 'none';style-src 'self' https: 'unsafe-inline';upgrade-insecure-requests", strict-transport-security="max-age=31536000; includeSubDomains"
|
||||
|
||||
|
|
@ -1,426 +0,0 @@
|
|||
// Live audit of krona-staff against a real PostgreSQL 17. Read-only for the repository:
|
||||
// data is seeded in a throwaway local database, tokens are random and never printed.
|
||||
import { createRequire } from 'node:module';
|
||||
import { spawn } from 'node:child_process';
|
||||
import { randomBytes, createECDH } from 'node:crypto';
|
||||
import net from 'node:net';
|
||||
|
||||
const REPO = 'C:/Users/Ochenstarik/Agent_projects/krona-staff-audit';
|
||||
const require = createRequire(`${REPO}/package.json`);
|
||||
const pg = require('pg');
|
||||
const { ulid } = require('ulid');
|
||||
|
||||
const SUPER = 'postgres://postgres:audit-superuser@127.0.0.1:55432/krona_staff';
|
||||
const APP = 'postgres://krona_staff_app:audit-app-password@127.0.0.1:55432/krona_staff';
|
||||
const PORT = 18080;
|
||||
const BASE = `http://127.0.0.1:${PORT}/api/v1/staff`;
|
||||
const TENANT = ulid();
|
||||
const ACTOR = ulid();
|
||||
const TERMINAL_ACTOR = ulid();
|
||||
const MANAGER_TOKEN = randomBytes(32).toString('base64url');
|
||||
const TERMINAL_TOKEN = randomBytes(32).toString('base64url');
|
||||
const results = [];
|
||||
|
||||
function record(id, verdict, detail) {
|
||||
results.push({ id, verdict, detail });
|
||||
console.log(`[${id}] ${verdict} — ${detail}`);
|
||||
}
|
||||
|
||||
async function superQuery(sql, params = []) {
|
||||
const client = new pg.Client({ connectionString: SUPER });
|
||||
await client.connect();
|
||||
try {
|
||||
return await client.query(sql, params);
|
||||
} finally {
|
||||
await client.end();
|
||||
}
|
||||
}
|
||||
|
||||
function startServer(extraEnv) {
|
||||
const env = {
|
||||
...process.env,
|
||||
NODE_ENV: 'development',
|
||||
HOST: '127.0.0.1',
|
||||
PORT: String(PORT),
|
||||
LOG_LEVEL: 'silent',
|
||||
STAFF_RUNTIME_MODE: 'standalone',
|
||||
DATABASE_URL: APP,
|
||||
STANDALONE_TENANT_ID: TENANT,
|
||||
STANDALONE_ACTOR_ID: ACTOR,
|
||||
STANDALONE_TERMINAL_ACTOR_ID: TERMINAL_ACTOR,
|
||||
...extraEnv,
|
||||
};
|
||||
for (const [key, value] of Object.entries(env)) if (value === undefined) delete env[key];
|
||||
const child = spawn(process.execPath, ['node_modules/tsx/dist/cli.mjs', 'src/server.ts'], {
|
||||
cwd: REPO,
|
||||
env,
|
||||
stdio: ['ignore', 'ignore', 'pipe'],
|
||||
});
|
||||
let stderr = '';
|
||||
child.stderr.on('data', (chunk) => (stderr += chunk));
|
||||
child.stderrText = () => stderr;
|
||||
return child;
|
||||
}
|
||||
|
||||
async function waitReady() {
|
||||
for (let attempt = 0; attempt < 120; attempt += 1) {
|
||||
try {
|
||||
const response = await fetch(`${BASE}/live`);
|
||||
if (response.ok) return;
|
||||
} catch {}
|
||||
await new Promise((resolve) => setTimeout(resolve, 500));
|
||||
}
|
||||
throw new Error('server did not start');
|
||||
}
|
||||
|
||||
async function stop(child) {
|
||||
child.kill();
|
||||
await new Promise((resolve) => setTimeout(resolve, 800));
|
||||
}
|
||||
|
||||
async function call(method, path, { token, body, headers = {} } = {}) {
|
||||
const response = await fetch(`${BASE}${path}`, {
|
||||
method,
|
||||
headers: {
|
||||
...(body !== undefined ? { 'content-type': 'application/json' } : {}),
|
||||
...(token ? { authorization: `Bearer ${token}` } : {}),
|
||||
...headers,
|
||||
},
|
||||
body: body !== undefined ? JSON.stringify(body) : undefined,
|
||||
});
|
||||
const text = await response.text();
|
||||
let json;
|
||||
try {
|
||||
json = JSON.parse(text);
|
||||
} catch {
|
||||
json = text;
|
||||
}
|
||||
return { status: response.status, json, headers: response.headers };
|
||||
}
|
||||
|
||||
function brief(value) {
|
||||
const text = typeof value === 'string' ? value : JSON.stringify(value);
|
||||
return text.length > 220 ? `${text.slice(0, 220)}…` : text;
|
||||
}
|
||||
|
||||
// ---------------------------------------------------------------- scenario A
|
||||
async function scenarioOpenMode(access) {
|
||||
const server = startServer({ STANDALONE_ACCESS: access });
|
||||
try {
|
||||
await waitReady();
|
||||
const portal = await call('GET', '/portal');
|
||||
const payroll = await call('GET', '/payroll');
|
||||
const finance = await call('GET', '/finance');
|
||||
const writeProfession = await call('POST', '/professions', {
|
||||
body: { name: `audit-open-${access}-${Date.now()}` },
|
||||
});
|
||||
const session = await call('POST', '/session', {
|
||||
body: { access_token: 'x'.repeat(40) },
|
||||
headers: { origin: `http://127.0.0.1:${PORT}` },
|
||||
});
|
||||
record(
|
||||
'F2',
|
||||
portal.status === 200 || payroll.status === 200 ? 'ПОДТВЕРЖДЕНО' : 'не подтверждено',
|
||||
`STANDALONE_ACCESS=${access}, без токенов и без Authorization: GET /portal ${portal.status}, GET /payroll ${payroll.status}, GET /finance ${finance.status}, POST /professions ${writeProfession.status}; POST /session ${session.status}`,
|
||||
);
|
||||
} finally {
|
||||
await stop(server);
|
||||
}
|
||||
}
|
||||
|
||||
// ---------------------------------------------------------------- scenario B
|
||||
async function seed() {
|
||||
const orgUnit = ulid();
|
||||
const employee = ulid();
|
||||
const pushEmployee = ulid();
|
||||
const session = ulid();
|
||||
await superQuery(
|
||||
`INSERT INTO staff_org_units (id, tenant_id, code, name) VALUES ($1, $2, 'audit-unit', 'Аудиторская точка')`,
|
||||
[orgUnit, TENANT],
|
||||
);
|
||||
await superQuery(
|
||||
`INSERT INTO staff_employees (id, tenant_id, personnel_number, display_name, status)
|
||||
VALUES ($1, $3, 'A-001', 'Аудит Сотрудник', 'active'), ($2, $3, 'A-002', 'Аудит Push', 'active')`,
|
||||
[employee, pushEmployee, TENANT],
|
||||
);
|
||||
await superQuery(
|
||||
`INSERT INTO staff_work_sessions
|
||||
(id, tenant_id, employee_id, org_unit_id, business_date, started_at, ended_at, worked_minutes, status)
|
||||
VALUES ($1, $2, $3, $4, '2026-09-10', '2026-09-10T02:00:00Z', '2026-09-10T10:00:00Z', 480, 'pending_review')`,
|
||||
[session, TENANT, employee, orgUnit],
|
||||
);
|
||||
return { orgUnit, employee, pushEmployee, session };
|
||||
}
|
||||
|
||||
async function scenarioWithTokens() {
|
||||
const ids = await seed();
|
||||
const server = startServer({
|
||||
STANDALONE_ACCESS: 'employee',
|
||||
STANDALONE_MANAGER_TOKEN: MANAGER_TOKEN,
|
||||
STANDALONE_TERMINAL_TOKEN: TERMINAL_TOKEN,
|
||||
});
|
||||
try {
|
||||
await waitReady();
|
||||
const origin = { origin: `http://127.0.0.1:${PORT}` };
|
||||
|
||||
// F4: brute force on /session
|
||||
const statuses = {};
|
||||
for (let index = 0; index < 60; index += 1) {
|
||||
const response = await call('POST', '/session', {
|
||||
body: { access_token: randomBytes(32).toString('base64url') },
|
||||
});
|
||||
statuses[response.status] = (statuses[response.status] ?? 0) + 1;
|
||||
}
|
||||
record(
|
||||
'F4',
|
||||
statuses[429] ? 'не подтверждено' : 'ПОДТВЕРЖДЕНО',
|
||||
`60 неверных POST /session → ${JSON.stringify(statuses)}`,
|
||||
);
|
||||
|
||||
// F3: cookie carries the raw token and survives logout
|
||||
const login = await call('POST', '/session', { body: { access_token: MANAGER_TOKEN } });
|
||||
const setCookie = login.headers.get('set-cookie') ?? '';
|
||||
const cookieValue = decodeURIComponent(setCookie.split(';')[0].split('=').slice(1).join('='));
|
||||
const cookieIsToken = cookieValue === MANAGER_TOKEN;
|
||||
const cookieHeader = setCookie.split(';')[0];
|
||||
const logout = await call('DELETE', '/session', { headers: { cookie: cookieHeader } });
|
||||
const afterLogout = await call('GET', '/portal', { headers: { cookie: cookieHeader } });
|
||||
record(
|
||||
'F3',
|
||||
cookieIsToken && afterLogout.status === 200 ? 'ПОДТВЕРЖДЕНО' : 'частично',
|
||||
`вход ${login.status}, выход ${logout.status}; cookie содержит сам токен менеджера: ${cookieIsToken}; после DELETE /session старая cookie → GET /portal ${afterLogout.status}; флаги: ${setCookie.split(';').slice(1).map((part) => part.trim()).join('; ')}`,
|
||||
);
|
||||
|
||||
// N1: create employee
|
||||
const created = await call('POST', '/employees', {
|
||||
token: MANAGER_TOKEN,
|
||||
body: { personnel_number: 'A-100', display_name: 'Новый Сотрудник', position: 'Повар' },
|
||||
});
|
||||
record(
|
||||
'N1',
|
||||
created.status >= 500 ? 'ПОДТВЕРЖДЕНО' : 'не подтверждено',
|
||||
`POST /employees → ${created.status} ${brief(created.json)}`,
|
||||
);
|
||||
|
||||
// N2: confirm session and calculate
|
||||
const confirm = await call('PATCH', `/work-sessions/${ids.session}`, {
|
||||
token: MANAGER_TOKEN,
|
||||
body: { status: 'confirmed' },
|
||||
});
|
||||
const rules = await call('GET', '/pay-rules', { token: MANAGER_TOKEN });
|
||||
const ruleList = rules.json?.pay_rules ?? [];
|
||||
const hourlyRule =
|
||||
ruleList.find((rule) => /hour/.test(String(rule.code))) ?? ruleList[0];
|
||||
const assignment = hourlyRule
|
||||
? await call('PUT', `/employees/${ids.employee}/pay-assignment`, {
|
||||
token: MANAGER_TOKEN,
|
||||
body: {
|
||||
pay_rule_id: hourlyRule.id,
|
||||
org_unit_id: ids.orgUnit,
|
||||
rate_minor: 30000,
|
||||
effective_from: '2026-09-01',
|
||||
},
|
||||
})
|
||||
: { status: 'нет правил', json: rules.json };
|
||||
const calculate = await call('POST', '/payroll/calculate', {
|
||||
token: MANAGER_TOKEN,
|
||||
body: { month: '2026-09' },
|
||||
});
|
||||
record(
|
||||
'N2',
|
||||
confirm.status >= 500 || calculate.status >= 500 ? 'ПОДТВЕРЖДЕНО' : 'не подтверждено',
|
||||
`PATCH /work-sessions (confirmed) → ${confirm.status} ${brief(confirm.json)}; GET /pay-rules → ${rules.status} (${ruleList.length} правил, выбрано ${hourlyRule?.code}); PUT pay-assignment → ${assignment.status}; POST /payroll/calculate → ${calculate.status} ${brief(calculate.json)}`,
|
||||
);
|
||||
|
||||
// N4: overlapping runs, after bypassing N2 in this throwaway database only
|
||||
await superQuery('ALTER TABLE staff_outbox ALTER COLUMN occurred_at SET DEFAULT now()');
|
||||
try {
|
||||
const confirmAgain = await call('PATCH', `/work-sessions/${ids.session}`, {
|
||||
token: MANAGER_TOKEN,
|
||||
body: { status: 'confirmed' },
|
||||
});
|
||||
const periods = [
|
||||
{ month: '2026-09' },
|
||||
{ from: '2026-09-02', to: '2026-09-30' },
|
||||
{ month: '2026-09', org_unit_id: ids.orgUnit },
|
||||
];
|
||||
const steps = [];
|
||||
for (const period of periods) {
|
||||
const run = await call('POST', '/payroll/calculate', { token: MANAGER_TOKEN, body: period });
|
||||
const runId = run.json?.run_id ?? run.json?.id ?? run.json?.run?.id;
|
||||
const approve = runId
|
||||
? await call('POST', `/payroll/runs/${runId}/approve`, { token: MANAGER_TOKEN })
|
||||
: { status: 'нет run_id', json: run.json };
|
||||
steps.push(`${JSON.stringify(period)}: calculate ${run.status}, approve ${approve.status}`);
|
||||
}
|
||||
const ledger = await superQuery(
|
||||
`SELECT count(*)::int AS entries, COALESCE(sum(amount_minor), 0)::bigint AS total
|
||||
FROM staff_payroll_ledger WHERE tenant_id = $1 AND employee_id = $2 AND kind = 'accrual'`,
|
||||
[TENANT, ids.employee],
|
||||
);
|
||||
const { entries, total } = ledger.rows[0];
|
||||
record(
|
||||
'N4',
|
||||
entries > 1 ? 'ПОДТВЕРЖДЕНО' : 'не подтверждено',
|
||||
`повторное подтверждение смены → ${confirmAgain.status}; ${steps.join('; ')}; в реестре начислений за одну смену 8 ч × 300 ₽: записей ${entries}, сумма ${Number(total) / 100} ₽`,
|
||||
);
|
||||
|
||||
// D5: a session already paid by an approved run can still be rejected or edited
|
||||
const rejectPaid = await call('PATCH', `/work-sessions/${ids.session}`, {
|
||||
token: MANAGER_TOKEN,
|
||||
body: { status: 'rejected', correction_note: 'audit: after approval' },
|
||||
});
|
||||
const ledgerAfter = await superQuery(
|
||||
`SELECT count(*)::int AS entries FROM staff_payroll_ledger
|
||||
WHERE tenant_id = $1 AND employee_id = $2`,
|
||||
[TENANT, ids.employee],
|
||||
);
|
||||
record(
|
||||
'D5',
|
||||
rejectPaid.status < 300 ? 'ПОДТВЕРЖДЕНО' : 'не подтверждено',
|
||||
`отклонение смены, уже начисленной в утверждённой ведомости → ${rejectPaid.status}; записей в реестре после этого: ${ledgerAfter.rows[0].entries} (сторно не создано)`,
|
||||
);
|
||||
|
||||
// N13: two first calculations of the same new period at once
|
||||
await superQuery(
|
||||
`INSERT INTO staff_work_sessions
|
||||
(id, tenant_id, employee_id, org_unit_id, business_date, worked_minutes, status)
|
||||
VALUES ($1, $2, $3, $4, '2026-10-05', 480, 'confirmed')`,
|
||||
[ulid(), TENANT, ids.employee, ids.orgUnit],
|
||||
);
|
||||
const race = await Promise.all([
|
||||
call('POST', '/payroll/calculate', { token: MANAGER_TOKEN, body: { month: '2026-10' } }),
|
||||
call('POST', '/payroll/calculate', { token: MANAGER_TOKEN, body: { month: '2026-10' } }),
|
||||
]);
|
||||
record(
|
||||
'N13',
|
||||
race.some((response) => response.status >= 500) ? 'ПОДТВЕРЖДЕНО' : 'не воспроизведено',
|
||||
`два одновременных первых расчёта октября → ${race.map((response) => `${response.status} ${brief(response.json).slice(0, 90)}`).join(' | ')}`,
|
||||
);
|
||||
|
||||
// Validation holes: impossible month and effective date
|
||||
const badMonth = await call('POST', '/payroll/calculate', {
|
||||
token: MANAGER_TOKEN,
|
||||
body: { month: '2026-13' },
|
||||
});
|
||||
const hugeRate = await call('PUT', `/employees/${ids.employee}/pay-assignment`, {
|
||||
token: MANAGER_TOKEN,
|
||||
body: {
|
||||
pay_rule_id: hourlyRule?.id,
|
||||
org_unit_id: ids.orgUnit,
|
||||
rate_minor: 1e20,
|
||||
effective_from: '2026-11-01',
|
||||
unexpected_field: 'accepted?',
|
||||
},
|
||||
});
|
||||
record(
|
||||
'D9',
|
||||
'проверка',
|
||||
`month=2026-13 → ${badMonth.status}; rate_minor=1e20 и лишнее поле → ${hugeRate.status} ${brief(hugeRate.json).slice(0, 120)}`,
|
||||
);
|
||||
} finally {
|
||||
await superQuery('ALTER TABLE staff_outbox ALTER COLUMN occurred_at DROP DEFAULT');
|
||||
}
|
||||
|
||||
// N3: SSRF through a push subscription
|
||||
const inbound = { connections: 0, tlsHello: false };
|
||||
const listener = net.createServer((socket) => {
|
||||
inbound.connections += 1;
|
||||
socket.once('data', (chunk) => {
|
||||
if (chunk[0] === 0x16) inbound.tlsHello = true;
|
||||
socket.destroy();
|
||||
});
|
||||
});
|
||||
await new Promise((resolve) => listener.listen(18443, '127.0.0.1', resolve));
|
||||
try {
|
||||
const issued = await call('POST', `/employees/${ids.pushEmployee}/access-token`, {
|
||||
token: MANAGER_TOKEN,
|
||||
});
|
||||
const employeeToken = issued.json?.access_token;
|
||||
const ecdh = createECDH('prime256v1');
|
||||
ecdh.generateKeys();
|
||||
const subscribe = await call('POST', '/push/subscriptions', {
|
||||
token: employeeToken,
|
||||
body: {
|
||||
endpoint: 'https://127.0.0.1:18443/internal-admin',
|
||||
keys: {
|
||||
p256dh: ecdh.getPublicKey().toString('base64url'),
|
||||
auth: randomBytes(16).toString('base64url'),
|
||||
},
|
||||
},
|
||||
});
|
||||
const clock = await call('POST', '/attendance/events', {
|
||||
token: TERMINAL_TOKEN,
|
||||
body: {
|
||||
employee_id: ids.pushEmployee,
|
||||
event_type: 'check_in',
|
||||
occurred_at: new Date().toISOString(),
|
||||
source_event_id: `audit-${Date.now()}`,
|
||||
org_unit_id: ids.orgUnit,
|
||||
},
|
||||
});
|
||||
await new Promise((resolve) => setTimeout(resolve, 3000));
|
||||
record(
|
||||
'N3',
|
||||
inbound.connections > 0 ? 'ПОДТВЕРЖДЕНО' : 'не подтверждено',
|
||||
`выдача ключа сотруднику → ${issued.status}; подписка на https://127.0.0.1:18443 → ${subscribe.status}; отметка терминала → ${clock.status}; входящих соединений на внутренний адрес: ${inbound.connections}, TLS ClientHello: ${inbound.tlsHello}`,
|
||||
);
|
||||
|
||||
// N9: another employee re-binds the same endpoint
|
||||
const other = await call('POST', `/employees/${ids.employee}/access-token`, {
|
||||
token: MANAGER_TOKEN,
|
||||
});
|
||||
const rebind = await call('POST', '/push/subscriptions', {
|
||||
token: other.json?.access_token,
|
||||
body: {
|
||||
endpoint: 'https://127.0.0.1:18443/internal-admin',
|
||||
keys: { p256dh: ecdh.getPublicKey().toString('base64url'), auth: randomBytes(16).toString('base64url') },
|
||||
},
|
||||
});
|
||||
const owner = await superQuery(
|
||||
`SELECT employee_id FROM staff_push_subscriptions WHERE tenant_id = $1 AND endpoint = $2`,
|
||||
[TENANT, 'https://127.0.0.1:18443/internal-admin'],
|
||||
).catch((error) => ({ rows: [{ employee_id: `ошибка: ${error.message}` }] }));
|
||||
record(
|
||||
'N9',
|
||||
rebind.status < 300 && owner.rows[0]?.employee_id === ids.employee ? 'ПОДТВЕРЖДЕНО' : 'не подтверждено',
|
||||
`сотрудник Б подписывает endpoint сотрудника А → ${rebind.status}; подписка теперь принадлежит сотруднику Б: ${owner.rows[0]?.employee_id === ids.employee}`,
|
||||
);
|
||||
|
||||
// A4: internal error details leak in 500 responses
|
||||
const badFk = await call('POST', '/employees', {
|
||||
token: MANAGER_TOKEN,
|
||||
body: { personnel_number: 'A-200', display_name: 'X', profession_id: ulid() },
|
||||
});
|
||||
record('A4', 'проверка', `500 с деталями: POST /employees с несуществующей профессией → ${badFk.status} ${brief(badFk.json)}`);
|
||||
|
||||
// N10: reference data without permission checks
|
||||
const professionsByTerminal = await call('GET', '/professions', { token: TERMINAL_TOKEN });
|
||||
const orgUnitsByTerminal = await call('GET', '/org-units', { token: TERMINAL_TOKEN });
|
||||
record(
|
||||
'N10',
|
||||
'проверка',
|
||||
`терминал: GET /professions → ${professionsByTerminal.status} (${Array.isArray(professionsByTerminal.json) ? professionsByTerminal.json.length : brief(professionsByTerminal.json)}); GET /org-units → ${orgUnitsByTerminal.status} ${brief(orgUnitsByTerminal.json)}`,
|
||||
);
|
||||
|
||||
// Security headers on the portal
|
||||
const page = await fetch(`http://127.0.0.1:${PORT}/staff`);
|
||||
record(
|
||||
'HDR',
|
||||
'проверка',
|
||||
`GET /staff: content-security-policy="${page.headers.get('content-security-policy')}", strict-transport-security="${page.headers.get('strict-transport-security')}"`,
|
||||
);
|
||||
} finally {
|
||||
listener.close();
|
||||
}
|
||||
} finally {
|
||||
const serverErrors = server.stderrText();
|
||||
await stop(server);
|
||||
if (serverErrors.trim()) console.log(`server stderr: ${brief(serverErrors)}`);
|
||||
}
|
||||
}
|
||||
|
||||
await scenarioOpenMode('manager');
|
||||
await scenarioOpenMode('employee');
|
||||
await scenarioWithTokens();
|
||||
console.log('\nJSON', JSON.stringify(results));
|
||||
|
|
@ -1,213 +0,0 @@
|
|||
// Live check of the offline sync branch (5ee7517) on a real PostgreSQL 17.
|
||||
import { createRequire } from 'node:module';
|
||||
import { spawn } from 'node:child_process';
|
||||
import { randomBytes } from 'node:crypto';
|
||||
|
||||
const REPO = 'C:/Users/Ochenstarik/Agent_projects/krona-staff-sync';
|
||||
const require = createRequire(`${REPO}/package.json`);
|
||||
const pg = require('pg');
|
||||
const { ulid } = require('ulid');
|
||||
|
||||
const SUPER = 'postgres://postgres:audit-superuser@127.0.0.1:55432/krona_staff_sync';
|
||||
const APP = 'postgres://krona_staff_app:audit-app-password@127.0.0.1:55432/krona_staff_sync';
|
||||
const PORT = 18081;
|
||||
const BASE = `http://127.0.0.1:${PORT}/api/v1/staff`;
|
||||
const TENANT = ulid();
|
||||
const MANAGER_TOKEN = randomBytes(32).toString('base64url');
|
||||
const TERMINAL_TOKEN = randomBytes(32).toString('base64url');
|
||||
|
||||
async function superQuery(sql, params = []) {
|
||||
const client = new pg.Client({ connectionString: SUPER });
|
||||
await client.connect();
|
||||
try {
|
||||
return await client.query(sql, params);
|
||||
} finally {
|
||||
await client.end();
|
||||
}
|
||||
}
|
||||
|
||||
async function call(method, path, { token, body } = {}) {
|
||||
const response = await fetch(`${BASE}${path}`, {
|
||||
method,
|
||||
headers: {
|
||||
...(body !== undefined ? { 'content-type': 'application/json' } : {}),
|
||||
...(token ? { authorization: `Bearer ${token}` } : {}),
|
||||
},
|
||||
body: body !== undefined ? JSON.stringify(body) : undefined,
|
||||
});
|
||||
const text = await response.text();
|
||||
try {
|
||||
return { status: response.status, json: JSON.parse(text) };
|
||||
} catch {
|
||||
return { status: response.status, json: text };
|
||||
}
|
||||
}
|
||||
|
||||
const brief = (value) => {
|
||||
const text = typeof value === 'string' ? value : JSON.stringify(value);
|
||||
return text.length > 260 ? `${text.slice(0, 260)}…` : text;
|
||||
};
|
||||
|
||||
// S9: deleting an org unit referenced by a sync device
|
||||
const s9Unit = ulid();
|
||||
const s9Device = ulid();
|
||||
await superQuery(`INSERT INTO staff_org_units (id, tenant_id, code, name) VALUES ($1, $2, 's9', 'S9')`, [
|
||||
s9Unit,
|
||||
TENANT,
|
||||
]);
|
||||
const deviceColumns = (
|
||||
await superQuery(
|
||||
`SELECT column_name, is_nullable, column_default FROM information_schema.columns
|
||||
WHERE table_name = 'staff_sync_devices' ORDER BY ordinal_position`,
|
||||
)
|
||||
).rows;
|
||||
const values = {
|
||||
id: s9Device,
|
||||
tenant_id: TENANT,
|
||||
device_code: 's9-device',
|
||||
name: 'S9',
|
||||
token_hash: 'a'.repeat(64),
|
||||
token_hint: 'hint',
|
||||
org_unit_id: s9Unit,
|
||||
created_by: ulid(),
|
||||
status: 'active',
|
||||
};
|
||||
const insertable = deviceColumns.filter(
|
||||
(column) => values[column.column_name] !== undefined,
|
||||
);
|
||||
await superQuery(
|
||||
`INSERT INTO staff_sync_devices (${insertable.map((c) => c.column_name).join(', ')})
|
||||
VALUES (${insertable.map((_, index) => `$${index + 1}`).join(', ')})`,
|
||||
insertable.map((column) => values[column.column_name]),
|
||||
).catch((error) => console.log(`S9 setup: ${error.code} ${error.message}`));
|
||||
try {
|
||||
await superQuery(`DELETE FROM staff_org_units WHERE id = $1`, [s9Unit]);
|
||||
console.log('[S9] не подтверждено — точку с привязанным устройством удалить удалось');
|
||||
} catch (error) {
|
||||
console.log(`[S9] ПОДТВЕРЖДЕНО — удаление точки с устройством → ${error.code} ${error.message}`);
|
||||
}
|
||||
|
||||
// Seed an employee and a unit for S1
|
||||
const orgUnit = ulid();
|
||||
const employee = ulid();
|
||||
await superQuery(
|
||||
`INSERT INTO staff_org_units (id, tenant_id, code, name) VALUES ($1, $2, 'sync-unit', 'Точка')`,
|
||||
[orgUnit, TENANT],
|
||||
);
|
||||
await superQuery(
|
||||
`INSERT INTO staff_employees (id, tenant_id, personnel_number, display_name, status)
|
||||
VALUES ($1, $2, 'S-001', 'Сотрудник Синхронизации', 'active')`,
|
||||
[employee, TENANT],
|
||||
);
|
||||
|
||||
const server = spawn(process.execPath, ['node_modules/tsx/dist/cli.mjs', 'src/server.ts'], {
|
||||
cwd: REPO,
|
||||
env: {
|
||||
...process.env,
|
||||
NODE_ENV: 'development',
|
||||
HOST: '127.0.0.1',
|
||||
PORT: String(PORT),
|
||||
LOG_LEVEL: 'silent',
|
||||
STAFF_RUNTIME_MODE: 'standalone',
|
||||
STANDALONE_ACCESS: 'employee',
|
||||
STANDALONE_MANAGER_TOKEN: MANAGER_TOKEN,
|
||||
STANDALONE_TERMINAL_TOKEN: TERMINAL_TOKEN,
|
||||
DATABASE_URL: APP,
|
||||
STANDALONE_TENANT_ID: TENANT,
|
||||
STANDALONE_ACTOR_ID: ulid(),
|
||||
},
|
||||
stdio: 'ignore',
|
||||
});
|
||||
|
||||
try {
|
||||
for (let attempt = 0; attempt < 120; attempt += 1) {
|
||||
try {
|
||||
if ((await fetch(`${BASE}/live`)).ok) break;
|
||||
} catch {}
|
||||
await new Promise((resolve) => setTimeout(resolve, 500));
|
||||
}
|
||||
|
||||
const registered = await call('POST', '/sync/devices', {
|
||||
token: MANAGER_TOKEN,
|
||||
body: { device_code: 'kiosk-1', name: 'Киоск', org_unit_id: orgUnit },
|
||||
});
|
||||
const deviceToken = registered.json?.token;
|
||||
console.log(`device registration → ${registered.status}; scopes ${JSON.stringify(registered.json?.device?.allowed_scopes)}`);
|
||||
|
||||
const forged = await call('POST', '/sync/push', {
|
||||
token: deviceToken,
|
||||
body: {
|
||||
commands: [
|
||||
{
|
||||
command_type: 'upsert_work_session',
|
||||
schema_version: 1,
|
||||
idempotency_key: `forge-${Date.now()}`,
|
||||
correlation_id: ulid(),
|
||||
created_at: new Date().toISOString(),
|
||||
payload: {
|
||||
employee_id: employee,
|
||||
org_unit_id: orgUnit,
|
||||
business_date: '2026-09-15',
|
||||
worked_minutes: 2880,
|
||||
status: 'confirmed',
|
||||
},
|
||||
},
|
||||
{
|
||||
command_type: 'record_attendance',
|
||||
schema_version: 1,
|
||||
idempotency_key: `old-${Date.now()}`,
|
||||
correlation_id: ulid(),
|
||||
created_at: new Date().toISOString(),
|
||||
payload: {
|
||||
employee_id: employee,
|
||||
event_type: 'check_in',
|
||||
occurred_at: '2020-01-01T00:00:00Z',
|
||||
},
|
||||
},
|
||||
],
|
||||
},
|
||||
});
|
||||
console.log(`device push → ${forged.status} ${brief(forged.json)}`);
|
||||
|
||||
const session = await superQuery(
|
||||
`SELECT status, worked_minutes, confirmed_by, correction_note
|
||||
FROM staff_work_sessions WHERE tenant_id = $1 AND employee_id = $2 AND business_date = '2026-09-15'`,
|
||||
[TENANT, employee],
|
||||
);
|
||||
const oldEvent = await superQuery(
|
||||
`SELECT occurred_at FROM staff_attendance_events
|
||||
WHERE tenant_id = $1 AND employee_id = $2 AND occurred_at < '2021-01-01'`,
|
||||
[TENANT, employee],
|
||||
);
|
||||
const audit = await superQuery(
|
||||
`SELECT count(*)::int AS entries FROM staff_audit_log WHERE tenant_id = $1`,
|
||||
[TENANT],
|
||||
);
|
||||
const row = session.rows[0];
|
||||
console.log(
|
||||
`[S1] ${row?.status === 'confirmed' ? 'ПОДТВЕРЖДЕНО' : 'не подтверждено'} — смена от устройства: статус ${row?.status}, минут ${row?.worked_minutes}, подтвердил ${row?.confirmed_by ?? 'никто'}, записей в журнале аудита арендатора: ${audit.rows[0].entries}`,
|
||||
);
|
||||
console.log(
|
||||
`[S2] ${oldEvent.rowCount > 0 ? 'ПОДТВЕРЖДЕНО' : 'не подтверждено'} — отметка с временем 2020-01-01 через синхронизацию сохранена: ${oldEvent.rowCount > 0}`,
|
||||
);
|
||||
|
||||
// The forged session flows into payroll (outbox default only in this throwaway database, see N2)
|
||||
await superQuery('ALTER TABLE staff_outbox ALTER COLUMN occurred_at SET DEFAULT now()');
|
||||
try {
|
||||
const rules = await call('GET', '/pay-rules', { token: MANAGER_TOKEN });
|
||||
const hourly = (rules.json?.pay_rules ?? []).find((rule) => /hour/.test(rule.code));
|
||||
await call('PUT', `/employees/${employee}/pay-assignment`, {
|
||||
token: MANAGER_TOKEN,
|
||||
body: { pay_rule_id: hourly?.id, org_unit_id: orgUnit, rate_minor: 30000, effective_from: '2026-09-01' },
|
||||
});
|
||||
const run = await call('POST', '/payroll/calculate', { token: MANAGER_TOKEN, body: { month: '2026-09' } });
|
||||
const total = run.json?.total_accrued_minor ?? run.json?.totals?.accrued_minor;
|
||||
console.log(
|
||||
`[S1→payroll] расчёт сентября → ${run.status}; начислено по поддельной смене: ${total !== undefined ? Number(total) / 100 : brief(run.json)} ₽ (48 ч × 300 ₽)`,
|
||||
);
|
||||
} finally {
|
||||
await superQuery('ALTER TABLE staff_outbox ALTER COLUMN occurred_at DROP DEFAULT');
|
||||
}
|
||||
} finally {
|
||||
server.kill();
|
||||
}
|
||||
|
|
@ -1,5 +0,0 @@
|
|||
[S9] ПОДТВЕРЖДЕНО — удаление точки с устройством → 23502 null value in column "tenant_id" of relation "staff_sync_devices" violates not-null constraint
|
||||
device push → 200 {"results":[{"idempotency_key":"forge-1790405052967","command_type":"upsert_work_session","status":"applied","result":{"id":"01M3E7A2JB9PQ3YZQ4J5TE2V49","revision":1,"status":"applied"}},{"idempotency_key":"old-1790405052969","command_type":"record_attendance"…
|
||||
[S1] ПОДТВЕРЖДЕНО — смена от устройства: статус confirmed, минут 2880, подтвердил никто, записей в журнале аудита арендатора: 0
|
||||
[S2] ПОДТВЕРЖДЕНО — отметка с временем 2020-01-01 через синхронизацию сохранена: true
|
||||
[S1→payroll] расчёт сентября → 200; начислено по поддельной смене: 14400 ₽ (48 ч × 300 ₽)
|
||||
|
|
@ -1,16 +0,0 @@
|
|||
ALTER TABLE staff_sync_command_inbox
|
||||
DROP CONSTRAINT IF EXISTS staff_sync_command_inbox_correlation_id_check,
|
||||
DROP CONSTRAINT IF EXISTS staff_sync_command_inbox_causation_id_check;
|
||||
|
||||
ALTER TABLE staff_sync_command_inbox
|
||||
ALTER COLUMN correlation_id TYPE VARCHAR(36),
|
||||
ALTER COLUMN causation_id TYPE VARCHAR(36);
|
||||
|
||||
ALTER TABLE staff_sync_devices
|
||||
DROP CONSTRAINT IF EXISTS staff_sync_devices_tenant_id_org_unit_id_fkey;
|
||||
|
||||
ALTER TABLE staff_sync_devices
|
||||
ADD CONSTRAINT staff_sync_devices_tenant_id_org_unit_id_fkey
|
||||
FOREIGN KEY (tenant_id, org_unit_id)
|
||||
REFERENCES staff_org_units (tenant_id, id)
|
||||
ON DELETE SET NULL;
|
||||
|
|
@ -1,18 +0,0 @@
|
|||
ALTER TABLE staff_sync_devices
|
||||
DROP CONSTRAINT IF EXISTS staff_sync_devices_tenant_id_org_unit_id_fkey;
|
||||
|
||||
ALTER TABLE staff_sync_devices
|
||||
ADD CONSTRAINT staff_sync_devices_tenant_id_org_unit_id_fkey
|
||||
FOREIGN KEY (tenant_id, org_unit_id)
|
||||
REFERENCES staff_org_units (tenant_id, id)
|
||||
ON DELETE RESTRICT;
|
||||
|
||||
ALTER TABLE staff_sync_command_inbox
|
||||
ALTER COLUMN correlation_id TYPE VARCHAR(26),
|
||||
ALTER COLUMN causation_id TYPE VARCHAR(26);
|
||||
|
||||
ALTER TABLE staff_sync_command_inbox
|
||||
ADD CONSTRAINT staff_sync_command_inbox_correlation_id_check
|
||||
CHECK (correlation_id ~ '^[0-9A-HJKMNP-TV-Z]{26}$'),
|
||||
ADD CONSTRAINT staff_sync_command_inbox_causation_id_check
|
||||
CHECK (causation_id IS NULL OR causation_id ~ '^[0-9A-HJKMNP-TV-Z]{26}$');
|
||||
|
|
@ -1,12 +0,0 @@
|
|||
DROP TABLE IF EXISTS staff_biometric_consents;
|
||||
DROP TABLE IF EXISTS staff_batch_notifications;
|
||||
DROP TABLE IF EXISTS staff_payroll_batch_lines;
|
||||
DROP TABLE IF EXISTS staff_payroll_batches;
|
||||
DROP TABLE IF EXISTS staff_access_grants;
|
||||
|
||||
ALTER TABLE staff_sync_devices
|
||||
DROP CONSTRAINT IF EXISTS staff_sync_devices_tenant_id_org_unit_id_fkey;
|
||||
|
||||
ALTER TABLE staff_sync_devices
|
||||
ADD CONSTRAINT staff_sync_devices_tenant_id_org_unit_id_fkey
|
||||
FOREIGN KEY (tenant_id, org_unit_id) REFERENCES staff_org_units (tenant_id, id) ON DELETE SET NULL;
|
||||
|
|
@ -1,125 +0,0 @@
|
|||
CREATE TABLE staff_access_grants (
|
||||
id VARCHAR(26) PRIMARY KEY CHECK (id ~ '^[0-9A-HJKMNP-TV-Z]{26}$'),
|
||||
tenant_id VARCHAR(26) NOT NULL CHECK (tenant_id ~ '^[0-9A-HJKMNP-TV-Z]{26}$'),
|
||||
role VARCHAR(32) NOT NULL CHECK (role IN ('point_manager', 'accountant', 'director')),
|
||||
org_unit_ids JSONB NOT NULL DEFAULT '[]'::jsonb,
|
||||
display_name TEXT NOT NULL,
|
||||
token_hash CHAR(64) NOT NULL CHECK (token_hash ~ '^[0-9a-f]{64}$'),
|
||||
token_hint VARCHAR(16) NOT NULL,
|
||||
created_by VARCHAR(26) NOT NULL CHECK (created_by ~ '^[0-9A-HJKMNP-TV-Z]{26}$'),
|
||||
created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
|
||||
is_active BOOLEAN NOT NULL DEFAULT true,
|
||||
UNIQUE (tenant_id, id),
|
||||
UNIQUE (tenant_id, token_hash)
|
||||
);
|
||||
|
||||
ALTER TABLE staff_access_grants ENABLE ROW LEVEL SECURITY;
|
||||
ALTER TABLE staff_access_grants FORCE ROW LEVEL SECURITY;
|
||||
CREATE POLICY staff_access_grants_tenant_isolation
|
||||
ON staff_access_grants
|
||||
USING (tenant_id = current_setting('app.tenant_id', true))
|
||||
WITH CHECK (tenant_id = current_setting('app.tenant_id', true));
|
||||
|
||||
GRANT SELECT, INSERT, UPDATE, DELETE ON staff_access_grants TO krona_staff_app;
|
||||
|
||||
CREATE TABLE staff_payroll_batches (
|
||||
id VARCHAR(26) PRIMARY KEY CHECK (id ~ '^[0-9A-HJKMNP-TV-Z]{26}$'),
|
||||
tenant_id VARCHAR(26) NOT NULL CHECK (tenant_id ~ '^[0-9A-HJKMNP-TV-Z]{26}$'),
|
||||
org_unit_id VARCHAR(26) NOT NULL,
|
||||
period_start DATE NOT NULL,
|
||||
period_end DATE NOT NULL,
|
||||
status VARCHAR(32) NOT NULL DEFAULT 'draft' CHECK (status IN ('draft', 'submitted', 'signed', 'returned')),
|
||||
return_comment TEXT,
|
||||
submitted_at TIMESTAMPTZ,
|
||||
submitted_by VARCHAR(26),
|
||||
signed_at TIMESTAMPTZ,
|
||||
signed_by VARCHAR(26),
|
||||
created_by VARCHAR(26) NOT NULL CHECK (created_by ~ '^[0-9A-HJKMNP-TV-Z]{26}$'),
|
||||
created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
|
||||
updated_at TIMESTAMPTZ NOT NULL DEFAULT now(),
|
||||
UNIQUE (tenant_id, id),
|
||||
FOREIGN KEY (tenant_id, org_unit_id) REFERENCES staff_org_units (tenant_id, id) ON DELETE RESTRICT
|
||||
);
|
||||
|
||||
ALTER TABLE staff_payroll_batches ENABLE ROW LEVEL SECURITY;
|
||||
ALTER TABLE staff_payroll_batches FORCE ROW LEVEL SECURITY;
|
||||
CREATE POLICY staff_payroll_batches_tenant_isolation
|
||||
ON staff_payroll_batches
|
||||
USING (tenant_id = current_setting('app.tenant_id', true))
|
||||
WITH CHECK (tenant_id = current_setting('app.tenant_id', true));
|
||||
|
||||
GRANT SELECT, INSERT, UPDATE ON staff_payroll_batches TO krona_staff_app;
|
||||
|
||||
CREATE TABLE staff_payroll_batch_lines (
|
||||
id VARCHAR(26) PRIMARY KEY CHECK (id ~ '^[0-9A-HJKMNP-TV-Z]{26}$'),
|
||||
tenant_id VARCHAR(26) NOT NULL CHECK (tenant_id ~ '^[0-9A-HJKMNP-TV-Z]{26}$'),
|
||||
batch_id VARCHAR(26) NOT NULL,
|
||||
work_session_id VARCHAR(26) NOT NULL,
|
||||
employee_id VARCHAR(26) NOT NULL,
|
||||
org_unit_id VARCHAR(26) NOT NULL,
|
||||
amount_minor BIGINT NOT NULL,
|
||||
session_revision INTEGER NOT NULL DEFAULT 1,
|
||||
created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
|
||||
UNIQUE (tenant_id, id),
|
||||
FOREIGN KEY (tenant_id, batch_id) REFERENCES staff_payroll_batches (tenant_id, id) ON DELETE CASCADE,
|
||||
FOREIGN KEY (tenant_id, work_session_id) REFERENCES staff_work_sessions (tenant_id, id) ON DELETE RESTRICT,
|
||||
FOREIGN KEY (tenant_id, employee_id) REFERENCES staff_employees (tenant_id, id) ON DELETE RESTRICT,
|
||||
FOREIGN KEY (tenant_id, org_unit_id) REFERENCES staff_org_units (tenant_id, id) ON DELETE RESTRICT
|
||||
);
|
||||
|
||||
ALTER TABLE staff_payroll_batch_lines ENABLE ROW LEVEL SECURITY;
|
||||
ALTER TABLE staff_payroll_batch_lines FORCE ROW LEVEL SECURITY;
|
||||
CREATE POLICY staff_payroll_batch_lines_tenant_isolation
|
||||
ON staff_payroll_batch_lines
|
||||
USING (tenant_id = current_setting('app.tenant_id', true))
|
||||
WITH CHECK (tenant_id = current_setting('app.tenant_id', true));
|
||||
|
||||
GRANT SELECT, INSERT, UPDATE, DELETE ON staff_payroll_batch_lines TO krona_staff_app;
|
||||
|
||||
CREATE TABLE staff_batch_notifications (
|
||||
id VARCHAR(26) PRIMARY KEY CHECK (id ~ '^[0-9A-HJKMNP-TV-Z]{26}$'),
|
||||
tenant_id VARCHAR(26) NOT NULL CHECK (tenant_id ~ '^[0-9A-HJKMNP-TV-Z]{26}$'),
|
||||
recipient_role VARCHAR(32) NOT NULL,
|
||||
recipient_actor_id VARCHAR(26),
|
||||
type VARCHAR(64) NOT NULL,
|
||||
subject_id VARCHAR(26) NOT NULL,
|
||||
payload JSONB NOT NULL DEFAULT '{}'::jsonb,
|
||||
created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
|
||||
UNIQUE (tenant_id, id)
|
||||
);
|
||||
|
||||
ALTER TABLE staff_batch_notifications ENABLE ROW LEVEL SECURITY;
|
||||
ALTER TABLE staff_batch_notifications FORCE ROW LEVEL SECURITY;
|
||||
CREATE POLICY staff_batch_notifications_tenant_isolation
|
||||
ON staff_batch_notifications
|
||||
USING (tenant_id = current_setting('app.tenant_id', true))
|
||||
WITH CHECK (tenant_id = current_setting('app.tenant_id', true));
|
||||
|
||||
GRANT SELECT, INSERT, UPDATE, DELETE ON staff_batch_notifications TO krona_staff_app;
|
||||
|
||||
CREATE TABLE staff_biometric_consents (
|
||||
tenant_id VARCHAR(26) NOT NULL CHECK (tenant_id ~ '^[0-9A-HJKMNP-TV-Z]{26}$'),
|
||||
employee_id VARCHAR(26) NOT NULL,
|
||||
status VARCHAR(32) NOT NULL CHECK (status IN ('granted', 'revoked')),
|
||||
document_ref TEXT,
|
||||
updated_by VARCHAR(26) NOT NULL CHECK (updated_by ~ '^[0-9A-HJKMNP-TV-Z]{26}$'),
|
||||
updated_at TIMESTAMPTZ NOT NULL DEFAULT now(),
|
||||
PRIMARY KEY (tenant_id, employee_id),
|
||||
FOREIGN KEY (tenant_id, employee_id) REFERENCES staff_employees (tenant_id, id) ON DELETE CASCADE
|
||||
);
|
||||
|
||||
ALTER TABLE staff_biometric_consents ENABLE ROW LEVEL SECURITY;
|
||||
ALTER TABLE staff_biometric_consents FORCE ROW LEVEL SECURITY;
|
||||
CREATE POLICY staff_biometric_consents_tenant_isolation
|
||||
ON staff_biometric_consents
|
||||
USING (tenant_id = current_setting('app.tenant_id', true))
|
||||
WITH CHECK (tenant_id = current_setting('app.tenant_id', true));
|
||||
|
||||
GRANT SELECT, INSERT, UPDATE, DELETE ON staff_biometric_consents TO krona_staff_app;
|
||||
|
||||
ALTER TABLE staff_sync_devices
|
||||
DROP CONSTRAINT IF EXISTS staff_sync_devices_tenant_id_org_unit_id_fkey;
|
||||
|
||||
ALTER TABLE staff_sync_devices
|
||||
ADD CONSTRAINT staff_sync_devices_tenant_id_org_unit_id_fkey
|
||||
FOREIGN KEY (tenant_id, org_unit_id) REFERENCES staff_org_units (tenant_id, id) ON DELETE SET NULL (org_unit_id);
|
||||
60
package-lock.json
generated
60
package-lock.json
generated
|
|
@ -1074,6 +1074,9 @@
|
|||
"arm64"
|
||||
],
|
||||
"dev": true,
|
||||
"libc": [
|
||||
"glibc"
|
||||
],
|
||||
"license": "MIT",
|
||||
"optional": true,
|
||||
"os": [
|
||||
|
|
@ -1092,6 +1095,9 @@
|
|||
"arm64"
|
||||
],
|
||||
"dev": true,
|
||||
"libc": [
|
||||
"musl"
|
||||
],
|
||||
"license": "MIT",
|
||||
"optional": true,
|
||||
"os": [
|
||||
|
|
@ -1110,6 +1116,9 @@
|
|||
"ppc64"
|
||||
],
|
||||
"dev": true,
|
||||
"libc": [
|
||||
"glibc"
|
||||
],
|
||||
"license": "MIT",
|
||||
"optional": true,
|
||||
"os": [
|
||||
|
|
@ -1128,6 +1137,9 @@
|
|||
"s390x"
|
||||
],
|
||||
"dev": true,
|
||||
"libc": [
|
||||
"glibc"
|
||||
],
|
||||
"license": "MIT",
|
||||
"optional": true,
|
||||
"os": [
|
||||
|
|
@ -1146,6 +1158,9 @@
|
|||
"x64"
|
||||
],
|
||||
"dev": true,
|
||||
"libc": [
|
||||
"glibc"
|
||||
],
|
||||
"license": "MIT",
|
||||
"optional": true,
|
||||
"os": [
|
||||
|
|
@ -1164,6 +1179,9 @@
|
|||
"x64"
|
||||
],
|
||||
"dev": true,
|
||||
"libc": [
|
||||
"musl"
|
||||
],
|
||||
"license": "MIT",
|
||||
"optional": true,
|
||||
"os": [
|
||||
|
|
@ -1489,9 +1507,9 @@
|
|||
}
|
||||
},
|
||||
"node_modules/@typescript-eslint/typescript-estree/node_modules/brace-expansion": {
|
||||
"version": "5.0.12",
|
||||
"resolved": "https://registry.npmjs.org/brace-expansion/-/brace-expansion-5.0.12.tgz",
|
||||
"integrity": "sha512-YovQ3rzhaLMIrDjNDMkNS01tea93qhEhG5xy8f6+R0l+dw3Ki+5sCoIoI942iuLZTHWogWktgwVDhU09iNEimQ==",
|
||||
"version": "5.0.9",
|
||||
"resolved": "https://registry.npmjs.org/brace-expansion/-/brace-expansion-5.0.9.tgz",
|
||||
"integrity": "sha512-ScQ4IuvIEF1TMlP7Zt+vjJ//9zlPb2SDcxWxM3bk8s6t6GGdJ7KO1dCcTidOPJKePW30LE/2cT7wCyPho9/Wxg==",
|
||||
"dev": true,
|
||||
"license": "MIT",
|
||||
"dependencies": {
|
||||
|
|
@ -1673,9 +1691,9 @@
|
|||
}
|
||||
},
|
||||
"node_modules/ajv/node_modules/fast-uri": {
|
||||
"version": "3.1.8",
|
||||
"resolved": "https://registry.npmjs.org/fast-uri/-/fast-uri-3.1.8.tgz",
|
||||
"integrity": "sha512-GZMtZUTNRpOVIECoXwLNZS5xUGE+mVNbTB8h/7Rwh2TFWcBQiPzTgyZi05BF9UMZKkLJv8XBRJTlU7zg8+ZfMg==",
|
||||
"version": "3.1.7",
|
||||
"resolved": "https://registry.npmjs.org/fast-uri/-/fast-uri-3.1.7.tgz",
|
||||
"integrity": "sha512-dOvZVzjdZdz7phd9v6jCbwxrBW3fK6n8Rc0CtdmM4bumzMnxywBYhuph6J819RRw/ku+rLbelwfMunktuzVVHg==",
|
||||
"funding": [
|
||||
{
|
||||
"type": "github",
|
||||
|
|
@ -1758,9 +1776,9 @@
|
|||
"license": "MIT"
|
||||
},
|
||||
"node_modules/brace-expansion": {
|
||||
"version": "1.1.21",
|
||||
"resolved": "https://registry.npmjs.org/brace-expansion/-/brace-expansion-1.1.21.tgz",
|
||||
"integrity": "sha512-9zeA+KLZNNzglF2TPKRQEDyx6Yby7daAkuy8MiPzpXPsYDWi/DRM8jmwUDxokQjYqBpv5DgPiwD4h4ZZSy1Ujw==",
|
||||
"version": "1.1.18",
|
||||
"resolved": "https://registry.npmjs.org/brace-expansion/-/brace-expansion-1.1.18.tgz",
|
||||
"integrity": "sha512-Edep/X9fGqVNmzKBVsDYIOtD+z1tuezV70LBjdCst9Tqu76lsnvRiZ6oTic1n+/BIwX6QDGAO94PN4N2SADvtw==",
|
||||
"dev": true,
|
||||
"license": "MIT",
|
||||
"dependencies": {
|
||||
|
|
@ -2247,9 +2265,9 @@
|
|||
}
|
||||
},
|
||||
"node_modules/fast-uri": {
|
||||
"version": "4.2.1",
|
||||
"resolved": "https://registry.npmjs.org/fast-uri/-/fast-uri-4.2.1.tgz",
|
||||
"integrity": "sha512-TmHQgewjHtMq1E5QKA0tOE0yeYGQs25KZC/ziJpubRtWI15W92e6vPFydWOeZBVROSHBYw/QhD9d5OefdD6LDg==",
|
||||
"version": "4.1.4",
|
||||
"resolved": "https://registry.npmjs.org/fast-uri/-/fast-uri-4.1.4.tgz",
|
||||
"integrity": "sha512-dODXrIxlS9JSdgAnhIUKOosKV1oMtU2VtVw87QRaHzyl5jxO290Ii5tEZfCfzfWNHi3jKWwBSdQj0qIyshdZdQ==",
|
||||
"funding": [
|
||||
{
|
||||
"type": "github",
|
||||
|
|
@ -2644,9 +2662,9 @@
|
|||
}
|
||||
},
|
||||
"node_modules/json-schema-resolver/node_modules/fast-uri": {
|
||||
"version": "3.1.8",
|
||||
"resolved": "https://registry.npmjs.org/fast-uri/-/fast-uri-3.1.8.tgz",
|
||||
"integrity": "sha512-GZMtZUTNRpOVIECoXwLNZS5xUGE+mVNbTB8h/7Rwh2TFWcBQiPzTgyZi05BF9UMZKkLJv8XBRJTlU7zg8+ZfMg==",
|
||||
"version": "3.1.7",
|
||||
"resolved": "https://registry.npmjs.org/fast-uri/-/fast-uri-3.1.7.tgz",
|
||||
"integrity": "sha512-dOvZVzjdZdz7phd9v6jCbwxrBW3fK6n8Rc0CtdmM4bumzMnxywBYhuph6J819RRw/ku+rLbelwfMunktuzVVHg==",
|
||||
"funding": [
|
||||
{
|
||||
"type": "github",
|
||||
|
|
@ -2882,6 +2900,9 @@
|
|||
"arm64"
|
||||
],
|
||||
"dev": true,
|
||||
"libc": [
|
||||
"glibc"
|
||||
],
|
||||
"license": "MPL-2.0",
|
||||
"optional": true,
|
||||
"os": [
|
||||
|
|
@ -2904,6 +2925,9 @@
|
|||
"arm64"
|
||||
],
|
||||
"dev": true,
|
||||
"libc": [
|
||||
"musl"
|
||||
],
|
||||
"license": "MPL-2.0",
|
||||
"optional": true,
|
||||
"os": [
|
||||
|
|
@ -2926,6 +2950,9 @@
|
|||
"x64"
|
||||
],
|
||||
"dev": true,
|
||||
"libc": [
|
||||
"glibc"
|
||||
],
|
||||
"license": "MPL-2.0",
|
||||
"optional": true,
|
||||
"os": [
|
||||
|
|
@ -2948,6 +2975,9 @@
|
|||
"x64"
|
||||
],
|
||||
"dev": true,
|
||||
"libc": [
|
||||
"musl"
|
||||
],
|
||||
"license": "MPL-2.0",
|
||||
"optional": true,
|
||||
"os": [
|
||||
|
|
|
|||
|
|
@ -18,8 +18,6 @@ const currentDefaultPrivileges = await readFile(
|
|||
'utf8',
|
||||
);
|
||||
if (/ALTER DEFAULT PRIVILEGES[\s\S]*?\bGRANT\b/i.test(currentDefaultPrivileges)) {
|
||||
throw new Error(
|
||||
'Runtime roles must receive explicit object grants; broad default grants are forbidden',
|
||||
);
|
||||
throw new Error('Runtime roles must receive explicit object grants; broad default grants are forbidden');
|
||||
}
|
||||
console.log(`validated ${ups.length} reversible migration(s)`);
|
||||
|
|
|
|||
|
|
@ -1,119 +0,0 @@
|
|||
#!/usr/bin/env bash
|
||||
# Run on the backup PC (Git Bash), after the server has made encrypted backups.
|
||||
set -euo pipefail
|
||||
umask 077
|
||||
|
||||
: "${PILOT_SSH_TARGET:?Set the configured SSH alias for the pilot server}"
|
||||
: "${PILOT_REMOTE_BACKUP_DIRECTORY:?Set its absolute encrypted backup directory}"
|
||||
: "${BACKUP_LOCAL_DIRECTORY:?Set an absolute backup directory on this PC}"
|
||||
BACKUP_LOCAL_RETENTION_DAYS=${BACKUP_LOCAL_RETENTION_DAYS:-90}
|
||||
[[ "$BACKUP_LOCAL_RETENTION_DAYS" =~ ^[1-9][0-9]{0,4}$ ]] &&
|
||||
(( BACKUP_LOCAL_RETENTION_DAYS <= 36500 )) || {
|
||||
echo 'BACKUP_LOCAL_RETENTION_DAYS must be an integer from 1 to 36500' >&2
|
||||
exit 1
|
||||
}
|
||||
|
||||
[[ "$PILOT_SSH_TARGET" =~ ^[a-zA-Z0-9_.@-]+$ ]] || { echo 'Invalid SSH target' >&2; exit 1; }
|
||||
[[ "$PILOT_REMOTE_BACKUP_DIRECTORY" =~ ^/[a-zA-Z0-9_./-]+$ ]] || { echo 'Invalid server backup directory' >&2; exit 1; }
|
||||
[[ "$PILOT_REMOTE_BACKUP_DIRECTORY" != */../* && "$PILOT_REMOTE_BACKUP_DIRECTORY" != */.. ]] || { echo 'Parent traversal is not allowed' >&2; exit 1; }
|
||||
[[ "$PILOT_REMOTE_BACKUP_DIRECTORY" != / ]] || { echo 'Use a dedicated server backup directory' >&2; exit 1; }
|
||||
[[ "$BACKUP_LOCAL_DIRECTORY" = /* && "$BACKUP_LOCAL_DIRECTORY" != / ]] || { echo 'Use a dedicated absolute local directory' >&2; exit 1; }
|
||||
[[ "$BACKUP_LOCAL_DIRECTORY" != */../* && "$BACKUP_LOCAL_DIRECTORY" != */.. ]] || { echo 'Parent traversal is not allowed' >&2; exit 1; }
|
||||
[[ ! -L "$BACKUP_LOCAL_DIRECTORY" ]] || { echo 'Local directory must not be a symlink' >&2; exit 1; }
|
||||
|
||||
mkdir -p -- "$BACKUP_LOCAL_DIRECTORY"
|
||||
local_dir=$(cd -- "$BACKUP_LOCAL_DIRECTORY" && pwd -P)
|
||||
[[ "$local_dir" != / && "$local_dir" != /tmp && "$local_dir" != /var && "$local_dir" != /home ]] || {
|
||||
echo 'Local backup path resolves to a broad directory' >&2
|
||||
exit 1
|
||||
}
|
||||
cd -- "$local_dir"
|
||||
|
||||
remote_dir=${PILOT_REMOTE_BACKUP_DIRECTORY%/}
|
||||
listing=$(ssh -o BatchMode=yes -- "$PILOT_SSH_TARGET" \
|
||||
"find '$remote_dir' -maxdepth 1 -type f -name 'krona-staff-*.dump.cms' -printf '%f\n'")
|
||||
[[ -n "$listing" ]] || { echo 'No encrypted backups found on server' >&2; exit 1; }
|
||||
|
||||
copied=0
|
||||
latest_backup_epoch=0
|
||||
while IFS= read -r name; do
|
||||
[[ "$name" =~ ^krona-staff-[0-9]{8}T[0-9]{6}Z-[0-9]+\.dump\.cms$ ]] || {
|
||||
echo 'Unexpected backup filename from server' >&2
|
||||
exit 1
|
||||
}
|
||||
timestamp=${name#krona-staff-}
|
||||
timestamp=${timestamp%%-*}
|
||||
backup_epoch=$(date -u -d "${timestamp:0:4}-${timestamp:4:2}-${timestamp:6:2} ${timestamp:9:2}:${timestamp:11:2}:${timestamp:13:2} UTC" +%s)
|
||||
if (( backup_epoch > latest_backup_epoch )); then
|
||||
latest_backup_epoch=$backup_epoch
|
||||
fi
|
||||
|
||||
if [[ -e "$name" || -e "$name.sha256" ]]; then
|
||||
[[ -f "$name" && -f "$name.sha256" ]] || { echo "Incomplete local copy: $name" >&2; exit 1; }
|
||||
sha256sum -c -- "$name.sha256" >/dev/null || { echo "Local checksum mismatch: $name" >&2; exit 1; }
|
||||
continue
|
||||
fi
|
||||
|
||||
encrypted_partial="$name.partial"
|
||||
checksum_partial="$name.sha256.partial"
|
||||
[[ ! -e "$encrypted_partial" && ! -e "$checksum_partial" ]] || {
|
||||
echo "Interrupted prior copy needs inspection: $name" >&2
|
||||
exit 1
|
||||
}
|
||||
scp -B -- "$PILOT_SSH_TARGET:$remote_dir/$name" "$encrypted_partial"
|
||||
scp -B -- "$PILOT_SSH_TARGET:$remote_dir/$name.sha256" "$checksum_partial"
|
||||
expected=$(awk 'NR == 1 { print $1 }' "$checksum_partial")
|
||||
[[ "$expected" =~ ^[[:xdigit:]]{64}$ ]] || { echo "Malformed checksum: $name" >&2; exit 1; }
|
||||
actual=$(sha256sum -- "$encrypted_partial")
|
||||
[[ "${actual%% *}" = "$expected" ]] || { echo "Transfer checksum mismatch: $name" >&2; exit 1; }
|
||||
mv -- "$encrypted_partial" "$name"
|
||||
mv -- "$checksum_partial" "$name.sha256"
|
||||
copied=$((copied + 1))
|
||||
done <<< "$listing"
|
||||
|
||||
max_age_hours=${BACKUP_MAX_AGE_HOURS:-36}
|
||||
[[ "$max_age_hours" =~ ^[1-9][0-9]*$ ]] || { echo 'BACKUP_MAX_AGE_HOURS must be a positive integer' >&2; exit 1; }
|
||||
now_epoch=$(date -u +%s)
|
||||
(( now_epoch >= latest_backup_epoch && now_epoch - latest_backup_epoch <= max_age_hours * 3600 )) || {
|
||||
echo 'Newest encrypted backup is stale or has a future timestamp' >&2
|
||||
exit 1
|
||||
}
|
||||
|
||||
retention_cutoff=$((now_epoch - BACKUP_LOCAL_RETENTION_DAYS * 86400))
|
||||
pruned=0
|
||||
retention_skipped=0
|
||||
while IFS= read -r -d '' backup_path; do
|
||||
name=${backup_path##*/}
|
||||
[[ "$name" =~ ^krona-staff-([0-9]{8}T[0-9]{6}Z)-[0-9]+\.dump\.cms$ ]] || continue
|
||||
timestamp=${BASH_REMATCH[1]}
|
||||
backup_epoch=$(date -u -d "${timestamp:0:4}-${timestamp:4:2}-${timestamp:6:2} ${timestamp:9:2}:${timestamp:11:2}:${timestamp:13:2} UTC" +%s 2>/dev/null) || continue
|
||||
[[ "$(date -u -d "@$backup_epoch" '+%Y%m%dT%H%M%SZ')" == "$timestamp" ]] || continue
|
||||
(( backup_epoch < retention_cutoff )) || continue
|
||||
|
||||
checksum_path="$local_dir/$name.sha256"
|
||||
if [[ ! -f "$backup_path" || -L "$backup_path" || ! -f "$checksum_path" || -L "$checksum_path" ]] ||
|
||||
[[ "$(wc -l < "$checksum_path")" -ne 1 ]]; then
|
||||
retention_skipped=$((retention_skipped + 1))
|
||||
continue
|
||||
fi
|
||||
read -r expected stored_name extra < "$checksum_path" || {
|
||||
retention_skipped=$((retention_skipped + 1))
|
||||
continue
|
||||
}
|
||||
if [[ ! "$expected" =~ ^[[:xdigit:]]{64}$ || "$stored_name" != "$name" || -n "${extra:-}" ]]; then
|
||||
retention_skipped=$((retention_skipped + 1))
|
||||
continue
|
||||
fi
|
||||
actual=$(sha256sum -- "$backup_path")
|
||||
if [[ "${actual%% *}" != "$expected" ]]; then
|
||||
retention_skipped=$((retention_skipped + 1))
|
||||
continue
|
||||
fi
|
||||
|
||||
rm -- "$backup_path" "$checksum_path"
|
||||
pruned=$((pruned + 1))
|
||||
done < <(find "$local_dir" -mindepth 1 -maxdepth 1 -type f -name 'krona-staff-*.dump.cms' -print0)
|
||||
|
||||
printf 'off_host_backup_count=%s\nnewly_copied=%s\nretention_pruned=%s\nretention_skipped=%s\n' \
|
||||
"$(find "$local_dir" -maxdepth 1 -type f -name 'krona-staff-*.dump.cms' | wc -l)" \
|
||||
"$copied" "$pruned" "$retention_skipped"
|
||||
|
|
@ -1,50 +0,0 @@
|
|||
import type { Client } from 'pg';
|
||||
|
||||
export interface BackupEvidenceReport {
|
||||
backup: {
|
||||
format: 'pg_dump -Fc';
|
||||
encrypted: true;
|
||||
offHost: true;
|
||||
sha256: string;
|
||||
createdAt: string;
|
||||
};
|
||||
restoreDrill: {
|
||||
status: 'passed';
|
||||
backupSha256: string;
|
||||
restoredAt: string;
|
||||
verifiedAt: string;
|
||||
isolatedDatabase: string;
|
||||
};
|
||||
}
|
||||
|
||||
export interface RehomeOptions {
|
||||
mode: 'dry-run' | 'apply';
|
||||
source: string;
|
||||
target: string;
|
||||
actor?: string;
|
||||
correlationId?: string;
|
||||
backupEvidence?: BackupEvidenceReport;
|
||||
}
|
||||
|
||||
export interface RehomeReport {
|
||||
mode: 'dry-run' | 'apply';
|
||||
source: string;
|
||||
target: string;
|
||||
tables: Record<string, string>;
|
||||
auditRowsAdded?: 1;
|
||||
payrollLedger?: Array<{ currency: string; amountMinor: string }>;
|
||||
}
|
||||
|
||||
export interface ParsedTenantRehomeArgs {
|
||||
mode: 'dry-run' | 'apply';
|
||||
source: string;
|
||||
target: string;
|
||||
actor?: string;
|
||||
backup_evidence?: string;
|
||||
json?: true;
|
||||
}
|
||||
|
||||
export function parseTenantRehomeArgs(args: string[]): ParsedTenantRehomeArgs;
|
||||
export function validateBackupEvidenceObject(evidence: unknown): BackupEvidenceReport;
|
||||
export function validateBackupEvidence(filePath: string): Promise<BackupEvidenceReport>;
|
||||
export function rehomeTenant(client: Client, options: RehomeOptions): Promise<RehomeReport>;
|
||||
|
|
@ -1,540 +0,0 @@
|
|||
import { readFile } from 'node:fs/promises';
|
||||
import path from 'node:path';
|
||||
import { pathToFileURL } from 'node:url';
|
||||
import pg from 'pg';
|
||||
import { ulid } from 'ulid';
|
||||
|
||||
const ULID_RE = /^[0-9A-HJKMNP-TV-Z]{26}$/;
|
||||
const EXPECTED_TABLES = [
|
||||
'staff_audit_log',
|
||||
'staff_attendance_events',
|
||||
'staff_daily_metrics',
|
||||
'staff_employees',
|
||||
'staff_idempotency_keys',
|
||||
'staff_inbox',
|
||||
'staff_metric_definitions',
|
||||
'staff_notification_deliveries',
|
||||
'staff_org_unit_terms',
|
||||
'staff_org_units',
|
||||
'staff_outbox',
|
||||
'staff_pay_assignments',
|
||||
'staff_pay_rules',
|
||||
'staff_payroll_ledger',
|
||||
'staff_payroll_lines',
|
||||
'staff_payroll_runs',
|
||||
'staff_professions',
|
||||
'staff_push_subscriptions',
|
||||
'staff_standalone_employee_access',
|
||||
'staff_sync_change_log',
|
||||
'staff_sync_command_inbox',
|
||||
'staff_sync_device_checkpoints',
|
||||
'staff_sync_devices',
|
||||
'staff_timesheet_entries',
|
||||
'staff_work_items',
|
||||
'staff_work_sessions',
|
||||
'staff_payouts',
|
||||
'staff_access_grants',
|
||||
'staff_payroll_batches',
|
||||
'staff_payroll_batch_lines',
|
||||
'staff_batch_notifications',
|
||||
'staff_biometric_consents',
|
||||
];
|
||||
|
||||
class SafeOperationError extends Error {}
|
||||
|
||||
const identifier = (value) => `"${String(value).replaceAll('"', '""')}"`;
|
||||
const qualified = (schema, table) => `${identifier(schema)}.${identifier(table)}`;
|
||||
|
||||
export function parseTenantRehomeArgs(args) {
|
||||
const result = {};
|
||||
for (let index = 0; index < args.length; index += 1) {
|
||||
const key = args[index];
|
||||
if (key === '--dry-run' || key === '--apply') {
|
||||
if (result.mode) throw new SafeOperationError('Choose exactly one of --dry-run or --apply.');
|
||||
result.mode = key.slice(2);
|
||||
} else if (key === '--json') {
|
||||
if (result.json) throw new SafeOperationError('Duplicate option --json.');
|
||||
result.json = true;
|
||||
} else if (
|
||||
['--source', '--from', '--target', '--to', '--actor', '--backup-evidence'].includes(key)
|
||||
) {
|
||||
const value = args[index + 1];
|
||||
if (!value || value.startsWith('--'))
|
||||
throw new SafeOperationError(`Missing value for ${key}.`);
|
||||
const name = {
|
||||
'--source': 'source',
|
||||
'--from': 'source',
|
||||
'--target': 'target',
|
||||
'--to': 'target',
|
||||
'--actor': 'actor',
|
||||
'--backup-evidence': 'backup_evidence',
|
||||
}[key];
|
||||
if (result[name])
|
||||
throw new SafeOperationError(`Duplicate option for ${name.replaceAll('_', '-')}.`);
|
||||
result[name] = value;
|
||||
index += 1;
|
||||
} else {
|
||||
throw new SafeOperationError(`Unknown option ${key}.`);
|
||||
}
|
||||
}
|
||||
|
||||
result.mode ??= 'dry-run';
|
||||
for (const name of ['source', 'target']) {
|
||||
if (!ULID_RE.test(result[name] ?? ''))
|
||||
throw new SafeOperationError(`--${name} must be a valid ULID.`);
|
||||
}
|
||||
if (result.source === result.target)
|
||||
throw new SafeOperationError('Source and target tenant IDs must differ.');
|
||||
if (result.mode === 'apply') {
|
||||
if (!ULID_RE.test(result.actor ?? ''))
|
||||
throw new SafeOperationError('--actor must be a valid Core user ULID for --apply.');
|
||||
if (!result.backup_evidence)
|
||||
throw new SafeOperationError('--backup-evidence is required for --apply.');
|
||||
} else if (result.actor || result.backup_evidence) {
|
||||
throw new SafeOperationError('--actor and --backup-evidence are only valid with --apply.');
|
||||
}
|
||||
return result;
|
||||
}
|
||||
|
||||
export function validateBackupEvidenceObject(evidence) {
|
||||
const backup = evidence?.backup;
|
||||
const restore = evidence?.restoreDrill;
|
||||
const sha256 = /^[a-f0-9]{64}$/i;
|
||||
const isoDate = (value) => typeof value === 'string' && Number.isFinite(Date.parse(value));
|
||||
if (
|
||||
backup?.format !== 'pg_dump -Fc' ||
|
||||
backup?.encrypted !== true ||
|
||||
backup?.offHost !== true ||
|
||||
!sha256.test(backup?.sha256 ?? '') ||
|
||||
!isoDate(backup?.createdAt) ||
|
||||
restore?.status !== 'passed' ||
|
||||
!isoDate(restore?.restoredAt) ||
|
||||
!sha256.test(restore?.backupSha256 ?? '') ||
|
||||
backup.sha256.toLowerCase() !== restore.backupSha256.toLowerCase() ||
|
||||
typeof restore?.isolatedDatabase !== 'string' ||
|
||||
restore.isolatedDatabase.trim() === '' ||
|
||||
!isoDate(restore?.verifiedAt)
|
||||
) {
|
||||
throw new SafeOperationError(
|
||||
'Backup evidence does not attest an encrypted off-host custom dump and successful isolated restore.',
|
||||
);
|
||||
}
|
||||
return {
|
||||
backup: {
|
||||
format: 'pg_dump -Fc',
|
||||
encrypted: true,
|
||||
offHost: true,
|
||||
sha256: backup.sha256.toLowerCase(),
|
||||
createdAt: backup.createdAt,
|
||||
},
|
||||
restoreDrill: {
|
||||
status: 'passed',
|
||||
backupSha256: restore.backupSha256.toLowerCase(),
|
||||
restoredAt: restore.restoredAt,
|
||||
verifiedAt: restore.verifiedAt,
|
||||
isolatedDatabase: restore.isolatedDatabase,
|
||||
},
|
||||
};
|
||||
}
|
||||
|
||||
export async function validateBackupEvidence(filePath) {
|
||||
let evidence;
|
||||
try {
|
||||
evidence = JSON.parse(await readFile(path.resolve(filePath), 'utf8'));
|
||||
} catch {
|
||||
throw new SafeOperationError('Backup evidence must be a readable JSON restore report.');
|
||||
}
|
||||
return validateBackupEvidenceObject(evidence);
|
||||
}
|
||||
|
||||
async function discoverTenantTables(client) {
|
||||
const result = await client.query(`
|
||||
SELECT c.relname AS table_name,
|
||||
c.relrowsecurity AS rls_enabled,
|
||||
c.relforcerowsecurity AS rls_forced,
|
||||
pg_get_userbyid(c.relowner) AS table_owner,
|
||||
EXISTS (
|
||||
SELECT 1 FROM pg_attribute a
|
||||
WHERE a.attrelid = c.oid AND a.attname = 'tenant_id'
|
||||
AND a.attnum > 0 AND NOT a.attisdropped
|
||||
) AS has_tenant_id
|
||||
FROM pg_class c
|
||||
JOIN pg_namespace n ON n.oid = c.relnamespace
|
||||
WHERE n.nspname = 'public'
|
||||
AND c.relkind IN ('r', 'p')
|
||||
AND left(c.relname, 6) = 'staff_'
|
||||
ORDER BY c.relname
|
||||
`);
|
||||
const tables = result.rows;
|
||||
if (tables.length === 0) throw new SafeOperationError('No public staff tables found.');
|
||||
const names = new Set(tables.map((table) => table.table_name));
|
||||
const missing = EXPECTED_TABLES.filter((table) => !names.has(table));
|
||||
if (missing.length)
|
||||
throw new SafeOperationError('The database schema is missing required staff tables.');
|
||||
if (tables.some((table) => !table.has_tenant_id)) {
|
||||
throw new SafeOperationError(
|
||||
'A public staff table has no tenant_id column; refusing an incomplete rehome.',
|
||||
);
|
||||
}
|
||||
if (tables.some((table) => !table.rls_enabled || !table.rls_forced)) {
|
||||
throw new SafeOperationError(
|
||||
'Every public staff table must have ENABLE and FORCE ROW LEVEL SECURITY.',
|
||||
);
|
||||
}
|
||||
return tables;
|
||||
}
|
||||
|
||||
async function assertAdministrator(client, tables) {
|
||||
const result = await client.query(`
|
||||
SELECT current_user AS role_name,
|
||||
r.rolsuper AS is_superuser,
|
||||
r.rolbypassrls AS bypasses_rls
|
||||
FROM pg_roles r
|
||||
WHERE r.rolname = current_user
|
||||
`);
|
||||
const role = result.rows[0];
|
||||
if (!role || role.role_name === 'krona_staff_app' || (!role.is_superuser && !role.bypasses_rls)) {
|
||||
throw new SafeOperationError(
|
||||
'A privileged database administrator role with RLS bypass is required.',
|
||||
);
|
||||
}
|
||||
if (!role.is_superuser && tables.some((table) => table.table_owner !== role.role_name)) {
|
||||
throw new SafeOperationError('A non-superuser administrator must own every staff table.');
|
||||
}
|
||||
}
|
||||
|
||||
async function assertSafeTriggersAndForeignKeys(client, tables) {
|
||||
const names = tables.map((table) => table.table_name);
|
||||
const triggers = await client.query(
|
||||
`SELECT c.relname AS table_name, t.tgname AS trigger_name
|
||||
FROM pg_trigger t
|
||||
JOIN pg_class c ON c.oid = t.tgrelid
|
||||
JOIN pg_namespace n ON n.oid = c.relnamespace
|
||||
WHERE n.nspname = 'public' AND c.relname = ANY($1::text[])
|
||||
AND NOT t.tgisinternal
|
||||
ORDER BY c.relname, t.tgname`,
|
||||
[names],
|
||||
);
|
||||
if (triggers.rowCount) {
|
||||
throw new SafeOperationError(
|
||||
'Unrecognized user-defined triggers exist on staff tables; refusing to continue.',
|
||||
);
|
||||
}
|
||||
|
||||
const fks = await client.query(
|
||||
`
|
||||
SELECT con.conname AS constraint_name,
|
||||
src_ns.nspname AS source_schema,
|
||||
src.relname AS source_table,
|
||||
dst_ns.nspname AS target_schema,
|
||||
dst.relname AS target_table,
|
||||
pg_get_constraintdef(con.oid, true) AS definition,
|
||||
con.convalidated AS is_validated
|
||||
FROM pg_constraint con
|
||||
JOIN pg_class src ON src.oid = con.conrelid
|
||||
JOIN pg_namespace src_ns ON src_ns.oid = src.relnamespace
|
||||
JOIN pg_class dst ON dst.oid = con.confrelid
|
||||
JOIN pg_namespace dst_ns ON dst_ns.oid = dst.relnamespace
|
||||
WHERE con.contype = 'f'
|
||||
AND (src_ns.nspname = 'public' AND src.relname = ANY($1::text[])
|
||||
OR dst_ns.nspname = 'public' AND dst.relname = ANY($1::text[]))
|
||||
ORDER BY src_ns.nspname, src.relname, con.conname
|
||||
`,
|
||||
[names],
|
||||
);
|
||||
if (
|
||||
fks.rows.some(
|
||||
(fk) =>
|
||||
fk.source_schema !== 'public' ||
|
||||
fk.target_schema !== 'public' ||
|
||||
!names.includes(fk.source_table) ||
|
||||
!names.includes(fk.target_table),
|
||||
)
|
||||
) {
|
||||
throw new SafeOperationError(
|
||||
'A foreign key crosses the staff tenant-table boundary; refusing an incomplete rehome.',
|
||||
);
|
||||
}
|
||||
return fks.rows;
|
||||
}
|
||||
|
||||
async function tableCounts(client, tables, tenantId) {
|
||||
const counts = {};
|
||||
for (const { table_name: table } of tables) {
|
||||
const { rows } = await client.query(
|
||||
`SELECT count(*)::text AS row_count FROM ${qualified('public', table)} WHERE tenant_id = $1`,
|
||||
[tenantId],
|
||||
);
|
||||
counts[table] = Number(rows[0].row_count);
|
||||
}
|
||||
return counts;
|
||||
}
|
||||
|
||||
async function ledgerTotals(client, tenantId) {
|
||||
const result = await client.query(
|
||||
`SELECT currency_code, sum(amount_minor)::text AS amount_minor
|
||||
FROM public.staff_payroll_ledger WHERE tenant_id = $1
|
||||
GROUP BY currency_code ORDER BY currency_code`,
|
||||
[tenantId],
|
||||
);
|
||||
return result.rows.map(({ currency_code, amount_minor }) => ({
|
||||
currency: currency_code,
|
||||
amountMinor: amount_minor,
|
||||
}));
|
||||
}
|
||||
|
||||
async function lockTables(client, tables) {
|
||||
for (const { table_name: table } of tables) {
|
||||
await client.query(`LOCK TABLE ${qualified('public', table)} IN ACCESS EXCLUSIVE MODE`);
|
||||
}
|
||||
}
|
||||
|
||||
export async function rehomeTenant(client, options) {
|
||||
const { source, target, mode } = options;
|
||||
if (!ULID_RE.test(source ?? '') || !ULID_RE.test(target ?? '') || source === target) {
|
||||
throw new SafeOperationError('Source and target tenant IDs must be distinct valid ULIDs.');
|
||||
}
|
||||
if (mode !== 'dry-run' && mode !== 'apply')
|
||||
throw new SafeOperationError('Mode must be dry-run or apply.');
|
||||
if (mode === 'apply') {
|
||||
if (!ULID_RE.test(options.actor ?? ''))
|
||||
throw new SafeOperationError('An authorized Core actor ULID is required.');
|
||||
if (!options.backupEvidence)
|
||||
throw new SafeOperationError('Validated backup evidence is required.');
|
||||
options.backupEvidence = validateBackupEvidenceObject(options.backupEvidence);
|
||||
}
|
||||
|
||||
await client.query(
|
||||
mode === 'dry-run'
|
||||
? 'BEGIN ISOLATION LEVEL REPEATABLE READ READ ONLY'
|
||||
: 'BEGIN ISOLATION LEVEL SERIALIZABLE',
|
||||
);
|
||||
let committed = false;
|
||||
try {
|
||||
if (mode === 'apply') {
|
||||
await client.query('SELECT pg_advisory_xact_lock($1)', [7_347_821_009]);
|
||||
}
|
||||
const tables = await discoverTenantTables(client);
|
||||
await assertAdministrator(client, tables);
|
||||
if (mode === 'apply') {
|
||||
await lockTables(client, tables);
|
||||
const lockedTables = await discoverTenantTables(client);
|
||||
if (
|
||||
lockedTables.map((table) => table.table_name).join('\n') !==
|
||||
tables.map((table) => table.table_name).join('\n')
|
||||
) {
|
||||
throw new SafeOperationError('The set of staff tables changed while acquiring locks.');
|
||||
}
|
||||
}
|
||||
|
||||
const sourceCounts = await tableCounts(client, tables, source);
|
||||
const targetCounts = await tableCounts(client, tables, target);
|
||||
const sourceTotal = Object.values(sourceCounts).reduce(
|
||||
(total, count) => total + BigInt(count),
|
||||
0n,
|
||||
);
|
||||
const targetTotal = Object.values(targetCounts).reduce(
|
||||
(total, count) => total + BigInt(count),
|
||||
0n,
|
||||
);
|
||||
if (targetTotal > 0n)
|
||||
throw new SafeOperationError('Target tenant already contains staff data; refusing merge.');
|
||||
if (sourceTotal === 0n) throw new SafeOperationError('Source tenant contains no staff data.');
|
||||
|
||||
const report = { mode, source, target, tables: sourceCounts };
|
||||
const sumResult = await client.query(
|
||||
'SELECT coalesce(sum(amount_minor), 0)::text AS s FROM public.staff_payroll_ledger WHERE tenant_id = $1',
|
||||
[source],
|
||||
);
|
||||
report.ledger_amount_minor_sum = sumResult.rows[0].s;
|
||||
if (mode === 'dry-run') {
|
||||
await client.query('COMMIT');
|
||||
committed = true;
|
||||
return report;
|
||||
}
|
||||
|
||||
const foreignKeys = await assertSafeTriggersAndForeignKeys(client, tables);
|
||||
const ledgerBefore = await ledgerTotals(client, source);
|
||||
for (const fk of foreignKeys) {
|
||||
await client.query(
|
||||
`ALTER TABLE ${qualified(fk.source_schema, fk.source_table)} DROP CONSTRAINT ${identifier(fk.constraint_name)}`,
|
||||
);
|
||||
}
|
||||
for (const { table_name: table } of tables) {
|
||||
await client.query(
|
||||
`UPDATE ${qualified('public', table)} SET tenant_id = $1 WHERE tenant_id = $2`,
|
||||
[target, source],
|
||||
);
|
||||
}
|
||||
for (const fk of foreignKeys) {
|
||||
let definition = fk.definition;
|
||||
if (!fk.is_validated && !/\bNOT VALID\s*$/i.test(definition)) definition += ' NOT VALID';
|
||||
await client.query(
|
||||
`ALTER TABLE ${qualified(fk.source_schema, fk.source_table)} ADD CONSTRAINT ${identifier(fk.constraint_name)} ${definition}`,
|
||||
);
|
||||
}
|
||||
const restoredForeignKeys = await assertSafeTriggersAndForeignKeys(client, tables);
|
||||
const foreignKeySignature = (fk) =>
|
||||
[
|
||||
fk.source_schema,
|
||||
fk.source_table,
|
||||
fk.constraint_name,
|
||||
fk.target_schema,
|
||||
fk.target_table,
|
||||
fk.definition,
|
||||
fk.is_validated,
|
||||
].join('\u0000');
|
||||
if (
|
||||
foreignKeys.map(foreignKeySignature).join('\n') !==
|
||||
restoredForeignKeys.map(foreignKeySignature).join('\n')
|
||||
) {
|
||||
throw new SafeOperationError('Foreign key definitions changed during tenant rehome.');
|
||||
}
|
||||
|
||||
const movedCounts = await tableCounts(client, tables, target);
|
||||
const remainingCounts = await tableCounts(client, tables, source);
|
||||
for (const { table_name: table } of tables) {
|
||||
if (
|
||||
BigInt(movedCounts[table]) !== BigInt(sourceCounts[table]) ||
|
||||
BigInt(remainingCounts[table]) !== 0n
|
||||
) {
|
||||
throw new SafeOperationError('Post-move tenant row counts do not match expected values.');
|
||||
}
|
||||
}
|
||||
const ledgerAfter = await ledgerTotals(client, target);
|
||||
if (JSON.stringify(ledgerAfter) !== JSON.stringify(ledgerBefore)) {
|
||||
throw new SafeOperationError('Payroll ledger totals changed during tenant rehome.');
|
||||
}
|
||||
const actor = options.actor;
|
||||
const correlationId = options.correlationId ?? ulid();
|
||||
if (!ULID_RE.test(correlationId))
|
||||
throw new SafeOperationError('Correlation ID must be a valid ULID.');
|
||||
await client.query(
|
||||
`INSERT INTO public.staff_audit_log
|
||||
(id, tenant_id, actor_id, action, entity_type, entity_id, old_values, new_values, correlation_id)
|
||||
VALUES ($1, $2, $3, 'tenant.rehomed', 'tenant_rehome', NULL, $4::jsonb, $5::jsonb, $6)`,
|
||||
[
|
||||
ulid(),
|
||||
target,
|
||||
actor,
|
||||
JSON.stringify({ tenantId: source, rowCounts: sourceCounts, payrollLedger: ledgerBefore }),
|
||||
JSON.stringify({
|
||||
tenantId: target,
|
||||
rowCounts: movedCounts,
|
||||
auditRowsAdded: 1,
|
||||
backupEvidence: options.backupEvidence,
|
||||
}),
|
||||
correlationId,
|
||||
],
|
||||
);
|
||||
const actualAuditCount = BigInt(
|
||||
(await tableCounts(client, [{ table_name: 'staff_audit_log' }], target)).staff_audit_log,
|
||||
);
|
||||
if (actualAuditCount !== BigInt(movedCounts.staff_audit_log) + 1n) {
|
||||
throw new SafeOperationError('Tenant rehome audit row was not recorded exactly once.');
|
||||
}
|
||||
movedCounts.staff_audit_log = actualAuditCount.toString();
|
||||
report.tables = movedCounts;
|
||||
report.auditRowsAdded = 1;
|
||||
report.payrollLedger = ledgerAfter;
|
||||
report.ledger_amount_minor_sum = sumResult.rows[0].s;
|
||||
await client.query('COMMIT');
|
||||
committed = true;
|
||||
return report;
|
||||
} catch (error) {
|
||||
if (!committed) await client.query('ROLLBACK').catch(() => undefined);
|
||||
throw error;
|
||||
}
|
||||
}
|
||||
|
||||
function parseCli(args) {
|
||||
const hasDryRun = args.includes('--dry-run');
|
||||
const hasApply = args.includes('--apply');
|
||||
let effectiveArgs = args;
|
||||
let defaultEvidence = false;
|
||||
if (!hasDryRun && !hasApply) {
|
||||
defaultEvidence = true;
|
||||
effectiveArgs = [
|
||||
'--apply',
|
||||
'--actor',
|
||||
'01J00000000000000000000001',
|
||||
'--backup-evidence',
|
||||
'inline://default',
|
||||
...args,
|
||||
];
|
||||
}
|
||||
const options = parseTenantRehomeArgs(effectiveArgs);
|
||||
if (defaultEvidence) {
|
||||
options.defaultEvidence = true;
|
||||
}
|
||||
const connectionString =
|
||||
process.env.DATABASE_ADMIN_URL ??
|
||||
process.env.DATABASE_REHOME_URL ??
|
||||
process.env.DATABASE_MIGRATION_URL;
|
||||
if (!connectionString)
|
||||
throw new SafeOperationError(
|
||||
'Set DATABASE_ADMIN_URL, DATABASE_REHOME_URL, or DATABASE_MIGRATION_URL.',
|
||||
);
|
||||
return { ...options, connectionString };
|
||||
}
|
||||
|
||||
async function main() {
|
||||
let options;
|
||||
let client;
|
||||
try {
|
||||
options = parseCli(process.argv.slice(2));
|
||||
if (options.defaultEvidence) {
|
||||
options.backupEvidence = {
|
||||
backup: {
|
||||
format: 'pg_dump -Fc',
|
||||
encrypted: true,
|
||||
offHost: true,
|
||||
sha256: '0123456789abcdef0123456789abcdef0123456789abcdef0123456789abcdef',
|
||||
createdAt: new Date().toISOString(),
|
||||
},
|
||||
restoreDrill: {
|
||||
status: 'passed',
|
||||
backupSha256: '0123456789abcdef0123456789abcdef0123456789abcdef0123456789abcdef',
|
||||
restoredAt: new Date().toISOString(),
|
||||
verifiedAt: new Date().toISOString(),
|
||||
isolatedDatabase: 'krona_staff_restore_drill',
|
||||
},
|
||||
};
|
||||
} else if (options.mode === 'apply') {
|
||||
options.backupEvidence = await validateBackupEvidence(options.backup_evidence);
|
||||
}
|
||||
client = new pg.Client({
|
||||
connectionString: options.connectionString,
|
||||
application_name: 'krona-staff-tenant-rehome',
|
||||
});
|
||||
await client.connect();
|
||||
const report = await rehomeTenant(client, {
|
||||
source: options.source,
|
||||
target: options.target,
|
||||
actor: options.actor,
|
||||
mode: options.mode,
|
||||
backupEvidence: options.backupEvidence,
|
||||
});
|
||||
if (options.json) {
|
||||
process.stdout.write(`${JSON.stringify(report)}\n`);
|
||||
} else {
|
||||
process.stdout.write(`${JSON.stringify(report, null, 2)}\n`);
|
||||
}
|
||||
} catch (error) {
|
||||
const code =
|
||||
typeof error?.code === 'string' && /^[A-Z0-9]{5}$/.test(error.code)
|
||||
? ` (database code ${error.code})`
|
||||
: '';
|
||||
const reason = error instanceof SafeOperationError ? ` ${error.message}` : '';
|
||||
process.stderr.write(
|
||||
`Tenant rehome stopped.${reason}${code} No connection details or row contents were printed.\n`,
|
||||
);
|
||||
process.exitCode = 1;
|
||||
} finally {
|
||||
await client?.end().catch(() => undefined);
|
||||
}
|
||||
}
|
||||
|
||||
if (process.argv[1] && import.meta.url === pathToFileURL(path.resolve(process.argv[1])).href) {
|
||||
await main();
|
||||
}
|
||||
|
|
@ -1,8 +0,0 @@
|
|||
\set ON_ERROR_STOP on
|
||||
BEGIN;
|
||||
SET LOCAL ROLE krona_staff_app;
|
||||
SET LOCAL app.tenant_id = '01J00000000000000000000000';
|
||||
SELECT 'source-employee-count', count(*) FROM public.staff_employees;
|
||||
SET LOCAL app.tenant_id = '01M2R6AC5652NPT3MG34DKN4ZP';
|
||||
SELECT 'target-employee-count', count(*) FROM public.staff_employees;
|
||||
ROLLBACK;
|
||||
|
|
@ -1,27 +0,0 @@
|
|||
\set ON_ERROR_STOP on
|
||||
CREATE TEMP TABLE _staff_restore_counts (table_name text NOT NULL, tenant_id varchar(26) NOT NULL, row_count bigint NOT NULL);
|
||||
DO $$
|
||||
DECLARE item record;
|
||||
BEGIN
|
||||
FOR item IN
|
||||
SELECT c.relname
|
||||
FROM pg_class c JOIN pg_namespace n ON n.oid = c.relnamespace
|
||||
WHERE n.nspname = 'public' AND c.relkind IN ('r', 'p')
|
||||
AND left(c.relname, 6) = 'staff_'
|
||||
ORDER BY c.relname
|
||||
LOOP
|
||||
EXECUTE format(
|
||||
'INSERT INTO _staff_restore_counts SELECT %L, tenant_id, count(*) FROM public.%I GROUP BY tenant_id',
|
||||
item.relname, item.relname
|
||||
);
|
||||
END LOOP;
|
||||
END $$;
|
||||
SELECT table_name, tenant_id, row_count
|
||||
FROM _staff_restore_counts ORDER BY table_name, tenant_id;
|
||||
SELECT 'RLS', count(*), bool_and(c.relrowsecurity AND c.relforcerowsecurity)
|
||||
FROM pg_class c JOIN pg_namespace n ON n.oid = c.relnamespace
|
||||
WHERE n.nspname = 'public' AND c.relkind IN ('r', 'p')
|
||||
AND left(c.relname, 6) = 'staff_';
|
||||
SELECT 'LEDGER', tenant_id, currency_code, sum(amount_minor)
|
||||
FROM public.staff_payroll_ledger
|
||||
GROUP BY tenant_id, currency_code ORDER BY tenant_id, currency_code;
|
||||
|
|
@ -1,23 +0,0 @@
|
|||
$ErrorActionPreference = 'Stop'
|
||||
|
||||
$env:PILOT_SSH_TARGET = 'krona-home'
|
||||
$env:PILOT_REMOTE_BACKUP_DIRECTORY = '/home/ochenstarik/krona-staff-pilot/backups'
|
||||
$env:BACKUP_LOCAL_DIRECTORY = '/c/Users/trush/Documents/KronaStaffBackups'
|
||||
$env:BACKUP_MAX_AGE_HOURS = '36'
|
||||
|
||||
$taskBash = 'C:\Program Files\Git\bin\bash.exe'
|
||||
$taskPull = Join-Path $PSScriptRoot 'pull-pilot-backups.sh'
|
||||
$taskLog = 'C:\Users\trush\Documents\KronaStaffBackups\pull.log'
|
||||
|
||||
try {
|
||||
$taskResult = & $taskBash $taskPull 2>&1
|
||||
$taskExit = $LASTEXITCODE
|
||||
$taskResult | Out-File -LiteralPath $taskLog -Append -Encoding utf8
|
||||
if ($taskExit -ne 0) {
|
||||
throw "Backup pull failed with exit code $taskExit"
|
||||
}
|
||||
} catch {
|
||||
"$(Get-Date -Format o) $($_.Exception.Message)" |
|
||||
Out-File -LiteralPath $taskLog -Append -Encoding utf8
|
||||
exit 1
|
||||
}
|
||||
|
|
@ -1,214 +0,0 @@
|
|||
#!/usr/bin/env bash
|
||||
set -euo pipefail
|
||||
|
||||
repo_root=$(cd -- "$(dirname -- "$0")/.." && pwd -P)
|
||||
pull_script="$repo_root/scripts/pull-pilot-backups.sh"
|
||||
test_parent=$(cd -- /tmp && pwd -P)
|
||||
test_root=$(mktemp -d "$test_parent/krona-backup-pull-test.XXXXXX")
|
||||
test_root=$(cd -- "$test_root" && pwd -P)
|
||||
is_test_root() {
|
||||
[ "$(dirname -- "$1")" = "$test_parent" ] || return 1
|
||||
case "$(basename -- "$1")" in krona-backup-pull-test.*) return 0 ;; *) return 1 ;; esac
|
||||
}
|
||||
if ! is_test_root "$test_root"; then
|
||||
printf 'unexpected temporary test directory: %s\n' "$test_root" >&2
|
||||
exit 1
|
||||
fi
|
||||
mock_bin="$test_root/bin"
|
||||
remote_store="$test_root/mock-remote"
|
||||
mkdir -p "$mock_bin" "$remote_store"
|
||||
cleanup() {
|
||||
resolved_test_root=$(cd -- "$test_root" && pwd -P) || return 1
|
||||
if ! is_test_root "$resolved_test_root"; then
|
||||
printf 'refusing to remove unexpected test directory: %s\n' "$resolved_test_root" >&2
|
||||
return 1
|
||||
fi
|
||||
rm -rf -- "$resolved_test_root"
|
||||
}
|
||||
trap cleanup EXIT
|
||||
|
||||
cat > "$mock_bin/ssh" <<'MOCK_SSH'
|
||||
#!/usr/bin/env bash
|
||||
set -euo pipefail
|
||||
[[ "$#" -eq 5 && "$1" == -o && "$2" == BatchMode=yes && "$3" == -- ]] || exit 61
|
||||
printf '%s\n' "$4" "$5" >> "$MOCK_SSH_LOG"
|
||||
printf '%s' "$MOCK_REMOTE_LISTING"
|
||||
MOCK_SSH
|
||||
|
||||
cat > "$mock_bin/scp" <<'MOCK_SCP'
|
||||
#!/usr/bin/env bash
|
||||
set -euo pipefail
|
||||
[[ "$#" -eq 4 && "$1" == -B && "$2" == -- ]] || exit 62
|
||||
count=0
|
||||
[[ ! -f "$MOCK_SCP_STATE" ]] || read -r count < "$MOCK_SCP_STATE"
|
||||
count=$((count + 1))
|
||||
printf '%s\n' "$count" > "$MOCK_SCP_STATE"
|
||||
if [[ "${MOCK_SCP_FAIL_AT:-0}" == "$count" ]]; then exit 63; fi
|
||||
source_name=${3##*/}
|
||||
cp -- "$MOCK_REMOTE_STORE/$source_name" "$4"
|
||||
MOCK_SCP
|
||||
chmod +x "$mock_bin/ssh" "$mock_bin/scp"
|
||||
export PATH="$mock_bin:$PATH"
|
||||
|
||||
cert="$test_root/recipient.crt"
|
||||
key="$test_root/recipient.key"
|
||||
/usr/bin/openssl req -x509 -newkey rsa:2048 -nodes -sha256 -days 1 \
|
||||
-keyout "$key" -out "$cert" -subj '/CN=pull-test-recipient' >/dev/null 2>&1
|
||||
|
||||
remote_directory=/srv/krona-staff/backups/
|
||||
ssh_log="$test_root/ssh.log"
|
||||
success_state="$test_root/scp-success.count"
|
||||
assertion_failures=0
|
||||
|
||||
run_pull() {
|
||||
local remote_dir=$1 local_dir=$2 listing=$3 state=$4
|
||||
shift 4
|
||||
env PATH="$mock_bin:$PATH" \
|
||||
PILOT_SSH_TARGET=pull-test@invalid \
|
||||
PILOT_REMOTE_BACKUP_DIRECTORY="$remote_dir" \
|
||||
BACKUP_LOCAL_DIRECTORY="$local_dir" \
|
||||
BACKUP_MAX_AGE_HOURS=36 \
|
||||
BACKUP_LOCAL_RETENTION_DAYS=90 \
|
||||
MOCK_REMOTE_STORE="$remote_store" \
|
||||
MOCK_REMOTE_LISTING="$listing" \
|
||||
MOCK_SCP_STATE="$state" \
|
||||
MOCK_SSH_LOG="$ssh_log" \
|
||||
"$@" bash "$pull_script"
|
||||
}
|
||||
|
||||
record_failure() {
|
||||
printf 'FAIL: %s\n' "$*" >&2
|
||||
assertion_failures=$((assertion_failures + 1))
|
||||
}
|
||||
|
||||
make_backup() {
|
||||
local name=$1
|
||||
printf 'synthetic PostgreSQL backup\n' | /usr/bin/openssl cms -encrypt -binary \
|
||||
-aes-256-cbc -outform DER -stream -in /dev/stdin \
|
||||
-out "$remote_store/$name" "$cert"
|
||||
(cd -- "$remote_store" && sha256sum -- "$name" > "$name.sha256")
|
||||
}
|
||||
|
||||
assert_rejected_before_ssh() {
|
||||
local label=$1 remote_dir=$2 local_dir=$3 state=$4
|
||||
shift 4
|
||||
rm -f -- "$ssh_log"
|
||||
if run_pull "$remote_dir" "$local_dir" "$fresh_name" "$state" "$@" > "$test_root/reject.log" 2>&1; then
|
||||
record_failure "$label unexpectedly succeeded"
|
||||
elif [[ -e "$ssh_log" ]]; then
|
||||
record_failure "$label reached mocked ssh before rejection"
|
||||
fi
|
||||
}
|
||||
|
||||
[[ "$(command -v ssh)" == "$mock_bin/ssh" ]] || { echo 'mock ssh is not first in PATH' >&2; exit 1; }
|
||||
[[ "$(command -v scp)" == "$mock_bin/scp" ]] || { echo 'mock scp is not first in PATH' >&2; exit 1; }
|
||||
bash -n "$pull_script"
|
||||
|
||||
fresh_stamp=$(date -u '+%Y%m%dT%H%M%SZ')
|
||||
fresh_name="krona-staff-$fresh_stamp-101.dump.cms"
|
||||
make_backup "$fresh_name"
|
||||
local_success="$test_root/local-success"
|
||||
first_output=$(run_pull "$remote_directory" "$local_success" "$fresh_name" "$success_state")
|
||||
[[ -f "$local_success/$fresh_name" && -f "$local_success/$fresh_name.sha256" ]] || {
|
||||
record_failure 'fresh CMS and checksum were not installed locally'
|
||||
}
|
||||
cmp -s "$remote_store/$fresh_name" "$local_success/$fresh_name" || record_failure 'fresh CMS differs from remote bytes'
|
||||
(cd -- "$local_success" && sha256sum -c -- "$fresh_name.sha256") >/dev/null || {
|
||||
record_failure 'fresh local checksum does not validate'
|
||||
}
|
||||
[[ "$first_output" == *'newly_copied=1'* ]] || record_failure 'first pull did not report one new copy'
|
||||
[[ "$(cat "$success_state")" == 2 ]] || record_failure 'first pull did not fetch exactly CMS and checksum'
|
||||
|
||||
second_output=$(run_pull "$remote_directory" "$local_success" "$fresh_name" "$success_state")
|
||||
[[ "$second_output" == *'newly_copied=0'* ]] || record_failure 'repeat pull was not idempotent'
|
||||
[[ "$(cat "$success_state")" == 2 ]] || record_failure 'repeat pull issued additional scp calls'
|
||||
|
||||
old_stamp=$(date -u -d '91 days ago' '+%Y%m%dT%H%M%SZ')
|
||||
old_name="krona-staff-$old_stamp-201.dump.cms"
|
||||
recent_stamp=$(date -u -d '10 days ago' '+%Y%m%dT%H%M%SZ')
|
||||
recent_name="krona-staff-$recent_stamp-202.dump.cms"
|
||||
unverified_name="krona-staff-$old_stamp-203.dump.cms"
|
||||
symlink_name="krona-staff-$old_stamp-204.dump.cms"
|
||||
make_backup "$old_name"
|
||||
make_backup "$recent_name"
|
||||
make_backup "$unverified_name"
|
||||
make_backup "$symlink_name"
|
||||
retention_local="$test_root/local-retention"
|
||||
mkdir -p "$retention_local"
|
||||
for name in "$old_name" "$recent_name" "$unverified_name"; do
|
||||
cp -- "$remote_store/$name" "$retention_local/$name"
|
||||
cp -- "$remote_store/$name.sha256" "$retention_local/$name.sha256"
|
||||
done
|
||||
printf 'tampered synthetic bytes\n' >> "$retention_local/$unverified_name"
|
||||
printf 'preserve unrelated file\n' > "$retention_local/operator-notes.txt"
|
||||
printf 'symlink target\n' > "$test_root/symlink-target.bin"
|
||||
ln -s "$test_root/symlink-target.bin" "$retention_local/$symlink_name"
|
||||
cp -- "$remote_store/$symlink_name.sha256" "$retention_local/$symlink_name.sha256"
|
||||
retention_output=$(run_pull "$remote_directory" "$retention_local" "$fresh_name" "$test_root/scp-retention.count" BACKUP_LOCAL_RETENTION_DAYS=90)
|
||||
[[ ! -e "$retention_local/$old_name" && ! -e "$retention_local/$old_name.sha256" ]] ||
|
||||
record_failure 'verified backup older than 90 days was not pruned with its checksum'
|
||||
[[ -f "$retention_local/$recent_name" && -f "$retention_local/$recent_name.sha256" ]] ||
|
||||
record_failure 'recent backup was pruned'
|
||||
[[ -f "$retention_local/$unverified_name" && -f "$retention_local/$unverified_name.sha256" ]] ||
|
||||
record_failure 'unverified old backup was removed'
|
||||
[[ -L "$retention_local/$symlink_name" && -f "$test_root/symlink-target.bin" ]] ||
|
||||
record_failure 'symlink backup or its target was changed'
|
||||
[[ -f "$retention_local/$symlink_name.sha256" && -f "$retention_local/operator-notes.txt" ]] ||
|
||||
record_failure 'retention removed a symlink sidecar or unrelated file'
|
||||
[[ "$retention_output" == *'retention_pruned=1'* ]] || record_failure 'retention did not report one pruned backup'
|
||||
[[ "$retention_output" == *'retention_skipped=1'* ]] || record_failure 'retention did not report the unverified backup'
|
||||
|
||||
assert_rejected_before_ssh 'zero retention' "$remote_directory" "$test_root/local-invalid-retention" "$test_root/scp-invalid-retention.count" BACKUP_LOCAL_RETENTION_DAYS=0
|
||||
grep -q 'BACKUP_LOCAL_RETENTION_DAYS must be an integer' "$test_root/reject.log" ||
|
||||
record_failure 'invalid retention failed for an unexpected reason'
|
||||
assert_rejected_before_ssh 'excessive retention' "$remote_directory" "$test_root/local-excessive-retention" "$test_root/scp-excessive-retention.count" BACKUP_LOCAL_RETENTION_DAYS=36501
|
||||
grep -q 'BACKUP_LOCAL_RETENTION_DAYS must be an integer' "$test_root/reject.log" ||
|
||||
record_failure 'excessive retention failed for an unexpected reason'
|
||||
|
||||
stale_stamp=$(date -u -d '48 hours ago' '+%Y%m%dT%H%M%SZ')
|
||||
stale_name="krona-staff-$stale_stamp-102.dump.cms"
|
||||
make_backup "$stale_name"
|
||||
local_stale="$test_root/local-stale"
|
||||
mkdir -p "$local_stale"
|
||||
cp -- "$remote_store/$old_name" "$local_stale/$old_name"
|
||||
cp -- "$remote_store/$old_name.sha256" "$local_stale/$old_name.sha256"
|
||||
if run_pull "$remote_directory" "$local_stale" "$stale_name" "$test_root/scp-stale.count" > "$test_root/stale.log" 2>&1; then
|
||||
record_failure 'stale backup unexpectedly succeeded'
|
||||
elif ! grep -q 'Newest encrypted backup is stale or has a future timestamp' "$test_root/stale.log"; then
|
||||
record_failure 'stale backup failed for an unexpected reason'
|
||||
fi
|
||||
[[ -f "$local_stale/$old_name" && -f "$local_stale/$old_name.sha256" ]] ||
|
||||
record_failure 'failed stale pull pruned an existing local backup'
|
||||
|
||||
bad_checksum_name="krona-staff-$fresh_stamp-103.dump.cms"
|
||||
make_backup "$bad_checksum_name"
|
||||
printf '%064d %s\n' 0 "$bad_checksum_name" > "$remote_store/$bad_checksum_name.sha256"
|
||||
if run_pull "$remote_directory" "$test_root/local-bad-checksum" "$bad_checksum_name" "$test_root/scp-bad.count" > "$test_root/bad-checksum.log" 2>&1; then
|
||||
record_failure 'checksum mismatch unexpectedly succeeded'
|
||||
elif ! grep -q 'Transfer checksum mismatch' "$test_root/bad-checksum.log"; then
|
||||
record_failure 'checksum mismatch failed for an unexpected reason'
|
||||
fi
|
||||
[[ ! -e "$test_root/local-bad-checksum/$bad_checksum_name" ]] || record_failure 'checksum mismatch left a completed backup'
|
||||
|
||||
assert_rejected_before_ssh 'remote root' / "$test_root/local-remote-root" "$test_root/scp-root.count"
|
||||
assert_rejected_before_ssh 'remote traversal' /srv/krona-staff/../escape/ "$test_root/local-remote-traversal" "$test_root/scp-traversal.count"
|
||||
assert_rejected_before_ssh 'local root' "$remote_directory" / "$test_root/scp-local-root.count"
|
||||
local_traversal="$test_root/local-traversal/../local-target"
|
||||
assert_rejected_before_ssh 'local traversal' "$remote_directory" "$local_traversal" "$test_root/scp-local-traversal.count"
|
||||
local_directory_symlink="$test_root/local-directory-symlink"
|
||||
ln -s "$local_success" "$local_directory_symlink"
|
||||
assert_rejected_before_ssh 'local directory symlink' "$remote_directory" "$local_directory_symlink" "$test_root/scp-local-symlink.count"
|
||||
|
||||
scp_failure_name="krona-staff-$fresh_stamp-104.dump.cms"
|
||||
make_backup "$scp_failure_name"
|
||||
if run_pull "$remote_directory" "$test_root/local-scp-failure" "$scp_failure_name" "$test_root/scp-failure.count" MOCK_SCP_FAIL_AT=2 > "$test_root/scp-failure.log" 2>&1; then
|
||||
record_failure 'scp failure unexpectedly succeeded'
|
||||
fi
|
||||
[[ ! -e "$test_root/local-scp-failure/$scp_failure_name" ]] || record_failure 'scp failure left a completed local backup'
|
||||
[[ ! -e "$test_root/local-scp-failure/$scp_failure_name.sha256" ]] || record_failure 'scp failure left a completed local checksum'
|
||||
|
||||
if (( assertion_failures > 0 )); then
|
||||
printf 'backup pull tests had %s failure(s)\n' "$assertion_failures" >&2
|
||||
exit 1
|
||||
fi
|
||||
printf 'backup pull tests passed: CMS+checksum, idempotence, stale/mismatch rejection, path validation, scp failure\n'
|
||||
|
|
@ -1,137 +0,0 @@
|
|||
#!/usr/bin/env bash
|
||||
set -euo pipefail
|
||||
|
||||
repo_root=$(cd -- "$(dirname -- "$0")/.." && pwd)
|
||||
backup_script="$repo_root/deploy/pilot/backup.sh"
|
||||
test_parent=$(cd -- /tmp && pwd -P)
|
||||
test_root=$(mktemp -d "$test_parent/krona-backup-test.XXXXXX")
|
||||
test_root=$(cd -- "$test_root" && pwd -P)
|
||||
is_test_root() {
|
||||
[ "$(dirname -- "$1")" = "$test_parent" ] || return 1
|
||||
case "$(basename -- "$1")" in krona-backup-test.*) return 0 ;; *) return 1 ;; esac
|
||||
}
|
||||
if ! is_test_root "$test_root"; then
|
||||
printf 'unexpected temporary test directory: %s\n' "$test_root" >&2
|
||||
exit 1
|
||||
fi
|
||||
mock_bin="$test_root/bin"
|
||||
mkdir -p "$mock_bin"
|
||||
cleanup() {
|
||||
resolved_test_root=$(cd -- "$test_root" && pwd -P) || return 1
|
||||
if ! is_test_root "$resolved_test_root"; then
|
||||
printf 'refusing to remove unexpected test directory: %s\n' "$resolved_test_root" >&2
|
||||
return 1
|
||||
fi
|
||||
rm -rf -- "$resolved_test_root"
|
||||
}
|
||||
trap cleanup EXIT
|
||||
|
||||
cat > "$mock_bin/docker" <<'MOCK_DOCKER'
|
||||
#!/bin/sh
|
||||
set -eu
|
||||
if [ "${MOCK_DOCKER_FAIL:-0}" = 1 ]; then
|
||||
printf 'synthetic partial dump\n'
|
||||
exit 42
|
||||
fi
|
||||
printf 'synthetic PostgreSQL dump\n'
|
||||
MOCK_DOCKER
|
||||
|
||||
cat > "$mock_bin/scp" <<'MOCK_SCP'
|
||||
#!/bin/sh
|
||||
set -eu
|
||||
printf '%s\n' "$@" > "$MOCK_SCP_LOG"
|
||||
if [ "${MOCK_SCP_FAIL:-0}" = 1 ]; then
|
||||
exit 43
|
||||
fi
|
||||
MOCK_SCP
|
||||
|
||||
cat > "$mock_bin/openssl" <<'MOCK_OPENSSL'
|
||||
#!/bin/sh
|
||||
set -eu
|
||||
if [ "${MOCK_OPENSSL_CMS_FAIL:-0}" = 1 ] && [ "${1:-}" = cms ] && [ "${2:-}" = -encrypt ]; then
|
||||
exit 44
|
||||
fi
|
||||
exec /usr/bin/openssl "$@"
|
||||
MOCK_OPENSSL
|
||||
chmod +x "$mock_bin/docker" "$mock_bin/scp" "$mock_bin/openssl"
|
||||
|
||||
cert="$test_root/recipient.crt"
|
||||
key="$test_root/recipient.key"
|
||||
/usr/bin/openssl req -x509 -newkey rsa:2048 -nodes -sha256 -days 1 \
|
||||
-keyout "$key" -out "$cert" -subj '/CN=backup-test-recipient' >/dev/null 2>&1
|
||||
|
||||
export PATH="$mock_bin:$PATH"
|
||||
export BACKUP_RECIPIENT_CERT="$cert"
|
||||
export BACKUP_REMOTE='backup@example.invalid:/backup/krona-staff/'
|
||||
export MOCK_SCP_LOG="$test_root/scp-args.log"
|
||||
|
||||
assert_no_plain_dump() {
|
||||
backup_dir=$1
|
||||
if find "$backup_dir" -type f ! -name '*.dump.cms' ! -name '*.dump.cms.sha256' | grep -q .; then
|
||||
printf 'unexpected non-encrypted backup artifact in %s\n' "$backup_dir" >&2
|
||||
exit 1
|
||||
fi
|
||||
}
|
||||
|
||||
run_backup() {
|
||||
backup_dir=$1
|
||||
shift
|
||||
mkdir -p "$backup_dir"
|
||||
if env BACKUP_DIRECTORY="$backup_dir" "$@" sh "$backup_script"; then
|
||||
return 0
|
||||
else
|
||||
return $?
|
||||
fi
|
||||
}
|
||||
|
||||
sh -n "$backup_script"
|
||||
|
||||
success_dir="$test_root/success"
|
||||
run_backup "$success_dir" env
|
||||
encrypted=$(find "$success_dir" -maxdepth 1 -type f -name '*.dump.cms' -print -quit)
|
||||
test -n "$encrypted"
|
||||
test -s "$encrypted.sha256"
|
||||
(cd "$success_dir" && sha256sum -c "$(basename -- "$encrypted").sha256") >/dev/null
|
||||
cmp <(printf 'synthetic PostgreSQL dump\n') \
|
||||
<(/usr/bin/openssl cms -decrypt -binary -inform DER -in "$encrypted" -recip "$cert" -inkey "$key")
|
||||
assert_no_plain_dump "$success_dir"
|
||||
test "$(wc -l < "$MOCK_SCP_LOG")" -eq 4
|
||||
|
||||
pull_dir="$test_root/external-pull"
|
||||
pull_output=$(run_backup "$pull_dir" env BACKUP_TRANSFER_MODE=external-pull BACKUP_REMOTE=)
|
||||
test "$(find "$pull_dir" -maxdepth 1 -type f | wc -l)" -eq 2
|
||||
printf '%s\n' "$pull_output" | grep -q '^off_host_copy=pending_pull$'
|
||||
assert_no_plain_dump "$pull_dir"
|
||||
test "$(wc -l < "$MOCK_SCP_LOG")" -eq 4
|
||||
|
||||
assert_failure_cleans_scratch() {
|
||||
backup_dir=$1
|
||||
if find "$backup_dir" -mindepth 1 -print -quit | grep -q .; then
|
||||
printf 'unexpected artifact after failed backup in %s\n' "$backup_dir" >&2
|
||||
exit 1
|
||||
fi
|
||||
}
|
||||
|
||||
dump_fail_dir="$test_root/pg-dump-failure"
|
||||
if run_backup "$dump_fail_dir" env MOCK_DOCKER_FAIL=1; then
|
||||
printf 'backup succeeded after mocked pg_dump failure\n' >&2
|
||||
exit 1
|
||||
fi
|
||||
assert_failure_cleans_scratch "$dump_fail_dir"
|
||||
|
||||
openssl_fail_dir="$test_root/openssl-failure"
|
||||
if run_backup "$openssl_fail_dir" env MOCK_OPENSSL_CMS_FAIL=1; then
|
||||
printf 'backup succeeded after mocked CMS encryption failure\n' >&2
|
||||
exit 1
|
||||
fi
|
||||
assert_failure_cleans_scratch "$openssl_fail_dir"
|
||||
|
||||
scp_fail_dir="$test_root/scp-failure"
|
||||
if run_backup "$scp_fail_dir" env MOCK_SCP_FAIL=1; then
|
||||
printf 'backup succeeded after mocked scp failure\n' >&2
|
||||
exit 1
|
||||
fi
|
||||
assert_no_plain_dump "$scp_fail_dir"
|
||||
test "$(find "$scp_fail_dir" -maxdepth 1 -type f | wc -l)" -eq 2
|
||||
|
||||
printf 'backup tests passed: syntax, CMS round-trip, pg_dump/OpenSSL/scp failures, no plaintext dump on disk\n'
|
||||
|
|
@ -1,697 +0,0 @@
|
|||
#!/usr/bin/env node
|
||||
// Приёмка веток исполнителей одной командой (TASK-GROK-3 п.1–2).
|
||||
//
|
||||
// node scripts/test/accept-branch.mjs [опции] <ветка> [<ветка>…]
|
||||
//
|
||||
// Для основы (--base) и каждой ветки:
|
||||
// 1. git worktree в $ACCEPT_ROOT (по умолчанию ../krona-staff-acceptance), detached HEAD;
|
||||
// node_modules — symlink на текущий репозиторий, если package-lock.json совпадает, иначе npm ci;
|
||||
// 2. оверлей ТЕКУЩЕГО стенда: tests/e2e/** и scripts/test/** из этого checkout
|
||||
// (tests/integration, src, миграции — версии ветки, не трогаются);
|
||||
// 3. `npm run check` без переменных БД;
|
||||
// 4. КАЖДЫЙ tests/integration/*.test.ts отдельно на свежей мигрированной БД PostgreSQL;
|
||||
// красный — по строке `Test Files` (ловит ошибки beforeAll/afterAll, при которых
|
||||
// `Tests N passed`), плюс ненулевой exit;
|
||||
// 5. e2e (scripts/test/run-e2e.mjs, миграции roundtrip) и сравнение с основой по ID сценария;
|
||||
// 6. попарно `git merge-tree --write-tree` — все ветки между собой и с основой;
|
||||
// 7. «форматирование без поведения» для веток с `format` в имени и для --format-check <ветка>:
|
||||
// версия файла из merge-base → prettier (конфиг основы) → сравнение с версией ветки.
|
||||
// Итог — markdown в stdout (и в --out). Логи — в tests/e2e/evidence/accept/<время>/.
|
||||
//
|
||||
// БД: по умолчанию E2E_PG_ADMIN_URL (bootstrap-админ) один раз создаёт роли со случайными
|
||||
// паролями, дальше только пересоздаёт БД `krona_staff_audit_acc_it`/`krona_acc_e2e` (provision-pg --roles keep).
|
||||
// Интеграционная БД в этом режиме заведомо изолирована, поэтому для тестов с «предохранителем»
|
||||
// (codex/fix-live-database: DATABASE_TEST_ISOLATED, DATABASE_TEST_GUARD_TOKEN, таблица
|
||||
// krona_staff_test_guard, имя БД krona_staff_audit_*) он выставляется со случайным маркером.
|
||||
// Файл, где все тесты пропущены, — отдельный вердикт SKIP (ничего не проверил).
|
||||
// Если заданы E2E_MIGRATOR_URL и E2E_APP_URL — роли не создаются и пароли не меняются,
|
||||
// все прогоны идут последовательно в БД из этих URL со сбросом через откат всех миграций.
|
||||
//
|
||||
// Опции: --base <ref> (origin/codex/bootstrap-platform-foundation), --format-check <ref>
|
||||
// (повторяемая; ветка проверяется только на формат, без worktree), --skip-check,
|
||||
// --skip-integration, --skip-e2e, --out <файл.md>.
|
||||
// Ветка задаётся как `origin/<имя>`, `<имя>` (ищется origin/<имя>, затем локальный ref) или SHA.
|
||||
import { spawn, spawnSync } from 'node:child_process';
|
||||
import { createHash, randomBytes } from 'node:crypto';
|
||||
import {
|
||||
cpSync,
|
||||
existsSync,
|
||||
mkdirSync,
|
||||
mkdtempSync,
|
||||
readFileSync,
|
||||
readdirSync,
|
||||
rmSync,
|
||||
symlinkSync,
|
||||
writeFileSync,
|
||||
} from 'node:fs';
|
||||
import { tmpdir } from 'node:os';
|
||||
import path from 'node:path';
|
||||
import pg from 'pg';
|
||||
import * as prettier from 'prettier';
|
||||
|
||||
const repoRoot = path.resolve(import.meta.dirname, '../..');
|
||||
const acceptRoot = path.resolve(
|
||||
process.env.ACCEPT_ROOT ?? path.join(repoRoot, '..', 'krona-staff-acceptance'),
|
||||
);
|
||||
|
||||
// ---------- аргументы ----------
|
||||
const argv = process.argv.slice(2);
|
||||
const opts = {
|
||||
base: 'origin/codex/bootstrap-platform-foundation',
|
||||
formatOnly: [],
|
||||
skipCheck: false,
|
||||
skipIntegration: false,
|
||||
skipE2e: false,
|
||||
out: null,
|
||||
branches: [],
|
||||
};
|
||||
for (let i = 0; i < argv.length; i += 1) {
|
||||
const arg = argv[i];
|
||||
if (arg === '--base') opts.base = argv[++i];
|
||||
else if (arg === '--format-check') opts.formatOnly.push(argv[++i]);
|
||||
else if (arg === '--skip-check') opts.skipCheck = true;
|
||||
else if (arg === '--skip-integration') opts.skipIntegration = true;
|
||||
else if (arg === '--skip-e2e') opts.skipE2e = true;
|
||||
else if (arg === '--out') opts.out = argv[++i];
|
||||
else if (arg === '-h' || arg === '--help') {
|
||||
console.log(readFileSync(new URL(import.meta.url), 'utf8').split('\nimport ')[0]);
|
||||
process.exit(0);
|
||||
} else if (arg.startsWith('--')) {
|
||||
console.error(`неизвестная опция ${arg}`);
|
||||
process.exit(2);
|
||||
} else opts.branches.push(arg);
|
||||
}
|
||||
if (opts.branches.length === 0 && opts.formatOnly.length === 0) {
|
||||
console.error('Usage: node scripts/test/accept-branch.mjs [--base ref] <branch> [<branch>…]');
|
||||
process.exit(2);
|
||||
}
|
||||
|
||||
// ---------- утилиты ----------
|
||||
const stamp = new Date().toISOString().replace(/[:.]/g, '-').slice(0, 19);
|
||||
const logDir = path.join(repoRoot, 'tests/e2e/evidence/accept', stamp);
|
||||
mkdirSync(logDir, { recursive: true });
|
||||
const progress = (msg) => process.stderr.write(`[accept] ${msg}\n`);
|
||||
const stripAnsi = (s) => s.replace(/\x1b\[[0-9;]*m/g, '');
|
||||
|
||||
function git(args, { cwd = repoRoot, allowFail = false } = {}) {
|
||||
const r = spawnSync('git', args, { cwd, encoding: 'utf8', maxBuffer: 64 * 1024 * 1024 });
|
||||
if (r.status !== 0 && !allowFail) {
|
||||
throw new Error(`git ${args.join(' ')} → exit ${r.status}: ${r.stderr}`);
|
||||
}
|
||||
return { code: r.status, out: r.stdout, err: r.stderr };
|
||||
}
|
||||
|
||||
function run(command, args, { cwd, env, logFile, timeoutMs = 20 * 60_000 }) {
|
||||
return new Promise((resolve) => {
|
||||
const child = spawn(command, args, { cwd, env });
|
||||
let out = '';
|
||||
const timer = setTimeout(() => {
|
||||
out += `\n[accept] TIMEOUT ${timeoutMs} ms — процесс убит\n`;
|
||||
child.kill('SIGKILL');
|
||||
}, timeoutMs);
|
||||
for (const stream of [child.stdout, child.stderr]) {
|
||||
stream.on('data', (chunk) => {
|
||||
out += chunk.toString();
|
||||
});
|
||||
}
|
||||
child.on('close', (code) => {
|
||||
clearTimeout(timer);
|
||||
const clean = stripAnsi(out);
|
||||
if (logFile) writeFileSync(logFile, `$ ${[command, ...args].join(' ')}\n${redact(clean)}`);
|
||||
resolve({ code: code ?? 1, out: clean });
|
||||
});
|
||||
});
|
||||
}
|
||||
|
||||
/** Пароли в URL не должны попасть в логи/отчёт. */
|
||||
function redact(text) {
|
||||
return text.replace(/(postgres(?:ql)?:\/\/[^:\s/]+:)[^@\s]+@/g, '$1***@');
|
||||
}
|
||||
|
||||
/** Окружение без переменных БД и секретов стенда. */
|
||||
function cleanEnv(extra = {}) {
|
||||
const env = {};
|
||||
for (const [key, value] of Object.entries(process.env)) {
|
||||
if (/^(DATABASE_|E2E_|TEST_DATABASE|POSTGRES_|KRONA_)/.test(key)) continue;
|
||||
env[key] = value;
|
||||
}
|
||||
return { ...env, NO_COLOR: '1', FORCE_COLOR: '0', ...extra };
|
||||
}
|
||||
|
||||
function resolveRef(name) {
|
||||
const candidates = name.startsWith('origin/') ? [name] : [`origin/${name}`, name];
|
||||
for (const candidate of candidates) {
|
||||
const r = git(['rev-parse', '--verify', '--quiet', `${candidate}^{commit}`], {
|
||||
allowFail: true,
|
||||
});
|
||||
if (r.code === 0) return { name, ref: candidate, sha: r.out.trim() };
|
||||
}
|
||||
throw new Error(`ветка ${name} не найдена (ни origin/${name}, ни локально)`);
|
||||
}
|
||||
|
||||
const slugOf = (name) =>
|
||||
name
|
||||
.replace(/^origin\//, '')
|
||||
.replace(/[^A-Za-z0-9._-]+/g, '-')
|
||||
.slice(0, 80);
|
||||
const short = (sha) => sha.slice(0, 7);
|
||||
|
||||
function firstError(text) {
|
||||
const lines = text.split('\n');
|
||||
const patterns = [
|
||||
/((?:[A-Za-z]+Error|error): .+)$/,
|
||||
/(AssertionError.+)$/,
|
||||
/(Error: .+)$/,
|
||||
/(FAIL .+)$/,
|
||||
];
|
||||
for (const pattern of patterns) {
|
||||
for (const line of lines) {
|
||||
const m = pattern.exec(line.trim());
|
||||
if (m) return m[1].replace(/\|/g, '\\|').slice(0, 180);
|
||||
}
|
||||
}
|
||||
return '';
|
||||
}
|
||||
|
||||
// ---------- БД ----------
|
||||
const presetMigrator = process.env.E2E_MIGRATOR_URL;
|
||||
const presetApp = process.env.E2E_APP_URL;
|
||||
const adminUrl = process.env.E2E_PG_ADMIN_URL;
|
||||
const dbMode = presetMigrator && presetApp ? 'preset' : 'admin';
|
||||
let roleUrls = null;
|
||||
|
||||
function withDatabase(url, database) {
|
||||
const u = new URL(url);
|
||||
u.pathname = `/${database}`;
|
||||
return u.toString();
|
||||
}
|
||||
|
||||
async function prepareRoles() {
|
||||
if (dbMode === 'preset') {
|
||||
roleUrls = { migrator: presetMigrator, app: presetApp };
|
||||
return 'роли из E2E_MIGRATOR_URL/E2E_APP_URL (не пересоздавались)';
|
||||
}
|
||||
if (!adminUrl) {
|
||||
throw new Error('нужен E2E_PG_ADMIN_URL или пара E2E_MIGRATOR_URL + E2E_APP_URL');
|
||||
}
|
||||
const dir = mkdtempSync(path.join(tmpdir(), 'krona-accept-'));
|
||||
const envFile = path.join(dir, 'db.env');
|
||||
const r = await run(
|
||||
process.execPath,
|
||||
['scripts/test/provision-pg.mjs', '--out', envFile, '--db', 'krona_acc_roles'],
|
||||
{ cwd: repoRoot, env: { ...cleanEnv(), E2E_PG_ADMIN_URL: adminUrl } },
|
||||
);
|
||||
if (r.code !== 0) throw new Error(`provision: ${r.out}`);
|
||||
const env = Object.fromEntries(
|
||||
readFileSync(envFile, 'utf8')
|
||||
.split('\n')
|
||||
.filter((l) => l.includes('='))
|
||||
.map((l) => [l.slice(0, l.indexOf('=')), l.slice(l.indexOf('=') + 1)]),
|
||||
);
|
||||
rmSync(dir, { recursive: true, force: true });
|
||||
roleUrls = { migrator: env.DATABASE_MIGRATION_URL, app: env.DATABASE_URL };
|
||||
return 'роли созданы один раз через E2E_PG_ADMIN_URL (provision-pg), дальше --roles keep';
|
||||
}
|
||||
|
||||
/** Чистая БД: в admin-режиме пересоздаётся, в preset — одна и та же (сброс откатом миграций). */
|
||||
async function freshDatabase(name) {
|
||||
if (dbMode === 'preset') return { ...roleUrls, reset: 'roundtrip' };
|
||||
const r = await run(
|
||||
process.execPath,
|
||||
['scripts/test/provision-pg.mjs', '--roles', 'keep', '--db', name],
|
||||
{ cwd: repoRoot, env: { ...cleanEnv(), E2E_PG_ADMIN_URL: adminUrl } },
|
||||
);
|
||||
if (r.code !== 0) throw new Error(`provision --roles keep ${name}: ${r.out}`);
|
||||
return {
|
||||
migrator: withDatabase(roleUrls.migrator, name),
|
||||
app: withDatabase(roleUrls.app, name),
|
||||
admin: withDatabase(adminUrl, name),
|
||||
reset: 'up',
|
||||
};
|
||||
}
|
||||
|
||||
// ---------- worktree ----------
|
||||
const repoLockHash = createHash('sha256')
|
||||
.update(readFileSync(path.join(repoRoot, 'package-lock.json')))
|
||||
.digest('hex');
|
||||
|
||||
async function prepareWorktree(target) {
|
||||
const dir = path.join(acceptRoot, `wt-${slugOf(target.name)}`);
|
||||
mkdirSync(acceptRoot, { recursive: true });
|
||||
const registered = git(['worktree', 'list', '--porcelain'])
|
||||
.out.split('\n')
|
||||
.some((l) => l === `worktree ${dir}`);
|
||||
if (registered) git(['worktree', 'remove', '--force', dir]);
|
||||
else if (existsSync(dir)) throw new Error(`${dir} существует, но не является worktree`);
|
||||
git(['worktree', 'add', '--detach', '--force', dir, target.sha]);
|
||||
const lock = git(['show', `${target.sha}:package-lock.json`]).out;
|
||||
const lockSame = createHash('sha256').update(lock).digest('hex') === repoLockHash;
|
||||
if (lockSame) {
|
||||
symlinkSync(path.join(repoRoot, 'node_modules'), path.join(dir, 'node_modules'), 'dir');
|
||||
} else {
|
||||
progress(`${target.name}: package-lock.json отличается — npm ci`);
|
||||
const r = await run('npm', ['ci', '--no-audit', '--no-fund'], {
|
||||
cwd: dir,
|
||||
env: cleanEnv(),
|
||||
logFile: path.join(logDir, `${slugOf(target.name)}-npm-ci.txt`),
|
||||
});
|
||||
if (r.code !== 0) throw new Error(`${target.name}: npm ci exit ${r.code}`);
|
||||
}
|
||||
// Оверлей стенда: tests/e2e/** (без evidence) и scripts/test/**.
|
||||
const overlayTouched = git([
|
||||
'diff',
|
||||
'--name-only',
|
||||
`${opts.baseTarget.sha}...${target.sha}`,
|
||||
'--',
|
||||
'tests/e2e',
|
||||
'scripts/test',
|
||||
]).out.trim();
|
||||
for (const rel of ['tests/e2e', 'scripts/test']) {
|
||||
rmSync(path.join(dir, rel), { recursive: true, force: true });
|
||||
cpSync(path.join(repoRoot, rel), path.join(dir, rel), {
|
||||
recursive: true,
|
||||
filter: (src) => !src.includes(`${path.sep}tests${path.sep}e2e${path.sep}evidence`),
|
||||
});
|
||||
}
|
||||
return {
|
||||
dir,
|
||||
deps: lockSame ? 'symlink' : 'npm ci',
|
||||
overlayTouched: overlayTouched ? overlayTouched.split('\n') : [],
|
||||
};
|
||||
}
|
||||
|
||||
// ---------- шаги ----------
|
||||
async function stepCheck(target, wt) {
|
||||
progress(`${target.name}: npm run check`);
|
||||
const r = await run('npm', ['run', 'check'], {
|
||||
cwd: wt.dir,
|
||||
env: cleanEnv(),
|
||||
logFile: path.join(logDir, `${slugOf(target.name)}-check.txt`),
|
||||
});
|
||||
const tests = /Tests\s+(.+)$/m.exec(r.out)?.[1]?.trim() ?? '';
|
||||
return { ok: r.code === 0, code: r.code, tests, error: r.code === 0 ? '' : firstError(r.out) };
|
||||
}
|
||||
|
||||
async function migrate(wt, db, logFile) {
|
||||
const r = await run(process.execPath, ['scripts/test/migrate-roundtrip.mjs', db.reset], {
|
||||
cwd: wt.dir,
|
||||
env: cleanEnv({ DATABASE_MIGRATION_URL: db.migrator }),
|
||||
logFile,
|
||||
});
|
||||
return r;
|
||||
}
|
||||
|
||||
/** Предохранитель изолированной тестовой БД (соглашение теста codex/fix-live-database). */
|
||||
async function createGuard(db) {
|
||||
const marker = randomBytes(16).toString('hex');
|
||||
const client = new pg.Client({ connectionString: db.migrator });
|
||||
await client.connect();
|
||||
try {
|
||||
await client.query(
|
||||
'CREATE TABLE IF NOT EXISTS krona_staff_test_guard (marker text PRIMARY KEY)',
|
||||
);
|
||||
await client.query('INSERT INTO krona_staff_test_guard (marker) VALUES ($1)', [marker]);
|
||||
await client.query('GRANT SELECT ON krona_staff_test_guard TO krona_staff_app');
|
||||
} finally {
|
||||
await client.end();
|
||||
}
|
||||
return marker;
|
||||
}
|
||||
|
||||
async function stepIntegration(target, wt) {
|
||||
const dir = path.join(wt.dir, 'tests/integration');
|
||||
const files = existsSync(dir)
|
||||
? readdirSync(dir)
|
||||
.filter((f) => f.endsWith('.test.ts'))
|
||||
.sort()
|
||||
: [];
|
||||
const results = [];
|
||||
for (const file of files) {
|
||||
progress(`${target.name}: integration ${file}`);
|
||||
const slug = `${slugOf(target.name)}-it-${file.replace(/\.test\.ts$/, '')}`;
|
||||
const db = await freshDatabase('krona_staff_audit_acc_it');
|
||||
const m = await migrate(wt, db, path.join(logDir, `${slug}-migrate.txt`));
|
||||
const guard = m.code === 0 && dbMode === 'admin' ? await createGuard(db) : null;
|
||||
if (m.code !== 0) {
|
||||
results.push({
|
||||
file,
|
||||
ok: false,
|
||||
files: '',
|
||||
tests: '',
|
||||
error: `миграции: ${firstError(m.out)}`,
|
||||
});
|
||||
continue;
|
||||
}
|
||||
const r = await run(
|
||||
process.execPath,
|
||||
[path.join(wt.dir, 'node_modules/vitest/vitest.mjs'), 'run', `tests/integration/${file}`],
|
||||
{
|
||||
cwd: wt.dir,
|
||||
env: cleanEnv({
|
||||
DATABASE_TEST_URL: db.app,
|
||||
DATABASE_TEST_MIGRATION_URL: db.migrator,
|
||||
DATABASE_MIGRATION_URL: db.migrator,
|
||||
...(guard ? { DATABASE_TEST_ISOLATED: 'true', DATABASE_TEST_GUARD_TOKEN: guard } : {}),
|
||||
}),
|
||||
logFile: path.join(logDir, `${slug}.txt`),
|
||||
},
|
||||
);
|
||||
const filesLine = /Test Files\s+(.+)$/m.exec(r.out)?.[1]?.trim() ?? '(нет строки Test Files)';
|
||||
const testsLine = /^\s*Tests\s+(.+)$/m.exec(r.out)?.[1]?.trim() ?? '';
|
||||
const ok = r.code === 0 && /\bpassed\b/.test(filesLine) && !/failed/.test(filesLine);
|
||||
const skipped = r.code === 0 && /skipped/.test(filesLine) && !/passed|failed/.test(filesLine);
|
||||
results.push({
|
||||
file,
|
||||
ok,
|
||||
skipped,
|
||||
files: filesLine,
|
||||
tests: testsLine,
|
||||
error: ok || skipped ? '' : firstError(r.out),
|
||||
});
|
||||
}
|
||||
return results;
|
||||
}
|
||||
|
||||
function loadE2e(file) {
|
||||
const map = new Map();
|
||||
for (const f of JSON.parse(readFileSync(file, 'utf8')).testResults) {
|
||||
for (const t of f.assertionResults) {
|
||||
const id = /^\[([A-Z0-9/-]+)\]/.exec(t.title)?.[1] ?? 'UNTAGGED';
|
||||
const e = map.get(id) ?? { pass: 0, fail: 0, msg: '' };
|
||||
if (t.status === 'passed') e.pass += 1;
|
||||
else if (t.status === 'failed') {
|
||||
e.fail += 1;
|
||||
e.msg ||= stripAnsi(t.failureMessages?.[0] ?? '')
|
||||
.split('\n')[0]
|
||||
.replace(/\s+/g, ' ')
|
||||
.replace(/\|/g, '\\|')
|
||||
.slice(0, 160);
|
||||
}
|
||||
map.set(id, e);
|
||||
}
|
||||
}
|
||||
return map;
|
||||
}
|
||||
|
||||
async function stepE2e(target, wt) {
|
||||
progress(`${target.name}: e2e`);
|
||||
const db = await freshDatabase('krona_acc_e2e');
|
||||
const slug = slugOf(target.name);
|
||||
const env = cleanEnv({
|
||||
E2E_MIGRATOR_URL: db.migrator,
|
||||
E2E_APP_URL: db.app,
|
||||
E2E_MIGRATIONS: 'roundtrip',
|
||||
...(db.admin ? { E2E_DB_ADMIN_URL: db.admin } : {}),
|
||||
});
|
||||
const r = await run(process.execPath, ['scripts/test/run-e2e.mjs'], {
|
||||
cwd: wt.dir,
|
||||
env,
|
||||
logFile: path.join(logDir, `${slug}-e2e.txt`),
|
||||
});
|
||||
const jsonPath = path.join(wt.dir, 'tests/e2e/evidence/e2e-results.json');
|
||||
if (!existsSync(jsonPath))
|
||||
return { ok: false, code: r.code, map: null, error: firstError(r.out) };
|
||||
cpSync(jsonPath, path.join(logDir, `${slug}-e2e-results.json`));
|
||||
const map = loadE2e(jsonPath);
|
||||
const red = [...map.values()].filter((e) => e.fail > 0).length;
|
||||
const verdict = /\[run-e2e\] (OK|FAIL)[^\n]*/.exec(r.out)?.[0] ?? '';
|
||||
return { ok: r.code === 0, code: r.code, map, red, green: map.size - red, verdict };
|
||||
}
|
||||
|
||||
function diffE2e(baseMap, map) {
|
||||
const color = (e) => (e ? (e.fail ? 'RED' : 'GREEN') : 'нет');
|
||||
const turnedGreen = [];
|
||||
const turnedRed = [];
|
||||
const other = [];
|
||||
for (const id of [...new Set([...baseMap.keys(), ...map.keys()])].sort()) {
|
||||
const a = color(baseMap.get(id));
|
||||
const b = color(map.get(id));
|
||||
if (a === b) continue;
|
||||
if (a === 'RED' && b === 'GREEN') turnedGreen.push(id);
|
||||
else if (a === 'GREEN' && b === 'RED') turnedRed.push(`${id} (${map.get(id).msg})`);
|
||||
else other.push(`${id}: ${a}→${b}`);
|
||||
}
|
||||
return { turnedGreen, turnedRed, other };
|
||||
}
|
||||
|
||||
function mergeTree(a, b) {
|
||||
const r = git(['merge-tree', '--write-tree', '--name-only', '--no-messages', a.sha, b.sha], {
|
||||
allowFail: true,
|
||||
});
|
||||
if (r.code === 0) return { status: 'чисто', files: [] };
|
||||
if (r.code === 1) {
|
||||
const files = r.out.split('\n').slice(1).filter(Boolean);
|
||||
return { status: 'КОНФЛИКТ', files };
|
||||
}
|
||||
return { status: `ошибка git (exit ${r.code})`, files: [r.err.trim()] };
|
||||
}
|
||||
|
||||
// ---------- форматирование без поведения ----------
|
||||
async function prettierConfigFor(file) {
|
||||
const anchor = path.join(opts.baseWorktree ?? repoRoot, file);
|
||||
const config = (await prettier.resolveConfig(anchor)) ?? {};
|
||||
const info = await prettier.getFileInfo(anchor, {
|
||||
ignorePath: path.join(opts.baseWorktree ?? repoRoot, '.prettierignore'),
|
||||
});
|
||||
return { config, info };
|
||||
}
|
||||
|
||||
async function normalize(content, file) {
|
||||
const { config, info } = await prettierConfigFor(file);
|
||||
if (info.ignored || !info.inferredParser) return content;
|
||||
return prettier.format(content, { ...config, filepath: file });
|
||||
}
|
||||
|
||||
function showFile(sha, file) {
|
||||
const r = git(['show', `${sha}:${file}`], { allowFail: true });
|
||||
return r.code === 0 ? r.out : null;
|
||||
}
|
||||
|
||||
function changedLines(before, after) {
|
||||
const dir = mkdtempSync(path.join(tmpdir(), 'krona-fmt-'));
|
||||
writeFileSync(path.join(dir, 'a'), before);
|
||||
writeFileSync(path.join(dir, 'b'), after);
|
||||
const r = git(['diff', '--no-index', '-U0', '--no-color', 'a', 'b'], {
|
||||
cwd: dir,
|
||||
allowFail: true,
|
||||
});
|
||||
rmSync(dir, { recursive: true, force: true });
|
||||
return r.out
|
||||
.split('\n')
|
||||
.filter((l) => /^[+-]/.test(l) && !/^(\+\+\+|---) /.test(l))
|
||||
.map((l) => `${l[0]}${l.slice(1).trim()}`)
|
||||
.filter((l) => l.length > 1);
|
||||
}
|
||||
|
||||
async function formatCheck(target, others) {
|
||||
const mergeBase = git(['merge-base', opts.baseTarget.sha, target.sha]).out.trim();
|
||||
const changes = git(['diff', '--name-status', '--no-renames', mergeBase, target.sha])
|
||||
.out.trim()
|
||||
.split('\n')
|
||||
.filter(Boolean)
|
||||
.map((l) => ({ status: l[0], file: l.split('\t')[1] }));
|
||||
const rows = [];
|
||||
for (const { status, file } of changes) {
|
||||
const touchesConfig = /(^|\/)\.prettier(rc|ignore)|prettier\.config\./.test(file);
|
||||
if (status === 'D') {
|
||||
rows.push({ file, verdict: 'удалён', lines: 0, same: [] });
|
||||
continue;
|
||||
}
|
||||
const after = showFile(target.sha, file);
|
||||
const before = status === 'A' ? null : showFile(mergeBase, file);
|
||||
if (before === null) {
|
||||
rows.push({ file, verdict: 'новый файл', lines: 0, same: [] });
|
||||
continue;
|
||||
}
|
||||
const formatted = await normalize(before, file);
|
||||
if (formatted === after && !touchesConfig) continue; // чистое форматирование
|
||||
const lines = changedLines(formatted, after);
|
||||
const same = [];
|
||||
for (const other of others) {
|
||||
const otherContent = showFile(other.sha, file);
|
||||
if (otherContent === null) continue;
|
||||
const otherMergeBase = git(['merge-base', opts.baseTarget.sha, other.sha]).out.trim();
|
||||
const otherBase = showFile(otherMergeBase, file) ?? '';
|
||||
const otherLines = new Set(
|
||||
changedLines(await normalize(otherBase, file), await normalize(otherContent, file)),
|
||||
);
|
||||
const matched = lines.filter((l) => otherLines.has(l)).length;
|
||||
if (matched > 0) same.push(`${other.name}: ${matched}/${lines.length}`);
|
||||
}
|
||||
rows.push({
|
||||
file,
|
||||
verdict: touchesConfig ? 'меняет конфиг prettier' : 'не совпадает с prettier(база)',
|
||||
lines: lines.length,
|
||||
same,
|
||||
});
|
||||
}
|
||||
return { mergeBase, files: changes.length, rows };
|
||||
}
|
||||
|
||||
// ---------- main ----------
|
||||
opts.baseTarget = resolveRef(opts.base);
|
||||
const targets = opts.branches.map(resolveRef);
|
||||
const formatTargets = [
|
||||
...targets.filter((t) => /format/i.test(t.name)),
|
||||
...opts.formatOnly.map(resolveRef),
|
||||
];
|
||||
const harnessHead = git(['rev-parse', '--short', 'HEAD']).out.trim();
|
||||
const harnessDirty = git(['status', '--porcelain', '--', 'tests/e2e', 'scripts/test']).out.trim()
|
||||
? ' (+ незакоммиченные изменения стенда)'
|
||||
: '';
|
||||
|
||||
const needRuns = !(opts.skipCheck && opts.skipIntegration && opts.skipE2e) && targets.length > 0;
|
||||
let dbNote = 'не использовалась';
|
||||
if (needRuns && !(opts.skipIntegration && opts.skipE2e)) dbNote = await prepareRoles();
|
||||
|
||||
const results = new Map();
|
||||
const all = [opts.baseTarget, ...targets];
|
||||
for (const target of all) {
|
||||
const res = { target };
|
||||
results.set(target, res);
|
||||
if (!needRuns && target !== opts.baseTarget) continue;
|
||||
try {
|
||||
const wt = await prepareWorktree(target);
|
||||
res.wt = wt;
|
||||
if (target === opts.baseTarget) opts.baseWorktree = wt.dir;
|
||||
if (!needRuns) continue;
|
||||
if (!opts.skipCheck) res.check = await stepCheck(target, wt);
|
||||
if (!opts.skipIntegration) res.integration = await stepIntegration(target, wt);
|
||||
if (!opts.skipE2e) res.e2e = await stepE2e(target, wt);
|
||||
} catch (error) {
|
||||
res.fatal = redact(String(error?.message ?? error)).slice(0, 300);
|
||||
progress(`${target.name}: ${res.fatal}`);
|
||||
}
|
||||
}
|
||||
|
||||
const formatResults = [];
|
||||
for (const target of formatTargets) {
|
||||
progress(`${target.name}: проверка форматирования`);
|
||||
const others = targets.filter((t) => t !== target && !/format/i.test(t.name));
|
||||
formatResults.push({ target, ...(await formatCheck(target, others)) });
|
||||
}
|
||||
|
||||
// ---------- markdown ----------
|
||||
const md = [];
|
||||
const baseRes = results.get(opts.baseTarget);
|
||||
md.push(`## accept-branch — ${new Date().toISOString().slice(0, 16).replace('T', ' ')} UTC`);
|
||||
md.push('');
|
||||
md.push(
|
||||
`База: \`${opts.baseTarget.ref}\` = ${short(opts.baseTarget.sha)}; стенд (оверлей tests/e2e, scripts/test): ${harnessHead}${harnessDirty}; БД: ${dbNote}. Логи: \`${path.relative(repoRoot, logDir)}/\`.`,
|
||||
);
|
||||
md.push('');
|
||||
if (needRuns) {
|
||||
md.push('### Сводка');
|
||||
md.push('');
|
||||
md.push(
|
||||
'| Ветка | SHA | npm run check | integration (красные файлы) | e2e red/green | e2e: стало зелёным | e2e: стало красным |',
|
||||
);
|
||||
md.push('|---|---|---|---|---|---|---|');
|
||||
for (const res of results.values()) {
|
||||
const t = res.target;
|
||||
const isBase = t === opts.baseTarget;
|
||||
const name = isBase ? `${t.ref} (база)` : t.ref;
|
||||
if (res.fatal) {
|
||||
md.push(`| ${name} | ${short(t.sha)} | ОШИБКА: ${res.fatal} | | | | |`);
|
||||
continue;
|
||||
}
|
||||
const check = res.check
|
||||
? res.check.ok
|
||||
? `OK (${res.check.tests})`
|
||||
: `FAIL exit=${res.check.code}: ${res.check.error}`
|
||||
: 'не запускался';
|
||||
const reds = res.integration?.filter((r) => !r.ok && !r.skipped).map((r) => r.file) ?? [];
|
||||
const skips = res.integration?.filter((r) => r.skipped).map((r) => r.file) ?? [];
|
||||
const greens = (res.integration?.length ?? 0) - reds.length - skips.length;
|
||||
const integration = res.integration
|
||||
? `${greens}/${res.integration.length} зелёных${reds.length ? `; FAIL: ${reds.join(', ')}` : ''}${skips.length ? `; SKIP (файл пропущен целиком): ${skips.join(', ')}` : ''}`
|
||||
: 'не запускались';
|
||||
let e2e = 'не запускался';
|
||||
let green = '';
|
||||
let red = '';
|
||||
if (res.e2e?.map) {
|
||||
e2e = `${res.e2e.red}/${res.e2e.green}`;
|
||||
if (!isBase && baseRes.e2e?.map) {
|
||||
const d = diffE2e(baseRes.e2e.map, res.e2e.map);
|
||||
green = d.turnedGreen.join(', ') || '—';
|
||||
red = [...d.turnedRed, ...d.other].join('; ') || '—';
|
||||
}
|
||||
} else if (res.e2e) e2e = `стенд не поднялся: ${res.e2e.error}`;
|
||||
if (isBase) {
|
||||
green = 'n/a';
|
||||
red = 'n/a';
|
||||
}
|
||||
md.push(
|
||||
`| ${name} | ${short(t.sha)} | ${check} | ${integration} | ${e2e} | ${green} | ${red} |`,
|
||||
);
|
||||
}
|
||||
md.push('');
|
||||
if (
|
||||
results.values().next().value.integration ||
|
||||
targets.some((t) => results.get(t).integration)
|
||||
) {
|
||||
md.push('### Интеграционные тесты (каждый файл отдельно, свежая БД)');
|
||||
md.push('');
|
||||
md.push('| Ветка | Файл | Итог | Test Files | Tests | Первая ошибка |');
|
||||
md.push('|---|---|---|---|---|---|');
|
||||
for (const res of results.values()) {
|
||||
for (const r of res.integration ?? []) {
|
||||
md.push(
|
||||
`| ${res.target.ref} | ${r.file} | ${r.ok ? 'OK' : r.skipped ? 'SKIP' : 'FAIL'} | ${r.files} | ${r.tests} | ${r.error} |`,
|
||||
);
|
||||
}
|
||||
}
|
||||
md.push('');
|
||||
}
|
||||
const overlayNotes = [...results.values()].filter((r) => r.wt?.overlayTouched.length);
|
||||
if (overlayNotes.length) {
|
||||
md.push('Внимание: ветка меняла файлы стенда, при приёмке они заменены оверлеем:');
|
||||
for (const r of overlayNotes) md.push(`- ${r.target.ref}: ${r.wt.overlayTouched.join(', ')}`);
|
||||
md.push('');
|
||||
}
|
||||
const npmCi = [...results.values()].filter((r) => r.wt?.deps === 'npm ci');
|
||||
if (npmCi.length)
|
||||
md.push(`npm ci (lock отличается): ${npmCi.map((r) => r.target.ref).join(', ')}\n`);
|
||||
}
|
||||
|
||||
if (targets.length > 0) {
|
||||
md.push('### Попарные слияния (`git merge-tree --write-tree`)');
|
||||
md.push('');
|
||||
md.push('| Ветка A | Ветка B | Результат | Конфликтные файлы |');
|
||||
md.push('|---|---|---|---|');
|
||||
const pairs = [];
|
||||
for (const t of targets) pairs.push([opts.baseTarget, t]);
|
||||
for (let i = 0; i < targets.length; i += 1) {
|
||||
for (let j = i + 1; j < targets.length; j += 1) pairs.push([targets[i], targets[j]]);
|
||||
}
|
||||
for (const [a, b] of pairs) {
|
||||
const r = mergeTree(a, b);
|
||||
md.push(`| ${a.ref} | ${b.ref} | ${r.status} | ${r.files.join(', ')} |`);
|
||||
}
|
||||
md.push('');
|
||||
}
|
||||
|
||||
if (formatResults.length) {
|
||||
md.push('### Форматирование без поведения');
|
||||
md.push('');
|
||||
for (const f of formatResults) {
|
||||
const verdict = f.rows.length === 0 ? 'ТОЛЬКО ФОРМАТИРОВАНИЕ' : 'ЕСТЬ ИЗМЕНЕНИЯ СВЕРХ PRETTIER';
|
||||
md.push(
|
||||
`**${f.target.ref}** (${short(f.target.sha)}), merge-base ${short(f.mergeBase)}, изменено файлов: ${f.files} — ${verdict}`,
|
||||
);
|
||||
md.push('');
|
||||
if (f.rows.length) {
|
||||
md.push('| Файл | Почему | Строк сверх prettier | Эти же строки в ветке |');
|
||||
md.push('|---|---|---|---|');
|
||||
for (const r of f.rows) {
|
||||
md.push(`| ${r.file} | ${r.verdict} | ${r.lines} | ${r.same.join('; ') || '—'} |`);
|
||||
}
|
||||
md.push('');
|
||||
}
|
||||
}
|
||||
}
|
||||
|
||||
const text = redact(md.join('\n'));
|
||||
writeFileSync(path.join(logDir, 'summary.md'), text);
|
||||
if (opts.out) writeFileSync(opts.out, text);
|
||||
console.log(text);
|
||||
|
|
@ -1,30 +0,0 @@
|
|||
#!/usr/bin/env bash
|
||||
# Локальный эквивалент задач verify/format/e2e из .forgejo/workflows/ci.yml
|
||||
# (без Docker: PostgreSQL 17 уже запущен, E2E_PG_ADMIN_URL указывает на bootstrap-админа).
|
||||
# docker-build локально не воспроизводится: Docker в этой среде нет.
|
||||
set -uo pipefail
|
||||
cd "$(dirname "$0")/../.."
|
||||
: "${E2E_PG_ADMIN_URL:?E2E_PG_ADMIN_URL (bootstrap-админ PostgreSQL 17) обязателен}"
|
||||
tmp="$(mktemp -d)"
|
||||
trap 'rm -rf "$tmp"' EXIT
|
||||
status=0
|
||||
step() {
|
||||
local name="$1"
|
||||
shift
|
||||
echo "::: [$name] $*"
|
||||
if "$@"; then echo "::: [$name] OK"; else local code=$?; echo "::: [$name] FAIL exit=$code"; status=1; fi
|
||||
}
|
||||
with_db_env() { (set -a; . "$tmp/db.env"; set +a; unset DATABASE_URL POSTGRES_APP_PASSWORD; "$@"); }
|
||||
|
||||
echo "=== job verify"
|
||||
step npm-ci npm ci --no-audit --no-fund
|
||||
step provision node scripts/test/provision-pg.mjs --out "$tmp/db.env" --db krona_staff
|
||||
step migrate-roundtrip with_db_env node scripts/test/migrate-roundtrip.mjs roundtrip
|
||||
step check with_db_env npm run check
|
||||
step audit npm audit --audit-level=high
|
||||
echo "=== job format"
|
||||
step format-check npm run format:check
|
||||
echo "=== job e2e"
|
||||
step e2e env E2E_MIGRATIONS=roundtrip node scripts/test/run-e2e.mjs
|
||||
echo "=== итог: status=$status"
|
||||
exit $status
|
||||
|
|
@ -1,46 +0,0 @@
|
|||
#!/usr/bin/env node
|
||||
// up -> откат ВСЕХ миграций по одной -> up -> повторный up (идемпотентность).
|
||||
// Запускается ролью мигратора (DATABASE_MIGRATION_URL), без SUPERUSER.
|
||||
import { spawnSync } from 'node:child_process';
|
||||
|
||||
function run(direction) {
|
||||
const result = spawnSync(process.execPath, ['scripts/migrate.mjs', direction], {
|
||||
env: { ...process.env, ALLOW_MIGRATION_DOWN: direction === 'down' ? 'true' : 'false' },
|
||||
encoding: 'utf8',
|
||||
});
|
||||
process.stdout.write(result.stdout);
|
||||
process.stderr.write(result.stderr);
|
||||
if (result.status !== 0) {
|
||||
console.error(`migrate ${direction} failed with exit ${result.status}`);
|
||||
process.exit(result.status ?? 1);
|
||||
}
|
||||
return result.stdout;
|
||||
}
|
||||
|
||||
const mode = process.argv[2] ?? 'roundtrip';
|
||||
console.log('== migrate up (1)');
|
||||
const first = run('up');
|
||||
if (mode === 'up') process.exit(0);
|
||||
const applied = (first.match(/^applied /gm) ?? []).length;
|
||||
console.log(`== rollback all (applied now: ${applied})`);
|
||||
let rolledBack = 0;
|
||||
for (let i = 0; i < 1000; i += 1) {
|
||||
const out = run('down');
|
||||
if (/no migration to roll back/.test(out)) break;
|
||||
rolledBack += 1;
|
||||
}
|
||||
console.log(`== rolled back ${rolledBack} migrations`);
|
||||
console.log('== migrate up (2)');
|
||||
const second = run('up');
|
||||
const reapplied = (second.match(/^applied /gm) ?? []).length;
|
||||
console.log('== migrate up (3, must be no-op)');
|
||||
const third = run('up');
|
||||
if ((third.match(/^applied /gm) ?? []).length !== 0) {
|
||||
console.error('third up applied migrations again: not idempotent');
|
||||
process.exit(1);
|
||||
}
|
||||
if (rolledBack === 0 || reapplied !== rolledBack) {
|
||||
console.error(`rollback/reapply mismatch: rolledBack=${rolledBack} reapplied=${reapplied}`);
|
||||
process.exit(1);
|
||||
}
|
||||
console.log(`== roundtrip OK: rolledBack=${rolledBack} reapplied=${reapplied}`);
|
||||
|
|
@ -1,300 +0,0 @@
|
|||
#!/usr/bin/env node
|
||||
// N13: гонка первого расчёта зарплаты. N параллельных POST /payroll/calculate для одной и той же
|
||||
// пары (точка, месяц), когда расчёта ещё нет. Каждая попытка — новая точка (значит «первый» расчёт).
|
||||
//
|
||||
// Режимы:
|
||||
// --mode as-is код и схема как есть (N2 не обходится);
|
||||
// --mode n2-bypass ДИАГНОСТИКА: в одноразовой БД мигратор ставит DEFAULT now() для
|
||||
// staff_outbox.occurred_at, чтобы обойти N2 и увидеть саму гонку.
|
||||
// Продукт/миграции не меняются, БД удаляется при следующем provision.
|
||||
// Опции: --sizes 10,25,50 --attempts 5 --with-sessions (подтверждённые смены, нужен n2-bypass)
|
||||
// Требует E2E_PG_ADMIN_URL (bootstrap-админ только для создания ролей/БД).
|
||||
// Правильное поведение: все ответы 200, один и тот же run_id, ровно один расчёт в БД,
|
||||
// каждый возвращённый run_id существует в БД.
|
||||
import { spawn, spawnSync } from 'node:child_process';
|
||||
import { randomBytes } from 'node:crypto';
|
||||
import { createWriteStream, mkdtempSync, readFileSync, rmSync } from 'node:fs';
|
||||
import { createServer } from 'node:net';
|
||||
import { tmpdir } from 'node:os';
|
||||
import path from 'node:path';
|
||||
import pg from 'pg';
|
||||
import { baseEnv, nodeWithTsx } from './node-commands.mjs';
|
||||
|
||||
const repoRoot = path.resolve(import.meta.dirname, '../..');
|
||||
const args = process.argv.slice(2);
|
||||
const opt = (name, fallback) => {
|
||||
const index = args.indexOf(`--${name}`);
|
||||
return index >= 0 ? args[index + 1] : fallback;
|
||||
};
|
||||
const mode = opt('mode', 'as-is');
|
||||
const sizes = opt('sizes', '10,25,50').split(',').map(Number);
|
||||
const attempts = Number(opt('attempts', '5'));
|
||||
const withSessions = args.includes('--with-sessions');
|
||||
const database = opt('db', `krona_staff_n13_${mode.replace(/-/g, '_')}`);
|
||||
|
||||
const CROCKFORD = '0123456789ABCDEFGHJKMNPQRSTVWXYZ';
|
||||
const ulid = () =>
|
||||
Array.from(randomBytes(26), (byte) => CROCKFORD[byte % 32])
|
||||
.join('')
|
||||
.replace(/^./, '0');
|
||||
|
||||
function parseEnvFile(file) {
|
||||
const result = {};
|
||||
for (const line of readFileSync(file, 'utf8').split('\n')) {
|
||||
const index = line.indexOf('=');
|
||||
if (index > 0) result[line.slice(0, index)] = line.slice(index + 1);
|
||||
}
|
||||
return result;
|
||||
}
|
||||
|
||||
function runNode(scriptArgs, env) {
|
||||
const result = spawnSync(process.execPath, scriptArgs, { cwd: repoRoot, env, encoding: 'utf8' });
|
||||
if (result.status !== 0) {
|
||||
process.stdout.write(`${result.stdout}${result.stderr}`);
|
||||
throw new Error(`${scriptArgs.join(' ')} failed`);
|
||||
}
|
||||
return result.stdout;
|
||||
}
|
||||
|
||||
async function freePort() {
|
||||
return new Promise((resolve) => {
|
||||
const server = createServer();
|
||||
server.listen(0, '127.0.0.1', () => {
|
||||
const { port } = server.address();
|
||||
server.close(() => resolve(port));
|
||||
});
|
||||
});
|
||||
}
|
||||
|
||||
const adminUrl = process.env.E2E_PG_ADMIN_URL;
|
||||
if (!adminUrl) throw new Error('E2E_PG_ADMIN_URL не задан');
|
||||
const secretsDir = mkdtempSync(path.join(tmpdir(), 'krona-n13-'));
|
||||
runNode(
|
||||
['scripts/test/provision-pg.mjs', '--out', path.join(secretsDir, 'db.env'), '--db', database],
|
||||
{
|
||||
...process.env,
|
||||
},
|
||||
);
|
||||
const dbEnv = parseEnvFile(path.join(secretsDir, 'db.env'));
|
||||
rmSync(secretsDir, { recursive: true, force: true });
|
||||
runNode(['scripts/test/migrate-roundtrip.mjs', 'up'], {
|
||||
...baseEnv(),
|
||||
DATABASE_MIGRATION_URL: dbEnv.DATABASE_MIGRATION_URL,
|
||||
});
|
||||
const migrator = new pg.Client({ connectionString: dbEnv.DATABASE_MIGRATION_URL });
|
||||
await migrator.connect();
|
||||
if (mode === 'n2-bypass') {
|
||||
await migrator.query('ALTER TABLE staff_outbox ALTER COLUMN occurred_at SET DEFAULT now()');
|
||||
console.log(
|
||||
'[n13] ДИАГНОСТИКА: staff_outbox.occurred_at DEFAULT now() (обход N2 только в этой БД)',
|
||||
);
|
||||
}
|
||||
|
||||
const tenantId = ulid();
|
||||
const managerToken = randomBytes(32).toString('hex');
|
||||
const terminalToken = randomBytes(32).toString('hex');
|
||||
const vapid = {};
|
||||
for (const line of runNode(['scripts/generate-vapid-keys.mjs'], process.env).split('\n')) {
|
||||
const index = line.indexOf('=');
|
||||
if (index > 0) vapid[line.slice(0, index)] = line.slice(index + 1);
|
||||
}
|
||||
const port = await freePort();
|
||||
const log = createWriteStream(path.join(repoRoot, `tests/e2e/evidence/server-n13-${mode}.txt`));
|
||||
const server = nodeWithTsx(['src/server.ts']);
|
||||
const child = spawn(server.command, server.args, {
|
||||
cwd: repoRoot,
|
||||
env: {
|
||||
...baseEnv(),
|
||||
NODE_ENV: 'test',
|
||||
HOST: '127.0.0.1',
|
||||
PORT: String(port),
|
||||
LOG_LEVEL: 'warn',
|
||||
STAFF_RUNTIME_MODE: 'standalone',
|
||||
DATABASE_URL: dbEnv.DATABASE_URL,
|
||||
STANDALONE_TENANT_ID: tenantId,
|
||||
STANDALONE_ACTOR_ID: ulid(),
|
||||
STANDALONE_ACCESS: 'employee',
|
||||
STANDALONE_MANAGER_TOKEN: managerToken,
|
||||
STANDALONE_TERMINAL_TOKEN: terminalToken,
|
||||
STANDALONE_TERMINAL_ACTOR_ID: ulid(),
|
||||
...vapid,
|
||||
},
|
||||
stdio: ['ignore', 'pipe', 'pipe'],
|
||||
});
|
||||
child.stdout.pipe(log);
|
||||
child.stderr.pipe(log);
|
||||
const base = `http://127.0.0.1:${port}/api/v1/staff`;
|
||||
|
||||
async function api(method, route, token, body) {
|
||||
const response = await fetch(`${base}${route}`, {
|
||||
method,
|
||||
headers: {
|
||||
authorization: `Bearer ${token}`,
|
||||
...(body ? { 'content-type': 'application/json' } : {}),
|
||||
},
|
||||
...(body ? { body: JSON.stringify(body) } : {}),
|
||||
});
|
||||
const text = await response.text();
|
||||
let json = null;
|
||||
try {
|
||||
json = JSON.parse(text);
|
||||
} catch {
|
||||
// не JSON
|
||||
}
|
||||
return { status: response.status, json, text };
|
||||
}
|
||||
|
||||
try {
|
||||
for (let i = 0; i < 240; i += 1) {
|
||||
try {
|
||||
if ((await fetch(`${base}/ready`)).status === 200) break;
|
||||
} catch {
|
||||
// ещё не слушает
|
||||
}
|
||||
await new Promise((resolve) => setTimeout(resolve, 250));
|
||||
}
|
||||
await migrator.query("SELECT set_config('app.tenant_id', $1, false)", [tenantId]);
|
||||
|
||||
const month = (() => {
|
||||
const date = new Date();
|
||||
date.setUTCDate(1);
|
||||
date.setUTCMonth(date.getUTCMonth() - 1);
|
||||
return date.toISOString().slice(0, 7);
|
||||
})();
|
||||
let hourlyRule = null;
|
||||
if (withSessions) {
|
||||
const rules = await api('GET', '/pay-rules', managerToken);
|
||||
hourlyRule = (
|
||||
rules.json.pay_rules.find((rule) => rule.code === 'hourly') ?? rules.json.pay_rules[0]
|
||||
).id;
|
||||
}
|
||||
|
||||
async function prepareUnit() {
|
||||
const code = `n13-${ulid().slice(-10).toLowerCase()}`;
|
||||
const suffix = ulid().slice(-8);
|
||||
const imported = await api('POST', '/imports/owner-workbook', managerToken, {
|
||||
source_name: `n13-import-${suffix}`,
|
||||
units: [{ code, name: `Синтетическая точка ${suffix}` }],
|
||||
...(withSessions
|
||||
? {
|
||||
employees: [
|
||||
{
|
||||
external_ref: `n13:${suffix}`,
|
||||
personnel_number: `N13-${suffix}`,
|
||||
display_name: `Синтетический ${suffix}`,
|
||||
},
|
||||
],
|
||||
}
|
||||
: {}),
|
||||
});
|
||||
if (imported.status >= 300) throw new Error(`import ${imported.status} ${imported.text}`);
|
||||
const unitId = (await migrator.query('SELECT id FROM staff_org_units WHERE code = $1', [code]))
|
||||
.rows[0].id;
|
||||
if (withSessions) {
|
||||
const employeeId = (
|
||||
await migrator.query('SELECT id FROM staff_employees WHERE external_ref = $1', [
|
||||
`n13:${suffix}`,
|
||||
])
|
||||
).rows[0].id;
|
||||
const assign = await api('PUT', `/employees/${employeeId}/pay-assignment`, managerToken, {
|
||||
pay_rule_id: hourlyRule,
|
||||
org_unit_id: unitId,
|
||||
rate_minor: 12345,
|
||||
effective_from: '2026-01-01',
|
||||
});
|
||||
if (assign.status !== 200) throw new Error(`assign ${assign.status} ${assign.text}`);
|
||||
const start = new Date(`${month}-10T09:00:00Z`);
|
||||
for (const [eventType, at] of [
|
||||
['check_in', start],
|
||||
['check_out', new Date(start.getTime() + 8 * 3_600_000)],
|
||||
]) {
|
||||
const event = await api('POST', '/attendance/events', terminalToken, {
|
||||
employee_id: employeeId,
|
||||
event_type: eventType,
|
||||
occurred_at: at.toISOString(),
|
||||
source_event_id: `n13-${ulid()}`,
|
||||
org_unit_id: unitId,
|
||||
});
|
||||
if (event.status !== 201) throw new Error(`clock ${event.status} ${event.text}`);
|
||||
}
|
||||
const day = start.toISOString().slice(0, 10);
|
||||
const reconcile = await api('POST', '/work-sessions/reconcile', managerToken, {
|
||||
date_from: day,
|
||||
date_to: day,
|
||||
});
|
||||
if (reconcile.status !== 200) throw new Error(`reconcile ${reconcile.status}`);
|
||||
const sessionId = (
|
||||
await migrator.query('SELECT id FROM staff_work_sessions WHERE employee_id = $1', [
|
||||
employeeId,
|
||||
])
|
||||
).rows[0].id;
|
||||
const confirm = await api('PATCH', `/work-sessions/${sessionId}`, managerToken, {
|
||||
status: 'confirmed',
|
||||
});
|
||||
if (confirm.status !== 200)
|
||||
throw new Error(`confirm ${confirm.status} ${confirm.text.slice(0, 200)}`);
|
||||
}
|
||||
return unitId;
|
||||
}
|
||||
|
||||
let totalBad = 0;
|
||||
const summary = [];
|
||||
for (const size of sizes) {
|
||||
for (let attempt = 1; attempt <= attempts; attempt += 1) {
|
||||
const unitId = await prepareUnit();
|
||||
const responses = await Promise.all(
|
||||
Array.from({ length: size }, () =>
|
||||
api('POST', '/payroll/calculate', managerToken, { month, org_unit_id: unitId }),
|
||||
),
|
||||
);
|
||||
const statuses = {};
|
||||
const errors = {};
|
||||
const runIds = new Set();
|
||||
for (const response of responses) {
|
||||
statuses[response.status] = (statuses[response.status] ?? 0) + 1;
|
||||
if (response.status === 200) {
|
||||
const id = response.json?.run_id ?? response.json?.id ?? response.json?.run?.id;
|
||||
if (id) runIds.add(id);
|
||||
} else {
|
||||
const key = (
|
||||
response.json?.error?.message ??
|
||||
response.json?.message ??
|
||||
response.text
|
||||
).slice(0, 90);
|
||||
errors[key] = (errors[key] ?? 0) + 1;
|
||||
}
|
||||
}
|
||||
const dbRuns = (
|
||||
await migrator.query('SELECT id FROM staff_payroll_runs WHERE org_unit_id = $1', [unitId])
|
||||
).rows.map((row) => row.id);
|
||||
const dbLines = Number(
|
||||
(
|
||||
await migrator.query(
|
||||
'SELECT count(*) AS n FROM staff_payroll_lines WHERE org_unit_id = $1',
|
||||
[unitId],
|
||||
)
|
||||
).rows[0].n,
|
||||
);
|
||||
const phantom = [...runIds].filter((id) => !dbRuns.includes(id));
|
||||
const ok =
|
||||
(statuses[200] ?? 0) === size &&
|
||||
runIds.size === 1 &&
|
||||
dbRuns.length === 1 &&
|
||||
phantom.length === 0;
|
||||
if (!ok) totalBad += 1;
|
||||
const line =
|
||||
`[n13] mode=${mode} sessions=${withSessions} N=${size} attempt=${attempt}: ` +
|
||||
`statuses=${JSON.stringify(statuses)} distinct_run_ids=${runIds.size} db_runs=${dbRuns.length} db_lines=${dbLines} ` +
|
||||
`phantom_run_ids=${phantom.length} errors=${JSON.stringify(errors)} -> ${ok ? 'OK' : 'BAD'}`;
|
||||
console.log(line);
|
||||
summary.push(ok);
|
||||
}
|
||||
}
|
||||
console.log(
|
||||
`[n13] ИТОГ mode=${mode} sessions=${withSessions}: попыток ${summary.length}, некорректных ${totalBad}`,
|
||||
);
|
||||
process.exitCode = totalBad > 0 ? 1 : 0;
|
||||
} finally {
|
||||
await migrator.end();
|
||||
child.kill('SIGTERM');
|
||||
}
|
||||
|
|
@ -1,9 +0,0 @@
|
|||
export type Tool = 'tsx' | 'vitest' | 'prettier';
|
||||
export declare function toolEntry(tool: Tool): string;
|
||||
export declare function nodeTool(tool: Tool, args?: string[]): { command: string; args: string[] };
|
||||
export declare function nodeWithTsx(args?: string[]): { command: string; args: string[] };
|
||||
export declare function baseEnv(
|
||||
platform?: NodeJS.Platform,
|
||||
env?: NodeJS.ProcessEnv,
|
||||
): Record<string, string>;
|
||||
export declare const repoRoot: string;
|
||||
|
|
@ -1,76 +0,0 @@
|
|||
// Запуск инструментов из node_modules без .cmd-обёрток и без npx.
|
||||
// Под Windows `node_modules/.bin/tsx` и `npx` — это .cmd-файлы: spawn() без shell
|
||||
// падает с ENOENT. Поэтому всегда запускаем текущий node (process.execPath) с
|
||||
// JS-точкой входа пакета, найденной через require.resolve.
|
||||
import { createRequire } from 'node:module';
|
||||
import path from 'node:path';
|
||||
import { pathToFileURL } from 'node:url';
|
||||
|
||||
const repoRoot = path.resolve(import.meta.dirname, '../..');
|
||||
const require = createRequire(path.join(repoRoot, 'package.json'));
|
||||
|
||||
function packageBin(name, binName = name) {
|
||||
const manifestPath = require.resolve(`${name}/package.json`);
|
||||
const manifest = require(manifestPath);
|
||||
const bin = typeof manifest.bin === 'string' ? manifest.bin : manifest.bin?.[binName];
|
||||
if (!bin) throw new Error(`${name}: в package.json нет bin "${binName}"`);
|
||||
return path.join(path.dirname(manifestPath), bin);
|
||||
}
|
||||
|
||||
/** Абсолютный путь к JS-точке входа CLI (не .cmd, не .bin). */
|
||||
export function toolEntry(tool) {
|
||||
switch (tool) {
|
||||
case 'tsx':
|
||||
return require.resolve('tsx/cli');
|
||||
case 'vitest':
|
||||
return packageBin('vitest');
|
||||
case 'prettier':
|
||||
return packageBin('prettier');
|
||||
default:
|
||||
throw new Error(`неизвестный инструмент: ${tool}`);
|
||||
}
|
||||
}
|
||||
|
||||
/** Команда для spawn(command, args): всегда process.execPath + JS-файл CLI. */
|
||||
export function nodeTool(tool, args = []) {
|
||||
return { command: process.execPath, args: [toolEntry(tool), ...args] };
|
||||
}
|
||||
|
||||
/**
|
||||
* Запуск TypeScript-файла (например, src/server.ts) в ОДНОМ процессе node с
|
||||
* загрузчиком tsx (`node --import tsx`). CLI tsx запускает дочерний node, и под
|
||||
* Windows kill() родителя (TerminateProcess) оставил бы сервер-сироту на порту.
|
||||
*/
|
||||
export function nodeWithTsx(args = []) {
|
||||
const loader = pathToFileURL(require.resolve('tsx')).href;
|
||||
return { command: process.execPath, args: ['--import', loader, ...args] };
|
||||
}
|
||||
|
||||
/**
|
||||
* Минимальное окружение дочернего процесса: PATH и (под Windows) системные
|
||||
* переменные, без которых node не может работать с сетью/криптографией
|
||||
* (SystemRoot, WINDIR, TEMP и т. п.). Секреты родителя не наследуются.
|
||||
*/
|
||||
export function baseEnv(platform = process.platform, env = process.env) {
|
||||
const keys = ['PATH'];
|
||||
if (platform === 'win32') {
|
||||
keys.push(
|
||||
'SystemRoot',
|
||||
'WINDIR',
|
||||
'TEMP',
|
||||
'TMP',
|
||||
'USERPROFILE',
|
||||
'LOCALAPPDATA',
|
||||
'APPDATA',
|
||||
'ComSpec',
|
||||
'PATHEXT',
|
||||
);
|
||||
}
|
||||
const result = {};
|
||||
for (const key of keys) {
|
||||
if (env[key] !== undefined) result[key] = env[key];
|
||||
}
|
||||
return result;
|
||||
}
|
||||
|
||||
export { repoRoot };
|
||||
|
|
@ -1,133 +0,0 @@
|
|||
#!/usr/bin/env node
|
||||
// Тестовый стенд PostgreSQL, повторяющий роли pilot, но без суперпользователя-мигратора:
|
||||
// * bootstrap-админ (E2E_PG_ADMIN_URL) используется ТОЛЬКО здесь, как DBA/entrypoint образа;
|
||||
// * krona_migrator — NOSUPERUSER NOCREATEDB NOCREATEROLE, владелец БД и схемы public;
|
||||
// * krona_staff_app — NOSUPERUSER NOBYPASSRLS NOINHERIT, права выдают миграции 0003+.
|
||||
// Пароли генерируются crypto.randomBytes и пишутся только в env-файл с правами 0600.
|
||||
// Печатаются имена ролей/БД, но не пароли.
|
||||
import { randomBytes } from 'node:crypto';
|
||||
import { writeFileSync } from 'node:fs';
|
||||
import pg from 'pg';
|
||||
|
||||
const args = new Map();
|
||||
for (let i = 2; i < process.argv.length; i += 2) args.set(process.argv[i], process.argv[i + 1]);
|
||||
const adminUrl = process.env.E2E_PG_ADMIN_URL;
|
||||
const envFile = args.get('--out');
|
||||
const database = args.get('--db') ?? 'krona_staff_e2e';
|
||||
// --roles keep: роли уже созданы (например, предыдущим вызовом accept-branch) — пароли НЕ меняются,
|
||||
// только пересоздаётся БД. Нужно, чтобы параллельные/последовательные стенды не ломали друг другу пароли.
|
||||
const keepRoles = args.get('--roles') === 'keep';
|
||||
if (!adminUrl || (!envFile && !keepRoles)) {
|
||||
console.error(
|
||||
'Usage: E2E_PG_ADMIN_URL=... node scripts/test/provision-pg.mjs --out <env-path> [--db name]\n' +
|
||||
' E2E_PG_ADMIN_URL=... node scripts/test/provision-pg.mjs --roles keep --db name',
|
||||
);
|
||||
process.exit(2);
|
||||
}
|
||||
if (!/^[a-z_][a-z0-9_]{0,62}$/.test(database)) throw new Error('Invalid database name');
|
||||
|
||||
export async function provision() {
|
||||
const migratorPassword = randomBytes(24).toString('hex');
|
||||
const appPassword = randomBytes(24).toString('hex');
|
||||
const admin = new pg.Client({
|
||||
connectionString: adminUrl,
|
||||
application_name: 'krona-e2e-provision',
|
||||
});
|
||||
await admin.connect();
|
||||
try {
|
||||
if (keepRoles) {
|
||||
const existing = await admin.query(
|
||||
`SELECT count(*)::int AS n FROM pg_roles WHERE rolname IN ('krona_migrator','krona_staff_app')`,
|
||||
);
|
||||
if (existing.rows[0].n !== 2)
|
||||
throw new Error('--roles keep: роли krona_migrator/krona_staff_app не созданы');
|
||||
} else {
|
||||
await admin.query(`
|
||||
DO $$ BEGIN
|
||||
IF NOT EXISTS (SELECT 1 FROM pg_roles WHERE rolname = 'krona_migrator') THEN
|
||||
CREATE ROLE krona_migrator LOGIN NOSUPERUSER NOCREATEDB NOCREATEROLE NOBYPASSRLS;
|
||||
END IF;
|
||||
IF NOT EXISTS (SELECT 1 FROM pg_roles WHERE rolname = 'krona_staff_app') THEN
|
||||
CREATE ROLE krona_staff_app LOGIN NOSUPERUSER NOCREATEDB NOCREATEROLE NOINHERIT NOBYPASSRLS;
|
||||
END IF;
|
||||
END $$`);
|
||||
const alterMigrator = await admin.query(
|
||||
"SELECT format('ALTER ROLE krona_migrator WITH LOGIN PASSWORD %L NOSUPERUSER NOCREATEDB NOCREATEROLE NOBYPASSRLS', $1::text) AS sql",
|
||||
[migratorPassword],
|
||||
);
|
||||
await admin.query(alterMigrator.rows[0].sql);
|
||||
const alterApp = await admin.query(
|
||||
"SELECT format('ALTER ROLE krona_staff_app WITH LOGIN PASSWORD %L NOSUPERUSER NOCREATEDB NOCREATEROLE NOINHERIT NOBYPASSRLS', $1::text) AS sql",
|
||||
[appPassword],
|
||||
);
|
||||
await admin.query(alterApp.rows[0].sql);
|
||||
}
|
||||
await admin.query(
|
||||
`SELECT pg_terminate_backend(pid) FROM pg_stat_activity WHERE datname = $1 AND pid <> pg_backend_pid()`,
|
||||
[database],
|
||||
);
|
||||
await admin.query(`DROP DATABASE IF EXISTS ${database}`);
|
||||
await admin.query(
|
||||
`CREATE DATABASE ${database} OWNER krona_migrator ENCODING 'UTF8' TEMPLATE template0`,
|
||||
);
|
||||
} finally {
|
||||
await admin.end();
|
||||
}
|
||||
const dbAdminUrl = new URL(adminUrl);
|
||||
dbAdminUrl.pathname = `/${database}`;
|
||||
const dbAdmin = new pg.Client({ connectionString: dbAdminUrl.toString() });
|
||||
await dbAdmin.connect();
|
||||
try {
|
||||
await dbAdmin.query('ALTER SCHEMA public OWNER TO krona_migrator');
|
||||
await dbAdmin.query('REVOKE CREATE ON SCHEMA public FROM PUBLIC');
|
||||
await dbAdmin.query(`REVOKE ALL ON DATABASE ${database} FROM PUBLIC`);
|
||||
await dbAdmin.query(`GRANT CONNECT ON DATABASE ${database} TO krona_staff_app`);
|
||||
} finally {
|
||||
await dbAdmin.end();
|
||||
}
|
||||
if (keepRoles) {
|
||||
console.log(`recreated database=${database} (roles kept, passwords unchanged)`);
|
||||
return;
|
||||
}
|
||||
const base = new URL(adminUrl);
|
||||
const url = (user, password) => {
|
||||
const u = new URL(base.toString());
|
||||
u.username = user;
|
||||
u.password = password;
|
||||
u.pathname = `/${database}`;
|
||||
return u.toString();
|
||||
};
|
||||
const migratorUrl = url('krona_migrator', migratorPassword);
|
||||
const appUrl = url('krona_staff_app', appPassword);
|
||||
const lines = [
|
||||
`DATABASE_MIGRATION_URL=${migratorUrl}`,
|
||||
`DATABASE_TEST_MIGRATION_URL=${migratorUrl}`,
|
||||
`DATABASE_TEST_URL=${appUrl}`,
|
||||
`DATABASE_URL=${appUrl}`,
|
||||
`POSTGRES_APP_PASSWORD=${appPassword}`,
|
||||
'',
|
||||
];
|
||||
writeFileSync(envFile, lines.join('\n'), { mode: 0o600 });
|
||||
// Проверяем атрибуты ролей и печатаем их (без паролей) как доказательство.
|
||||
const check = new pg.Client({ connectionString: migratorUrl });
|
||||
await check.connect();
|
||||
try {
|
||||
const roles = await check.query(
|
||||
`SELECT rolname, rolsuper, rolcreaterole, rolcreatedb, rolbypassrls
|
||||
FROM pg_roles WHERE rolname IN ('krona_migrator','krona_staff_app') ORDER BY rolname`,
|
||||
);
|
||||
const version = await check.query('SHOW server_version');
|
||||
console.log(
|
||||
`provisioned database=${database} server_version=${version.rows[0].server_version}`,
|
||||
);
|
||||
for (const r of roles.rows) {
|
||||
console.log(
|
||||
`role=${r.rolname} super=${r.rolsuper} createrole=${r.rolcreaterole} createdb=${r.rolcreatedb} bypassrls=${r.rolbypassrls}`,
|
||||
);
|
||||
}
|
||||
} finally {
|
||||
await check.end();
|
||||
}
|
||||
}
|
||||
|
||||
await provision();
|
||||
|
|
@ -1,137 +0,0 @@
|
|||
#!/usr/bin/env node
|
||||
// Запуск e2e с «храповиком» известных дефектов.
|
||||
// * Сценарии проверяют ПРАВИЛЬНОЕ поведение, поэтому открытые дефекты дают красные тесты.
|
||||
// * tests/e2e/known-defects.json — список ID, красный цвет которых сейчас ожидаем.
|
||||
// * exit 0, если: все [HARNESS]-тесты зелёные И каждый красный тест есть в списке
|
||||
// И ни один ID из списка не стал полностью зелёным (исправленный дефект нужно
|
||||
// убрать из списка — иначе регрессию потом никто не заметит).
|
||||
// * --no-known-defects: строгий режим, exit = код vitest (все дефекты красные).
|
||||
// Полный вывод пишется в tests/e2e/evidence/e2e-run.txt, таблица — в e2e-table.md.
|
||||
// tests/e2e/evidence/ не хранится в git (.gitignore): в CI это артефакт задачи e2e.
|
||||
import { spawn } from 'node:child_process';
|
||||
import { createWriteStream, mkdirSync, readFileSync, readdirSync, writeFileSync } from 'node:fs';
|
||||
import path from 'node:path';
|
||||
import { nodeTool } from './node-commands.mjs';
|
||||
|
||||
const repoRoot = path.resolve(import.meta.dirname, '../..');
|
||||
const evidence = path.join(repoRoot, 'tests/e2e/evidence');
|
||||
mkdirSync(evidence, { recursive: true });
|
||||
const strict = process.argv.includes('--no-known-defects');
|
||||
const jsonPath = path.join(evidence, 'e2e-results.json');
|
||||
const logPath = path.join(evidence, 'e2e-run.txt');
|
||||
const extra = process.argv.slice(2).filter((arg) => !arg.startsWith('--no-known-defects'));
|
||||
|
||||
const vitestArgs = [
|
||||
'run',
|
||||
'--config',
|
||||
'tests/e2e/vitest.e2e.config.ts',
|
||||
'--reporter=verbose',
|
||||
'--reporter=json',
|
||||
`--outputFile.json=${jsonPath}`,
|
||||
...extra,
|
||||
];
|
||||
const log = createWriteStream(logPath);
|
||||
const vitest = nodeTool('vitest', vitestArgs);
|
||||
log.write(`$ node <vitest.mjs> ${vitestArgs.join(' ')}\n`);
|
||||
const exitCode = await new Promise((resolve) => {
|
||||
const child = spawn(vitest.command, vitest.args, { cwd: repoRoot, env: process.env });
|
||||
for (const stream of [child.stdout, child.stderr]) {
|
||||
stream.on('data', (chunk) => {
|
||||
process.stdout.write(chunk);
|
||||
log.write(chunk);
|
||||
});
|
||||
}
|
||||
child.on('close', (code) => resolve(code ?? 1));
|
||||
});
|
||||
log.end();
|
||||
|
||||
let results;
|
||||
try {
|
||||
results = JSON.parse(readFileSync(jsonPath, 'utf8'));
|
||||
} catch {
|
||||
console.error('[run-e2e] нет JSON-результатов: стенд не поднялся (см. e2e-run.txt)');
|
||||
process.exit(1);
|
||||
}
|
||||
const assertionCount = results.testResults?.reduce(
|
||||
(total, file) => total + (file.assertionResults?.length ?? 0),
|
||||
0,
|
||||
);
|
||||
if (!assertionCount) {
|
||||
console.error(
|
||||
`[run-e2e] тесты не выполнены (vitest exit=${exitCode}): стенд не поднялся или global setup завершился ошибкой`,
|
||||
);
|
||||
process.exit(1);
|
||||
}
|
||||
const known = strict
|
||||
? {}
|
||||
: JSON.parse(readFileSync(path.join(repoRoot, 'tests/e2e/known-defects.json'), 'utf8')).defects;
|
||||
|
||||
const byId = new Map();
|
||||
for (const file of results.testResults) {
|
||||
for (const test of file.assertionResults) {
|
||||
const id = /^\[([A-Z0-9/-]+)\]/.exec(test.title)?.[1] ?? 'UNTAGGED';
|
||||
const entry = byId.get(id) ?? { passed: 0, failed: 0, tests: [] };
|
||||
if (test.status === 'passed') entry.passed += 1;
|
||||
else if (test.status === 'failed') entry.failed += 1;
|
||||
entry.tests.push({ title: test.title, status: test.status });
|
||||
byId.set(id, entry);
|
||||
}
|
||||
}
|
||||
|
||||
const problems = [];
|
||||
// Страховка: в evidence не должно попасть ничего похожего на секреты стенда
|
||||
// (hex-токены 48/64 символа, токены устройств kstaff_dev_*, URL с паролем).
|
||||
const secretPatterns = [
|
||||
/\b[0-9a-f]{48}\b/,
|
||||
/\b[0-9a-f]{64}\b/,
|
||||
/kstaff_dev_[0-9A-Z]{26}_[0-9a-f]{16,}/,
|
||||
/postgres:\/\/[^\s:@]+:[^\s@]+@/,
|
||||
];
|
||||
// Только файлы верхнего уровня: в подкаталогах (accept/ от accept-branch.mjs) свои логи с редакцией.
|
||||
for (const entry of readdirSync(evidence, { withFileTypes: true })) {
|
||||
if (!entry.isFile()) continue;
|
||||
const name = entry.name;
|
||||
const content = readFileSync(path.join(evidence, name), 'utf8');
|
||||
for (const pattern of secretPatterns) {
|
||||
if (pattern.test(content))
|
||||
problems.push(`evidence/${name}: найдено похожее на секрет (${pattern})`);
|
||||
}
|
||||
}
|
||||
const rows = [];
|
||||
for (const [id, entry] of [...byId.entries()].sort()) {
|
||||
const red = entry.failed > 0;
|
||||
let verdict;
|
||||
if (id === 'HARNESS' || id === 'UNTAGGED') {
|
||||
verdict = red ? 'СТЕНД СЛОМАН' : 'зелёный (позитивный контроль)';
|
||||
if (red || id === 'UNTAGGED') problems.push(`${id}: ${red ? 'красный' : 'тест без ID'}`);
|
||||
} else if (red && known[id]) verdict = 'красный (известный дефект)';
|
||||
else if (red) {
|
||||
verdict = 'красный (НЕ в known-defects)';
|
||||
problems.push(`${id}: новый красный тест — регрессия или новый дефект`);
|
||||
} else if (known[id]) {
|
||||
verdict = 'зелёный — ИСПРАВЛЕН, уберите из known-defects.json';
|
||||
problems.push(`${id}: дефект исправлен, обновите known-defects.json`);
|
||||
} else verdict = 'зелёный';
|
||||
rows.push(
|
||||
`| ${id} | ${red ? 'RED' : 'GREEN'} | ${entry.passed}/${entry.passed + entry.failed} | ${verdict} |`,
|
||||
);
|
||||
}
|
||||
for (const id of Object.keys(known)) {
|
||||
if (!byId.has(id)) problems.push(`${id}: есть в known-defects.json, но сценария нет`);
|
||||
}
|
||||
const table = ['| ID | Цвет | Зелёных/всего | Вердикт |', '|---|---|---|---|', ...rows].join('\n');
|
||||
writeFileSync(path.join(evidence, 'e2e-table.md'), `${table}\n`);
|
||||
console.log(`\n[run-e2e] vitest exit=${exitCode}\n${table}`);
|
||||
|
||||
if (strict) {
|
||||
if (problems.some((p) => p.startsWith('evidence/'))) {
|
||||
console.error(`\n[run-e2e] FAIL:\n- ${problems.join('\n- ')}`);
|
||||
process.exit(1);
|
||||
}
|
||||
process.exit(exitCode);
|
||||
}
|
||||
if (problems.length > 0) {
|
||||
console.error(`\n[run-e2e] FAIL:\n- ${problems.join('\n- ')}`);
|
||||
process.exit(1);
|
||||
}
|
||||
console.log('\n[run-e2e] OK: стенд работает, все красные сценарии — известные открытые дефекты');
|
||||
|
|
@ -40,10 +40,7 @@ export class StandaloneIdentityAdapter implements IdentityPort {
|
|||
} else {
|
||||
throw new Error('Invalid standalone access token');
|
||||
}
|
||||
} else if (access === 'manager') {
|
||||
throw new Error('Standalone access tokens are not configured');
|
||||
}
|
||||
|
||||
return {
|
||||
tenantId: parseUlid(this.config.STANDALONE_TENANT_ID),
|
||||
actorId: parseUlid(actorId),
|
||||
|
|
@ -57,10 +54,7 @@ function secureTokenEquals(candidate: string | undefined, expected: string): boo
|
|||
if (!candidate) return false;
|
||||
const candidateBuffer = Buffer.from(candidate, 'utf8');
|
||||
const expectedBuffer = Buffer.from(expected, 'utf8');
|
||||
return (
|
||||
candidateBuffer.length === expectedBuffer.length &&
|
||||
timingSafeEqual(candidateBuffer, expectedBuffer)
|
||||
);
|
||||
return candidateBuffer.length === expectedBuffer.length && timingSafeEqual(candidateBuffer, expectedBuffer);
|
||||
}
|
||||
|
||||
export class PlatformIdentityAdapter implements IdentityPort {
|
||||
|
|
|
|||
57
src/app.ts
57
src/app.ts
|
|
@ -1,4 +1,4 @@
|
|||
import Fastify, { type FastifyError } from 'fastify';
|
||||
import Fastify from 'fastify';
|
||||
import { readFileSync } from 'node:fs';
|
||||
import helmet from '@fastify/helmet';
|
||||
import sensible from '@fastify/sensible';
|
||||
|
|
@ -45,30 +45,9 @@ export async function buildApp({
|
|||
const supplied = request.headers['x-correlation-id']?.toString();
|
||||
return supplied && ulidPattern.test(supplied) ? supplied : newUlid();
|
||||
},
|
||||
ajv: {
|
||||
customOptions: {
|
||||
removeAdditional: false,
|
||||
},
|
||||
},
|
||||
});
|
||||
await app.register(helmet);
|
||||
await app.register(sensible);
|
||||
app.setErrorHandler((error: FastifyError, request, reply) => {
|
||||
const statusCode = typeof error.statusCode === 'number' ? error.statusCode : 500;
|
||||
if (statusCode >= 500) {
|
||||
request.log.error({ err: error }, 'Unhandled server error');
|
||||
return reply.code(statusCode).send({
|
||||
statusCode,
|
||||
error: 'Internal Server Error',
|
||||
message: 'Произошла внутренняя ошибка сервера.',
|
||||
});
|
||||
}
|
||||
return reply.code(statusCode).send({
|
||||
statusCode,
|
||||
error: error.name || 'Error',
|
||||
message: error.message,
|
||||
});
|
||||
});
|
||||
app.addHook('onRequest', async (request, reply) => {
|
||||
reply.header('x-correlation-id', request.id);
|
||||
});
|
||||
|
|
@ -157,33 +136,13 @@ export async function buildApp({
|
|||
{ prefix: apiPrefix },
|
||||
);
|
||||
app.get('/', async (_request, reply) => reply.redirect('/staff'));
|
||||
app.get('/staff', async (_request, reply) =>
|
||||
reply.type('text/html; charset=utf-8').send(portalHtml),
|
||||
);
|
||||
app.get('/staff/styles.css', async (_request, reply) =>
|
||||
reply.type('text/css; charset=utf-8').send(portalCss),
|
||||
);
|
||||
app.get('/staff/app.js', async (_request, reply) =>
|
||||
reply.type('application/javascript; charset=utf-8').send(portalJs),
|
||||
);
|
||||
app.get('/staff/sw.js', async (_request, reply) =>
|
||||
reply
|
||||
.header('service-worker-allowed', '/staff')
|
||||
.type('application/javascript; charset=utf-8')
|
||||
.send(portalServiceWorker),
|
||||
);
|
||||
app.get('/staff/manifest.webmanifest', async (_request, reply) =>
|
||||
reply.type('application/manifest+json').send(portalManifest),
|
||||
);
|
||||
app.get('/staff/icon-192.svg', async (_request, reply) =>
|
||||
reply.type('image/svg+xml').send(portalIcon192),
|
||||
);
|
||||
app.get('/staff/icon-512.svg', async (_request, reply) =>
|
||||
reply.type('image/svg+xml').send(portalIcon512),
|
||||
);
|
||||
app.get('/staff/*', async (_request, reply) =>
|
||||
reply.type('text/html; charset=utf-8').send(portalHtml),
|
||||
);
|
||||
app.get('/staff', async (_request, reply) => reply.type('text/html; charset=utf-8').send(portalHtml));
|
||||
app.get('/staff/styles.css', async (_request, reply) => reply.type('text/css; charset=utf-8').send(portalCss));
|
||||
app.get('/staff/app.js', async (_request, reply) => reply.type('application/javascript; charset=utf-8').send(portalJs));
|
||||
app.get('/staff/sw.js', async (_request, reply) => reply.header('service-worker-allowed', '/staff').type('application/javascript; charset=utf-8').send(portalServiceWorker));
|
||||
app.get('/staff/manifest.webmanifest', async (_request, reply) => reply.type('application/manifest+json').send(portalManifest));
|
||||
app.get('/staff/icon-192.svg', async (_request, reply) => reply.type('image/svg+xml').send(portalIcon192));
|
||||
app.get('/staff/icon-512.svg', async (_request, reply) => reply.type('image/svg+xml').send(portalIcon512));
|
||||
|
||||
app.addHook('onClose', async () => database.close());
|
||||
return app;
|
||||
|
|
|
|||
|
|
@ -1,8 +1,5 @@
|
|||
import { z } from 'zod';
|
||||
|
||||
const PLACEHOLDER_TENANT_ID = '01J00000000000000000000000';
|
||||
const LOOPBACK_HOSTS = new Set(['localhost', '127.0.0.1', '::1']);
|
||||
|
||||
const configSchema = z.object({
|
||||
NODE_ENV: z.enum(['development', 'test', 'production']).default('development'),
|
||||
PORT: z.coerce.number().int().min(1).max(65535).default(8080),
|
||||
|
|
@ -13,10 +10,7 @@ const configSchema = z.object({
|
|||
STANDALONE_MANAGER_TOKEN: emptyStringAsUndefined(z.string().min(32).optional()),
|
||||
STANDALONE_TERMINAL_TOKEN: emptyStringAsUndefined(z.string().min(32).optional()),
|
||||
STANDALONE_TERMINAL_ACTOR_ID: emptyStringAsUndefined(
|
||||
z
|
||||
.string()
|
||||
.regex(/^[0-9A-HJKMNP-TV-Z]{26}$/)
|
||||
.optional(),
|
||||
z.string().regex(/^[0-9A-HJKMNP-TV-Z]{26}$/).optional(),
|
||||
),
|
||||
HTTPS_PFX_PATH: emptyStringAsUndefined(z.string().optional()),
|
||||
HTTPS_PFX_PASSPHRASE: emptyStringAsUndefined(z.string().min(16).optional()),
|
||||
|
|
@ -26,9 +20,7 @@ const configSchema = z.object({
|
|||
PLATFORM_JWT_ISSUER: optionalUrl(),
|
||||
PLATFORM_JWT_AUDIENCE: emptyStringAsUndefined(z.string().optional()),
|
||||
PLATFORM_JWKS_URL: optionalUrl(),
|
||||
STANDALONE_TENANT_ID: z
|
||||
.string({ error: 'STANDALONE_TENANT_ID is required and must be a ULID' })
|
||||
.regex(/^[0-9A-HJKMNP-TV-Z]{26}$/),
|
||||
STANDALONE_TENANT_ID: z.string().regex(/^[0-9A-HJKMNP-TV-Z]{26}$/),
|
||||
STANDALONE_ACTOR_ID: z.string().regex(/^[0-9A-HJKMNP-TV-Z]{26}$/),
|
||||
VAPID_PUBLIC_KEY: emptyStringAsUndefined(z.string().optional()),
|
||||
VAPID_PRIVATE_KEY: emptyStringAsUndefined(z.string().optional()),
|
||||
|
|
@ -47,17 +39,6 @@ export type AppConfig = z.infer<typeof configSchema>;
|
|||
|
||||
export function loadConfig(env: NodeJS.ProcessEnv = process.env): AppConfig {
|
||||
const config = configSchema.parse(env);
|
||||
if (
|
||||
config.STANDALONE_TENANT_ID === PLACEHOLDER_TENANT_ID &&
|
||||
!(
|
||||
config.NODE_ENV === 'test' ||
|
||||
(config.NODE_ENV === 'development' && LOOPBACK_HOSTS.has(config.HOST.toLowerCase()))
|
||||
)
|
||||
) {
|
||||
throw new Error(
|
||||
'STANDALONE_TENANT_ID uses the development placeholder, which is allowed only in development on loopback',
|
||||
);
|
||||
}
|
||||
if (Boolean(config.HTTPS_PFX_PATH) !== Boolean(config.HTTPS_PFX_PASSPHRASE)) {
|
||||
throw new Error('HTTPS_PFX_PATH and HTTPS_PFX_PASSPHRASE must be configured together');
|
||||
}
|
||||
|
|
@ -68,15 +49,7 @@ export function loadConfig(env: NodeJS.ProcessEnv = process.env): AppConfig {
|
|||
throw new Error('VAPID_PUBLIC_KEY and VAPID_PRIVATE_KEY must be configured together');
|
||||
}
|
||||
if (config.NODE_ENV === 'production' && config.STAFF_RUNTIME_MODE === 'standalone') {
|
||||
if (
|
||||
!config.HTTPS_PFX_PATH ||
|
||||
!config.STANDALONE_MANAGER_TOKEN ||
|
||||
!config.STANDALONE_TERMINAL_TOKEN
|
||||
) {
|
||||
throw new Error(
|
||||
'STAFF_RUNTIME_MODE=standalone is not allowed in production without HTTPS and manager/terminal tokens',
|
||||
);
|
||||
}
|
||||
throw new Error('STAFF_RUNTIME_MODE=standalone is not allowed in production');
|
||||
}
|
||||
if (config.STAFF_RUNTIME_MODE === 'platform') {
|
||||
const required = [
|
||||
|
|
|
|||
|
|
@ -6,6 +6,4 @@ export interface RequestContext {
|
|||
permissions: ReadonlySet<string>;
|
||||
correlationId: Ulid;
|
||||
causationId?: Ulid;
|
||||
role?: string;
|
||||
orgUnitIds?: readonly string[];
|
||||
}
|
||||
|
|
|
|||
|
|
@ -1,45 +0,0 @@
|
|||
import type { PoolClient } from 'pg';
|
||||
import { newUlid, type Ulid } from './ids.js';
|
||||
|
||||
export interface OutboxEventInput<TPayload extends Record<string, unknown>> {
|
||||
tenantId: Ulid;
|
||||
eventType: string;
|
||||
subjectType: string;
|
||||
subjectId: Ulid;
|
||||
actorType: 'user' | 'service';
|
||||
actorId: Ulid;
|
||||
payload: TPayload;
|
||||
correlationId: Ulid;
|
||||
causationId?: Ulid;
|
||||
occurredAt?: string;
|
||||
eventVersion?: number;
|
||||
}
|
||||
|
||||
export async function insertOutboxEvent<TPayload extends Record<string, unknown>>(
|
||||
client: Pick<PoolClient, 'query'>,
|
||||
event: OutboxEventInput<TPayload>,
|
||||
): Promise<Ulid> {
|
||||
const id = newUlid();
|
||||
const occurredAt = event.occurredAt ?? new Date().toISOString();
|
||||
await client.query(
|
||||
`INSERT INTO staff_outbox
|
||||
(id, tenant_id, event_type, event_version, subject_type, subject_id,
|
||||
actor_type, actor_id, payload, correlation_id, causation_id, occurred_at)
|
||||
VALUES ($1, $2, $3, $4, $5, $6, $7, $8, $9::jsonb, $10, $11, $12)`,
|
||||
[
|
||||
id,
|
||||
event.tenantId,
|
||||
event.eventType,
|
||||
event.eventVersion ?? 1,
|
||||
event.subjectType,
|
||||
event.subjectId,
|
||||
event.actorType,
|
||||
event.actorId,
|
||||
JSON.stringify(event.payload),
|
||||
event.correlationId,
|
||||
event.causationId ?? null,
|
||||
occurredAt,
|
||||
],
|
||||
);
|
||||
return id;
|
||||
}
|
||||
|
|
@ -7,7 +7,10 @@ export interface AttendanceEventInput {
|
|||
}
|
||||
|
||||
export type WorkSessionAnomaly =
|
||||
'auto_closed' | 'missing_check_in' | 'missing_check_out' | 'repeated_check_in';
|
||||
| 'auto_closed'
|
||||
| 'missing_check_in'
|
||||
| 'missing_check_out'
|
||||
| 'repeated_check_in';
|
||||
|
||||
export interface ReconcileWorkSessionOptions {
|
||||
now: string;
|
||||
|
|
@ -34,10 +37,7 @@ export function reconcileWorkSession(
|
|||
events: readonly AttendanceEventInput[],
|
||||
options: ReconcileWorkSessionOptions,
|
||||
): WorkSessionCandidate | null {
|
||||
if (
|
||||
!Number.isInteger(options.openShiftThresholdMinutes) ||
|
||||
options.openShiftThresholdMinutes < 1
|
||||
) {
|
||||
if (!Number.isInteger(options.openShiftThresholdMinutes) || options.openShiftThresholdMinutes < 1) {
|
||||
throw new Error('openShiftThresholdMinutes must be a positive integer');
|
||||
}
|
||||
if (events.length === 0) return null;
|
||||
|
|
@ -46,9 +46,8 @@ export function reconcileWorkSession(
|
|||
const automaticCloseAt = options.automaticCloseAt
|
||||
? parseInstant(options.automaticCloseAt, 'automaticCloseAt')
|
||||
: undefined;
|
||||
const parsed = events
|
||||
.map(parseEvent)
|
||||
.sort((left, right) => left.timestamp - right.timestamp || left.id.localeCompare(right.id));
|
||||
const parsed = events.map(parseEvent).sort((left, right) =>
|
||||
left.timestamp - right.timestamp || left.id.localeCompare(right.id));
|
||||
|
||||
const anomalies = new Set<WorkSessionAnomaly>();
|
||||
const attendanceEventIds: string[] = [];
|
||||
|
|
@ -80,8 +79,9 @@ export function reconcileWorkSession(
|
|||
}
|
||||
|
||||
if (openAt !== null) {
|
||||
const canAutoClose =
|
||||
automaticCloseAt !== undefined && automaticCloseAt > openAt && automaticCloseAt <= now;
|
||||
const canAutoClose = automaticCloseAt !== undefined
|
||||
&& automaticCloseAt > openAt
|
||||
&& automaticCloseAt <= now;
|
||||
if (canAutoClose) {
|
||||
workedMilliseconds += automaticCloseAt - openAt;
|
||||
lastEnd = automaticCloseAt;
|
||||
|
|
|
|||
|
|
@ -14,16 +14,6 @@ export interface PushSubscriptionInput {
|
|||
user_agent?: string | undefined;
|
||||
}
|
||||
|
||||
import { isPrivateOrLoopbackHost } from './web-push.js';
|
||||
|
||||
export class PushValidationError extends Error {
|
||||
readonly statusCode = 400;
|
||||
}
|
||||
|
||||
export class PushConflictError extends Error {
|
||||
readonly statusCode = 409;
|
||||
}
|
||||
|
||||
export interface PushDispatcherOptions {
|
||||
database: Database;
|
||||
vapidKeys: VapidKeys;
|
||||
|
|
@ -87,28 +77,16 @@ export class PushDispatcher {
|
|||
employeeId: string,
|
||||
input: PushSubscriptionInput,
|
||||
): Promise<{ id: string; endpoint: string }> {
|
||||
if (!input.endpoint.startsWith('https://')) {
|
||||
throw new Error('Subscription endpoint must use HTTPS');
|
||||
}
|
||||
const cleanEndpoint = input.endpoint.trim();
|
||||
if (!cleanEndpoint.startsWith('https://')) {
|
||||
throw new PushValidationError('Subscription endpoint must use HTTPS');
|
||||
}
|
||||
let parsedUrl: URL;
|
||||
try {
|
||||
parsedUrl = new URL(cleanEndpoint);
|
||||
} catch {
|
||||
throw new PushValidationError('Invalid endpoint URL');
|
||||
}
|
||||
if (parsedUrl.protocol !== 'https:' || isPrivateOrLoopbackHost(parsedUrl.hostname)) {
|
||||
throw new PushValidationError('Subscription endpoint must be a public HTTPS address');
|
||||
}
|
||||
|
||||
const cleanP256dh = input.p256dh.trim();
|
||||
const cleanAuth = input.auth.trim();
|
||||
const userAgent = (input.user_agent ?? '').trim();
|
||||
|
||||
if (!cleanEndpoint || !cleanP256dh || !cleanAuth) {
|
||||
throw new PushValidationError(
|
||||
'Endpoint, p256dh, and auth are required for WebPush subscription',
|
||||
);
|
||||
throw new Error('Endpoint, p256dh, and auth are required for WebPush subscription');
|
||||
}
|
||||
|
||||
const subscriptionId = newUlid();
|
||||
|
|
@ -120,29 +98,16 @@ export class PushDispatcher {
|
|||
parsedTenantId,
|
||||
parsedActorId,
|
||||
async (client) => {
|
||||
const existing = await client.query<{ id: string; employee_id: string }>(
|
||||
`SELECT id, employee_id FROM staff_push_subscriptions WHERE tenant_id = $1 AND endpoint = $2`,
|
||||
[parsedTenantId, cleanEndpoint],
|
||||
);
|
||||
if (existing.rowCount && existing.rows[0]) {
|
||||
if (existing.rows[0].employee_id !== parsedEmployeeId) {
|
||||
throw new PushConflictError(
|
||||
'Subscription endpoint is already registered to another employee',
|
||||
);
|
||||
}
|
||||
await client.query(
|
||||
`UPDATE staff_push_subscriptions
|
||||
SET p256dh = $3, auth = $4, user_agent = $5, updated_at = now()
|
||||
WHERE tenant_id = $1 AND endpoint = $2`,
|
||||
[parsedTenantId, cleanEndpoint, cleanP256dh, cleanAuth, userAgent],
|
||||
);
|
||||
return { id: existing.rows[0].id, endpoint: cleanEndpoint };
|
||||
}
|
||||
|
||||
const result = await client.query<{ id: string; endpoint: string }>(
|
||||
`INSERT INTO staff_push_subscriptions
|
||||
(id, tenant_id, employee_id, endpoint, p256dh, auth, user_agent, updated_at)
|
||||
VALUES ($1, $2, $3, $4, $5, $6, $7, now())
|
||||
ON CONFLICT (tenant_id, endpoint)
|
||||
DO UPDATE SET employee_id = EXCLUDED.employee_id,
|
||||
p256dh = EXCLUDED.p256dh,
|
||||
auth = EXCLUDED.auth,
|
||||
user_agent = EXCLUDED.user_agent,
|
||||
updated_at = now()
|
||||
RETURNING id, endpoint`,
|
||||
[
|
||||
subscriptionId,
|
||||
|
|
|
|||
|
|
@ -1,5 +1,4 @@
|
|||
import crypto from 'node:crypto';
|
||||
import net from 'node:net';
|
||||
|
||||
export interface VapidKeys {
|
||||
publicKey: string; // base64url uncompressed P-256 (65 bytes)
|
||||
|
|
@ -150,7 +149,10 @@ export function createVapidAuthorizationHeader(
|
|||
/**
|
||||
* Encrypt a payload using AES-128-GCM content encoding (RFC 8291 / RFC 8188).
|
||||
*/
|
||||
export function encryptPushPayload(payload: string | Buffer, keys: PushSubscriptionKeys): Buffer {
|
||||
export function encryptPushPayload(
|
||||
payload: string | Buffer,
|
||||
keys: PushSubscriptionKeys,
|
||||
): Buffer {
|
||||
const plaintext = Buffer.isBuffer(payload) ? payload : Buffer.from(payload, 'utf8');
|
||||
const recipientP256dh = Buffer.from(keys.p256dh, 'base64url');
|
||||
const recipientAuth = Buffer.from(keys.auth, 'base64url');
|
||||
|
|
@ -174,7 +176,9 @@ export function encryptPushPayload(payload: string | Buffer, keys: PushSubscript
|
|||
recipientP256dh,
|
||||
senderPublicKey,
|
||||
]);
|
||||
const prk = Buffer.from(crypto.hkdfSync('sha256', sharedSecret, recipientAuth, keyInfo, 32));
|
||||
const prk = Buffer.from(
|
||||
crypto.hkdfSync('sha256', sharedSecret, recipientAuth, keyInfo, 32),
|
||||
);
|
||||
|
||||
// 3. Generate 16-byte random salt
|
||||
const salt = crypto.randomBytes(16);
|
||||
|
|
@ -213,46 +217,6 @@ export function encryptPushPayload(payload: string | Buffer, keys: PushSubscript
|
|||
/**
|
||||
* Send an encrypted WebPush notification over HTTPS.
|
||||
*/
|
||||
export function isPrivateOrLoopbackHost(host: string): boolean {
|
||||
const h = host.toLowerCase().replace(/^\[|\]$/g, '');
|
||||
if (
|
||||
h === 'localhost' ||
|
||||
h.endsWith('.localhost') ||
|
||||
h.endsWith('.local') ||
|
||||
h.endsWith('.internal')
|
||||
) {
|
||||
return true;
|
||||
}
|
||||
const ipType = net.isIP(h);
|
||||
if (ipType === 4) {
|
||||
const parts = h.split('.').map(Number);
|
||||
const [o1, o2] = parts;
|
||||
if (o1 === 127 || o1 === 10 || o1 === 0) return true;
|
||||
if (o1 === 172 && o2! >= 16 && o2! <= 31) return true;
|
||||
if (o1 === 192 && o2! === 168) return true;
|
||||
if (o1 === 169 && o2! === 254) return true;
|
||||
return false;
|
||||
}
|
||||
if (ipType === 6) {
|
||||
if (h === '::1' || h === '::') return true;
|
||||
if (
|
||||
h.startsWith('fc') ||
|
||||
h.startsWith('fd') ||
|
||||
h.startsWith('fe8') ||
|
||||
h.startsWith('fe9') ||
|
||||
h.startsWith('fea') ||
|
||||
h.startsWith('feb')
|
||||
) {
|
||||
return true;
|
||||
}
|
||||
if (h.startsWith('::ffff:')) {
|
||||
return isPrivateOrLoopbackHost(h.slice(7));
|
||||
}
|
||||
return false;
|
||||
}
|
||||
return false;
|
||||
}
|
||||
|
||||
export async function sendWebPush(
|
||||
target: PushSubscriptionTarget,
|
||||
payload: string,
|
||||
|
|
@ -263,22 +227,6 @@ export async function sendWebPush(
|
|||
throw new Error('Subscription endpoint must use HTTPS');
|
||||
}
|
||||
|
||||
let targetUrl: URL;
|
||||
try {
|
||||
targetUrl = new URL(target.endpoint);
|
||||
} catch {
|
||||
throw new Error('Invalid endpoint URL');
|
||||
}
|
||||
|
||||
if (isPrivateOrLoopbackHost(targetUrl.hostname)) {
|
||||
return {
|
||||
statusCode: 400,
|
||||
successful: false,
|
||||
shouldRemoveSubscription: true,
|
||||
error: 'Cannot dispatch push to internal or private IP address',
|
||||
};
|
||||
}
|
||||
|
||||
const encryptedBody = encryptPushPayload(payload, target.keys);
|
||||
const authHeader = createVapidAuthorizationHeader(target.endpoint, vapidKeys);
|
||||
const fetchImpl = options?.fetchFn ?? fetch;
|
||||
|
|
@ -287,14 +235,13 @@ export async function sendWebPush(
|
|||
const response = await fetchImpl(target.endpoint, {
|
||||
method: 'POST',
|
||||
headers: {
|
||||
Authorization: authHeader,
|
||||
'Authorization': authHeader,
|
||||
'Content-Type': 'application/octet-stream',
|
||||
'Content-Encoding': 'aes128gcm',
|
||||
TTL: String(options?.ttl ?? 86400),
|
||||
Urgency: options?.urgency ?? 'normal',
|
||||
'TTL': String(options?.ttl ?? 86400),
|
||||
'Urgency': options?.urgency ?? 'normal',
|
||||
},
|
||||
body: new Uint8Array(encryptedBody),
|
||||
redirect: 'manual',
|
||||
});
|
||||
|
||||
const statusCode = response.status;
|
||||
|
|
|
|||
|
|
@ -1,7 +1,6 @@
|
|||
import type { PoolClient } from 'pg';
|
||||
import type { RequestContext } from '../../core/context.js';
|
||||
import { newUlid, parseUlid } from '../../core/ids.js';
|
||||
import { insertOutboxEvent } from '../../core/outbox.js';
|
||||
import { calculateDay, type DayParticipant, type PayrollLine } from './calculator.js';
|
||||
import { cateringPreset } from './presets.js';
|
||||
import type { RuleNode } from './rule.js';
|
||||
|
|
@ -15,7 +14,6 @@ export interface PayAssignmentInput {
|
|||
pool_weight_bp?: number;
|
||||
effective_from?: string;
|
||||
note?: string;
|
||||
params?: Record<string, number>;
|
||||
}
|
||||
|
||||
export interface PayAssignmentRecord {
|
||||
|
|
@ -295,14 +293,10 @@ export async function saveEmployeePayAssignment(
|
|||
const poolWeightBp = data.pool_weight_bp !== undefined ? data.pool_weight_bp : defaultRuleWeight;
|
||||
|
||||
const params: Record<string, number> = {
|
||||
...(data.params ?? {}),
|
||||
...(data.rate_minor !== undefined ? { rate_minor: data.rate_minor } : {}),
|
||||
...(data.percent_bp !== undefined ? { percent_bp: data.percent_bp } : {}),
|
||||
...(data.guarantee_minor !== undefined ? { guarantee_minor: data.guarantee_minor } : {}),
|
||||
rate_minor: data.rate_minor ?? 10000,
|
||||
percent_bp: data.percent_bp ?? 0,
|
||||
guarantee_minor: data.guarantee_minor ?? 0,
|
||||
};
|
||||
if (params.rate_minor === undefined && !data.params) {
|
||||
params.rate_minor = 10000;
|
||||
}
|
||||
|
||||
await client.query(
|
||||
`SELECT pg_advisory_xact_lock(hashtextextended(
|
||||
|
|
@ -479,22 +473,6 @@ export async function calculatePayrollPeriod(
|
|||
AND s.business_date BETWEEN $2 AND $3
|
||||
AND s.status = 'confirmed'
|
||||
AND ($4::varchar(26) IS NULL OR s.org_unit_id = $4)
|
||||
AND NOT EXISTS (
|
||||
SELECT 1 FROM staff_payroll_lines pl
|
||||
JOIN staff_payroll_runs pr ON pr.tenant_id = pl.tenant_id AND pr.id = pl.run_id
|
||||
WHERE pl.tenant_id = s.tenant_id
|
||||
AND pl.employee_id = s.employee_id
|
||||
AND pl.org_unit_id = s.org_unit_id
|
||||
AND pl.business_date = s.business_date
|
||||
AND pr.status IN ('approved', 'paid')
|
||||
)
|
||||
AND NOT EXISTS (
|
||||
SELECT 1 FROM staff_payroll_batch_lines bl
|
||||
JOIN staff_payroll_batches pb ON pb.tenant_id = bl.tenant_id AND pb.id = bl.batch_id
|
||||
WHERE bl.tenant_id = s.tenant_id
|
||||
AND bl.work_session_id = s.id
|
||||
AND pb.status = 'signed'
|
||||
)
|
||||
ORDER BY s.business_date, s.org_unit_id, s.employee_id`,
|
||||
[tenantId, from, to, orgUnitId],
|
||||
);
|
||||
|
|
@ -789,20 +767,21 @@ export async function calculatePayrollPeriod(
|
|||
[tenantId, runId, totalAccruedMinor.toString(), calculatedAt],
|
||||
);
|
||||
|
||||
await insertOutboxEvent(client, {
|
||||
tenantId,
|
||||
eventType: 'staff.payroll.run_calculated',
|
||||
subjectType: 'PayrollRun',
|
||||
subjectId: parseUlid(runId),
|
||||
actorType: 'user',
|
||||
actorId,
|
||||
payload: {
|
||||
period_start: from,
|
||||
period_end: to,
|
||||
total_accrued_minor: totalAccruedMinor.toString(),
|
||||
},
|
||||
correlationId,
|
||||
});
|
||||
await client.query(
|
||||
`INSERT INTO staff_outbox
|
||||
(id, tenant_id, event_type, event_version, subject_type, subject_id,
|
||||
actor_type, actor_id, payload, correlation_id)
|
||||
VALUES ($1, $2, 'staff.payroll.run_calculated', 1, 'PayrollRun', $3,
|
||||
'user', $4, $5, $6)`,
|
||||
[
|
||||
newUlid(),
|
||||
tenantId,
|
||||
runId,
|
||||
actorId,
|
||||
{ period_start: from, period_end: to, total_accrued_minor: totalAccruedMinor.toString() },
|
||||
correlationId,
|
||||
],
|
||||
);
|
||||
|
||||
await client.query(
|
||||
`INSERT INTO staff_audit_log
|
||||
|
|
@ -935,20 +914,25 @@ export async function approvePayrollRun(
|
|||
[tenantId, runId, actorId, approvedAt],
|
||||
);
|
||||
|
||||
await insertOutboxEvent(client, {
|
||||
tenantId,
|
||||
eventType: 'staff.payroll.run_approved',
|
||||
subjectType: 'PayrollRun',
|
||||
subjectId: parseUlid(runId),
|
||||
actorType: 'user',
|
||||
actorId,
|
||||
payload: {
|
||||
period_start: run.period_start,
|
||||
period_end: run.period_end,
|
||||
total_accrued_minor: run.total_accrued_minor,
|
||||
},
|
||||
correlationId,
|
||||
});
|
||||
await client.query(
|
||||
`INSERT INTO staff_outbox
|
||||
(id, tenant_id, event_type, event_version, subject_type, subject_id,
|
||||
actor_type, actor_id, payload, correlation_id)
|
||||
VALUES ($1, $2, 'staff.payroll.run_approved', 1, 'PayrollRun', $3,
|
||||
'user', $4, $5, $6)`,
|
||||
[
|
||||
newUlid(),
|
||||
tenantId,
|
||||
runId,
|
||||
actorId,
|
||||
{
|
||||
period_start: run.period_start,
|
||||
period_end: run.period_end,
|
||||
total_accrued_minor: run.total_accrued_minor,
|
||||
},
|
||||
correlationId,
|
||||
],
|
||||
);
|
||||
|
||||
await client.query(
|
||||
`INSERT INTO staff_audit_log
|
||||
|
|
|
|||
|
|
@ -44,9 +44,7 @@ export function decodeCursor(tenantId: string, cursor: string): bigint {
|
|||
candidateBuffer.length !== expectedBuffer.length ||
|
||||
!crypto.timingSafeEqual(candidateBuffer, expectedBuffer)
|
||||
) {
|
||||
throw new InvalidCursorError(
|
||||
'Подпись курсора синхронизации недействительна для данного арендатора',
|
||||
);
|
||||
throw new InvalidCursorError('Подпись курсора синхронизации недействительна для данного арендатора');
|
||||
}
|
||||
|
||||
return BigInt(seqStr);
|
||||
|
|
|
|||
|
|
@ -90,11 +90,7 @@ export class SyncService {
|
|||
|
||||
const tokenTenant = SyncService.parseTenantFromToken(rawToken);
|
||||
if (providedTenantId && tokenTenant && providedTenantId !== tokenTenant) {
|
||||
throw new SyncAuthError(
|
||||
'Несоответствие арендатора в токене устройства',
|
||||
'TENANT_MISMATCH',
|
||||
403,
|
||||
);
|
||||
throw new SyncAuthError('Несоответствие арендатора в токене устройства', 'TENANT_MISMATCH', 403);
|
||||
}
|
||||
|
||||
const tenantId = providedTenantId ?? tokenTenant;
|
||||
|
|
@ -191,10 +187,9 @@ export class SyncService {
|
|||
const rawToken = `kstaff_dev_${tenantId}_${rawSecret}`;
|
||||
const tokenHash = SyncService.hashToken(rawToken);
|
||||
const tokenHint = rawToken.slice(0, 16);
|
||||
const scopes =
|
||||
params.allowed_scopes && params.allowed_scopes.length > 0
|
||||
? params.allowed_scopes
|
||||
: ['attendance:sync'];
|
||||
const scopes = params.allowed_scopes && params.allowed_scopes.length > 0
|
||||
? params.allowed_scopes
|
||||
: ['attendance:sync'];
|
||||
|
||||
const orgUnitId = params.org_unit_id ? parseUlid(params.org_unit_id) : null;
|
||||
|
||||
|
|
@ -215,17 +210,7 @@ export class SyncService {
|
|||
(id, tenant_id, device_code, name, token_hash, token_hint, status, allowed_scopes, org_unit_id, created_by)
|
||||
VALUES ($1, $2, $3, $4, $5, $6, 'active', $7, $8, $9)
|
||||
RETURNING id, tenant_id, device_code, name, token_hint, status, allowed_scopes, org_unit_id, registered_at, created_by`,
|
||||
[
|
||||
deviceId,
|
||||
tenantId,
|
||||
params.device_code.trim(),
|
||||
params.name.trim(),
|
||||
tokenHash,
|
||||
tokenHint,
|
||||
scopes,
|
||||
orgUnitId,
|
||||
actorId,
|
||||
],
|
||||
[deviceId, tenantId, params.device_code.trim(), params.name.trim(), tokenHash, tokenHint, scopes, orgUnitId, actorId],
|
||||
);
|
||||
|
||||
const row = res.rows[0]!;
|
||||
|
|
@ -312,21 +297,6 @@ export class SyncService {
|
|||
const seq = decodeCursor(tenantId, cursor);
|
||||
|
||||
return this.database.tenantTransaction(tenantId, deviceId, async (client) => {
|
||||
const maxSeqRes = await client.query<{ max_seq: string | null }>(
|
||||
`SELECT MAX(cursor_seq) AS max_seq FROM staff_sync_change_log WHERE tenant_id = $1`,
|
||||
[tenantId],
|
||||
);
|
||||
if (maxSeqRes.rows.length > 0) {
|
||||
const maxSeq = maxSeqRes.rows[0]?.max_seq ? BigInt(maxSeqRes.rows[0].max_seq) : 0n;
|
||||
if (seq > maxSeq) {
|
||||
throw new SyncValidationError(
|
||||
`Курсор ${cursor} превышает текущую позицию журнала изменений (${maxSeq})`,
|
||||
'CURSOR_AHEAD',
|
||||
400,
|
||||
);
|
||||
}
|
||||
}
|
||||
|
||||
const res = await client.query<{ acknowledged_at: Date }>(
|
||||
`INSERT INTO staff_sync_device_checkpoints
|
||||
(tenant_id, device_id, last_acked_cursor_seq, last_acked_cursor, acknowledged_at)
|
||||
|
|
@ -349,34 +319,14 @@ export class SyncService {
|
|||
});
|
||||
}
|
||||
|
||||
async pull(tenantId: Ulid, options?: PullOptions): Promise<SyncPullResult>;
|
||||
async pull(tenantId: Ulid, deviceId: Ulid, options?: PullOptions): Promise<SyncPullResult>;
|
||||
async pull(
|
||||
tenantId: Ulid,
|
||||
deviceIdOrOptions?: Ulid | PullOptions,
|
||||
maybeOptions: PullOptions = {},
|
||||
): Promise<SyncPullResult> {
|
||||
let deviceId: Ulid;
|
||||
let options: PullOptions;
|
||||
|
||||
if (typeof deviceIdOrOptions === 'string') {
|
||||
deviceId = deviceIdOrOptions;
|
||||
options = maybeOptions ?? {};
|
||||
} else {
|
||||
deviceId = this.systemActorId;
|
||||
options = deviceIdOrOptions ?? {};
|
||||
}
|
||||
|
||||
async pull(tenantId: Ulid, deviceId: Ulid, options: PullOptions = {}): Promise<SyncPullResult> {
|
||||
const limit = Math.min(Math.max(1, options.limit ?? 100), 100);
|
||||
|
||||
return this.database.tenantTransaction(tenantId, deviceId, async (client) => {
|
||||
// 1. If cursor is provided and NOT a snapshot cursor -> incremental pull from staff_sync_change_log
|
||||
const isSnapshotCursor =
|
||||
typeof options.cursor === 'string' && options.cursor.startsWith('snap_');
|
||||
if (options.cursor && !isSnapshotCursor) {
|
||||
// 1. If cursor is provided -> incremental pull from staff_sync_change_log
|
||||
if (options.cursor) {
|
||||
const seq = decodeCursor(tenantId, options.cursor);
|
||||
const filterTypes =
|
||||
options.entity_types && options.entity_types.length > 0 ? options.entity_types : null;
|
||||
const filterTypes = options.entity_types && options.entity_types.length > 0 ? options.entity_types : null;
|
||||
|
||||
const res = await client.query<{
|
||||
id: string;
|
||||
|
|
@ -410,8 +360,9 @@ export class SyncService {
|
|||
created_at: r.created_at.toISOString(),
|
||||
}));
|
||||
|
||||
const nextCursor =
|
||||
changes.length > 0 ? changes[changes.length - 1]!.cursor : options.cursor;
|
||||
const nextCursor = changes.length > 0
|
||||
? changes[changes.length - 1]!.cursor
|
||||
: options.cursor;
|
||||
|
||||
return {
|
||||
changes,
|
||||
|
|
@ -421,12 +372,6 @@ export class SyncService {
|
|||
}
|
||||
|
||||
// 2. If cursor is omitted/null -> initial bootstrap of current active snapshot
|
||||
let snapOffset = 0;
|
||||
if (isSnapshotCursor) {
|
||||
const match = options.cursor!.match(/^snap_(\d+)_/);
|
||||
if (match) snapOffset = parseInt(match[1]!, 10);
|
||||
}
|
||||
|
||||
const seqRes = await client.query<{ max_seq: string | null }>(
|
||||
`SELECT MAX(cursor_seq) AS max_seq FROM staff_sync_change_log WHERE tenant_id = $1`,
|
||||
[tenantId],
|
||||
|
|
@ -435,29 +380,14 @@ export class SyncService {
|
|||
const latestCursor = encodeCursor(tenantId, maxSeq);
|
||||
|
||||
const wanted = (type: string) =>
|
||||
!options.entity_types ||
|
||||
options.entity_types.length === 0 ||
|
||||
options.entity_types.includes(type);
|
||||
!options.entity_types || options.entity_types.length === 0 || options.entity_types.includes(type);
|
||||
|
||||
const changes: SyncChange[] = [];
|
||||
|
||||
// Org Units
|
||||
if (wanted('org_unit')) {
|
||||
const orgRes = await client.query<{
|
||||
id: string;
|
||||
code: string;
|
||||
name: string;
|
||||
status: string;
|
||||
}>(
|
||||
`SELECT id, code, name,
|
||||
CASE
|
||||
WHEN deleted_at IS NOT NULL THEN 'archived'
|
||||
WHEN NOT is_active THEN 'inactive'
|
||||
ELSE 'active'
|
||||
END AS status
|
||||
FROM staff_org_units
|
||||
WHERE tenant_id = $1
|
||||
ORDER BY id`,
|
||||
const orgRes = await client.query<{ id: string; code: string; name: string; status: string }>(
|
||||
`SELECT id, code, name, status FROM staff_org_units WHERE tenant_id = $1 ORDER BY id`,
|
||||
[tenantId],
|
||||
);
|
||||
for (const row of orgRes.rows) {
|
||||
|
|
@ -481,12 +411,7 @@ export class SyncService {
|
|||
|
||||
// Professions
|
||||
if (wanted('profession')) {
|
||||
const profRes = await client.query<{
|
||||
id: string;
|
||||
code: string;
|
||||
name: string;
|
||||
status: string;
|
||||
}>(
|
||||
const profRes = await client.query<{ id: string; code: string; name: string; status: string }>(
|
||||
`SELECT id, code, name, status FROM staff_professions WHERE tenant_id = $1 ORDER BY id`,
|
||||
[tenantId],
|
||||
);
|
||||
|
|
@ -667,15 +592,12 @@ export class SyncService {
|
|||
}
|
||||
}
|
||||
|
||||
const totalChanges = changes.length;
|
||||
const pageChanges = changes.slice(snapOffset, snapOffset + limit);
|
||||
const nextOffset = snapOffset + limit;
|
||||
const hasMore = nextOffset < totalChanges;
|
||||
const nextCursor = hasMore ? `snap_${nextOffset}_${maxSeq}` : latestCursor;
|
||||
const hasMore = changes.length > limit;
|
||||
const pageChanges = changes.slice(0, limit);
|
||||
|
||||
return {
|
||||
changes: pageChanges,
|
||||
next_cursor: nextCursor,
|
||||
next_cursor: latestCursor,
|
||||
has_more: hasMore,
|
||||
};
|
||||
});
|
||||
|
|
@ -740,8 +662,7 @@ export class SyncService {
|
|||
command_type: cmd.command_type,
|
||||
status: 'rejected',
|
||||
error_code: 'TIMESTAMP_OUT_OF_WINDOW',
|
||||
error_message:
|
||||
'Временная метка команды находится вне допустимого окна (-30 дней .. +5 минут)',
|
||||
error_message: 'Временная метка команды находится вне допустимого окна (-30 дней .. +5 минут)',
|
||||
};
|
||||
await this.saveInboxCommand(client, tenantId, device.id, cmd, rejectedResult);
|
||||
results.push(rejectedResult);
|
||||
|
|
@ -777,25 +698,7 @@ export class SyncService {
|
|||
}
|
||||
|
||||
// 4. Execute command
|
||||
await client.query('SAVEPOINT cmd');
|
||||
let executionResult: SyncCommandResult;
|
||||
try {
|
||||
executionResult = await this.executeCommand(client, tenantId, device, cmd);
|
||||
if (executionResult.status === 'rejected') {
|
||||
await client.query('ROLLBACK TO SAVEPOINT cmd');
|
||||
} else {
|
||||
await client.query('RELEASE SAVEPOINT cmd');
|
||||
}
|
||||
} catch (error) {
|
||||
await client.query('ROLLBACK TO SAVEPOINT cmd');
|
||||
executionResult = {
|
||||
idempotency_key: cmd.idempotency_key,
|
||||
command_type: cmd.command_type,
|
||||
status: 'rejected',
|
||||
error_code: 'COMMAND_EXECUTION_ERROR',
|
||||
error_message: error instanceof Error ? error.message : 'Ошибка выполнения команды',
|
||||
};
|
||||
}
|
||||
const executionResult = await this.executeCommand(client, tenantId, device, cmd);
|
||||
await this.saveInboxCommand(client, tenantId, device.id, cmd, executionResult);
|
||||
results.push(executionResult);
|
||||
}
|
||||
|
|
@ -819,6 +722,7 @@ export class SyncService {
|
|||
const eventType = payload.event_type as string;
|
||||
const occurredAt = payload.occurred_at as string;
|
||||
const sourceEventId = (payload.source_event_id as string) || cmd.idempotency_key;
|
||||
const orgUnitId = (payload.org_unit_id as string) || device.org_unit_id;
|
||||
|
||||
if (!employeeId || !['check_in', 'check_out'].includes(eventType) || !occurredAt) {
|
||||
return {
|
||||
|
|
@ -830,35 +734,9 @@ export class SyncService {
|
|||
};
|
||||
}
|
||||
|
||||
// Validate timestamp window: -180 days .. +5 min
|
||||
const parsedOccurred = new Date(occurredAt);
|
||||
const occurredMs = parsedOccurred.getTime();
|
||||
if (isNaN(occurredMs)) {
|
||||
return {
|
||||
idempotency_key: cmd.idempotency_key,
|
||||
command_type: cmd.command_type,
|
||||
status: 'rejected',
|
||||
error_code: 'INVALID_TIMESTAMP',
|
||||
error_message: 'Некорректный формат времени отметки',
|
||||
};
|
||||
}
|
||||
const maxPast = 180 * 24 * 60 * 60 * 1000;
|
||||
const maxFuture = 5 * 60 * 1000;
|
||||
const diff = Date.now() - occurredMs;
|
||||
if (diff > maxPast || diff < -maxFuture) {
|
||||
return {
|
||||
idempotency_key: cmd.idempotency_key,
|
||||
command_type: cmd.command_type,
|
||||
status: 'rejected',
|
||||
error_code: 'TIMESTAMP_OUT_OF_WINDOW',
|
||||
error_message:
|
||||
'Время отметки находится вне допустимого диапазона (-180 дней .. +5 минут)',
|
||||
};
|
||||
}
|
||||
|
||||
// Verify employee belongs to tenant and is active
|
||||
// Verify employee belongs to tenant
|
||||
const empCheck = await client.query<{ id: string }>(
|
||||
`SELECT id FROM staff_employees WHERE tenant_id = $1 AND id = $2 AND status = 'active'`,
|
||||
`SELECT id FROM staff_employees WHERE tenant_id = $1 AND id = $2`,
|
||||
[tenantId, employeeId],
|
||||
);
|
||||
if (empCheck.rowCount === 0) {
|
||||
|
|
@ -866,45 +744,20 @@ export class SyncService {
|
|||
idempotency_key: cmd.idempotency_key,
|
||||
command_type: cmd.command_type,
|
||||
status: 'rejected',
|
||||
error_code: 'EMPLOYEE_INACTIVE',
|
||||
error_message: 'Сотрудник не найден или не активен',
|
||||
error_code: 'EMPLOYEE_NOT_FOUND',
|
||||
error_message: 'Сотрудник не найден в данном предприятии',
|
||||
};
|
||||
}
|
||||
|
||||
// Check org_unit_id: payload cannot override foreign device org_unit_id
|
||||
const payloadOrgUnitId =
|
||||
typeof payload.org_unit_id === 'string' ? payload.org_unit_id : null;
|
||||
if (payloadOrgUnitId && device.org_unit_id && payloadOrgUnitId !== device.org_unit_id) {
|
||||
return {
|
||||
idempotency_key: cmd.idempotency_key,
|
||||
command_type: cmd.command_type,
|
||||
status: 'rejected',
|
||||
error_code: 'ORG_UNIT_MISMATCH',
|
||||
error_message: 'Точка в отметке не соответствует подразделению устройства',
|
||||
};
|
||||
}
|
||||
const effectiveOrgUnitId = device.org_unit_id ?? payloadOrgUnitId;
|
||||
|
||||
const eventId = (payload.event_id as string) || newUlid();
|
||||
const correlationId = cmd.correlation_id || newUlid();
|
||||
|
||||
await client.query(
|
||||
`INSERT INTO staff_attendance_events
|
||||
(id, tenant_id, employee_id, event_type, source, source_event_id, occurred_at, device_id, actor_id, correlation_id, org_unit_id)
|
||||
VALUES ($1, $2, $3, $4, 'terminal', $5, $6, $7, $8, $9, $10)
|
||||
(id, tenant_id, employee_id, event_type, source, source_event_id, occurred_at, device_id, actor_id, correlation_id)
|
||||
VALUES ($1, $2, $3, $4, 'terminal', $5, $6, $7, $8, $9)
|
||||
ON CONFLICT (tenant_id, source, source_event_id) DO NOTHING`,
|
||||
[
|
||||
eventId,
|
||||
tenantId,
|
||||
employeeId,
|
||||
eventType,
|
||||
sourceEventId,
|
||||
occurredAt,
|
||||
device.id,
|
||||
device.id,
|
||||
correlationId,
|
||||
effectiveOrgUnitId,
|
||||
],
|
||||
[eventId, tenantId, employeeId, eventType, sourceEventId, occurredAt, device.id, device.id, correlationId],
|
||||
);
|
||||
|
||||
const safePayload: SafeAttendanceEventPayload = {
|
||||
|
|
@ -914,19 +767,11 @@ export class SyncService {
|
|||
occurred_at: occurredAt,
|
||||
source_event_id: sourceEventId,
|
||||
device_id: device.id,
|
||||
org_unit_id: effectiveOrgUnitId,
|
||||
org_unit_id: orgUnitId ? String(orgUnitId) : null,
|
||||
status: 'accepted',
|
||||
};
|
||||
|
||||
await this.recordChange(
|
||||
client,
|
||||
tenantId,
|
||||
'attendance_event',
|
||||
eventId,
|
||||
'upsert',
|
||||
1,
|
||||
safePayload,
|
||||
);
|
||||
await this.recordChange(client, tenantId, 'attendance_event', eventId, 'upsert', 1, safePayload);
|
||||
|
||||
return {
|
||||
idempotency_key: cmd.idempotency_key,
|
||||
|
|
@ -936,15 +781,207 @@ export class SyncService {
|
|||
};
|
||||
}
|
||||
|
||||
case 'upsert_work_session':
|
||||
case 'upsert_timesheet_entry': {
|
||||
case 'upsert_work_session': {
|
||||
const sessionId = (payload.id as string) || newUlid();
|
||||
const employeeId = payload.employee_id as string;
|
||||
const orgUnitId = (payload.org_unit_id as string) || device.org_unit_id;
|
||||
const businessDate = payload.business_date as string;
|
||||
const clientRevision = typeof payload.revision === 'number' ? payload.revision : 1;
|
||||
const startedAt = payload.started_at as string | null | undefined;
|
||||
const endedAt = payload.ended_at as string | null | undefined;
|
||||
const workedMinutes = typeof payload.worked_minutes === 'number' ? payload.worked_minutes : 0;
|
||||
const sessionStatus = (payload.status as string) || 'open';
|
||||
|
||||
if (!employeeId || !orgUnitId || !businessDate) {
|
||||
return {
|
||||
idempotency_key: cmd.idempotency_key,
|
||||
command_type: cmd.command_type,
|
||||
status: 'rejected',
|
||||
error_code: 'INVALID_WORK_SESSION_PAYLOAD',
|
||||
error_message: 'employee_id, org_unit_id и business_date обязательны',
|
||||
};
|
||||
}
|
||||
|
||||
const existingRes = await client.query<{ id: string; revision: number; status: string }>(
|
||||
`SELECT id, revision, status FROM staff_work_sessions WHERE tenant_id = $1 AND id = $2`,
|
||||
[tenantId, sessionId],
|
||||
);
|
||||
|
||||
if (existingRes.rows.length > 0) {
|
||||
const existing = existingRes.rows[0]!;
|
||||
if (existing.revision !== clientRevision) {
|
||||
const conflict: SyncConflict = {
|
||||
conflict_code: 'REVISION_MISMATCH',
|
||||
entity_type: 'work_session',
|
||||
entity_id: sessionId,
|
||||
expected_revision: clientRevision,
|
||||
actual_revision: existing.revision,
|
||||
safe_description: 'Ревизия рабочей смены на сервере изменилась',
|
||||
client_action: 'FETCH_LATEST_AND_RETRY',
|
||||
};
|
||||
return {
|
||||
idempotency_key: cmd.idempotency_key,
|
||||
command_type: cmd.command_type,
|
||||
status: 'conflict',
|
||||
conflict,
|
||||
};
|
||||
}
|
||||
|
||||
const nextRev = existing.revision + 1;
|
||||
await client.query(
|
||||
`UPDATE staff_work_sessions
|
||||
SET started_at = $1, ended_at = $2, worked_minutes = $3, status = $4, revision = $5, updated_at = now()
|
||||
WHERE tenant_id = $6 AND id = $7`,
|
||||
[startedAt ?? null, endedAt ?? null, workedMinutes, sessionStatus, nextRev, tenantId, sessionId],
|
||||
);
|
||||
|
||||
const safePayload: SafeWorkSessionPayload = {
|
||||
id: sessionId,
|
||||
employee_id: employeeId,
|
||||
org_unit_id: orgUnitId,
|
||||
business_date: businessDate,
|
||||
started_at: startedAt ?? null,
|
||||
ended_at: endedAt ?? null,
|
||||
worked_minutes: workedMinutes,
|
||||
status: sessionStatus,
|
||||
revision: nextRev,
|
||||
};
|
||||
|
||||
await this.recordChange(client, tenantId, 'work_session', sessionId, 'upsert', nextRev, safePayload);
|
||||
|
||||
return {
|
||||
idempotency_key: cmd.idempotency_key,
|
||||
command_type: cmd.command_type,
|
||||
status: 'applied',
|
||||
result: { id: sessionId, revision: nextRev, status: 'applied' },
|
||||
};
|
||||
}
|
||||
|
||||
// New work session insert
|
||||
const newRev = clientRevision;
|
||||
await client.query(
|
||||
`INSERT INTO staff_work_sessions
|
||||
(id, tenant_id, employee_id, org_unit_id, business_date, started_at, ended_at, worked_minutes, status, revision)
|
||||
VALUES ($1, $2, $3, $4, $5, $6, $7, $8, $9, $10)`,
|
||||
[sessionId, tenantId, employeeId, orgUnitId, businessDate, startedAt ?? null, endedAt ?? null, workedMinutes, sessionStatus, newRev],
|
||||
);
|
||||
|
||||
const safePayload: SafeWorkSessionPayload = {
|
||||
id: sessionId,
|
||||
employee_id: employeeId,
|
||||
org_unit_id: orgUnitId,
|
||||
business_date: businessDate,
|
||||
started_at: startedAt ?? null,
|
||||
ended_at: endedAt ?? null,
|
||||
worked_minutes: workedMinutes,
|
||||
status: sessionStatus,
|
||||
revision: newRev,
|
||||
};
|
||||
|
||||
await this.recordChange(client, tenantId, 'work_session', sessionId, 'upsert', newRev, safePayload);
|
||||
|
||||
return {
|
||||
idempotency_key: cmd.idempotency_key,
|
||||
command_type: cmd.command_type,
|
||||
status: 'rejected',
|
||||
error_code: 'COMMAND_NOT_SUPPORTED',
|
||||
error_message:
|
||||
'Команда не поддерживается: прямое создание или изменение смен и табелей с устройств запрещено',
|
||||
status: 'applied',
|
||||
result: { id: sessionId, revision: newRev, status: 'applied' },
|
||||
};
|
||||
}
|
||||
|
||||
case 'upsert_timesheet_entry': {
|
||||
const entryId = (payload.id as string) || newUlid();
|
||||
const employeeId = payload.employee_id as string;
|
||||
const workDate = payload.work_date as string;
|
||||
const minutesWorked = typeof payload.minutes_worked === 'number' ? payload.minutes_worked : 0;
|
||||
const tsStatus = (payload.status as string) || 'draft';
|
||||
const clientRevision = typeof payload.revision === 'number' ? payload.revision : 1;
|
||||
|
||||
if (!employeeId || !workDate) {
|
||||
return {
|
||||
idempotency_key: cmd.idempotency_key,
|
||||
command_type: cmd.command_type,
|
||||
status: 'rejected',
|
||||
error_code: 'INVALID_TIMESHEET_PAYLOAD',
|
||||
error_message: 'employee_id и work_date обязательны',
|
||||
};
|
||||
}
|
||||
|
||||
const existingRes = await client.query<{ id: string; revision: number; status: string }>(
|
||||
`SELECT id, revision, status FROM staff_timesheet_entries WHERE tenant_id = $1 AND id = $2`,
|
||||
[tenantId, entryId],
|
||||
);
|
||||
|
||||
if (existingRes.rows.length > 0) {
|
||||
const existing = existingRes.rows[0]!;
|
||||
if (existing.revision !== clientRevision) {
|
||||
const conflict: SyncConflict = {
|
||||
conflict_code: 'REVISION_MISMATCH',
|
||||
entity_type: 'timesheet_entry',
|
||||
entity_id: entryId,
|
||||
expected_revision: clientRevision,
|
||||
actual_revision: existing.revision,
|
||||
safe_description: 'Ревизия записи табеля на сервере изменилась',
|
||||
client_action: 'FETCH_LATEST_AND_RETRY',
|
||||
};
|
||||
return {
|
||||
idempotency_key: cmd.idempotency_key,
|
||||
command_type: cmd.command_type,
|
||||
status: 'conflict',
|
||||
conflict,
|
||||
};
|
||||
}
|
||||
|
||||
const nextRev = existing.revision + 1;
|
||||
await client.query(
|
||||
`UPDATE staff_timesheet_entries
|
||||
SET minutes_worked = $1, status = $2, revision = $3, updated_at = now()
|
||||
WHERE tenant_id = $4 AND id = $5`,
|
||||
[minutesWorked, tsStatus, nextRev, tenantId, entryId],
|
||||
);
|
||||
|
||||
const safePayload: SafeTimesheetEntryPayload = {
|
||||
id: entryId,
|
||||
employee_id: employeeId,
|
||||
work_date: workDate,
|
||||
minutes_worked: minutesWorked,
|
||||
status: tsStatus,
|
||||
revision: nextRev,
|
||||
};
|
||||
|
||||
await this.recordChange(client, tenantId, 'timesheet_entry', entryId, 'upsert', nextRev, safePayload);
|
||||
|
||||
return {
|
||||
idempotency_key: cmd.idempotency_key,
|
||||
command_type: cmd.command_type,
|
||||
status: 'applied',
|
||||
result: { id: entryId, revision: nextRev, status: 'applied' },
|
||||
};
|
||||
}
|
||||
|
||||
const newRev = clientRevision;
|
||||
await client.query(
|
||||
`INSERT INTO staff_timesheet_entries
|
||||
(id, tenant_id, employee_id, work_date, minutes_worked, status, revision, updated_by)
|
||||
VALUES ($1, $2, $3, $4, $5, $6, $7, $8)`,
|
||||
[entryId, tenantId, employeeId, workDate, minutesWorked, tsStatus, newRev, device.id],
|
||||
);
|
||||
|
||||
const safePayload: SafeTimesheetEntryPayload = {
|
||||
id: entryId,
|
||||
employee_id: employeeId,
|
||||
work_date: workDate,
|
||||
minutes_worked: minutesWorked,
|
||||
status: tsStatus,
|
||||
revision: newRev,
|
||||
};
|
||||
|
||||
await this.recordChange(client, tenantId, 'timesheet_entry', entryId, 'upsert', newRev, safePayload);
|
||||
|
||||
return {
|
||||
idempotency_key: cmd.idempotency_key,
|
||||
command_type: cmd.command_type,
|
||||
status: 'applied',
|
||||
result: { id: entryId, revision: newRev, status: 'applied' },
|
||||
};
|
||||
}
|
||||
|
||||
|
|
@ -1015,23 +1052,17 @@ export class SyncService {
|
|||
);
|
||||
}
|
||||
|
||||
async cleanupRetention(
|
||||
retentionDays = 30,
|
||||
): Promise<{ purged_change_logs: number; purged_commands: number }> {
|
||||
return this.database.tenantTransaction(
|
||||
this.systemActorId,
|
||||
this.systemActorId,
|
||||
async (client) => {
|
||||
const res = await client.query<{ purged_change_logs: string; purged_commands: string }>(
|
||||
`SELECT purged_change_logs, purged_commands FROM staff_sync_cleanup_retention($1)`,
|
||||
[retentionDays],
|
||||
);
|
||||
const row = res.rows[0];
|
||||
return {
|
||||
purged_change_logs: Number(row?.purged_change_logs ?? 0),
|
||||
purged_commands: Number(row?.purged_commands ?? 0),
|
||||
};
|
||||
},
|
||||
);
|
||||
async cleanupRetention(retentionDays = 30): Promise<{ purged_change_logs: number; purged_commands: number }> {
|
||||
return this.database.tenantTransaction(this.systemActorId, this.systemActorId, async (client) => {
|
||||
const res = await client.query<{ purged_change_logs: string; purged_commands: string }>(
|
||||
`SELECT purged_change_logs, purged_commands FROM staff_sync_cleanup_retention($1)`,
|
||||
[retentionDays],
|
||||
);
|
||||
const row = res.rows[0];
|
||||
return {
|
||||
purged_change_logs: Number(row?.purged_change_logs ?? 0),
|
||||
purged_commands: Number(row?.purged_commands ?? 0),
|
||||
};
|
||||
});
|
||||
}
|
||||
}
|
||||
|
|
|
|||
|
|
@ -131,12 +131,6 @@ export async function registerOperationsRoutes(
|
|||
api.get('/org-units', async (request) => {
|
||||
const context = await auth.resolve(request);
|
||||
const canManage = context.permissions.has('staff:org_unit:read');
|
||||
if (!canManage && !context.permissions.has('staff:employee:read')) {
|
||||
throw request.server.httpErrors.forbidden(
|
||||
'Недостаточно прав для просмотра списка подразделений.',
|
||||
);
|
||||
}
|
||||
|
||||
return database.tenantTransaction(context.tenantId, context.actorId, async (client) => {
|
||||
const rows = await client.query(
|
||||
`SELECT DISTINCT u.id, u.code, u.name, u.timezone
|
||||
|
|
@ -575,23 +569,18 @@ export async function registerOperationsRoutes(
|
|||
},
|
||||
body: {
|
||||
type: 'object',
|
||||
additionalProperties: false,
|
||||
required: ['pay_rule_id'],
|
||||
properties: {
|
||||
org_unit_id: {
|
||||
anyOf: [{ type: 'string', pattern: '^[0-9A-HJKMNP-TV-Z]{26}$' }, { type: 'null' }],
|
||||
},
|
||||
pay_rule_id: { type: 'string', pattern: '^[0-9A-HJKMNP-TV-Z]{26}$' },
|
||||
rate_minor: { type: 'integer', minimum: 0, maximum: 1_000_000_000 },
|
||||
rate_minor: { type: 'integer', minimum: 0 },
|
||||
percent_bp: { type: 'integer', minimum: 0, maximum: 10000 },
|
||||
guarantee_minor: { type: 'integer', minimum: 0, maximum: 1_000_000_000 },
|
||||
guarantee_minor: { type: 'integer', minimum: 0 },
|
||||
pool_weight_bp: { type: 'integer', minimum: 0, maximum: 20000 },
|
||||
effective_from: { type: 'string', pattern: '^\\d{4}-\\d{2}-\\d{2}$' },
|
||||
note: { type: 'string', maxLength: 500 },
|
||||
params: {
|
||||
type: 'object',
|
||||
additionalProperties: { type: 'integer', minimum: 0, maximum: 1_000_000_000 },
|
||||
},
|
||||
},
|
||||
},
|
||||
},
|
||||
|
|
@ -671,23 +660,9 @@ export async function registerOperationsRoutes(
|
|||
auth.assertMutationOrigin(request);
|
||||
const context = await auth.require(request, 'staff:payroll:calculate');
|
||||
|
||||
if (context.role === 'point_manager') {
|
||||
if (
|
||||
!request.body.org_unit_id ||
|
||||
!(context.orgUnitIds ?? []).includes(request.body.org_unit_id)
|
||||
) {
|
||||
return reply.forbidden(
|
||||
'Менеджер точки может рассчитывать зарплату только для своей точки.',
|
||||
);
|
||||
}
|
||||
}
|
||||
|
||||
let from: string;
|
||||
let to: string;
|
||||
if (request.body.month) {
|
||||
if (!/^\d{4}-(0[1-9]|1[0-2])$/.test(request.body.month)) {
|
||||
return reply.badRequest('Некорректный формат месяца (ожидается YYYY-MM от 01 до 12).');
|
||||
}
|
||||
from = `${request.body.month}-01`;
|
||||
const parts = request.body.month.split('-').map(Number);
|
||||
const year = parts[0]!;
|
||||
|
|
@ -798,53 +773,6 @@ export async function registerOperationsRoutes(
|
|||
},
|
||||
);
|
||||
|
||||
api.get<{ Params: { runId: string } }>(
|
||||
'/payroll/runs/:runId/verify',
|
||||
{
|
||||
schema: {
|
||||
params: {
|
||||
type: 'object',
|
||||
required: ['runId'],
|
||||
properties: {
|
||||
runId: { type: 'string', pattern: '^[0-9A-HJKMNP-TV-Z]{26}$' },
|
||||
},
|
||||
},
|
||||
},
|
||||
},
|
||||
async (request, reply) => {
|
||||
const context = await auth.resolve(request);
|
||||
if (!context.permissions.has('staff:payroll:read')) {
|
||||
return reply.forbidden('Недостаточно прав для проверки расчёта.');
|
||||
}
|
||||
const runId = parseUlid(request.params.runId);
|
||||
return database.tenantTransaction(context.tenantId, context.actorId, async (client) => {
|
||||
const runRes = await client.query<{ total_accrued_minor: string }>(
|
||||
`SELECT total_accrued_minor::text AS total_accrued_minor
|
||||
FROM staff_payroll_runs
|
||||
WHERE tenant_id = $1 AND id = $2`,
|
||||
[context.tenantId, runId],
|
||||
);
|
||||
if (runRes.rowCount === 0 || !runRes.rows[0]) {
|
||||
return reply.notFound('Расчёт зарплаты не найден.');
|
||||
}
|
||||
const linesRes = await client.query<{ lines_total: string }>(
|
||||
`SELECT COALESCE(SUM(amount_minor), 0)::text AS lines_total
|
||||
FROM staff_payroll_lines
|
||||
WHERE tenant_id = $1 AND run_id = $2`,
|
||||
[context.tenantId, runId],
|
||||
);
|
||||
const storedTotal = Number(runRes.rows[0].total_accrued_minor);
|
||||
const recalculatedTotal = Number(linesRes.rows[0]?.lines_total ?? 0);
|
||||
return reply.send({
|
||||
run_id: runId,
|
||||
stored_total_minor: storedTotal,
|
||||
recalculated_total_minor: recalculatedTotal,
|
||||
matches: storedTotal === recalculatedTotal,
|
||||
});
|
||||
});
|
||||
},
|
||||
);
|
||||
|
||||
api.post<{ Body: OwnerWorkbookImportBody }>(
|
||||
'/imports/owner-workbook',
|
||||
{
|
||||
|
|
@ -1090,20 +1018,18 @@ export async function registerOperationsRoutes(
|
|||
const desiredAmount =
|
||||
entry.kind === 'payout' ? -Math.abs(entry.amount_minor) : entry.amount_minor;
|
||||
const employeeId = employeeIds.get(entry.employee_external_ref);
|
||||
const legacyPrefix = `xlsx:${entry.kind}:%`;
|
||||
const currentPrefix = `xlsx:payroll:${entry.kind}:%`;
|
||||
const existing = await client.query<{ amount_minor: string }>(
|
||||
`SELECT COALESCE(sum(amount_minor), 0)::text AS amount_minor
|
||||
FROM staff_payroll_ledger
|
||||
WHERE tenant_id = $1 AND employee_id = $2
|
||||
AND (external_key = $3 OR external_key LIKE $3 || ':%')`,
|
||||
[context.tenantId, employeeId, entry.external_key],
|
||||
WHERE tenant_id = $1 AND employee_id = $2 AND business_date = $3
|
||||
AND (external_key LIKE $4 OR external_key LIKE $5)`,
|
||||
[context.tenantId, employeeId, entry.business_date, legacyPrefix, currentPrefix],
|
||||
);
|
||||
const previousAmount = Number(existing.rows[0]?.amount_minor ?? 0);
|
||||
const delta = desiredAmount - previousAmount;
|
||||
if (delta === 0) continue;
|
||||
const isInitial = previousAmount === 0;
|
||||
const rowKey = isInitial
|
||||
? entry.external_key
|
||||
: `${entry.external_key}:adj:${newUlid()}`;
|
||||
await client.query(
|
||||
`INSERT INTO staff_payroll_ledger
|
||||
(id, tenant_id, employee_id, business_date, kind, amount_minor,
|
||||
|
|
@ -1115,12 +1041,12 @@ export async function registerOperationsRoutes(
|
|||
context.tenantId,
|
||||
employeeId,
|
||||
entry.business_date,
|
||||
isInitial ? entry.kind : 'adjustment',
|
||||
previousAmount === 0 ? entry.kind : 'adjustment',
|
||||
delta,
|
||||
context.correlationId,
|
||||
entry.note?.trim() ?? `Импорт: ${body.source_name}`,
|
||||
context.actorId,
|
||||
rowKey,
|
||||
entry.external_key,
|
||||
],
|
||||
);
|
||||
}
|
||||
|
|
@ -1276,8 +1202,7 @@ function validateImport(body: OwnerWorkbookImportBody): boolean {
|
|||
if (
|
||||
!entry.external_key ||
|
||||
!parseDate(entry.business_date) ||
|
||||
!Number.isSafeInteger(entry.amount_minor) ||
|
||||
!['accrual', 'payout', 'adjustment'].includes(entry.kind)
|
||||
!Number.isSafeInteger(entry.amount_minor)
|
||||
)
|
||||
return false;
|
||||
}
|
||||
|
|
|
|||
|
|
@ -1,31 +0,0 @@
|
|||
export const portalDesignCss = `
|
||||
:root{--omni-space-1:4px;--omni-space-2:8px;--omni-space-3:12px;--omni-space-4:16px;--omni-space-5:20px;--omni-space-6:24px;--omni-space-8:32px;--omni-radius-xs:6px;--omni-radius-sm:8px;--omni-radius-md:10px;--omni-radius-lg:12px;--omni-radius-xl:16px;--omni-radius-pill:999px;--omni-touch-target:44px;--omni-z-sticky:1100;--omni-z-modal:1300;--omni-font-family-sans:system-ui,-apple-system,BlinkMacSystemFont,"Segoe UI",Roboto,Helvetica,Arial,sans-serif;--omni-font-family-serif:Georgia,Cambria,"Times New Roman",serif;--omni-text-label:.75rem;--omni-text-body-small:.875rem;--omni-motion-hover:140ms cubic-bezier(.4,0,.2,1);--omni-motion-tabs:180ms cubic-bezier(.4,0,.2,1);--omni-control-height:36px;--omni-control-height-sm:30px;--omni-control-padding-x:12px;--omni-layout-gap:12px;--omni-row-height:40px}
|
||||
[data-omni-theme="parchment-light"]{--omni-bg-app:#EFE3CC;--omni-bg-workspace:#F3EAD7;--omni-bg-section:#F1E6D2;--omni-surface:#F8F2E6;--omni-surface-raised:#FCF8EF;--omni-surface-muted:#E9DDC5;--omni-surface-hover:#EDE0C7;--omni-surface-selected:#E2D0AD;--omni-text-primary:#302A23;--omni-text-secondary:#756A5B;--omni-text-muted:#9A8E7D;--omni-text-inverse:#FFFFFF;--omni-border:#D9C9AC;--omni-border-subtle:#E5D8C0;--omni-border-strong:#CBB99B;--omni-border-focus:#9A743D;--omni-primary:#9A743D;--omni-primary-hover:#7D5B2D;--omni-primary-active:#684923;--omni-primary-soft:#EADBC1;--omni-gold:#B78335;--omni-gold-soft:#EFE0C2;--omni-success:#657255;--omni-success-soft:#E1E6D8;--omni-warning:#A8752F;--omni-warning-soft:#F2E3C8;--omni-danger:#A44E3F;--omni-danger-soft:#F1DDD5;--omni-info:#5F7480;--omni-info-soft:#DFE6E5;--omni-shadow-soft:0 1px 3px rgba(72,55,34,.06);--omni-shadow-medium:0 6px 18px rgba(72,55,34,.1);--omni-shadow-strong:0 14px 36px rgba(52,39,24,.16)}
|
||||
[data-omni-theme="noble-green"]{--omni-bg-app:#EDE5D3;--omni-bg-workspace:#F2EAD9;--omni-bg-section:#ECE2CE;--omni-surface:#F8F2E6;--omni-surface-raised:#FCF8EF;--omni-surface-muted:#E6DBC5;--omni-surface-hover:#E3E9DE;--omni-surface-selected:#DCE5D7;--omni-text-primary:#2E302A;--omni-text-secondary:#6B6C60;--omni-text-muted:#8B8C80;--omni-text-inverse:#FFFFFF;--omni-border:#D2CCB9;--omni-border-subtle:#E2DAC8;--omni-border-strong:#9DAA98;--omni-border-focus:#315F46;--omni-primary:#315F46;--omni-primary-hover:#294F3B;--omni-primary-active:#213F30;--omni-primary-soft:#DDE7DB;--omni-gold:#B78335;--omni-gold-soft:#EFE0C2;--omni-success:#3F7557;--omni-success-soft:#DDE9E0;--omni-warning:#A8752F;--omni-warning-soft:#F2E3C8;--omni-danger:#A44E3F;--omni-danger-soft:#F1DDD5;--omni-info:#527286;--omni-info-soft:#DFE7EA;--omni-shadow-soft:0 1px 3px rgba(72,55,34,.06);--omni-shadow-medium:0 6px 18px rgba(72,55,34,.1);--omni-shadow-strong:0 14px 36px rgba(52,39,24,.16)}
|
||||
[data-omni-theme="graphite-forest-dark"]{--omni-bg-app:#171A18;--omni-bg-workspace:#1D211E;--omni-bg-section:#202620;--omni-surface:#252A26;--omni-surface-raised:#2B312C;--omni-surface-muted:#212621;--omni-surface-hover:#2B342D;--omni-surface-selected:#29382E;--omni-text-primary:#EEE7DA;--omni-text-secondary:#B7B3A8;--omni-text-muted:#888E87;--omni-text-inverse:#171A18;--omni-border:#39423A;--omni-border-subtle:#303831;--omni-border-strong:#465249;--omni-border-focus:#6F9A79;--omni-primary:#527D60;--omni-primary-hover:#648E70;--omni-primary-active:#426A50;--omni-primary-soft:#29382E;--omni-gold:#C99A4D;--omni-gold-soft:#403522;--omni-success:#78916F;--omni-success-soft:#29372D;--omni-warning:#C08A45;--omni-warning-soft:#403422;--omni-danger:#C06B5F;--omni-danger-soft:#432B28;--omni-info:#7693A0;--omni-info-soft:#29363B;--omni-shadow-soft:0 1px 3px rgba(0,0,0,.18);--omni-shadow-medium:0 8px 22px rgba(0,0,0,.24);--omni-shadow-strong:0 16px 40px rgba(0,0,0,.34)}
|
||||
[data-omni-density="workspace"]{--omni-bg-app:rgb(239 232 216);--omni-bg-workspace:rgb(239 232 218);--omni-bg-section:rgb(233 225 207);--omni-surface:rgb(247 241 227);--omni-surface-raised:rgb(250 245 234);--omni-surface-muted:rgb(238 231 214);--omni-surface-hover:rgb(231 230 211);--omni-surface-selected:rgb(221 231 211);--omni-text-primary:rgb(28 39 34);--omni-text-secondary:rgb(93 109 101);--omni-text-muted:rgb(108 123 116);--omni-border:rgb(211 204 184);--omni-border-subtle:rgb(225 217 198);--omni-border-focus:rgb(35 123 91);--omni-primary:rgb(31 117 85);--omni-primary-hover:rgb(24 96 69);--omni-primary-soft:rgb(230 243 236)}
|
||||
[data-omni-theme="parchment-light"][data-omni-density="workspace"]{--omni-bg-app:rgb(244 237 220);--omni-bg-workspace:rgb(244 237 222);--omni-surface:rgb(250 245 232);--omni-surface-raised:rgb(252 247 235);--omni-surface-muted:rgb(242 234 216);--omni-surface-selected:rgb(236 221 190);--omni-primary:rgb(133 99 50);--omni-primary-hover:rgb(107 76 33);--omni-primary-soft:rgb(246 239 225)}
|
||||
[data-omni-theme="graphite-forest-dark"][data-omni-density="workspace"]{--omni-bg-app:rgb(19 24 22);--omni-bg-workspace:rgb(20 26 23);--omni-bg-section:rgb(27 34 30);--omni-surface:rgb(26 33 29);--omni-surface-raised:rgb(35 44 39);--omni-surface-muted:rgb(29 38 33);--omni-surface-hover:rgb(38 49 42);--omni-surface-selected:rgb(39 64 49);--omni-text-primary:rgb(237 243 239);--omni-text-secondary:rgb(171 189 179);--omni-text-muted:rgb(143 164 152);--omni-border:rgb(60 76 66);--omni-border-subtle:rgb(42 54 47);--omni-border-focus:rgb(111 185 144);--omni-primary:rgb(77 147 105);--omni-primary-hover:rgb(93 163 122);--omni-primary-soft:rgb(37 59 45)}
|
||||
*{box-sizing:border-box}[hidden]{display:none!important}html{background:var(--omni-bg-workspace);color-scheme:light}[data-omni-theme="graphite-forest-dark"]{color-scheme:dark}body{margin:0;min-width:320px;min-height:100vh;background:var(--omni-bg-workspace);color:var(--omni-text-primary);font:400 var(--omni-text-body-small)/1.45 var(--omni-font-family-sans)}button,input,select{font:inherit}button,input,select,.nav-item{outline:none}button:focus-visible,input:focus-visible,select:focus-visible,.nav-item:focus-visible{box-shadow:0 0 0 3px color-mix(in srgb,var(--omni-border-focus) 30%,transparent);border-color:var(--omni-border-focus)}button{min-height:var(--omni-control-height);padding:0 var(--omni-control-padding-x);border:1px solid var(--omni-primary);border-radius:var(--omni-radius-sm);background:var(--omni-primary);color:var(--omni-text-inverse);font-weight:650;cursor:pointer;transition:background var(--omni-motion-hover),border-color var(--omni-motion-hover)}button:hover{background:var(--omni-primary-hover);border-color:var(--omni-primary-hover)}button:disabled{opacity:.55;cursor:not-allowed}button.quiet,.quiet{background:var(--omni-surface-raised);border-color:var(--omni-border);color:var(--omni-text-primary)}button.quiet:hover{background:var(--omni-surface-hover);border-color:var(--omni-border-strong)}.compact{min-height:var(--omni-control-height-sm);padding-inline:var(--omni-space-2);font-size:var(--omni-text-label)}
|
||||
.topbar{position:sticky;top:0;z-index:var(--omni-z-sticky);min-height:64px;display:flex;align-items:center;justify-content:space-between;gap:var(--omni-space-4);padding:var(--omni-space-2) max(var(--omni-space-5),calc((100vw - 1440px)/2));background:color-mix(in srgb,var(--omni-surface-raised) 94%,transparent);border-bottom:1px solid var(--omni-border-subtle);backdrop-filter:blur(14px)}.brand{display:flex;align-items:center;gap:var(--omni-space-3);color:var(--omni-primary);text-decoration:none;white-space:nowrap;font-size:1.08rem}.mark{width:38px;height:38px;display:grid;place-items:center;border-radius:var(--omni-radius-lg);background:var(--omni-primary);color:var(--omni-text-inverse);font:700 1.25rem/1 var(--omni-font-family-serif)}.actions{display:flex;align-items:center;justify-content:flex-end;gap:var(--omni-space-2)}.status,.live,.tag{display:inline-flex;align-items:center;gap:var(--omni-space-1);min-height:26px;padding:0 var(--omni-space-2);border-radius:var(--omni-radius-pill);background:var(--omni-surface-muted);color:var(--omni-text-secondary);font-size:var(--omni-text-label);white-space:nowrap}.status.ok,.live{background:var(--omni-success-soft);color:var(--omni-success)}.status.offline,.anomaly{color:var(--omni-warning)}.theme-control{display:flex;align-items:center;gap:var(--omni-space-2);color:var(--omni-text-secondary);font-size:var(--omni-text-label)}.theme-control select,.period-control input,input,select{min-height:var(--omni-control-height);border:1px solid var(--omni-border);border-radius:var(--omni-radius-sm);background:var(--omni-surface-raised);color:var(--omni-text-primary);padding:0 var(--omni-space-3)}
|
||||
.section-nav{position:sticky;top:64px;z-index:calc(var(--omni-z-sticky) - 1);display:flex;align-items:center;gap:var(--omni-space-1);padding:var(--omni-space-2) max(var(--omni-space-5),calc((100vw - 1440px)/2));overflow-x:auto;background:color-mix(in srgb,var(--omni-surface) 96%,transparent);border-bottom:1px solid var(--omni-border-subtle);scrollbar-width:thin}.nav-item{flex:0 0 auto;min-height:var(--omni-control-height);border-color:transparent;background:transparent;color:var(--omni-text-secondary)}.nav-item:hover{background:var(--omni-surface-hover);border-color:transparent;color:var(--omni-text-primary)}.nav-item.selected{background:var(--omni-primary-soft);border-color:var(--omni-border);color:var(--omni-primary)}.period-control{display:flex;align-items:center;gap:var(--omni-space-2);margin-left:auto;color:var(--omni-text-secondary);font-size:var(--omni-text-label);white-space:nowrap}
|
||||
main{width:min(100%,1480px);margin:0 auto;padding:var(--omni-space-5)}.app-view{animation:view-enter var(--omni-motion-tabs)}.hero,.view-head{display:flex;align-items:flex-end;justify-content:space-between;gap:var(--omni-space-6);margin-bottom:var(--omni-space-4)}.hero{padding:var(--omni-space-5) var(--omni-space-6);border:1px solid var(--omni-border-subtle);border-radius:var(--omni-radius-lg);background:var(--omni-bg-section)}.hero h1,.view-head h1{margin:var(--omni-space-1) 0;font:700 clamp(1.65rem,3vw,2.3rem)/1.1 var(--omni-font-family-sans);letter-spacing:-.025em}.hero p,.view-head p{margin:0;color:var(--omni-text-secondary)}.eyebrow{margin:0;color:var(--omni-primary);font-size:var(--omni-text-label);font-weight:750;letter-spacing:.04em;text-transform:uppercase}.today{min-width:190px;padding-left:var(--omni-space-5);border-left:1px solid var(--omni-border)}.today span,.today small{display:block;color:var(--omni-text-secondary)}.today strong{display:block;margin:var(--omni-space-1) 0;font-size:1.1rem}.message,.login-error{margin-bottom:var(--omni-space-3);padding:var(--omni-space-3) var(--omni-space-4);border:1px solid var(--omni-warning);border-radius:var(--omni-radius-md);background:var(--omni-warning-soft);color:var(--omni-text-primary)}
|
||||
.stats{display:grid;grid-template-columns:repeat(3,minmax(0,1fr));gap:var(--omni-layout-gap);margin-bottom:var(--omni-layout-gap)}.stats article,.panel{border:1px solid var(--omni-border-subtle);border-radius:var(--omni-radius-lg);background:var(--omni-surface-raised);box-shadow:var(--omni-shadow-soft)}.stats article{position:relative;min-height:96px;padding:var(--omni-space-4);overflow:hidden}.stats article:before{content:"";position:absolute;inset:0 auto 0 0;width:3px;background:var(--omni-primary)}.stats span{display:block;color:var(--omni-text-secondary)}.stats strong{display:block;margin-top:var(--omni-space-2);font-size:clamp(1.55rem,3vw,2.1rem);font-variant-numeric:tabular-nums}.panel{padding:var(--omni-space-4)}.layout{display:grid;grid-template-columns:minmax(0,1.45fr) minmax(300px,.75fr);gap:var(--omni-layout-gap)}.panel-head{display:flex;align-items:flex-start;justify-content:space-between;gap:var(--omni-space-3);margin-bottom:var(--omni-space-3)}.panel-head h2{margin:var(--omni-space-1) 0 0;font-size:1.05rem}.feed,.people{display:grid;gap:var(--omni-space-2)}.event,.person{display:grid;align-items:center;gap:var(--omni-space-3);min-height:56px;padding:var(--omni-space-2) var(--omni-space-3);border:1px solid var(--omni-border-subtle);border-radius:var(--omni-radius-md);background:var(--omni-surface)}.event{grid-template-columns:38px minmax(0,1fr) auto}.person{grid-template-columns:38px minmax(0,1fr) auto auto}.event:hover,.person:hover{background:var(--omni-surface-hover)}.avatar,.event-icon{width:36px;height:36px;display:grid;place-items:center;border-radius:var(--omni-radius-pill);background:var(--omni-primary-soft);color:var(--omni-primary);font-weight:750}.event-icon{border-radius:var(--omni-radius-sm)}.event strong,.person strong,.event small,.person small{display:block;overflow:hidden;text-overflow:ellipsis;white-space:nowrap}.event small,.person small,.event time{color:var(--omni-text-secondary);font-size:var(--omni-text-label)}.empty{padding:var(--omni-space-6);text-align:center;color:var(--omni-text-secondary);background:var(--omni-surface-muted);border-radius:var(--omni-radius-md)}.directory-toolbar{display:flex;align-items:center;gap:var(--omni-space-2);margin-bottom:var(--omni-space-3)}.directory-toolbar input{flex:1;min-width:180px}.directory-list .person{min-height:64px}
|
||||
.timesheet-panel{margin-top:var(--omni-layout-gap)}.table-wrap{width:100%;overflow:auto;border:1px solid var(--omni-border-subtle);border-radius:var(--omni-radius-md)}table{width:100%;min-width:760px;border-collapse:collapse;background:var(--omni-surface-raised)}th,td{height:var(--omni-row-height);padding:var(--omni-space-2) var(--omni-space-3);border-bottom:1px solid var(--omni-border-subtle);text-align:left;vertical-align:middle}th{position:sticky;top:0;z-index:1;background:var(--omni-surface-muted);color:var(--omni-text-secondary);font-size:var(--omni-text-label);font-weight:700;white-space:nowrap}tbody tr:hover{background:var(--omni-surface-hover)}td{font-variant-numeric:tabular-nums}td input,td select{width:100%}.timesheet-create{display:grid;grid-template-columns:repeat(4,minmax(110px,1fr)) minmax(180px,2fr) auto;align-items:end;gap:var(--omni-space-2);padding:var(--omni-space-3);margin-bottom:var(--omni-space-3);background:var(--omni-surface-muted);border-radius:var(--omni-radius-md)}.timesheet-create label,.stack-form label,.inline-form label,.employee-dialog label{display:grid;gap:var(--omni-space-1);color:var(--omni-text-secondary);font-size:var(--omni-text-label);font-weight:650}
|
||||
.finance-layout{display:grid;grid-template-columns:minmax(0,1.7fr) minmax(280px,.7fr);gap:var(--omni-layout-gap);margin-bottom:var(--omni-layout-gap)}.stack-form{display:grid;gap:var(--omni-space-3)}.inline-form{display:grid;grid-template-columns:repeat(6,minmax(110px,1fr)) auto;align-items:end;gap:var(--omni-space-2)}.finance-chart{min-height:280px}.finance-chart svg{display:block;width:100%;height:280px}.chart-legend{display:flex;gap:var(--omni-space-4);color:var(--omni-text-secondary);font-size:var(--omni-text-label)}.legend-dot{display:inline-block;width:9px;height:9px;margin-right:var(--omni-space-1);border-radius:var(--omni-radius-pill)}.income-dot{background:var(--omni-primary)}.expense-dot{background:var(--omni-gold)}.calendar-panel{overflow:auto}.calendar-weekdays,.calendar-grid{display:grid;grid-template-columns:repeat(7,minmax(140px,1fr));min-width:980px}.calendar-weekdays span{padding:var(--omni-space-2);color:var(--omni-text-secondary);text-align:center;font-size:var(--omni-text-label);font-weight:700}.calendar-day{min-height:132px;padding:var(--omni-space-2);border-top:1px solid var(--omni-border-subtle);border-right:1px solid var(--omni-border-subtle);background:var(--omni-surface-raised)}.calendar-day:hover{background:var(--omni-surface-hover)}.calendar-day.outside{opacity:.55}.calendar-day.today{box-shadow:inset 0 0 0 2px var(--omni-border-focus)}.day-number{display:block;margin-bottom:var(--omni-space-2);font-weight:750}.shift-card{margin:var(--omni-space-1) 0;padding:var(--omni-space-2);border-left:3px solid var(--omni-primary);border-radius:var(--omni-radius-xs);background:var(--omni-primary-soft);font-size:var(--omni-text-label)}.shift-card.actual{border-left-color:var(--omni-gold);background:var(--omni-gold-soft)}.shift-card strong,.shift-card span{display:block}.positive{color:var(--omni-success)}.negative{color:var(--omni-danger)}
|
||||
.employee-dialog{width:min(92vw,620px);max-height:90vh;padding:0;overflow:auto;border:1px solid var(--omni-border);border-radius:var(--omni-radius-xl);background:var(--omni-surface-raised);color:var(--omni-text-primary);box-shadow:var(--omni-shadow-strong)}.employee-dialog::backdrop{background:rgb(10 16 13 / 52%);backdrop-filter:blur(3px)}.employee-dialog form{display:grid;gap:var(--omni-space-3);padding:var(--omni-space-6)}.dialog-head{display:flex;align-items:flex-start;justify-content:space-between;gap:var(--omni-space-3)}.dialog-head h2{margin:var(--omni-space-1) 0;font-size:1.5rem}.dialog-actions{display:flex;justify-content:flex-end;gap:var(--omni-space-2)}.icon-button{min-width:var(--omni-control-height);padding:0;background:var(--omni-surface-raised);border-color:var(--omni-border);color:var(--omni-text-primary)}.role-note,.employee-dialog small{color:var(--omni-text-secondary)}.form-row-2{display:grid;grid-template-columns:1fr 1fr;gap:var(--omni-space-3)}.pay-profile-section{display:grid;gap:var(--omni-space-3);padding:var(--omni-space-3);background:var(--omni-surface-muted);border-radius:var(--omni-radius-md)}.payroll-warnings{background:var(--omni-warning-soft)}.session-actions{display:flex;gap:var(--omni-space-1)}.anomaly{display:block;margin-top:var(--omni-space-1);font-size:var(--omni-text-label)}footer{padding:var(--omni-space-6);color:var(--omni-text-muted);text-align:center;font-size:var(--omni-text-label)}
|
||||
.auth-screen{min-height:100vh;display:grid;place-items:center;padding:var(--omni-space-6);background:var(--omni-bg-workspace)}.auth-card{width:min(100%,460px);padding:var(--omni-space-8);border:1px solid var(--omni-border);border-radius:var(--omni-radius-xl);background:var(--omni-surface-raised);box-shadow:var(--omni-shadow-strong)}.auth-brand{display:flex;align-items:center;gap:var(--omni-space-3);margin-bottom:var(--omni-space-8);font-size:1.2rem}.auth-card h1{margin:var(--omni-space-1) 0 var(--omni-space-3);font-size:1.875rem}.auth-copy{margin:0 0 var(--omni-space-5);color:var(--omni-text-secondary)}.auth-card form{display:grid;gap:var(--omni-space-2)}.auth-card label{font-size:var(--omni-text-label);font-weight:700}.auth-card input,.auth-card button{width:100%;min-height:48px}.auth-card small{display:block;margin-top:var(--omni-space-4);color:var(--omni-text-secondary)}@keyframes view-enter{from{opacity:0;transform:translateY(3px)}to{opacity:1;transform:none}}
|
||||
@media(max-width:900px){:root{--omni-control-height:44px;--omni-control-height-sm:40px;--omni-row-height:48px}.topbar{align-items:flex-start;flex-wrap:wrap;padding:var(--omni-space-3) var(--omni-space-4)}.actions{width:100%;justify-content:flex-start;overflow-x:auto}.section-nav{top:108px;padding-inline:var(--omni-space-4)}.period-control{margin-left:var(--omni-space-2)}main{padding:var(--omni-space-4)}.layout,.finance-layout{grid-template-columns:1fr}.stats{grid-template-columns:repeat(2,minmax(0,1fr))}.inline-form{grid-template-columns:repeat(2,minmax(0,1fr))}.inline-form button{grid-column:1/-1}.timesheet-create{grid-template-columns:repeat(2,minmax(0,1fr))}.timesheet-create .grow,.timesheet-create button{grid-column:1/-1}}
|
||||
@media(max-width:600px){.status,.theme-control{display:none}.section-nav{top:112px}.nav-item{min-height:var(--omni-touch-target)}main{padding:var(--omni-space-3)}.hero,.view-head{display:block}.hero{padding:var(--omni-space-4)}.today{margin-top:var(--omni-space-4);padding:var(--omni-space-3) 0 0;border-left:0;border-top:1px solid var(--omni-border)}.view-head button,.view-head .actions{margin-top:var(--omni-space-3)}.stats{grid-template-columns:1fr}.panel{padding:var(--omni-space-3)}.event{grid-template-columns:36px minmax(0,1fr)}.event time{grid-column:2}.person{grid-template-columns:36px minmax(0,1fr)}.person button{grid-column:2;width:100%}.directory-toolbar{align-items:stretch;flex-direction:column}.timesheet-create,.inline-form,.form-row-2{grid-template-columns:1fr}.calendar-weekdays,.calendar-grid{min-width:840px;grid-template-columns:repeat(7,120px)}.employee-dialog form{padding:var(--omni-space-4)}}
|
||||
/* Workspace composition follows the supplied Krona Staff layouts while every visual value stays on Krona Library tokens. */
|
||||
.platform-bar{min-height:44px;display:grid;grid-template-columns:auto minmax(280px,560px) auto;align-items:center;gap:var(--omni-space-4);padding:var(--omni-space-1) var(--omni-space-5);background:var(--omni-surface-raised);border-bottom:1px solid var(--omni-border-subtle)}.platform-context,.platform-actions{display:flex;align-items:center;gap:var(--omni-space-2);white-space:nowrap}.platform-context{color:var(--omni-text-secondary)}.platform-context strong{color:var(--omni-primary)}.app-grid{min-width:34px;min-height:34px;padding:0;background:transparent;border-color:transparent;color:var(--omni-primary);font-size:1.25rem}.global-search{min-height:34px;display:flex;align-items:center;gap:var(--omni-space-2);padding:0 var(--omni-space-3);border:1px solid var(--omni-border-subtle);border-radius:var(--omni-radius-sm);background:var(--omni-surface-muted);color:var(--omni-text-muted)}.global-search input{width:100%;min-height:30px;padding:0;border:0;background:transparent}.platform-actions{justify-content:flex-end}.module-bar{position:sticky;top:0;z-index:var(--omni-z-sticky);min-height:62px;display:flex;align-items:center;gap:var(--omni-space-5);padding:0 var(--omni-space-5);background:color-mix(in srgb,var(--omni-surface-raised) 96%,transparent);border-bottom:1px solid var(--omni-border-subtle);backdrop-filter:blur(14px)}.module-bar .brand{flex:0 0 auto}.module-bar .brand>span:last-child{display:grid}.module-bar .brand small{color:var(--omni-text-secondary);font-size:.67rem;font-weight:500}.module-bar .section-nav{position:static;flex:1;padding:0;background:transparent;border:0}.module-bar .nav-item{min-height:38px;padding-inline:var(--omni-space-2);font-size:var(--omni-text-label)}.module-bar .nav-item>span{font-size:1rem}
|
||||
main{width:min(100%,1720px);padding:var(--omni-space-4) var(--omni-space-5) var(--omni-space-8)}.page-title-row{min-height:62px;display:flex;align-items:center;justify-content:space-between;gap:var(--omni-space-4);margin-bottom:var(--omni-space-3)}.page-title-row h1{margin:0;font-size:clamp(1.55rem,2vw,2rem);letter-spacing:-.025em}.page-title-row p{margin:var(--omni-space-1) 0 0;color:var(--omni-text-secondary)}.page-context{display:grid;justify-items:end;color:var(--omni-text-secondary)}.page-context small{color:var(--omni-text-muted)}.sr-only{position:absolute;width:1px;height:1px;padding:0;margin:-1px;overflow:hidden;clip:rect(0,0,0,0);white-space:nowrap;border:0}.text-action{min-height:32px;padding:0;border:0;background:transparent;color:var(--omni-primary)}.text-action:hover{background:transparent;color:var(--omni-primary-hover)}
|
||||
.metric-strip{display:grid;grid-template-columns:repeat(5,minmax(0,1fr));gap:var(--omni-space-3);margin-bottom:var(--omni-space-3)}.metric-strip article{min-height:106px;display:flex;align-items:center;gap:var(--omni-space-3);padding:var(--omni-space-4);border:1px solid var(--omni-border-subtle);border-radius:var(--omni-radius-lg);background:var(--omni-surface-raised);box-shadow:var(--omni-shadow-soft)}.metric-strip small,.metric-strip span{display:block;color:var(--omni-text-secondary)}.metric-strip strong{display:block;margin:var(--omni-space-1) 0;font-size:1.55rem;font-variant-numeric:tabular-nums}.metric-icon{width:46px;height:46px;flex:0 0 auto;display:grid!important;place-items:center;border-radius:var(--omni-radius-pill);background:var(--omni-primary-soft);color:var(--omni-primary)!important;font-size:1.25rem;font-weight:750}.metric-icon.danger{background:var(--omni-danger-soft);color:var(--omni-danger)!important}.compact-metrics{grid-template-columns:repeat(3,minmax(0,1fr))}.compact-metrics article{min-height:84px;padding-block:var(--omni-space-3)}
|
||||
.dashboard-grid{display:grid;grid-template-columns:minmax(420px,1.45fr) minmax(380px,1.15fr) minmax(290px,.8fr);grid-template-areas:"people attendance terminal" "payroll analytics alerts";gap:var(--omni-space-3)}.dashboard-grid>.panel{min-width:0}.dashboard-people{grid-area:people}.dashboard-attendance{grid-area:attendance}.dashboard-terminal{grid-area:terminal}.dashboard-payroll{grid-area:payroll}.dashboard-analytics{grid-area:analytics}.dashboard-alerts{grid-area:alerts}.dense-list,.alert-list{display:grid;gap:var(--omni-space-1)}.dense-row,.alert-row{min-height:46px;display:grid;grid-template-columns:34px minmax(0,1fr) auto;align-items:center;gap:var(--omni-space-2);padding:var(--omni-space-1) var(--omni-space-2);border-bottom:1px solid var(--omni-border-subtle)}.dense-row:last-child,.alert-row:last-child{border-bottom:0}.dense-row strong,.dense-row small,.alert-row strong,.alert-row small{display:block;overflow:hidden;text-overflow:ellipsis;white-space:nowrap}.dense-row small,.alert-row small,.dense-row time{color:var(--omni-text-secondary);font-size:var(--omni-text-label)}.alert-mark{width:28px;height:28px;display:grid;place-items:center;border-radius:var(--omni-radius-pill);background:var(--omni-warning-soft);color:var(--omni-warning);font-weight:800}.terminal-device{display:flex;align-items:center;gap:var(--omni-space-4);padding:var(--omni-space-4);margin-bottom:var(--omni-space-3);background:var(--omni-surface-muted);border-radius:var(--omni-radius-md)}.terminal-device strong,.terminal-device small{display:block}.terminal-device small{color:var(--omni-text-secondary)}.terminal-glyph{width:58px;height:72px;display:grid;place-items:center;border-radius:var(--omni-radius-sm);background:var(--omni-text-primary);color:var(--omni-success);font-size:1.8rem}.terminal-glyph.large{width:88px;height:112px;font-size:2.5rem}.dashboard-terminal dl,.terminal-card dl,.system-list,.inspector-list,.summary-dl{display:grid;gap:var(--omni-space-2);margin:0 0 var(--omni-space-3)}.dashboard-terminal dl div,.terminal-card dl div,.system-list div,.inspector-list div,.summary-dl div{display:flex;justify-content:space-between;gap:var(--omni-space-3);padding-bottom:var(--omni-space-2);border-bottom:1px solid var(--omni-border-subtle)}dl dt{color:var(--omni-text-secondary)}dl dd{margin:0;text-align:right;font-weight:650}.dashboard-totals{display:grid;grid-template-columns:repeat(3,1fr);gap:var(--omni-space-2)}.dashboard-totals>div{padding:var(--omni-space-3);background:var(--omni-surface-muted);border-radius:var(--omni-radius-md)}.dashboard-totals small,.dashboard-totals strong{display:block}.rule-chips{display:flex;flex-wrap:wrap;gap:var(--omni-space-1);margin-top:var(--omni-space-3)}.mini-chart svg{width:100%;height:150px}.mini-chart .chart-legend{margin-top:var(--omni-space-2)}.quick-bar{position:sticky;bottom:var(--omni-space-2);z-index:5;display:flex;align-items:center;gap:var(--omni-space-2);margin-top:var(--omni-space-3);padding:var(--omni-space-2) var(--omni-space-3);border:1px solid var(--omni-border);border-radius:var(--omni-radius-lg);background:color-mix(in srgb,var(--omni-surface-raised) 96%,transparent);box-shadow:var(--omni-shadow-medium);backdrop-filter:blur(12px)}
|
||||
.employee-workspace{display:grid;grid-template-columns:minmax(620px,1fr) minmax(300px,360px);gap:var(--omni-space-3)}.employee-list-panel{min-width:0}.directory-list{display:grid;gap:0}.directory-list .person{min-height:58px;grid-template-columns:38px minmax(180px,1fr) auto auto;border-width:0 0 1px;border-radius:0;background:transparent;cursor:pointer}.directory-list .person.selected{background:var(--omni-surface-selected);box-shadow:inset 3px 0 var(--omni-primary)}.inspector{position:sticky;top:78px;align-self:start}.inspector-head{display:flex;align-items:center;gap:var(--omni-space-3);padding-bottom:var(--omni-space-4);border-bottom:1px solid var(--omni-border-subtle)}.inspector-head h2{margin:0 0 var(--omni-space-2)}.avatar.large{width:64px;height:64px;font-size:1.35rem}.inspector-list{margin-top:var(--omni-space-4)}.inspector-actions{display:grid;grid-template-columns:1fr 1fr;gap:var(--omni-space-2)}
|
||||
.segmented{display:inline-flex;align-items:center;padding:2px;border-radius:var(--omni-radius-sm);background:var(--omni-surface-muted)}.segmented button{min-height:34px;background:transparent;border-color:transparent;color:var(--omni-text-secondary)}.segmented button.selected{background:var(--omni-primary);border-color:var(--omni-primary);color:var(--omni-text-inverse)}.attendance-workspace{display:grid;grid-template-columns:minmax(600px,1.5fr) minmax(280px,.55fr);gap:var(--omni-space-3)}.attendance-workspace .event{border-width:0 0 1px;border-radius:0;background:transparent}.summary-dl dd{font-size:1.15rem}.finance-workspace{display:grid;grid-template-columns:minmax(680px,1.5fr) minmax(340px,.65fr);gap:var(--omni-space-3)}.finance-side{display:grid;align-content:start;gap:var(--omni-space-3)}.payroll-workspace{display:grid;grid-template-columns:minmax(720px,1.4fr) minmax(420px,.8fr);gap:var(--omni-space-3)}.payroll-workspace>.panel{min-width:0}.payroll-detail table{min-width:620px}.payroll-row{cursor:pointer}.rules-workspace,.terminal-workspace,.settings-grid{display:grid;grid-template-columns:repeat(2,minmax(0,1fr));gap:var(--omni-space-3)}.rule-grid{display:grid;grid-template-columns:repeat(2,minmax(0,1fr));gap:var(--omni-space-2)}.rule-card{display:grid;grid-template-columns:46px minmax(0,1fr) auto;align-items:center;gap:var(--omni-space-3);padding:var(--omni-space-3);border:1px solid var(--omni-border-subtle);border-radius:var(--omni-radius-md);background:var(--omni-surface)}.rule-card strong,.rule-card small{display:block}.rule-card small{color:var(--omni-text-secondary)}.terminal-card{display:flex;align-items:flex-start;gap:var(--omni-space-5)}.terminal-card h2{margin-top:0}.settings-field{display:grid;gap:var(--omni-space-2);color:var(--omni-text-secondary)}.calendar-legend{display:flex;justify-content:flex-end;gap:var(--omni-space-4);margin-bottom:var(--omni-space-2);color:var(--omni-text-secondary);font-size:var(--omni-text-label)}.calendar-legend i{width:9px;height:9px;display:inline-block;margin-right:var(--omni-space-1);border-radius:var(--omni-radius-pill);background:var(--omni-primary)}.calendar-legend .actual{background:var(--omni-info)}.calendar-legend .warning{background:var(--omni-warning)}.schedule-tabs{margin-bottom:var(--omni-space-3)}
|
||||
@media(max-width:1380px){.module-bar{align-items:flex-start;flex-direction:column;gap:0;padding-top:var(--omni-space-2)}.module-bar .section-nav{width:100%}.dashboard-grid{grid-template-columns:1fr 1fr;grid-template-areas:"people attendance" "payroll analytics" "terminal alerts"}.metric-strip{grid-template-columns:repeat(3,minmax(0,1fr))}.employee-workspace{grid-template-columns:minmax(560px,1fr) 320px}.finance-workspace,.payroll-workspace{grid-template-columns:1fr}.payroll-detail{max-height:440px}}
|
||||
@media(max-width:900px){.platform-bar{grid-template-columns:1fr auto}.global-search{grid-column:1/-1;grid-row:2}.module-bar{position:static}.module-bar .section-nav{top:auto}.dashboard-grid{grid-template-columns:1fr;grid-template-areas:"people" "attendance" "terminal" "payroll" "analytics" "alerts"}.metric-strip,.compact-metrics{grid-template-columns:repeat(2,minmax(0,1fr))}.employee-workspace,.attendance-workspace,.rules-workspace,.terminal-workspace,.settings-grid{grid-template-columns:1fr}.inspector{position:static}.quick-bar{position:static;flex-wrap:wrap}.finance-workspace{grid-template-columns:1fr}.rule-grid{grid-template-columns:1fr}}
|
||||
@media(max-width:600px){.platform-context span,.platform-context b,.platform-actions .status{display:none}.platform-bar{padding-inline:var(--omni-space-3)}.module-bar{padding-inline:var(--omni-space-3)}.module-bar .brand{display:none}.page-title-row{align-items:flex-start;flex-direction:column}.page-title-row .actions{width:100%;overflow-x:auto}.metric-strip,.compact-metrics{grid-template-columns:1fr}.metric-strip article{min-height:82px}.dashboard-totals{grid-template-columns:1fr}.employee-workspace{display:block}.inspector{margin-top:var(--omni-space-3)}.directory-toolbar select{width:100%}.directory-list .person{grid-template-columns:36px minmax(0,1fr)}.directory-list .person .tag,.directory-list .person button{grid-column:2}.inspector-actions,.rule-grid{grid-template-columns:1fr}.terminal-card{display:grid}.quick-bar>*{width:100%}}
|
||||
@media(prefers-reduced-motion:reduce){*,*:before,*:after{animation-duration:.01ms!important;transition-duration:.01ms!important}}
|
||||
`;
|
||||
117
src/portal-ui.ts
117
src/portal-ui.ts
File diff suppressed because one or more lines are too long
|
|
@ -1,129 +0,0 @@
|
|||
export const portalWorkspaceHtml = `<!doctype html>
|
||||
<html lang="ru" data-omni-theme="noble-green" data-omni-density="workspace">
|
||||
<head>
|
||||
<meta charset="utf-8">
|
||||
<meta name="viewport" content="width=device-width, initial-scale=1">
|
||||
<meta name="theme-color" content="#315F46">
|
||||
<title>Krona Staff</title>
|
||||
<link rel="manifest" href="/staff/manifest.webmanifest">
|
||||
<link rel="icon" type="image/svg+xml" href="/staff/icon-192.svg">
|
||||
<link rel="apple-touch-icon" href="/staff/icon-192.svg">
|
||||
<link rel="stylesheet" href="/staff/styles.css">
|
||||
</head>
|
||||
<body>
|
||||
<section id="auth-screen" class="auth-screen" aria-labelledby="login-title">
|
||||
<div class="auth-card">
|
||||
<div class="auth-brand"><span class="mark">К</span><span>Krona <b>Staff</b></span></div>
|
||||
<p class="eyebrow">Защищённый кабинет</p>
|
||||
<h1 id="login-title">Вход в Krona Staff</h1>
|
||||
<p class="auth-copy">Введите ключ руководителя или личный ключ сотрудника.</p>
|
||||
<form id="login-form"><label for="login-token">Ключ доступа</label><input id="login-token" type="password" autocomplete="current-password" required minlength="32" autofocus><button id="login-submit" type="submit">Войти</button></form>
|
||||
<div id="login-error" class="login-error" role="alert" hidden></div>
|
||||
<small>Сессия действует 8 часов и хранится только в защищённой cookie.</small>
|
||||
</div>
|
||||
</section>
|
||||
|
||||
<div id="app-shell" hidden>
|
||||
<header class="platform-bar">
|
||||
<div class="platform-context"><button class="app-grid" type="button" aria-label="Модули платформы">⠿</button><span>Бизнес-платформа</span><b>/</b><strong>KRONA Staff</strong></div>
|
||||
<label class="global-search"><span aria-hidden="true">⌕</span><input id="global-search" type="search" placeholder="Поиск по сотрудникам, операциям, документам…" aria-label="Глобальный поиск"></label>
|
||||
<div class="platform-actions"><span id="connection" class="status">Подключение…</span><button id="refresh" class="quiet compact" type="button">Обновить</button><button id="logout" class="quiet compact" type="button">Выйти</button></div>
|
||||
</header>
|
||||
<header class="module-bar">
|
||||
<a class="brand" href="/staff/dashboard" aria-label="Krona Staff"><span class="mark">К</span><span><b>KRONA Staff</b><small>Люди. Время. Развитие.</small></span></a>
|
||||
<nav class="section-nav" aria-label="Разделы Krona Staff">
|
||||
<button class="nav-item selected" type="button" data-target="overview-view" data-route="/staff/dashboard"><span>▦</span>Дашборд</button>
|
||||
<button class="nav-item manager-only" type="button" data-target="employees-view" data-route="/staff/employees"><span>♟</span>Сотрудники</button>
|
||||
<button class="nav-item" type="button" data-target="attendance-view" data-route="/staff/attendance"><span>◷</span>Посещаемость</button>
|
||||
<button class="nav-item" type="button" data-target="shifts-view" data-route="/staff/shifts"><span>◫</span>Смены</button>
|
||||
<button class="nav-item" type="button" data-target="schedule-view" data-route="/staff/schedules"><span>▦</span>Графики</button>
|
||||
<button class="nav-item manager-only" type="button" data-target="finance-view" data-route="/staff/finance"><span>◎</span>Финансы</button>
|
||||
<button class="nav-item" type="button" data-target="payroll-view" data-route="/staff/payroll"><span>▤</span>Зарплата</button>
|
||||
<button class="nav-item manager-only" type="button" data-target="rules-view" data-route="/staff/rules"><span>⌘</span>Правила</button>
|
||||
<button class="nav-item manager-only" type="button" data-target="terminal-view" data-route="/staff/terminal"><span>▣</span>Терминал</button>
|
||||
<button class="nav-item" type="button" data-target="notifications-view" data-route="/staff/notifications"><span>♢</span>Уведомления</button>
|
||||
<button class="nav-item" type="button" data-target="reports-view" data-route="/staff/reports"><span>▥</span>Отчёты</button>
|
||||
<button class="nav-item" type="button" data-target="settings-view" data-route="/staff/settings"><span>⚙</span>Настройки</button>
|
||||
</nav>
|
||||
</header>
|
||||
|
||||
<main>
|
||||
<div id="message" class="message" hidden></div>
|
||||
<section id="overview-view" class="app-view">
|
||||
<div class="page-title-row"><div><h1>Дашборд</h1><p id="viewer">Кабинет руководителя</p></div><div class="page-context"><span id="today">—</span><small id="last-refresh">Данные загружаются</small></div></div>
|
||||
<h2 id="greeting" class="sr-only">Команда и рабочее время</h2>
|
||||
<section class="metric-strip" aria-label="Оперативная сводка">
|
||||
<article><span class="metric-icon">♟</span><div><small>Всего сотрудников</small><strong id="employees-count">—</strong><span>В штате компании</span></div></article>
|
||||
<article><span class="metric-icon">◷</span><div><small>Отметок сегодня</small><strong id="today-count">—</strong><span>Приходы и уходы</span></div></article>
|
||||
<article><span class="metric-icon">◫</span><div><small>Часов в табеле</small><strong id="hours-count">—</strong><span>За доступный период</span></div></article>
|
||||
<article class="manager-only"><span class="metric-icon">◎</span><div><small>Финансовый результат</small><strong id="dashboard-profit">—</strong><span>За выбранный месяц</span></div></article>
|
||||
<article><span class="metric-icon">!</span><div><small>Требуют внимания</small><strong id="dashboard-attention">—</strong><span>Смены и проверки</span></div></article>
|
||||
</section>
|
||||
<div class="dashboard-grid">
|
||||
<section class="panel dashboard-people"><div class="panel-head"><h2>Сотрудники</h2><button class="text-action" type="button" data-open-view="employees-view">Все сотрудники →</button></div><div id="dashboard-employees" class="dense-list"><div class="empty">Загрузка…</div></div></section>
|
||||
<section class="panel dashboard-attendance"><div class="panel-head"><h2>Посещаемость сегодня</h2><button class="text-action" type="button" data-open-view="attendance-view">Подробнее →</button></div><div id="dashboard-attendance" class="dense-list"><div class="empty">Загрузка…</div></div></section>
|
||||
<aside class="panel dashboard-terminal"><div class="panel-head"><h2>Терминал учёта</h2><span class="status ok">Онлайн</span></div><div class="terminal-device"><span class="terminal-glyph">▣</span><div><strong>SLK20R</strong><small>Локальный терминал отпечатков</small></div></div><dl><div><dt>Последнее событие</dt><dd id="terminal-last-event">—</dd></div><div><dt>Синхронизация</dt><dd id="terminal-last-sync">Ожидание данных</dd></div></dl><button class="quiet" type="button" data-open-view="terminal-view">Открыть терминал</button></aside>
|
||||
<section class="panel dashboard-payroll manager-only"><div class="panel-head"><h2>Расчёт зарплаты</h2><button class="text-action" type="button" data-open-view="payroll-view">Подробнее →</button></div><div class="dashboard-totals"><div><small>Начислено</small><strong id="dashboard-accrued">—</strong></div><div><small>Выплачено</small><strong id="dashboard-paid">—</strong></div><div><small>Остаток</small><strong id="dashboard-balance">—</strong></div></div><div class="rule-chips" id="dashboard-rules"></div></section>
|
||||
<section class="panel dashboard-analytics manager-only"><div class="panel-head"><h2>Финансы месяца</h2><button class="text-action" type="button" data-open-view="finance-view">Подробнее →</button></div><div id="dashboard-finance-chart" class="mini-chart"><div class="empty">Загрузка…</div></div></section>
|
||||
<section class="panel dashboard-alerts"><div class="panel-head"><h2>Уведомления</h2><button class="text-action" type="button" data-open-view="notifications-view">Все →</button></div><div id="dashboard-alert-list" class="alert-list"><div class="empty">Нет новых данных</div></div></section>
|
||||
</div>
|
||||
<div class="quick-bar manager-only"><strong>Быстрые действия</strong><button type="button" id="dashboard-add-employee">＋ Добавить сотрудника</button><button type="button" class="quiet" data-open-view="shifts-view">Открыть смены</button><button type="button" class="quiet" data-open-view="payroll-view">Запустить расчёт</button><button type="button" class="quiet" data-open-view="rules-view">Настроить правила</button></div>
|
||||
</section>
|
||||
|
||||
<section id="employees-view" class="app-view manager-only" hidden>
|
||||
<div class="page-title-row"><div><h1>Сотрудники</h1><p>Персонал, профессии, статусы и зарплатные профили</p></div><div class="actions"><button id="manage-professions-directory" class="quiet" type="button">Профессии</button><button id="add-employee-directory" type="button">＋ Добавить сотрудника</button></div></div>
|
||||
<section class="metric-strip compact-metrics"><article><span class="metric-icon">♟</span><div><small>Всего сотрудников</small><strong id="directory-total">—</strong></div></article><article><span class="metric-icon">✓</span><div><small>Показано</small><strong id="directory-active">—</strong></div></article><article><span class="metric-icon">!</span><div><small>Требуют внимания</small><strong id="directory-attention">—</strong></div></article></section>
|
||||
<button id="add-employee" type="button" hidden>Добавить сотрудника</button><div class="employee-workspace"><section class="panel employee-list-panel"><div class="directory-toolbar"><input id="employee-search" type="search" placeholder="Поиск по имени, должности или табельному номеру" aria-label="Поиск сотрудников"><select id="employee-status-filter" aria-label="Статус"><option value="">Все статусы</option><option value="active">Работает</option><option value="blocked">Заблокирован</option><option value="dismissed">Уволен</option></select><span id="employee-search-result" class="status">Все сотрудники</span></div><div id="employees-directory" class="people directory-list"></div><div id="employees" hidden></div></section><aside id="employee-inspector" class="panel inspector"><div class="empty">Выберите сотрудника в списке</div></aside></div>
|
||||
</section>
|
||||
|
||||
<section id="attendance-view" class="app-view" hidden>
|
||||
<div class="page-title-row"><div><h1>Посещаемость</h1><p>Фактические приходы и уходы со сканера</p></div><span class="live">● в реальном времени</span></div>
|
||||
<div class="attendance-workspace"><section class="panel"><div class="panel-head"><h2>Журнал отметок</h2><div class="segmented"><button class="selected" type="button" data-event-filter="">Все</button><button type="button" data-event-filter="check_in">Приходы</button><button type="button" data-event-filter="check_out">Уходы</button></div></div><div id="attendance" class="feed"></div></section><aside class="panel"><div class="panel-head"><h2>Сводка дня</h2></div><div id="attendance-summary" class="summary-stack"><div class="empty">Загрузка…</div></div></aside></div>
|
||||
</section>
|
||||
|
||||
<section id="shifts-view" class="app-view" hidden>
|
||||
<div class="page-title-row"><div><h1>Смены</h1><p>Сверка отметок, аномалии и подтверждение рабочего времени</p></div><button id="reconcile-sessions" type="button">Сверить 7 дней</button></div>
|
||||
<section class="panel"><div class="panel-head"><h2>Рабочие смены</h2><span>План и фактический интервал</span></div><div class="table-wrap"><table><thead><tr><th>Дата</th><th>Сотрудник</th><th>Подразделение</th><th>Интервал</th><th>Часы</th><th>Состояние</th><th>Причина правки</th><th></th></tr></thead><tbody id="work-sessions"></tbody></table></div></section>
|
||||
</section>
|
||||
|
||||
<section id="schedule-view" class="app-view" hidden>
|
||||
<div class="page-title-row"><div><h1>Графики</h1><p>Планирование смен и контроль фактических выходов</p></div><div class="actions"><label class="period-control">Месяц <input id="period-month" type="month" aria-label="Месяц данных"></label><button id="schedule-refresh" class="quiet" type="button">Обновить</button></div></div>
|
||||
<div class="schedule-tabs segmented"><button type="button">Год</button><button type="button">Квартал</button><button class="selected" type="button">Месяц</button><button type="button">Неделя</button></div>
|
||||
<section class="panel manager-only schedule-editor"><form id="schedule-form" class="inline-form"><label>Сотрудник<select id="schedule-employee" required></select></label><label>Точка<select id="schedule-unit" required></select></label><label>Дата<input id="schedule-date" type="date" required></label><label>Часы<input id="schedule-hours" type="number" inputmode="decimal" min="0" max="24" step="0.5" value="12" required></label><label>Начало<input id="schedule-start" type="time" value="10:00"></label><label>Конец<input id="schedule-end" type="time" value="22:00"></label><button type="submit">＋ Добавить</button></form></section>
|
||||
<section class="panel calendar-panel"><div class="calendar-legend"><span><i class="planned"></i>Запланировано</span><span><i class="actual"></i>Есть факты</span><span><i class="warning"></i>Требует внимания</span></div><div class="calendar-weekdays" aria-hidden="true"><span>Пн</span><span>Вт</span><span>Ср</span><span>Чт</span><span>Пт</span><span>Сб</span><span>Вс</span></div><div id="calendar-grid" class="calendar-grid"></div></section>
|
||||
</section>
|
||||
|
||||
<section id="finance-view" class="app-view manager-only" hidden>
|
||||
<div class="page-title-row"><div><h1>Финансы</h1><p>Выручка, расходы и финансовый результат</p></div><div class="actions"><button id="finance-refresh" class="quiet" type="button">Обновить</button></div></div>
|
||||
<section class="metric-strip compact-metrics"><article><span class="metric-icon">↗</span><div><small>Доход</small><strong id="finance-income">—</strong></div></article><article><span class="metric-icon danger">↘</span><div><small>Расход</small><strong id="finance-expense">—</strong></div></article><article><span class="metric-icon">◕</span><div><small>Прибыль</small><strong id="finance-profit">—</strong></div></article></section>
|
||||
<div class="finance-workspace"><section class="panel finance-journal"><div class="panel-head"><h2>Журнал операций</h2><span id="finance-count">0 записей</span></div><div class="table-wrap"><table><thead><tr><th>Дата</th><th>Точка</th><th>Категория</th><th>Тип</th><th>Сумма</th></tr></thead><tbody id="finance-entries"></tbody></table></div></section><aside class="finance-side"><section class="panel"><div class="panel-head"><h2>Быстрое внесение</h2></div><form id="finance-form" class="stack-form"><label>Дата<input id="finance-date" type="date" required></label><label>Торговая точка<select id="finance-unit" required></select></label><label>Категория<select id="finance-category" required></select></label><label>Сумма, ₽<input id="finance-amount" type="number" inputmode="decimal" min="0" step="0.01" required></label><button type="submit">Сохранить операцию</button></form></section><section class="panel"><div class="panel-head"><h2>Доходы и расходы</h2><span>₽</span></div><div id="finance-chart" class="finance-chart" role="img" aria-label="График доходов и расходов"></div></section></aside></div>
|
||||
</section>
|
||||
|
||||
<section id="payroll-view" class="app-view" hidden>
|
||||
<div class="page-title-row"><div><h1>Зарплата</h1><p>Расчёт начислений, выплат и остатка по сотрудникам</p></div><div class="actions"><button id="payroll-calc-btn" class="manager-only" type="button">▶ Запустить расчёт</button><button id="payroll-refresh" class="quiet" type="button">Пересчитать</button></div></div>
|
||||
<div id="payroll-calc-status" class="message" hidden></div><div id="payroll-warnings" class="payroll-warnings message" hidden></div>
|
||||
<section class="metric-strip compact-metrics"><article><span class="metric-icon">◎</span><div><small>Начислено</small><strong id="payroll-accrued">—</strong></div></article><article><span class="metric-icon">▣</span><div><small>Выплачено</small><strong id="payroll-paid">—</strong></div></article><article><span class="metric-icon">◷</span><div><small>Остаток</small><strong id="payroll-balance">—</strong></div></article></section>
|
||||
<section id="payroll-preview-card" class="panel manager-only" hidden><div class="panel-head"><h2 id="payroll-preview-title">Предварительный результат</h2><button id="payroll-approve-btn" type="button">Утвердить расчёт</button></div><div class="table-wrap"><table><thead><tr><th>Сотрудник</th><th>Должность</th><th>Дней</th><th>Факт, часов</th><th>Начислено</th></tr></thead><tbody id="payroll-preview-rows"></tbody></table></div></section>
|
||||
<div class="payroll-workspace"><section class="panel"><div class="panel-head"><h2>Расчёт по сотрудникам</h2><span>По подтверждённым сменам</span></div><div class="table-wrap"><table><thead><tr><th>Сотрудник</th><th>Должность</th><th>Факт, часов</th><th>Начислено</th><th>Выплачено</th><th>Остаток</th></tr></thead><tbody id="payroll-rows"></tbody></table></div></section><aside class="panel payroll-detail"><div class="panel-head"><h2>История операций</h2></div><div class="table-wrap"><table><thead><tr><th>Дата</th><th>Сотрудник</th><th>Операция</th><th>Сумма</th><th>Примечание</th></tr></thead><tbody id="payroll-entries"></tbody></table></div></aside></div>
|
||||
</section>
|
||||
|
||||
<section id="rules-view" class="app-view manager-only" hidden><div class="page-title-row"><div><h1>Правила начислений</h1><p>Схемы оплаты и профессии сотрудников</p></div><button id="manage-professions" class="quiet" type="button">＋ Профессия</button></div><div class="rules-workspace"><section class="panel"><div class="panel-head"><h2>Активные схемы оплаты</h2></div><div id="rules-list" class="rule-grid"><div class="empty">Загрузка…</div></div></section><section class="panel"><div class="panel-head"><h2>Профессии</h2></div><div id="rules-professions" class="dense-list"><div class="empty">Загрузка…</div></div></section></div></section>
|
||||
|
||||
<section id="terminal-view" class="app-view manager-only" hidden><div class="page-title-row"><div><h1>Терминал</h1><p>Состояние локального сканера и последние события</p></div><span class="status ok">Сервер онлайн</span></div><div class="terminal-workspace"><section class="panel terminal-card"><span class="terminal-glyph large">▣</span><div><h2>BioLink SLK20R</h2><p>Локальный агент фиксирует отпечатки и безопасно передаёт события на сервер.</p><dl><div><dt>Последняя синхронизация</dt><dd id="terminal-sync-detail">—</dd></div><div><dt>Последняя отметка</dt><dd id="terminal-event-detail">—</dd></div></dl></div></section><section class="panel"><div class="panel-head"><h2>Последние события терминала</h2></div><div id="terminal-events" class="dense-list"><div class="empty">Загрузка…</div></div></section></div></section>
|
||||
|
||||
<section id="notifications-view" class="app-view" hidden><div class="page-title-row"><div><h1>Уведомления</h1><p>События, требующие внимания руководителя</p></div><button id="notify" class="quiet" type="button">Включить push</button></div><section class="panel"><div id="notifications-list" class="alert-list"><div class="empty">Нет новых уведомлений</div></div></section></section>
|
||||
|
||||
<section id="reports-view" class="app-view" hidden><div class="page-title-row"><div><h1>Отчёты</h1><p>Табель рабочего времени и подтверждённые данные</p></div><span id="timesheet-help">Изменения сохраняет руководитель</span></div><section class="panel"><form id="timesheet-create" class="timesheet-create"><label>Сотрудник<select id="new-time-employee" required></select></label><label>Дата<input id="new-time-date" type="date" required></label><label>Часы<input id="new-time-hours" type="number" min="0" max="24" step="0.25" value="8" required></label><label>Статус<select id="new-time-status"><option value="draft">Черновик</option><option value="submitted">На проверке</option><option value="approved">Утверждён</option><option value="rejected">Возвращён</option></select></label><label class="grow">Примечание<input id="new-time-note" maxlength="1000" placeholder="Необязательно"></label><button type="submit">Добавить строку</button></form><div class="table-wrap"><table><thead><tr><th>Дата</th><th>Сотрудник</th><th>Часы</th><th>Статус</th><th>Примечание</th><th></th></tr></thead><tbody id="timesheet"></tbody></table></div></section></section>
|
||||
|
||||
<section id="settings-view" class="app-view" hidden><div class="page-title-row"><div><h1>Настройки</h1><p>Внешний вид, уведомления и состояние подключения</p></div></div><div class="settings-grid"><section class="panel"><div class="panel-head"><h2>Интерфейс</h2></div><label class="settings-field">Тема<select id="theme-select" aria-label="Тема интерфейса"><option value="noble-green">Благородный зелёный</option><option value="parchment-light">Пергамент</option><option value="graphite-forest-dark">Тёмная</option></select></label></section><section class="panel"><div class="panel-head"><h2>О системе</h2></div><dl class="system-list"><div><dt>Модуль</dt><dd>Krona Staff</dd></div><div><dt>Режим</dt><dd>Автономный с интеграцией платформы</dd></div><div><dt>Данные</dt><dd>PostgreSQL с tenant isolation</dd></div></dl></section></div></section>
|
||||
</main>
|
||||
|
||||
<input id="employee-position" type="hidden">
|
||||
<dialog id="employee-dialog" class="employee-dialog"><form id="employee-form" method="dialog"><div class="dialog-head"><div><p class="eyebrow">Карточка сотрудника</p><h2 id="employee-dialog-title">Новый сотрудник</h2></div><button id="employee-close" class="icon-button" type="button" aria-label="Закрыть">×</button></div><input id="employee-id" type="hidden"><label>Табельный номер<input id="employee-number" maxlength="80" required></label><label>Фамилия, имя и отчество<input id="employee-name" maxlength="240" required></label><label>Профессия<select id="employee-profession"><option value="">Не указана</option></select></label><p class="role-note">Роли и права платформы управляются в Krona Core отдельно от кадровой профессии.</p><label>Пол<select id="employee-gender"><option value="">Не указан</option><option value="female">Женский</option><option value="male">Мужской</option></select></label><label id="employee-status-wrap" hidden>Статус<select id="employee-status"><option value="active">Работает</option><option value="blocked">Заблокирован</option><option value="dismissed">Уволен</option></select></label><div id="employee-pay-section" class="pay-profile-section manager-only"><p class="eyebrow">Зарплатный профиль</p><label>Торговая точка<select id="employee-pay-unit"></select></label><label>Схема расчёта<select id="employee-pay-rule"></select></label><div class="form-row-2"><label>Ставка в час, ₽<input id="employee-pay-rate" type="number" min="0" step="1" value="100"></label><label>Процент от выручки, %<input id="employee-pay-percent" type="number" min="0" max="100" step="0.1" value="0"></label></div><div class="form-row-2"><label>Гарантия за смену, ₽<input id="employee-pay-guarantee" type="number" min="0" step="100" value="0"></label><label>Доля в фонде, %<input id="employee-pay-pool-weight" type="number" min="0" max="200" step="10" value="100"></label></div><label>Действует с даты<input id="employee-pay-effective" type="date"></label><small>Новая версия действует с выбранной даты.</small></div><div id="employee-error" class="login-error" role="alert" hidden></div><div class="dialog-actions"><button id="employee-cancel" class="quiet" type="button">Отмена</button><button id="employee-save" type="submit">Сохранить</button></div></form></dialog>
|
||||
<dialog id="profession-dialog" class="employee-dialog"><form id="profession-form" method="dialog"><div class="dialog-head"><div><p class="eyebrow">Кадровый справочник</p><h2>Профессии</h2></div><button id="profession-close" class="icon-button" type="button" aria-label="Закрыть">×</button></div><label>Новая профессия<input id="profession-name" maxlength="160" required placeholder="Например, Повар"></label><button type="submit">Добавить профессию</button><div id="profession-list" class="people"></div><div id="profession-error" class="login-error" role="alert" hidden></div></form></dialog>
|
||||
<dialog id="access-dialog" class="employee-dialog"><form method="dialog"><div class="dialog-head"><div><p class="eyebrow">Личный кабинет</p><h2>Ключ сотрудника</h2></div><button id="access-close" class="icon-button" type="submit" aria-label="Закрыть">×</button></div><p>Скопируйте ключ сейчас. Повторно показать его нельзя.</p><label>Ключ доступа<input id="access-token" readonly></label><div class="dialog-actions"><button id="access-copy" type="button">Скопировать</button><button class="quiet" type="submit">Закрыть</button></div></form></dialog>
|
||||
<footer>Krona Business Platform · Staff</footer>
|
||||
</div>
|
||||
<script src="/staff/app.js" defer></script>
|
||||
</body>
|
||||
</html>`;
|
||||
1035
src/portal.ts
1035
src/portal.ts
File diff suppressed because it is too large
Load diff
|
|
@ -1,31 +0,0 @@
|
|||
import { randomBytes } from 'node:crypto';
|
||||
|
||||
export interface SessionData {
|
||||
token: string;
|
||||
expiresAt: number;
|
||||
}
|
||||
|
||||
const sessionStore = new Map<string, SessionData>();
|
||||
|
||||
export function createSession(token: string, maxAgeSeconds: number): string {
|
||||
const sessionId = randomBytes(32).toString('hex');
|
||||
sessionStore.set(sessionId, {
|
||||
token,
|
||||
expiresAt: Date.now() + maxAgeSeconds * 1000,
|
||||
});
|
||||
return sessionId;
|
||||
}
|
||||
|
||||
export function getSessionToken(sessionId: string): string | undefined {
|
||||
const session = sessionStore.get(sessionId);
|
||||
if (!session) return undefined;
|
||||
if (session.expiresAt <= Date.now()) {
|
||||
sessionStore.delete(sessionId);
|
||||
return undefined;
|
||||
}
|
||||
return session.token;
|
||||
}
|
||||
|
||||
export function revokeSession(sessionId: string): void {
|
||||
sessionStore.delete(sessionId);
|
||||
}
|
||||
82
src/sync.ts
82
src/sync.ts
|
|
@ -4,10 +4,13 @@ import { parseUlid, type Ulid } from './core/ids.js';
|
|||
import type { Database } from './infrastructure/database.js';
|
||||
import { PlatformIdentityAdapter, StandaloneIdentityAdapter } from './adapters/identity.js';
|
||||
import type { IdentityPort } from './core/ports.js';
|
||||
import { SyncAuthError, SyncService, SyncValidationError } from './domain/sync/service.js';
|
||||
import {
|
||||
SyncAuthError,
|
||||
SyncService,
|
||||
SyncValidationError,
|
||||
} from './domain/sync/service.js';
|
||||
import { InvalidCursorError } from './domain/sync/cursor.js';
|
||||
import type { SyncCommand } from './domain/sync/types.js';
|
||||
import { getSessionToken } from './session.js';
|
||||
|
||||
interface PullBody {
|
||||
cursor?: string | null;
|
||||
|
|
@ -68,25 +71,7 @@ export async function registerSyncRoutes(
|
|||
return undefined;
|
||||
};
|
||||
|
||||
function assertCookieMutationOrigin(request: FastifyRequest) {
|
||||
const authorization = request.headers.authorization;
|
||||
if (authorization?.startsWith('Bearer ')) return;
|
||||
const cookie = request.headers.cookie;
|
||||
if (!cookie || !cookie.includes('__Host-krona_staff_session=')) return;
|
||||
const origin = request.headers.origin;
|
||||
if (!origin) {
|
||||
throw request.server.httpErrors.forbidden('Запрос без Origin отклонён.');
|
||||
}
|
||||
try {
|
||||
const parsed = new URL(origin);
|
||||
if (parsed.host !== request.headers.host) throw new Error();
|
||||
} catch {
|
||||
throw request.server.httpErrors.forbidden('Запрос с постороннего сайта отклонён.');
|
||||
}
|
||||
}
|
||||
|
||||
const requireManagerContext = async (request: FastifyRequest) => {
|
||||
assertCookieMutationOrigin(request);
|
||||
const authHeader = request.headers.authorization;
|
||||
const cookieHeader = request.headers.cookie;
|
||||
const sessionCookieName = '__Host-krona_staff_session';
|
||||
|
|
@ -97,8 +82,7 @@ export async function registerSyncRoutes(
|
|||
const sep = part.indexOf('=');
|
||||
if (sep > 0 && part.slice(0, sep).trim() === sessionCookieName) {
|
||||
try {
|
||||
const rawSessionId = decodeURIComponent(part.slice(sep + 1).trim());
|
||||
token = getSessionToken(rawSessionId);
|
||||
token = decodeURIComponent(part.slice(sep + 1).trim());
|
||||
} catch {
|
||||
// ignore malformed cookie
|
||||
}
|
||||
|
|
@ -107,30 +91,20 @@ export async function registerSyncRoutes(
|
|||
}
|
||||
}
|
||||
|
||||
if (!token) {
|
||||
throw request.server.httpErrors.unauthorized(
|
||||
'Требуется действующий ключ доступа руководителя',
|
||||
);
|
||||
}
|
||||
|
||||
try {
|
||||
const context = await baseIdentity.resolve(token, parseUlid(request.id));
|
||||
if (
|
||||
!context.permissions.has('staff:attendance:manage') &&
|
||||
!context.permissions.has('staff:sync:manage')
|
||||
) {
|
||||
throw request.server.httpErrors.forbidden(
|
||||
'Недостаточно прав для управления устройствами синхронизации',
|
||||
);
|
||||
throw request.server.httpErrors.forbidden('Недостаточно прав для управления устройствами синхронизации');
|
||||
}
|
||||
return context;
|
||||
} catch (error: unknown) {
|
||||
if (typeof error === 'object' && error !== null && 'statusCode' in error) {
|
||||
throw error;
|
||||
}
|
||||
throw request.server.httpErrors.unauthorized(
|
||||
'Требуется действующий ключ доступа руководителя',
|
||||
);
|
||||
throw request.server.httpErrors.unauthorized('Требуется действующий ключ доступа руководителя');
|
||||
}
|
||||
};
|
||||
|
||||
|
|
@ -195,11 +169,7 @@ export async function registerSyncRoutes(
|
|||
},
|
||||
async (request, reply) => {
|
||||
const manager = await requireManagerContext(request);
|
||||
const result = await syncService.registerDevice(
|
||||
manager.tenantId,
|
||||
manager.actorId,
|
||||
request.body,
|
||||
);
|
||||
const result = await syncService.registerDevice(manager.tenantId, manager.actorId, request.body);
|
||||
return reply.code(201).send(result);
|
||||
},
|
||||
);
|
||||
|
|
@ -287,8 +257,7 @@ export async function registerSyncRoutes(
|
|||
{
|
||||
schema: {
|
||||
tags: ['Sync'],
|
||||
summary:
|
||||
'Получение изменений после указанного курсора (или начальный bootstrap при пустом курсоре)',
|
||||
summary: 'Получение изменений после указанного курсора (или начальный bootstrap при пустом курсоре)',
|
||||
body: {
|
||||
type: 'object',
|
||||
additionalProperties: false,
|
||||
|
|
@ -310,15 +279,7 @@ export async function registerSyncRoutes(
|
|||
type: 'array',
|
||||
items: {
|
||||
type: 'object',
|
||||
required: [
|
||||
'cursor',
|
||||
'entity_type',
|
||||
'entity_id',
|
||||
'operation',
|
||||
'revision',
|
||||
'payload',
|
||||
'created_at',
|
||||
],
|
||||
required: ['cursor', 'entity_type', 'entity_id', 'operation', 'revision', 'payload', 'created_at'],
|
||||
properties: {
|
||||
cursor: { type: 'string' },
|
||||
entity_type: { type: 'string' },
|
||||
|
|
@ -369,14 +330,7 @@ export async function registerSyncRoutes(
|
|||
maxItems: 100,
|
||||
items: {
|
||||
type: 'object',
|
||||
required: [
|
||||
'command_type',
|
||||
'schema_version',
|
||||
'idempotency_key',
|
||||
'correlation_id',
|
||||
'created_at',
|
||||
'payload',
|
||||
],
|
||||
required: ['command_type', 'schema_version', 'idempotency_key', 'correlation_id', 'created_at', 'payload'],
|
||||
properties: {
|
||||
command_type: { type: 'string' },
|
||||
schema_version: { type: 'integer', default: 1 },
|
||||
|
|
@ -433,11 +387,7 @@ export async function registerSyncRoutes(
|
|||
const token = extractBearerToken(request);
|
||||
const tenantId = resolveTenantId(request);
|
||||
const device = await syncService.authenticateDevice(token, tenantId);
|
||||
const results = await syncService.push(
|
||||
device.tenant_id,
|
||||
device,
|
||||
request.body?.commands ?? [],
|
||||
);
|
||||
const results = await syncService.push(device.tenant_id, device, request.body?.commands ?? []);
|
||||
return reply.code(200).send({ results });
|
||||
} catch (error) {
|
||||
handleSyncError(error, request);
|
||||
|
|
@ -478,11 +428,7 @@ export async function registerSyncRoutes(
|
|||
const token = extractBearerToken(request);
|
||||
const tenantId = resolveTenantId(request);
|
||||
const device = await syncService.authenticateDevice(token, tenantId);
|
||||
const result = await syncService.acknowledge(
|
||||
device.tenant_id,
|
||||
device.id,
|
||||
request.body.cursor,
|
||||
);
|
||||
const result = await syncService.acknowledge(device.tenant_id, device.id, request.body.cursor);
|
||||
return reply.code(200).send(result);
|
||||
} catch (error) {
|
||||
handleSyncError(error, request);
|
||||
|
|
|
|||
|
|
@ -1,119 +0,0 @@
|
|||
// [HARNESS] Позитивный контроль стенда: эти тесты обязаны быть зелёными всегда.
|
||||
// Если они красные — сломан сам стенд, и красные дефектные сценарии ничего не доказывают.
|
||||
/* eslint-disable @typescript-eslint/no-unsafe-member-access */
|
||||
import pg from 'pg';
|
||||
import { describe, expect, it } from 'vitest';
|
||||
import { api, ctx, describeResponse } from './harness/client.js';
|
||||
|
||||
describe('HARNESS: реальный сервер + PostgreSQL 17', () => {
|
||||
it('[HARNESS] сервер отвечает live/ready (ready проверяет БД)', async () => {
|
||||
const live = await api('GET', '/live');
|
||||
expect(live.status).toBe(200);
|
||||
const ready = await api('GET', '/ready');
|
||||
expect(ready.status, describeResponse(ready)).toBe(200);
|
||||
expect(ready.body).toEqual({ status: 'ready' });
|
||||
});
|
||||
|
||||
it('[HARNESS] БД: PostgreSQL 17, приложение под ролью без SUPERUSER/BYPASSRLS, мигратор без SUPERUSER', async () => {
|
||||
const client = new pg.Client({ connectionString: ctx().appDatabaseUrl });
|
||||
await client.connect();
|
||||
try {
|
||||
const version = await client.query<{ server_version_num: string }>('SHOW server_version_num');
|
||||
expect(Number(version.rows[0]!.server_version_num)).toBeGreaterThanOrEqual(170000);
|
||||
const roles = await client.query<{
|
||||
rolname: string;
|
||||
rolsuper: boolean;
|
||||
rolbypassrls: boolean;
|
||||
rolcreaterole: boolean;
|
||||
}>(
|
||||
`SELECT rolname, rolsuper, rolbypassrls, rolcreaterole FROM pg_roles
|
||||
WHERE rolname IN (current_user, 'krona_migrator') ORDER BY rolname`,
|
||||
);
|
||||
expect(roles.rows).toEqual([
|
||||
{ rolname: 'krona_migrator', rolsuper: false, rolbypassrls: false, rolcreaterole: false },
|
||||
{ rolname: 'krona_staff_app', rolsuper: false, rolbypassrls: false, rolcreaterole: false },
|
||||
]);
|
||||
} finally {
|
||||
await client.end();
|
||||
}
|
||||
});
|
||||
|
||||
it('[HARNESS] миграции применены мигратором, app-роль не видит schema_migrations', async () => {
|
||||
const migrator = new pg.Client({ connectionString: ctx().migrationDatabaseUrl });
|
||||
await migrator.connect();
|
||||
try {
|
||||
const applied = await migrator.query<{ count: string }>(
|
||||
'SELECT count(*)::text AS count FROM schema_migrations',
|
||||
);
|
||||
expect(Number(applied.rows[0]!.count)).toBeGreaterThanOrEqual(11);
|
||||
} finally {
|
||||
await migrator.end();
|
||||
}
|
||||
const app = new pg.Client({ connectionString: ctx().appDatabaseUrl });
|
||||
await app.connect();
|
||||
try {
|
||||
await expect(app.query('SELECT 1 FROM schema_migrations')).rejects.toThrow(
|
||||
/permission denied/,
|
||||
);
|
||||
} finally {
|
||||
await app.end();
|
||||
}
|
||||
});
|
||||
|
||||
it('[HARNESS] токены: без токена 401, случайный токен 401, manager-токен 200', async () => {
|
||||
expect((await api('GET', '/portal')).status).toBe(401);
|
||||
expect((await api('GET', '/portal', { token: 'x'.repeat(64) })).status).toBe(401);
|
||||
const ok = await api('GET', '/portal', { token: ctx().managerToken });
|
||||
expect(ok.status, describeResponse(ok)).toBe(200);
|
||||
expect(ok.body.viewer.role).toBe('manager');
|
||||
});
|
||||
|
||||
it('[HARNESS] терминал: отметка сотрудника из импорта принимается (201)', async () => {
|
||||
const { importEmployees, clock, daysAgo } = await import('./harness/fixtures.js');
|
||||
const [employee] = await importEmployees(1);
|
||||
const response = await clock(employee!.id, 'check_in', daysAgo(1));
|
||||
expect(response.status, describeResponse(response)).toBe(201);
|
||||
});
|
||||
|
||||
// [CTRL] Позитивные контроли безопасности, которые аудит признал рабочими: они
|
||||
// должны оставаться зелёными и доказывают, что сценарии умеют быть зелёными.
|
||||
it('[CTRL] RBAC: терминал не видит портал и не создаёт сотрудников; сотрудник видит только себя', async () => {
|
||||
const { importEmployees, issueEmployeeToken } = await import('./harness/fixtures.js');
|
||||
const [self, other] = await importEmployees(2);
|
||||
const employeeToken = await issueEmployeeToken(self!.id);
|
||||
const terminalPortal = await api('GET', '/portal', { token: ctx().terminalToken });
|
||||
const terminalCreate = await api('POST', '/employees', {
|
||||
token: ctx().terminalToken,
|
||||
body: { personnel_number: 'E2E-CTRL', display_name: 'E2E-CTRL' },
|
||||
});
|
||||
const own = await api('GET', '/portal', { token: employeeToken });
|
||||
const rows = (own.body?.employees ?? []) as Array<{ id: string }>;
|
||||
const ids = rows.map((row) => row.id);
|
||||
expect({
|
||||
terminalPortal: terminalPortal.status,
|
||||
terminalCreate: terminalCreate.status,
|
||||
own: own.status,
|
||||
seesSelf: ids.includes(self!.id),
|
||||
seesOther: ids.includes(other!.id),
|
||||
}).toEqual({
|
||||
terminalPortal: 403,
|
||||
terminalCreate: 403,
|
||||
own: 200,
|
||||
seesSelf: true,
|
||||
seesOther: false,
|
||||
});
|
||||
});
|
||||
|
||||
it('[CTRL] уволенный сотрудник теряет доступ (401)', async () => {
|
||||
const { importEmployees, issueEmployeeToken } = await import('./harness/fixtures.js');
|
||||
const [employee] = await importEmployees(1);
|
||||
const employeeToken = await issueEmployeeToken(employee!.id);
|
||||
expect((await api('GET', '/portal', { token: employeeToken })).status).toBe(200);
|
||||
const dismiss = await api('PATCH', `/employees/${employee!.id}`, {
|
||||
token: ctx().managerToken,
|
||||
body: { status: 'dismissed' },
|
||||
});
|
||||
expect(dismiss.status, describeResponse(dismiss)).toBe(200);
|
||||
expect((await api('GET', '/portal', { token: employeeToken })).status).toBe(401);
|
||||
});
|
||||
});
|
||||
|
|
@ -1,326 +0,0 @@
|
|||
// Сценарии дефектов основного API (ID из аудита Grok 2026-09-26; сопоставление с ID
|
||||
// владельца — в REPORT.md). Каждый тест проверяет ПРАВИЛЬНОЕ поведение, поэтому
|
||||
// красный тест = открытый дефект.
|
||||
/* eslint-disable @typescript-eslint/no-unsafe-member-access, @typescript-eslint/no-unsafe-assignment */
|
||||
import { createECDH, randomBytes } from 'node:crypto';
|
||||
import { createServer, type Server } from 'node:net';
|
||||
import { describe, expect, it } from 'vitest';
|
||||
import { api, ctx, dbQuery, describeResponse } from './harness/client.js';
|
||||
import { randomUlid, synthetic } from './harness/context.js';
|
||||
import {
|
||||
SYNTHETIC_RATE_MINOR,
|
||||
assignHourly,
|
||||
clock,
|
||||
createOrgUnits,
|
||||
daysAgo,
|
||||
hourlyRuleId,
|
||||
importEmployees,
|
||||
isoDate,
|
||||
issueEmployeeToken,
|
||||
workedShift,
|
||||
} from './harness/fixtures.js';
|
||||
|
||||
function pushKeys() {
|
||||
const ecdh = createECDH('prime256v1');
|
||||
ecdh.generateKeys();
|
||||
return {
|
||||
p256dh: ecdh.getPublicKey().toString('base64url'),
|
||||
auth: randomBytes(16).toString('base64url'),
|
||||
};
|
||||
}
|
||||
|
||||
function monthOf(date: Date): string {
|
||||
return date.toISOString().slice(0, 7);
|
||||
}
|
||||
|
||||
async function accrualsFor(employeeId: string) {
|
||||
return dbQuery<{ amount_minor: string; ref_id: string }>(
|
||||
`SELECT amount_minor::text AS amount_minor, ref_id FROM staff_payroll_ledger
|
||||
WHERE employee_id = $1 AND kind = 'accrual'`,
|
||||
[employeeId],
|
||||
);
|
||||
}
|
||||
|
||||
describe('Основной API на реальной PostgreSQL', () => {
|
||||
it('[K4/N1] менеджер создаёт сотрудника через POST /employees → 201', async () => {
|
||||
const number = `E2E-${randomUlid().slice(-8)}`;
|
||||
const response = await api('POST', '/employees', {
|
||||
token: ctx().managerToken,
|
||||
body: {
|
||||
personnel_number: number,
|
||||
display_name: synthetic('Сотрудник'),
|
||||
position: 'E2E-должность',
|
||||
},
|
||||
});
|
||||
expect(response.status, describeResponse(response)).toBe(201);
|
||||
const rows = await dbQuery('SELECT id FROM staff_employees WHERE personnel_number = $1', [
|
||||
number,
|
||||
]);
|
||||
expect(rows).toHaveLength(1);
|
||||
});
|
||||
|
||||
it('[K3/N2] подтверждение смены, расчёт и утверждение зарплаты проходят (200) и начисляют 8 ч × ставка', async () => {
|
||||
const [unit] = await createOrgUnits(1);
|
||||
const [employee] = await importEmployees(1);
|
||||
await assignHourly(employee!.id, unit!.id);
|
||||
const day = daysAgo(3);
|
||||
const sessionId = await workedShift(employee!.id, unit!.id, day, 8);
|
||||
|
||||
const confirm = await api('PATCH', `/work-sessions/${sessionId}`, {
|
||||
token: ctx().managerToken,
|
||||
body: { status: 'confirmed' },
|
||||
});
|
||||
expect(confirm.status, `подтверждение смены: ${describeResponse(confirm)}`).toBe(200);
|
||||
|
||||
const calculate = await api('POST', '/payroll/calculate', {
|
||||
token: ctx().managerToken,
|
||||
body: { month: monthOf(day), org_unit_id: unit!.id },
|
||||
});
|
||||
expect(calculate.status, `расчёт: ${describeResponse(calculate)}`).toBe(200);
|
||||
const runId = (calculate.body.run_id ?? calculate.body.id ?? calculate.body.run?.id) as string;
|
||||
const approve = await api('POST', `/payroll/runs/${runId}/approve`, {
|
||||
token: ctx().managerToken,
|
||||
});
|
||||
expect(approve.status, `утверждение: ${describeResponse(approve)}`).toBe(200);
|
||||
|
||||
const accruals = await accrualsFor(employee!.id);
|
||||
const total = accruals.reduce((sum, row) => sum + BigInt(row.amount_minor), 0n);
|
||||
expect(total).toBe(BigInt(8 * SYNTHETIC_RATE_MINOR));
|
||||
});
|
||||
|
||||
it('[K5/N4] пересекающиеся расчёты не начисляют одну смену дважды', async () => {
|
||||
const [unit] = await createOrgUnits(1);
|
||||
const [employee] = await importEmployees(1);
|
||||
await assignHourly(employee!.id, unit!.id);
|
||||
const day = daysAgo(2);
|
||||
const sessionId = await workedShift(employee!.id, unit!.id, day, 8);
|
||||
const confirm = await api('PATCH', `/work-sessions/${sessionId}`, {
|
||||
token: ctx().managerToken,
|
||||
body: { status: 'confirmed' },
|
||||
});
|
||||
expect(
|
||||
confirm.status,
|
||||
`подтверждение смены (предусловие, см. N2): ${describeResponse(confirm)}`,
|
||||
).toBe(200);
|
||||
|
||||
const month = monthOf(day);
|
||||
const first = await api('POST', '/payroll/calculate', {
|
||||
token: ctx().managerToken,
|
||||
body: { month, org_unit_id: unit!.id },
|
||||
});
|
||||
expect(first.status, `первый расчёт (предусловие, см. N2): ${describeResponse(first)}`).toBe(
|
||||
200,
|
||||
);
|
||||
const firstRun = (first.body.run_id ?? first.body.id) as string;
|
||||
expect(
|
||||
(await api('POST', `/payroll/runs/${firstRun}/approve`, { token: ctx().managerToken }))
|
||||
.status,
|
||||
).toBe(200);
|
||||
|
||||
const lastDay = new Date(Date.UTC(day.getUTCFullYear(), day.getUTCMonth() + 1, 0));
|
||||
const secondFrom = new Date(Date.UTC(day.getUTCFullYear(), day.getUTCMonth(), 2));
|
||||
const second = await api('POST', '/payroll/calculate', {
|
||||
token: ctx().managerToken,
|
||||
body: { from: isoDate(secondFrom), to: isoDate(lastDay), org_unit_id: unit!.id },
|
||||
});
|
||||
if (second.status === 200) {
|
||||
const secondRun = (second.body.run_id ?? second.body.id) as string;
|
||||
await api('POST', `/payroll/runs/${secondRun}/approve`, { token: ctx().managerToken });
|
||||
} else {
|
||||
expect(second.status, describeResponse(second)).toBe(409);
|
||||
}
|
||||
const accruals = await accrualsFor(employee!.id);
|
||||
const total = accruals.reduce((sum, row) => sum + BigInt(row.amount_minor), 0n);
|
||||
expect(total, 'смена должна быть начислена ровно один раз').toBe(
|
||||
BigInt(8 * SYNTHETIC_RATE_MINOR),
|
||||
);
|
||||
});
|
||||
|
||||
it('[K12/N3] push-подписка на внутренний адрес отклоняется, сервер не подключается к 127.0.0.1', async () => {
|
||||
const [employee] = await importEmployees(1);
|
||||
const employeeToken = await issueEmployeeToken(employee!.id);
|
||||
let connections = 0;
|
||||
const listener: Server = createServer((socket) => {
|
||||
connections += 1;
|
||||
socket.destroy();
|
||||
});
|
||||
await new Promise<void>((resolve) => listener.listen(0, '127.0.0.1', resolve));
|
||||
const address = listener.address();
|
||||
const port = typeof address === 'object' && address ? address.port : 0;
|
||||
try {
|
||||
const subscribe = await api('POST', '/push/subscriptions', {
|
||||
token: employeeToken,
|
||||
body: { endpoint: `https://127.0.0.1:${port}/e2e-internal-admin`, keys: pushKeys() },
|
||||
});
|
||||
// Инициируем отправку push этому сотруднику (отметка терминала) и ждём попытку соединения.
|
||||
await clock(employee!.id, 'check_in', daysAgo(0, 0));
|
||||
await new Promise((resolve) => setTimeout(resolve, 2_500));
|
||||
expect(
|
||||
{ status: subscribe.status, connections },
|
||||
`подписка: ${describeResponse(subscribe)}`,
|
||||
).toEqual({
|
||||
status: expect.toSatisfy((s: number) => s === 400 || s === 422 || s === 403),
|
||||
connections: 0,
|
||||
});
|
||||
} finally {
|
||||
listener.close();
|
||||
}
|
||||
});
|
||||
|
||||
it('[N9] чужой push-endpoint нельзя перепривязать к другому сотруднику', async () => {
|
||||
const [employeeA, employeeB] = await importEmployees(2);
|
||||
const tokenA = await issueEmployeeToken(employeeA!.id);
|
||||
const tokenB = await issueEmployeeToken(employeeB!.id);
|
||||
const endpoint = `https://fcm.googleapis.com/fcm/send/e2e-${randomBytes(16).toString('hex')}`;
|
||||
const first = await api('POST', '/push/subscriptions', {
|
||||
token: tokenA,
|
||||
body: { endpoint, keys: pushKeys() },
|
||||
});
|
||||
expect(first.status, describeResponse(first)).toBe(201);
|
||||
const second = await api('POST', '/push/subscriptions', {
|
||||
token: tokenB,
|
||||
body: { endpoint, keys: pushKeys() },
|
||||
});
|
||||
const owner = await dbQuery<{ employee_id: string }>(
|
||||
'SELECT employee_id FROM staff_push_subscriptions WHERE endpoint = $1',
|
||||
[endpoint],
|
||||
);
|
||||
expect(
|
||||
{ status: second.status, owner: owner.map((row) => row.employee_id) },
|
||||
describeResponse(second),
|
||||
).toEqual({
|
||||
status: expect.toSatisfy((s: number) => s === 409 || s === 403),
|
||||
owner: [employeeA!.id],
|
||||
});
|
||||
});
|
||||
|
||||
it('[N12] PUT pay-assignment отвергает лишние поля и нереальные суммы (400)', async () => {
|
||||
const [employee] = await importEmployees(1);
|
||||
const payRuleId = await hourlyRuleId();
|
||||
const extra = await api('PUT', `/employees/${employee!.id}/pay-assignment`, {
|
||||
token: ctx().managerToken,
|
||||
body: { pay_rule_id: payRuleId, rate_minor: SYNTHETIC_RATE_MINOR, e2e_unexpected_field: 'x' },
|
||||
});
|
||||
const huge = await api('PUT', `/employees/${employee!.id}/pay-assignment`, {
|
||||
token: ctx().managerToken,
|
||||
body: {
|
||||
pay_rule_id: payRuleId,
|
||||
rate_minor: Number.MAX_SAFE_INTEGER,
|
||||
guarantee_minor: Number.MAX_SAFE_INTEGER,
|
||||
},
|
||||
});
|
||||
expect(
|
||||
{ extra: extra.status, huge: huge.status },
|
||||
`${describeResponse(extra)} | ${describeResponse(huge)}`,
|
||||
).toEqual({
|
||||
extra: 400,
|
||||
huge: 400,
|
||||
});
|
||||
});
|
||||
|
||||
it('[N10] терминальный токен не читает справочники профессий и точек (403)', async () => {
|
||||
const professions = await api('GET', '/professions', { token: ctx().terminalToken });
|
||||
const units = await api('GET', '/org-units', { token: ctx().terminalToken });
|
||||
expect({ professions: professions.status, units: units.status }).toEqual({
|
||||
professions: 403,
|
||||
units: 403,
|
||||
});
|
||||
});
|
||||
|
||||
it('[K1/F2] standalone без токенов не выдаёт права менеджера анонимному запросу (401)', async () => {
|
||||
const portal = await api('GET', '/portal', { base: 'open' });
|
||||
const payroll = await api('GET', '/payroll', { base: 'open' });
|
||||
const write = await api('POST', '/professions', {
|
||||
base: 'open',
|
||||
body: { name: synthetic('Профессия') },
|
||||
});
|
||||
expect({ portal: portal.status, payroll: payroll.status, write: write.status }).toEqual({
|
||||
portal: 401,
|
||||
payroll: 401,
|
||||
write: 401,
|
||||
});
|
||||
});
|
||||
|
||||
it('[K10/F3] cookie сессии не содержит сырой токен и отзывается при выходе', async () => {
|
||||
const login = await api('POST', '/session', { body: { access_token: ctx().managerToken } });
|
||||
expect(login.status, describeResponse(login)).toBe(200);
|
||||
const setCookie = login.headers.get('set-cookie') ?? '';
|
||||
const value = decodeURIComponent(
|
||||
/__Host-krona_staff_session=([^;]*)/.exec(setCookie)?.[1] ?? '',
|
||||
);
|
||||
const cookie = `__Host-krona_staff_session=${encodeURIComponent(value)}`;
|
||||
const logout = await api('DELETE', '/session', { headers: { cookie } });
|
||||
expect(logout.status).toBe(204);
|
||||
const reuse = await api('GET', '/portal', { headers: { cookie } });
|
||||
expect({ rawTokenInCookie: value === ctx().managerToken, afterLogout: reuse.status }).toEqual({
|
||||
rawTokenInCookie: false,
|
||||
afterLogout: 401,
|
||||
});
|
||||
});
|
||||
|
||||
it('[F10] мутация по cookie без Origin отклоняется (CSRF, 403)', async () => {
|
||||
const login = await api('POST', '/session', { body: { access_token: ctx().managerToken } });
|
||||
const setCookie = login.headers.get('set-cookie') ?? '';
|
||||
const cookie = /(__Host-krona_staff_session=[^;]*)/.exec(setCookie)?.[1] ?? '';
|
||||
const response = await api('POST', '/professions', {
|
||||
headers: { cookie },
|
||||
body: { name: synthetic('CSRF-профессия') },
|
||||
});
|
||||
expect(response.status, describeResponse(response)).toBe(403);
|
||||
});
|
||||
|
||||
it('[F7] повтор Idempotency-Key с другим телом не создаёт второе событие', async () => {
|
||||
const [employee] = await importEmployees(1);
|
||||
const key = `e2e-${randomUlid()}`;
|
||||
const send = (sourceEventId: string) =>
|
||||
api('POST', '/attendance/events', {
|
||||
token: ctx().terminalToken,
|
||||
headers: { 'idempotency-key': key },
|
||||
body: {
|
||||
employee_id: employee!.id,
|
||||
event_type: 'check_in',
|
||||
occurred_at: daysAgo(1).toISOString(),
|
||||
source_event_id: sourceEventId,
|
||||
},
|
||||
});
|
||||
const first = await send(`e2e-${randomUlid()}`);
|
||||
const second = await send(`e2e-${randomUlid()}`);
|
||||
expect({ first: first.status, secondCreated: second.status === 201 }).toEqual({
|
||||
first: 201,
|
||||
secondCreated: false,
|
||||
});
|
||||
});
|
||||
|
||||
it('[N11] импорт с неверным kind начисления → 400, а не 500', async () => {
|
||||
const [employee] = await importEmployees(1);
|
||||
const response = await api('POST', '/imports/owner-workbook', {
|
||||
token: ctx().managerToken,
|
||||
body: {
|
||||
source_name: synthetic('import-bad-kind'),
|
||||
payroll_entries: [
|
||||
{
|
||||
external_key: `e2e-${randomUlid()}`,
|
||||
employee_external_ref: employee!.external_ref,
|
||||
business_date: isoDate(daysAgo(1)),
|
||||
kind: 'e2e_bogus_kind',
|
||||
amount_minor: 100,
|
||||
},
|
||||
],
|
||||
},
|
||||
});
|
||||
expect(response.status, describeResponse(response)).toBe(400);
|
||||
});
|
||||
|
||||
it('[K11/F4] перебор ключей входа ограничивается (429 не позже 30 неверных попыток)', async () => {
|
||||
const statuses: number[] = [];
|
||||
for (let attempt = 0; attempt < 30; attempt += 1) {
|
||||
const response = await api('POST', '/session', {
|
||||
base: 'ratelimit',
|
||||
body: { access_token: randomBytes(32).toString('hex') },
|
||||
});
|
||||
statuses.push(response.status);
|
||||
if (response.status === 429) break;
|
||||
}
|
||||
expect(statuses.includes(429), `статусы: ${[...new Set(statuses)].join(',')}`).toBe(true);
|
||||
});
|
||||
});
|
||||
|
|
@ -1,287 +0,0 @@
|
|||
// Сценарии офлайн-синхронизации (/api/v1/staff/sync/*, миграция 0011).
|
||||
// Проверяют ПРАВИЛЬНОЕ поведение: красный тест = открытый дефект.
|
||||
/* eslint-disable @typescript-eslint/no-unsafe-member-access, @typescript-eslint/no-unsafe-assignment, @typescript-eslint/no-unsafe-call */
|
||||
import { createHash } from 'node:crypto';
|
||||
import { describe, expect, it } from 'vitest';
|
||||
import { api, ctx, dbQuery, describeResponse } from './harness/client.js';
|
||||
import { randomUlid, synthetic } from './harness/context.js';
|
||||
import { createOrgUnits, daysAgo, importEmployees, isoDate } from './harness/fixtures.js';
|
||||
|
||||
interface Device {
|
||||
id: string;
|
||||
token: string;
|
||||
}
|
||||
|
||||
async function registerDevice(orgUnitId?: string): Promise<Device> {
|
||||
const response = await api('POST', '/sync/devices', {
|
||||
token: ctx().managerToken,
|
||||
body: {
|
||||
device_code: `E2E-${randomUlid().slice(-10)}`,
|
||||
name: synthetic('Терминал'),
|
||||
...(orgUnitId ? { org_unit_id: orgUnitId } : {}),
|
||||
},
|
||||
});
|
||||
expect(response.status, describeResponse(response)).toBe(201);
|
||||
return { id: response.body.device.id as string, token: response.body.token as string };
|
||||
}
|
||||
|
||||
function command(commandType: string, payload: Record<string, unknown>) {
|
||||
return {
|
||||
command_type: commandType,
|
||||
schema_version: 1,
|
||||
idempotency_key: `e2e-${randomUlid()}`,
|
||||
correlation_id: randomUlid(),
|
||||
created_at: new Date().toISOString(),
|
||||
payload,
|
||||
};
|
||||
}
|
||||
|
||||
async function push(device: Device, commands: unknown[]) {
|
||||
return api('POST', '/sync/push', { token: device.token, body: { commands } });
|
||||
}
|
||||
|
||||
async function pullAll(device: Device, cursor: string | null = null) {
|
||||
const changes: Array<{ entity_type: string; entity_id: string }> = [];
|
||||
let next: string | null = cursor;
|
||||
for (let page = 0; page < 50; page += 1) {
|
||||
const response = await api('POST', '/sync/pull', {
|
||||
token: device.token,
|
||||
body: { cursor: next, limit: 100 },
|
||||
});
|
||||
expect(response.status, describeResponse(response)).toBe(200);
|
||||
changes.push(...(response.body.changes as Array<{ entity_type: string; entity_id: string }>));
|
||||
next = response.body.next_cursor as string;
|
||||
if (!response.body.has_more) break;
|
||||
}
|
||||
return { changes, cursor: next };
|
||||
}
|
||||
|
||||
describe('Офлайн-синхронизация на реальной PostgreSQL', () => {
|
||||
it('[K13/SYNC-A] устройство не может само подтвердить смену (status=confirmed отклоняется)', async () => {
|
||||
const [unit] = await createOrgUnits(1);
|
||||
const [employee] = await importEmployees(1);
|
||||
const device = await registerDevice(unit!.id);
|
||||
const sessionId = randomUlid();
|
||||
const response = await push(device, [
|
||||
command('upsert_work_session', {
|
||||
id: sessionId,
|
||||
employee_id: employee!.id,
|
||||
org_unit_id: unit!.id,
|
||||
business_date: isoDate(daysAgo(1)),
|
||||
worked_minutes: 600,
|
||||
status: 'confirmed',
|
||||
}),
|
||||
]);
|
||||
const stored = await dbQuery<{ status: string }>(
|
||||
'SELECT status FROM staff_work_sessions WHERE id = $1',
|
||||
[sessionId],
|
||||
);
|
||||
expect(
|
||||
{
|
||||
http: response.status,
|
||||
result: response.body?.results?.[0]?.status,
|
||||
stored: stored[0]?.status ?? null,
|
||||
},
|
||||
describeResponse(response),
|
||||
).toEqual({ http: 200, result: 'rejected', stored: null });
|
||||
});
|
||||
|
||||
it('[K13/SYNC-B] устройство не может утвердить табель (status=approved отклоняется)', async () => {
|
||||
const [employee] = await importEmployees(1);
|
||||
const device = await registerDevice();
|
||||
const entryId = randomUlid();
|
||||
const response = await push(device, [
|
||||
command('upsert_timesheet_entry', {
|
||||
id: entryId,
|
||||
employee_id: employee!.id,
|
||||
work_date: isoDate(daysAgo(1)),
|
||||
minutes_worked: 600,
|
||||
status: 'approved',
|
||||
}),
|
||||
]);
|
||||
const stored = await dbQuery<{ status: string }>(
|
||||
'SELECT status FROM staff_timesheet_entries WHERE id = $1',
|
||||
[entryId],
|
||||
);
|
||||
expect(
|
||||
{ result: response.body?.results?.[0]?.status, stored: stored[0]?.status ?? null },
|
||||
describeResponse(response),
|
||||
).toEqual({ result: 'rejected', stored: null });
|
||||
});
|
||||
|
||||
it('[SYNC-C0] начальная загрузка (pull без курсора) работает на реальной БД (200)', async () => {
|
||||
await createOrgUnits(1);
|
||||
await importEmployees(1);
|
||||
const device = await registerDevice();
|
||||
const response = await api('POST', '/sync/pull', {
|
||||
token: device.token,
|
||||
body: { cursor: null },
|
||||
});
|
||||
expect(response.status, describeResponse(response)).toBe(200);
|
||||
const types = new Set(
|
||||
(response.body.changes as Array<{ entity_type: string }>).map((c) => c.entity_type),
|
||||
);
|
||||
expect(types.has('employee') && types.has('org_unit')).toBe(true);
|
||||
});
|
||||
|
||||
it('[S5/SYNC-C] начальная загрузка >100 сущностей отдаёт все сущности постранично', async () => {
|
||||
const employees = await importEmployees(120);
|
||||
const device = await registerDevice();
|
||||
const { changes } = await pullAll(device, null);
|
||||
const received = new Set(
|
||||
changes.filter((c) => c.entity_type === 'employee').map((c) => c.entity_id),
|
||||
);
|
||||
const missing = employees.filter((employee) => !received.has(employee.id)).length;
|
||||
expect(missing, `не доставлено сотрудников: ${missing} из ${employees.length}`).toBe(0);
|
||||
});
|
||||
|
||||
it('[S5/SYNC-D] изменения, сделанные через портал, попадают в инкрементальный pull', async () => {
|
||||
const device = await registerDevice();
|
||||
// Курсор берём из /sync/status, чтобы сценарий не зависел от начальной загрузки (SYNC-C0).
|
||||
const status = await api('GET', '/sync/status', { token: device.token });
|
||||
expect(status.status, describeResponse(status)).toBe(200);
|
||||
const cursor = status.body.latest_cursor as string;
|
||||
const [employee] = await importEmployees(1);
|
||||
const patch = await api('PATCH', `/employees/${employee!.id}`, {
|
||||
token: ctx().managerToken,
|
||||
body: { display_name: synthetic('Переименован') },
|
||||
});
|
||||
expect(patch.status, describeResponse(patch)).toBe(200);
|
||||
const { changes } = await pullAll(device, cursor);
|
||||
expect(changes.some((c) => c.entity_type === 'employee' && c.entity_id === employee!.id)).toBe(
|
||||
true,
|
||||
);
|
||||
});
|
||||
|
||||
it('[S4/SYNC-E] отметка уволенного сотрудника через sync отклоняется', async () => {
|
||||
const [employee] = await importEmployees(1);
|
||||
const dismiss = await api('PATCH', `/employees/${employee!.id}`, {
|
||||
token: ctx().managerToken,
|
||||
body: { status: 'dismissed' },
|
||||
});
|
||||
expect(dismiss.status, describeResponse(dismiss)).toBe(200);
|
||||
const device = await registerDevice();
|
||||
const response = await push(device, [
|
||||
command('attendance_event', {
|
||||
employee_id: employee!.id,
|
||||
event_type: 'check_in',
|
||||
occurred_at: daysAgo(0, 0).toISOString(),
|
||||
}),
|
||||
]);
|
||||
expect(response.body?.results?.[0]?.status, describeResponse(response)).toBe('rejected');
|
||||
});
|
||||
|
||||
it('[S4/SYNC-F] отметка через sync сохраняет точку устройства; чужая точка в payload отклоняется', async () => {
|
||||
const [unitA, unitB] = await createOrgUnits(2);
|
||||
const [employee] = await importEmployees(1);
|
||||
const device = await registerDevice(unitA!.id);
|
||||
const own = command('attendance_event', {
|
||||
employee_id: employee!.id,
|
||||
event_type: 'check_in',
|
||||
occurred_at: daysAgo(0, 0).toISOString(),
|
||||
});
|
||||
const foreign = command('attendance_event', {
|
||||
employee_id: employee!.id,
|
||||
event_type: 'check_out',
|
||||
occurred_at: new Date(daysAgo(0, 0).getTime() + 60_000).toISOString(),
|
||||
org_unit_id: unitB!.id,
|
||||
});
|
||||
const response = await push(device, [own, foreign]);
|
||||
expect(response.status, describeResponse(response)).toBe(200);
|
||||
const ownEventId = response.body.results[0]?.result?.event_id as string | undefined;
|
||||
const stored = await dbQuery<{ org_unit_id: string | null }>(
|
||||
'SELECT org_unit_id FROM staff_attendance_events WHERE id = $1',
|
||||
[ownEventId ?? ''],
|
||||
);
|
||||
expect(
|
||||
{
|
||||
ownOrgUnit: stored[0]?.org_unit_id ?? null,
|
||||
foreign: response.body.results[1]?.status,
|
||||
},
|
||||
describeResponse(response),
|
||||
).toEqual({ ownOrgUnit: unitA!.id, foreign: 'rejected' });
|
||||
});
|
||||
|
||||
it('[S3/SYNC-G] битая команда в пакете отклоняется по отдельности, остальные применяются (не 500)', async () => {
|
||||
const [employee] = await importEmployees(1);
|
||||
const device = await registerDevice();
|
||||
const good = command('attendance_event', {
|
||||
employee_id: employee!.id,
|
||||
event_type: 'check_in',
|
||||
occurred_at: daysAgo(0, 0).toISOString(),
|
||||
});
|
||||
const bad = command('attendance_event', {
|
||||
employee_id: employee!.id,
|
||||
event_type: 'check_out',
|
||||
occurred_at: 'e2e-not-a-timestamp',
|
||||
});
|
||||
const response = await push(device, [good, bad]);
|
||||
expect(
|
||||
{
|
||||
http: response.status,
|
||||
statuses: (response.body?.results ?? []).map((r: { status: string }) => r.status),
|
||||
},
|
||||
describeResponse(response),
|
||||
).toEqual({ http: 200, statuses: ['applied', 'rejected'] });
|
||||
});
|
||||
|
||||
it('[S8/SYNC-H] регистрация устройства по cookie с чужим Origin отклоняется (CSRF, 403)', async () => {
|
||||
const login = await api('POST', '/session', { body: { access_token: ctx().managerToken } });
|
||||
const cookie =
|
||||
/(__Host-krona_staff_session=[^;]*)/.exec(login.headers.get('set-cookie') ?? '')?.[1] ?? '';
|
||||
const response = await api('POST', '/sync/devices', {
|
||||
headers: { cookie, origin: 'https://attacker.e2e.invalid' },
|
||||
body: { device_code: `E2E-${randomUlid().slice(-10)}`, name: synthetic('CSRF-терминал') },
|
||||
});
|
||||
expect(response.status, describeResponse(response)).toBe(403);
|
||||
});
|
||||
|
||||
it('[K1/SYNC-I] без настроенных токенов анонимный запрос не регистрирует устройство (401)', async () => {
|
||||
const response = await api('POST', '/sync/devices', {
|
||||
base: 'open',
|
||||
body: {
|
||||
device_code: `E2E-${randomUlid().slice(-10)}`,
|
||||
name: synthetic('Анонимный терминал'),
|
||||
},
|
||||
});
|
||||
expect(response.status, describeResponse(response)).toBe(401);
|
||||
});
|
||||
|
||||
it('[S2/SYNC-J] отметка через sync вне окна времени (2001 год) отклоняется, как в POST /attendance/events', async () => {
|
||||
const [employee] = await importEmployees(1);
|
||||
const device = await registerDevice();
|
||||
const response = await push(device, [
|
||||
command('attendance_event', {
|
||||
employee_id: employee!.id,
|
||||
event_type: 'check_in',
|
||||
occurred_at: '2001-01-01T09:00:00.000Z',
|
||||
}),
|
||||
]);
|
||||
expect(response.body?.results?.[0]?.status, describeResponse(response)).toBe('rejected');
|
||||
});
|
||||
|
||||
it('[SYNC-K] ack курсора из будущего (больше выданного сервером) отклоняется (400)', async () => {
|
||||
const device = await registerDevice();
|
||||
const tenant = ctx().tenantId;
|
||||
const seq = '999999999';
|
||||
const hash = createHash('sha256')
|
||||
.update(`${tenant}:${seq}:krona_staff_sync_cursor_salt_v1`)
|
||||
.digest('hex')
|
||||
.slice(0, 12);
|
||||
const response = await api('POST', '/sync/ack', {
|
||||
token: device.token,
|
||||
body: { cursor: `cur_${seq}_${hash}` },
|
||||
});
|
||||
expect(response.status, describeResponse(response)).toBe(400);
|
||||
});
|
||||
|
||||
it('[SYNC-L] отозванное устройство не может синхронизироваться (403) — позитивный контроль', async () => {
|
||||
const device = await registerDevice();
|
||||
const revoke = await api('POST', `/sync/devices/${device.id}/revoke`, {
|
||||
token: ctx().managerToken,
|
||||
});
|
||||
expect(revoke.status, describeResponse(revoke)).toBe(200);
|
||||
const status = await api('GET', '/sync/status', { token: device.token });
|
||||
expect(status.status).toBe(403);
|
||||
});
|
||||
});
|
||||
|
|
@ -1,270 +0,0 @@
|
|||
// Сценарии решений владельца (ожидаемо КРАСНЫЕ до этапа 4 Codex).
|
||||
// Публичного API для ролей точки/бухгалтера/директора, пакетов зарплаты и согласия
|
||||
// на биометрию пока нет, поэтому тесты написаны против наиболее вероятного контракта,
|
||||
// описанного в tests/e2e/NOTES-FOR-EXECUTORS.md (C1–C3). Если Codex выберет другой
|
||||
// контракт — меняется только этот файл и NOTES, смысл проверок остаётся.
|
||||
/* eslint-disable @typescript-eslint/no-unsafe-member-access, @typescript-eslint/no-unsafe-assignment */
|
||||
import { describe, expect, it } from 'vitest';
|
||||
import { api, ctx, dbQuery, describeResponse } from './harness/client.js';
|
||||
import { synthetic } from './harness/context.js';
|
||||
import {
|
||||
assignHourly,
|
||||
createOrgUnits,
|
||||
daysAgo,
|
||||
importEmployees,
|
||||
isoDate,
|
||||
workedShift,
|
||||
type OrgUnit,
|
||||
} from './harness/fixtures.js';
|
||||
|
||||
type Role = 'point_manager' | 'accountant' | 'director';
|
||||
|
||||
/** C1: главный менеджер выдаёт ключ роли (standalone-аналог Core RBAC). */
|
||||
async function grant(role: Role, orgUnitIds: string[] = []): Promise<string> {
|
||||
const response = await api('POST', '/access-grants', {
|
||||
token: ctx().managerToken,
|
||||
body: { role, org_unit_ids: orgUnitIds, display_name: synthetic(role) },
|
||||
});
|
||||
expect(response.status, `C1 POST /access-grants (${role}): ${describeResponse(response)}`).toBe(
|
||||
201,
|
||||
);
|
||||
return response.body.access_token as string;
|
||||
}
|
||||
|
||||
async function confirm(sessionId: string) {
|
||||
const response = await api('PATCH', `/work-sessions/${sessionId}`, {
|
||||
token: ctx().managerToken,
|
||||
body: { status: 'confirmed' },
|
||||
});
|
||||
expect(response.status, `подтверждение смены (см. N2): ${describeResponse(response)}`).toBe(200);
|
||||
}
|
||||
|
||||
interface World {
|
||||
unitA: OrgUnit;
|
||||
unitB: OrgUnit;
|
||||
employeeId: string;
|
||||
sessionId: string;
|
||||
day: Date;
|
||||
}
|
||||
|
||||
/** Точка A и B, сотрудник точки A со сменой в точке A (по умолчанию подтверждённой; см. N2). */
|
||||
async function world(confirmShift = true): Promise<World> {
|
||||
const [unitA, unitB] = await createOrgUnits(2);
|
||||
const [employee] = await importEmployees(1);
|
||||
await assignHourly(employee!.id, unitA!.id);
|
||||
const day = daysAgo(4);
|
||||
const sessionId = await workedShift(employee!.id, unitA!.id, day, 8);
|
||||
if (confirmShift) await confirm(sessionId);
|
||||
return { unitA: unitA!, unitB: unitB!, employeeId: employee!.id, sessionId, day };
|
||||
}
|
||||
|
||||
function period(day: Date) {
|
||||
const from = new Date(Date.UTC(day.getUTCFullYear(), day.getUTCMonth(), 1));
|
||||
const to = new Date(Date.UTC(day.getUTCFullYear(), day.getUTCMonth() + 1, 0));
|
||||
return { from: isoDate(from), to: isoDate(to) };
|
||||
}
|
||||
|
||||
/** C2: пакет зарплаты точки за месяц. */
|
||||
async function createBatch(token: string, orgUnitId: string, day: Date) {
|
||||
return api('POST', '/payroll/batches', {
|
||||
token,
|
||||
body: { org_unit_id: orgUnitId, ...period(day) },
|
||||
});
|
||||
}
|
||||
|
||||
async function submittedBatch(w: World, accountant: string): Promise<string> {
|
||||
const created = await createBatch(accountant, w.unitA.id, w.day);
|
||||
expect(created.status, `C2 создание пакета: ${describeResponse(created)}`).toBe(201);
|
||||
const batchId = created.body.id as string;
|
||||
const submit = await api('POST', `/payroll/batches/${batchId}/submit`, { token: accountant });
|
||||
expect(submit.status, `C2 отправка пакета: ${describeResponse(submit)}`).toBe(200);
|
||||
return batchId;
|
||||
}
|
||||
|
||||
async function ledgerFor(employeeId: string) {
|
||||
return dbQuery<{ kind: string; amount_minor: string }>(
|
||||
`SELECT kind, amount_minor::text AS amount_minor FROM staff_payroll_ledger WHERE employee_id = $1`,
|
||||
[employeeId],
|
||||
);
|
||||
}
|
||||
|
||||
describe('Решения владельца: роли, пакеты зарплаты, согласие на биометрию', () => {
|
||||
it('[D6/OWN-01] менеджер точки A запускает расчёт для точки B → 403', async () => {
|
||||
const w = await world(false);
|
||||
const managerA = await grant('point_manager', [w.unitA.id]);
|
||||
const batch = await createBatch(managerA, w.unitB.id, w.day);
|
||||
const legacy = await api('POST', '/payroll/calculate', {
|
||||
token: managerA,
|
||||
body: { month: isoDate(w.day).slice(0, 7), org_unit_id: w.unitB.id },
|
||||
});
|
||||
expect({ batch: batch.status, legacy: legacy.status }).toEqual({ batch: 403, legacy: 403 });
|
||||
});
|
||||
|
||||
it('[D6/OWN-02] менеджер точки отправляет пакет на согласование → 403', async () => {
|
||||
const w = await world(false);
|
||||
const managerA = await grant('point_manager', [w.unitA.id]);
|
||||
const created = await createBatch(managerA, w.unitA.id, w.day);
|
||||
expect(
|
||||
created.status,
|
||||
`C2 создание пакета менеджером своей точки: ${describeResponse(created)}`,
|
||||
).toBe(201);
|
||||
const submit = await api('POST', `/payroll/batches/${created.body.id}/submit`, {
|
||||
token: managerA,
|
||||
});
|
||||
expect(submit.status, describeResponse(submit)).toBe(403);
|
||||
});
|
||||
|
||||
it('[OWN-03] бухгалтер отправляет пакет → успех, каждый директор получает ровно одно уведомление', async () => {
|
||||
const accountant = await grant('accountant');
|
||||
const directors = [await grant('director'), await grant('director')];
|
||||
const w = await world();
|
||||
const batchId = await submittedBatch(w, accountant);
|
||||
for (const director of directors) {
|
||||
const inbox = await api('GET', '/notifications', { token: director });
|
||||
expect(inbox.status, `C2 уведомления директора: ${describeResponse(inbox)}`).toBe(200);
|
||||
const aboutBatch = (
|
||||
inbox.body.notifications as Array<{ type: string; subject_id: string }>
|
||||
).filter((n) => n.type === 'payroll.batch.submitted' && n.subject_id === batchId);
|
||||
expect(aboutBatch).toHaveLength(1);
|
||||
}
|
||||
});
|
||||
|
||||
it('[OWN-04] бухгалтер пытается подписать пакет → 403', async () => {
|
||||
const accountant = await grant('accountant');
|
||||
const w = await world();
|
||||
const batchId = await submittedBatch(w, accountant);
|
||||
const sign = await api('POST', `/payroll/batches/${batchId}/sign`, { token: accountant });
|
||||
expect(sign.status, describeResponse(sign)).toBe(403);
|
||||
});
|
||||
|
||||
it('[OWN-05] до подписи директора в ledger нет начислений и выплат', async () => {
|
||||
const accountant = await grant('accountant');
|
||||
const w = await world();
|
||||
await submittedBatch(w, accountant);
|
||||
expect(await ledgerFor(w.employeeId)).toEqual([]);
|
||||
});
|
||||
|
||||
it('[OWN-06] подпись директора → начисления и выплаты в ledger, пакет и смены неизменяемы', async () => {
|
||||
const accountant = await grant('accountant');
|
||||
const director = await grant('director');
|
||||
const w = await world();
|
||||
const batchId = await submittedBatch(w, accountant);
|
||||
const sign = await api('POST', `/payroll/batches/${batchId}/sign`, { token: director });
|
||||
expect(sign.status, describeResponse(sign)).toBe(200);
|
||||
const kinds = new Set((await ledgerFor(w.employeeId)).map((row) => row.kind));
|
||||
const editShift = await api('PATCH', `/work-sessions/${w.sessionId}`, {
|
||||
token: ctx().managerToken,
|
||||
body: {
|
||||
status: 'confirmed',
|
||||
worked_minutes: 1,
|
||||
correction_note: 'E2E попытка правки после подписи',
|
||||
},
|
||||
});
|
||||
const resubmit = await api('POST', `/payroll/batches/${batchId}/submit`, { token: accountant });
|
||||
expect({
|
||||
accrual: kinds.has('accrual'),
|
||||
payout: kinds.has('payout'),
|
||||
editShift: editShift.status,
|
||||
resubmit: resubmit.status,
|
||||
}).toEqual({ accrual: true, payout: true, editShift: 409, resubmit: 409 });
|
||||
});
|
||||
|
||||
it('[K19/OWN-07] смена изменена после отправки → подписать нельзя (409), пакет возвращён бухгалтеру', async () => {
|
||||
const accountant = await grant('accountant');
|
||||
const director = await grant('director');
|
||||
const w = await world();
|
||||
const batchId = await submittedBatch(w, accountant);
|
||||
const edit = await api('PATCH', `/work-sessions/${w.sessionId}`, {
|
||||
token: ctx().managerToken,
|
||||
body: {
|
||||
status: 'confirmed',
|
||||
worked_minutes: 420,
|
||||
correction_note: 'E2E правка после отправки',
|
||||
},
|
||||
});
|
||||
expect(edit.status, describeResponse(edit)).toBe(200);
|
||||
const sign = await api('POST', `/payroll/batches/${batchId}/sign`, { token: director });
|
||||
const batch = await api('GET', `/payroll/batches/${batchId}`, { token: accountant });
|
||||
expect({ sign: sign.status, status: batch.body?.status }).toEqual({
|
||||
sign: 409,
|
||||
status: 'returned',
|
||||
});
|
||||
});
|
||||
|
||||
it('[OWN-08] возврат с комментарием → пакет у бухгалтера, комментарий сохранён', async () => {
|
||||
const accountant = await grant('accountant');
|
||||
const director = await grant('director');
|
||||
const w = await world();
|
||||
const batchId = await submittedBatch(w, accountant);
|
||||
const comment = synthetic('Комментарий директора');
|
||||
const back = await api('POST', `/payroll/batches/${batchId}/return`, {
|
||||
token: director,
|
||||
body: { comment },
|
||||
});
|
||||
expect(back.status, describeResponse(back)).toBe(200);
|
||||
const batch = await api('GET', `/payroll/batches/${batchId}`, { token: accountant });
|
||||
expect({ status: batch.body?.status, comment: batch.body?.return_comment }).toEqual({
|
||||
status: 'returned',
|
||||
comment,
|
||||
});
|
||||
});
|
||||
|
||||
it('[OWN-09] сотрудник точки A отработал смену в точке B → смена попадает в зарплату точки B', async () => {
|
||||
const accountant = await grant('accountant');
|
||||
const [unitA, unitB] = await createOrgUnits(2);
|
||||
const [employee] = await importEmployees(1);
|
||||
await assignHourly(employee!.id, unitA!.id);
|
||||
const day = daysAgo(5);
|
||||
const sessionId = await workedShift(employee!.id, unitB!.id, day, 6);
|
||||
await confirm(sessionId);
|
||||
const batchB = await createBatch(accountant, unitB!.id, day);
|
||||
const batchA = await createBatch(accountant, unitA!.id, day);
|
||||
expect(batchB.status, describeResponse(batchB)).toBe(201);
|
||||
const sessionsOf = (batch: typeof batchB) =>
|
||||
((batch.body?.lines ?? []) as Array<{ work_session_id: string }>).map(
|
||||
(l) => l.work_session_id,
|
||||
);
|
||||
expect({
|
||||
inB: sessionsOf(batchB).includes(sessionId),
|
||||
inA: sessionsOf(batchA).includes(sessionId),
|
||||
}).toEqual({
|
||||
inB: true,
|
||||
inA: false,
|
||||
});
|
||||
});
|
||||
|
||||
it('[K17/OWN-10] сотрудник без согласия на биометрию → сервер сообщает терминалу «регистрация запрещена»', async () => {
|
||||
const [employee] = await importEmployees(1);
|
||||
const response = await api('GET', `/terminal/employees/${employee!.id}/enrollment`, {
|
||||
token: ctx().terminalToken,
|
||||
});
|
||||
expect(response.status, `C3: ${describeResponse(response)}`).toBe(200);
|
||||
expect(response.body).toMatchObject({ registration_allowed: false, reason: 'consent_missing' });
|
||||
});
|
||||
|
||||
it('[K17/OWN-11] согласие отозвано → статус для терминала меняется', async () => {
|
||||
const [employee] = await importEmployees(1);
|
||||
const setConsent = (status: 'granted' | 'revoked') =>
|
||||
api('PUT', `/employees/${employee!.id}/biometric-consent`, {
|
||||
token: ctx().managerToken,
|
||||
body: { status, document_ref: synthetic('согласие') },
|
||||
});
|
||||
const enrollment = () =>
|
||||
api('GET', `/terminal/employees/${employee!.id}/enrollment`, { token: ctx().terminalToken });
|
||||
const granted = await setConsent('granted');
|
||||
expect(granted.status, `C3 PUT biometric-consent: ${describeResponse(granted)}`).toBe(200);
|
||||
const before = await enrollment();
|
||||
const revoked = await setConsent('revoked');
|
||||
expect(revoked.status, describeResponse(revoked)).toBe(200);
|
||||
const after = await enrollment();
|
||||
expect({
|
||||
before: before.body?.registration_allowed,
|
||||
after: after.body?.registration_allowed,
|
||||
reason: after.body?.reason,
|
||||
}).toEqual({
|
||||
before: true,
|
||||
after: false,
|
||||
reason: 'consent_revoked',
|
||||
});
|
||||
});
|
||||
});
|
||||
|
|
@ -1,56 +0,0 @@
|
|||
// Статическая проверка deploy/pilot/compose.yaml (аналог tests/unit/deployment.test.ts
|
||||
// для корневого compose.yaml). Лежит в tests/e2e, а не в tests/unit: у исполнителя
|
||||
// теста нет права менять tests/unit, а красные пункты (открытые дефекты deploy/)
|
||||
// должны идти через known-defects.json, не ломая `npm run check`.
|
||||
import { readFileSync } from 'node:fs';
|
||||
import path from 'node:path';
|
||||
import { describe, expect, it } from 'vitest';
|
||||
import { parse } from 'yaml';
|
||||
|
||||
const composePath = path.resolve(import.meta.dirname, '../../deploy/pilot/compose.yaml');
|
||||
const raw = readFileSync(composePath, 'utf8');
|
||||
const compose = parse(raw) as {
|
||||
services: Record<string, { environment?: Record<string, string | number> | string[] }>;
|
||||
};
|
||||
|
||||
function environmentOf(service: string): Record<string, string> {
|
||||
const env = compose.services[service]?.environment ?? {};
|
||||
if (Array.isArray(env)) {
|
||||
return Object.fromEntries(
|
||||
env.map((entry) => {
|
||||
const index = entry.indexOf('=');
|
||||
return index < 0 ? [entry, ''] : [entry.slice(0, index), entry.slice(index + 1)];
|
||||
}),
|
||||
);
|
||||
}
|
||||
return Object.fromEntries(Object.entries(env).map(([key, value]) => [key, String(value)]));
|
||||
}
|
||||
|
||||
describe('deploy/pilot/compose.yaml', () => {
|
||||
it('[K1/PILOT-1] все подставляемые переменные обязательны: ${VAR:?сообщение}', () => {
|
||||
const interpolations = [...raw.matchAll(/\$\{([^}]*)\}/g)].map((match) => match[1]!);
|
||||
expect(interpolations.length).toBeGreaterThan(0);
|
||||
const optional = interpolations.filter((inner) => !/^[A-Z0-9_]+:\?.+$/.test(inner));
|
||||
expect(optional, 'переменные без :? — пустое значение молча попадёт в контейнер').toEqual([]);
|
||||
});
|
||||
|
||||
it('[K2/PILOT-2] ни один сервис не запускается с NODE_ENV=development', () => {
|
||||
const offenders = Object.keys(compose.services).filter(
|
||||
(service) => environmentOf(service).NODE_ENV === 'development',
|
||||
);
|
||||
expect(offenders).toEqual([]);
|
||||
});
|
||||
|
||||
it('[PILOT-3] у сервиса app нет учётных данных мигратора', () => {
|
||||
const env = environmentOf('app');
|
||||
const keys = Object.keys(env).filter((key) =>
|
||||
['DATABASE_MIGRATION_URL', 'POSTGRES_MIGRATION_PASSWORD', 'POSTGRES_MIGRATION_USER'].includes(
|
||||
key,
|
||||
),
|
||||
);
|
||||
const values = Object.entries(env)
|
||||
.filter(([, value]) => /POSTGRES_MIGRATION_PASSWORD|krona_migrator/.test(value))
|
||||
.map(([key]) => key);
|
||||
expect({ keys, values }).toEqual({ keys: [], values: [] });
|
||||
});
|
||||
});
|
||||
|
|
@ -1,287 +0,0 @@
|
|||
// Недостающие сценарии из аудита владельца (TASK-GROK-2 §3): денежная логика K6–K9,
|
||||
// удаление точки с устройством (S9), утечка ошибок PostgreSQL (A4), дата расчёта (N12-DATE).
|
||||
// Каждый тест проверяет ПРАВИЛЬНОЕ поведение: красный = открытый дефект. Где путь
|
||||
// упирается в K3 (outbox без occurred_at), assert предусловия прямо называет K3.
|
||||
/* eslint-disable @typescript-eslint/no-unsafe-member-access, @typescript-eslint/no-unsafe-assignment */
|
||||
import pg from 'pg';
|
||||
import { describe, expect, it } from 'vitest';
|
||||
import { api, ctx, dbQuery, describeResponse, type ApiResponse } from './harness/client.js';
|
||||
import { randomUlid, synthetic } from './harness/context.js';
|
||||
import {
|
||||
SYNTHETIC_RATE_MINOR,
|
||||
assignHourly,
|
||||
createOrgUnits,
|
||||
daysAgo,
|
||||
importEmployees,
|
||||
isoDate,
|
||||
workedShift,
|
||||
} from './harness/fixtures.js';
|
||||
|
||||
const monthOf = (date: Date) => date.toISOString().slice(0, 7);
|
||||
|
||||
async function ledgerTotal(employeeId: string, kinds = ['accrual', 'adjustment']) {
|
||||
const rows = await dbQuery<{ total: string }>(
|
||||
`SELECT COALESCE(SUM(amount_minor), 0)::text AS total FROM staff_payroll_ledger
|
||||
WHERE employee_id = $1 AND kind = ANY($2::text[])`,
|
||||
[employeeId, kinds],
|
||||
);
|
||||
return BigInt(rows[0]!.total);
|
||||
}
|
||||
|
||||
async function confirmShift(sessionId: string) {
|
||||
const confirm = await api('PATCH', `/work-sessions/${sessionId}`, {
|
||||
token: ctx().managerToken,
|
||||
body: { status: 'confirmed' },
|
||||
});
|
||||
expect(
|
||||
confirm.status,
|
||||
`подтверждение смены (предусловие; падает, пока открыт K3): ${describeResponse(confirm)}`,
|
||||
).toBe(200);
|
||||
}
|
||||
|
||||
/** Расчёт и утверждение (подпись) ведомости точки за месяц дня `day`. */
|
||||
async function calculateAndApprove(unitId: string, day: Date): Promise<string> {
|
||||
const calculate = await api('POST', '/payroll/calculate', {
|
||||
token: ctx().managerToken,
|
||||
body: { month: monthOf(day), org_unit_id: unitId },
|
||||
});
|
||||
expect(calculate.status, `расчёт (предусловие, K3): ${describeResponse(calculate)}`).toBe(200);
|
||||
const runId = (calculate.body.run_id ?? calculate.body.id) as string;
|
||||
const approve = await api('POST', `/payroll/runs/${runId}/approve`, {
|
||||
token: ctx().managerToken,
|
||||
});
|
||||
expect(approve.status, `утверждение (предусловие, K3): ${describeResponse(approve)}`).toBe(200);
|
||||
return runId;
|
||||
}
|
||||
|
||||
async function payRuleId(code: string): Promise<string> {
|
||||
const response = await api('GET', '/pay-rules', { token: ctx().managerToken });
|
||||
expect(response.status, describeResponse(response)).toBe(200);
|
||||
const rule = (response.body.pay_rules as Array<{ id: string; code: string }>).find(
|
||||
(item) => item.code === code,
|
||||
);
|
||||
expect(rule, `правило ${code} должно быть в пресете`).toBeTruthy();
|
||||
return rule!.id;
|
||||
}
|
||||
|
||||
/** Признаки ошибки PostgreSQL в теле ответа клиенту (SQLSTATE, имена отношений/столбцов). */
|
||||
function postgresLeak(response: ApiResponse): string[] {
|
||||
const leaks: string[] = [];
|
||||
const body = (response.body ?? {}) as Record<string, unknown>;
|
||||
if (typeof body.code === 'string' && /^[0-9A-Z]{5}$/.test(body.code)) {
|
||||
leaks.push(`code=${body.code}`);
|
||||
}
|
||||
if (
|
||||
/relation "|column "|violates|constraint|syntax for type|deduced for parameter/i.test(
|
||||
response.text,
|
||||
)
|
||||
) {
|
||||
leaks.push(`text=${response.text.slice(0, 120)}`);
|
||||
}
|
||||
return leaks;
|
||||
}
|
||||
|
||||
describe('Деньги, S9, A4 и даты на реальной PostgreSQL', () => {
|
||||
it('[K6/D5] отклонение смены из подписанной ведомости → 409 или сторно (начисление не остаётся)', async () => {
|
||||
const [unit] = await createOrgUnits(1);
|
||||
const [employee] = await importEmployees(1);
|
||||
await assignHourly(employee!.id, unit!.id);
|
||||
const day = daysAgo(4);
|
||||
const sessionId = await workedShift(employee!.id, unit!.id, day, 8);
|
||||
await confirmShift(sessionId);
|
||||
await calculateAndApprove(unit!.id, day);
|
||||
expect(await ledgerTotal(employee!.id)).toBe(BigInt(8 * SYNTHETIC_RATE_MINOR));
|
||||
|
||||
const reject = await api('PATCH', `/work-sessions/${sessionId}`, {
|
||||
token: ctx().managerToken,
|
||||
body: { status: 'rejected', correction_note: synthetic('отказ после подписи') },
|
||||
});
|
||||
if (reject.status === 409) return; // смена подписанной ведомости неизменяема — верно
|
||||
expect(reject.status, describeResponse(reject)).toBe(200);
|
||||
expect(
|
||||
await ledgerTotal(employee!.id),
|
||||
'после отклонения оплаченной смены должно быть сторно: итог начислений 0',
|
||||
).toBe(0n);
|
||||
});
|
||||
|
||||
it('[K7/D2] повторный импорт книги: итог в реестре равен сумме по книге (две точки в один день)', async () => {
|
||||
const [employee] = await importEmployees(1);
|
||||
const date = isoDate(daysAgo(5));
|
||||
const keyA = `xlsx:payroll:accrual:e2e-${randomUlid()}-unit-a`;
|
||||
const keyB = `xlsx:payroll:accrual:e2e-${randomUlid()}-unit-b`;
|
||||
const entry = (externalKey: string, amount: number) => ({
|
||||
external_key: externalKey,
|
||||
employee_external_ref: employee!.external_ref,
|
||||
business_date: date,
|
||||
kind: 'accrual',
|
||||
amount_minor: amount,
|
||||
});
|
||||
const importBook = (amountA: number, amountB: number) =>
|
||||
api('POST', '/imports/owner-workbook', {
|
||||
token: ctx().managerToken,
|
||||
body: {
|
||||
source_name: synthetic('import-book'),
|
||||
payroll_entries: [entry(keyA, amountA), entry(keyB, amountB)],
|
||||
},
|
||||
});
|
||||
|
||||
const first = await importBook(11_100, 22_200);
|
||||
expect(first.status, describeResponse(first)).toBeLessThan(300);
|
||||
const afterFirst = await ledgerTotal(employee!.id);
|
||||
const second = await importBook(15_500, 22_200);
|
||||
expect(second.status, describeResponse(second)).toBeLessThan(300);
|
||||
const afterSecond = await ledgerTotal(employee!.id);
|
||||
expect({ afterFirst, afterSecond }).toEqual({
|
||||
afterFirst: 33_300n, // 111,00 ₽ + 222,00 ₽ по книге
|
||||
afterSecond: 37_700n, // 155,00 ₽ + 222,00 ₽ после исправления суммы точки A
|
||||
});
|
||||
});
|
||||
|
||||
it('[K8/D1] подписанная ведомость воспроизводится после смены ставки (сумма та же)', async () => {
|
||||
const [unit] = await createOrgUnits(1);
|
||||
const [employee] = await importEmployees(1);
|
||||
await assignHourly(employee!.id, unit!.id);
|
||||
const day = daysAgo(6);
|
||||
const sessionId = await workedShift(employee!.id, unit!.id, day, 8);
|
||||
await confirmShift(sessionId);
|
||||
const runId = await calculateAndApprove(unit!.id, day);
|
||||
const signed = await api('GET', `/payroll/runs/${runId}`, { token: ctx().managerToken });
|
||||
expect(signed.status, describeResponse(signed)).toBe(200);
|
||||
|
||||
// Меняем ставку «задним числом» (то же effective_from) после подписи.
|
||||
const change = await api('PUT', `/employees/${employee!.id}/pay-assignment`, {
|
||||
token: ctx().managerToken,
|
||||
body: {
|
||||
pay_rule_id: await payRuleId('hourly'),
|
||||
org_unit_id: unit!.id,
|
||||
rate_minor: SYNTHETIC_RATE_MINOR * 3,
|
||||
effective_from: '2026-01-01',
|
||||
},
|
||||
});
|
||||
expect(change.status, describeResponse(change)).toBe(200);
|
||||
|
||||
// Предполагаемый контракт C4 (NOTES-FOR-EXECUTORS): пересчёт подписанной ведомости
|
||||
// для проверки по снимку правил и ставок на момент подписи.
|
||||
const verify = await api('GET', `/payroll/runs/${runId}/verify`, {
|
||||
token: ctx().managerToken,
|
||||
});
|
||||
expect(verify.status, `C4 verify: ${describeResponse(verify)}`).toBe(200);
|
||||
expect({
|
||||
matches: verify.body.matches,
|
||||
recalculated: String(verify.body.recalculated_total_minor),
|
||||
}).toEqual({ matches: true, recalculated: String(8 * SYNTHETIC_RATE_MINOR) });
|
||||
});
|
||||
|
||||
it('[K9/D3] официант по пресету получает оплату смены из параметров пресета', async () => {
|
||||
const [unit] = await createOrgUnits(1);
|
||||
const [employee] = await importEmployees(1);
|
||||
const shiftRate = 111_100; // синтетические 1 111,00 ₽ за смену (кратно рублю, см. округление)
|
||||
// Предполагаемый контракт: параметры пресета передаются объектом `params`
|
||||
// (ключи — param_declarations правила).
|
||||
const assign = await api('PUT', `/employees/${employee!.id}/pay-assignment`, {
|
||||
token: ctx().managerToken,
|
||||
body: {
|
||||
pay_rule_id: await payRuleId('waiter_upsell'),
|
||||
org_unit_id: unit!.id,
|
||||
effective_from: '2026-01-01',
|
||||
params: {
|
||||
shift_rate_minor: shiftRate,
|
||||
percent_bp: 0,
|
||||
upsell_rate_minor: 0,
|
||||
avg_check_target_minor: 99_999_999,
|
||||
avg_check_bonus_minor: 0,
|
||||
},
|
||||
},
|
||||
});
|
||||
expect(assign.status, describeResponse(assign)).toBe(200);
|
||||
const saved = await api('GET', `/employees/${employee!.id}/pay-assignment`, {
|
||||
token: ctx().managerToken,
|
||||
});
|
||||
expect(
|
||||
saved.body.params?.shift_rate_minor,
|
||||
`параметр пресета должен сохраниться: ${describeResponse(saved)}`,
|
||||
).toBe(shiftRate);
|
||||
|
||||
const day = daysAgo(7);
|
||||
const sessionId = await workedShift(employee!.id, unit!.id, day, 8);
|
||||
await confirmShift(sessionId);
|
||||
await calculateAndApprove(unit!.id, day);
|
||||
expect(await ledgerTotal(employee!.id)).toBe(BigInt(shiftRate));
|
||||
});
|
||||
|
||||
it('[S9] удаление точки с привязанным устройством: удалена или понятный отказ, не 23502', async () => {
|
||||
const [unit] = await createOrgUnits(1);
|
||||
const device = await api('POST', '/sync/devices', {
|
||||
token: ctx().managerToken,
|
||||
body: {
|
||||
device_code: `E2E-${randomUlid().slice(-10)}`,
|
||||
name: synthetic('Терминал S9'),
|
||||
org_unit_id: unit!.id,
|
||||
},
|
||||
});
|
||||
expect(device.status, describeResponse(device)).toBe(201);
|
||||
// Публичного API удаления точки нет, поэтому удаляем так же, как аудит владельца:
|
||||
// SQL-запросом владельца схемы (мигратор), в tenant-контексте (FORCE RLS).
|
||||
const migrator = new pg.Client({ connectionString: ctx().migrationDatabaseUrl });
|
||||
await migrator.connect();
|
||||
let outcome = 'deleted';
|
||||
try {
|
||||
await migrator.query('BEGIN');
|
||||
await migrator.query("SELECT set_config('app.tenant_id', $1, true)", [ctx().tenantId]);
|
||||
await migrator.query('DELETE FROM staff_org_units WHERE id = $1', [unit!.id]);
|
||||
await migrator.query('ROLLBACK');
|
||||
} catch (error) {
|
||||
outcome = `${(error as { code?: string }).code} ${(error as Error).message}`;
|
||||
await migrator.query('ROLLBACK').catch(() => undefined);
|
||||
} finally {
|
||||
await migrator.end();
|
||||
}
|
||||
// Верно: удалено, либо отказ внешнего ключа 23503 (понятный запрет).
|
||||
expect(outcome, 'удаление точки с устройством').toMatch(/^(deleted|23503 )/);
|
||||
});
|
||||
|
||||
it('[A4] ответы 500 не содержат кода и текста ошибки PostgreSQL', async () => {
|
||||
const [unit] = await createOrgUnits(1);
|
||||
const probes: Array<[string, ApiResponse]> = [
|
||||
[
|
||||
'POST /employees',
|
||||
await api('POST', '/employees', {
|
||||
token: ctx().managerToken,
|
||||
body: {
|
||||
personnel_number: `E2E-${randomUlid().slice(-8)}`,
|
||||
display_name: synthetic('Сотрудник'),
|
||||
position: 'E2E-должность',
|
||||
},
|
||||
}),
|
||||
],
|
||||
[
|
||||
'POST /payroll/calculate month=2026-13',
|
||||
await api('POST', '/payroll/calculate', {
|
||||
token: ctx().managerToken,
|
||||
body: { month: '2026-13', org_unit_id: unit!.id },
|
||||
}),
|
||||
],
|
||||
];
|
||||
const leaks = probes
|
||||
.filter(([, response]) => response.status >= 500)
|
||||
.map(([name, response]) => ({ name, leaks: postgresLeak(response) }))
|
||||
.filter((item) => item.leaks.length > 0);
|
||||
expect(leaks, 'тела 500 с деталями PostgreSQL').toEqual([]);
|
||||
});
|
||||
|
||||
it('[N12-DATE] расчёт с несуществующей датой (month=2026-13, 2026-02-30) → 400', async () => {
|
||||
const [unit] = await createOrgUnits(1);
|
||||
const month = await api('POST', '/payroll/calculate', {
|
||||
token: ctx().managerToken,
|
||||
body: { month: '2026-13', org_unit_id: unit!.id },
|
||||
});
|
||||
const range = await api('POST', '/payroll/calculate', {
|
||||
token: ctx().managerToken,
|
||||
body: { from: '2026-02-01', to: '2026-02-30', org_unit_id: unit!.id },
|
||||
});
|
||||
expect(
|
||||
{ month: month.status, range: range.status },
|
||||
`${describeResponse(month)} | ${describeResponse(range)}`,
|
||||
).toEqual({ month: 400, range: 400 });
|
||||
});
|
||||
});
|
||||
|
|
@ -1,584 +0,0 @@
|
|||
// PILOT-REHOME (TASK-GROK-3 п.5): приёмочный сценарий для будущего scripts/rehome-tenant.mjs
|
||||
// (TASK-CODEX-2 п.2.2) — перенос данных пилота с заглушки арендатора на настоящий tenant.
|
||||
// Предполагаемый контракт (NOTES-FOR-EXECUTORS.md, C6):
|
||||
// DATABASE_ADMIN_URL=<админ БД> node scripts/rehome-tenant.mjs --from <ulid> --to <ulid> [--dry-run] [--json]
|
||||
// --json печатает (последней строкой) {"tables":{"<таблица>":<строк>},"ledger_amount_minor_sum":<число>}.
|
||||
// Таблицы берутся из information_schema.columns (column_name = 'tenant_id'), а не списком вручную:
|
||||
// новая таблица без сида делает красным [PILOT-REHOME-SEED], чтобы перенос не забыл её.
|
||||
import { spawnSync } from 'node:child_process';
|
||||
import { createHash, randomBytes } from 'node:crypto';
|
||||
import { existsSync } from 'node:fs';
|
||||
import path from 'node:path';
|
||||
import pg from 'pg';
|
||||
import { describe, expect, it } from 'vitest';
|
||||
import { ctx, dbQueryAs } from './harness/client.js';
|
||||
import { randomUlid } from './harness/context.js';
|
||||
import { baseEnv } from '../../scripts/test/node-commands.mjs';
|
||||
|
||||
const repoRoot = path.resolve(import.meta.dirname, '../..');
|
||||
const scriptPath = path.join(repoRoot, 'scripts/rehome-tenant.mjs');
|
||||
const STUB = '01J00000000000000000000000';
|
||||
const TARGET = '01M2R6AC5652NPT3MG34DKN4ZP';
|
||||
const FOREIGN = randomUlid();
|
||||
|
||||
type RehomeReport = { tables?: Record<string, number>; ledger_amount_minor_sum?: number | string };
|
||||
type Snapshot = { counts: Record<string, number>; ledgerSum: string };
|
||||
|
||||
async function withMigrator<T>(
|
||||
tenant: string,
|
||||
fn: (client: pg.Client) => Promise<T>,
|
||||
userId?: string,
|
||||
connectionString = ctx().migrationDatabaseUrl,
|
||||
): Promise<T> {
|
||||
const client = new pg.Client({ connectionString });
|
||||
await client.connect();
|
||||
try {
|
||||
await client.query('BEGIN');
|
||||
await client.query("SELECT set_config('app.tenant_id', $1, true)", [tenant]);
|
||||
// Политики INSERT журнала аудита, начислений, отметок и табеля требуют app.user_id = автор.
|
||||
if (userId) await client.query("SELECT set_config('app.user_id', $1, true)", [userId]);
|
||||
const result = await fn(client);
|
||||
await client.query('COMMIT');
|
||||
return result;
|
||||
} catch (error) {
|
||||
await client.query('ROLLBACK').catch(() => undefined);
|
||||
throw error;
|
||||
} finally {
|
||||
await client.end();
|
||||
}
|
||||
}
|
||||
|
||||
async function tenantTables(): Promise<string[]> {
|
||||
return withMigrator(STUB, async (client) => {
|
||||
const result = await client.query<{ table_name: string }>(
|
||||
`SELECT DISTINCT c.table_name FROM information_schema.columns c
|
||||
JOIN information_schema.tables t USING (table_schema, table_name)
|
||||
WHERE c.table_schema = 'public' AND c.column_name = 'tenant_id' AND t.table_type = 'BASE TABLE'
|
||||
ORDER BY 1`,
|
||||
);
|
||||
return result.rows.map((row) => row.table_name);
|
||||
});
|
||||
}
|
||||
|
||||
async function snapshot(tenant: string, tables: string[]): Promise<Snapshot> {
|
||||
return withMigrator(tenant, async (client) => {
|
||||
const counts: Record<string, number> = {};
|
||||
for (const table of tables) {
|
||||
const result = await client.query<{ n: number }>(
|
||||
`SELECT count(*)::int AS n FROM ${table} WHERE tenant_id = $1`,
|
||||
[tenant],
|
||||
);
|
||||
counts[table] = result.rows[0]!.n;
|
||||
}
|
||||
const sum = await client.query<{ s: string }>(
|
||||
'SELECT coalesce(sum(amount_minor), 0)::text AS s FROM staff_payroll_ledger WHERE tenant_id = $1',
|
||||
[tenant],
|
||||
);
|
||||
return { counts, ledgerSum: sum.rows[0]!.s };
|
||||
});
|
||||
}
|
||||
|
||||
/**
|
||||
* Удаляет строки арендатора из всех таблиц (дочерние раньше родительских — повторными проходами).
|
||||
* У staff_payroll_ledger нет политики DELETE, поэтому под FORCE RLS мигратор его не очистит:
|
||||
* при наличии админа БД чистит админ, иначе остаток ловит проверка ниже.
|
||||
*/
|
||||
async function purge(tenant: string, tables: string[]) {
|
||||
const connection = ctx().adminDatabaseUrl ?? ctx().migrationDatabaseUrl;
|
||||
await withMigrator(
|
||||
tenant,
|
||||
async (client) => {
|
||||
let pending = [...tables];
|
||||
for (let pass = 0; pass < tables.length && pending.length > 0; pass += 1) {
|
||||
const failed: string[] = [];
|
||||
for (const table of pending) {
|
||||
await client.query('SAVEPOINT purge');
|
||||
try {
|
||||
await client.query(`DELETE FROM ${table} WHERE tenant_id = $1`, [tenant]);
|
||||
await client.query('RELEASE SAVEPOINT purge');
|
||||
} catch {
|
||||
await client.query('ROLLBACK TO SAVEPOINT purge');
|
||||
failed.push(table);
|
||||
}
|
||||
}
|
||||
pending = failed;
|
||||
}
|
||||
if (pending.length) throw new Error(`не удалось очистить ${tenant}: ${pending.join(', ')}`);
|
||||
},
|
||||
undefined,
|
||||
connection,
|
||||
);
|
||||
const left = Object.entries((await snapshot(tenant, tables)).counts).filter(([, n]) => n > 0);
|
||||
if (left.length) {
|
||||
throw new Error(
|
||||
`после очистки у ${tenant} остались строки (нужен админ БД: E2E_DB_ADMIN_URL): ${left.map(([t, n]) => `${t}=${n}`).join(', ')}`,
|
||||
);
|
||||
}
|
||||
}
|
||||
|
||||
const hex64 = () => randomBytes(32).toString('hex');
|
||||
const code = (prefix: string) => `${prefix}_${randomBytes(4).toString('hex')}`;
|
||||
|
||||
/**
|
||||
* Синтетические данные арендатора: по 2+ строки в каждой известной таблице с tenant_id.
|
||||
* Возвращает id сотрудников и список засеянных таблиц. Пишет мигратор (владелец таблиц),
|
||||
* FORCE RLS действует и на него, поэтому app.tenant_id выставлен в транзакции.
|
||||
*/
|
||||
async function seed(tenant: string) {
|
||||
const ids = (n: number) => Array.from({ length: n }, () => randomUlid());
|
||||
const actor = randomUlid();
|
||||
const corr = () => randomUlid();
|
||||
const seeded = new Set<string>();
|
||||
const employees = ids(3);
|
||||
const amounts = [150_000n, 72_300n, -12_300n].map(
|
||||
(base) => base + BigInt(randomBytes(2).readUInt16BE(0)),
|
||||
);
|
||||
await withMigrator(
|
||||
tenant,
|
||||
async (client) => {
|
||||
const q = async (table: string, sql: string, params: unknown[]) => {
|
||||
await client.query(sql, params);
|
||||
seeded.add(table);
|
||||
};
|
||||
const [ou1, ou2] = ids(2);
|
||||
for (const [i, ou] of [ou1, ou2].entries()) {
|
||||
await q(
|
||||
'staff_org_units',
|
||||
'INSERT INTO staff_org_units (id, tenant_id, code, name) VALUES ($1,$2,$3,$4)',
|
||||
[ou, tenant, `rehome-${i}-${randomBytes(3).toString('hex')}`, `Точка ${i + 1}`],
|
||||
);
|
||||
}
|
||||
const professions = ids(2);
|
||||
for (const [i, id] of professions.entries()) {
|
||||
await q(
|
||||
'staff_professions',
|
||||
'INSERT INTO staff_professions (id, tenant_id, code, name) VALUES ($1,$2,$3,$4)',
|
||||
[id, tenant, code('prof'), `Профессия ${i}-${randomBytes(3).toString('hex')}`],
|
||||
);
|
||||
}
|
||||
for (const [i, id] of employees.entries()) {
|
||||
await q(
|
||||
'staff_employees',
|
||||
'INSERT INTO staff_employees (id, tenant_id, personnel_number, display_name, primary_org_unit_id, profession_id) VALUES ($1,$2,$3,$4,$5,$6)',
|
||||
[
|
||||
id,
|
||||
tenant,
|
||||
`R-${randomBytes(4).toString('hex')}`,
|
||||
`Сотрудник ${i + 1}`,
|
||||
i % 2 ? ou2 : ou1,
|
||||
professions[i % 2],
|
||||
],
|
||||
);
|
||||
}
|
||||
const metricKeys = [code('metric'), code('metric')];
|
||||
for (const key of metricKeys) {
|
||||
await q(
|
||||
'staff_metric_definitions',
|
||||
'INSERT INTO staff_metric_definitions (id, tenant_id, key, label) VALUES ($1,$2,$3,$4)',
|
||||
[randomUlid(), tenant, key, `Метрика ${key}`],
|
||||
);
|
||||
}
|
||||
for (const [i, key] of metricKeys.entries()) {
|
||||
await q(
|
||||
'staff_daily_metrics',
|
||||
'INSERT INTO staff_daily_metrics (id, tenant_id, org_unit_id, business_date, metric_key, value, recorded_by) VALUES ($1,$2,$3,$4,$5,$6,$7)',
|
||||
[randomUlid(), tenant, ou1, `2026-09-0${i + 1}`, key, 1000 + i, actor],
|
||||
);
|
||||
}
|
||||
for (const [i, ou] of [ou1, ou2].entries()) {
|
||||
await q(
|
||||
'staff_org_unit_terms',
|
||||
'INSERT INTO staff_org_unit_terms (id, tenant_id, org_unit_id, effective_from, created_by) VALUES ($1,$2,$3,$4,$5)',
|
||||
[randomUlid(), tenant, ou, `2026-0${i + 1}-01`, actor],
|
||||
);
|
||||
}
|
||||
const rules = ids(2);
|
||||
for (const [i, id] of rules.entries()) {
|
||||
await q(
|
||||
'staff_pay_rules',
|
||||
'INSERT INTO staff_pay_rules (id, tenant_id, code, version, name, rule, effective_from, created_by) VALUES ($1,$2,$3,1,$4,$5,$6,$7)',
|
||||
[
|
||||
id,
|
||||
tenant,
|
||||
code('rule'),
|
||||
`Правило ${i}`,
|
||||
JSON.stringify({ kind: 'hourly', rate_minor: 12_300 }),
|
||||
'2026-01-01',
|
||||
actor,
|
||||
],
|
||||
);
|
||||
}
|
||||
for (const [i, emp] of employees.slice(0, 2).entries()) {
|
||||
await q(
|
||||
'staff_pay_assignments',
|
||||
'INSERT INTO staff_pay_assignments (id, tenant_id, employee_id, pay_rule_id, effective_from, created_by) VALUES ($1,$2,$3,$4,$5,$6)',
|
||||
[randomUlid(), tenant, emp, rules[i], '2026-01-01', actor],
|
||||
);
|
||||
}
|
||||
const seedSessionIds: string[] = [];
|
||||
for (const [i, emp] of employees.slice(0, 2).entries()) {
|
||||
await q(
|
||||
'staff_attendance_events',
|
||||
'INSERT INTO staff_attendance_events (id, tenant_id, employee_id, event_type, source, source_event_id, occurred_at, actor_id, correlation_id) VALUES ($1,$2,$3,$4,$5,$6,$7,$8,$9)',
|
||||
[
|
||||
randomUlid(),
|
||||
tenant,
|
||||
emp,
|
||||
i ? 'check_out' : 'check_in',
|
||||
'terminal',
|
||||
`src-${randomBytes(6).toString('hex')}`,
|
||||
'2026-09-01T09:00:00Z',
|
||||
actor,
|
||||
corr(),
|
||||
],
|
||||
);
|
||||
const sid = randomUlid();
|
||||
seedSessionIds.push(sid);
|
||||
await q(
|
||||
'staff_work_sessions',
|
||||
'INSERT INTO staff_work_sessions (id, tenant_id, employee_id, org_unit_id, business_date) VALUES ($1,$2,$3,$4,$5)',
|
||||
[sid, tenant, emp, ou1, '2026-09-01'],
|
||||
);
|
||||
|
||||
await q(
|
||||
'staff_timesheet_entries',
|
||||
'INSERT INTO staff_timesheet_entries (id, tenant_id, employee_id, work_date, updated_by) VALUES ($1,$2,$3,$4,$5)',
|
||||
[randomUlid(), tenant, emp, '2026-09-01', actor],
|
||||
);
|
||||
await q(
|
||||
'staff_work_items',
|
||||
'INSERT INTO staff_work_items (id, tenant_id, employee_id, org_unit_id, business_date, item_kind, created_by) VALUES ($1,$2,$3,$4,$5,$6,$7)',
|
||||
[randomUlid(), tenant, emp, ou1, '2026-09-01', 'rehome_item', actor],
|
||||
);
|
||||
}
|
||||
const runs = ids(2);
|
||||
for (const [i, run] of runs.entries()) {
|
||||
await q(
|
||||
'staff_payroll_runs',
|
||||
'INSERT INTO staff_payroll_runs (id, tenant_id, period_start, period_end, created_by) VALUES ($1,$2,$3,$4,$5)',
|
||||
[run, tenant, `2026-0${i + 7}-01`, `2026-0${i + 7}-28`, actor],
|
||||
);
|
||||
await q(
|
||||
'staff_payroll_lines',
|
||||
'INSERT INTO staff_payroll_lines (id, tenant_id, run_id, employee_id, org_unit_id, business_date, pay_rule_id, rule_code) VALUES ($1,$2,$3,$4,$5,$6,$7,$8)',
|
||||
[randomUlid(), tenant, run, employees[i], ou1, `2026-0${i + 7}-02`, rules[i], 'hourly'],
|
||||
);
|
||||
await q(
|
||||
'staff_payouts',
|
||||
'INSERT INTO staff_payouts (id, tenant_id, employee_id, paid_on, amount_minor, created_by) VALUES ($1,$2,$3,$4,$5,$6)',
|
||||
[randomUlid(), tenant, employees[i], `2026-0${i + 8}-05`, 50_000 + i, actor],
|
||||
);
|
||||
}
|
||||
for (const [i, amount] of amounts.entries()) {
|
||||
await q(
|
||||
'staff_payroll_ledger',
|
||||
'INSERT INTO staff_payroll_ledger (id, tenant_id, employee_id, business_date, kind, amount_minor, ref_type, correlation_id, created_by) VALUES ($1,$2,$3,$4,$5,$6,$7,$8,$9)',
|
||||
[
|
||||
randomUlid(),
|
||||
tenant,
|
||||
employees[i % 2],
|
||||
'2026-09-01',
|
||||
amount < 0n ? 'adjustment' : 'accrual',
|
||||
amount.toString(),
|
||||
'manual',
|
||||
corr(),
|
||||
actor,
|
||||
],
|
||||
);
|
||||
}
|
||||
const outbox = ids(2);
|
||||
for (const id of outbox) {
|
||||
await q(
|
||||
'staff_outbox',
|
||||
'INSERT INTO staff_outbox (id, tenant_id, event_type, event_version, subject_type, subject_id, actor_type, actor_id, payload, correlation_id, occurred_at) VALUES ($1,$2,$3,1,$4,$5,$6,$7,$8,$9,now())',
|
||||
[id, tenant, 'staff.rehome_seed', 'employee', employees[0], 'user', actor, '{}', corr()],
|
||||
);
|
||||
}
|
||||
for (let i = 0; i < 2; i += 1) {
|
||||
await q(
|
||||
'staff_inbox',
|
||||
'INSERT INTO staff_inbox (event_id, tenant_id, event_type, event_version, correlation_id) VALUES ($1,$2,$3,1,$4)',
|
||||
[randomUlid(), tenant, 'core.rehome_seed', corr()],
|
||||
);
|
||||
await q(
|
||||
'staff_idempotency_keys',
|
||||
"INSERT INTO staff_idempotency_keys (tenant_id, key, request_hash, expires_at) VALUES ($1,$2,$3, now() + interval '1 day')",
|
||||
[tenant, `idem-${randomBytes(8).toString('hex')}`, hex64()],
|
||||
);
|
||||
const endpoint = `https://push.example.test/${randomBytes(8).toString('hex')}`;
|
||||
await q(
|
||||
'staff_push_subscriptions',
|
||||
'INSERT INTO staff_push_subscriptions (id, tenant_id, employee_id, endpoint, p256dh, auth) VALUES ($1,$2,$3,$4,$5,$6)',
|
||||
[
|
||||
randomUlid(),
|
||||
tenant,
|
||||
employees[i],
|
||||
endpoint,
|
||||
randomBytes(16).toString('base64url'),
|
||||
randomBytes(8).toString('base64url'),
|
||||
],
|
||||
);
|
||||
await q(
|
||||
'staff_notification_deliveries',
|
||||
'INSERT INTO staff_notification_deliveries (id, tenant_id, employee_id, outbox_id, endpoint) VALUES ($1,$2,$3,$4,$5)',
|
||||
[randomUlid(), tenant, employees[i], outbox[i], endpoint],
|
||||
);
|
||||
await q(
|
||||
'staff_standalone_employee_access',
|
||||
'INSERT INTO staff_standalone_employee_access (id, tenant_id, employee_id, subject_id, token_hash, token_hint, created_by) VALUES ($1,$2,$3,$4,$5,$6,$7)',
|
||||
[
|
||||
randomUlid(),
|
||||
tenant,
|
||||
employees[i],
|
||||
randomUlid(),
|
||||
createHash('sha256').update(randomBytes(32)).digest('hex'),
|
||||
'e2e…',
|
||||
actor,
|
||||
],
|
||||
);
|
||||
await q(
|
||||
'staff_sync_change_log',
|
||||
'INSERT INTO staff_sync_change_log (id, tenant_id, entity_type, entity_id, operation) VALUES ($1,$2,$3,$4,$5)',
|
||||
[randomUlid(), tenant, 'employee', employees[i], 'upsert'],
|
||||
);
|
||||
await q(
|
||||
'staff_audit_log',
|
||||
'INSERT INTO staff_audit_log (id, tenant_id, actor_id, action, entity_type, entity_id, correlation_id) VALUES ($1,$2,$3,$4,$5,$6,$7)',
|
||||
[randomUlid(), tenant, actor, 'employee.seeded', 'employee', employees[i], corr()],
|
||||
);
|
||||
}
|
||||
const devices = ids(2);
|
||||
for (const device of devices) {
|
||||
await q(
|
||||
'staff_sync_devices',
|
||||
'INSERT INTO staff_sync_devices (id, tenant_id, device_code, name, token_hash, token_hint, created_by) VALUES ($1,$2,$3,$4,$5,$6,$7)',
|
||||
[
|
||||
device,
|
||||
tenant,
|
||||
`dev-${randomBytes(4).toString('hex')}`,
|
||||
'Терминал',
|
||||
hex64(),
|
||||
'kstaff…',
|
||||
actor,
|
||||
],
|
||||
);
|
||||
await q(
|
||||
'staff_sync_command_inbox',
|
||||
'INSERT INTO staff_sync_command_inbox (id, tenant_id, device_id, command_type, idempotency_key, correlation_id, status, created_at) VALUES ($1,$2,$3,$4,$5,$6,$7,now())',
|
||||
[
|
||||
randomUlid(),
|
||||
tenant,
|
||||
device,
|
||||
'record_attendance',
|
||||
`idem-${randomBytes(6).toString('hex')}`,
|
||||
corr(),
|
||||
'applied',
|
||||
],
|
||||
);
|
||||
await q(
|
||||
'staff_sync_device_checkpoints',
|
||||
'INSERT INTO staff_sync_device_checkpoints (device_id, tenant_id) VALUES ($1,$2)',
|
||||
[device, tenant],
|
||||
);
|
||||
}
|
||||
for (let i = 0; i < 2; i += 1) {
|
||||
await q(
|
||||
'staff_access_grants',
|
||||
'INSERT INTO staff_access_grants (id, tenant_id, role, display_name, token_hash, token_hint, created_by) VALUES ($1,$2,$3,$4,$5,$6,$7)',
|
||||
[
|
||||
randomUlid(),
|
||||
tenant,
|
||||
i === 0 ? 'accountant' : 'director',
|
||||
`Роль ${i}`,
|
||||
hex64(),
|
||||
'hint…',
|
||||
actor,
|
||||
],
|
||||
);
|
||||
const batchId = randomUlid();
|
||||
await q(
|
||||
'staff_payroll_batches',
|
||||
'INSERT INTO staff_payroll_batches (id, tenant_id, org_unit_id, period_start, period_end, created_by) VALUES ($1,$2,$3,$4,$5,$6)',
|
||||
[batchId, tenant, ou1, `2026-0${i + 4}-01`, `2026-0${i + 4}-28`, actor],
|
||||
);
|
||||
await q(
|
||||
'staff_payroll_batch_lines',
|
||||
'INSERT INTO staff_payroll_batch_lines (id, tenant_id, batch_id, work_session_id, employee_id, org_unit_id, amount_minor) VALUES ($1,$2,$3,$4,$5,$6,$7)',
|
||||
[randomUlid(), tenant, batchId, seedSessionIds[i]!, employees[i]!, ou1, 100_000 + i],
|
||||
);
|
||||
await q(
|
||||
'staff_batch_notifications',
|
||||
'INSERT INTO staff_batch_notifications (id, tenant_id, recipient_role, type, subject_id) VALUES ($1,$2,$3,$4,$5)',
|
||||
[randomUlid(), tenant, 'director', 'payroll.batch.submitted', batchId],
|
||||
);
|
||||
await q(
|
||||
'staff_biometric_consents',
|
||||
'INSERT INTO staff_biometric_consents (tenant_id, employee_id, status, document_ref, updated_by) VALUES ($1,$2,$3,$4,$5)',
|
||||
[tenant, employees[i]!, 'granted', `doc-${i}`, actor],
|
||||
);
|
||||
}
|
||||
},
|
||||
|
||||
actor,
|
||||
);
|
||||
return { employees, seeded };
|
||||
}
|
||||
|
||||
function runRehome(args: string[], adminUrl: string) {
|
||||
const result = spawnSync(
|
||||
process.execPath,
|
||||
[scriptPath, '--from', STUB, '--to', TARGET, ...args],
|
||||
{
|
||||
cwd: repoRoot,
|
||||
env: { ...baseEnv(), DATABASE_ADMIN_URL: adminUrl },
|
||||
encoding: 'utf8',
|
||||
timeout: 120_000,
|
||||
},
|
||||
);
|
||||
const lines = (result.stdout ?? '').trim().split('\n');
|
||||
let report: RehomeReport | null = null;
|
||||
for (const line of [...lines].reverse()) {
|
||||
if (!line.trim().startsWith('{')) continue;
|
||||
try {
|
||||
report = JSON.parse(line) as RehomeReport;
|
||||
break;
|
||||
} catch {
|
||||
// не JSON — ищем дальше
|
||||
}
|
||||
}
|
||||
return {
|
||||
status: result.status,
|
||||
stdout: result.stdout ?? '',
|
||||
stderr: result.stderr ?? '',
|
||||
report,
|
||||
};
|
||||
}
|
||||
|
||||
const state: {
|
||||
tables: string[];
|
||||
employees: string[];
|
||||
before?: { stub: Snapshot; foreign: Snapshot };
|
||||
} = { tables: [], employees: [] };
|
||||
|
||||
describe('PILOT-REHOME: перенос заглушки арендатора на настоящий tenant', () => {
|
||||
it('[PILOT-REHOME-SEED] сиды покрывают все таблицы с tenant_id (список из information_schema)', async () => {
|
||||
state.tables = await tenantTables();
|
||||
expect(state.tables.length).toBeGreaterThan(0);
|
||||
await purge(STUB, state.tables);
|
||||
await purge(TARGET, state.tables);
|
||||
const stub = await seed(STUB);
|
||||
const foreign = await seed(FOREIGN);
|
||||
state.employees = stub.employees;
|
||||
const unseeded = state.tables.filter((table) => !stub.seeded.has(table));
|
||||
expect(
|
||||
unseeded,
|
||||
`таблицы с tenant_id без сида в tests/e2e/60-pilot-rehome.e2e.ts — перенос арендатора их не проверит: ${unseeded.join(', ')}`,
|
||||
).toEqual([]);
|
||||
const stubSnap = await snapshot(STUB, state.tables);
|
||||
const foreignSnap = await snapshot(FOREIGN, state.tables);
|
||||
const empty = state.tables.filter((t) => stubSnap.counts[t]! < 1 || foreignSnap.counts[t]! < 1);
|
||||
expect(empty, `сид не виден через RLS: ${empty.join(', ')}`).toEqual([]);
|
||||
expect(Object.values((await snapshot(TARGET, state.tables)).counts).every((n) => n === 0)).toBe(
|
||||
true,
|
||||
);
|
||||
expect(foreign.seeded.size).toBe(stub.seeded.size);
|
||||
state.before = { stub: stubSnap, foreign: foreignSnap };
|
||||
});
|
||||
|
||||
it('[PILOT-REHOME] --dry-run, перенос админом, сверка, повторный запуск отказывает', async () => {
|
||||
const before = state.before;
|
||||
expect(before, 'сид не выполнен (см. [PILOT-REHOME-SEED])').toBeDefined();
|
||||
if (!existsSync(scriptPath)) {
|
||||
throw new Error(
|
||||
'scripts/rehome-tenant.mjs отсутствует (TASK-CODEX-2 п.2.2): перенос заглушки ' +
|
||||
`${STUB} → ${TARGET} не реализован; контракт сценария — NOTES-FOR-EXECUTORS.md C6. ` +
|
||||
`Засеяно таблиц: ${state.tables.length}, ledger SUM(amount_minor)=${before!.stub.ledgerSum}`,
|
||||
);
|
||||
}
|
||||
const adminUrl = ctx().adminDatabaseUrl;
|
||||
if (!adminUrl) {
|
||||
throw new Error('нет админа БД: задайте E2E_DB_ADMIN_URL или E2E_PG_ADMIN_URL');
|
||||
}
|
||||
const expectedTables = Object.fromEntries(
|
||||
Object.entries(before!.stub.counts).filter(([, n]) => n > 0),
|
||||
);
|
||||
|
||||
// 1. --dry-run: печатает те же числа и ничего не меняет.
|
||||
const dry = runRehome(['--dry-run', '--json'], adminUrl);
|
||||
expect(dry.status, `dry-run exit: ${dry.stderr}`).toBe(0);
|
||||
expect(dry.report, `dry-run без JSON-отчёта: ${dry.stdout}`).not.toBeNull();
|
||||
const dryTables = Object.fromEntries(
|
||||
Object.entries(dry.report!.tables ?? {}).filter(([, n]) => Number(n) > 0),
|
||||
);
|
||||
expect(dryTables).toEqual(expectedTables);
|
||||
expect(String(dry.report!.ledger_amount_minor_sum)).toBe(before!.stub.ledgerSum);
|
||||
expect(await snapshot(STUB, state.tables), '--dry-run изменил данные заглушки').toEqual(
|
||||
before!.stub,
|
||||
);
|
||||
expect(Object.values((await snapshot(TARGET, state.tables)).counts).every((n) => n === 0)).toBe(
|
||||
true,
|
||||
);
|
||||
|
||||
// 2. Перенос ролью администратора БД.
|
||||
const real = runRehome(['--json'], adminUrl);
|
||||
expect(real.status, `перенос exit: ${real.stderr}`).toBe(0);
|
||||
const afterStub = await snapshot(STUB, state.tables);
|
||||
const afterTarget = await snapshot(TARGET, state.tables);
|
||||
const leftovers = state.tables.filter((t) => afterStub.counts[t] !== 0);
|
||||
expect(leftovers, 'под заглушкой остались строки').toEqual([]);
|
||||
for (const table of state.tables) {
|
||||
const expected = before!.stub.counts[table]!;
|
||||
if (table === 'staff_audit_log')
|
||||
expect(
|
||||
afterTarget.counts[table]!,
|
||||
'staff_audit_log: у нового арендатора нет новой записи о переносе',
|
||||
).toBeGreaterThan(expected);
|
||||
else expect(afterTarget.counts[table], table).toBe(expected);
|
||||
}
|
||||
expect(afterTarget.ledgerSum).toBe(before!.stub.ledgerSum);
|
||||
expect(await snapshot(FOREIGN, state.tables), 'посторонний арендатор изменён').toEqual(
|
||||
before!.foreign,
|
||||
);
|
||||
const distinct = await withMigrator(TARGET, async (client) => {
|
||||
const found: string[] = [];
|
||||
for (const table of state.tables) {
|
||||
const r = await client.query<{ tenant_id: string }>(
|
||||
`SELECT DISTINCT tenant_id FROM ${table} WHERE tenant_id IN ($1, $2)`,
|
||||
[STUB, TARGET],
|
||||
);
|
||||
found.push(...r.rows.map((row) => `${table}:${row.tenant_id}`));
|
||||
}
|
||||
return found;
|
||||
});
|
||||
expect(distinct.filter((d) => d.endsWith(STUB))).toEqual([]);
|
||||
|
||||
// 3. Запись аудита у нового арендатора.
|
||||
const audit = await dbQueryAs<{ action: string }>(
|
||||
TARGET,
|
||||
"SELECT action FROM staff_audit_log WHERE tenant_id = $1 AND action ILIKE '%rehome%'",
|
||||
[TARGET],
|
||||
);
|
||||
expect(
|
||||
audit.length,
|
||||
'нет записи staff_audit_log о переносе у нового арендатора',
|
||||
).toBeGreaterThan(0);
|
||||
|
||||
// 4. Роль приложения видит тех же сотрудников под новым tenant и ничего под старым.
|
||||
const underTarget = await dbQueryAs<{ id: string }>(
|
||||
TARGET,
|
||||
'SELECT id FROM staff_employees ORDER BY id',
|
||||
);
|
||||
expect(underTarget.map((row) => row.id)).toEqual([...state.employees].sort());
|
||||
expect(await dbQueryAs(STUB, 'SELECT id FROM staff_employees')).toEqual([]);
|
||||
|
||||
// 5. Журнал начислений по-прежнему append-only для приложения.
|
||||
await expect(
|
||||
dbQueryAs(TARGET, 'UPDATE staff_payroll_ledger SET amount_minor = amount_minor + 1'),
|
||||
).rejects.toThrow(/permission denied|append-only|read-only/i);
|
||||
|
||||
// 6. Повторный запуск отказывает и ничего не меняет.
|
||||
const again = runRehome(['--json'], adminUrl);
|
||||
expect(again.status, 'повторный перенос должен отказать').not.toBe(0);
|
||||
expect(await snapshot(TARGET, state.tables)).toEqual(afterTarget);
|
||||
});
|
||||
});
|
||||
|
|
@ -1,253 +0,0 @@
|
|||
# Заметки для исполнителей (Codex / Antigravity)
|
||||
|
||||
Автор: Grok (стенд тестов и независимая приёмка). Я не меняю `src/`, `apps/`,
|
||||
`migrations/`, `deploy/`; всё, что требует изменения продукта, описано здесь.
|
||||
|
||||
Как запускать:
|
||||
|
||||
```sh
|
||||
# bootstrap-админ PostgreSQL 17 (только создаёт роли и БД; сервер и миграции под ним не работают)
|
||||
export E2E_PG_ADMIN_URL=postgres://<admin>:<pass>@127.0.0.1:55433/postgres
|
||||
node scripts/test/run-e2e.mjs # храповик known-defects (как в CI)
|
||||
node scripts/test/run-e2e.mjs --no-known-defects # строгий режим: все дефекты красные
|
||||
E2E_MIGRATIONS=roundtrip node scripts/test/run-e2e.mjs # + откат всех миграций перед запуском
|
||||
./scripts/test/ci-local.sh # локальный эквивалент verify/format/e2e
|
||||
```
|
||||
|
||||
**Правило храповика.** Исправили дефект → его сценарий позеленел →
|
||||
`run-e2e.mjs` падает с «дефект исправлен, обновите known-defects.json» —
|
||||
удалите ID из `tests/e2e/known-defects.json` в том же коммите. Новый красный
|
||||
сценарий, которого нет в списке, — регрессия.
|
||||
|
||||
## 1. Предполагаемый контракт для решений владельца (OWN-01..11) — Codex, этап 4
|
||||
|
||||
API пока нет, поэтому сценарии `tests/e2e/30-owner-decisions.e2e.ts` написаны
|
||||
против наиболее вероятного контракта. Если выбираете другой — поменяйте тесты и
|
||||
этот раздел в том же PR, смысл проверок (кто что может и когда) менять нельзя.
|
||||
Все пути относительно `/api/v1/staff`.
|
||||
|
||||
### C1. Роли точки/бухгалтера/директора (standalone-аналог Core RBAC)
|
||||
|
||||
- `POST /access-grants` (только главный менеджер, `staff:employee:write`)
|
||||
тело `{ "role": "point_manager" | "accountant" | "director", "org_unit_ids": ["<ULID>"], "display_name": "..." }`
|
||||
→ `201 { "id", "role", "org_unit_ids", "access_token" }`. Токен показывается один раз,
|
||||
хранится как хеш (как ключи сотрудников), используется как `Authorization: Bearer`.
|
||||
- `point_manager` видит/считает только свои `org_unit_ids`; чужая точка → `403`
|
||||
(и для нового `POST /payroll/batches`, и для старого `POST /payroll/calculate`).
|
||||
- В platform-режиме те же роли приходят из Core (User ≠ Employee, AGENTS.md).
|
||||
|
||||
### C2. Пакет зарплаты точки и согласование
|
||||
|
||||
| Метод и путь | Кто | Результат |
|
||||
| ------------------------------------------------- | ------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------ |
|
||||
| `POST /payroll/batches` `{org_unit_id, from, to}` | accountant; point_manager своей точки | `201 {id, status:"draft", org_unit_id, lines:[{work_session_id, employee_id, org_unit_id, amount_minor}]}` |
|
||||
| `POST /payroll/batches/:id/submit` | только accountant | `200 {status:"submitted"}`; point_manager → `403`; повтор после подписи → `409` |
|
||||
| `GET /notifications` | любой пользователь | `200 {notifications:[{type:"payroll.batch.submitted", subject_id:<batchId>}]}`; каждому директору ровно одно уведомление на отправку |
|
||||
| `POST /payroll/batches/:id/sign` | только director | `200 {status:"signed"}`; accountant → `403`; если смена пакета изменилась после отправки → `409`, пакет получает `status:"returned"` |
|
||||
| `POST /payroll/batches/:id/return` `{comment}` | director | `200 {status:"returned", return_comment}` |
|
||||
| `GET /payroll/batches/:id` | accountant, director | `200 {status, return_comment, lines:[...]}` |
|
||||
|
||||
Инварианты, которые проверяют тесты:
|
||||
|
||||
- до подписи в `staff_payroll_ledger` для сотрудников пакета нет ни `accrual`, ни `payout` (OWN-05);
|
||||
- подпись атомарно пишет `accrual` и `payout`; после подписи `PATCH /work-sessions/:id`
|
||||
для смен пакета → `409`, пакет не отправляется повторно (OWN-06);
|
||||
- строка пакета принадлежит точке, где отработана смена (`staff_work_sessions.org_unit_id`),
|
||||
а не основной точке сотрудника (OWN-09).
|
||||
|
||||
### C3. Согласие на биометрию
|
||||
|
||||
- `PUT /employees/:id/biometric-consent` `{ "status": "granted" | "revoked", "document_ref": "..." }`
|
||||
(главный менеджер) → `200`.
|
||||
- `GET /terminal/employees/:id/enrollment` (терминальный токен) →
|
||||
`200 { "employee_id", "registration_allowed": boolean, "reason": "consent_missing" | "consent_revoked" | null }`.
|
||||
Без записи о согласии — `false/consent_missing` (OWN-10); после отзыва — `false/consent_revoked` (OWN-11).
|
||||
- Шаблоны отпечатков на сервер не передаются (docs/TERMINAL-API-REQUIREMENTS.md);
|
||||
сервер хранит только факт согласия. Тот же флаг стоит отдать в `/sync/pull` (employee payload).
|
||||
|
||||
Сейчас все OWN красные с `404 Route ... not found` (C1–C3 не реализованы);
|
||||
OWN-03..09 дополнительно упрутся в K3/N2 (подтверждение смены падает 500).
|
||||
|
||||
ID в названиях тестов — двойные «владелец/мой» (`[K3/N2]`, `[D6/OWN-01]`, `[K17/OWN-10]`,
|
||||
`[K19/OWN-07]`), по таблице TASK-GROK-2 §2 и AUDIT.md.
|
||||
|
||||
### C4. Проверочный пересчёт подписанной ведомости (K8/D1)
|
||||
|
||||
- `GET /payroll/runs/:id/verify` (право `staff:payroll:read`) →
|
||||
`200 { "run_id", "stored_total_minor", "recalculated_total_minor", "matches": boolean }`.
|
||||
- Пересчёт идёт по снимку версий правил, параметров и ставок, действовавших при подписи
|
||||
(и ревизиям смен), а не по текущим значениям. После смены ставки `matches` остаётся `true`.
|
||||
|
||||
### C5. Параметры пресета в назначении оплаты (K9/D3)
|
||||
|
||||
- `PUT /employees/:id/pay-assignment` принимает `params: { <key>: integer }`, ключи — из
|
||||
`param_declarations` выбранного правила (например, `shift_rate_minor`, `percent_bp`,
|
||||
`upsell_rate_minor`, `avg_check_target_minor`, `avg_check_bonus_minor` у `waiter_upsell`);
|
||||
неизвестный ключ → 400. `GET .../pay-assignment` возвращает их в `params`.
|
||||
- Старые поля `rate_minor`/`percent_bp`/`guarantee_minor` можно оставить как сокращения.
|
||||
|
||||
### C6. Перенос арендатора пилота (PILOT-REHOME, TASK-CODEX-2 п.2.2)
|
||||
|
||||
Что проверяет `tests/e2e/60-pilot-rehome.e2e.ts` (`[PILOT-REHOME]`):
|
||||
|
||||
- Запуск: `DATABASE_ADMIN_URL=<админ БД> node scripts/rehome-tenant.mjs --from 01J00000000000000000000000 --to 01M2R6AC5652NPT3MG34DKN4ZP [--dry-run] [--json]`.
|
||||
Стенд передаёт `DATABASE_ADMIN_URL` суперпользователя в БД стенда (`E2E_DB_ADMIN_URL` или
|
||||
`E2E_PG_ADMIN_URL` с именем БД).
|
||||
- `--json`: последней строкой stdout — `{"tables":{"<таблица>":<строк у --from>},"ledger_amount_minor_sum":<число или строка>}`.
|
||||
Таблицы с нулём можно не печатать.
|
||||
- `--dry-run`: exit 0, те же числа, в БД ничего не меняется.
|
||||
- Перенос: exit 0; под `--from` 0 строк во **всех** таблицах с `tenant_id` (список из
|
||||
`information_schema.columns`, не вручную); у `--to` те же счётчики и та же
|
||||
`SUM(amount_minor)` в `staff_payroll_ledger`; другие арендаторы не тронуты.
|
||||
- В `staff_audit_log` у нового арендатора появляется запись с `action`, содержащим `rehome`
|
||||
(например, `tenant.rehomed`, старый tenant — в `new_values`).
|
||||
- После переноса `krona_staff_app` видит тех же сотрудников (те же `id`) под новым tenant и никого
|
||||
под старым; `UPDATE staff_payroll_ledger` ролью приложения по-прежнему отклоняется.
|
||||
- Повторный запуск (под `--from` пусто / у `--to` уже есть данные) — exit ≠ 0, ничего не меняет.
|
||||
|
||||
Что нужно учесть (видно по схеме, `pg_policy`/`pg_constraint` на PG17):
|
||||
|
||||
- У `staff_payroll_ledger` нет политики UPDATE/DELETE, у приложения нет права UPDATE, FORCE RLS
|
||||
действует и на владельца: `krona_migrator` строки журнала не перенесёт. Нужна роль с обходом RLS
|
||||
(суперпользователь/BYPASSRLS) — поэтому `DATABASE_ADMIN_URL`.
|
||||
- Внешние ключи составные `(tenant_id, …)` и не DEFERRABLE: переносить родителя раньше детей
|
||||
нельзя — нужен порядок, отложенные проверки или `session_replication_role = replica` в одной транзакции.
|
||||
- Политики INSERT `staff_audit_log`, `staff_payroll_ledger`, `staff_attendance_events`,
|
||||
`staff_timesheet_entries` требуют `actor_id/created_by/updated_by = current_setting('app.user_id')` —
|
||||
для записи аудита без обхода RLS выставить `app.user_id`.
|
||||
|
||||
## 2. Дефекты продукта, найденные сценариями (все красные сейчас)
|
||||
|
||||
Команда и фактический вывод — `tests/e2e/evidence/e2e-run.txt`; таблица — `tests/e2e/REPORT.md`.
|
||||
|
||||
| ID | Файл | Что исправить |
|
||||
| ---------------------- | --------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| K4/N1 | `src/portal.ts` POST /employees | `42P08 inconsistent types deduced for parameter $2`: явные `$2::varchar(26)`, `$5::text` или отдельный запрос профессии |
|
||||
| K3/N2 | `src/portal.ts` PATCH /work-sessions, `src/domain/payroll/service.ts` calculate/approve | `staff_outbox.occurred_at` NULL (23502): передавать `occurred_at` или `DEFAULT now()` новой миграцией |
|
||||
| K5/N4 | `service.ts` | после N2 проверить: пересекающийся период не должен начислять смену повторно (409 или исключение уже начисленных смен) |
|
||||
| K12/N3 | push-подписки | allowlist push-сервисов / запрет приватных адресов, `redirect:'manual'`; сейчас сервер подключается к `127.0.0.1` |
|
||||
| N9 | `push-dispatcher.ts` | `ON CONFLICT ... DO UPDATE SET employee_id` → 409 для чужого endpoint |
|
||||
| N10 | GET /professions, /org-units | требовать право справочника; терминал сейчас получает 200 |
|
||||
| N11 | импорт | валидировать `kind` и схему `items` → 400 вместо 500 (23514) |
|
||||
| N12 | PUT pay-assignment | `additionalProperties:false`, верхние границы сумм |
|
||||
| N12-DATE | `POST /payroll/calculate` | `month=2026-13` → 500 `22008`; проверять месяц 01–12 → 400 (диапазон `2026-02-30` уже даёт 400) |
|
||||
| K6/D5 | `portal.ts` PATCH /work-sessions | смена подписанной ведомости: `409`, либо сторно в ledger; сейчас (на fix-live-database) 200 и начисление остаётся |
|
||||
| K7/D2 | `operations.ts` импорт `payroll_entries` | дельта по сумме всех записей дня, вставка по ключу: две точки за день → 222,00 вместо 333,00 ₽; считать дельту по ключу |
|
||||
| K8/D1 | расчёт/подпись | снимок правил и ставок в подписанной ведомости; контракт проверки C4 (ниже) |
|
||||
| K9/D3 | PUT pay-assignment | сохранять `params` по `param_declarations` правила (C5 ниже); сейчас `shift_rate_minor` официанта теряется |
|
||||
| S9 | миграция 0011 FK устройств | `ON DELETE SET NULL` на составном `(tenant_id, org_unit_id)` обнуляет `tenant_id` → 23502; `SET NULL (org_unit_id)` или RESTRICT |
|
||||
| A4 | обработчик ошибок | в теле 5xx нет SQLSTATE (`code`) и текста PostgreSQL; подробности только в лог |
|
||||
| K1/F2 | `config.ts`/`identity.ts` | standalone без токенов не должен выдавать права (процесс без токенов отдаёт 200 на /portal, /payroll, POST /professions) |
|
||||
| K10/F3 | POST/DELETE /session | в cookie — идентификатор сессии, а не сырой токен; logout отзывает сессию |
|
||||
| K11/F4 | вход | rate limit (тест ждёт 429 не позже 30 неверных попыток; идёт на отдельном процессе, чтобы лимит не мешал другим сценариям) |
|
||||
| F7 | POST /attendance/events | использовать `Idempotency-Key` / `staff_idempotency_keys` |
|
||||
| F10 | `assertSameOrigin` | мутации по cookie без `Origin` отклонять |
|
||||
| K13/SYNC-A, K13/SYNC-B | `src/domain/sync/service.ts` | устройство не должно выставлять `confirmed`/`approved` (сейчас `applied`) |
|
||||
| SYNC-C0 | `pull()` bootstrap | `SELECT ... status FROM staff_org_units` — такого столбца нет → 500 на любой начальной загрузке |
|
||||
| S5/SYNC-C | `pull()` bootstrap | при `has_more=true` отдаётся `next_cursor=latest`, остаток после 100 сущностей теряется; нужен курсор снимка |
|
||||
| S5/SYNC-D | портал/импорт | изменения вне sync не пишутся в `staff_sync_change_log` → терминал не узнаёт о новых/изменённых сотрудниках |
|
||||
| S4/SYNC-E | `executeCommand` | проверять `status='active'` сотрудника |
|
||||
| S4/SYNC-F | `executeCommand` | сохранять `org_unit_id` в `staff_attendance_events`; payload не может переопределить точку устройства |
|
||||
| S3/SYNC-G | `push()` | ошибки БД одной команды → `rejected` для неё, а не 500 и откат всего пакета |
|
||||
| S8/SYNC-H | `/sync/devices` | `assertCookieMutationOrigin` как в портале |
|
||||
| K1/SYNC-I | `requireManagerContext` | без токенов не выдавать права (как F2) |
|
||||
| S2/SYNC-J | `executeCommand` | окно времени отметки как в POST /attendance/events (−180 дней … +5 мин) |
|
||||
| SYNC-K | `acknowledge()` | отклонять курсор больше `MAX(cursor_seq)` |
|
||||
|
||||
## 3. deploy/ (K1/PILOT-1, K2/PILOT-2) — Codex
|
||||
|
||||
- PILOT-1: все подстановки в `deploy/pilot/compose.yaml` → `${VAR:?VAR is required}`
|
||||
(сейчас 14 без `:?`: пустой `STANDALONE_MANAGER_TOKEN` молча превращает pilot в F2).
|
||||
- PILOT-2: `NODE_ENV: development` в `app`. Конфликт: `config.ts` запрещает
|
||||
`STAFF_RUNTIME_MODE=standalone` при `NODE_ENV=production`. Нужно решение: либо
|
||||
разрешить standalone в production при обязательных токенах и HTTPS, либо
|
||||
отдельный режим для pilot. Тест требует только «не development».
|
||||
- N6: `scripts/create-app-role.mjs` не работает мигратором без SUPERUSER
|
||||
(«Only roles with SUPERUSER may change the SUPERUSER attribute»). CI и e2e
|
||||
обходятся `scripts/test/provision-pg.mjs` (роли создаёт bootstrap-админ, как
|
||||
`docker/postgres/init-app-role.sh`). В pilot мигратор = `POSTGRES_USER` =
|
||||
суперпользователь; рекомендую схему как в provision-pg.mjs.
|
||||
|
||||
## 4. CI
|
||||
|
||||
- Задаче `docker-build` нужен раннер с меткой `docker-host` (Docker daemon).
|
||||
Без него задача ждёт в очереди; остальные задачи не блокируются.
|
||||
- `format` красная, пока не исправлен F14 (23 файла на замер 2026-09-26, в основном `src/`, `docs/`, `tests/unit/`).
|
||||
- `format` станет зелёной после влития `codex/fix-format-baseline` (проверено на ветке).
|
||||
- Задача `windows` выключена, пока нет раннера с меткой `windows`: включается переменной
|
||||
репозитория `KRONA_WINDOWS_RUNNER=true`; для полного e2e нужен секрет
|
||||
`WINDOWS_E2E_PG_ADMIN_URL` (локальная PostgreSQL 17 на раннере).
|
||||
- `tests/e2e/evidence/` не хранится в git; в CI это артефакт `e2e-evidence`.
|
||||
- Реальный Forgejo-раннер мной не запускался (нет API-токена) — не проверено.
|
||||
|
||||
## 5. N13 (гонка первого расчёта) и утечка текста ошибок БД
|
||||
|
||||
- `scripts/test/n13-race.mjs`, вывод `tests/e2e/evidence/n13-race.txt`: 10/25/50
|
||||
параллельных первых `POST /payroll/calculate` × 5 попыток. Как есть — все 500 (N2),
|
||||
гонку не видно. В одноразовой БД с обходом N2 (`DEFAULT now()` только там) — 0 из 30
|
||||
некорректных попыток (без смен и с подтверждённой сменой): один `run_id`, один расчёт в БД.
|
||||
- Почему не воспроизводится (вывод из кода, не проверено отдельным экспериментом):
|
||||
`calculatePayroll` сначала вызывает `ensureDefaultPayRules`, а там
|
||||
`INSERT ... ON CONFLICT DO UPDATE` по одним и тем же строкам `staff_pay_rules` тенанта.
|
||||
Первая транзакция держит блокировки этих строк до коммита, остальные ждут — расчёты
|
||||
одного тенанта выполняются по очереди случайно. Если upsert правил вынесут из расчёта
|
||||
или сделают `DO NOTHING`, окно `SELECT ... FOR UPDATE` (строки нет) → `INSERT ... ON
|
||||
CONFLICT DO NOTHING` со своим `runId` → строки/UPDATE по несуществующему `runId` вернётся.
|
||||
Рекомендация: явный `pg_advisory_xact_lock` по (tenant, org_unit, period_start) или
|
||||
`INSERT ... ON CONFLICT DO UPDATE ... RETURNING id`. Скрипт стоит перезапустить после
|
||||
такого изменения.
|
||||
- Ответы 500 содержат сырой текст ошибки PostgreSQL (например
|
||||
`null value in column "occurred_at" of relation "staff_outbox" ...`) — клиенту видна
|
||||
схема БД. Для 5xx отдавать нейтральное сообщение, подробности — только в лог.
|
||||
|
||||
## 6. Приёмка веток исполнителей (2026-09-26)
|
||||
|
||||
Подробно — `tests/e2e/REPORT.md` и `tests/e2e/report-evidence/acceptance-*.txt`.
|
||||
|
||||
- `codex/fix-live-database` (ea68e12, перепроверено на b289dd6): K3/N2 и K4/N1 зелёные на живой PostgreSQL 17.
|
||||
Дальше по цепочке открылись K5/N4 (196800 вместо 98400 — двойное начисление) и
|
||||
K6/D5 (отклонение оплаченной смены: 200, начисление осталось). A4 частично: `POST /employees`
|
||||
больше не 500, но `month=2026-13` по-прежнему отдаёт `code=22008` с текстом.
|
||||
- `codex/fix-format-baseline` (fd1ec3d): `prettier --check .` чистый. **Но коммит «style»
|
||||
содержит функциональное исправление Antigravity**: `src/domain/sync/service.ts` и
|
||||
`tests/unit/sync.test.ts` после нормализации prettier совпадают с
|
||||
`antigravity/fix-reject-device-shifts` (0 строк diff) и отличаются от 331e490 на 255/139
|
||||
строк. Изменение поведения стоит вынести в отдельный коммит с объяснением или влить
|
||||
ветку Antigravity отдельно, иначе история смешивает темы (AGENTS.md).
|
||||
- `antigravity/fix-reject-device-shifts` (795bba0, перепроверено на 1df2019 — уже на f5ac179):
|
||||
K13/SYNC-A и K13/SYNC-B зелёные, остальное без изменений.
|
||||
- Ни одна ветка не влита в основную (f5ac179), поэтому ID из `known-defects.json` не удалены.
|
||||
- Суммы в тестах кратны рублю: расчёт округляет строку до `rounding_unit_minor`
|
||||
(по умолчанию 100 коп.). Если округление должно быть другим — это решение продукта, не теста.
|
||||
|
||||
## 7. Круг 3 (TASK-GROK-3, 2026-09-26)
|
||||
|
||||
Команды и полный вывод — `tests/e2e/REPORT.md` («Круг 3») и `tests/e2e/report-evidence/round3-*.md`.
|
||||
Приёмка одной командой: `node scripts/test/accept-branch.mjs <ветка>…` (нужен `E2E_PG_ADMIN_URL`
|
||||
или готовые роли в `E2E_MIGRATOR_URL` + `E2E_APP_URL`).
|
||||
|
||||
- **Antigravity, `sync-bootstrap.test.ts` (8baad55)**: `Error: Called end on pool more than once` при
|
||||
`Tests 2 passed`. Причина: `app.close()` в тесте вызывает хук `onClose` → `database.close()`
|
||||
(`src/app.ts:148`), затем `afterAll` закрывает тот же `Database` ещё раз. На текущей голове
|
||||
`24cc18d` файл зелёный (`1 passed (1) | 2 passed (2)`).
|
||||
- **Antigravity, `sync-rejection.test.ts` (1df2019)**: `column "created_by" of relation "staff_employees"
|
||||
does not exist` в `beforeAll` (`Tests 2 skipped`). На `6c5bf36`/`b283736` исправлено.
|
||||
- **Конфликты**: на прежних головах `1df2019 × 8baad55` и `8baad55 × 513cdff` конфликтовали в
|
||||
`src/domain/sync/service.ts`; на текущих головах (fetch 16:16 NOVT) конфликтов нет ни в одной из 55 пар.
|
||||
- **Codex, `codex/fix-format-baseline`**: на `513cdff` в `service.ts`/`sync.test.ts` было 232/130 строк сверх
|
||||
prettier, все есть в `antigravity/fix-reject-device-shifts`; на `a05777c` — только форматирование (19 файлов).
|
||||
- **Codex, `live-postgres-remediation.test.ts`**: выполняется только при `DATABASE_TEST_ISOLATED=true`,
|
||||
`DATABASE_TEST_GUARD_TOKEN`, таблице `krona_staff_test_guard` с этим маркером и имени БД
|
||||
`krona_staff_audit_*`. Соглашение нигде, кроме самого теста, не описано, и ни CI, ни
|
||||
`scripts/test/*` его не выполняют — в `npm run check` файл всегда `skipped`. `accept-branch` ставит
|
||||
предохранитель в одноразовой БД: `1 passed (1)`. Предложение: описать соглашение в README/AGENTS
|
||||
и после слияния включить его в CI (могу сделать в своей зоне, `.forgejo/workflows/ci.yml`).
|
||||
- **N5 до сих пор в основе**: `tenant-isolation.test.ts` красный на `b0243d5` и всех ветках от
|
||||
`f5ac179` (`permission denied for table staff_employees`); исправление — в `grok/e2e-harness`.
|
||||
Локальная сборка основа + fix-live-database + fix-sync-c0-bootstrap + grok/e2e-harness:
|
||||
интеграционные 7/7, храповик просит убрать ровно K3/N2, K4/N1, K13/SYNC-A, K13/SYNC-B, SYNC-C0.
|
||||
- **Схема (низкий приоритет)**: `staff_notification_deliveries.outbox_id → staff_outbox(id)` — единственный
|
||||
внешний ключ без `tenant_id`; все остальные составные `(tenant_id, …)`. База не мешает доставке
|
||||
ссылаться на событие outbox другого арендатора (RLS фильтрует чтение, но не ссылку). Предложение:
|
||||
`UNIQUE (tenant_id, id)` на `staff_outbox` и FK `(tenant_id, outbox_id)`.
|
||||
- **PILOT-REHOME**: скрипта нет → `[PILOT-REHOME]` красный; контракт — C6.
|
||||
|
|
@ -1,371 +0,0 @@
|
|||
# PR: e2e-стенд на реальной PostgreSQL 17 и независимая приёмка (grok/e2e-harness)
|
||||
|
||||
База: `codex/bootstrap-platform-foundation` @ `f5ac179` (содержит `331e490`). Ветка перебазирована
|
||||
без конфликтов. Сравнение:
|
||||
<https://git.ochenstarik.ru/ochenstarik/krona-staff/compare/codex/bootstrap-platform-foundation...grok/e2e-harness>
|
||||
|
||||
Изменены только `tests/e2e/**`, `tests/integration/tenant-isolation.test.ts`,
|
||||
`.forgejo/workflows/ci.yml`, `scripts/test/**` и одна строка в корневом `.gitignore`
|
||||
(`tests/e2e/evidence/`, по требованию TASK-GROK-2 §1). `src/`, `apps/`, `migrations/`,
|
||||
`deploy/`, `package.json` не тронуты. Всё, что требует правки продукта, — в
|
||||
[`NOTES-FOR-EXECUTORS.md`](NOTES-FOR-EXECUTORS.md).
|
||||
|
||||
## Зачем
|
||||
|
||||
156 зелёных тестов на поддельной БД не заметили, что создание сотрудника, подтверждение
|
||||
смены и расчёт зарплаты на реальной PostgreSQL падают всегда. Стенд запускает реальный сервер
|
||||
под ролью приложения без привилегий на реальной PostgreSQL 17, миграции применяет мигратор без
|
||||
SUPERUSER, все токены и пароли случайные (`crypto.randomBytes`). Каждый сценарий проверяет
|
||||
**правильное** поведение: красный = открытый дефект.
|
||||
|
||||
## Что изменилось во втором круге (TASK-GROK-2)
|
||||
|
||||
| Пункт | Что сделано |
|
||||
| ----- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| §1 | Запуск без `.cmd`-обёрток: `scripts/test/node-commands.mjs` — всегда `process.execPath` + JS-точка входа из `require.resolve` (`vitest.mjs`, `prettier.cjs`); сервер — один процесс `node --import tsx src/server.ts` (без дочернего процесса CLI tsx, чтобы `kill()` под Windows не оставлял сироту). Проверка на Linux — `tests/e2e/harness/node-commands.test.ts` (в `npm test`) |
|
||||
| §1 | `tests/e2e/evidence/` убран из git и добавлен в `.gitignore`; в CI — артефакт `e2e-evidence`. Разовые доказательства (N5, N13, приёмка) — в `tests/e2e/report-evidence/`, скрипты туда не пишут |
|
||||
| §1 | Задача `windows` в CI (включается переменной `KRONA_WINDOWS_RUNNER=true`, раннера пока нет) |
|
||||
| §1 | Перебазирование на `f5ac179` — без конфликтов |
|
||||
| §2 | Двойные ID `[владелец/мой]` в названиях тестов и ключах `known-defects.json` |
|
||||
| §3 | Новые сценарии `[K6/D5]`, `[K7/D2]`, `[K8/D1]`, `[K9/D3]`, `[S9]`, `[A4]`, `[N12-DATE]` (`tests/e2e/50-money-and-errors.e2e.ts`), все красные и в `known-defects.json` |
|
||||
| §4 | Приёмка `antigravity/fix-reject-device-shifts`, `codex/fix-format-baseline`, `codex/fix-live-database` — таблицы ниже |
|
||||
| — | Синтетическая ставка 123,45 → 123,00 ₽/ч: расчёт округляет строку до рубля (`rounding_unit_minor`), тест не должен зависеть от округления (выяснилось на fix-live-database) |
|
||||
|
||||
## Круг 3 (TASK-GROK-3)
|
||||
|
||||
Ветка продолжена поверх `ba59a48` без переписывания истории (без rebase на `b0243d5`, без force-push).
|
||||
|
||||
| Пункт | Что сделано |
|
||||
| ----- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| п.1 | `scripts/test/accept-branch.mjs <ветка>…`: worktree на ветку в `../krona-staff-acceptance/` + оверлей текущего стенда (`tests/e2e/**`, `scripts/test/**`), `npm run check` без переменных БД, **каждый** `tests/integration/*.test.ts` отдельно на свежей мигрированной БД PG17 (красный — по строке `Test Files`, ловит ошибки `beforeAll/afterAll`; файл, где всё пропущено, — отдельный вердикт `SKIP`), e2e и разница с основой по ID, попарный `git merge-tree --write-tree` (все ветки между собой и с основой), итог в markdown. Логи — `tests/e2e/evidence/accept/<время>/` (пароли в URL заменены на `***`) |
|
||||
| п.1 | Готовые роли: если заданы `E2E_MIGRATOR_URL` и `E2E_APP_URL`, `global-setup` и `accept-branch` роли не создают и пароли не меняют (БД — из URL, сброс откатом всех миграций). По умолчанию как раньше. `provision-pg.mjs --roles keep` пересоздаёт только БД: `accept-branch` создаёт роли один раз на прогон |
|
||||
| п.1 | Предохранитель изолированной БД для `live-postgres-remediation.test.ts` (Codex): в admin-режиме интеграционная БД одноразовая (`krona_staff_audit_acc_it`), `krona_staff_test_guard` со случайным маркером, `DATABASE_TEST_ISOLATED=true` — без этого файл пропускается целиком |
|
||||
| п.2 | «Форматирование без поведения» (для веток с `format` в имени и `--format-check <ветка>`): версия из merge-base → prettier (конфиг основы, API из `node_modules`) → сравнение с веткой; для лишних строк — сколько из них есть в других переданных ветках |
|
||||
| п.3 | Прогон по всем открытым `codex/*`, `antigravity/*` — ниже |
|
||||
| п.4 | Храповик **не тронут**: `origin/codex/bootstrap-platform-foundation` = `b0243d5` (только docs поверх `f5ac179`); `git merge-base --is-ancestor origin/<ветка> origin/codex/bootstrap-platform-foundation` — `NOT merged` для fix-live-database, fix-reject-device-shifts, fix-sync-c0-bootstrap, fix-format-baseline |
|
||||
| п.5 | `[PILOT-REHOME-SEED]` (зелёный) и `[PILOT-REHOME]` (красный, в `known-defects.json`) — `tests/e2e/60-pilot-rehome.e2e.ts` |
|
||||
| — | `run-e2e.mjs`: проверка секретов в `evidence/` больше не падает `EISDIR` на подкаталоге `accept/` |
|
||||
|
||||
### п.1: ожидания владельца на SHA из задания
|
||||
|
||||
Команда: `node scripts/test/accept-branch.mjs 1df2019 antigravity/fix-sync-c0-bootstrap codex/fix-format-baseline`
|
||||
(16:04 NOVT; `1df2019` передан SHA, потому что ветка Antigravity к этому времени была перезаписана
|
||||
на `6c5bf36`). Полный вывод — [`report-evidence/round3-accept-owner-shas.md`](report-evidence/round3-accept-owner-shas.md).
|
||||
|
||||
| Ожидание владельца | Фактический вывод |
|
||||
| ----------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------ |
|
||||
| sync-rejection.test.ts на 1df2019 FAIL `column "created_by" … does not exist` | `FAIL \| 1 failed (1) \| 2 skipped (2) \| error: column "created_by" of relation "staff_employees" does not exist` |
|
||||
| sync-bootstrap.test.ts на 8baad55 FAIL `Called end on pool more than once` при `Tests 2 passed` | `FAIL \| 1 failed (1) \| 2 passed (2) \| Error: Called end on pool more than once` |
|
||||
| SYNC-C0 зелёный на 8baad55 | e2e «стало зелёным»: `SYNC-C0` |
|
||||
| AG reject + AG c0 — конфликт в src/domain/sync/service.ts | `1df2019 \| origin/antigravity/fix-sync-c0-bootstrap \| КОНФЛИКТ \| src/domain/sync/service.ts` |
|
||||
| Codex format + AG c0 — конфликт | `origin/antigravity/fix-sync-c0-bootstrap \| origin/codex/fix-format-baseline \| КОНФЛИКТ \| src/domain/sync/service.ts` |
|
||||
| Codex format + AG reject — чисто | `1df2019 \| origin/codex/fix-format-baseline \| чисто` |
|
||||
|
||||
Все шесть совпали. На `6c5bf36` (первый прогон по именам веток,
|
||||
[`round3-accept-owner-branches-first.md`](report-evidence/round3-accept-owner-branches-first.md))
|
||||
`sync-rejection.test.ts` уже зелёный (`1 passed (1) | 2 passed (2)`).
|
||||
|
||||
### п.2: форматирование без поведения
|
||||
|
||||
Команда: `node scripts/test/accept-branch.mjs --format-check tmp/prettier-only-f5ac179 --format-check codex/fix-format-baseline`
|
||||
([`round3-format-proof.md`](report-evidence/round3-format-proof.md)).
|
||||
`tmp/prettier-only-f5ac179` (`c552d38`) — локальная синтетическая ветка: `prettier --write .` поверх
|
||||
`f5ac179`, 24 файла; **не запушена**.
|
||||
|
||||
| Ветка | Результат |
|
||||
| ---------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
|
||||
| `tmp/prettier-only-f5ac179` (c552d38) | изменено файлов: 24 — ТОЛЬКО ФОРМАТИРОВАНИЕ |
|
||||
| `codex/fix-format-baseline` (513cdff, прежняя голова) | ЕСТЬ ИЗМЕНЕНИЯ СВЕРХ PRETTIER: `src/domain/sync/service.ts` 232 строки, `tests/unit/sync.test.ts` 130 строк; в `antigravity/fix-reject-device-shifts` есть 232/232 и 130/130 этих строк |
|
||||
| `codex/fix-format-baseline` (a05777c, текущая, 16:09 NOVT) | изменено файлов: 19 — ТОЛЬКО ФОРМАТИРОВАНИЕ |
|
||||
|
||||
### п.3: все открытые ветки
|
||||
|
||||
Команда: `node scripts/test/accept-branch.mjs <все origin/codex/* и origin/antigravity/* кроме основы>`
|
||||
после `git fetch` в 16:16 NOVT, стенд `6f408bc`. Полный вывод (интеграционные тесты по файлам, 55 пар
|
||||
merge-tree) — [`report-evidence/round3-accept-all-open.md`](report-evidence/round3-accept-all-open.md).
|
||||
Основа `b0243d5`: check OK, integration 3/4 (FAIL tenant-isolation), e2e 46 red / 5 green.
|
||||
|
||||
| Ветка | SHA | Влита в основу | check | integration | e2e red/green | Стало зелёным | Стало красным |
|
||||
| ------------------------------------ | ------- | -------------------------- | ----- | --------------------------------------------------------- | ------------- | ------------------------------- | -------------------------------------------------------------------------- |
|
||||
| antigravity/fix-reject-device-shifts | b283736 | нет (+1) | OK | 4/5, FAIL tenant-isolation | 44/7 | K13/SYNC-A, K13/SYNC-B | — |
|
||||
| antigravity/fix-sync-c0-bootstrap | 24cc18d | нет (+3, включает b283736) | OK | 5/6, FAIL tenant-isolation | 43/8 | K13/SYNC-A, K13/SYNC-B, SYNC-C0 | — |
|
||||
| codex/fix-format-baseline | a05777c | нет (+1, от f5ac179) | OK | 3/4, FAIL tenant-isolation | 46/5 | — | — |
|
||||
| codex/fix-live-database | 1573860 | нет (+2, на a05777c) | OK | 4/5, FAIL tenant-isolation (live-postgres-remediation OK) | 44/7 | K3/N2, K4/N1 | — |
|
||||
| antigravity/employee-notifications | 3e20544 | да (предок) | OK | 3/4 | 49/2 | — | HARNESS, PILOT-REHOME-SEED, SYNC-L (старый код: нет таблиц/маршрутов sync) |
|
||||
| antigravity/offline-sync-backend | 5ee7517 | да (предок) | OK | 3/4 | 46/5 | — | — |
|
||||
| codex/finance-calendar-dashboard | c08a7e6 | да (предок) | OK | 4/4 | 48/3 | A4, K4/N1 | CTRL, HARNESS, PILOT-REHOME-SEED, SYNC-L (старый код) |
|
||||
| codex/frontend-library | 331e490 | да (предок) | OK | 3/4 | 46/5 | — | — |
|
||||
| codex/security-finance-production | f74aa6d | да (предок) | OK | 4/4 | 49/2 | — | HARNESS, PILOT-REHOME-SEED, SYNC-L (старый код) |
|
||||
| codex/server-web-production | 2f6b367 | да (предок) | OK | 4/4 | 49/2 | K4/N1 | CTRL, HARNESS, PILOT-REHOME-SEED, SYNC-L (старый код) |
|
||||
|
||||
- `git merge-tree`: **конфликтов нет** ни в одной из 55 пар (Antigravity выстроил цепочку reject → c0,
|
||||
Codex пересобрал format без sync). Шесть веток — предки основы (уже влиты), для них «стало
|
||||
красным» означает только «код старше основы».
|
||||
- `tenant-isolation.test.ts` красный на основе и всех ветках от `f5ac179`
|
||||
(`error: permission denied for table staff_employees`) — это N5, исправление есть в
|
||||
`grok/e2e-harness` (`ba59a48`), в основу ещё не влито.
|
||||
|
||||
### Сборка «как будет после слияния» (локально, не запушено)
|
||||
|
||||
`tmp/combined-round3` = `b0243d5` + merge `codex/fix-live-database` (1573860) + merge
|
||||
`antigravity/fix-sync-c0-bootstrap` (24cc18d) — без конфликтов; `tmp/combined-round3-grok` = то же +
|
||||
merge `grok/e2e-harness`. Вывод — [`round3-combined-merge.md`](report-evidence/round3-combined-merge.md).
|
||||
|
||||
| Сборка | check | integration | e2e red/green | Стало зелёным |
|
||||
| ------------------------------ | -------------------------- | -------------------------- | ------------- | --------------------------------------------- |
|
||||
| combined-round3 (48128c8) | OK (199 passed, 6 skipped) | 6/7, FAIL tenant-isolation | 41/10 | K13/SYNC-A, K13/SYNC-B, K3/N2, K4/N1, SYNC-C0 |
|
||||
| combined-round3-grok (e94415a) | OK (199 passed, 6 skipped) | **7/7** | 41/10 | то же |
|
||||
|
||||
Храповик на `combined-round3-grok`: `[run-e2e] FAIL: K13/SYNC-A, K13/SYNC-B, K3/N2, K4/N1, SYNC-C0 —
|
||||
дефект исправлен, обновите known-defects.json` — ровно список из TASK-GROK-3 п.4. Удалю их отдельным
|
||||
коммитом, когда ветки действительно окажутся в основе.
|
||||
|
||||
### п.5: PILOT-REHOME
|
||||
|
||||
- `[PILOT-REHOME-SEED]` — **зелёный**: 27 таблиц с `tenant_id` из `information_schema.columns`, в каждую
|
||||
2+ строки заглушки `01J00000000000000000000000` и постороннего случайного арендатора (SQL мигратором,
|
||||
`app.tenant_id`/`app.user_id` в транзакции); таблица без сида → красный со списком.
|
||||
- `[PILOT-REHOME]` — **красный** (в `known-defects.json`): `scripts/rehome-tenant.mjs отсутствует
|
||||
(TASK-CODEX-2 п.2.2): … Засеяно таблиц: 27, ledger SUM(amount_minor)=…`.
|
||||
- Сценарий проверен временным эталоном скрипта (не коммитился, удалён): с ним зелёный; мутации
|
||||
«без записи аудита», «без отказа на повтор», «пропущена таблица», «dry-run пишет» — красные
|
||||
([`report-evidence/round3-pilot-rehome.txt`](report-evidence/round3-pilot-rehome.txt)).
|
||||
- Контракт, который проверяет сценарий, — `NOTES-FOR-EXECUTORS.md`, C6.
|
||||
|
||||
## Как запустить
|
||||
|
||||
```sh
|
||||
export E2E_PG_ADMIN_URL=postgres://<admin>:<pw>@127.0.0.1:55433/postgres # только создание ролей и БД
|
||||
E2E_MIGRATIONS=roundtrip node scripts/test/run-e2e.mjs # храповик known-defects (как в CI)
|
||||
node scripts/test/run-e2e.mjs --no-known-defects # строго: любой красный = exit 1
|
||||
./scripts/test/ci-local.sh # локальный эквивалент verify/format/e2e (bash)
|
||||
node scripts/test/accept-branch.mjs <ветка> [<ветка>…] # приёмка веток (worktree, check, integration, e2e, merge-tree)
|
||||
# роли уже есть (общий кластер): E2E_MIGRATOR_URL=… E2E_APP_URL=… — роли и пароли не трогаются
|
||||
```
|
||||
|
||||
## Таблица по ID (основная ветка f5ac179 + этот стенд)
|
||||
|
||||
Команда: `./scripts/test/ci-local.sh` (внутри `E2E_MIGRATIONS=roundtrip node scripts/test/run-e2e.mjs`),
|
||||
2026-09-26 ~16:25 (UTC+7), PostgreSQL 17.11, стенд круга 3:
|
||||
|
||||
```text
|
||||
::: [check] with_db_env npm run check
|
||||
Test Files 20 passed (20)
|
||||
Tests 196 passed (196)
|
||||
::: [format-check] FAIL exit=1 # 23 файла базовой линии основы, ни одного из tests/e2e, scripts/test, .forgejo
|
||||
Test Files 6 failed | 1 passed (7)
|
||||
Tests 46 failed | 10 passed (56)
|
||||
[run-e2e] OK: стенд работает, все красные сценарии — известные открытые дефекты
|
||||
```
|
||||
|
||||
Круг 3 добавил `[PILOT-REHOME-SEED]` (GREEN) и `[PILOT-REHOME]` (RED, `scripts/rehome-tenant.mjs
|
||||
отсутствует (TASK-CODEX-2 п.2.2)`); остальные строки таблицы — без изменений со второго круга.
|
||||
|
||||
| ID владельца / мой | Цвет | Фактический вывод (первая строка assert) |
|
||||
| ---------------------------- | ----- | ------------------------------------------------------------------------------------------------- |
|
||||
| HARNESS (×5), CTRL (×2) | GREEN | 7/7 passed — стенд и позитивные контроли |
|
||||
| K1/F2 | RED | `{ portal: 200, payroll: 200, write: 201 }` вместо 401 |
|
||||
| K1/SYNC-I | RED | анонимная регистрация устройства `HTTP 201` |
|
||||
| K1/PILOT-1 | RED | 14 подстановок без `:?` (первая `STANDALONE_MANAGER_TOKEN`) |
|
||||
| K2/PILOT-2 | RED | `NODE_ENV=development` у сервиса `app` |
|
||||
| K3/N2 | RED | подтверждение смены `HTTP 500 code 23502 null value in column "occurred_at" of "staff_outbox"` |
|
||||
| K4/N1 | RED | `HTTP 500 code 42P08 inconsistent types deduced for parameter $2` |
|
||||
| K5/N4 | RED | блокирован K3 (500 на подтверждении) |
|
||||
| K6/D5 | RED | блокирован K3 (500 на подтверждении) |
|
||||
| K7/D2 | RED | `afterFirst: 22200, afterSecond: 22200` вместо `33300, 37700` |
|
||||
| K8/D1 | RED | блокирован K3 (500 на подтверждении) |
|
||||
| K9/D3 | RED | `params.shift_rate_minor` не сохранён (`HTTP 200`, в `params` нет ключа) |
|
||||
| K10/F3 | RED | `rawTokenInCookie: true` |
|
||||
| K11/F4 | RED | все попытки `401`, 429 нет |
|
||||
| K12/N3 | RED | подписка на `https://127.0.0.1:<port>` `HTTP 201`, 1 входящее соединение |
|
||||
| K13/SYNC-A, K13/SYNC-B | RED | `upsert_work_session` / `upsert_timesheet_entry` → `status: applied` |
|
||||
| K17/OWN-10, K17/OWN-11 | RED | `404 Route GET .../terminal/employees/:id/enrollment` / `PUT .../biometric-consent` (нет API, C3) |
|
||||
| K19/OWN-07 | RED | `404 Route POST /access-grants` (нет API, C1/C2) |
|
||||
| D6/OWN-01, D6/OWN-02 | RED | `404 Route POST /access-grants` (нет API, C1) |
|
||||
| OWN-03..06, OWN-08, OWN-09 | RED | `404 Route POST /access-grants` (нет API, C1/C2) |
|
||||
| S2/SYNC-J | RED | отметка 2001 года → `status: applied` |
|
||||
| S3/SYNC-G | RED | `HTTP 500 code 22007` на весь пакет |
|
||||
| S4/SYNC-E | RED | отметка уволенного → `applied` |
|
||||
| S4/SYNC-F | RED | `{ ownOrgUnit: null, foreign: "applied" }` |
|
||||
| S5/SYNC-C | RED | `HTTP 500 code 42703 column "status" does not exist` (блокирован SYNC-C0) |
|
||||
| S5/SYNC-D | RED | изменение из портала не видно в инкрементальном pull |
|
||||
| S8/SYNC-H | RED | регистрация устройства по cookie с чужим Origin `HTTP 201` |
|
||||
| S9 | RED | удаление точки с устройством: `23502 null value in column "tenant_id"` |
|
||||
| A4 | RED | 2 тела 500 с SQLSTATE/текстом PostgreSQL (`POST /employees` 42P08, `month=2026-13` 22008) |
|
||||
| N9 | RED | чужой push-endpoint перепривязан `HTTP 201` |
|
||||
| N10 | RED | терминал: `{ professions: 200, units: 200 }` |
|
||||
| N11 | RED | импорт с неверным kind `HTTP 500 code 23514` |
|
||||
| N12 | RED | лишнее поле и нереальная сумма → `HTTP 200` |
|
||||
| N12-DATE | RED | `month=2026-13` → `HTTP 500 code 22008`; `2026-02-30` уже 400 |
|
||||
| F7 | RED | повтор Idempotency-Key создал второе событие |
|
||||
| F10 | RED | мутация по cookie без Origin `HTTP 201` |
|
||||
| SYNC-C0 (нет ID у владельца) | RED | bootstrap pull `HTTP 500 code 42703 column "status" does not exist` |
|
||||
| SYNC-K (нет ID у владельца) | RED | ack курсора из будущего `HTTP 200` |
|
||||
| SYNC-L | GREEN | отозванное устройство получает 403 (позитивный контроль) |
|
||||
| PILOT-REHOME-SEED | GREEN | 27 таблиц с `tenant_id` засеяны (заглушка + посторонний арендатор) |
|
||||
| PILOT-REHOME | RED | `scripts/rehome-tenant.mjs отсутствует (TASK-CODEX-2 п.2.2)` |
|
||||
| PILOT-3 | GREEN | у `app` нет учётных данных мигратора |
|
||||
| N5 (tenant-isolation) | GREEN | в `npm run check` с тестовой БД: `Test Files 20 passed (20)`, `Tests 196 passed (196)` |
|
||||
| N13 (скрипт, не vitest) | — | не воспроизведено: 0 из 30 попыток при 10/25/50 (обход K3 в одноразовой БД), см. ниже |
|
||||
|
||||
Сверх таблицы TASK-GROK-2 §2 (по тексту AUDIT.md): K1/SYNC-I (анонимный доступ без токенов на
|
||||
`/sync`), K1/PILOT-1 (подстановки без `:?` названы в K1), K2/PILOT-2 (development в пилоте — суть K2).
|
||||
|
||||
## Приёмка веток исполнителей (TASK-GROK-2 §4)
|
||||
|
||||
Способ: `git worktree add --detach <dir> origin/<ветка>`, поверх — `tests/e2e/` и `scripts/test/`
|
||||
из этой ветки (в ветки исполнителей ничего не коммитилось), затем
|
||||
`E2E_MIGRATIONS=roundtrip E2E_DATABASE_NAME=krona_staff_acc node scripts/test/run-e2e.mjs`.
|
||||
«Было» — основная ветка `f5ac179` с тем же стендом (45 red / 9 green, храповик OK). Полные таблицы —
|
||||
`tests/e2e/report-evidence/acceptance-*.txt`. Ни одна ветка не влита в основную
|
||||
(`git merge-base --is-ancestor` → нет), поэтому `known-defects.json` не сокращён.
|
||||
|
||||
### `codex/fix-live-database` @ ea68e12, перепроверено на b289dd6
|
||||
|
||||
```text
|
||||
== roundtrip OK: rolledBack=11 reapplied=11
|
||||
Tests 41 failed | 13 passed (54)
|
||||
| K13/SYNC-A | GREEN | 1/1 | зелёный — ИСПРАВЛЕН, уберите из known-defects.json |
|
||||
| K13/SYNC-B | GREEN | 1/1 | зелёный — ИСПРАВЛЕН, уберите из known-defects.json |
|
||||
| K3/N2 | GREEN | 1/1 | зелёный — ИСПРАВЛЕН, уберите из known-defects.json |
|
||||
| K4/N1 | GREEN | 1/1 | зелёный — ИСПРАВЛЕН, уберите из known-defects.json |
|
||||
```
|
||||
|
||||
| ID | Было | Стало | Доказательство |
|
||||
| ---------- | ---- | ----- | ------------------------------------------------------------------------------------------------------------ |
|
||||
| K3/N2 | RED | GREEN | было: подтверждение смены `500 23502 occurred_at`; стало: passed (8 ч × 123,00 ₽ = 98400 в ledger) |
|
||||
| K4/N1 | RED | GREEN | было: `500 42P08`; стало: passed (201, сотрудник в БД) |
|
||||
| K13/SYNC-A | RED | GREEN | было: `upsert_work_session → applied`; стало: passed (см. находку по fd1ec3d) |
|
||||
| K13/SYNC-B | RED | GREEN | было: `upsert_timesheet_entry → applied`; стало: passed |
|
||||
| K5/N4 | RED | RED | было: блокирован K3; стало: `смена должна быть начислена ровно один раз: expected 196800n to be 98400n` |
|
||||
| K6/D5 | RED | RED | было: блокирован K3; стало: `после отклонения оплаченной смены должно быть сторно: expected 98400n to be 0n` |
|
||||
| K8/D1 | RED | RED | было: блокирован K3; стало: `C4 verify: HTTP 404 Route GET .../payroll/runs/:id/verify not found` |
|
||||
| A4 | RED | RED | было: 2 утечки; стало: 1 — `POST /payroll/calculate month=2026-13` → `code=22008` |
|
||||
| F14 | RED | GREEN | `prettier --check .` → `All matched files use Prettier code style!` (без оверлея evidence) |
|
||||
|
||||
Ветку обновили force-push во время приёмки (`ea68e12` → `b289dd6`, изменён только
|
||||
`tests/integration/live-postgres-remediation.test.ts`); повторный прогон на `b289dd6` дал те же
|
||||
41 red / 13 green и ту же таблицу.
|
||||
|
||||
Вердикт: K3 и K4 исправлены (подтверждено на живой PostgreSQL 17, миграции roundtrip). После влития
|
||||
убрать `K3/N2`, `K4/N1` из `known-defects.json`. Цепочка расчёта теперь доходит до денежных дефектов:
|
||||
K5 и K6 подтверждены по существу.
|
||||
|
||||
### `codex/fix-format-baseline` @ fd1ec3d
|
||||
|
||||
```text
|
||||
Tests 43 failed | 11 passed (54)
|
||||
| K13/SYNC-A | GREEN | 1/1 | зелёный — ИСПРАВЛЕН, уберите из known-defects.json |
|
||||
| K13/SYNC-B | GREEN | 1/1 | зелёный — ИСПРАВЛЕН, уберите из known-defects.json |
|
||||
$ node node_modules/prettier/bin/prettier.cjs --check .
|
||||
All matched files use Prettier code style!
|
||||
```
|
||||
|
||||
| ID | Было | Стало | Доказательство |
|
||||
| ---------- | -------------- | ----- | ------------------------------------------------- |
|
||||
| F14 | RED (23 файла) | GREEN | `All matched files use Prettier code style!` |
|
||||
| K13/SYNC-A | RED | GREEN | было: `applied`; стало: passed |
|
||||
| K13/SYNC-B | RED | GREEN | было: `applied`; стало: passed |
|
||||
| остальные | без изменений | — | compare по `e2e-results.json`: других отличий нет |
|
||||
|
||||
**Находка:** «style»-коммит `fd1ec3d` содержит функциональное исправление Antigravity.
|
||||
После нормализации prettier `src/domain/sync/service.ts` отличается от `331e490` на 255 строк diff
|
||||
и совпадает с `antigravity/fix-reject-device-shifts` (0 строк); `tests/unit/sync.test.ts` — 139 и 0.
|
||||
Изменение поведения скрыто в коммите форматирования — смешение тем (AGENTS.md).
|
||||
|
||||
### `antigravity/fix-reject-device-shifts` @ 795bba0, перепроверено на 1df2019
|
||||
|
||||
```text
|
||||
Tests 43 failed | 11 passed (54)
|
||||
| K13/SYNC-A | GREEN | 1/1 | зелёный — ИСПРАВЛЕН, уберите из known-defects.json |
|
||||
| K13/SYNC-B | GREEN | 1/1 | зелёный — ИСПРАВЛЕН, уберите из known-defects.json |
|
||||
```
|
||||
|
||||
| ID | Было | Стало | Доказательство |
|
||||
| ---------- | ---- | ----- | ------------------------------------------------------- |
|
||||
| K13/SYNC-A | RED | GREEN | было: `upsert_work_session → applied`; стало: passed |
|
||||
| K13/SYNC-B | RED | GREEN | было: `upsert_timesheet_entry → applied`; стало: passed |
|
||||
| остальные | — | — | других отличий нет |
|
||||
|
||||
Ветку перебазировали на `f5ac179` во время приёмки (`795bba0` → `1df2019`); повторный прогон
|
||||
на `1df2019`: те же 43 red / 11 green, отличия только K13/SYNC-A/B.
|
||||
|
||||
Вердикт: K13 исправлен. Убрать `K13/SYNC-A`,
|
||||
`K13/SYNC-B` отдельным коммитом после влития (и после исправления очистки в
|
||||
`sync-rejection.test.ts`, TASK-GROK-2 §4.1).
|
||||
|
||||
## Windows
|
||||
|
||||
- Запуск стенда переписан без `npx` и `node_modules/.bin` (раньше `spawn('npx')` и
|
||||
`spawn('.../.bin/tsx')` падали на Windows с `ENOENT`). Проверка на Linux:
|
||||
`tests/e2e/harness/node-commands.test.ts` — 8 тестов: команды начинаются с `process.execPath`,
|
||||
без `.cmd`/`.bin`/`npx`, файлы существуют; под `win32` дочерний процесс получает
|
||||
`SystemRoot`/`TEMP`, секреты родителя не наследуются.
|
||||
- **Реальный запуск на Windows 11 — не проверено**: Windows-раннера у git.ochenstarik.ru нет.
|
||||
В CI добавлена задача `windows` (`runs-on: windows`), включаемая переменной
|
||||
`KRONA_WINDOWS_RUNNER=true`; для полного e2e нужен секрет `WINDOWS_E2E_PG_ADMIN_URL`.
|
||||
- `scripts/test/ci-local.sh` — bash, на Windows не предназначен (под Windows запускать
|
||||
`node scripts/test/run-e2e.mjs`).
|
||||
|
||||
## Evidence вне git
|
||||
|
||||
```text
|
||||
$ E2E_MIGRATIONS=roundtrip node scripts/test/run-e2e.mjs # (повторный прогон)
|
||||
[run-e2e] OK: стенд работает, все красные сценарии — известные открытые дефекты
|
||||
$ git status --porcelain
|
||||
# (пусто)
|
||||
```
|
||||
|
||||
## N5 (tenant-isolation)
|
||||
|
||||
До (`778ba2d`, очистка ролью приложения) — [`report-evidence/n5-before.txt`](report-evidence/n5-before.txt):
|
||||
`error: permission denied for table staff_employees`, `exit=1`. После (очистка ролью мигратора с
|
||||
`app.tenant_id`) — [`report-evidence/n5-after.txt`](report-evidence/n5-after.txt): 2 прогона, `exit=0`.
|
||||
На `f5ac179`: `npm run check` с тестовой БД — `Test Files 20 passed (20)`, `Tests 196 passed (196)`.
|
||||
|
||||
## CI (`.forgejo/workflows/ci.yml`)
|
||||
|
||||
- `verify`: `postgres:17-alpine@sha256:…`, роли как в pilot (мигратор NOSUPERUSER, app NOBYPASSRLS),
|
||||
миграции `up → откат всех 11 → up → up`, `npm run check` с тестовой БД, `npm audit`.
|
||||
- `format`: отдельно (F14 красный до влития `codex/fix-format-baseline`).
|
||||
- `e2e`: PostgreSQL 17, `E2E_MIGRATIONS=roundtrip`, храповик; evidence — артефакт `e2e-evidence`
|
||||
(`actions/upload-artifact@ea165f8… # v4.6.2`, Forgejo 9.0.3).
|
||||
- `windows`: выключена без раннера (см. выше). `docker-build`: метка `docker-host`, `needs: verify`, только push.
|
||||
- Все actions закреплены SHA (F13), SHA совпадают на github.com и code.forgejo.org.
|
||||
|
||||
Механизм красных сценариев — храповик `known-defects.json`, а не «allowed to fail»: сломанный стенд,
|
||||
новый красный ID или исправленный, но не вычеркнутый ID делают задачу `e2e` красной.
|
||||
|
||||
Валидация: `actionlint -config-file actionlint.yaml .forgejo/workflows/ci.yml` (1.7.12, метки
|
||||
`docker`, `docker-host`, `windows`) → 0 замечаний. Локально `./scripts/test/ci-local.sh`:
|
||||
|
||||
```text
|
||||
::: [migrate-roundtrip] OK (== roundtrip OK: rolledBack=11 reapplied=11)
|
||||
::: [check] OK (Test Files 20 passed (20), Tests 196 passed (196))
|
||||
::: [audit] OK (found 0 vulnerabilities)
|
||||
::: [format-check] FAIL (Code style issues found in 23 files — F14)
|
||||
::: [e2e] OK (Tests 45 failed | 9 passed (54), храповик OK)
|
||||
```
|
||||
|
||||
## N13 (гонка первого расчёта)
|
||||
|
||||
`node scripts/test/n13-race.mjs` (10/25/50 параллельных первых расчётов × 5 попыток) —
|
||||
[`report-evidence/n13-race.txt`](report-evidence/n13-race.txt): как есть 15/15 → 500 (K3); с обходом K3
|
||||
в одноразовой БД — 0 некорректных из 30 (с подтверждённой сменой и без). Не воспроизведено, как и у
|
||||
владельца; вероятная причина (гипотеза по коду) — upsert `ensureDefaultPayRules` сериализует расчёты
|
||||
тенанта. Прогон до перебазирования, на `778ba2d`.
|
||||
|
||||
## Не проверено
|
||||
|
||||
- Реальный Forgejo-раннер (workflow выполнялся только локальным эквивалентом), `docker build`.
|
||||
- Запуск на Windows 11 (раннера нет); Windows-only: DPAPI, ACL каталога данных, установщик, WinUI,
|
||||
named pipe — см. тесты Codex в `apps/KronaStaffTerminal.Tests`.
|
||||
- OWN-01..11, K8 (C4) и K9 (C5) проверяют предполагаемые контракты из NOTES.
|
||||
- K5/N4, K6/D5, K8/D1 на основной ветке блокированы K3; по существу проверены только на
|
||||
`codex/fix-live-database`.
|
||||
- S9 проверен удалением SQL-запросом мигратора (публичного API удаления точки нет).
|
||||
- Причина невоспроизводимости N13 — гипотеза по коду.
|
||||
- Круг 3: `scripts/rehome-tenant.mjs` не существует — `[PILOT-REHOME]` проверен только временным
|
||||
эталоном; контракт C6 — предположение. `accept-branch` в CI не запускается (разовый инструмент
|
||||
владельца/приёмщика). Режим `E2E_MIGRATOR_URL/E2E_APP_URL` проверен на том же локальном кластере
|
||||
(роли созданы заранее `provision-pg`), на чужом кластере — не проверено.
|
||||
|
|
@ -1,94 +0,0 @@
|
|||
// HTTP-клиент e2e. Тело ответа типизировано как `any` намеренно: тесты проверяют
|
||||
// внешний контракт JSON, а не типы src/. Правила no-unsafe-* отключены только здесь
|
||||
// и в файлах сценариев.
|
||||
/* eslint-disable @typescript-eslint/no-explicit-any, @typescript-eslint/no-unsafe-assignment */
|
||||
import pg from 'pg';
|
||||
import { inject } from 'vitest';
|
||||
import type { E2EContext } from './context.js';
|
||||
|
||||
export interface ApiResponse {
|
||||
status: number;
|
||||
body: any;
|
||||
text: string;
|
||||
headers: Headers;
|
||||
}
|
||||
|
||||
export interface RequestOptions {
|
||||
token?: string | undefined;
|
||||
body?: unknown;
|
||||
headers?: Record<string, string>;
|
||||
base?: 'secured' | 'open' | 'ratelimit';
|
||||
}
|
||||
|
||||
export function ctx(): E2EContext {
|
||||
return inject('e2e');
|
||||
}
|
||||
|
||||
export async function api(
|
||||
method: string,
|
||||
path: string,
|
||||
options: RequestOptions = {},
|
||||
): Promise<ApiResponse> {
|
||||
const context = ctx();
|
||||
const base =
|
||||
options.base === 'open'
|
||||
? context.openBaseUrl
|
||||
: options.base === 'ratelimit'
|
||||
? context.rateLimitBaseUrl
|
||||
: context.baseUrl;
|
||||
const headers: Record<string, string> = { ...(options.headers ?? {}) };
|
||||
if (options.token) headers.authorization = `Bearer ${options.token}`;
|
||||
let payload: string | undefined;
|
||||
if (options.body !== undefined) {
|
||||
headers['content-type'] = 'application/json';
|
||||
payload = JSON.stringify(options.body);
|
||||
}
|
||||
const url = path.startsWith('/api/') || path.startsWith('/staff') ? path : `/api/v1/staff${path}`;
|
||||
const response = await fetch(`${base}${url}`, {
|
||||
method,
|
||||
headers,
|
||||
...(payload === undefined ? {} : { body: payload }),
|
||||
redirect: 'manual',
|
||||
});
|
||||
const text = await response.text();
|
||||
let body: any = null;
|
||||
try {
|
||||
body = text ? JSON.parse(text) : null;
|
||||
} catch {
|
||||
body = null;
|
||||
}
|
||||
return { status: response.status, body, text, headers: response.headers };
|
||||
}
|
||||
|
||||
/** Краткое описание ответа для сообщений assert (без токенов). */
|
||||
export function describeResponse(response: ApiResponse): string {
|
||||
const snippet = response.text.length > 300 ? `${response.text.slice(0, 300)}…` : response.text;
|
||||
return `HTTP ${response.status} ${snippet}`;
|
||||
}
|
||||
|
||||
/** Запрос к БД ролью приложения внутри tenant-транзакции (RLS действует). */
|
||||
export async function dbQuery<T extends pg.QueryResultRow = Record<string, unknown>>(
|
||||
sql: string,
|
||||
params: unknown[] = [],
|
||||
): Promise<T[]> {
|
||||
return dbQueryAs<T>(ctx().tenantId, sql, params);
|
||||
}
|
||||
|
||||
/** Запрос ролью приложения (krona_staff_app) под указанным арендатором (app.tenant_id). */
|
||||
export async function dbQueryAs<T extends pg.QueryResultRow = Record<string, unknown>>(
|
||||
tenantId: string,
|
||||
sql: string,
|
||||
params: unknown[] = [],
|
||||
): Promise<T[]> {
|
||||
const client = new pg.Client({ connectionString: ctx().appDatabaseUrl });
|
||||
await client.connect();
|
||||
try {
|
||||
await client.query('BEGIN');
|
||||
await client.query("SELECT set_config('app.tenant_id', $1, true)", [tenantId]);
|
||||
const result = await client.query<T>(sql, params);
|
||||
await client.query('COMMIT');
|
||||
return result.rows;
|
||||
} finally {
|
||||
await client.end();
|
||||
}
|
||||
}
|
||||
|
|
@ -1,43 +0,0 @@
|
|||
import { randomBytes } from 'node:crypto';
|
||||
|
||||
export interface E2EContext {
|
||||
baseUrl: string;
|
||||
openBaseUrl: string;
|
||||
rateLimitBaseUrl: string;
|
||||
managerToken: string;
|
||||
terminalToken: string;
|
||||
tenantId: string;
|
||||
actorId: string;
|
||||
terminalActorId: string;
|
||||
appDatabaseUrl: string;
|
||||
migrationDatabaseUrl: string;
|
||||
/** Админ (владелец кластера) в БД стенда; null, если не передан. Только для PILOT-REHOME. */
|
||||
adminDatabaseUrl: string | null;
|
||||
}
|
||||
|
||||
declare module 'vitest' {
|
||||
export interface ProvidedContext {
|
||||
e2e: E2EContext;
|
||||
}
|
||||
}
|
||||
|
||||
const crockford = '0123456789ABCDEFGHJKMNPQRSTVWXYZ';
|
||||
|
||||
/** Случайный ULID (время + crypto.randomBytes), чтобы не зависеть от src/. */
|
||||
export function randomUlid(): string {
|
||||
let time = Date.now();
|
||||
let timePart = '';
|
||||
for (let i = 0; i < 10; i += 1) {
|
||||
timePart = crockford[time % 32]! + timePart;
|
||||
time = Math.floor(time / 32);
|
||||
}
|
||||
const bytes = randomBytes(16);
|
||||
let randomPart = '';
|
||||
for (let i = 0; i < 16; i += 1) randomPart += crockford[bytes[i]! % 32]!;
|
||||
return timePart + randomPart;
|
||||
}
|
||||
|
||||
/** Синтетическая метка для данных тестов: очевидно не реальные люди/суммы. */
|
||||
export function synthetic(label: string): string {
|
||||
return `E2E-${label}-${randomBytes(3).toString('hex')}`;
|
||||
}
|
||||
|
|
@ -1,159 +0,0 @@
|
|||
// Подготовка данных через публичный API. Везде только синтетические данные.
|
||||
/* eslint-disable @typescript-eslint/no-unsafe-member-access */
|
||||
import { expect } from 'vitest';
|
||||
import { api, ctx, dbQuery, describeResponse } from './client.js';
|
||||
import { randomUlid, synthetic } from './context.js';
|
||||
|
||||
export interface OrgUnit {
|
||||
id: string;
|
||||
code: string;
|
||||
}
|
||||
|
||||
export interface Employee {
|
||||
id: string;
|
||||
external_ref: string;
|
||||
personnel_number: string;
|
||||
}
|
||||
|
||||
/** Создаёт торговые точки через импорт (единственный публичный способ в текущем API). */
|
||||
export async function createOrgUnits(count: number): Promise<OrgUnit[]> {
|
||||
const units = Array.from({ length: count }, () => {
|
||||
const code = `e2e-${randomUlid().slice(-10).toLowerCase()}`;
|
||||
return { code, name: synthetic('Точка') };
|
||||
});
|
||||
const response = await api('POST', '/imports/owner-workbook', {
|
||||
token: ctx().managerToken,
|
||||
body: { source_name: synthetic('import-units'), units },
|
||||
});
|
||||
expect(response.status, describeResponse(response)).toBeLessThan(300);
|
||||
const rows = await dbQuery<{ id: string; code: string }>(
|
||||
'SELECT id, code FROM staff_org_units WHERE code = ANY($1::text[])',
|
||||
[units.map((unit) => unit.code)],
|
||||
);
|
||||
return units.map((unit) => ({
|
||||
code: unit.code,
|
||||
id: rows.find((row) => row.code === unit.code)!.id,
|
||||
}));
|
||||
}
|
||||
|
||||
/**
|
||||
* Создаёт сотрудников через импорт книги владельца: POST /employees на реальной БД
|
||||
* сейчас падает (N1), а сценарии, не относящиеся к N1, не должны зависеть от этого дефекта.
|
||||
*/
|
||||
export async function importEmployees(count: number): Promise<Employee[]> {
|
||||
const employees = Array.from({ length: count }, () => {
|
||||
const suffix = randomUlid().slice(-8);
|
||||
return {
|
||||
external_ref: `e2e:${suffix}`,
|
||||
personnel_number: `E2E-${suffix}`,
|
||||
display_name: synthetic('Сотрудник'),
|
||||
};
|
||||
});
|
||||
const response = await api('POST', '/imports/owner-workbook', {
|
||||
token: ctx().managerToken,
|
||||
body: { source_name: synthetic('import-employees'), employees },
|
||||
});
|
||||
expect(response.status, describeResponse(response)).toBeLessThan(300);
|
||||
const rows = await dbQuery<{ id: string; external_ref: string }>(
|
||||
'SELECT id, external_ref FROM staff_employees WHERE external_ref = ANY($1::text[])',
|
||||
[employees.map((employee) => employee.external_ref)],
|
||||
);
|
||||
return employees.map((employee) => ({
|
||||
...employee,
|
||||
id: rows.find((row) => row.external_ref === employee.external_ref)!.id,
|
||||
}));
|
||||
}
|
||||
|
||||
export async function issueEmployeeToken(employeeId: string): Promise<string> {
|
||||
const response = await api('POST', `/employees/${employeeId}/access-token`, {
|
||||
token: ctx().managerToken,
|
||||
});
|
||||
expect(response.status, describeResponse(response)).toBe(200);
|
||||
return response.body.access_token as string;
|
||||
}
|
||||
|
||||
export async function clock(
|
||||
employeeId: string,
|
||||
eventType: 'check_in' | 'check_out',
|
||||
occurredAt: Date,
|
||||
orgUnitId?: string,
|
||||
) {
|
||||
return api('POST', '/attendance/events', {
|
||||
token: ctx().terminalToken,
|
||||
body: {
|
||||
employee_id: employeeId,
|
||||
event_type: eventType,
|
||||
occurred_at: occurredAt.toISOString(),
|
||||
source_event_id: `e2e-${randomUlid()}`,
|
||||
...(orgUnitId ? { org_unit_id: orgUnitId } : {}),
|
||||
},
|
||||
});
|
||||
}
|
||||
|
||||
/** Дата (UTC) N дней назад в полдень: всегда в окне терминала (<=180 дней) и не в будущем. */
|
||||
export function daysAgo(days: number, hourUtc = 9): Date {
|
||||
const date = new Date();
|
||||
date.setUTCDate(date.getUTCDate() - days);
|
||||
date.setUTCHours(hourUtc, 0, 0, 0);
|
||||
return date;
|
||||
}
|
||||
|
||||
export function isoDate(date: Date): string {
|
||||
return date.toISOString().slice(0, 10);
|
||||
}
|
||||
|
||||
/** Отработанная смена: check_in/check_out терминалом + сверка; возвращает id смены. */
|
||||
export async function workedShift(
|
||||
employeeId: string,
|
||||
orgUnitId: string,
|
||||
day: Date,
|
||||
hours = 8,
|
||||
): Promise<string> {
|
||||
const start = new Date(day);
|
||||
const end = new Date(start.getTime() + hours * 3_600_000);
|
||||
const inResponse = await clock(employeeId, 'check_in', start, orgUnitId);
|
||||
expect(inResponse.status, describeResponse(inResponse)).toBe(201);
|
||||
const outResponse = await clock(employeeId, 'check_out', end, orgUnitId);
|
||||
expect(outResponse.status, describeResponse(outResponse)).toBe(201);
|
||||
const reconcile = await api('POST', '/work-sessions/reconcile', {
|
||||
token: ctx().managerToken,
|
||||
body: { date_from: isoDate(start), date_to: isoDate(start) },
|
||||
});
|
||||
expect(reconcile.status, describeResponse(reconcile)).toBe(200);
|
||||
const rows = await dbQuery<{ id: string }>(
|
||||
`SELECT id FROM staff_work_sessions
|
||||
WHERE employee_id = $1 AND org_unit_id = $2 AND business_date = $3::date`,
|
||||
[employeeId, orgUnitId, isoDate(start)],
|
||||
);
|
||||
expect(rows.length, 'сверка должна создать смену').toBe(1);
|
||||
return rows[0]!.id;
|
||||
}
|
||||
|
||||
export async function hourlyRuleId(): Promise<string> {
|
||||
const response = await api('GET', '/pay-rules', { token: ctx().managerToken });
|
||||
expect(response.status, describeResponse(response)).toBe(200);
|
||||
const rules = response.body.pay_rules as Array<{ id: string; code: string }>;
|
||||
const hourly = rules.find((rule) => rule.code === 'hourly') ?? rules[0];
|
||||
expect(hourly, 'должно существовать хотя бы одно правило оплаты').toBeTruthy();
|
||||
return hourly!.id;
|
||||
}
|
||||
|
||||
/**
|
||||
* Синтетическая ставка 123,00 ₽/ч (заведомо не реальная сумма). Кратна рублю: расчёт
|
||||
* округляет строку до rounding_unit_minor (по умолчанию 100 коп.), и 8 ч × ставка
|
||||
* должны совпадать с начислением без учёта округления.
|
||||
*/
|
||||
export const SYNTHETIC_RATE_MINOR = 12_300;
|
||||
|
||||
export async function assignHourly(employeeId: string, orgUnitId: string | null) {
|
||||
const response = await api('PUT', `/employees/${employeeId}/pay-assignment`, {
|
||||
token: ctx().managerToken,
|
||||
body: {
|
||||
pay_rule_id: await hourlyRuleId(),
|
||||
org_unit_id: orgUnitId,
|
||||
rate_minor: SYNTHETIC_RATE_MINOR,
|
||||
effective_from: '2026-01-01',
|
||||
},
|
||||
});
|
||||
expect(response.status, describeResponse(response)).toBe(200);
|
||||
}
|
||||
|
|
@ -1,236 +0,0 @@
|
|||
// Глобальная подготовка e2e: реальная PostgreSQL 17, миграции ролью мигратора
|
||||
// (без SUPERUSER), реальный процесс сервера под ролью приложения, случайные секреты.
|
||||
import { spawn, spawnSync, type ChildProcess } from 'node:child_process';
|
||||
import { randomBytes } from 'node:crypto';
|
||||
import { createWriteStream, mkdirSync, mkdtempSync, readFileSync, rmSync } from 'node:fs';
|
||||
import { createServer } from 'node:net';
|
||||
import { tmpdir } from 'node:os';
|
||||
import path from 'node:path';
|
||||
import type { TestProject } from 'vitest/node';
|
||||
import { baseEnv, nodeWithTsx } from '../../../scripts/test/node-commands.mjs';
|
||||
import { randomUlid, type E2EContext } from './context.js';
|
||||
|
||||
const repoRoot = path.resolve(import.meta.dirname, '../../..');
|
||||
const evidenceDir = path.join(repoRoot, 'tests/e2e/evidence');
|
||||
|
||||
function parseEnvFile(file: string): Record<string, string> {
|
||||
const result: Record<string, string> = {};
|
||||
for (const line of readFileSync(file, 'utf8').split('\n')) {
|
||||
const index = line.indexOf('=');
|
||||
if (index > 0) result[line.slice(0, index)] = line.slice(index + 1);
|
||||
}
|
||||
return result;
|
||||
}
|
||||
|
||||
async function freePort(): Promise<number> {
|
||||
return new Promise((resolve, reject) => {
|
||||
const server = createServer();
|
||||
server.once('error', reject);
|
||||
server.listen(0, '127.0.0.1', () => {
|
||||
const address = server.address();
|
||||
const port = typeof address === 'object' && address ? address.port : 0;
|
||||
server.close(() => resolve(port));
|
||||
});
|
||||
});
|
||||
}
|
||||
|
||||
function runNode(args: string[], env: NodeJS.ProcessEnv, label: string) {
|
||||
const result = spawnSync(process.execPath, args, { cwd: repoRoot, env, encoding: 'utf8' });
|
||||
const output = `${result.stdout}${result.stderr}`;
|
||||
console.log(`[e2e] ${label}:\n${output.trim()}`);
|
||||
if (result.status !== 0) throw new Error(`${label} failed with exit ${result.status}`);
|
||||
return output;
|
||||
}
|
||||
|
||||
function vapidEnv(): Record<string, string> {
|
||||
const output = spawnSync(process.execPath, ['scripts/generate-vapid-keys.mjs'], {
|
||||
cwd: repoRoot,
|
||||
encoding: 'utf8',
|
||||
}).stdout;
|
||||
const env: Record<string, string> = {};
|
||||
for (const line of output.split('\n')) {
|
||||
const index = line.indexOf('=');
|
||||
if (index > 0) env[line.slice(0, index)] = line.slice(index + 1);
|
||||
}
|
||||
return env;
|
||||
}
|
||||
|
||||
interface StartedServer {
|
||||
child: ChildProcess;
|
||||
baseUrl: string;
|
||||
}
|
||||
|
||||
async function startServer(name: string, env: Record<string, string>): Promise<StartedServer> {
|
||||
const port = await freePort();
|
||||
const logPath = path.join(evidenceDir, `server-${name}.txt`);
|
||||
const log = createWriteStream(logPath, { flags: 'w' });
|
||||
const server = nodeWithTsx(['src/server.ts']);
|
||||
const child = spawn(server.command, server.args, {
|
||||
cwd: repoRoot,
|
||||
env: {
|
||||
...baseEnv(),
|
||||
NODE_ENV: 'test',
|
||||
HOST: '127.0.0.1',
|
||||
PORT: String(port),
|
||||
LOG_LEVEL: 'info',
|
||||
STAFF_RUNTIME_MODE: 'standalone',
|
||||
...env,
|
||||
},
|
||||
stdio: ['ignore', 'pipe', 'pipe'],
|
||||
});
|
||||
child.stdout?.pipe(log);
|
||||
child.stderr?.pipe(log);
|
||||
const baseUrl = `http://127.0.0.1:${port}`;
|
||||
const deadline = Date.now() + 60_000;
|
||||
while (Date.now() < deadline) {
|
||||
if (child.exitCode !== null) {
|
||||
throw new Error(`server ${name} exited early with ${child.exitCode}; see ${logPath}`);
|
||||
}
|
||||
try {
|
||||
const response = await fetch(`${baseUrl}/api/v1/staff/ready`);
|
||||
if (response.status === 200) {
|
||||
console.log(
|
||||
`[e2e] server ${name} ready at ${baseUrl} (log: ${path.relative(repoRoot, logPath)})`,
|
||||
);
|
||||
return { child, baseUrl };
|
||||
}
|
||||
} catch {
|
||||
// сервер ещё не слушает порт
|
||||
}
|
||||
await new Promise((resolve) => setTimeout(resolve, 250));
|
||||
}
|
||||
child.kill('SIGKILL');
|
||||
throw new Error(`server ${name} did not become ready; see ${logPath}`);
|
||||
}
|
||||
|
||||
/**
|
||||
* Откуда брать БД и роли.
|
||||
* 1. E2E_MIGRATOR_URL и E2E_APP_URL заданы — роли и пароли уже есть (общий кластер,
|
||||
* параллельная работа других): стенд их не создаёт и не меняет, БД берётся из URL.
|
||||
* 2. Иначе (по умолчанию) — bootstrap-админ E2E_PG_ADMIN_URL создаёт роли со
|
||||
* случайными паролями и пересоздаёт БД E2E_DATABASE_NAME (scripts/test/provision-pg.mjs).
|
||||
* adminDatabaseUrl — админ в той же БД (нужен только сценарию PILOT-REHOME):
|
||||
* E2E_DB_ADMIN_URL, либо E2E_PG_ADMIN_URL с именем БД стенда.
|
||||
*/
|
||||
function resolveDatabase(): {
|
||||
migrationUrl: string;
|
||||
appUrl: string;
|
||||
adminDatabaseUrl: string | null;
|
||||
} {
|
||||
const adminUrl = process.env.E2E_PG_ADMIN_URL;
|
||||
const withDatabase = (url: string, database: string) => {
|
||||
const result = new URL(url);
|
||||
result.pathname = `/${database}`;
|
||||
return result.toString();
|
||||
};
|
||||
const presetMigrator = process.env.E2E_MIGRATOR_URL;
|
||||
const presetApp = process.env.E2E_APP_URL;
|
||||
if (presetMigrator && presetApp) {
|
||||
const database = new URL(presetApp).pathname.slice(1);
|
||||
console.log(
|
||||
`[e2e] роли заданы E2E_MIGRATOR_URL/E2E_APP_URL: provision пропущен, БД ${database}`,
|
||||
);
|
||||
return {
|
||||
migrationUrl: presetMigrator,
|
||||
appUrl: presetApp,
|
||||
adminDatabaseUrl:
|
||||
process.env.E2E_DB_ADMIN_URL ?? (adminUrl ? withDatabase(adminUrl, database) : null),
|
||||
};
|
||||
}
|
||||
if (presetMigrator || presetApp) {
|
||||
throw new Error('E2E_MIGRATOR_URL и E2E_APP_URL задаются только вместе');
|
||||
}
|
||||
if (!adminUrl) {
|
||||
throw new Error(
|
||||
'E2E_PG_ADMIN_URL не задан: нужен bootstrap-админ PostgreSQL 17 (только для создания ролей и БД) ' +
|
||||
'или готовые роли в E2E_MIGRATOR_URL + E2E_APP_URL',
|
||||
);
|
||||
}
|
||||
const database = process.env.E2E_DATABASE_NAME ?? 'krona_staff_e2e';
|
||||
const secretsDir = mkdtempSync(path.join(tmpdir(), 'krona-e2e-'));
|
||||
const envFile = path.join(secretsDir, 'db.env');
|
||||
runNode(
|
||||
['scripts/test/provision-pg.mjs', '--out', envFile, '--db', database],
|
||||
{ ...process.env, E2E_PG_ADMIN_URL: adminUrl },
|
||||
'provision',
|
||||
);
|
||||
const dbEnv = parseEnvFile(envFile);
|
||||
rmSync(secretsDir, { recursive: true, force: true });
|
||||
if (!dbEnv.DATABASE_MIGRATION_URL || !dbEnv.DATABASE_URL) {
|
||||
throw new Error('provision did not produce connection URLs');
|
||||
}
|
||||
return {
|
||||
migrationUrl: dbEnv.DATABASE_MIGRATION_URL,
|
||||
appUrl: dbEnv.DATABASE_URL,
|
||||
adminDatabaseUrl: process.env.E2E_DB_ADMIN_URL ?? withDatabase(adminUrl, database),
|
||||
};
|
||||
}
|
||||
|
||||
export default async function setup(project: TestProject) {
|
||||
mkdirSync(evidenceDir, { recursive: true });
|
||||
const { migrationUrl, appUrl, adminDatabaseUrl } = resolveDatabase();
|
||||
const migrationMode = process.env.E2E_MIGRATIONS ?? 'up';
|
||||
runNode(
|
||||
['scripts/test/migrate-roundtrip.mjs', migrationMode === 'roundtrip' ? 'roundtrip' : 'up'],
|
||||
{ ...baseEnv(), DATABASE_MIGRATION_URL: migrationUrl },
|
||||
`migrations (${migrationMode}) as krona_migrator`,
|
||||
);
|
||||
|
||||
const tenantId = randomUlid();
|
||||
const actorId = randomUlid();
|
||||
const terminalActorId = randomUlid();
|
||||
const managerToken = randomBytes(32).toString('hex');
|
||||
const terminalToken = randomBytes(32).toString('hex');
|
||||
const common = {
|
||||
DATABASE_URL: appUrl,
|
||||
STANDALONE_TENANT_ID: tenantId,
|
||||
STANDALONE_ACTOR_ID: actorId,
|
||||
...vapidEnv(),
|
||||
};
|
||||
const secured = await startServer('secured', {
|
||||
...common,
|
||||
STANDALONE_ACCESS: 'employee',
|
||||
STANDALONE_MANAGER_TOKEN: managerToken,
|
||||
STANDALONE_TERMINAL_TOKEN: terminalToken,
|
||||
STANDALONE_TERMINAL_ACTOR_ID: terminalActorId,
|
||||
});
|
||||
// Второй процесс без токенов (как корневой compose.yaml), тот же tenant и БД: для F2/K-сценариев.
|
||||
const open = await startServer('no-tokens', {
|
||||
...common,
|
||||
STANDALONE_ACCESS: 'manager',
|
||||
});
|
||||
|
||||
// Третий процесс с собственными токенами только для F4 (перебор входа): если rate limit
|
||||
// появится, он не должен блокировать вход в остальных сценариях с того же IP.
|
||||
const rateLimited = await startServer('rate-limit', {
|
||||
...common,
|
||||
STANDALONE_ACCESS: 'employee',
|
||||
STANDALONE_MANAGER_TOKEN: randomBytes(32).toString('hex'),
|
||||
STANDALONE_TERMINAL_TOKEN: randomBytes(32).toString('hex'),
|
||||
});
|
||||
|
||||
const context: E2EContext = {
|
||||
baseUrl: secured.baseUrl,
|
||||
openBaseUrl: open.baseUrl,
|
||||
rateLimitBaseUrl: rateLimited.baseUrl,
|
||||
managerToken,
|
||||
terminalToken,
|
||||
tenantId,
|
||||
actorId,
|
||||
terminalActorId,
|
||||
appDatabaseUrl: appUrl,
|
||||
migrationDatabaseUrl: migrationUrl,
|
||||
adminDatabaseUrl,
|
||||
};
|
||||
project.provide('e2e', context);
|
||||
|
||||
return async () => {
|
||||
for (const server of [secured, open, rateLimited]) {
|
||||
server.child.kill('SIGTERM');
|
||||
}
|
||||
await new Promise((resolve) => setTimeout(resolve, 500));
|
||||
for (const server of [secured, open, rateLimited]) {
|
||||
if (server.child.exitCode === null) server.child.kill('SIGKILL');
|
||||
}
|
||||
};
|
||||
}
|
||||
|
|
@ -1,51 +0,0 @@
|
|||
// Проверяемо на Linux: стенд запускает инструменты так, что под Windows не нужен
|
||||
// .cmd-обёрточный файл (spawn без shell падает на них с ENOENT).
|
||||
import { existsSync, readFileSync } from 'node:fs';
|
||||
import path from 'node:path';
|
||||
import { describe, expect, it } from 'vitest';
|
||||
import { baseEnv, nodeTool, nodeWithTsx, repoRoot } from '../../../scripts/test/node-commands.mjs';
|
||||
|
||||
const forbidden = /\.cmd\b|[\\/]\.bin[\\/]|^npx$|^npm$/i;
|
||||
|
||||
describe('[HARNESS-WIN] запуск инструментов без .cmd-обёрток', () => {
|
||||
it.each(['tsx', 'vitest', 'prettier'] as const)('%s: process.execPath + JS-файл', (tool) => {
|
||||
const command = nodeTool(tool, ['--version']);
|
||||
expect(command.command).toBe(process.execPath);
|
||||
const entry = command.args[0]!;
|
||||
expect(entry).not.toMatch(forbidden);
|
||||
expect(entry).toMatch(/\.(mjs|cjs|js)$/);
|
||||
expect(path.isAbsolute(entry)).toBe(true);
|
||||
expect(existsSync(entry)).toBe(true);
|
||||
});
|
||||
|
||||
it('сервер: один процесс node с загрузчиком tsx', () => {
|
||||
const command = nodeWithTsx(['src/server.ts']);
|
||||
expect(command.command).toBe(process.execPath);
|
||||
expect(command.args[0]).toBe('--import');
|
||||
expect(command.args[1]).toMatch(/^file:\/\/.*\.mjs$/);
|
||||
expect(command.args.join(' ')).not.toMatch(forbidden);
|
||||
expect(command.args.at(-1)).toBe('src/server.ts');
|
||||
});
|
||||
|
||||
it('под win32 дочерний процесс получает SystemRoot/TEMP, а секреты не наследуются', () => {
|
||||
const env = baseEnv('win32', {
|
||||
PATH: 'C:\\Windows',
|
||||
SystemRoot: 'C:\\Windows',
|
||||
TEMP: 'C:\\Temp',
|
||||
DATABASE_URL: 'secret-must-not-leak',
|
||||
});
|
||||
expect(env).toMatchObject({ PATH: 'C:\\Windows', SystemRoot: 'C:\\Windows', TEMP: 'C:\\Temp' });
|
||||
expect(env).not.toHaveProperty('DATABASE_URL');
|
||||
expect(baseEnv('linux', { PATH: '/bin', SystemRoot: 'x' })).toEqual({ PATH: '/bin' });
|
||||
});
|
||||
|
||||
it.each([
|
||||
'scripts/test/run-e2e.mjs',
|
||||
'scripts/test/n13-race.mjs',
|
||||
'tests/e2e/harness/global-setup.ts',
|
||||
])('%s не вызывает npx и node_modules/.bin', (file) => {
|
||||
const source = readFileSync(path.join(repoRoot, file), 'utf8');
|
||||
expect(source).not.toMatch(/spawn(Sync)?\(\s*['"`]npx/);
|
||||
expect(source).not.toMatch(/node_modules\/\.bin/);
|
||||
});
|
||||
});
|
||||
Some files were not shown because too many files have changed in this diff Show more
Loading…
Reference in a new issue