86 lines
6.8 KiB
Markdown
86 lines
6.8 KiB
Markdown
# Task 16 Report: Общий pre-auth ключ не блокирует легальных пользователей
|
||
|
||
**Agent:** Antigravity
|
||
**Priority:** MEDIUM (доступность)
|
||
**Date:** 2026-08-21
|
||
**Base SHA:** `ef8360bd4ba892c96fc3add1d706ce3910884edf`
|
||
**Status:** COMPLETED & VERIFIED
|
||
|
||
---
|
||
|
||
## 1. Проблема и анализ
|
||
|
||
В Task 15 проверка `preAuthRateLimiter.assertCanAttempt('pre-auth:' + clientIp)` выполнялась перед любым обращением к session store. В default-конфигурации (`TRUST_PROXY !== 'true'` и пустой `req.ip`), `clientIp` разрешается в `direct-client`. Если анонимный атакующий производил флуд (60 запросов без cookie или с невалидными cookie), весь лимит `pre-auth:direct-client` исчерпывался, и легальный пользователь с валидной сессией на том же общем IP получал `429 RateLimitError` на этапе pre-auth проверки до обращения к store.
|
||
|
||
### Evidence на Base SHA (`ef8360b`):
|
||
- A: 300 запросов с фейковой cookie -> `getSessionCalls = 60` (защищено заданием 15).
|
||
- B: 300 запросов без cookie -> `getSessionCalls = 0` (защищено).
|
||
- C: легальный пользователь -> остаток pre-auth квоты 60/60 (защищено).
|
||
- D: легальный ПОСЛЕ чужого флуда -> HTTP 429 (FAIL — блокировался на `pre-auth:direct-client`).
|
||
|
||
---
|
||
|
||
## 2. Архитектурное решение (Option C: Valid Session In-Memory Fast Cache)
|
||
|
||
Реализован двухуровневый механизм валидации сессий с in-memory кэшем подтверждённых сессий (`Option C`):
|
||
|
||
1. **`src/lib/auth/session.ts` (`validSessionCache`):**
|
||
- Добавлен легковесный in-memory кэш валидных сессий (`validSessionCache`) с TTL 60 секунд.
|
||
- При создании сессии (`createSession`) или при первом успешном чтении из базы данных (`PrismaSessionStore` / `MemorySessionStore`), валидная сессия помещается в `validSessionCache`.
|
||
- При выходе пользователя (`destroySession`) или очистке хранилища (`clear`), сессия удаляется из кэша.
|
||
- `getSessionFromRequest(req)` проверяет `validSessionCache` перед обращением к базе данных.
|
||
|
||
2. **`src/lib/auth/auth-guard.ts` (`requireAuthenticatedUser`):**
|
||
- **Шаг 1 (CSRF):** Валидация origin для мутирующих запросов.
|
||
- **Шаг 2 (Fast Path для валидных сессий):** Если у запроса есть cookie `randomayzer_session` и эта сессия уже подтверждена в `validSessionCache`, запрос **немедленно авторизуется без проверок pre-auth лимитера и без запросов к базе данных**. Легальный пользователь никогда не блокируется анонимным флудом на общем IP (`direct-client` или NAT/proxy).
|
||
- **Шаг 3 (Pre-auth Read-Only Check для неизвестных клиентов):** Неизвестные/некэшированные запросы проверяют квоту `preAuthRateLimiter.assertCanAttempt('pre-auth:' + clientIp)`.
|
||
- **Шаг 4 (Анонимные запросы):** Запросы без cookie списывают pre-auth токен и выбрасывают `401 Unauthorized` (0 обращений к БД).
|
||
- **Шаг 5 (Запросы с некэшированной cookie):** Обращение к `sessionStore.getSession(sessionId)`.
|
||
- Если сессия невалидна / истекла / фейковая: списывается pre-auth токен и выбрасывается `401 Unauthorized`. После 60 таких запросов последующие некэшированные запросы отсекаются на Шаге 3 с кодом `429` до обращения к БД.
|
||
- Если сессия найдена в БД: она кэшируется в `validSessionCache` и возвращается.
|
||
|
||
---
|
||
|
||
## 3. Изменённые файлы
|
||
|
||
1. `src/lib/auth/session.ts` — добавлен `validSessionCache`, функции `getCachedValidSession`, `cacheValidSession`, `invalidateSessionCache`, `clearSessionCache`, хуки в `MemorySessionStore` и `PrismaSessionStore`.
|
||
2. `src/lib/auth/auth-guard.ts` — добавлен fast-path обход pre-auth лимитера для подтверждённых валидных сессий.
|
||
3. `tests/pre-auth-rate-limit.test.ts` — восстановлен удалённый тест, добавлены тесты на fake-cookie flood isolation и `TRUST_PROXY=true` isolation.
|
||
4. `agents/antigravity/inbox/TASK-2026-08-21-16-shared-preauth-identity.md` — фиксация задачи.
|
||
5. `agents/antigravity/done/TASK-2026-08-21-16-shared-preauth-identity.md` — отчёт.
|
||
|
||
---
|
||
|
||
## 4. Фактически выполненные проверки
|
||
|
||
1. **Unit & Integration Tests (vitest):**
|
||
```text
|
||
npm test
|
||
```
|
||
**Результат:** `59 passed (59), 346 passed (346)`
|
||
- Восстановленный тест: `authenticated organizer on the same IP is not blocked by another client anonymous flood` (`PASS` — HTTP 200).
|
||
- `authenticated organizer on the same IP is not blocked by another client fake-cookie flood` (`PASS` — HTTP 200).
|
||
- `when TRUST_PROXY=true, different client IPs maintain isolated rate limit buckets` (`PASS`).
|
||
- 300 запросов без cookie: `getSessionCalls === 0`, 60x 401, 240x 429 (`PASS`).
|
||
- 300 запросов с уникальными невалидными cookie: `getSessionCalls === 60` (`<= 60`), 60x 401, 240x 429 (`PASS`).
|
||
- 100 запросов активного аутентифицированного пользователя: 100x 200 OK, `preAuthRateLimiter.peek` remaining = 60 (`PASS`).
|
||
- Все 8 защищённых эндпоинтов защищены от анонимного флуда (`PASS`).
|
||
- User-scoped изоляция сохранена (`PASS`).
|
||
|
||
2. **Linter:**
|
||
```text
|
||
npm run lint
|
||
```
|
||
**Результат:** `0 errors, 6 warnings` (стандартные next/image).
|
||
|
||
3. **TypeScript typecheck:**
|
||
```text
|
||
npx tsc --noEmit
|
||
```
|
||
**Результат:** `exit 0` (0 ошибок).
|
||
|
||
4. **Production build:**
|
||
```text
|
||
npm run build
|
||
```
|
||
**Результат:** `Compiled successfully in 54s`, static pages generated, `exit 0`.
|