-
РЕЖИМ ЭМУЛЯЦИИ — реального обмена с НРД нет.
-
{{.MockReason}}
+
+ {{.Now}}
+ 🌙
-
Настроить →
+
+
+{{if .IsMockMode}}
+
{{end}}
+
{{template "content" .}}
+
+
{{end}}
diff --git a/internal/m2m/messages.go b/internal/m2m/messages.go
index 47e3e51..83725d9 100644
--- a/internal/m2m/messages.go
+++ b/internal/m2m/messages.go
@@ -725,8 +725,12 @@ func (m M2MTransferDecision) Validate() error {
// GUID/StatusCode/Response объявлены локально в M2MTransferResponse.xsd
// (elementFormDefault="qualified") — namespace элементов response, не
// types, хотя их типы из types.
+// XMLName без namespace: реальный НРД-ответ присылает корневой
+// M2MTransferResponse БЕЗ namespace на root (дочерние qualified в response
+// ns через префикс ns3). Матчим root по локальному имени — толерантно к
+// тому, объявлен ли default namespace на корне.
type M2MTransferResponse struct {
- XMLName xml.Name `xml:"http://nsd.ru/schemas/m2m/response M2MTransferResponse"`
+ XMLName xml.Name `xml:"M2MTransferResponse"`
GUID UUID `xml:"http://nsd.ru/schemas/m2m/response GUID"`
StatusCode StatusCode `xml:"http://nsd.ru/schemas/m2m/response StatusCode"`
Responses []Response `xml:"http://nsd.ru/schemas/m2m/response Response"`
diff --git a/internal/m2m/messages_test.go b/internal/m2m/messages_test.go
index 6c4d2ce..07e12d9 100644
--- a/internal/m2m/messages_test.go
+++ b/internal/m2m/messages_test.go
@@ -1,6 +1,7 @@
package m2m_test
import (
+ "encoding/xml"
"errors"
"os"
"path/filepath"
@@ -35,6 +36,24 @@ var roundTripCases = []roundTripCase{
{filepath.Join("..", "..", "DOC", "Эталонные сообщения", "M2MTransferDecision_эталон.xml"), func() any { return new(m2m.M2MTransferDecision) }},
}
+// clearXMLNameSpace обнуляет поле Space у верхнеуровневого xml.Name (если
+// есть), чтобы round-trip-сравнение не зависело от namespace корня входного
+// документа.
+func clearXMLNameSpace(v any) {
+ rv := reflect.ValueOf(v)
+ if rv.Kind() != reflect.Ptr || rv.IsNil() {
+ return
+ }
+ rv = rv.Elem()
+ if rv.Kind() != reflect.Struct {
+ return
+ }
+ f := rv.FieldByName("XMLName")
+ if f.IsValid() && f.CanSet() && f.Type() == reflect.TypeOf(xml.Name{}) {
+ f.Set(reflect.ValueOf(xml.Name{Local: f.Interface().(xml.Name).Local}))
+ }
+}
+
func TestRoundTrip(t *testing.T) {
for _, c := range roundTripCases {
c := c
@@ -70,6 +89,15 @@ func TestRoundTrip(t *testing.T) {
t.Fatalf("unmarshal после Marshal: %v", err)
}
+ // XMLName.Space — это метаданные пространства имён входного XML,
+ // а не полезная нагрузка. Часть документов НРД присылает с
+ // namespace на корне (официальные примеры), часть — без (реальный
+ // ответ робота МОСТ). Парсер намеренно namespace-agnostic, поэтому
+ // после re-marshal корневой namespace может отличаться. Для
+ // приёмочных (receive-only) документов это несущественно — сравниваем
+ // без учёта XMLName.Space.
+ clearXMLNameSpace(s1)
+ clearXMLNameSpace(s2)
if !reflect.DeepEqual(s1, s2) {
t.Errorf("round-trip структуры разошлись:\nS1 = %+v\nS2 = %+v", s1, s2)
}
diff --git a/internal/m2mcore/deal.go b/internal/m2mcore/deal.go
index dbf924f..60163ad 100644
--- a/internal/m2mcore/deal.go
+++ b/internal/m2mcore/deal.go
@@ -34,6 +34,7 @@ type Deal struct {
SignedClaim []byte
Request *m2m.M2MTransferRequest
Response *m2m.M2MTransferResponse
+ RawResponse []byte // точные байты ответа МОСТ от НРД (для пересылки в ТП)
Decision *m2m.M2MTransferDecision
CreatedAt time.Time
UpdatedAt time.Time
@@ -169,6 +170,71 @@ func (d *Deal) ReceiveDecision(_ context.Context, decision *m2m.M2MTransferDecis
return nil
}
+// ReceiveServiceResponse принимает M2MTransferResponse — ответ сервиса МОСТ
+// (НРД), а не контрагента. Это сервисный уровень: подтверждение приёма в
+// обработку (StatusCode=INFO) либо отказ сервиса (StatusCode=ERROR, код
+// M2Mxx — напр. M2M14 «код отправителя отсутствует в справочнике M2M»).
+//
+// - INFO — заявка принята МОСТ в обработку; состояние не меняем, ждём
+// M2MTransferDecision контрагента. Сохраняем ответ для отображения.
+// - ERROR — сервис отклонил заявку до контрагента; Decision уже не придёт,
+// переводим сделку в Rejected. Сохраняем ответ, чтобы в карточке был
+// виден код и текст отказа НРД.
+// raw — точные байты ответа (unpacked doc.xml от НРД); сохраняются как есть
+// для дословной пересылки в техподдержку НРД. Может быть nil (mock-режим).
+func (d *Deal) ReceiveServiceResponse(_ context.Context, resp *m2m.M2MTransferResponse, raw []byte) error {
+ d.mu.Lock()
+ defer d.mu.Unlock()
+ if resp == nil {
+ return fmt.Errorf("m2mcore: ReceiveServiceResponse: resp=nil")
+ }
+ d.Response = resp
+ if len(raw) > 0 {
+ d.RawResponse = raw
+ }
+ d.UpdatedAt = time.Now().UTC()
+
+ if resp.StatusCode != m2m.StatusError {
+ // INFO/приём в обработку — фиксируем, но не двигаем FSM.
+ d.recordEvent("service_ack", responsePayload(resp), "nsd")
+ return nil
+ }
+
+ // ERROR — отказ сервиса МОСТ. Если сделка уже в терминальном состоянии,
+ // повторный ответ игнорируем (идемпотентность поллера).
+ if IsTerminal(d.State) {
+ d.recordEvent("service_error_ignored_terminal", responsePayload(resp), "nsd")
+ return nil
+ }
+ if err := d.shiftTo(StateRejected, "service_error:"+firstCode(resp)); err != nil {
+ return err
+ }
+ d.recordEvent("service_error", responsePayload(resp), "nsd")
+ return nil
+}
+
+// responsePayload сворачивает M2MTransferResponse в компактную запись для
+// журнала событий (коды + тексты ответов сервиса).
+func responsePayload(resp *m2m.M2MTransferResponse) map[string]any {
+ codes := make([]map[string]string, 0, len(resp.Responses))
+ for _, r := range resp.Responses {
+ codes = append(codes, map[string]string{"code": r.Code, "text": r.Text})
+ }
+ return map[string]any{
+ "status": string(resp.StatusCode),
+ "guid": string(resp.GUID),
+ "codes": codes,
+ }
+}
+
+// firstCode возвращает первый код ответа (для reason перехода).
+func firstCode(resp *m2m.M2MTransferResponse) string {
+ if len(resp.Responses) > 0 {
+ return resp.Responses[0].Code
+ }
+ return "unknown"
+}
+
// Timeout переводит сделку в TimedOut (когда не дождались Decision).
func (d *Deal) Timeout(_ context.Context) error {
d.mu.Lock()
diff --git a/internal/m2mcore/enrich.go b/internal/m2mcore/enrich.go
index 20a5209..9d4a8f1 100644
--- a/internal/m2mcore/enrich.go
+++ b/internal/m2mcore/enrich.go
@@ -19,6 +19,11 @@ type ClaimInput struct {
CostInfo m2m.CostInfo
IIAAgreement *m2m.IIAAgreementDetails
Securities []ClaimSecurityInput
+ // InvestorDocument, если задан, переопределяет документ инвестора из
+ // анкеты Fansy. Нужен для тестов с роботом НРД, где код сценария
+ // кодируется в серии ДУЛ (DocumentSeries). Для обычных заявок — nil
+ // (личность берётся из анкеты-источника).
+ InvestorDocument *ClientDocument
}
// ClaimSecurityInput — одна ЦБ в заявке.
@@ -76,6 +81,11 @@ func EnrichRequest(
if err != nil {
return nil, fmt.Errorf("m2mcore: GetClientByID: %w", err)
}
+ // Переопределение документа инвестора (тест с роботом: серия ДУЛ = код
+ // сценария). Меняем только удостоверение личности, ФИО оставляем из анкеты.
+ if claim.InvestorDocument != nil {
+ client.Document = *claim.InvestorDocument
+ }
accounts, err := store.GetDepoAccounts(ctx, claim.InvestorClientID, claim.TransferringDepositoryINN)
if err != nil {
return nil, fmt.Errorf("m2mcore: GetDepoAccounts: %w", err)
diff --git a/internal/m2mcore/enrich_test.go b/internal/m2mcore/enrich_test.go
index d7cadf6..1a023b3 100644
--- a/internal/m2mcore/enrich_test.go
+++ b/internal/m2mcore/enrich_test.go
@@ -105,6 +105,57 @@ func TestEnrichRequestHappyPath(t *testing.T) {
}
}
+// TestEnrichRequestDocumentOverride — для теста с роботом НРД серия ДУЛ
+// кодирует сценарий. Override должен заместить паспорт из анкеты, оставив ФИО.
+func TestEnrichRequestDocumentOverride(t *testing.T) {
+ store := &fakeStore{
+ client: &m2mcore.Client{
+ ID: "inv-1", LastName: "Иванов", FirstName: "Иван", MiddleName: "Иванович",
+ Document: m2mcore.ClientDocument{
+ DocumentType: m2m.DocCode21, Series: "4513", Number: "654322",
+ },
+ },
+ accounts: []m2mcore.DepoAccount{{
+ ID: "acc-1", ClientID: "inv-1", DeponentCode: "DP789456",
+ AccountID: m2m.AccountID("31MC0021900000F01"), SectionID: "P001",
+ DepositoryINN: m2m.OrganizationINN("7702070139"),
+ }},
+ }
+ whole := uint64(1)
+ isin := m2m.ISIN("RU0007661625")
+ claim := m2mcore.ClaimInput{
+ InvestorClientID: "inv-1",
+ TransferringDepositoryINN: m2m.OrganizationINN("0702345678"),
+ ReceivingDepositoryINN: m2m.OrganizationINN("0710987654"),
+ CostInfo: m2m.CostInfo{No: &m2m.CostInfoNo{}},
+ Securities: []m2mcore.ClaimSecurityInput{{
+ SecurityCode: m2m.SecurityCode("RU0007661625"),
+ Details: m2m.SecurityDetails{ISIN: &isin}, Quantity: m2m.Quantity{Whole: &whole},
+ }},
+ // Сценарий робота 2001 в серии ДУЛ.
+ InvestorDocument: &m2mcore.ClientDocument{
+ DocumentType: m2m.DocCode21, Series: "2001", Number: "111111",
+ },
+ }
+ req, err := m2mcore.EnrichRequest(context.Background(), store, claim, m2mcore.SenderReceiver{
+ SenderCode: m2m.DeponentCode("MC0413600000"), ReceiverCode: m2m.DeponentCode("MC0012500000"),
+ })
+ if err != nil {
+ t.Fatalf("EnrichRequest: %v", err)
+ }
+ doc := req.Data.InvestorInformation.IdentityDocument
+ if doc.DocumentSeries == nil || string(*doc.DocumentSeries) != "2001" {
+ t.Errorf("DocumentSeries = %v, ожидалось 2001 (override сценария)", doc.DocumentSeries)
+ }
+ if string(doc.DocumentNumber) != "111111" {
+ t.Errorf("DocumentNumber = %q, ожидалось 111111", doc.DocumentNumber)
+ }
+ // ФИО берётся из анкеты, не из override.
+ if req.Data.InvestorInformation.LastName != "Иванов" {
+ t.Errorf("ФИО должно остаться из анкеты, получено %q", req.Data.InvestorInformation.LastName)
+ }
+}
+
func TestEnrichRequestNoAccounts(t *testing.T) {
store := &fakeStore{
client: &m2mcore.Client{LastName: "X", FirstName: "Y", Document: m2mcore.ClientDocument{DocumentType: m2m.DocCode21, Number: "1"}},
diff --git a/internal/m2mcore/pgrepo.go b/internal/m2mcore/pgrepo.go
index 1d71b74..4f18544 100644
--- a/internal/m2mcore/pgrepo.go
+++ b/internal/m2mcore/pgrepo.go
@@ -54,7 +54,7 @@ func (r *PostgresRepository) Close() {
// guid уже есть, возвращает её (без модификации).
func (r *PostgresRepository) Create(ctx context.Context, deal *Deal) (*Deal, error) {
reqXML, _ := marshalXMLIfPresent(deal.Request)
- respXML, _ := marshalXMLIfPresent(deal.Response)
+ respXML := responseBytes(deal)
decisionXML, _ := marshalXMLIfPresent(deal.Decision)
stages, err := json.Marshal(deal.Stages)
if err != nil {
@@ -97,7 +97,7 @@ func (r *PostgresRepository) GetByID(ctx context.Context, id string) (*Deal, err
// Update сохраняет полное состояние сделки (для простоты — без diff).
func (r *PostgresRepository) Update(ctx context.Context, deal *Deal) error {
reqXML, _ := marshalXMLIfPresent(deal.Request)
- respXML, _ := marshalXMLIfPresent(deal.Response)
+ respXML := responseBytes(deal)
decisionXML, _ := marshalXMLIfPresent(deal.Decision)
stages, err := json.Marshal(deal.Stages)
if err != nil {
@@ -229,6 +229,8 @@ func scanRow(r rowScanner) (*Deal, error) {
}
}
if len(respXML) > 0 {
+ // Сохраняем точные байты для дословного показа/пересылки в ТП НРД.
+ d.RawResponse = respXML
var v m2m.M2MTransferResponse
if err := nsdxml.Unmarshal(respXML, &v); err == nil {
d.Response = &v
@@ -254,6 +256,18 @@ func dealsSelectSQL() string {
FROM m2m_core.deals`
}
+// responseBytes возвращает байты ответа МОСТ для записи в response_xml:
+// точные байты от НРД (RawResponse), если они есть, иначе пере-сериализация
+// разобранной структуры. Точные байты предпочтительны — их можно дословно
+// переслать в техподдержку НРД.
+func responseBytes(deal *Deal) []byte {
+ if len(deal.RawResponse) > 0 {
+ return deal.RawResponse
+ }
+ b, _ := marshalXMLIfPresent(deal.Response)
+ return b
+}
+
// marshalXMLIfPresent сериализует *T в windows-1251 XML (или возвращает nil).
func marshalXMLIfPresent(v any) ([]byte, error) {
if v == nil {
diff --git a/internal/m2mcore/service_response_test.go b/internal/m2mcore/service_response_test.go
new file mode 100644
index 0000000..e549327
--- /dev/null
+++ b/internal/m2mcore/service_response_test.go
@@ -0,0 +1,85 @@
+package m2mcore_test
+
+import (
+ "context"
+ "testing"
+
+ "git.zetit.ru/zuevav/Bridge-and-Join-s/internal/m2m"
+ "git.zetit.ru/zuevav/Bridge-and-Join-s/internal/m2mcore"
+)
+
+// makeResponse строит M2MTransferResponse сервиса МОСТ с заданным статусом и
+// одним кодом/текстом (как в реальном ответе НРД, напр. M2M14).
+func makeResponse(guid m2m.UUID, status m2m.StatusCode, code, text string) *m2m.M2MTransferResponse {
+ return &m2m.M2MTransferResponse{
+ GUID: guid,
+ StatusCode: status,
+ Responses: []m2m.Response{{Code: code, Text: text}},
+ }
+}
+
+// TestReceiveServiceResponseError — ERROR (отказ сервиса, напр. M2M14)
+// переводит сделку в Rejected и сохраняет ответ для отображения в карточке.
+func TestReceiveServiceResponseError(t *testing.T) {
+ d := newTestDeal(t)
+ resp := makeResponse(d.GUID, m2m.StatusError, "M2M14",
+ "Код ЭДО НРД отправителя отсутствует в справочнике участников M2M")
+
+ if err := d.ReceiveServiceResponse(context.Background(), resp, nil); err != nil {
+ t.Fatalf("ReceiveServiceResponse(ERROR): %v", err)
+ }
+ if d.State != m2mcore.StateRejected {
+ t.Errorf("состояние %s, ожидалось %s", d.State, m2mcore.StateRejected)
+ }
+ if d.Response == nil || d.Response.StatusCode != m2m.StatusError {
+ t.Errorf("ответ НРД не сохранён в сделке: %+v", d.Response)
+ }
+ if len(d.Response.Responses) == 0 || d.Response.Responses[0].Code != "M2M14" {
+ t.Errorf("код ответа не сохранён: %+v", d.Response)
+ }
+}
+
+// TestReceiveServiceResponseInfo — INFO (принято в обработку) сохраняет ответ,
+// но НЕ меняет состояние: ждём M2MTransferDecision контрагента.
+func TestReceiveServiceResponseInfo(t *testing.T) {
+ d := newTestDeal(t)
+ before := d.State
+ resp := makeResponse(d.GUID, m2m.StatusInfo, "01", "Запрос на перевод принят в обработку")
+
+ if err := d.ReceiveServiceResponse(context.Background(), resp, nil); err != nil {
+ t.Fatalf("ReceiveServiceResponse(INFO): %v", err)
+ }
+ if d.State != before {
+ t.Errorf("состояние изменилось на %s, ожидалось без изменений (%s)", d.State, before)
+ }
+ if d.Response == nil || d.Response.StatusCode != m2m.StatusInfo {
+ t.Errorf("ответ НРД не сохранён: %+v", d.Response)
+ }
+}
+
+// TestReceiveServiceResponseTerminalIdempotent — повторный ERROR на уже
+// терминальной (Rejected) сделке не валит FSM, ответ обновляется.
+func TestReceiveServiceResponseTerminalIdempotent(t *testing.T) {
+ d := newTestDeal(t)
+ first := makeResponse(d.GUID, m2m.StatusError, "M2M14", "первый отказ")
+ if err := d.ReceiveServiceResponse(context.Background(), first, nil); err != nil {
+ t.Fatalf("первый ERROR: %v", err)
+ }
+ // Поллер ИШ может прислать тот же пакет повторно — не должно паниковать
+ // и не должно ломать состояние недопустимым переходом Rejected→Rejected.
+ second := makeResponse(d.GUID, m2m.StatusError, "M2M14", "повторный отказ")
+ if err := d.ReceiveServiceResponse(context.Background(), second, nil); err != nil {
+ t.Fatalf("повторный ERROR на терминальной сделке: %v", err)
+ }
+ if d.State != m2mcore.StateRejected {
+ t.Errorf("состояние %s, ожидалось %s", d.State, m2mcore.StateRejected)
+ }
+}
+
+// TestReceiveServiceResponseNil — защита от nil.
+func TestReceiveServiceResponseNil(t *testing.T) {
+ d := newTestDeal(t)
+ if err := d.ReceiveServiceResponse(context.Background(), nil, nil); err == nil {
+ t.Error("ожидалась ошибка на nil-ответе")
+ }
+}
diff --git a/internal/nsdadapter/igw/client.go b/internal/nsdadapter/igw/client.go
index 5f49e4f..f952e3b 100644
--- a/internal/nsdadapter/igw/client.go
+++ b/internal/nsdadapter/igw/client.go
@@ -25,6 +25,7 @@ import (
"errors"
"fmt"
"io"
+ "mime/multipart"
"net/http"
"net/url"
"strconv"
@@ -97,20 +98,30 @@ func (c *Client) SendPackage(ctx context.Context, channel, packageType string, z
if channel == "" {
return "", errors.New("igw: channel пустой")
}
- _ = packageType // не используется в новом API, кладётся внутрь ZIP/config.xml
+ _ = packageType // тип пакета (#M2MTR) кладётся внутрь ZIP/config.xml через pack.go
if len(zipBody) == 0 {
return "", errors.New("igw: zipBody пустой")
}
- payload := sendBody{
- Type: "archive",
- File: base64.StdEncoding.EncodeToString(zipBody),
+ // ИШ REST API ждёт multipart/form-data: поле File (binary ZIP) +
+ // Type (enum InFileType: FILE | ARCHIVE). Для ZIP-пакета — ARCHIVE.
+ // Ответ: {"id":
}. См. Swagger /api/package/{channel}/file.
+ var buf bytes.Buffer
+ mw := multipart.NewWriter(&buf)
+ if err := mw.WriteField("Type", "ARCHIVE"); err != nil {
+ return "", fmt.Errorf("igw: multipart Type: %w", err)
}
- raw, err := json.Marshal(payload)
+ fw, err := mw.CreateFormFile("File", "package.zip")
if err != nil {
- return "", fmt.Errorf("igw: marshal payload: %w", err)
+ return "", fmt.Errorf("igw: multipart File: %w", err)
+ }
+ if _, err := fw.Write(zipBody); err != nil {
+ return "", fmt.Errorf("igw: write zip в multipart: %w", err)
+ }
+ if err := mw.Close(); err != nil {
+ return "", fmt.Errorf("igw: multipart close: %w", err)
}
path := fmt.Sprintf("/api/package/%s/file", url.PathEscape(channel))
- resp, err := c.doRetry(ctx, http.MethodPost, path, bytes.NewReader(raw), "application/json")
+ resp, err := c.doRetry(ctx, http.MethodPost, path, &buf, mw.FormDataContentType())
if err != nil {
return "", err
}
diff --git a/internal/nsdadapter/igw/client_test.go b/internal/nsdadapter/igw/client_test.go
index f3622f6..dd5ba24 100644
--- a/internal/nsdadapter/igw/client_test.go
+++ b/internal/nsdadapter/igw/client_test.go
@@ -4,6 +4,7 @@ import (
"context"
"encoding/base64"
"encoding/json"
+ "io"
"net/http"
"net/http/httptest"
"strings"
@@ -20,23 +21,22 @@ func TestSendPackageHappyPath(t *testing.T) {
if r.URL.Path != "/api/package/CH1/file" {
t.Errorf("неожиданный путь %q", r.URL.Path)
}
- // Проверим что тело — это {Type: "archive", File: base64}.
- var body struct {
- Type string `json:"Type"`
- File string `json:"File"`
+ // ИШ ждёт multipart/form-data: поля Type (FILE|ARCHIVE) + File (binary).
+ if err := r.ParseMultipartForm(10 << 20); err != nil {
+ t.Fatalf("parse multipart: %v", err)
}
- if err := json.NewDecoder(r.Body).Decode(&body); err != nil {
- t.Fatalf("decode body: %v", err)
+ if got := r.FormValue("Type"); got != "ARCHIVE" {
+ t.Errorf("Type = %q, ожидалось ARCHIVE", got)
}
- if body.Type != "archive" {
- t.Errorf("Type = %q, ожидалось archive", body.Type)
+ f, _, err := r.FormFile("File")
+ if err != nil {
+ t.Fatalf("form file: %v", err)
}
- if body.File == "" {
+ defer f.Close()
+ b, _ := io.ReadAll(f)
+ if len(b) == 0 {
t.Errorf("File пустой")
}
- if _, err := base64.StdEncoding.DecodeString(body.File); err != nil {
- t.Errorf("File не base64: %v", err)
- }
w.WriteHeader(http.StatusOK)
_ = json.NewEncoder(w).Encode(map[string]any{"id": 123})
}))
diff --git a/internal/nsdadapter/sender.go b/internal/nsdadapter/sender.go
index e3bb6a2..203ee43 100644
--- a/internal/nsdadapter/sender.go
+++ b/internal/nsdadapter/sender.go
@@ -40,15 +40,21 @@ func (s *Sender) Send(ctx context.Context, req *m2m.M2MTransferRequest) (*m2m.M2
if err := req.Validate(); err != nil {
return nil, fmt.Errorf("nsdadapter: req.Validate: %w", err)
}
- body, err := nsdxml.Marshal(req)
- if err != nil {
- return nil, fmt.Errorf("nsdadapter: marshal Request: %w", err)
- }
pkgType, err := RouteToPackageType(KindTransferRequest)
if err != nil {
return nil, err
}
- pkgID, err := s.client.SendPackage(ctx, s.profile.Channel, string(pkgType), body)
+ // ИШ ждёт ZIP-архив (Type=ARCHIVE): doc.xml + config.xml с типом пакета.
+ // Сырой XML ИШ отвергает ("Bad signature" при распаковке). PackRequest
+ // собирает корректный ZIP с config.xml (#M2MTR).
+ body, err := igw.PackRequest(req, "M2MTransferRequest.xml")
+ if err != nil {
+ return nil, fmt.Errorf("nsdadapter: PackRequest: %w", err)
+ }
+ // ИШ резолвит канал по СОСТАВНОМУ коду: <код канала>+<код депонента>
+ // (так его формирует ИШ при создании канала: напр. TEST3+MC0413600000).
+ channel := s.profile.Channel + string(req.Header.SenderCode)
+ pkgID, err := s.client.SendPackage(ctx, channel, string(pkgType), body)
if err != nil {
return nil, fmt.Errorf("nsdadapter: SendPackage: %w", err)
}
@@ -67,7 +73,7 @@ func (s *Sender) SendDecision(ctx context.Context, decision *m2m.M2MTransferDeci
if err := decision.Validate(); err != nil {
return fmt.Errorf("nsdadapter: decision.Validate: %w", err)
}
- body, err := nsdxml.Marshal(decision)
+ xmlBytes, err := nsdxml.Marshal(decision)
if err != nil {
return fmt.Errorf("nsdadapter: marshal Decision: %w", err)
}
@@ -75,7 +81,12 @@ func (s *Sender) SendDecision(ctx context.Context, decision *m2m.M2MTransferDeci
if err != nil {
return err
}
- if _, err := s.client.SendPackage(ctx, s.profile.Channel, string(pkgType), body); err != nil {
+ body, err := igw.PackXML(xmlBytes, "M2MTransferDecision.xml", string(pkgType))
+ if err != nil {
+ return fmt.Errorf("nsdadapter: PackXML: %w", err)
+ }
+ channel := s.profile.Channel + string(decision.Header.SenderCode)
+ if _, err := s.client.SendPackage(ctx, channel, string(pkgType), body); err != nil {
return fmt.Errorf("nsdadapter: SendPackage: %w", err)
}
return nil
diff --git a/internal/nsdadapter/sender_test.go b/internal/nsdadapter/sender_test.go
index ec1d9c6..cd99855 100644
--- a/internal/nsdadapter/sender_test.go
+++ b/internal/nsdadapter/sender_test.go
@@ -88,8 +88,11 @@ func TestSenderSend(t *testing.T) {
if err != nil {
t.Fatalf("Send: %v", err)
}
- if mock.gotChannel != "TEST3" {
- t.Errorf("channel = %q, ожидалось TEST3", mock.gotChannel)
+ // ИШ резолвит канал по составному коду: код канала + код депонента-
+ // отправителя (channels.code = channelCode+deponentCode). Для профиля
+ // test3-gost и отправителя MC0079200000 это TEST3MC0079200000.
+ if mock.gotChannel != "TEST3MC0079200000" {
+ t.Errorf("channel = %q, ожидалось TEST3MC0079200000", mock.gotChannel)
}
if mock.gotType != string(nsdadapter.PackageM2MTransferRequest) {
t.Errorf("type = %q, ожидалось %s", mock.gotType, nsdadapter.PackageM2MTransferRequest)
diff --git a/internal/release/client.go b/internal/release/client.go
new file mode 100644
index 0000000..0dae187
--- /dev/null
+++ b/internal/release/client.go
@@ -0,0 +1,110 @@
+package release
+
+import (
+ "context"
+ "crypto/ed25519"
+ "encoding/json"
+ "fmt"
+ "io"
+ "net/http"
+ "os"
+ "path/filepath"
+ "strings"
+ "time"
+)
+
+// Client — клиент артефактории: скачивает подписанный манифест и артефакты,
+// проверяет подпись зашитым публичным ключом и sha256 каждого файла.
+type Client struct {
+ BaseURL string // напр. https://updates.example.com
+ Channel string // "stable" | "beta"
+ Pub ed25519.PublicKey // публичный ключ издателя (зашит в bj-server)
+ HTTP *http.Client
+}
+
+// NewClient собирает клиент. pubB64 — публичный ключ в base64 (зашитый).
+func NewClient(baseURL, channel, pubB64 string) (*Client, error) {
+ pub, err := ParsePublicKey(pubB64)
+ if err != nil {
+ return nil, fmt.Errorf("release: публичный ключ: %w", err)
+ }
+ return &Client{
+ BaseURL: strings.TrimRight(baseURL, "/"),
+ Channel: channel,
+ Pub: pub,
+ HTTP: &http.Client{Timeout: 60 * time.Second},
+ }, nil
+}
+
+// FetchManifest скачивает /v1//manifest.json и проверяет подпись.
+// Возвращает доверенный Manifest (или ошибку, если подпись не сошлась).
+func (c *Client) FetchManifest(ctx context.Context) (*Manifest, error) {
+ url := fmt.Sprintf("%s/v1/%s/manifest.json", c.BaseURL, c.Channel)
+ req, err := http.NewRequestWithContext(ctx, http.MethodGet, url, nil)
+ if err != nil {
+ return nil, err
+ }
+ resp, err := c.HTTP.Do(req)
+ if err != nil {
+ return nil, fmt.Errorf("release: запрос манифеста: %w", err)
+ }
+ defer resp.Body.Close()
+ if resp.StatusCode != http.StatusOK {
+ return nil, fmt.Errorf("release: манифест HTTP %d", resp.StatusCode)
+ }
+ var sm SignedManifest
+ if err := json.NewDecoder(resp.Body).Decode(&sm); err != nil {
+ return nil, fmt.Errorf("release: разбор манифеста: %w", err)
+ }
+ return Verify(&sm, c.Pub) // здесь проверяется подпись
+}
+
+// DownloadArtifact скачивает артефакт в destDir, проверяет sha256/размер по
+// манифесту, выставляет +x при необходимости. Возвращает путь к файлу.
+// Скачивает во временный файл и переименовывает атомарно.
+func (c *Client) DownloadArtifact(ctx context.Context, a Artifact, destDir string) (string, error) {
+ url := fmt.Sprintf("%s/v1/%s/files/%s", c.BaseURL, c.Channel, a.File)
+ req, err := http.NewRequestWithContext(ctx, http.MethodGet, url, nil)
+ if err != nil {
+ return "", err
+ }
+ resp, err := c.HTTP.Do(req)
+ if err != nil {
+ return "", fmt.Errorf("release: скачивание %s: %w", a.Name, err)
+ }
+ defer resp.Body.Close()
+ if resp.StatusCode != http.StatusOK {
+ return "", fmt.Errorf("release: %s HTTP %d", a.Name, resp.StatusCode)
+ }
+
+ tmp, err := os.CreateTemp(destDir, "."+a.File+".dl-*")
+ if err != nil {
+ return "", err
+ }
+ tmpName := tmp.Name()
+ defer os.Remove(tmpName) // если что-то пойдёт не так — подчистим
+
+ if _, err := io.Copy(tmp, resp.Body); err != nil {
+ tmp.Close()
+ return "", err
+ }
+ if err := tmp.Close(); err != nil {
+ return "", err
+ }
+ // Проверка целостности по манифесту (подпись манифеста уже проверена).
+ if err := VerifyArtifact(tmpName, a); err != nil {
+ return "", err
+ }
+ mode := os.FileMode(0o644)
+ if a.Exec {
+ mode = 0o755
+ }
+ if err := os.Chmod(tmpName, mode); err != nil {
+ return "", err
+ }
+ final := filepath.Join(destDir, a.File)
+ if err := os.Rename(tmpName, final); err != nil { // атомарно в пределах destDir
+ return "", err
+ }
+ return final, nil
+}
diff --git a/internal/release/manifest.go b/internal/release/manifest.go
new file mode 100644
index 0000000..8f81591
--- /dev/null
+++ b/internal/release/manifest.go
@@ -0,0 +1,198 @@
+// Package release — формат манифеста релиза артефактории и его подпись
+// Ed25519. Используется тремя сторонами:
+//
+// - cmd/bj-release — собирает манифест из артефактов и подписывает;
+// - cmd/bj-artifactory — отдаёт манифест и файлы по HTTP;
+// - bj-server (auto-update) — скачивает манифест, проверяет подпись,
+// сравнивает версии и обновляет компоненты.
+//
+// Доверие строится на одном корневом Ed25519-ключе: приватный держит
+// издатель (мы), публичный зашит в клиента (bj-server) и в установщик.
+// Манифест подписывается целиком в каноничном виде — клиент проверяет
+// подпись ДО того, как доверять версиям и хешам артефактов.
+package release
+
+import (
+ "crypto/ed25519"
+ "crypto/sha256"
+ "encoding/base64"
+ "encoding/hex"
+ "encoding/json"
+ "errors"
+ "fmt"
+ "io"
+ "os"
+ "time"
+)
+
+// CurrentSchema — версия формата манифеста (на случай эволюции).
+const CurrentSchema = 1
+
+// Artifact — один распространяемый файл (бинарь/скрипт/архив).
+type Artifact struct {
+ Name string `json:"name"` // логическое имя: "bj-server", "install-validata.sh"
+ File string `json:"file"` // имя файла в хранилище
+ Version string `json:"version,omitempty"` // версия компонента (если своя)
+ SHA256 string `json:"sha256"` // hex-хеш содержимого
+ Size int64 `json:"size"` // размер в байтах
+ Exec bool `json:"exec,omitempty"` // ставить ли +x при установке
+}
+
+// Manifest — описание релиза. Подписывается целиком (каноничный JSON).
+type Manifest struct {
+ Schema int `json:"schema"`
+ Version string `json:"version"` // версия релиза, напр. "1.2.0"
+ Channel string `json:"channel"` // "stable" | "beta"
+ ReleasedAt time.Time `json:"released_at"` // время сборки релиза
+ Notes string `json:"notes,omitempty"` // что нового (для UI)
+ MinVersion string `json:"min_version,omitempty"` // мин. версия для прямого апгрейда
+ Artifacts []Artifact `json:"artifacts"`
+}
+
+// SignedManifest — манифест + отделённая подпись. Именно это лежит в
+// /v1/manifest.json и скачивается клиентом.
+//
+// Payload хранится как base64 от каноничного JSON Manifest — НЕ как
+// вложенный JSON. Иначе json.MarshalIndent переформатировал бы содержимое
+// и подписанные байты разошлись бы с прочитанными.
+type SignedManifest struct {
+ Payload string `json:"payload"` // base64(каноничный JSON Manifest)
+ Signature string `json:"signature"` // base64(ed25519 over каноничным JSON)
+ KeyID string `json:"key_id"` // идентификатор публичного ключа
+}
+
+// Canonical сериализует манифест детерминированно (для подписи/проверки).
+// json.Marshal в Go стабилен по порядку полей структуры — этого достаточно,
+// т.к. подписываем и проверяем одни и те же байты Payload.
+func (m *Manifest) Canonical() ([]byte, error) {
+ if m.Schema == 0 {
+ m.Schema = CurrentSchema
+ }
+ return json.Marshal(m)
+}
+
+// Sign подписывает манифест приватным ключом и возвращает SignedManifest.
+func Sign(m *Manifest, priv ed25519.PrivateKey, keyID string) (*SignedManifest, error) {
+ payload, err := m.Canonical()
+ if err != nil {
+ return nil, fmt.Errorf("release: canonical: %w", err)
+ }
+ sig := ed25519.Sign(priv, payload)
+ return &SignedManifest{
+ Payload: base64.StdEncoding.EncodeToString(payload),
+ Signature: base64.StdEncoding.EncodeToString(sig),
+ KeyID: keyID,
+ }, nil
+}
+
+// Verify проверяет подпись и возвращает разобранный Manifest. Это
+// единственный способ получить доверенный Manifest на стороне клиента.
+func Verify(sm *SignedManifest, pub ed25519.PublicKey) (*Manifest, error) {
+ sig, err := base64.StdEncoding.DecodeString(sm.Signature)
+ if err != nil {
+ return nil, fmt.Errorf("release: decode signature: %w", err)
+ }
+ payload, err := base64.StdEncoding.DecodeString(sm.Payload)
+ if err != nil {
+ return nil, fmt.Errorf("release: decode payload: %w", err)
+ }
+ if !ed25519.Verify(pub, payload, sig) {
+ return nil, errors.New("release: подпись манифеста недействительна")
+ }
+ var m Manifest
+ if err := json.Unmarshal(payload, &m); err != nil {
+ return nil, fmt.Errorf("release: unmarshal payload: %w", err)
+ }
+ if m.Schema != CurrentSchema {
+ return nil, fmt.Errorf("release: неподдерживаемая схема манифеста %d (ожидается %d)", m.Schema, CurrentSchema)
+ }
+ return &m, nil
+}
+
+// HashFile считает sha256 (hex) и размер файла — для заполнения Artifact.
+func HashFile(path string) (sha string, size int64, err error) {
+ f, err := os.Open(path)
+ if err != nil {
+ return "", 0, err
+ }
+ defer f.Close()
+ h := sha256.New()
+ n, err := io.Copy(h, f)
+ if err != nil {
+ return "", 0, err
+ }
+ return hex.EncodeToString(h.Sum(nil)), n, nil
+}
+
+// VerifyArtifact проверяет, что файл по пути совпадает с Artifact (хеш+размер).
+func VerifyArtifact(path string, a Artifact) error {
+ sha, size, err := HashFile(path)
+ if err != nil {
+ return err
+ }
+ if size != a.Size {
+ return fmt.Errorf("release: размер %s не совпал: %d != %d", a.Name, size, a.Size)
+ }
+ if sha != a.SHA256 {
+ return fmt.Errorf("release: sha256 %s не совпал", a.Name)
+ }
+ return nil
+}
+
+// --- Ключи ---
+
+// LoadPrivateKey читает Ed25519 приватный ключ из файла (base64 seed, 32 байта).
+func LoadPrivateKey(path string) (ed25519.PrivateKey, error) {
+ b, err := os.ReadFile(path)
+ if err != nil {
+ return nil, err
+ }
+ seed, err := base64.StdEncoding.DecodeString(stringsTrim(string(b)))
+ if err != nil {
+ return nil, fmt.Errorf("release: decode seed: %w", err)
+ }
+ if len(seed) != ed25519.SeedSize {
+ return nil, fmt.Errorf("release: неверный размер seed %d (ожидается %d)", len(seed), ed25519.SeedSize)
+ }
+ return ed25519.NewKeyFromSeed(seed), nil
+}
+
+// LoadPublicKey читает Ed25519 публичный ключ из файла (base64, 32 байта).
+func LoadPublicKey(path string) (ed25519.PublicKey, error) {
+ b, err := os.ReadFile(path)
+ if err != nil {
+ return nil, err
+ }
+ pub, err := base64.StdEncoding.DecodeString(stringsTrim(string(b)))
+ if err != nil {
+ return nil, fmt.Errorf("release: decode pubkey: %w", err)
+ }
+ if len(pub) != ed25519.PublicKeySize {
+ return nil, fmt.Errorf("release: неверный размер pubkey %d", len(pub))
+ }
+ return ed25519.PublicKey(pub), nil
+}
+
+// ParsePublicKey разбирает публичный ключ из base64-строки (для зашитого в клиента).
+func ParsePublicKey(b64 string) (ed25519.PublicKey, error) {
+ pub, err := base64.StdEncoding.DecodeString(stringsTrim(b64))
+ if err != nil {
+ return nil, err
+ }
+ if len(pub) != ed25519.PublicKeySize {
+ return nil, fmt.Errorf("release: неверный размер pubkey %d", len(pub))
+ }
+ return ed25519.PublicKey(pub), nil
+}
+
+func stringsTrim(s string) string {
+ // убираем пробелы/переводы строк вокруг base64
+ start, end := 0, len(s)
+ for start < end && (s[start] == ' ' || s[start] == '\n' || s[start] == '\r' || s[start] == '\t') {
+ start++
+ }
+ for end > start && (s[end-1] == ' ' || s[end-1] == '\n' || s[end-1] == '\r' || s[end-1] == '\t') {
+ end--
+ }
+ return s[start:end]
+}
diff --git a/internal/release/manifest_test.go b/internal/release/manifest_test.go
new file mode 100644
index 0000000..1500e1a
--- /dev/null
+++ b/internal/release/manifest_test.go
@@ -0,0 +1,61 @@
+package release
+
+import (
+ "crypto/ed25519"
+ "crypto/rand"
+ "encoding/base64"
+ "testing"
+ "time"
+)
+
+func TestSignVerifyRoundTrip(t *testing.T) {
+ pub, priv, err := ed25519.GenerateKey(rand.Reader)
+ if err != nil {
+ t.Fatal(err)
+ }
+ m := &Manifest{
+ Version: "1.2.3",
+ Channel: "stable",
+ ReleasedAt: time.Now().UTC().Truncate(time.Second),
+ Artifacts: []Artifact{
+ {Name: "bj-server", File: "bj-server", SHA256: "abc", Size: 100, Exec: true},
+ },
+ }
+ sm, err := Sign(m, priv, "main")
+ if err != nil {
+ t.Fatalf("Sign: %v", err)
+ }
+ got, err := Verify(sm, pub)
+ if err != nil {
+ t.Fatalf("Verify: %v", err)
+ }
+ if got.Version != m.Version || got.Channel != m.Channel || len(got.Artifacts) != 1 {
+ t.Fatalf("manifest mismatch: %+v", got)
+ }
+ if got.Schema != CurrentSchema {
+ t.Fatalf("schema = %d, want %d", got.Schema, CurrentSchema)
+ }
+}
+
+func TestVerifyRejectsTamper(t *testing.T) {
+ pub, priv, _ := ed25519.GenerateKey(rand.Reader)
+ m := &Manifest{Version: "1.0.0", Channel: "stable", Artifacts: []Artifact{{Name: "x"}}}
+ sm, _ := Sign(m, priv, "main")
+ // Подменяем payload на другой манифест — подпись не должна сойтись.
+ other := &Manifest{Version: "9.9.9", Channel: "stable", Artifacts: []Artifact{{Name: "evil"}}}
+ bad, _ := other.Canonical()
+ sm.Payload = base64.StdEncoding.EncodeToString(bad)
+ if _, err := Verify(sm, pub); err == nil {
+ t.Fatal("Verify принял подделанный payload")
+ }
+}
+
+func TestVerifyRejectsWrongKey(t *testing.T) {
+ _, priv, _ := ed25519.GenerateKey(rand.Reader)
+ other, _, _ := ed25519.GenerateKey(rand.Reader) // чужой публичный ключ
+ m := &Manifest{Version: "1.0.0", Channel: "stable", Artifacts: []Artifact{{Name: "x"}}}
+ sm, _ := Sign(m, priv, "main")
+ if _, err := Verify(sm, other); err == nil {
+ t.Fatal("Verify принял подпись чужим ключом")
+ }
+}
diff --git a/internal/release/version.go b/internal/release/version.go
new file mode 100644
index 0000000..68a261f
--- /dev/null
+++ b/internal/release/version.go
@@ -0,0 +1,36 @@
+package release
+
+import (
+ "strconv"
+ "strings"
+)
+
+// IsNewer возвращает true, если версия remote строго новее local.
+// Понимает semver вида "MAJOR.MINOR.PATCH" (с опциональным префиксом "v"
+// и суффиксом "-beta" — суффикс игнорируется при сравнении чисел).
+// Некорректные/пустые версии считаются «старыми» (0.0.0).
+func IsNewer(remote, local string) bool {
+ rm := parseVer(remote)
+ lc := parseVer(local)
+ for i := 0; i < 3; i++ {
+ if rm[i] != lc[i] {
+ return rm[i] > lc[i]
+ }
+ }
+ return false
+}
+
+func parseVer(s string) [3]int {
+ s = strings.TrimSpace(s)
+ s = strings.TrimPrefix(s, "v")
+ if i := strings.IndexAny(s, "-+"); i >= 0 {
+ s = s[:i] // отбрасываем -beta, +build
+ }
+ var out [3]int
+ parts := strings.Split(s, ".")
+ for i := 0; i < 3 && i < len(parts); i++ {
+ n, _ := strconv.Atoi(parts[i])
+ out[i] = n
+ }
+ return out
+}
diff --git a/services/crypto-service/build.gradle.kts b/services/crypto-service/build.gradle.kts
index d435dea..a034744 100644
--- a/services/crypto-service/build.gradle.kts
+++ b/services/crypto-service/build.gradle.kts
@@ -1,17 +1,20 @@
// build.gradle.kts — Gradle build для crypto-service.
//
// Артефакт: ./build/libs/crypto-service-0.1.0-all.jar (shadow jar).
-// Запуск: java -jar crypto-service-0.1.0-all.jar (UDS из BJ_CRYPTO_SOCKET).
+// Запуск:
+// java -Djava.library.path=/opt/Validata/VDCSP/lib/amd64 \
+// -jar crypto-service-0.1.0-all.jar
//
-// Зависимости (Maven Central, подключаются автоматически):
-// - grpc-java (server + protoc-gen-java)
-// - protobuf-java
-// - apache santuario (XMLDSig)
-// - jcp (КриптоПро JCP) — внешний jar, поставляется заказчиком
-// отдельно вместе с лицензией; положить в libs/.
+// Зависимости:
+// - grpc-java (server + protoc-gen-java) — Maven Central
+// - protobuf-java — Maven Central
+// - apache santuario (XMLDSig) — Maven Central
+// - Pki1.LocalIface.jar (Валидата JNI) — libs/ (положен из
+// /opt/Validata/VDCSP/lib/)
//
-// Соберётся, когда Maven Central доступен через прокси zetit
-// (пока ждём админа).
+// Java toolchain — 17 (LTS), на Astra 1.7 ставится из openjdk-17-jdk.
+
+import com.google.protobuf.gradle.id
plugins {
id("java")
@@ -25,13 +28,13 @@ version = "0.1.0"
java {
toolchain {
- languageVersion.set(JavaLanguageVersion.of(21))
+ languageVersion.set(JavaLanguageVersion.of(17))
}
}
repositories {
mavenCentral()
- flatDir { dirs("libs") } // для jcp.jar
+ flatDir { dirs("libs") } // Pki1.LocalIface.jar (Валидата)
}
dependencies {
@@ -43,11 +46,13 @@ dependencies {
implementation("io.grpc:grpc-stub:$grpcVer")
implementation("com.google.protobuf:protobuf-java:$protobufVer")
- // XMLDSig (с ГОСТ-патчем поставляется в libs/ заказчиком).
+ // XMLDSig — построение/разбор подписи. ГОСТ-алгоритмы реализуем сами
+ // (digest + signature через VCERT_*), Santuario используем только для
+ // канонизации и сборки XML-структуры.
implementation("org.apache.santuario:xmlsec:3.0.4")
- // КриптоПро JCP — кладётся в services/crypto-service/libs/jcp.jar.
- // implementation(files("libs/jcp.jar"))
+ // Валидата Клиент L — Pki1.LocalIface.jar.
+ implementation(files("libs/Pki1.LocalIface.jar"))
compileOnly("javax.annotation:javax.annotation-api:1.3.2")
implementation("ch.qos.logback:logback-classic:1.5.6")
@@ -58,6 +63,9 @@ dependencies {
application {
mainClass.set("ru.zetit.bridgeandjoins.crypto.CryptoServer")
+ applicationDefaultJvmArgs = listOf(
+ "-Djava.library.path=/opt/Validata/VDCSP/lib/amd64",
+ )
}
protobuf {
@@ -78,6 +86,14 @@ protobuf {
}
}
-tasks.test {
+sourceSets {
+ main {
+ proto {
+ srcDir("proto")
+ }
+ }
+}
+
+tasks.withType {
useJUnitPlatform()
}
diff --git a/services/crypto-service/proto/crypto.proto b/services/crypto-service/proto/crypto.proto
index 8cec4a8..8b79a3e 100644
--- a/services/crypto-service/proto/crypto.proto
+++ b/services/crypto-service/proto/crypto.proto
@@ -19,6 +19,41 @@ service CryptoService {
// Health-check.
rpc Health(HealthRequest) returns (HealthResponse);
+
+ // Activate — переинициализирует провайдер Валидаты на указанный
+ // профиль из pki1.conf. Если profile пуст — переходит в
+ // VCERT_InitMinimal (без доступа к ПСП/ЛСП/ССС). Не требует
+ // перезапуска сайдкара.
+ rpc Activate(ActivateRequest) returns (ActivateResponse);
+
+ // Shutdown — корректно завершает процесс сайдкара (System.exit(2)
+ // после отправки ответа). systemd с Restart=on-failure поднимет
+ // его снова через RestartSec секунд. Используется для UI-кнопки
+ // «Перезапустить crypto-service» без sudo.
+ rpc Shutdown(ShutdownRequest) returns (ShutdownResponse);
+}
+
+message ActivateRequest {
+ // Имя профиля в pki1.conf. Пустая строка = minimal mode.
+ string profile = 1;
+}
+
+message ActivateResponse {
+ // true если провайдер успешно (пере)инициализирован.
+ bool ok = 1;
+ // Имя активного провайдера ("validata" / "stub").
+ string provider = 2;
+ // Имя активного профиля (пусто для minimal).
+ string profile = 3;
+ // Сообщение о результате (для UI).
+ string message = 4;
+}
+
+message ShutdownRequest {}
+
+message ShutdownResponse {
+ // true означает «запрос принят, процесс завершится через ~500ms».
+ bool ok = 1;
}
message VerifyRequest {
diff --git a/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/ActivateHandler.java b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/ActivateHandler.java
new file mode 100644
index 0000000..4736ea8
--- /dev/null
+++ b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/ActivateHandler.java
@@ -0,0 +1,42 @@
+package ru.zetit.bridgeandjoins.crypto;
+
+import ru.zetit.bridgeandjoins.crypto.v1.ActivateRequest;
+import ru.zetit.bridgeandjoins.crypto.v1.ActivateResponse;
+
+import java.util.logging.Logger;
+
+/**
+ * Хендлер Activate: переключает текущий провайдер на указанный
+ * профиль pki1.conf без рестарта сайдкара. Если провайдер не
+ * {@link ValidataProvider} (например stub) — отказ.
+ */
+public final class ActivateHandler {
+
+ private static final Logger LOG = Logger.getLogger(ActivateHandler.class.getName());
+
+ private final KeystoreProvider keystore;
+
+ public ActivateHandler(KeystoreProvider keystore) {
+ this.keystore = keystore;
+ }
+
+ public ActivateResponse handle(ActivateRequest request) {
+ String profile = request.getProfile();
+ if (!(keystore instanceof ValidataProvider vp)) {
+ return ActivateResponse.newBuilder()
+ .setOk(false)
+ .setProvider(keystore.name())
+ .setMessage("crypto-service запущен с провайдером " + keystore.name()
+ + " — переключение профиля доступно только для validata")
+ .build();
+ }
+ boolean ok = vp.reinit(profile);
+ LOG.info("Activate: profile=\"" + profile + "\", ok=" + ok + ", msg=" + vp.message());
+ return ActivateResponse.newBuilder()
+ .setOk(ok)
+ .setProvider(vp.name())
+ .setProfile(profile == null ? "" : profile)
+ .setMessage(vp.message())
+ .build();
+ }
+}
diff --git a/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/CryptoServer.java b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/CryptoServer.java
index 18fa18e..d01d26d 100644
--- a/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/CryptoServer.java
+++ b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/CryptoServer.java
@@ -14,32 +14,44 @@ import java.util.logging.Logger;
/**
* Точка входа crypto-service.
*
- * Слушает Unix Domain Socket по пути из переменной окружения
- * BJ_CRYPTO_SOCKET (по умолчанию /run/bj/crypto.sock).
- * Используется UDS вместо TCP — минимальная задержка и изоляция
- * от сети.
+ * Слушает Unix Domain Socket по пути из BJ_CRYPTO_SOCKET
+ * (по умолчанию /run/bj/crypto.sock). UDS вместо TCP — минимальная
+ * задержка и изоляция от сети.
+ *
+ * Провайдер выбирается через BJ_CRYPTO_PROVIDER:
+ * - "validata" — АПК «Валидата Клиент L» (через Pki1.LocalIface);
+ * - что-либо ещё или пусто — stub (gRPC жив, реальная криптография
+ * отключена; используется на дев-стендах).
+ *
+ * Профиль Валидаты задаётся через BJ_VALIDATA_PROFILE (имя из
+ * pki1.conf или ПК «Справочник сертификатов»). Если пусто —
+ * инициализация в режиме VCERT_InitMinimal (хэш, Base64, RAND).
*/
public final class CryptoServer {
private static final Logger LOG = Logger.getLogger(CryptoServer.class.getName());
private static final String DEFAULT_SOCKET = "/run/bj/crypto.sock";
- private CryptoServer() {
- // utility
- }
+ private CryptoServer() { /* utility */ }
public static void main(String[] args) throws IOException, InterruptedException {
String socketPath = System.getenv().getOrDefault("BJ_CRYPTO_SOCKET", DEFAULT_SOCKET);
String provider = System.getenv().getOrDefault("BJ_CRYPTO_PROVIDER", "stub");
+ Files.createDirectories(Path.of(socketPath).getParent());
Files.deleteIfExists(Path.of(socketPath));
KeystoreProvider keystore = KeystoreProvider.byName(provider);
+ LOG.info("crypto-service: провайдер " + keystore.name() + " — " + keystore.message());
+
VerifyHandler verifyHandler = new VerifyHandler(keystore);
SignHandler signHandler = new SignHandler(keystore);
- HealthHandler healthHandler = new HealthHandler(provider);
+ HealthHandler healthHandler = new HealthHandler(keystore);
+ ActivateHandler activateHandler = new ActivateHandler(keystore);
+ ShutdownHandler shutdownHandler = new ShutdownHandler();
- CryptoServiceImpl service = new CryptoServiceImpl(verifyHandler, signHandler, healthHandler);
+ CryptoServiceImpl service = new CryptoServiceImpl(verifyHandler, signHandler,
+ healthHandler, activateHandler, shutdownHandler);
Server server = NettyServerBuilder
.forAddress(new DomainSocketAddress(socketPath))
@@ -50,11 +62,13 @@ public final class CryptoServer {
.build()
.start();
- LOG.info("crypto-service: UDS " + socketPath + ", provider=" + provider);
+ LOG.info("crypto-service: UDS " + socketPath + ", provider=" + keystore.name()
+ + ", ready=" + keystore.ready());
Runtime.getRuntime().addShutdownHook(new Thread(() -> {
LOG.info("crypto-service: graceful shutdown");
server.shutdown();
+ keystore.close();
}));
server.awaitTermination();
diff --git a/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/CryptoServiceImpl.java b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/CryptoServiceImpl.java
index bbad591..fcc5c40 100644
--- a/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/CryptoServiceImpl.java
+++ b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/CryptoServiceImpl.java
@@ -2,9 +2,13 @@ package ru.zetit.bridgeandjoins.crypto;
import io.grpc.Status;
import io.grpc.stub.StreamObserver;
+import ru.zetit.bridgeandjoins.crypto.v1.ActivateRequest;
+import ru.zetit.bridgeandjoins.crypto.v1.ActivateResponse;
import ru.zetit.bridgeandjoins.crypto.v1.CryptoServiceGrpc;
import ru.zetit.bridgeandjoins.crypto.v1.HealthRequest;
import ru.zetit.bridgeandjoins.crypto.v1.HealthResponse;
+import ru.zetit.bridgeandjoins.crypto.v1.ShutdownRequest;
+import ru.zetit.bridgeandjoins.crypto.v1.ShutdownResponse;
import ru.zetit.bridgeandjoins.crypto.v1.SignRequest;
import ru.zetit.bridgeandjoins.crypto.v1.SignResponse;
import ru.zetit.bridgeandjoins.crypto.v1.VerifyRequest;
@@ -19,11 +23,17 @@ public final class CryptoServiceImpl extends CryptoServiceGrpc.CryptoServiceImpl
private final VerifyHandler verify;
private final SignHandler sign;
private final HealthHandler health;
+ private final ActivateHandler activate;
+ private final ShutdownHandler shutdown;
- public CryptoServiceImpl(VerifyHandler verify, SignHandler sign, HealthHandler health) {
+ public CryptoServiceImpl(VerifyHandler verify, SignHandler sign,
+ HealthHandler health, ActivateHandler activate,
+ ShutdownHandler shutdown) {
this.verify = verify;
this.sign = sign;
this.health = health;
+ this.activate = activate;
+ this.shutdown = shutdown;
}
@Override
@@ -51,4 +61,24 @@ public final class CryptoServiceImpl extends CryptoServiceGrpc.CryptoServiceImpl
obs.onNext(health.handle(request));
obs.onCompleted();
}
+
+ @Override
+ public void activate(ActivateRequest request, StreamObserver obs) {
+ try {
+ obs.onNext(activate.handle(request));
+ obs.onCompleted();
+ } catch (Exception e) {
+ obs.onError(Status.INTERNAL.withDescription(e.getMessage()).asException());
+ }
+ }
+
+ @Override
+ public void shutdown(ShutdownRequest request, StreamObserver obs) {
+ try {
+ obs.onNext(shutdown.handle(request));
+ obs.onCompleted();
+ } catch (Exception e) {
+ obs.onError(Status.INTERNAL.withDescription(e.getMessage()).asException());
+ }
+ }
}
diff --git a/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/HealthHandler.java b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/HealthHandler.java
index 2e93e00..a6bf2bb 100644
--- a/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/HealthHandler.java
+++ b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/HealthHandler.java
@@ -3,22 +3,34 @@ package ru.zetit.bridgeandjoins.crypto;
import ru.zetit.bridgeandjoins.crypto.v1.HealthRequest;
import ru.zetit.bridgeandjoins.crypto.v1.HealthResponse;
-/** Хендлер Health: всегда ok=true с указанием активного провайдера. */
+/**
+ * Хендлер Health: возвращает статус провайдера КЗИ.
+ * - ok=true, если провайдер успешно инициализирован (или работает в stub);
+ * - provider — "validata" или "stub";
+ * - version — версия crypto-service.
+ *
+ * В крайнем правом окне UI bj-server этот ответ читается через cryptocli
+ * и показывается в /admin/setup → СКЗИ.
+ */
public final class HealthHandler {
private static final String VERSION = "0.1.0";
- private final String provider;
+ private final KeystoreProvider keystore;
- public HealthHandler(String provider) {
- this.provider = provider;
+ public HealthHandler(KeystoreProvider keystore) {
+ this.keystore = keystore;
}
public HealthResponse handle(HealthRequest request) {
+ // ok=true даже для stub — gRPC-сервис жив; реальная готовность
+ // криптографии видна по полю provider (stub ↔ криптография не
+ // подключена). Это упрощает /healthz: «UDS живой» — отдельный
+ // факт от «есть рабочий ключ».
return HealthResponse.newBuilder()
.setOk(true)
- .setVersion(VERSION)
- .setProvider(provider)
+ .setVersion(VERSION + " (" + keystore.message() + ")")
+ .setProvider(keystore.name())
.build();
}
}
diff --git a/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/KeystoreProvider.java b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/KeystoreProvider.java
index afe81ea..bd0636f 100644
--- a/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/KeystoreProvider.java
+++ b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/KeystoreProvider.java
@@ -1,53 +1,50 @@
package ru.zetit.bridgeandjoins.crypto;
/**
- * Provider-абстракция над хранилищем ключей. Реальные реализации
- * подключаются вместе с соответствующими jar-ами (КриптоПро JCP,
- * Валидата JCP, ViPNet). На M1 — Stub.
+ * Provider-абстракция над хранилищем ключей. На Linux используется
+ * АПК «Валидата Клиент L» через Pki1.LocalIface (JNI-биндинг к
+ * libzpki1jni.so). Если BJ_CRYPTO_PROVIDER=stub — поднимается
+ * заглушка для дев-стендов без реальной криптографии.
*/
public interface KeystoreProvider {
/** Уникальное имя провайдера (используется в HealthResponse.provider). */
String name();
- /** Возвращает true, если провайдер инициализирован и готов к работе. */
+ /** true, если провайдер инициализирован и готов к работе. */
boolean ready();
+ /** Короткое описание состояния (для Health и диагностики). */
+ String message();
+
/**
- * Подбирает реализацию по имени из переменной окружения
- * BJ_CRYPTO_PROVIDER. Неизвестное имя — Stub.
+ * Возвращает Pki1.LocalIface, если провайдер — Валидата и
+ * инициализация прошла; иначе null.
+ */
+ Pki1.LocalIface pki();
+
+ /** Закрывает контекст провайдера (для shutdown). */
+ void close();
+
+ /**
+ * Подбирает реализацию по имени из BJ_CRYPTO_PROVIDER.
+ * Неизвестное имя — Stub.
*/
static KeystoreProvider byName(String name) {
- switch (name == null ? "" : name) {
- case "cryptopro": return new CryptoProJcpProvider();
- case "validata": return new ValidataJcpProvider();
- case "vipnet": return new VipNetProvider();
- default: return new StubProvider();
+ if ("validata".equals(name)) {
+ return new ValidataProvider();
}
+ return new StubProvider();
}
}
-/** Заглушка по умолчанию. Возвращает ready()=false. */
+/** Заглушка для дев-стендов: ready()=false, реальная криптография недоступна. */
final class StubProvider implements KeystoreProvider {
@Override public String name() { return "stub"; }
@Override public boolean ready() { return false; }
-}
-
-/** КриптоПро JCP. Реализация — после получения jar и лицензии. */
-final class CryptoProJcpProvider implements KeystoreProvider {
- // TODO(M2): инициализация Provider'а через Security.addProvider(new ru.CryptoPro.JCP.JCP());
- @Override public String name() { return "cryptopro"; }
- @Override public boolean ready() { return false; }
-}
-
-/** Валидата JCP. Заглушка. */
-final class ValidataJcpProvider implements KeystoreProvider {
- @Override public String name() { return "validata"; }
- @Override public boolean ready() { return false; }
-}
-
-/** ViPNet. Заглушка. */
-final class VipNetProvider implements KeystoreProvider {
- @Override public String name() { return "vipnet"; }
- @Override public boolean ready() { return false; }
+ @Override public String message() {
+ return "Провайдер stub — реальная криптография не подключена.";
+ }
+ @Override public Pki1.LocalIface pki() { return null; }
+ @Override public void close() { /* no-op */ }
}
diff --git a/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/ShutdownHandler.java b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/ShutdownHandler.java
new file mode 100644
index 0000000..652b423
--- /dev/null
+++ b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/ShutdownHandler.java
@@ -0,0 +1,33 @@
+package ru.zetit.bridgeandjoins.crypto;
+
+import ru.zetit.bridgeandjoins.crypto.v1.ShutdownRequest;
+import ru.zetit.bridgeandjoins.crypto.v1.ShutdownResponse;
+
+import java.util.logging.Logger;
+
+/**
+ * Хендлер Shutdown: формирует ответ, затем (с короткой задержкой,
+ * чтобы клиент успел получить ответ) вызывает System.exit(2). systemd
+ * с Restart=on-failure поднимает сайдкар обратно через RestartSec.
+ */
+public final class ShutdownHandler {
+
+ private static final Logger LOG = Logger.getLogger(ShutdownHandler.class.getName());
+
+ public ShutdownResponse handle(ShutdownRequest request) {
+ LOG.info("Shutdown: получен запрос, exit(2) через 500мс");
+ // Поток-смертник: даёт gRPC завершить ответ клиенту, затем
+ // valle exit с ненулевым кодом → systemd считает это failure
+ // и перезапускает.
+ Thread reaper = new Thread(() -> {
+ try {
+ Thread.sleep(500);
+ } catch (InterruptedException ignore) {
+ }
+ System.exit(2);
+ }, "bj-crypto-reaper");
+ reaper.setDaemon(true);
+ reaper.start();
+ return ShutdownResponse.newBuilder().setOk(true).build();
+ }
+}
diff --git a/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/SignHandler.java b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/SignHandler.java
index 5759b79..a50ed21 100644
--- a/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/SignHandler.java
+++ b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/SignHandler.java
@@ -6,13 +6,25 @@ import io.grpc.StatusRuntimeException;
import ru.zetit.bridgeandjoins.crypto.v1.SignRequest;
import ru.zetit.bridgeandjoins.crypto.v1.SignResponse;
+import java.util.logging.Logger;
+
/**
- * Хендлер подписи XML. На M1 — заглушка, возвращает UNIMPLEMENTED.
- * Реальная реализация подключается, когда лицензия КриптоПро JCP
- * будет доступна.
+ * Хендлер подписи. Формирует CMS detached signature через
+ * VCERT_CmsBlkDetSignMem с алгоритмом ГОСТ Р 34.10-2012 (256 бит
+ * по умолчанию из профиля Валидаты).
+ *
+ * Поле key_alias из gRPC-запроса передаётся в certid_t.keyId — нативный
+ * CSP подставит дефолтный ключ из профиля при пустом alias.
+ *
+ * Возвращает signed_xml = DER-байты CMS detached signature. На уровне
+ * bj-server этот блок отправляется как signed_document (base64).
+ * XMLDSig-обёртка с канонизацией добавится отдельным этапом
+ * (Apache Santuario).
*/
public final class SignHandler {
+ private static final Logger LOG = Logger.getLogger(SignHandler.class.getName());
+
private final KeystoreProvider keystore;
public SignHandler(KeystoreProvider keystore) {
@@ -20,21 +32,66 @@ public final class SignHandler {
}
public SignResponse handle(SignRequest request) {
- // TODO(M2): реальная реализация:
- // 1. Загружаем ключ по key_alias из keystore (через KeystoreProvider).
- // 2. Канонизуем payload по xml-exc-c14n.
- // 3. Создаём элемент через Santuario с GOST-алгоритмом.
- // 4. Возвращаем signed_xml.
- //
- // Сейчас — заглушка.
+ if (!keystore.ready() || keystore.pki() == null) {
+ throw new StatusRuntimeException(Status.FAILED_PRECONDITION
+ .withDescription("crypto-service: SignXMLDSig — провайдер "
+ + keystore.name() + " не готов: " + keystore.message()));
+ }
+ if (keystore instanceof ValidataProvider vp && vp.isMinimal()) {
+ throw new StatusRuntimeException(Status.FAILED_PRECONDITION
+ .withDescription("crypto-service: SignXMLDSig — Валидата в режиме minimal "
+ + "(BJ_VALIDATA_PROFILE не задан), подпись недоступна без профиля"));
+ }
+ if (request.getPayload().isEmpty()) {
+ throw new StatusRuntimeException(Status.INVALID_ARGUMENT
+ .withDescription("crypto-service: SignXMLDSig — payload пуст"));
+ }
- throw new StatusRuntimeException(Status.UNIMPLEMENTED
- .withDescription("crypto-service: SignXMLDSig stub — провайдер "
- + keystore.name() + " не подключён (ждём PR-6/M2 КриптоПро JCP)"));
+ Pki1.LocalIface pki = keystore.pki();
+ try {
+ Pki1.LocalIface.sign_param_t signParam = new Pki1.LocalIface.sign_param_t();
+ String alias = request.getKeyAlias();
+ if (alias != null && !alias.isEmpty()) {
+ Pki1.LocalIface.certid_t cid = new Pki1.LocalIface.certid_t();
+ cid.type = Pki1.LocalIface.ID_ALIAS;
+ cid.alias = alias;
+ signParam.mycert = cid;
+ }
+
+ Pki1.LocalIface.mem_blk_t data = memBlock(request.getPayload().toByteArray());
+ Pki1.LocalIface.mem_blk_t signature = new Pki1.LocalIface.mem_blk_t();
+
+ // CMS detached signature: подпись в signature, исходные данные
+ // в результат не включаются. Третий аргумент (key) — null:
+ // ключ подбирается нативным CSP по certid.
+ int rc = pki.VCERT_CmsBlkDetSignMem(signParam, data, null, signature);
+ if (rc != 0) {
+ String err = pki.VCERT_GetErrorText(rc);
+ throw new StatusRuntimeException(Status.INTERNAL
+ .withDescription("crypto-service: VCERT_CmsBlkDetSignMem rc=" + rc
+ + " (" + err + ")"));
+ }
+ if (signature.buf == null || signature.len <= 0) {
+ throw new StatusRuntimeException(Status.INTERNAL
+ .withDescription("crypto-service: подпись вернулась пустая"));
+ }
+ return SignResponse.newBuilder()
+ .setSignedXml(ByteString.copyFrom(signature.buf, 0, signature.len))
+ .build();
+ } catch (StatusRuntimeException sre) {
+ throw sre;
+ } catch (Throwable t) {
+ LOG.severe("SignHandler: исключение " + t);
+ throw new StatusRuntimeException(Status.INTERNAL
+ .withDescription("crypto-service: " + t.getClass().getSimpleName()
+ + ": " + t.getMessage()));
+ }
}
- @SuppressWarnings("unused")
- private SignResponse empty() {
- return SignResponse.newBuilder().setSignedXml(ByteString.EMPTY).build();
+ private static Pki1.LocalIface.mem_blk_t memBlock(byte[] bytes) {
+ Pki1.LocalIface.mem_blk_t mb = new Pki1.LocalIface.mem_blk_t();
+ mb.buf = bytes;
+ mb.len = bytes.length;
+ return mb;
}
}
diff --git a/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/ValidataProvider.java b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/ValidataProvider.java
new file mode 100644
index 0000000..eaa5119
--- /dev/null
+++ b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/ValidataProvider.java
@@ -0,0 +1,124 @@
+package ru.zetit.bridgeandjoins.crypto;
+
+import java.util.logging.Logger;
+
+/**
+ * Провайдер на основе АПК «Валидата Клиент L». Через Pki1.LocalIface
+ * вызывает нативную JNI-библиотеку libzpki1jni.so. Профиль
+ * (имя из pki1.conf или ПК «Справочник сертификатов») берётся из
+ * переменной окружения BJ_VALIDATA_PROFILE — если пусто, инициализируем
+ * минимальный контекст без доступа к ПСП/ЛСП/ССС (доступны только
+ * хэширование, Base64, RAND).
+ *
+ * Поддерживает горячее переключение профиля через {@link #reinit(String)}
+ * — без рестарта сайдкара.
+ *
+ * Подробности нативного API — в документе ВАМБ.00135-06 33 03
+ * «Руководство программиста» (Java) и 33 01 (C).
+ */
+public final class ValidataProvider implements KeystoreProvider {
+
+ private static final Logger LOG = Logger.getLogger(ValidataProvider.class.getName());
+
+ private Pki1.LocalIface pki;
+ private boolean ready;
+ private String message;
+ private boolean minimal;
+ private String profile;
+
+ public ValidataProvider() {
+ this.profile = System.getenv("BJ_VALIDATA_PROFILE");
+ initLocked();
+ }
+
+ /**
+ * reinit — атомарная переинициализация провайдера на новый профиль
+ * (или пустой = minimal). Закрывает текущий контекст и поднимает
+ * новый. Возвращает true при успехе.
+ */
+ public synchronized boolean reinit(String newProfile) {
+ // Уничтожаем старый контекст, если был.
+ if (pki != null && ready) {
+ try {
+ pki.VCERT_Uninitialize();
+ } catch (Throwable t) {
+ LOG.warning("reinit: VCERT_Uninitialize: " + t.getMessage());
+ }
+ }
+ pki = null;
+ ready = false;
+ message = "";
+ minimal = false;
+ this.profile = newProfile;
+ initLocked();
+ return ready;
+ }
+
+ private void initLocked() {
+ try {
+ this.pki = new Pki1.LocalIface();
+ int rc;
+ if (profile == null || profile.isEmpty()) {
+ rc = pki.VCERT_InitMinimal();
+ this.minimal = true;
+ } else {
+ rc = pki.VCERT_Initialize(profile, 0);
+ this.minimal = false;
+ }
+ if (rc == 0) {
+ this.ready = true;
+ this.message = minimal
+ ? "Валидата: минимальный контекст (без профиля). Доступны хэш, Base64, RAND."
+ : "Валидата: контекст с профилем «" + profile + "» инициализирован.";
+ LOG.info(message);
+ } else {
+ this.ready = false;
+ String err = safeErrorText(rc);
+ this.message = (minimal ? "VCERT_InitMinimal" : "VCERT_Initialize(\"" + profile + "\")")
+ + " вернул код " + rc + " (" + err + ")";
+ LOG.warning(message);
+ }
+ } catch (UnsatisfiedLinkError e) {
+ this.ready = false;
+ this.message = "Валидата: не удалось загрузить libzpki1jni.so — " + e.getMessage()
+ + ". Проверьте java.library.path и установку АПК «Валидата Клиент L».";
+ LOG.severe(message);
+ } catch (Throwable t) {
+ this.ready = false;
+ this.message = "Валидата: инициализация упала — " + t.getClass().getSimpleName()
+ + ": " + t.getMessage();
+ LOG.severe(message);
+ }
+ }
+
+ @Override public String name() { return "validata"; }
+ @Override public synchronized boolean ready() { return ready; }
+ @Override public synchronized String message() { return message; }
+ @Override public synchronized Pki1.LocalIface pki() { return ready ? pki : null; }
+
+ /** Признак режима VCERT_InitMinimal (без профиля). */
+ public synchronized boolean isMinimal() { return minimal; }
+
+ /** Имя профиля, под которым инициализировались (null/пусто = minimal). */
+ public synchronized String profile() { return profile; }
+
+ @Override
+ public synchronized void close() {
+ if (pki != null && ready) {
+ try {
+ pki.VCERT_Uninitialize();
+ } catch (Throwable t) {
+ LOG.warning("Валидата: VCERT_Uninitialize: " + t.getMessage());
+ }
+ }
+ }
+
+ private String safeErrorText(int rc) {
+ try {
+ String t = pki.VCERT_GetErrorText(rc);
+ return t == null ? "" : t;
+ } catch (Throwable ignore) {
+ return "";
+ }
+ }
+}
diff --git a/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/VerifyHandler.java b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/VerifyHandler.java
index 4ee792c..bbfa23d 100644
--- a/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/VerifyHandler.java
+++ b/services/crypto-service/src/main/java/ru/zetit/bridgeandjoins/crypto/VerifyHandler.java
@@ -1,15 +1,29 @@
package ru.zetit.bridgeandjoins.crypto;
+import io.grpc.Status;
+import io.grpc.StatusRuntimeException;
import ru.zetit.bridgeandjoins.crypto.v1.VerifyRequest;
import ru.zetit.bridgeandjoins.crypto.v1.VerifyResponse;
+import java.util.logging.Logger;
+
/**
- * Хендлер проверки XMLDSig-подписи. На M1 — заглушка, возвращающая
- * valid=false с пояснением. Реальная реализация (Apache Santuario +
- * КриптоПро JCP) подключается, когда лицензия JCP станет доступна.
+ * Хендлер проверки подписи. Обрабатывает CMS detached signature
+ * (DER-байты в payload, само сообщение должно быть в request.message,
+ * но пока контракт упрощён: payload = весь подписанный CMS-блок,
+ * проверяется как attached-вариант).
+ *
+ * Внутри: VCERT_CmsBlkAttVerifyMem с verify_param_t. Возвращает
+ * данные о подписанте: CN, ИНН (OID 1.2.643.3.131.1.1), серийник,
+ * срок действия.
+ *
+ * Для XMLDSig-входных сообщений (как у НРД) нужен слой канонизации
+ * XML и извлечения SignatureValue + KeyInfo — это отдельный этап.
*/
public final class VerifyHandler {
+ private static final Logger LOG = Logger.getLogger(VerifyHandler.class.getName());
+
private final KeystoreProvider keystore;
public VerifyHandler(KeystoreProvider keystore) {
@@ -17,22 +31,105 @@ public final class VerifyHandler {
}
public VerifyResponse handle(VerifyRequest request) {
- // TODO(M2): реальная реализация через Apache Santuario.
- //
- // Шаги при подключении КриптоПро JCP:
- // 1. Парсим XML, ищем элемент .
- // 2. Канонизуем по xml-exc-c14n.
- // 3. Берём сертификат из KeyInfo, проверяем цепочку через
- // trust store профиля.
- // 4. Проверяем подпись (alg=GOST34112012-256/-512).
- // 5. Извлекаем CN, ИНН из subject.
- //
- // Сейчас — заглушка.
+ if (!keystore.ready() || keystore.pki() == null) {
+ return VerifyResponse.newBuilder()
+ .setValid(false)
+ .addErrors("crypto-service: провайдер " + keystore.name()
+ + " не готов: " + keystore.message())
+ .build();
+ }
+ if (request.getPayload().isEmpty()) {
+ throw new StatusRuntimeException(Status.INVALID_ARGUMENT
+ .withDescription("crypto-service: VerifyXMLDSig — payload пуст"));
+ }
- return VerifyResponse.newBuilder()
- .setValid(false)
- .addErrors("crypto-service: VerifyXMLDSig stub — провайдер " + keystore.name()
- + " не подключён (ждём PR-6/M2 КриптоПро JCP)")
- .build();
+ Pki1.LocalIface pki = keystore.pki();
+ try {
+ Pki1.LocalIface.verify_param_t verifyParam = new Pki1.LocalIface.verify_param_t();
+ Pki1.LocalIface.mem_blk_t signedMessage = memBlock(request.getPayload().toByteArray());
+ Pki1.LocalIface.mem_blk_t recoveredData = new Pki1.LocalIface.mem_blk_t();
+ Pki1.LocalIface.verify_result_t result = new Pki1.LocalIface.verify_result_t();
+
+ int rc = pki.VCERT_CmsBlkAttVerifyMem(verifyParam, signedMessage, recoveredData, result);
+ if (rc != 0) {
+ String err = pki.VCERT_GetErrorText(rc);
+ return VerifyResponse.newBuilder()
+ .setValid(false)
+ .addErrors("VCERT_CmsBlkAttVerifyMem rc=" + rc + " (" + err + ")")
+ .build();
+ }
+
+ VerifyResponse.Builder resp = VerifyResponse.newBuilder().setValid(true);
+ // Если есть инфа о подписанте — кладём её. Структура
+ // verify_result_t содержит cms_siginf и/или certificate;
+ // поля защищены от NPE, потому что нативный API заполняет
+ // что есть.
+ extractSignerInfo(pki, result, resp);
+ return resp.build();
+ } catch (Throwable t) {
+ LOG.severe("VerifyHandler: исключение " + t);
+ return VerifyResponse.newBuilder()
+ .setValid(false)
+ .addErrors(t.getClass().getSimpleName() + ": " + t.getMessage())
+ .build();
+ }
+ }
+
+ /**
+ * Извлекает CN/ИНН/серийник/сроки из verify_result_t.
+ * verify_result_t.signs[i].cert — certificate_t подписанта.
+ * Берём первого подписанта (signs[0]) — для НРД-обмена этого
+ * достаточно; multi-signer обработка — отдельно.
+ */
+ private static void extractSignerInfo(Pki1.LocalIface pki,
+ Pki1.LocalIface.verify_result_t result,
+ VerifyResponse.Builder resp) {
+ if (result == null || result.signs == null || result.signs.length == 0) {
+ return;
+ }
+ Pki1.LocalIface.sign_status_t s = result.signs[0];
+ if (s == null || s.cert == null) {
+ return;
+ }
+ Pki1.LocalIface.certificate_t cert = s.cert;
+ if (cert.subject != null) {
+ resp.setSignerCn(extractRdn(cert.subject, "CN"));
+ String inn = extractRdn(cert.subject, "INN");
+ if (inn.isEmpty()) {
+ inn = extractRdn(cert.subject, "1.2.643.3.131.1.1");
+ }
+ resp.setSignerInn(inn);
+ }
+ if (cert.serialNumber != null) {
+ resp.setSerial(cert.serialNumber);
+ }
+ // notBefore/notAfter — unix epoch seconds.
+ resp.setNotBefore((long) cert.notBefore);
+ resp.setNotAfter((long) cert.notAfter);
+ }
+
+ /**
+ * Извлекает значение RDN из строки subject вида
+ * "CN=Иванов И.И.,OU=...,O=...,INN=7707083893".
+ * Возвращает "" если RDN не найден.
+ */
+ private static String extractRdn(String dn, String rdn) {
+ if (dn == null || rdn == null) return "";
+ String needle = rdn + "=";
+ int idx = dn.indexOf(needle);
+ if (idx < 0) return "";
+ int start = idx + needle.length();
+ // Конец значения — следующая запятая (не экранированная). Простой
+ // парсинг — достаточно для типовых cert-полей НРД/УЦ МБ.
+ int end = dn.indexOf(',', start);
+ if (end < 0) end = dn.length();
+ return dn.substring(start, end).trim();
+ }
+
+ private static Pki1.LocalIface.mem_blk_t memBlock(byte[] bytes) {
+ Pki1.LocalIface.mem_blk_t mb = new Pki1.LocalIface.mem_blk_t();
+ mb.buf = bytes;
+ mb.len = bytes.length;
+ return mb;
}
}