2a7442c935
Данные - корпоративные действия по бумагам клиента (U_CA_ACTS), готовые выписки (U_OP_INF_EXTRACT), заявки клиента на документ (lk.doc_requests) с оповещением сотрудникам; страница «Документы» - дистрибутив кабинета из настроек ядра: архив с программой, службой, настройками, установщиком и инструкцией; ключ доступа на странице показан замаскированным Связь без публичного адреса у ядра - режим ожидания (BJ_MODE=agent): кабинет копит запросы, ядро само подключается к нему, выполняет их обработчиком /api/lk/* и возвращает ответы; 4 параллельных подключения, тот же ключ модуля в обе стороны, состояние канала в настройках - сквозной тест: настоящий кабинет + настоящий цикл ядра Защита (по итогам аудита) - вход: лимит попыток по адресу и логину, одинаковое время ответа для несуществующего логина, пароль от 10 символов - сессии ядра: на диске отпечаток токена и ссылка на учётную запись, без персональных данных; карточка клиента читается из БД на каждый запрос (блокировка действует сразу); абсолютный срок 24 ч; привязка к браузеру, к сети — по настройке - вход сотрудника в кабинет клиента пишется в lk.audit и поднимает оповещение - кабинет: CSRF на всех формах, /impersonate только POST, куки HttpOnly+Secure+SameSite=Strict, выход гасит все сессии, заголовки CSP/X-Frame-Options/nosniff/HSTS, no-store, таймауты сервера, ограничение тела, recover; сообщения через куку вместо адреса; /health наружу без подробностей - шрифты вшиты в программу: страница не обращается к сторонним сайтам - экранирование LIKE в выборках по номеру договора; ключ и токен без суррогата при отказе rand - исправлено: ошибка входа не показывалась клиенту (шаблон ждал Error, приходил Flash) Тесты: lksecurity_test, lkagent_test, lkdist_test, modules/lk (CSRF, заголовки, режим ожидания), живые lkcoverage/lkunpriced, scripts/lk-sec-smoke.sh — проверка работающего кабинета снаружи. Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>
92 lines
3.3 KiB
Go
92 lines
3.3 KiB
Go
package lkgateway
|
|
|
|
import (
|
|
"os"
|
|
"path/filepath"
|
|
"strings"
|
|
"testing"
|
|
)
|
|
|
|
// Дистрибутив кабинета: файлы, подстановка адреса ядра и ключа, ключ не пустой.
|
|
func TestLKDistFiles(t *testing.T) {
|
|
dir := t.TempDir()
|
|
bin := filepath.Join(dir, "bj-lk")
|
|
if err := os.WriteFile(bin, []byte("двоичный файл"), 0o755); err != nil {
|
|
t.Fatal(err)
|
|
}
|
|
saved := lkDistBinary
|
|
lkDistBinary = bin
|
|
defer func() { lkDistBinary = saved }()
|
|
|
|
var s Settings
|
|
s.LK.APIKey = "lk-testkey"
|
|
s.NSD.OrgName = "Депозитарий «Пример»"
|
|
files, err := lkDistFiles(s, "https://bj.example.ru")
|
|
if err != nil {
|
|
t.Fatal(err)
|
|
}
|
|
got := map[string]string{}
|
|
for _, f := range files {
|
|
got[f.Name] = string(f.Data)
|
|
}
|
|
for _, want := range []string{"bj-lk/bj-lk", "bj-lk/bj-lk.service", "bj-lk/lk.env", "bj-lk/install.sh", "bj-lk/README.txt"} {
|
|
if _, ok := got[want]; !ok {
|
|
t.Errorf("в архиве нет %s", want)
|
|
}
|
|
}
|
|
env := got["bj-lk/lk.env"]
|
|
if !strings.Contains(env, "BJ_URL=https://bj.example.ru") || !strings.Contains(env, "BJ_KEY=lk-testkey") {
|
|
t.Errorf("настройки кабинета: %s", env)
|
|
}
|
|
if !strings.Contains(env, "Депозитарий «Пример» · личный кабинет") {
|
|
t.Errorf("заголовок кабинета не подставлен: %s", env)
|
|
}
|
|
if !strings.Contains(got["bj-lk/README.txt"], "https://bj.example.ru") || !strings.Contains(got["bj-lk/install.sh"], "systemctl enable --now bj-lk") {
|
|
t.Error("инструкция или установщик собраны неправильно")
|
|
}
|
|
k1, err1 := lkNewAPIKey()
|
|
k2, err2 := lkNewAPIKey()
|
|
if err1 != nil || err2 != nil || k1 == k2 || !strings.HasPrefix(k1, "lk-") || len(k1) < 20 {
|
|
t.Errorf("ключи доступа: %q %q (%v, %v)", k1, k2, err1, err2)
|
|
}
|
|
if m := maskSecret(k1); strings.Contains(m, k1[8:20]) || !strings.HasPrefix(m, k1[:7]) {
|
|
t.Errorf("ключ показан не замаскированным: %q", m)
|
|
}
|
|
}
|
|
|
|
// TestLKDistAgentMode — в режиме ожидания адрес ядра в настройках кабинета не задаётся.
|
|
func TestLKDistAgentMode(t *testing.T) {
|
|
lkDistBinary = writeFakeBinary(t)
|
|
s := Settings{}
|
|
s.LK.APIKey = "lk-test-key"
|
|
s.LK.AgentMode = true
|
|
s.LK.CabinetURL = "https://lk.example.ru"
|
|
files, err := lkDistFiles(s, "https://bj.example.ru")
|
|
if err != nil {
|
|
t.Fatal(err)
|
|
}
|
|
got := map[string]string{}
|
|
for _, f := range files {
|
|
got[f.Name] = string(f.Data)
|
|
}
|
|
env := got["bj-lk/lk.env"]
|
|
if !strings.Contains(env, "BJ_MODE=agent") || strings.Contains(env, "BJ_URL=https://bj.example.ru") {
|
|
t.Errorf("настройки для режима ожидания собраны неправильно:\n%s", env)
|
|
}
|
|
if !strings.Contains(got["bj-lk/README.txt"], "https://lk.example.ru") {
|
|
t.Error("в инструкции нет адреса кабинета, к которому подключается ядро")
|
|
}
|
|
}
|
|
|
|
// writeFakeBinary — подложный файл кабинета для сборки архива в тестах.
|
|
func writeFakeBinary(t *testing.T) string {
|
|
t.Helper()
|
|
bin := filepath.Join(t.TempDir(), "bj-lk")
|
|
if err := os.WriteFile(bin, []byte("двоичный файл"), 0o755); err != nil {
|
|
t.Fatal(err)
|
|
}
|
|
saved := lkDistBinary
|
|
t.Cleanup(func() { lkDistBinary = saved })
|
|
return bin
|
|
}
|