embeddevio/awg-dash
1
0
Fork 0
Code Issues 40 Pull Requests 3 Actions Packages Projects Releases Wiki Activity

Sprint 2: AuthN/AuthZ + CSRF + rate limit + маскировка и зашита секретов #34

New Issue
Open
opened 2026-10-21 23:24:45 +03:00 by embeddevio · 0 comments
embeddevio commented 2026-10-21 23:24:45 +03:00
Owner
Copy Link
Copy Source

Owner: backend · Est: 5 SP · P0 · Sprint 2 · Deps: #20, #31 · Refs #15

  • Аутентификация: токен доступа для API (Bearer), сессия + CSRF-токен для UI; хранение хеша токена.
  • Маскировка секретов: PrivateKey/PresharedKey — writeOnly в API, «•••» в UI/логах, шифрование at rest (0600 + отдельный каталог /config/secrets).
  • Ограничения: rate limit на /auth и мутирующие эндпоинты, lockout после N ошибок, разрешённые bind-адреса.

AC:

  • GIVEN нет токена, WHEN любой защищённый эндпоинт, THEN 401; GIVEN неверный CSRF на мутирующий запрос из UI, THEN 403.
  • GIVEN конфиг загружен, WHEN GET /config и UI-страница конфига, THEN ключей нет в ответе и в DOM, а в логах — маска.
  • GIVEN 10 неудачных логинов, WHEN следующая попытка, THEN временная блокировка (lockout) и запись в audit log.

DoD: coverage ≥70%, CI green, ревью владельца роли.

**Owner:** backend · **Est:** 5 SP · **P0** · **Sprint 2** · **Deps:** #20, #31 · Refs #15 - Аутентификация: токен доступа для API (Bearer), сессия + CSRF-токен для UI; хранение хеша токена. - Маскировка секретов: `PrivateKey`/`PresharedKey` — writeOnly в API, «•••» в UI/логах, шифрование at rest (0600 + отдельный каталог `/config/secrets`). - Ограничения: rate limit на /auth и мутирующие эндпоинты, lockout после N ошибок, разрешённые bind-адреса. AC: - GIVEN нет токена, WHEN любой защищённый эндпоинт, THEN 401; GIVEN неверный CSRF на мутирующий запрос из UI, THEN 403. - GIVEN конфиг загружен, WHEN `GET /config` и UI-страница конфига, THEN ключей нет в ответе и в DOM, а в логах — маска. - GIVEN 10 неудачных логинов, WHEN следующая попытка, THEN временная блокировка (lockout) и запись в audit log. DoD: coverage ≥70%, CI green, ревью владельца роли.
embeddevio added this to the Sprint 2 — Control plane: REST API + Web UI milestone 2026-10-21 23:24:45 +03:00
embeddevio added the backendstatus/backlog labels 2026-10-21 23:24:45 +03:00
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
backend
Backend related work
 blocker
Blocking issue
 devops
Infra and deployment
 epic
Large feature or project
 frontend
Frontend related work
 hotfix
Urgent hotfix
 qa
Testing and QA
 release
Release request
 status/backlog
Kanban: не начато / бэклог
 status/blocked
Kanban: заблокировано, нужна эскалация
 status/in-progress
Kanban: в работе (есть ветка/PR)
 status/ready
Kanban: готово к работе, есть AC и зависимости
 status/review
Kanban: на ревью/QA
No Label backend status/backlog
Milestone
No items
No Milestone Sprint 2 — Control plane: REST API + Web UI
Projects
Clear projects
No project
Assignees
Clear assignees
embeddevio
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: embeddevio/awg-dash#34
Delete Branch "%!s()"

Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?