Files

T

влад 12c983c0fc Шхуна не тонет: security, infra и доки на русском.

Безопасность довёл до ума — Cursor-генерацию переписал руками.
IDOR закрыл, CSRF задушил, refresh rotation теперь как надо.
HSTS на staging, ENABLE_DOCS=false, install.env recovery протестил.

Backend:
- jwt_denylist + auth_epoch: мгновенный revoke access JWT (logout/block/reset)
- auth/admin/users: bump epoch, logout с Bearer, forgot_password skip для blocked
- install_secrets: путь всегда apps/api/data/secrets/ (bootstrap из корня не ломает Docker)
- seed: SEED_DEMO_USERS=false на prod/staging
- тесты: jwt revoke, integration, coverage gate 90%

Frontend:
- logout шлёт Bearer, обработка TOKEN_REVOKED
- guards TypeScript fix
- E2E: blocked user → 401 сразу после block

Infra:
- staging/prod compose, TLS nginx, deploy-скрипты
- k6 §17.2, backup/health/smoke scripts

Docs:
- docs/ на русском: project, security, deploy, release (старые md слили)
- README короткий + план ТЗ + стандартные логины dev

Код готов к плаванию. Капитан может идти писать фронт.

2026-07-15 00:06:13 +03:00

1.8 KiB

Raw Blame History

Документация Compton

README в корне — только «как запустить за 30 секунд». Всё остальное — здесь.

Мы сознательно держим мало файлов, но каждый — плотный: таблицы, схемы, команды. Можно с лёгким юмором, но без простыней на 500 строк.

Карта

Документ	Когда открывать
project.md	«Где что лежит?», архитектура, API, маршруты, env
deploy.md	Запуск, стандартные логины dev, staging/prod, troubleshooting
security.md	Auth, JWT revoke, секреты, nginx, чеклист prod
release.md	Перед выкладкой: E2E, k6, ZAP, Lighthouse, smoke
TZ.md	Полное ТЗ — источник правды по требованиям

Быстрые ссылки

# dev
python apps/api/scripts/bootstrap_install.py
docker compose --profile docker-web up -d --build

# тесты
pnpm --filter web test:ci
cd apps/api && python -m pytest --cov=app --cov-fail-under=90

# prod smoke (после деплоя)
./infra/scripts/smoke-prod.sh https://your-domain.com

Что куда не кладём

Не в git	Почему
`apps/api/data/secrets/install.env`	пароли БД, JWT, MinIO
`.env`, `apps/api/.env`	локальные секреты
`apps/api/data/logs/`	runtime-логи
`node_modules/`, `.venv/`	очевидно

Если секрет утёк в git — считайте его скомпрометированным. Force-push не спасает совесть.

1.8 KiB Raw Blame History

Документация Compton

Карта

Быстрые ссылки

Что куда не кладём

1.8 KiB

Raw Blame History