av
5501384cdc
- 11 записей типа goal закрыты с причиной, называющей задачи-наследники; ROADMAP.md удалён, индекс остался один — BACKLOG.md; - 33 записи переписаны: ссылка «Двигает пункты N «Завершения» цели» уступила место прямому утверждению — без целей номера пунктов вели в никуда; - шапка BACKLOG.md размечена парой <!-- стадия -->, порядок строк теперь объявлен зависимостью, а не важностью.
3.3 KiB
3.3 KiB
✨ Пускать скрипты в API по личным токенам
- Тип: feature
- Категория: Очередь — Второй способ представиться ставится на готовые владельца и контракт, иначе форма ошибки переписывается дважды.
- Зачем: Вход через OIDC закрывает API целиком, а скрипту браузерная сессия недоступна: автоматизировать загрузку станет нечем.
Запрос без токена не проходит, а скрипт ходит в API по токену, выпущенному пользователем, и видит ровно его записи.
Токен принадлежит учётной записи и даёт ровно её права: записи, заведённые по токену, видны владельцу в приложении, и наоборот.
Затрагивает
- заголовок авторизации у всех эндпоинтов
/api/; - таблица токенов: владелец, имя, отпечаток, время выпуска и последнего обращения, и её миграция;
- эндпоинты выпуска, перечня и отзыва токена;
docs/security.md— второй способ представиться и хранение отпечатка;README.md— пример вызова API скриптом.
Критерии приёмки
- Запрос с годным токеном заводит задачу от имени его владельца. Оракул — тест API: задача в репозитории с владельцем токена.
- Запрос без токена и с отозванным токеном получает
401и задачи не заводит. Оракул — тест на трёх случаях: нет заголовка, чужая строка, отозванный токен. - Полное значение токена показывается один раз при выпуске, в базе лежит только отпечаток. Оракул — тест: повторное чтение токена отдаёт имя и отпечаток, значение отсутствует, плюс поиск значения по логу пуст.
- Токен не попадает ни в журнал, ни в текст ошибки. Оракул — тест приёма с токеном: в перехваченном журнале значения нет.
Рамки
Учётные записи по-прежнему заводит Authelia — свою регистрацию не делаем.
Сроков жизни и областей действия у токена не заводим: он даёт права владельца
целиком. Берётся после oidc-login: до неё представляться некому. Экрана выпуска здесь
нет — приложения ещё не существует, токен выпускается запросом к API; место
токена на экране настроек заводит settings-screen.