From 67b71ffd0e96d36ec2308c8a3928f93d5b0bda28 Mon Sep 17 00:00:00 2001
From: =?UTF-8?q?=D0=98=D0=BB=D1=8C=D1=8F=D1=81=20=D0=A1=D1=83=D0=BB=D1=82?=
 =?UTF-8?q?=D0=B0=D0=BD=D0=BE=D0=B2?= <si@op16.ru>
Date: Wed, 30 Sep 2026 00:16:36 +0300
Subject: [PATCH] =?UTF-8?q?=D0=92=D0=BD=D0=B5=D1=88=D0=BD=D0=B8=D0=B5=20?=
 =?UTF-8?q?=D0=91=D0=94:=20=D0=BF=D1=83=D1=81=D1=82=D0=BE=D0=B9=20=D1=81?=
 =?UTF-8?q?=D0=BF=D0=B8=D1=81=D0=BE=D0=BA=20=D1=82=D0=B0=D0=B1=D0=BB=D0=B8?=
 =?UTF-8?q?=D1=86=20=3D=20=D0=B4=D0=BE=D1=81=D1=82=D1=83=D0=BF=20=D0=BA?=
 =?UTF-8?q?=D0=BE=20=D0=B2=D1=81=D0=B5=D0=BC=20(allowlist=20=D0=BE=D0=BF?=
 =?UTF-8?q?=D1=86=D0=B8=D0=BE=D0=BD=D0=B0=D0=BB=D0=B5=D0=BD)?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

Основная отсечка прав — на уровне пользователя внешней БД (GRANT SELECT);
allowlist в подключении теперь опциональное дополнение (было обязательным).
---
 .../settings/ExternalDbSettings.tsx           | 13 ++++++-----
 server/routes/external-db.routes.ts           | 23 ++++++++++---------
 2 files changed, 19 insertions(+), 17 deletions(-)

diff --git a/client/src/components/settings/ExternalDbSettings.tsx b/client/src/components/settings/ExternalDbSettings.tsx
index 7c35c29..b58430a 100644
--- a/client/src/components/settings/ExternalDbSettings.tsx
+++ b/client/src/components/settings/ExternalDbSettings.tsx
@@ -6,7 +6,6 @@ import { Button } from "@/components/ui/button";
 import { Input } from "@/components/ui/input";
 import { Label } from "@/components/ui/label";
 import { Switch } from "@/components/ui/switch";
-import { Badge } from "@/components/ui/badge";
 import { Dialog, DialogContent, DialogHeader, DialogTitle, DialogDescription, DialogFooter } from "@/components/ui/dialog";
 import { Table, TableBody, TableCell, TableHead, TableHeader, TableRow } from "@/components/ui/table";
 import { useToast } from "@/hooks/use-toast";
@@ -139,7 +138,8 @@ export function ExternalDbSettings() {
             </CardTitle>
             <CardDescription className="text-xs mt-1">
               Read-only подключения для отчётов и виджетов. Запросы через шлюз: только SELECT,
-              только таблицы из списка, лимит 5000 строк. Каждый запрос пишется в журнал.
+              лимит 5000 строк. Ограничение по таблицам опционально (пусто = все таблицы).
+              Каждый запрос пишется в журнал.
             </CardDescription>
           </div>
           <Button size="sm" onClick={openCreate} className="gap-1">
@@ -175,7 +175,7 @@ export function ExternalDbSettings() {
                         {c.allowedTables.join(", ")}
                       </span>
                     ) : (
-                      <Badge variant="destructive" className="text-[10px]">шлюз закрыт</Badge>
+                      <span className="text-muted-foreground">все таблицы</span>
                     )}
                   </TableCell>
                   <TableCell>
@@ -260,14 +260,15 @@ export function ExternalDbSettings() {
                 <Input type="password" value={form.password} onChange={set("password")} autoComplete="new-password" />
               </div>
               <div className="grid gap-1.5">
-                <Label className="text-xs">Разрешённые таблицы (через запятую)</Label>
+                <Label className="text-xs">Разрешённые таблицы (через запятую; пусто = все таблицы)</Label>
                 <Input
                   value={form.allowedTables}
                   onChange={set("allowedTables")}
-                  placeholder="nds_monthly, nds_input_balance, nds_sync_log, nds_contract_marker, nds_advance_vat_tracker"
+                  placeholder="Пусто — доступ ко всем таблицам"
                 />
                 <p className="text-[11px] text-muted-foreground">
-                  Только эти таблицы доступны через read-only шлюз. Пусто = шлюз закрыт.
+                  Опционально: ограничьте список, если не хотите давать доступ ко всей схеме.
+                  Основную отсечку делайте правами пользователя БД (GRANT SELECT).
                 </p>
               </div>
               <div className="flex items-center gap-2">
diff --git a/server/routes/external-db.routes.ts b/server/routes/external-db.routes.ts
index d8e40fc..0bd7261 100644
--- a/server/routes/external-db.routes.ts
+++ b/server/routes/external-db.routes.ts
@@ -4,11 +4,11 @@
 //
 // Безопасность:
 // - пароль шифруется AES-256-GCM, по API не отдаётся (только маска);
-// - шлюз: только SELECT, без мульти-выражений, allowlist таблиц на подключение,
-//   принудительный LIMIT (обёртка подзапросом), statement_timeout 10 с;
+// - шлюз: только SELECT, без мульти-выражений, принудительный LIMIT (обёртка подзапросом),
+//   statement_timeout 10 с; опциональный allowlist таблиц (пустой = все таблицы);
 // - каждый запрос пишется в external_db_query_log (кто/когда/SQL/строки/мс);
-// - рекомендуется заводить во внешней БД пользователя с реальным GRANT SELECT
-//   только на нужные таблицы (defence in depth — шлюз не заменяет права БД).
+// - основной рубеж — пользователь внешней БД с реальным GRANT SELECT ( defence in depth:
+//   шлюз не заменяет права БД).
 
 import type { Express, Response } from "express";
 import { Router } from "express";
@@ -270,13 +270,14 @@ export function registerExternalDbRoutes(app: Express): void {
 
       const cleaned = validateReadOnly(sqlText);
       const allowed = (conn.allowed_tables ?? []).map((t) => String(t).toLowerCase());
-      if (allowed.length === 0) {
-        return res.status(403).json({ error: "Для подключения не задан список разрешённых таблиц" });
-      }
-      const usedTables = extractTableNames(stripStringLiterals(cleaned));
-      const denied = usedTables.filter((t) => !allowed.includes(t));
-      if (denied.length > 0) {
-        return res.status(403).json({ error: `Таблицы не в allowlist: ${denied.join(", ")}` });
+      // Пустой список = доступ ко ВСЕМ таблицам (ограничение — опционально;
+      // основной рубеж — права самого пользователя внешней БД, GRANT SELECT).
+      if (allowed.length > 0) {
+        const usedTables = extractTableNames(stripStringLiterals(cleaned));
+        const denied = usedTables.filter((t) => !allowed.includes(t));
+        if (denied.length > 0) {
+          return res.status(403).json({ error: `Таблицы не в allowlist: ${denied.join(", ")}` });
+        }
       }
 
       const wrapped = `SELECT * FROM (${cleaned}) AS __gateway_q LIMIT ${MAX_ROWS}`;