5 Commits

Author	SHA1	Message	Date
Ильяс Султанов	c957a70260	feat(auth): access 24ч, jti против гонок ротации, транзакционная ротация, отзыв сессий по sid	2026-09-21 18:13:46 +03:00
Ильяс Султанов	06bfd2aa75	feat(auth): шаг 0.6 — TTL access 15 минут + хэширование refresh/reset-токенов в БД ... - server/utils/jwt.ts: дефолт JWT_ACCESS_EXPIRES 30d → 15m (env сохранено), hashToken() (sha256 hex) - migrations/0082_token_hashes.sql: *_hash колонки в user_sessions/users, DELETE FROM user_sessions (глобальный разлогин), legacy plain-колонки сохранены, но не пишутся - storage: lookup/отзыв сессий и reset-токенов по хэшу; markSessionReplaced по id сессии - auth.service: ротация в rotateFamilySession(), grace-period ротирует активную сессию вместо возврата plain-токена - auth.core.routes: forgot/reset-password пишут/ищут sha256-хэш, plain только в письме - tests/token-security.test.ts: 12 тестов (выпуск по хэшу, ротация, reuse detection, grace, reset) - .env.example, swagger, IMPLEMENTATION_LOG.md обновлены Проверки: npm run check чисто, vitest 118/118, lint 0 errors, build собирается	2026-09-08 11:35:32 +03:00
Ильяс Султанов	1fae441a09	Безопасность: bot-токены выделены в отдельный тип bot_login (этап 0) ... - POST /api/bot/auth/login выдаёт bot_login/bot_login_refresh (audience workflow-bots, TTL 30d/90d) - authenticateBot принимает bot_login и bot_service - authenticateToken/authenticateFileToken отклоняют bot-токены (401) — закрыта коллизия bot.id с user.id	2026-07-22 14:32:11 +03:00
Ильяс Султанов	af8920f920	fix(auth): не выкидывать пользователя при сетевой ошибке refresh, access token 30 дней ... - queryClient: refreshSession возвращает reason (network/unauthorized); при network-ошибке не делаем logout, а бросаем network_error_during_refresh. - useAuth: checkAuth и refreshUser не сбрасывают сессию при network-ошибке во время refresh, переводят в офлайн-режим. - auth.service: remember берётся из сессии, race tolerance 5 минут. - access token lifetime унифицирован до 30 дней по умолчанию, cookie maxAge теперь совпадает с JWT expiry (было 15 минут fallback).	2026-07-10 10:04:12 +03:00
Ильяс Султанов	1f5ecb6da4	fix(number-fields): избегаем потери точности длинных чисел ... - number-поля теперь рендерятся как text + inputMode=numeric, чтобы браузер не округлял значения через input type=number - пробелы при вставке в number-поля удаляются - бэкенд нормализует значения number-полей в строку перед сохранением - добавлен хелпер normalizeFieldValueForStorage Closes: искажение расчётного счёта и других длинных числовых полей	2026-07-07 21:03:40 +03:00