iistwin

si/iistwin

Fork 0

Commit Graph

Author	SHA1	Message	Date
Ильяс Султанов	c957a70260	feat(auth): access 24ч, jti против гонок ротации, транзакционная ротация, отзыв сессий по sid	2026-09-21 18:13:46 +03:00
Ильяс Султанов	d0112657b8	fix(auth): живая сессия на устройстве — рефреш на холодном старте, grace-окно ротации, без логаута при временных ошибках - /api/auth/me при 401 делает одну попытку refresh (раньше refresh-retry был отключён для всех /api/auth/* — холодный старт после 15 мин простоя = логаут) - ротация: повтор старого refresh-токена в пределах RACE_TOLERANCE_MS (5 мин) выдаёт новую пару от successor вместо deny; cookie больше не стираются при stale-токенах (разлогинивались все вкладки устройства); reuse после окна — revoke family как раньше (тесты обновлены) - refreshSession различает 401/403/400 (сессия мертва) vs 429/5xx/сеть (transient — нет logout, отложенный retry) - единый рефреш: useAuth keep-alive и useOfflineSync переведены на refreshSession; межвкладочная дедупликация через BroadcastChannel('auth-refresh') - refreshLimiter: keyGenerator buildRateLimitKey (per-user, не общий IP-бакет офиса)	2026-09-17 21:59:51 +03:00
Ильяс Султанов	06bfd2aa75	feat(auth): шаг 0.6 — TTL access 15 минут + хэширование refresh/reset-токенов в БД Some checks are pending Branch Check / Type Check & Build (push) Waiting to run Details - server/utils/jwt.ts: дефолт JWT_ACCESS_EXPIRES 30d → 15m (env сохранено), hashToken() (sha256 hex) - migrations/0082_token_hashes.sql: *_hash колонки в user_sessions/users, DELETE FROM user_sessions (глобальный разлогин), legacy plain-колонки сохранены, но не пишутся - storage: lookup/отзыв сессий и reset-токенов по хэшу; markSessionReplaced по id сессии - auth.service: ротация в rotateFamilySession(), grace-period ротирует активную сессию вместо возврата plain-токена - auth.core.routes: forgot/reset-password пишут/ищут sha256-хэш, plain только в письме - tests/token-security.test.ts: 12 тестов (выпуск по хэшу, ротация, reuse detection, grace, reset) - .env.example, swagger, IMPLEMENTATION_LOG.md обновлены Проверки: npm run check чисто, vitest 118/118, lint 0 errors, build собирается	2026-09-08 11:35:32 +03:00

Author

SHA1

Message

Date

Ильяс Султанов

c957a70260

feat(auth): access 24ч, jti против гонок ротации, транзакционная ротация, отзыв сессий по sid

2026-09-21 18:13:46 +03:00

Ильяс Султанов

d0112657b8

fix(auth): живая сессия на устройстве — рефреш на холодном старте, grace-окно ротации, без логаута при временных ошибках

- /api/auth/me при 401 делает одну попытку refresh (раньше refresh-retry был
  отключён для всех /api/auth/* — холодный старт после 15 мин простоя = логаут)
- ротация: повтор старого refresh-токена в пределах RACE_TOLERANCE_MS (5 мин)
  выдаёт новую пару от successor вместо deny; cookie больше не стираются при
  stale-токенах (разлогинивались все вкладки устройства); reuse после окна —
  revoke family как раньше (тесты обновлены)
- refreshSession различает 401/403/400 (сессия мертва) vs 429/5xx/сеть
  (transient — нет logout, отложенный retry)
- единый рефреш: useAuth keep-alive и useOfflineSync переведены на refreshSession;
  межвкладочная дедупликация через BroadcastChannel('auth-refresh')
- refreshLimiter: keyGenerator buildRateLimitKey (per-user, не общий IP-бакет офиса)

2026-09-17 21:59:51 +03:00

Ильяс Султанов

06bfd2aa75

feat(auth): шаг 0.6 — TTL access 15 минут + хэширование refresh/reset-токенов в БД

Branch Check / Type Check & Build (push) Waiting to run

Details

- server/utils/jwt.ts: дефолт JWT_ACCESS_EXPIRES 30d → 15m (env сохранено), hashToken() (sha256 hex)
- migrations/0082_token_hashes.sql: *_hash колонки в user_sessions/users, DELETE FROM user_sessions (глобальный разлогин), legacy plain-колонки сохранены, но не пишутся
- storage: lookup/отзыв сессий и reset-токенов по хэшу; markSessionReplaced по id сессии
- auth.service: ротация в rotateFamilySession(), grace-period ротирует активную сессию вместо возврата plain-токена
- auth.core.routes: forgot/reset-password пишут/ищут sha256-хэш, plain только в письме
- tests/token-security.test.ts: 12 тестов (выпуск по хэшу, ротация, reuse detection, grace, reset)
- .env.example, swagger, IMPLEMENTATION_LOG.md обновлены

Проверки: npm run check чисто, vitest 118/118, lint 0 errors, build собирается

2026-09-08 11:35:32 +03:00

3 Commits