agent_coder
d3a049d176
Форк не несёт EE-модуль ee/api-key, поэтому api_key-токен сегодня отвергается на любом /api/*. Вводим core-модуль: - ApiKeyRepo (kysely): insert/findById/findByCreator/findAllInWorkspace/ softDelete/touchLastUsed, фильтр deleted_at IS NULL. - ApiKeyService.create — mint-then-insert: сперва uuid7 id, затем чеканка JWT без exp, затем строка (сбой чеканки → строки нет; потерянный ответ → осиротевшая строка видна в list и самолечится). Токен отдаётся один раз, в таблице не хранится. - ApiKeyService.validate — единый валидатор для jwt.strategy И /mcp. Владелец истины о сроке/отзыве — строка api_keys, не JWT. Любой определённый негатив (нет строки / expired / disabled / workspace mismatch / kill-switch off) → единый bare-401 (анти-enumeration); инфра-ошибка пробрасывается (→5xx), не маскируется. Без кэша — немедленная ревокация. last_used_at троттлится 1ч, fire-and-forget. - REST create/list/revoke: create — self + UserThrottlerGuard; list/revoke — admin (CASL Manage на API) видит/отзывает все ключи воркспейса, член — только свои. api_key-принципал отвергается на всех трёх (токен не управляет токенами — GitHub-PAT-семантика). Аудит API_KEY_CREATED/DELETED + структурный лог с apiKeyId и IP. - jwt.strategy: прямой вызов ApiKeyService.validate вместо динамического EE-require; штампует req.raw.authType='api_key' и apiKeyId для гварда выше. - Kill-switch API_KEYS_ENABLED: дефолт ON (деплой без переменной не убивает агентов), строгий парс @IsIn(['true','false']) (=0/=off падают на boot, а не молча значат «включено»), boot-лог состояния. off → validate deny и эндпоинты 404. Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>
20 lines
851 B
TypeScript
20 lines
851 B
TypeScript
import { Module } from '@nestjs/common';
|
|
import { AuthController } from './auth.controller';
|
|
import { AuthService } from './services/auth.service';
|
|
import { JwtStrategy } from './strategies/jwt.strategy';
|
|
import { WorkspaceModule } from '../workspace/workspace.module';
|
|
import { SignupService } from './services/signup.service';
|
|
import { TokenModule } from './token.module';
|
|
import { ApiKeyModule } from '../api-key/api-key.module';
|
|
|
|
@Module({
|
|
// ApiKeyModule supplies ApiKeyService, injected into JwtStrategy so an
|
|
// api_key Bearer/cookie token is validated directly (replacing the absent EE
|
|
// `ee/api-key` dynamic require).
|
|
imports: [TokenModule, WorkspaceModule, ApiKeyModule],
|
|
controllers: [AuthController],
|
|
providers: [AuthService, SignupService, JwtStrategy],
|
|
exports: [SignupService, AuthService],
|
|
})
|
|
export class AuthModule {}
|