Позиция 6: Авторизация и сессии

6.1. Общая модель доступа

Приложение предназначено для использования ограниченным числом пользователей (2 человека).
Регистрации пользователей через интерфейс нет.
Учётные данные (логин и пароль) задаются через переменные окружения (ENV), например:
- APP_USER_LOGIN
- APP_USER_PASSWORD
Ролевой модели нет: все авторизованные пользователи имеют полный доступ ко всем функциям SPA (просмотр, импорт, редактирование, аналитика, управление правилами).

6.2. Авторизация

Рекомендуемая схема: сессионная авторизация с backend-сессиями и cookie.

Эндпоинты

POST /api/auth/login
- Вход: JSON с полями login и password.
- Backend сравнивает полученные значения с ENV (APP_USER_LOGIN, APP_USER_PASSWORD).
- При успешной аутентификации создаётся сессия и клиенту выдаётся session cookie (например, sid), привязанная к записи в БД или in-memory хранилищу.
POST /api/auth/logout
- Инвалидирует текущую сессию (удаляет/помечает как неактивную) и очищает cookie.
GET /api/auth/me
- Возвращает информацию о том, авторизован ли пользователь (например, 200 + базовый профиль или 401, если сессия недействительна).

Все защищённые эндпоинты (/api/transactions, /api/analytics/*, импорт выписок, управление правилами и т.д.) работают только при наличии действующей сессии.

6.3. Сессии и таймаут по бездействию

Требования:

Авто-логаут при длительном бездействии (жёсткий таймаут).
Таймаут бездействия: 3 часа.

Реализация:

В backend вводится сущность "сессия" (в БД или в памяти) с полями:
- id — идентификатор сессии;
- created_at — время создания сессии;
- last_activity_at — время последней активности по этой сессии;
- is_active — флаг активности.
При каждом запросе с действительным sid backend:
1. Проверяет, не истёк ли таймаут:
  - если now - last_activity_at > 3 часа — сессия инвалидируется (is_active = FALSE), возвращается 401 Unauthorized и на фронтенде пользователь переводится на экран логина;
2. Если таймаут не истёк — обновляет last_activity_at текущим временем.
Таймаут жёсткий:
- нет "длинных" сессий;
- нет опции "запомнить меня" — после 3 часов полного бездействия требуется повторный логин.

6.4. Интеграция с SPA

При открытии приложения SPA выполняет запрос GET /api/auth/me:
- если ответ 200 — пользователь остаётся в приложении;
- если 401 — показывается форма логина.
При логине (POST /api/auth/login):
- при успехе SPA сохраняет состояние "авторизован" и переходит к основному интерфейсу.
При получении 401 от любого защищённого API:
- SPA сбрасывает локальное состояние пользователя,
- перенаправляет на экран логина.

6.5. Связь с другими позициями

Все ранее описанные эндпоинты (/api/transactions, /api/analytics/*, импорт JSON, управление категориями и правилами) доступны только в рамках действующей сессии.
Так как ролевой модели нет, дополнительные ограничения доступа не требуются: оба пользователя имеют одинаковые права.

4.9 KiB Raw Permalink Blame History Unescape Escape