215 lines
13 KiB
Markdown
215 lines
13 KiB
Markdown
---
|
||
title: "Аудит Leadera"
|
||
date: 2026-03-30
|
||
tags: ["audit", "leadera", "security", "ux"]
|
||
---
|
||
|
||
## Обзор проекта
|
||
|
||
Leadera — это SaaS-платформа для управления IT-ландшафтом с поддержкой диаграмм Ганта. Проект состоит из двух основных компонентов:
|
||
|
||
**Стек технологий:**
|
||
- **Бэкенд:** Go 1.21+, GIN framework, PostgreSQL 16+, pgx v5 + sqlx
|
||
- **Фронтенд:** Angular (версия не указана), HttpClient
|
||
- **Инфраструктура:** Docker, PM2, Hugo для документации
|
||
|
||
**Архитектура:**
|
||
- Clean Architecture с разделением на слои (handlers, service, repository)
|
||
- RESTful API с использованием JWT для аутентификации
|
||
- Управление правами доступа через RBAC (Role-Based Access Control)
|
||
- Поддержка пространств (spaces) как основной изоляции данных
|
||
- PostgreSQL с миграциями через golang-migrate
|
||
|
||
**Основные сущности:**
|
||
- Пользователи (Users)
|
||
- Пространства (Spaces)
|
||
- Диаграммы Ганта (Gantt Charts)
|
||
- Секции диаграмм (Gantt Sections)
|
||
- Задачи (Gantt Tasks)
|
||
|
||
## Бекенд — найденные проблемы
|
||
|
||
### 1. Критичные уязвимости
|
||
|
||
#### 1.1 Отсутствие валидации ввода данных
|
||
**Критичность:** Critical
|
||
**Файл:** internal/dto/auth/login_request.go:5-6
|
||
**Описание:** В DTO используются базовые теги валидации (`binding:"required,email"`), но они не применяются в handlers. В handlers используется только `c.ShouldBindJSON()` без дополнительной валидации.
|
||
**Рекомендация:** Добавить ручную валидацию в handlers или использовать специализированную библиотеку для валидации (validator/v10).
|
||
|
||
#### 1.2 Риск SQL-инъекций
|
||
**Критичность:** High
|
||
**Файл:** internal/repository/space_repository.go:68-73
|
||
**Описание:** В методе `GetBySlug` используется параметризованный запрос, что хорошо. Однако нет проверки валидности slug перед запросом.
|
||
**Рекомендация:** Добавить регулярную валидацию slug для предотвращения SQL инъекций и других атак.
|
||
|
||
#### 1.3 Небезопасное хранение секретов
|
||
**Критичность:** High
|
||
**Файл:** internal/config/config.go:13-15
|
||
**Описание:** JWT секрет хранится в структуре Config и может быть логирован. Нет отладочных данных в логах.
|
||
**Рекомендация:** Исключить JWT секрет из логов, добавить маскирование секретов в конфигурации.
|
||
|
||
#### 1.4 Отсутствие ограничений на частоту запросов
|
||
**Критичность:** Medium
|
||
**Описание:** Нет защиты от brute force атак на аутентификацию.
|
||
**Рекомендация:** Реализовать rate limiting для эндпоинтов аутентификации.
|
||
|
||
### 2. Проблемы безопасности
|
||
|
||
#### 2.1 XSS валидация
|
||
**Критичность:** Medium
|
||
**Файл:** internal/handlers/space_handler.go
|
||
**Описание:** Нет очистки пользовательского ввода перед сохранением в базу данных.
|
||
**Рекомендация:** Добавить HTML экранирование пользовательских данных.
|
||
|
||
#### 2.2 Отсутствие CSRF защиты
|
||
**Критичность:** Medium
|
||
**Файл:** internal/middleware/cors_middleware.go
|
||
**Описание:** Нет CSRF токенов или других механизмов защиты.
|
||
**Рекомендация:** Реализовать CSRF защиту для изменяющих операций.
|
||
|
||
#### 2.3 Небезопасная обработка ошибок
|
||
**Критичность:** Medium
|
||
**Файл:**/internal/utils/response.go
|
||
**Описание:** Возвращаемые ошибки могут содержать внутренние детали реализации.
|
||
**Рекомендация:** Стандартизировать формат ошибок, скрывать внутренние детали от пользователей.
|
||
|
||
### 3. Архитектурные проблемы
|
||
|
||
#### 3.1 Отсутствие тестов
|
||
**Критичность:** Medium
|
||
**Файл:** Отсутствие тестовых файлов
|
||
**Описание:** Найден только один тестовый helper файл, нет unit и интеграционных тестов.
|
||
**Рекомендация:** Добавить покрытие тестами, особенно для критичных бизнес-логик.
|
||
|
||
#### 3.2 Отсутствие индексов в БД
|
||
**Критичность:** Medium
|
||
**Файл:** migrations/000001_create_users_table.up.sql:15-16
|
||
**Описание:** Есть базовые индексы, но отсутствуют составные индексы для сложных запросов.
|
||
**Рекомендация:** Добавить индексы для часто используемых запросов.
|
||
|
||
#### 3.3 Плохая обработка пагинации
|
||
**Критичность:** Medium
|
||
**Файл:** internal/repository/space_repository.go:39-45
|
||
**Описание:** Пагинация реализована, но нет валидации параметров page и per_page.
|
||
**Рекомендация:** Добавить валидацию и ограничение на максимальное количество элементов на страницу.
|
||
|
||
### 4. Проблемы конфигурации
|
||
|
||
#### 4.1 Слабые настройки по умолчанию
|
||
**Критичность:** Medium
|
||
**Файл:** .env.example
|
||
**Описание:** JWT секрет по умолчанию слишком короткий, пароль БД предсказуем.
|
||
**Рекомендация:** Увеличить длину JWT секрета до 64+ символов, сгенерировать сложные пароли по умолчанию.
|
||
|
||
#### 4.2 Небезопасные настройки CORS
|
||
**Критичность:** Medium
|
||
**Файл:** .env.example
|
||
**Описание:** CORS разрешает любые origin в development.
|
||
**Рекомендация:** В продакшене использовать конкретные домены.
|
||
|
||
## Фронтенд — найденные проблемы
|
||
|
||
### 1. Критичные уязвимости
|
||
|
||
#### 1.1 Небезопасное хранение токенов
|
||
**Критичность:** Critical
|
||
**Файл:** src/app/core/auth/auth.service.ts:19-21
|
||
**Описание:** Access токены хранятся в localStorage, что делает их уязвимыми для XSS атак.
|
||
**Рекомендация:** Перенести токены в httpOnly cookie или secure storage.
|
||
|
||
#### 1.2 Отсутствие валидации на клиенте
|
||
**Критичность:** Medium
|
||
**Файл:** src/app/core/auth/auth.models.ts
|
||
**Описание:** Нет валидации email, пароля и других полей на клиенте.
|
||
**Рекомендация:** Добавить клиентскую валидацию форм перед отправкой запросов.
|
||
|
||
### 2. Проблемы безопасности
|
||
|
||
#### 2.1 Отсутствие CSP
|
||
**Критичность:** Medium
|
||
**Описание:** Нет Content Security Policy для защиты от XSS и других атак.
|
||
**Рекомендация:** Добавить заголовки CSP с разрешенными источниками.
|
||
|
||
#### 2.2 Нет ограничений на длину ввода
|
||
**Критичность:** Medium
|
||
**Описание:** Нет ограничения максимальной длины вводимых данных.
|
||
**Рекомендация:** Добавить maxlength атрибуты к input полям.
|
||
|
||
### 3. UX проблемы
|
||
|
||
#### 3.1 Нет индикации загрузки
|
||
**Критичность:** Low
|
||
**Файл:** src/app/core/auth/auth.service.ts:45-47
|
||
**Описание:** Для некоторых операций нет индикации загрузки.
|
||
**Рекомендация:** Добавить skeleton loaders или spinners для всех асинхронных операций.
|
||
|
||
#### 3.2 Плохая обработка ошибок
|
||
**Критичность:** Low
|
||
**Файл:** src/app/core/auth/auth.interceptor.ts:28-32
|
||
**Описание:** Обработка ошибок 401 не всегда приводит к корректному перенаправлению.
|
||
**Рекомендация:** Стандартизовать обработку ошибок и отображение пользователю.
|
||
|
||
## Безопасность
|
||
|
||
### Текущие меры безопасности
|
||
- Использование JWT токенов для аутентификации
|
||
- Параметризованные SQL запросы (защита от SQL инъекций)
|
||
- CORS настройка
|
||
- RBAC система через пространства и роли
|
||
- Пароли хранятся в виде хешей
|
||
- Refresh токены для управления сессиями
|
||
|
||
### Отсутствующие меры
|
||
- Rate limiting
|
||
- CSRF protection
|
||
- Content Security Policy
|
||
- Input validation middleware
|
||
- SQL injection protection for dynamic queries
|
||
- XSS protection
|
||
- Secure cookie storage
|
||
- Brute force protection
|
||
|
||
### Рекомендации по безопасности
|
||
1. Реализовать rate limiting для аутентификации
|
||
2. Добавить CSRF защиту
|
||
3. Перенести JWT токены в httpOnly cookies
|
||
4. Реализовать систему мониторинга и оповещений о подозрительной активности
|
||
5. Добавить валидацию на всех уровнях (фронтенд, бэкенд, БД)
|
||
6. Реализовать ротацию секретов
|
||
7. Добавить тесты безопасности
|
||
|
||
## UX улучшения
|
||
|
||
### Фронтенд
|
||
1. **Улучшить валидацию форм**: Добавить реальную-time валидацию и подсказки
|
||
2. **Добавить индикацию загрузки**: Skeleton loaders для всех асинхронных операций
|
||
3. **Улучшить обработку ошибок**: Пользовательские сообщения об ошибках с возможностью повторной попытки
|
||
4. **Добавить отключенные состояния**: Кнопки должны быть disabled во время загрузки
|
||
5. **Мобильная адаптация**: Проверка и улучшение мобильного UI
|
||
6. **Доступность**: Добавить ARIA labels и проверить доступность
|
||
|
||
### Бэкенд
|
||
1. **Улучшить пагинацию**: Добавить валидацию и лимиты
|
||
2. **Добавить bulk операции**: Оптимизировать массовые операции
|
||
3. **Улучшить обработку ошибок**: Более информативные сообщения
|
||
4. **Добавить метрики**: Время выполнения запросов, количество запросов
|
||
5. **Оптимизировать запросы**: Проверка на N+1 запросы
|
||
|
||
## Приоритизированный план исправления
|
||
|
||
| Приоритет | Проблема | Файлы | Трудоёмкость |
|
||
|-----------|----------|-------|--------------|
|
||
| **Critical** | Хранение JWT токенов в localStorage | frontend/src/app/core/auth/auth.service.ts | 2 часа |
|
||
| **Critical** | Отсутствие валидации ввода данных | backend/internal/handlers/*.go | 4 часа |
|
||
| **High** | Небезопасные настройки JWT | backend/internal/config/config.go | 1 час |
|
||
| **High** | Rate limiting для аутентификации | backend/internal/middleware/ | 3 часа |
|
||
| **Medium** | Отсутствие тестов | backend/internal/ | 8 часов |
|
||
| **Medium** | XSS валидация | backend/internal/handlers/*.go | 2 часа |
|
||
| **Medium** | CSRF защита | backend/internal/middleware/ | 2 часа |
|
||
| **Low** | UX улучшения (индикация загрузки) | frontend/src/app/ | 3 часа |
|
||
| **Low** | Оптимизация запросов | backend/internal/repository/ | 4 часа |
|
||
| **Low** | Документация API | backend/api/ | 2 часа |
|
||
|
||
**Общая трудоёмкость:** ~31 час
|
||
**Рекомендуемый срок выполнения:** 2-3 недели с учётом приоритетов |