feat(auth): JWT scope authorization (@nstart/auth контракт)

Новый модуль ordinis-auth:
- OrdinisAuthProperties — public-key, issuer, requireAuthentication, allowQueryScope
- ScopeContext — резолвит current scopes из JWT claim 'scopes' (приоритет),
  потом legacy ?as_scope=, потом anonymous=PUBLIC
- SecurityConfig — Spring Security OAuth2 Resource Server + RSA public-key
  decoder. Если public-key пуст — JWT validation отключён (permissive
  fallback); rollout без auth-сервера не ломает API.

Read controller теперь делегирует scope resolution в ScopeContext вместо
прямого парсинга ?as_scope=. Backward compat: legacy query параметр
работает пока ordinis.auth.allow-query-scope=true (по умолчанию true в
dev/staging, false в prod после интеграции с @nstart/auth).

Vault: public-key читается из secret/ordinis/cuod/jwt-public-key (key=key).
Spring Cloud Vault flatten'ит в property 'key', resolved в
ordinis.auth.public-key=${key:}.

This commit is contained in:

Александр Зимин

2026-05-04 00:28:27 +03:00

parent dfb694a42f

commit 6ee7a70ad1

11 changed files with 289 additions and 18 deletions

									
										ordinis-read-api/pom.xml
									
		+4
		
												View File
												
				@@ -19,6 +19,10 @@

				      <groupId>cloud.nstart.terravault.ordinis</groupId>

				      <artifactId>ordinis-domain</artifactId>

				    </dependency>

				    <dependency>

				      <groupId>cloud.nstart.terravault.ordinis</groupId>

				      <artifactId>ordinis-auth</artifactId>

				    </dependency>

				    <dependency>

				      <groupId>org.springframework.boot</groupId>