From c5adbdf39c3e44b76028b37173ef97d0123fb7be Mon Sep 17 00:00:00 2001 From: "Zimin A.N." Date: Mon, 25 May 2026 18:51:43 +0300 Subject: [PATCH] =?UTF-8?q?fix(auth):=20=D1=80=D0=BE=D0=BB=D1=8C=20admin?= =?UTF-8?q?=20=D0=B4=D0=B0=D1=91=D1=82=20RESTRICTED=20scope=20(=D0=B2?= =?UTF-8?q?=D0=B8=D0=B4=D0=B8=D1=82=20=D0=B2=D1=81=D1=91)?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit ScopeContext.normalizeRoleToScope ищет суффикс PUBLIC|INTERNAL|RESTRICTED после `-`/`_`/`:`. Роль `admin` (и `ordinis-admin`, `ordinis:client:admin`) не match'илась — нет суффикса с known scope name → DataScope.valueOf("ADMIN") бросал IllegalArgumentException → ignored → юзер с одной только admin ролью получал PUBLIC scope → 403 на любом /admin/* endpoint'е с requireInternal(). Симптом на проде/staging: админ открывает /audit, видит 403 на /admin/audit и /admin/users несмотря на JWT с admin ролью. Fix: processRole() сначала проверяет isAdminRole (tail == "ADMIN" после prefix-stripping и separator-split) → даёт RESTRICTED (RESTRICTED visibleTo PUBLIC + INTERNAL + RESTRICTED). Иначе идёт обычный normalizeRoleToScope. Поддерживаются: admin, ADMIN, ordinis-admin, ordinis_admin, ordinis:client:admin, ANYTHING-admin, ANYTHING_ADMIN — короче, любая роль с tail'ом ADMIN. Tests: +4 новых кейса (admin alone, ordinis-dash-admin, colon-separated admin, admin + explicit scope unionize). Старый unrecognizedRolesGivePublicFallback оставил только "viewer" — admin теперь recognized. 17/17 ScopeContextTest passed. --- .../terravault/ordinis/auth/ScopeContext.java | 33 +++++++++++++++-- .../ordinis/auth/ScopeContextTest.java | 36 ++++++++++++++++++- 2 files changed, 66 insertions(+), 3 deletions(-) diff --git a/ordinis-auth/src/main/java/cloud/nstart/terravault/ordinis/auth/ScopeContext.java b/ordinis-auth/src/main/java/cloud/nstart/terravault/ordinis/auth/ScopeContext.java index 2c26e73..5519caa 100644 --- a/ordinis-auth/src/main/java/cloud/nstart/terravault/ordinis/auth/ScopeContext.java +++ b/ordinis-auth/src/main/java/cloud/nstart/terravault/ordinis/auth/ScopeContext.java @@ -87,15 +87,44 @@ public class ScopeContext { if (raw == null) return EnumSet.of(DataScope.PUBLIC); EnumSet result = EnumSet.noneOf(DataScope.class); if (raw instanceof Collection col) { - for (Object o : col) addScope(result, normalizeRoleToScope(String.valueOf(o))); + for (Object o : col) processRole(result, String.valueOf(o)); } else { for (String part : String.valueOf(raw).split("[,\\s]+")) { - addScope(result, normalizeRoleToScope(part)); + processRole(result, part); } } return result.isEmpty() ? EnumSet.of(DataScope.PUBLIC) : result; } + /** + * Single-role handler. Сначала проверяет admin-aliases (admin / + * ordinis-admin / ADMIN с любым префиксом) → дают RESTRICTED (видит всё). + * Иначе идёт через normalizeRoleToScope (PUBLIC/INTERNAL/RESTRICTED суффикс). + * + *

Раньше admin-роль молча проваливалась в normalizeRoleToScope (нет + * матча на PUBLIC/INTERNAL/RESTRICTED suffix) → user получал только PUBLIC + * → 403 на любом /admin/* endpoint'е с requireInternal(). UX чинит: + * админу не нужно явно иметь ordinis-internal в Keycloak, роль admin + * сама по себе даёт максимальный доступ. + */ + private static void processRole(EnumSet target, String role) { + if (isAdminRole(role)) { + target.add(DataScope.RESTRICTED); + return; + } + addScope(target, normalizeRoleToScope(role)); + } + + /** True если role tail (после `-`/`_`/`:` или целиком) равен "ADMIN". */ + private static boolean isAdminRole(String role) { + if (role == null) return false; + String s = role.trim().toUpperCase(); + if (s.isEmpty()) return false; + int sep = Math.max(Math.max(s.lastIndexOf('-'), s.lastIndexOf('_')), s.lastIndexOf(':')); + String tail = sep >= 0 ? s.substring(sep + 1) : s; + return "ADMIN".equals(tail); + } + /** Поддерживает nested путь "realm_access.roles" или просто "scopes". */ private static Object readClaimByPath(Jwt token, String path) { String[] parts = path.split("\\."); diff --git a/ordinis-auth/src/test/java/cloud/nstart/terravault/ordinis/auth/ScopeContextTest.java b/ordinis-auth/src/test/java/cloud/nstart/terravault/ordinis/auth/ScopeContextTest.java index e21b17d..47ae1f8 100644 --- a/ordinis-auth/src/test/java/cloud/nstart/terravault/ordinis/auth/ScopeContextTest.java +++ b/ordinis-auth/src/test/java/cloud/nstart/terravault/ordinis/auth/ScopeContextTest.java @@ -78,11 +78,45 @@ class ScopeContextTest { @Test void unrecognizedRolesGivePublicFallback() { - setJwtWithRealmRoles(List.of("admin", "viewer")); + // "viewer" — unrecognized; "admin" больше не unrecognized (см. тест ниже). + setJwtWithRealmRoles(List.of("viewer")); assertThat(new ScopeContext(propsNoQuery).currentScopes()) .containsExactly(DataScope.PUBLIC); } + @Test + void adminRoleGetsRestricted() { + // Любая роль с tail'ом ADMIN (admin / ordinis-admin / ADMIN_FOO с + // суффиксом ADMIN) даёт RESTRICTED — RESTRICTED visibleTo всем уровням. + // Раньше admin молча проваливался в normalizeRoleToScope → PUBLIC → + // админ получал 403 на /admin/* endpoint'ах с requireInternal(). + setJwtWithRealmRoles(List.of("admin")); + assertThat(new ScopeContext(propsNoQuery).currentScopes()) + .containsExactly(DataScope.RESTRICTED); + } + + @Test + void ordinisDashAdminGetsRestricted() { + setJwtWithRealmRoles(List.of("ordinis-admin")); + assertThat(new ScopeContext(propsNoQuery).currentScopes()) + .containsExactly(DataScope.RESTRICTED); + } + + @Test + void adminColonSeparatedGetsRestricted() { + setJwtWithRealmRoles(List.of("ordinis:client:admin")); + assertThat(new ScopeContext(propsNoQuery).currentScopes()) + .containsExactly(DataScope.RESTRICTED); + } + + @Test + void adminAlongsideExplicitScopesUnionizes() { + // admin + ordinis-public → RESTRICTED (admin) + PUBLIC (ordinis-public). + setJwtWithRealmRoles(List.of("admin", "ordinis-public")); + assertThat(new ScopeContext(propsNoQuery).currentScopes()) + .containsExactlyInAnyOrder(DataScope.RESTRICTED, DataScope.PUBLIC); + } + // ============= JWT vs query ============= @Test