mdm-ordinis

ivan-igorevich/mdm-ordinis

Fork 0

Commit Graph

Author	SHA1	Message	Date
Zimin A.N.	7593699990	feat(auth): refactor to Keycloak OIDC issuer-uri (drop static PEM) @nstart/auth = Keycloak. Уходим от RSA PEM в Vault на OIDC discovery. OrdinisAuthProperties: - DROP: publicKey (PEM) - ADD: issuerUri (https://auth.nstart.space/realms/nstart) - ADD: jwkSetUri (optional override) - ADD: audience (для aud валидации, когда узнаем client_id) - RENAME: scopeClaim → rolesClaim (default: realm_access.roles) SecurityConfig: - JwtDecoders.fromIssuerLocation() — auto JWK Set discovery через /.well-known/openid-configuration. Ротация ключей не требует ручных операций. - AudienceValidator (опц.) для проверки aud claim. - Permissive stub когда issuer-uri пуст (dev mode). ScopeContext: - readClaimByPath() поддерживает nested путь "realm_access.roles". - normalizeRoleToScope(): маппит Keycloak роли ("ordinis-public", "ORDINIS_INTERNAL", "x-RESTRICTED") в DataScope. - JWT всегда побеждает query ?as_scope= (защита от scope escalation).	2026-05-04 02:13:08 +03:00
Александр Зимин	6ee7a70ad1	feat(auth): JWT scope authorization (@nstart/auth контракт) Новый модуль ordinis-auth: - OrdinisAuthProperties — public-key, issuer, requireAuthentication, allowQueryScope - ScopeContext — резолвит current scopes из JWT claim 'scopes' (приоритет), потом legacy ?as_scope=, потом anonymous=PUBLIC - SecurityConfig — Spring Security OAuth2 Resource Server + RSA public-key decoder. Если public-key пуст — JWT validation отключён (permissive fallback); rollout без auth-сервера не ломает API. Read controller теперь делегирует scope resolution в ScopeContext вместо прямого парсинга ?as_scope=. Backward compat: legacy query параметр работает пока ordinis.auth.allow-query-scope=true (по умолчанию true в dev/staging, false в prod после интеграции с @nstart/auth). Vault: public-key читается из secret/ordinis/cuod/jwt-public-key (key=key). Spring Cloud Vault flatten'ит в property 'key', resolved в ordinis.auth.public-key=${key:}.	2026-05-04 00:28:27 +03:00

Author

SHA1

Message

Date

Zimin A.N.

7593699990

feat(auth): refactor to Keycloak OIDC issuer-uri (drop static PEM)

@nstart/auth = Keycloak. Уходим от RSA PEM в Vault на OIDC discovery.

OrdinisAuthProperties:
- DROP: publicKey (PEM)
- ADD: issuerUri (https://auth.nstart.space/realms/nstart)
- ADD: jwkSetUri (optional override)
- ADD: audience (для aud валидации, когда узнаем client_id)
- RENAME: scopeClaim → rolesClaim (default: realm_access.roles)

SecurityConfig:
- JwtDecoders.fromIssuerLocation() — auto JWK Set discovery через
  /.well-known/openid-configuration. Ротация ключей не требует ручных операций.
- AudienceValidator (опц.) для проверки aud claim.
- Permissive stub когда issuer-uri пуст (dev mode).

ScopeContext:
- readClaimByPath() поддерживает nested путь "realm_access.roles".
- normalizeRoleToScope(): маппит Keycloak роли ("ordinis-public",
  "ORDINIS_INTERNAL", "x-RESTRICTED") в DataScope.
- JWT всегда побеждает query ?as_scope= (защита от scope escalation).

2026-05-04 02:13:08 +03:00

Александр Зимин

6ee7a70ad1

feat(auth): JWT scope authorization (@nstart/auth контракт)

Новый модуль ordinis-auth:
- OrdinisAuthProperties — public-key, issuer, requireAuthentication, allowQueryScope
- ScopeContext — резолвит current scopes из JWT claim 'scopes' (приоритет),
  потом legacy ?as_scope=, потом anonymous=PUBLIC
- SecurityConfig — Spring Security OAuth2 Resource Server + RSA public-key
  decoder. Если public-key пуст — JWT validation отключён (permissive
  fallback); rollout без auth-сервера не ломает API.

Read controller теперь делегирует scope resolution в ScopeContext вместо
прямого парсинга ?as_scope=. Backward compat: legacy query параметр
работает пока ordinis.auth.allow-query-scope=true (по умолчанию true в
dev/staging, false в prod после интеграции с @nstart/auth).

Vault: public-key читается из secret/ordinis/cuod/jwt-public-key (key=key).
Spring Cloud Vault flatten'ит в property 'key', resolved в
ordinis.auth.public-key=${key:}.

2026-05-04 00:28:27 +03:00

2 Commits