Этап 6: закалка — лимиты ADR-021, аудит модели угроз, сверка документов

Лимиты: все четыре правила ADR-021 — регистрация 5/час на IP, вход 10/10 мин на IP и ник, сообщения 30/мин, прочие изменяющие 60/мин; 429 с Retry-After; X-Real-IP читается только с loopback, иначе адрес соединения — иначе заголовок отменял бы лимит на IP; карты вёдер ограничены поколениями. Аудит нашёл то, что пропустили пять раундов ревью: ADR-056: nginx вёл access_log с IP и полными путями вопреки обещанию deploy.md. Ники и социальный граф ложились в /var/log/nginx рядом с чистым журналом bare. ADR-058: «выйти на других устройствах» не обрывал уже открытый SSE — отозванная сессия продолжала получать сообщения. ADR-059: промежуточный ключ комнаты был невосстановим. Участник, пропустивший офлайн два rekey подряд, навсегда не расшифровал бы сообщения среднего ключа — вопреки обещанию storage.md о повторной попытке после получения keyId. ADR-063: ACK уходил по одному на конверт, а не пачкой. Получатель в оживлённой комнате выедал общее ведро подтверждениями и упирался в 429 на всех изменяющих запросах, включая выход из комнаты: 116 отказов за прогон стало нулём. ADR-055, 057, 060, 061, 062: ключи вёдер и границы, +dirty у bare version, 403 unknown_device не хоронит сообщение, усечение имени в подсказке ввода, kdf как оракул после повышения цели KDF. Модель угроз пополнена тем, что действительно видит оператор: push-подписки лежат в базе открытым текстом, и вместе с VAPID-ключом с той же машины это произвольное уведомление на экране блокировки. README приведён к v1. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_015DbCjVfTFq4ZFG8juD45YJ
2026-08-23 06:22:52 +03:00
parent 0c878477d2
commit db45978b16
45 changed files with 1522 additions and 282 deletions
@@ -1,62 +1,80 @@
 package api

 import (
+	"net/http"
+	"net/http/httptest"
+	"strconv"
 	"testing"
 	"time"
 )

-// Token bucket из ADR-021: 30 в минуту, пакет 10.
-func TestBuckets(t *testing.T) {
-	b := newBuckets(messagesPerMinute, messagesBurst)
-	now := time.Now()
+// Все четыре правила ADR-021: пакет расходуется целиком, следующий токен
+// набегает ровно через window/count, ведро не переполняется.
+func TestRules(t *testing.T) {
+	cases := []struct {
+		name string
+		rule rule
+		// token — сколько ждать одного токена на пустом ведре.
+		token time.Duration
+	}{
+		{"регистрация", registerRule, 12 * time.Minute},
+		{"вход", loginRule, time.Minute},
+		{"сообщения", messagesRule, 2 * time.Second},
+		{"изменяющие", writesRule, time.Second},
+	}
+	for _, c := range cases {
+		t.Run(c.name, func(t *testing.T) {
+			b := newBuckets(c.rule)
+			now := time.Now()

-	for i := 0; i < messagesBurst; i++ {
-		if _, ok := b.take("marta", now); !ok {
-			t.Fatalf("запрос %d из пакета отклонён", i+1)
-		}
-	}
-	wait, ok := b.take("marta", now)
-	if ok {
-		t.Fatal("пакет не кончился")
-	}
-	// Тридцать в минуту — токен раз в две секунды.
-	if wait != 2*time.Second {
-		t.Errorf("ожидание: получено %v, ожидалось 2s", wait)
-	}
-	if got := retryAfter(wait); got != 2 {
-		t.Errorf("Retry-After: получено %d, ожидалось 2", got)
-	}
+			for i := 0; i < c.rule.burst; i++ {
+				if _, ok := b.take("ключ", now); !ok {
+					t.Fatalf("запрос %d из пакета %d отклонён", i+1, c.rule.burst)
+				}
+			}
+			wait, ok := b.take("ключ", now)
+			if ok {
+				t.Fatal("пакет не кончился")
+			}
+			if wait != c.token {
+				t.Errorf("ожидание: получено %v, ожидалось %v", wait, c.token)
+			}
+			if got, want := retryAfter(wait), int(c.token.Seconds()); got != want {
+				t.Errorf("Retry-After: получено %d, ожидалось %d", got, want)
+			}

-	// Через две секунды набегает ровно один токен.
-	if _, ok := b.take("marta", now.Add(2*time.Second)); !ok {
-		t.Error("токен не набежал")
-	}
-	if _, ok := b.take("marta", now.Add(2*time.Second)); ok {
-		t.Error("набежало больше одного токена")
-	}
+			// Восстановление: ровно через это время набегает ровно один токен.
+			if _, ok := b.take("ключ", now.Add(c.token)); !ok {
+				t.Error("токен не набежал")
+			}
+			if _, ok := b.take("ключ", now.Add(c.token)); ok {
+				t.Error("набежало больше одного токена")
+			}

-	// Ведро не переполняется: за час копится пакет, не тридцать в минуту.
-	for i := 0; i < messagesBurst; i++ {
-		if _, ok := b.take("marta", now.Add(time.Hour)); !ok {
-			t.Fatalf("запрос %d после долгой паузы отклонён", i+1)
-		}
-	}
-	if _, ok := b.take("marta", now.Add(time.Hour)); ok {
-		t.Error("ведро больше пакета")
-	}
+			// За долгую паузу копится пакет, а не весь пропущенный поток.
+			for i := 0; i < c.rule.burst; i++ {
+				if _, ok := b.take("ключ", now.Add(24*time.Hour)); !ok {
+					t.Fatalf("запрос %d после долгой паузы отклонён", i+1)
+				}
+			}
+			if _, ok := b.take("ключ", now.Add(24*time.Hour)); ok {
+				t.Error("ведро больше пакета")
+			}

-	// Лимит на ключ: чужое ведро полное.
-	if _, ok := b.take("petya", now); !ok {
-		t.Error("лимит одного пользователя задел другого")
+			// Ведро на ключ: чужое полное.
+			if _, ok := b.take("другой ключ", now); !ok {
+				t.Error("лимит одного ключа задел другой")
+			}
+		})
 	}
 }

 // Часы могут прыгнуть назад; долг за это никому не выставляется.
 func TestBucketsClockBack(t *testing.T) {
-	b := newBuckets(messagesPerMinute, messagesBurst)
+	b := newBuckets(messagesRule)
 	now := time.Now()

-	for i := 0; i < messagesBurst; i++ {
+	for i := 0; i < messagesRule.burst; i++ {
 		b.take("marta", now)
 	}
 	if _, ok := b.take("marta", now.Add(-time.Hour)); ok {
@@ -64,32 +82,43 @@ func TestBucketsClockBack(t *testing.T) {
 	}
 }

-// Полные вёдра выкидываются: карта не растёт на каждый ник навсегда.
-func TestBucketsSweep(t *testing.T) {
-	b := newBuckets(messagesPerMinute, messagesBurst)
+// Карта лимита не растёт бесконечно: миллион разных ключей проходит
+// сквозь поколения, а вёдер остаётся не больше двух карт.
+func TestBucketsBounded(t *testing.T) {
+	b := newBuckets(registerRule)
 	now := time.Now()

-	for i := 0; i < sweepAt; i++ {
-		b.take(string(rune(i)), now)
+	for i := 0; i < 1_000_000; i++ {
+		b.take(strconv.Itoa(i), now)
 	}
-	if len(b.seen) != sweepAt {
-		t.Fatalf("вёдер: получено %d, ожидалось %d", len(b.seen), sweepAt)
+	if got := b.size(); got > 2*generation {
+		t.Errorf("вёдер: получено %d, ожидалось не больше %d", got, 2*generation)
 	}
-	// Все вёдра успели наполниться заново — чистка их и уносит.
-	b.take("marta", now.Add(time.Hour))
-	if len(b.seen) != 1 {
-		t.Errorf("вёдер после чистки: получено %d, ожидалось 1", len(b.seen))
+
+	// Ключ, по которому ходят, смену поколения переживает: его ведро
+	// переезжает в нынешнюю карту, а не заводится заново.
+	b = newBuckets(registerRule)
+	for i := 0; i < registerRule.burst; i++ {
+		b.take("свой", now)
+	}
+	for i := 0; i < 3*generation; i++ {
+		b.take(strconv.Itoa(i), now)
+		if _, ok := b.take("свой", now); ok {
+			t.Fatalf("ведро забыто на %d-м чужом ключе", i+1)
+		}
 	}
 }

 // Ждать меньше секунды бессмысленно: Retry-After в секундах.
 func TestRetryAfter(t *testing.T) {
 	cases := map[time.Duration]int{
+		-time.Second:            1,
 		0:                       1,
 		100 * time.Millisecond:  1,
 		time.Second:             1,
 		1500 * time.Millisecond: 2,
 		2 * time.Second:         2,
+		12 * time.Minute:        720,
 	}
 	for wait, want := range cases {
 		if got := retryAfter(wait); got != want {
@@ -98,6 +127,42 @@ func TestRetryAfter(t *testing.T) {
 	}
 }

+// X-Real-IP ставит nginx с той же машины (ADR-022). Заголовку из сети
+// веры нет: иначе лимит на IP снимался бы новой строкой в заголовке.
+func TestClientIP(t *testing.T) {
+	cases := []struct {
+		name   string
+		remote string
+		real   string
+		want   string
+	}{
+		{"без заголовка", "203.0.113.7:41000", "", "203.0.113.7"},
+		{"заголовок из сети", "203.0.113.7:41000", "198.51.100.1", "203.0.113.7"},
+		{"заголовок от nginx", "127.0.0.1:41000", "198.51.100.1", "198.51.100.1"},
+		{"nginx по ipv6", "[::1]:41000", "198.51.100.1", "198.51.100.1"},
+		{"loopback без заголовка", "127.0.0.1:41000", "", "127.0.0.1"},
+		{"мусор в заголовке", "127.0.0.1:41000", "не адрес", "127.0.0.1"},
+		{"пробелы в заголовке", "127.0.0.1:41000", " 198.51.100.1 ", "198.51.100.1"},
+		{"адрес с портом в заголовке", "127.0.0.1:41000", "198.51.100.1:80", "127.0.0.1"},
+		{"ipv6 клиента", "[2001:db8::1]:41000", "", "2001:db8::1"},
+		{"ipv4 в ipv6-форме", "[::ffff:203.0.113.7]:41000", "", "203.0.113.7"},
+		{"ipv4 в ipv6-форме в заголовке", "127.0.0.1:41000", "::ffff:198.51.100.1", "198.51.100.1"},
+		{"не разобрать соединение", "сокет", "198.51.100.1", "сокет"},
+	}
+	for _, c := range cases {
+		t.Run(c.name, func(t *testing.T) {
+			r := httptest.NewRequest(http.MethodPost, "/api/register", nil)
+			r.RemoteAddr = c.remote
+			if c.real != "" {
+				r.Header.Set("X-Real-IP", c.real)
+			}
+			if got := clientIP(r); got != c.want {
+				t.Errorf("clientIP: получено %q, ожидалось %q", got, c.want)
+			}
+		})
+	}
+}
+
 // ULID: 26 символов Crockford base32, время в первых десяти.
 func TestULIDTime(t *testing.T) {
 	// 01ARZ3NDEK — 2016-07-30T23:54:10.259Z.
@@ -119,3 +184,11 @@ func TestULIDTime(t *testing.T) {
 		}
 	}
 }
+
+// size — сколько вёдер помнят обе карты. Только для тестов: предел размера
+// проверяется, а не подразумевается.
+func (b *buckets) size() int {
+	b.mu.Lock()
+	defer b.mu.Unlock()
+	return len(b.cur) + len(b.old)
+}