fix(api): fail-safe прод-старт, транзакции и санитизация install-скриптов

- прод-режим отказывается стартовать без AUTH_REQUIRED и реальных секретов
  (opt-out через EVOFW_ALLOW_UNSAFE)
- CORS: whitelist через CORS_ORIGINS вместо origin:true; CSP для раздаваемого SPA
- транзакции для setAgentPolicySets, reorderPolicyRules, replaceResolvedForRule,
  replaceIpListEntries
- install-скрипты: Zod-валидация имени ссылки, экранирование $ и контрольных
  символов в RouterOS-рендере
- constant-time сравнение enroll-seed
- опциональное шифрование токена EvoBGP в БД (EVOFW_SECRET_KEY, AES-256-GCM)
  и маскирование per-list api_token в ответах
- graceful shutdown (SIGTERM/SIGINT) + тесты

This commit is contained in:

Denozordec

2026-09-20 18:51:47 +07:00

parent 45812fef6a

commit 40030ce06c

23 changed files with 493 additions and 69 deletions

									
										apps/api/src/services/ip-block-stats.test.ts
									
		+2
		
												View File
												
				@@ -14,6 +14,8 @@ const testConfig: AppConfig = {

				  authPortalUrl: 'http://localhost:5175',

				  publicBaseUrl: 'https://fw.example.com',

				  enrollSeed: 'test-seed',

				  corsOrigins: [],

				  secretKey: null,

				}

				async function enrollApprovedLinux(