onec-jwt-auth

KO | EN

gitlite — search

#javascript #python #hacktoberfest #react #ai #typescript #llm #go #golang #android #machine-learning #rust #deep-learning #linux

(★ 50)

Готовый продукт на 1С для авторизации HTTP API: выдача JWT по PAT (резерв — Basic) и проверка входящих JWT (RS256). Права через области доступа и роли поверх 1С. Двойной контроль токена: валидатор платформы + проверка сессии в регистре. В логах секреты подчищаются, ошибки аккуратно маппятся в 401/403/500. Есть пример API для расширения.

onec-jwt-auth 최신버젼 다운로드

최종 버전 다운로드 (.zip)

// repository documentation

Was this content helpful?

★ 0 (0 ratings)

# onec-jwt-auth 🚀
**JWT-аутентификация и авторизация для HTTP API на 1С (с прицелом на Clean Architecture).**

> 1) Публикуете **два** HTTP-эндпойнта набора (две публикации с разными `default.vrd`).
> 2) На первой публикации клиент по **PAT** (fallback — **Basic**) получает **JWT**.
> 3) На второй публикации все “боевые” HTTP-сервисы принимают только **Bearer JWT** (подпись/iss/aud/exp проверяются платформой на периметре), а внутри 1С делается **двойной контроль** через allowlist-регистр `JWTСессии`.

---

## Зачем этот репозиторий

Этот проект — “готовый каркас” для HTTP API в 1С, где:
- **JWT** (RS256) используется как токен доступа;
- **проверка подписи и claims на периметре** делается штатными механизмами публикации (через `default.vrd`);
- внутри конфигурации добавлен второй уровень контроля: **allowlist по `jti` + хэш токена + срок + отзыв**;
- авторизация построена через **области доступа (scopes)** поверх типичных 1С-прав;
- а главное — всё это сделано **по Clean Architecture**, а не “как обычно в 1С”.

---

## 🧼 Clean Architecture — правило №1

**Этот репозиторий живёт по чистой архитектуре.**
PR, которые вносят “быстрые” решения в обход слоёв (сценарии ходят в регистры напрямую, HTTP-сервисы содержат бизнес-логику и т.п.) — будут отклоняться/перерабатываться.

**Да, стандарты 1С приветствуются.**
Но если выбор стоит между “как принято в 1С” и “как правильно по Clean Architecture” — побеждает **Clean Architecture**.

Подробно: см. `docs/ARCHITECTURE.md`.

---

## Как это работает

### Поток 1: получить JWT (публикация №1)
1. Клиент делает `POST /hs/auth/token`
2. Передаёт `Authorization: PAT pat.<uuid>.<secretHex>`
   (или `Authorization: Basic <base64(login:password)>` как резерв)
3. Сервис выдаёт JSON с `access_token` (JWT) и временем жизни.

### Поток 2: вызвать бизнес-эндпойнты (публикация №2)
1. Клиент вызывает нужный эндпойнт, например `GET /hs/chats/contacts`
2. Передаёт `Authorization: Bearer <jwt>`
3. **Платформа/публикация** валидирует JWT (подпись RS256, iss/aud/exp и т.д.) по `default.vrd`
4. Внутри 1С выполняется “двойной контроль” по `JWTСессии`:
   - запись по `jti` существует
   - `Отозван = Ложь`
   - `ДействуетДо` не истёк
   - `ХэшТокена` совпадает (SHA-256 hex от compact JWT)

---

## ⚠️ Почему нужно две публикации (два `default.vrd`)

Потому что у нас **две разные зоны**:

1) **Публикация “выдать токен”**
   - разрешает вход по **PAT/Basic**
   - **НЕ требует** JWT на периметре

2) **Публикация “боевой API”**
   - **требует** `Authorization: Bearer ...`
   - JWT валидируется на периметре через `<accessTokenAuthentication>` в `default.vrd`

Подробно и с примером структуры `default.vrd`: см. `docs/DEPLOYMENT.md`.

---

## Эндпойнты (в комплекте)

> Путь зависит от имени публикации. В примерах ниже базовый URL выглядит так:
> `https://host/<publication>/hs/...`

### 1) Выдать JWT
- **POST** `/hs/auth/token`
- Auth: `PAT` (primary) / `Basic` (fallback)
- Response: `{ "access_token": "<jwt>", "token_type": "Bearer", "expires_in": <sec> }`

### 2) Пример “боевого” API
- **GET** `/hs/chats/contacts`
- Auth: `Bearer JWT`
- Response: список контактов (демо-данные)

Подробные примеры запросов/ответов: `docs/API.md`.

---

## Быстрый старт

### Требования
- 1С:Предприятие **не ниже 8.3.27.1936**
- 1C:EDT (проект в формате EDT)

> **Важно:** публикация на веб‑сервере нужна только для “боевого” режима, чтобы платформа проверяла JWT на периметре через `default.vrd`.
> Для локальной разработки и прогонов логики **публикация не обязательна** — всё можно проверить через обработку **`Тестирование`**.

### 1) Открыть проект
1. Клонируйте репозиторий
2. Импортируйте папку `jwt_auth` в EDT как существующий проект

### 2) Запустить и открыть обработку `Тестирование`
Запустите ИБ (в отладке или обычном режиме) и откройте:

**Все функции → Обработки → Тестирование**

Эта обработка гоняет тот же пайплайн (аутентификация → авторизация → бизнес‑операция), что и HTTP‑публикация, только **без веб‑сервера**.

### 3) Сгенерировать RSA‑ключи для RS256
Нужна пара ключей:
- **private key** — для подписи JWT внутри 1С
- **public key** — для проверки подписи на периметре (в `default.vrd` публикации API)

Самый простой вариант — через OpenSSL:

```bash
# private key (RSA 2048)
openssl genpkey -algorithm RSA -pkeyopt rsa_keygen_bits:2048 -out jwt_private.pem

# public key из private
openssl pkey -in jwt_private.pem -pubout -out jwt_public.pem
```

> Не коммитьте реальные ключи в репозиторий. Private key храните как секрет.

### 4) Добавить **закрытый** ключ в ИБ (через обработку)
В обработке **`Тестирование`** нажмите кнопку **«Добавить секретный ключ»** и выберите файл `jwt_private.pem`.

Ключ сохранится в ИБ (ручных правок констант/регистров делать не нужно).

### 5) Сгенерировать PAT (персональный токен доступа)
В той же обработке:
1. Выберите доменного пользователя (каталог `Пользователи`)
2. Укажите срок действия и описание
3. Нажмите **«Сгенерировать PAT»**

На выходе вы получите строку формата:

`PAT pat.<uuid>.<secretHex>`

PAT токен появится в поле `PATТокен`.

При генерации PAT система сама запишет данные в хранилище (регистр `ПерсональныеТокеныДоступа`). **Ничего вручную “настраивать” не требуется.**

> Если хотите тестировать выдачу JWT по **Basic**, используйте кнопку **«Связать пользователя и пользователя ИБ»** (привязка доменного пользователя к пользователю базы).

### 6) Получить JWT
- Нажмите **«Авторизоваться»** (использует PAT)
- или **«BasicAuth»** (резервный путь)

JWT появится в поле `JWTТокен`.

При выдаче токена автоматически создаётся/обновляется запись в allowlist‑регистре `JWTСессии` (jti, hash, exp, revoke). **Ручной настройки `JWTСессии` нет и не нужно.**

### 7) Протестировать “боевой” эндпойнт без публикации
Нажмите **«Контакты»** — обработка выполнит операцию, соответствующую `GET /hs/chats/contacts`, через тот же `ПайплайнAPI`.

Это удобно для разработки: можно проверять **контракты/валидации/доступ/бизнес‑логику** без поднятия веб‑публикации.

> Платформенная проверка JWT из `default.vrd` (iss/aud/подпись/exp на периметре) в этом режиме, естественно, **не проверяется** — она включится только в опубликованной ИБ.

### 8) Боевой режим: две публикации (2× VRD)
Для продакшена всё равно нужны **две** публикации с разными `default.vrd`:

1) **AUTH‑публикация** — выдача JWT по PAT/Basic (JWT на периметре не включаем)  
2) **API‑публикация** — бизнесовые HTTP‑сервисы, закрытые JWT на периметре (RS256, aud/iss, public key)

Подробности и шаблоны VRD:
- `docs/DEPLOYMENT.md`
- `deploy/vrd/*.example`
## Логи, ошибки и корреляция

- Единая точка перехвата исключений — `ПайплайнAPI`
- Ошибки маппятся в **400 / 401 / 403 / 500**
- Тело ошибки (JSON):
```json
{
  "ошибка": {
    "код": "API.Доступ.AUTHN.NO_AUTH",
    "сообщение": "Не авторизован.",
    "корреляция": "..."
  }
}
```
- В логах/ответах секреты и токены **санитизируются** (REDACTED)
- Поддерживается `X-Correlation-Id` (если нет — генерируется)

---

## Документация

- `docs/ARCHITECTURE.md` — слои, правила, как добавлять новые эндпойнты
- `docs/DEPLOYMENT.md` — две публикации, `default.vrd`, JWT на периметре
- `docs/API.md` — контракты API и примеры запросов
- `docs/SECURITY.md` — про ключи, логи, угрозы

---

## Как контрибьютить

1. Прочитать `docs/ARCHITECTURE.md` (особенно правила слоёв)
2. Создать issue / обсудить дизайн
3. Сделать PR по `CONTRIBUTING.md`

---

## Лицензия
Предлагаемая лицензия: MIT (можно поменять под ваши требования). См. `LICENSE`.

onec-jwt-auth

onec-jwt-auth 최신버젼 다운로드

오늘의 추천 프로젝트

Was this content helpful?

Recent Feedback

onec-jwt-auth

onec-jwt-auth 최신버젼 다운로드

오늘의 추천 프로젝트

Was this content helpful?

Recent Feedback

Download README