Netpulse_SasS/server/internal/httpapi/downloads.go

package httpapi

import (
	"errors"
	"io"
	"net/http"
	"strings"

	"github.com/netpulse/netpulse/server/internal/auth"
	"github.com/netpulse/netpulse/server/internal/store"
)

// Завантаження файлів звичайним посиланням.
//
// Уся решта API живе на Bearer-токені в заголовку. Заголовок уміє додати
// лише fetch, а fetch кладе відповідь у пам'ять вкладки: для звіту на
// десятки мегабайтів це означає зібрати весь файл у браузері, перш ніж
// людина побачить діалог збереження, а в частині оточень (кіоски,
// вбудовані webview, політики, що глушать blob:) збереження такого
// об'єкта не спрацьовує взагалі.
//
// Тому файл тягне завантажувач браузера за звичайним посиланням, а право
// доступу лежить у самому URL — короткоживучим квитком. Механіка й ціна
// описані в міграції 0038; тут — рівно два обробники: видати квиток
// (під звичайною автентифікацією й правом) і віддати за ним файл.
//
// Що квиток НЕ дає: сесії, права, доступу до будь-чого, крім одного
// об'єкта в одному форматі. Він не поновлюється й через дві хвилини
// мертвий.

// issueDownloadTicket видає квиток і повертає шлях до файлу.
//
// Шлях, а не повний URL: сервер за проксі не знає свого зовнішнього
// імені, і вгадування дало б посилання, яке нікуди не веде. Той самий
// висновок, що й у посилання для телевізора.
func (s *Server) issueDownloadTicket(w http.ResponseWriter, r *http.Request, p *Principal,
	kind, objectID, format string) bool {

	token, err := auth.NewToken("np_dl_")
	if err != nil {
		s.log.Error("токен завантаження", "err", err)
		writeError(w, http.StatusInternalServerError, "internal", "внутрішня помилка")
		return false
	}
	if err := s.store.CreateDownloadTicket(r.Context(), token, p.TenantID, p.UserID,
		kind, objectID, format); err != nil {
		s.writeStoreError(w, "посилання на завантаження", err)
		return false
	}
	writeJSON(w, http.StatusOK, map[string]any{
		"path": "/api/v1/downloads/" + token,
		// Скільки посилання житиме. Клієнт має піти за ним одразу, а не
		// покласти в змінну «на потім»; секунди тут — щоб це було видно
		// без читання коду сервера.
		"expires_in": int(store.DownloadTicketTTL.Seconds()),
	})
	return true
}

// handleDownload віддає файл за квитком.
//
// Без автентифікації — її замінює токен у шляху. Тому перше, що тут
// відбувається, — звірка квитка, і лише потім будь-яке читання даних.
func (s *Server) handleDownload(w http.ResponseWriter, r *http.Request) {
	token := strings.TrimSpace(r.PathValue("token"))

	t, err := s.store.ResolveDownloadTicket(r.Context(), token)
	if errors.Is(err, store.ErrNotFound) {
		// Однакова відповідь на неіснуючий і на протухлий квиток:
		// різниця між ними — підказка тому, хто перебирає.
		writeError(w, http.StatusNotFound, "not_found", "посилання недійсне або застаріле")
		return
	}
	if err != nil {
		s.log.Error("квиток завантаження", "err", err)
		writeError(w, http.StatusInternalServerError, "internal", "внутрішня помилка")
		return
	}

	switch t.Kind {
	case store.DownloadKindCommandReport:
		s.streamCommandReport(w, r, t)
	default:
		// Квитка з невідомим видом бути не може — його заводить цей же
		// код. Якщо він з'явився, це наш недогляд, а не помилка того, хто
		// прийшов за файлом.
		s.log.Error("невідомий вид квитка", "kind", t.Kind)
		writeError(w, http.StatusInternalServerError, "internal", "внутрішня помилка")
	}
}

// streamCommandReport віддає звіт про прогін команд.
//
// Заголовки виставляються в колбеку, який store викликає рівно тоді, коли
// прогін знайдено, а перший байт тіла ще не пішов. Інакше 404 на
// видалений прогін довелось би віддавати всередині вже початого файлу.
func (s *Server) streamCommandReport(w http.ResponseWriter, r *http.Request, t store.DownloadTicket) {
	err := s.store.StreamCommandRunReport(r.Context(), t.TenantID, t.ObjectID, t.Format,
		func(run store.CommandRun) (io.Writer, error) {
			name := store.ReportFileName(run, t.Format)
			ct := "text/plain; charset=utf-8"
			if t.Format == store.ReportFormatCSV {
				ct = "text/csv; charset=utf-8"
			}
			w.Header().Set("Content-Type", ct)
			// Без Content-Disposition браузер покаже текст у вкладці, а
			// людина прийшла по файл.
			w.Header().Set("Content-Disposition", `attachment; filename="`+name+`"`)
			// Довжини не знаємо й знати не можемо: звіт формується на
			// льоту. no-store — бо посилання одноразове за змістом, і
			// кешований звіт пережив би квиток.
			w.Header().Set("Cache-Control", "no-store")
			w.WriteHeader(http.StatusOK)
			return w, nil
		})

	switch {
	case err == nil:
		return
	case errors.Is(err, store.ErrNotFound):
		writeError(w, http.StatusNotFound, "not_found", "прогін уже видалено")
	case errors.Is(err, store.ErrInvalid):
		writeError(w, http.StatusBadRequest, "invalid", err.Error())
	default:
		// Сюди потрапляє й обрив посеред потоку. Відповідь уже пішла, і
		// змінити її статус не можна — слід про обрив дописано в сам
		// файл, а тут лишається журнал.
		s.log.Error("звіт про прогін команд", "run", t.ObjectID, "err", err)
	}
}