Netpulse_SasS/server/internal/store/downloads.go

package store

import (
	"context"
	"time"

	"github.com/jackc/pgx/v5"
)

// Квитки на завантаження файлу звичайним посиланням.
//
// Чому вони існують — у міграції 0038. Коротко: заголовок Authorization
// уміє додати лише fetch, а файл має тягнути завантажувач браузера, тож
// право доступу мусить бути в URL.
//
// Квиток відкриває рівно один об'єкт в одному форматі й живе хвилини.
// Ширшого доступу він не дає й дати не може: kind і object_id
// зафіксовані в момент видачі, а обробник нічого, крім них, не читає.

// DownloadTicketTTL — скільки живе виданий квиток.
//
// Дві хвилини — це «натиснув і браузер пішов за файлом» із запасом на
// повільний канал. Довший термін перетворив би посилання на те, що можна
// переслати в чат і чим можна скористатись завтра.
const DownloadTicketTTL = 2 * time.Minute

// Види квитків. Обробник розбирає саме це поле: object_id без kind
// нічого не означає.
const DownloadKindCommandReport = "ncm.command_run_report"

// DownloadTicket — розібраний квиток.
type DownloadTicket struct {
	Token    string
	TenantID string
	UserID   string
	Kind     string
	ObjectID string
	Format   string
}

// CreateDownloadTicket видає квиток.
//
// Токен приходить ззовні, а не народжується тут: його робить той самий
// auth.NewToken, що й токен телевізора, і тримати генерацію секретів у
// шарі доступу до даних означало б завести їй друге місце.
func (s *Store) CreateDownloadTicket(ctx context.Context,
	token, tenantID, userID, kind, objectID, format string) error {

	// Прибирання протухлих — тут же, а не окремим воркером. Рядків тут
	// стільки, скільки натискань на «Завантажити», і заводити під це
	// фонову задачу було б дорожче за сам механізм. Година запасу лишає
	// слід для розбору «хто щойно качав звіт».
	if _, err := s.bg.Exec(ctx, `
		DELETE FROM core.download_tickets WHERE expires_at < now() - interval '1 hour'
	`); err != nil {
		return err
	}

	// Видача квитка — дія в межах кабінету, і контекст тут виставляється
	// навмисно: WITH CHECK на core.download_tickets вимагає, щоб
	// tenant_id рядка збігався з поточним. Без цього під netpulse_app
	// INSERT відхиляється — тобто кнопка «Завантажити» падала б з
	// помилкою одразу, а не мовчки.
	return s.InTenantTx(ctx, tenantID, func(tx pgx.Tx) error {
		_, err := tx.Exec(ctx, `
			INSERT INTO core.download_tickets
				(token, tenant_id, user_id, kind, object_id, format, expires_at)
			VALUES ($1, $2, $3, $4, $5, $6, now() + $7::interval)
		`, token, tenantID, nullUUID(userID), kind, objectID, format,
			DownloadTicketTTL.String())
		return err
	})
}

// ResolveDownloadTicket знаходить квиток за токеном.
//
// Поза тенантним контекстом: на момент запиту особи ще немає, тенант
// з'ясовується з самого рядка. Той самий шлях, яким ходить публічний
// дашборд.
//
// Протухлий і неіснуючий токен нерозрізнимі назовні — різниця між ними
// це підказка тому, хто перебирає.
func (s *Store) ResolveDownloadTicket(ctx context.Context, token string) (DownloadTicket, error) {
	var t DownloadTicket
	if token == "" {
		return t, ErrNotFound
	}

	// UPDATE, а не SELECT: перше використання фіксується тим самим
	// запитом, яким квиток читається. COALESCE лишає час ПЕРШОГО
	// звернення — повторний запит браузера при обриві не має стирати
	// відповідь на питання «коли файл поїхав».
	err := s.bg.QueryRow(ctx, `
		UPDATE core.download_tickets
		SET used_at = COALESCE(used_at, now())
		WHERE token = $1 AND expires_at > now()
		RETURNING token, tenant_id::text, COALESCE(user_id::text,''),
		          kind, object_id::text, format
	`, token).Scan(&t.Token, &t.TenantID, &t.UserID, &t.Kind, &t.ObjectID, &t.Format)
	if err != nil {
		if isNoRows(err) {
			return DownloadTicket{}, ErrNotFound
		}
		return DownloadTicket{}, err
	}
	return t, nil
}