Netpulse_SasS/server/internal/httpapi/audit.go

package httpapi

import (
	"net/http"
	"strconv"
	"strings"
	"time"

	"github.com/netpulse/netpulse/server/internal/store"
)

// Журнал аудиту: читання, і тільки читання.
//
// Тут навмисно немає ані PUT, ані PATCH, ані DELETE — і це не «поки що
// не додали». Журнал, який можна виправити, не доводить нічого: перше,
// що зробить той, чиї дії в ньому записані, — виправить запис. Тому в
// цьому файлі три GET, а в базі поверх них стоїть тригер (0050), який
// відмовляє в UPDATE/DELETE/TRUNCATE навіть власнику з'єднання.
//
// Право одне на всі три ручки: перелік, подробиці й довідники дають ту
// саму інформацію, лише порціями різного розміру. Роздати «дивитись
// перелік, але не подробиці» означало б залишити чорний хід — сам
// перелік уже показує, хто, коли й над чим.

const auditPerm = "audit:read"

// Стеля глибини вибірки. Не налаштовується: період і фільтри звужують
// запит, а «покажи все» на журналі, що росте вічно, — це не глибина, а
// відсутність питання.
const auditMaxRange = 366 * 24 * time.Hour

func (s *Server) handleListAudit(w http.ResponseWriter, r *http.Request, p *Principal) {
	if !requirePerm(w, p, auditPerm) {
		return
	}

	q := r.URL.Query()
	f := store.AuditFilter{
		Actions:       splitParam(q, "action"),
		ObjectTypes:   splitParam(q, "object_type"),
		ActorUserIDs:  splitParam(q, "actor"),
		ActorTokenIDs: splitParam(q, "token"),
		ActorIP:       strings.TrimSpace(q.Get("ip")),
		Query:         strings.TrimSpace(q.Get("q")),
		Cursor:        q.Get("cursor"),
	}
	// «-» замість ідентифікатора означає «будь-який машинний токен».
	// Окреме значення, а не порожній параметр: порожній губиться в
	// адресному рядку й у кожній другій бібліотеці.
	users := f.ActorUserIDs[:0]
	for _, a := range f.ActorUserIDs {
		if a == "-" {
			f.AnyToken = true
			continue
		}
		users = append(users, a)
	}
	f.ActorUserIDs = users

	var err error
	if f.From, err = parseTimeParam(q.Get("from")); err != nil {
		writeError(w, http.StatusBadRequest, "invalid", "некоректна дата «від»")
		return
	}
	if f.To, err = parseTimeParam(q.Get("to")); err != nil {
		writeError(w, http.StatusBadRequest, "invalid", "некоректна дата «до»")
		return
	}
	// Верхня межа за замовчуванням — зараз, а не «без межі». Без неї
	// подія, записана між першою сторінкою й наступною, зсунула б усю
	// вибірку на рядок: курсор рахує від низу, а нове приходить згори.
	// Зафіксована «до» робить гортання відтворюваним.
	if f.To.IsZero() {
		f.To = time.Now().UTC()
	}
	if f.From.IsZero() {
		f.From = f.To.Add(-30 * 24 * time.Hour)
	}
	if !f.From.Before(f.To) {
		writeError(w, http.StatusBadRequest, "invalid", "початок періоду має бути раніше за кінець")
		return
	}
	if f.To.Sub(f.From) > auditMaxRange {
		writeError(w, http.StatusBadRequest, "invalid",
			"період не більший за рік — звузьте діапазон або скористайтесь фільтрами")
		return
	}

	if n, err := strconv.Atoi(q.Get("limit")); err == nil {
		f.Limit = n
	}

	// Обмеження видимості (Scope) тут не застосовується, і це рішення,
	// а не пропуск. Scope відповідає на «які ХОСТИ видно», а рядок
	// журналу — не про хост: у нього може не бути об'єкта взагалі
	// (зміна політики очистки), а може бути перелік із сорока хостів у
	// meta. Показати такий рядок наполовину означало б підсунути
	// неповну правду під виглядом повної. Право audit:read має лише
	// власник і адмін, а вони й так не обмежені групами.
	page, err := s.store.ListAudit(r.Context(), p.TenantID, f)
	if err != nil {
		s.writeStoreError(w, "перелік журналу аудиту", err)
		return
	}
	writeJSON(w, http.StatusOK, page)
}

// handleGetAuditEvent віддає один запис разом із before/after/meta.
//
// Окремо від переліку, бо вміст важить непередбачувано: meta прогону
// команд на п'ятсот хостів несе п'ятсот імен, і возити це в кожному
// рядку переліку означало б платити мегабайтами за те, на що дивляться
// раз.
func (s *Server) handleGetAuditEvent(w http.ResponseWriter, r *http.Request, p *Principal) {
	if !requirePerm(w, p, auditPerm) {
		return
	}
	ts, err := parseTimeParam(r.URL.Query().Get("ts"))
	if err != nil || ts.IsZero() {
		// ts обов'язковий: первинний ключ гіпертаблиці — (ts, id), і
		// без часу пошук за самим id означав би обхід усіх чанків.
		writeError(w, http.StatusBadRequest, "invalid", "потрібен параметр ts")
		return
	}
	ev, err := s.store.GetAuditEvent(r.Context(), p.TenantID, r.PathValue("id"), ts)
	if err != nil {
		s.writeStoreError(w, "запис журналу аудиту", err)
		return
	}
	writeJSON(w, http.StatusOK, ev)
}

// handleAuditMeta — усе, що потрібно сторінці для фільтрів, одним
// викликом.
//
// Одним, а не трьома: це стан сторінки на момент відкриття, і зібраний
// із трьох відповідей у різні секунди він нічого не виграє, зате додає
// два стани завантаження на екран.
func (s *Server) handleAuditMeta(w http.ResponseWriter, r *http.Request, p *Principal) {
	if !requirePerm(w, p, auditPerm) {
		return
	}

	actors, err := s.store.AuditActors(r.Context(), p.TenantID)
	if err != nil {
		s.writeStoreError(w, "перелік акторів журналу", err)
		return
	}
	bounds, err := s.store.AuditBounds(r.Context(), p.TenantID)
	if err != nil {
		s.writeStoreError(w, "межі журналу", err)
		return
	}

	writeJSON(w, http.StatusOK, map[string]any{
		"actions":      store.AuditActions(),
		"object_types": store.AuditObjectTypes(),
		"actors":       actors,
		"bounds":       bounds,
		"blind_spots":  store.AuditBlindSpots(),
		// Стеля періоду — щоб сторінка могла сказати про неї заздалегідь,
		// а не відмовою після натискання.
		"max_range_days": int(auditMaxRange / (24 * time.Hour)),
	})
}

// splitParam читає повторюваний параметр і в обох формах: ?action=a&action=b
// та ?action=a,b. Друга потрібна тому, що посилання на відфільтровану
// сторінку люди пересилають одне одному, і коротший рядок читабельніший.
func splitParam(q map[string][]string, key string) []string {
	var out []string
	for _, v := range q[key] {
		for _, part := range strings.Split(v, ",") {
			if part = strings.TrimSpace(part); part != "" {
				out = append(out, part)
			}
		}
	}
	return out
}

// parseTimeParam приймає RFC3339. Порожній рядок — не помилка, а
// «не задано»: межі періоду мають типові значення.
func parseTimeParam(s string) (time.Time, error) {
	if s = strings.TrimSpace(s); s == "" {
		return time.Time{}, nil
	}
	t, err := time.Parse(time.RFC3339, s)
	if err != nil {
		return time.Time{}, err
	}
	return t.UTC(), nil
}