7635802a42
背景：系统此前没有操作审计。task_logs 的 task_id 是 NOT NULL 外键，只能挂在 任务上，且全项目仅 4 处写入点 —— 登录、导出、产品增删改、收编完全不留痕。 需求方整理的问题清单里「无审计日志查看页」正源于此：不是没有页面，是没数据。 设计参考 MOM(KCGL) 的 audit_logs / audit_listener，但按 Track 栈做了取舍： 1) 写入时机：MOM 用 SQLAlchemy event listener + 同事务写入，优点是零侵入， 缺点是**业务回滚时审计一起消失**，而失败/被拒的操作（越权尝试、参数错误） 恰恰最需要留痕。Track 改为响应生成后用**独立 session** 写入： - 业务回滚不影响审计（已验证 422/401 失败操作同样落库） - 审计写入失败也不影响业务（全包裹 try/except） - 代价：非原子提交，响应后进程立即被 kill 可能丢一条（已注释说明取舍） 2) 采集方式：中间件自动采集写操作 + 导出/下载/打印这类「读但敏感」的 GET。 路径段推导 module/action/target_id。不做手写埋点，因为手写必然漏 —— task_logs 只有 4 处写入点就是前车之鉴。 3) 增量价值：新增 request_id 字段，与 core/logging.py 的结构化日志打通， 凭一个 ID 就能从审计记录直接跳到那一次接口日志。MOM 无此字段。 4) 敏感信息：details 经 sanitize_details 递归剔除 password/token/secret 等键； 中间件不读请求体，登录明文密码不会落库（已断言表内无密码痕迹）。 配套改动： - core/roles.py：角色常量与 is_admin 收敛为单一事实来源。此前同一份 「管理员角色」规则散在 task_service、products.py 内联判断和前端 constants/task.ts 三处，已因此发生过「移动端漏判 SUPERVISOR 误挡主管」。 task_service 改为从 core.roles 导入同名常量，保持既有引用可用。 - core/deps.py：抽出 require_roles/require_admin 可复用依赖，替代内联判断。 - main.py：500 响应显式补 X-Request-ID 头 —— 该响应由 ServerErrorMiddleware 生成，位于 RequestContextMiddleware 外层，中间件没机会写头。 - auth.py：登录校验前把「尝试的账号」写入 request.state，使登录事件 （含失败登录）可归属到人，可用于追踪暴力破解。 验证：本地起 PostgreSQL 17 + 迁移后跑端到端测试，32/32 通过 （TestClient 每个请求新建事件循环，与模块级 asyncpg 连接池冲突会报 "got Future attached to a different loop"，故改用 httpx.AsyncClient + ASGITransport 单循环；生产 uvicorn 单循环无此问题）。
32 lines
1.2 KiB
Python
32 lines
1.2 KiB
Python
"""角色定义与管理员判定 —— 单一事实来源
|
||
|
||
背景：角色字符串此前散落在至少三处 —— task_service.ADMIN_ROLES、
|
||
products.py 的内联判断、以及前端 constants/task.ts。同一份规则抄多份的后果
|
||
已经发生过：前端 constants/task.ts:233 的注释记录了一次「移动端只判了
|
||
SUPER_ADMIN、漏了 SUPERVISOR，导致主管被误挡」的事故。
|
||
|
||
本模块把**角色常量与管理员判定**先收敛到一处，供后端统一引用。
|
||
完整的「角色 × 权限点」可配置矩阵是后续工作；但任何推进都应从这里出发，
|
||
不要再新增第四份副本。
|
||
"""
|
||
from __future__ import annotations
|
||
|
||
SUPER_ADMIN = "SUPER_ADMIN"
|
||
SUPERVISOR = "SUPERVISOR"
|
||
# 注意：MOM 登录返回的默认角色是小写 operator（见 auth_service.login）
|
||
OPERATOR = "OPERATOR"
|
||
|
||
# 管理员角色：可执行收口、审计查看等高权限动作
|
||
ADMIN_ROLES: frozenset[str] = frozenset({SUPER_ADMIN, SUPERVISOR})
|
||
|
||
ROLE_LABELS: dict[str, str] = {
|
||
SUPER_ADMIN: "超级管理员",
|
||
SUPERVISOR: "主管",
|
||
OPERATOR: "操作员",
|
||
}
|
||
|
||
|
||
def is_admin(role: str | None) -> bool:
|
||
"""role 为 None / 未知值一律视为无权限（fail-closed，不做兜底放行）"""
|
||
return role in ADMIN_ROLES
|