perf(api): кэш-заголовки статики, CORS по allowlist, раздельные health/ready, compress в Traefik

apps/api/src/app.ts

@@ -3,7 +3,6 @@ import Fastify from 'fastify'
 import cors from '@fastify/cors'
 import helmet from '@fastify/helmet'
 import rateLimit from '@fastify/rate-limit'
-import sensible from '@fastify/sensible'
 import formbody from '@fastify/formbody'
 import fjwt from '@fastify/jwt'
 import fastifyStatic from '@fastify/static'
@@ -16,6 +15,7 @@ import {
 import {
   closeDb,
   createDb,
+  getAppSwitcherConfig,
   getUserApps,
   healthCheck,
   migrateSchema,
@@ -35,10 +35,17 @@ import { oidcRoutes } from './routes/oidc.js'
 import { webauthnRoutes } from './routes/webauthn.js'
 import { startAuditRetentionJob } from './services/audit-retention.js'
 import { startHousekeepingJob } from './services/housekeeping.js'
-import { ensureOidcSigningKey, resetOidcKeyCache } from './lib/oidc/keys.js'
+import {
+  ensureOidcSigningKey,
+  isOidcKeyReady,
+  resetOidcKeyCache,
+} from './lib/oidc/keys.js'
+import { createOriginChecker } from './lib/cors.js'
 
 /** Пути сервера: для них SPA-fallback не применяется (404 JSON вместо index.html). */
 const API_PREFIXES = ['/api', '/oauth', '/.well-known']
+const HASHED_ASSET_RE = /[\\/]assets[\\/]/
+const INDEX_HTML_RE = /[\\/]index\.html$/
 
 declare module 'fastify' {
   interface FastifyInstance {
@@ -140,9 +147,14 @@ export async function buildApp(opts: {
   })
 
 
-  await app.register(sensible)
+  const originAllowed = createOriginChecker(config, () =>
+    getAppSwitcherConfig(db).apps.map((a) => a.url),
+  )
   await app.register(formbody)
-  await app.register(cors, { origin: true, credentials: true })
+  await app.register(cors, {
+    origin: (origin, cb) => cb(null, !origin || originAllowed(origin)),
+    credentials: true,
+  })
   await app.register(helmet, { contentSecurityPolicy: false })
   await app.register(rateLimit, {
     max: 200,
@@ -152,13 +164,20 @@ export async function buildApp(opts: {
   })
   await app.register(fjwt, { secret: config.jwtSecret })
 
-  app.get('/health', async () => {
-    healthCheck(sqlite)
-    return { ok: true }
-  })
+  // liveness: процесс жив и отвечает; БД не трогаем, чтобы пробы не рестартили
+  // контейнер из-за временной блокировки.
+  app.get('/health', async () => ({ ok: true }))
 
-  app.get('/ready', async () => {
-    healthCheck(sqlite)
+  // readiness: БД отвечает и ключ подписи OIDC загружен.
+  app.get('/ready', async (_request, reply) => {
+    try {
+      healthCheck(sqlite)
+    } catch {
+      return reply.status(503).send({ ok: false, reason: 'db' })
+    }
+    if (!isOidcKeyReady()) {
+      return reply.status(503).send({ ok: false, reason: 'oidc_key' })
+    }
     return { ok: true }
   })
 
@@ -187,9 +206,21 @@ export async function buildApp(opts: {
     await app.register(fastifyStatic, {
       root: resolve(config.staticDir),
       wildcard: false,
-      // Traefik перед приложением не сжимает; .gz/.br для статики готовит
-      // Dockerfile на этапе сборки (find … gzip/brotli), здесь только отдаём.
+      // .gz/.br для статики готовит Dockerfile на этапе сборки, здесь только отдаём.
       preCompressed: true,
+      // Cache-Control выставляем сами (иначе плагин перезаписывает заголовок).
+      cacheControl: false,
+      setHeaders(res, filePath) {
+        if (HASHED_ASSET_RE.test(filePath)) {
+          // Vite кладёт хеш в имя файла → кэш на год без ревалидации.
+          res.setHeader('Cache-Control', 'public, max-age=31536000, immutable')
+        } else if (INDEX_HTML_RE.test(filePath)) {
+          // Точка входа должна ревалидироваться, иначе клиент застрянет на старых чанках.
+          res.setHeader('Cache-Control', 'no-cache')
+        } else {
+          res.setHeader('Cache-Control', 'public, max-age=0')
+        }
+      },
     })
   }
   const spa = Boolean(config.staticDir && existsSync(config.staticDir))

apps/api/src/config.ts

@@ -33,6 +33,8 @@ export const configSchema = z.object({
   serverPort: z.coerce.number().int().positive().default(8080),
   staticDir: z.string().optional(),
   logLevel: z.string().default('info'),
+  /** Доп. разрешённые CORS-origins через запятую ('*' — все). */
+  corsOrigins: z.string().default(''),
   /** Одновременных argon2-хешей (каждый ~19 МиБ). */
   argon2Concurrency: z.coerce.number().int().positive().default(2),
   /** 'true' | 'false' | список IP/CIDR доверенных прокси. */
@@ -77,6 +79,7 @@ export function loadConfig(env: NodeJS.ProcessEnv = process.env): AppConfig {
     logLevel: env.LOG_LEVEL ?? 'info',
     shutdownTimeoutMs: env.SHUTDOWN_TIMEOUT_MS ?? 8000,
     sessionRetentionDays: env.SESSION_RETENTION_DAYS ?? 7,
+    corsOrigins: env.CORS_ORIGINS ?? '',
     argon2Concurrency: env.ARGON2_CONCURRENCY ?? 2,
     trustProxy: env.TRUST_PROXY ?? DEFAULT_TRUST_PROXY,
     isProd:

apps/api/src/lib/cors.ts

@@ -0,0 +1,57 @@
+import type { AppConfig } from '../config.js'
+import { oidcIssuerFromConfig } from '../config.js'
+
+function originOf(url: string): string | null {
+  try {
+    return new URL(url).origin
+  } catch {
+    return null
+  }
+}
+
+/**
+ * Проверка Origin для CORS с credentials. Разрешены: CORS_ORIGINS, issuer,
+ * приложения из App Switcher и хосты из RETURN_TO_ALLOWLIST
+ * (".suffix" — суффикс хоста, "localhost", точные хосты). '*' в CORS_ORIGINS —
+ * разрешить всё (только осознанно).
+ */
+export function createOriginChecker(
+  config: AppConfig,
+  switcherUrls: () => string[],
+): (origin: string) => boolean {
+  const explicit = new Set<string>()
+  let allowAll = false
+  for (const raw of config.corsOrigins.split(',')) {
+    const v = raw.trim()
+    if (!v) continue
+    if (v === '*') allowAll = true
+    else {
+      const o = originOf(v)
+      if (o) explicit.add(o)
+    }
+  }
+  for (const u of [config.issuer, oidcIssuerFromConfig(config)]) {
+    const o = originOf(u)
+    if (o) explicit.add(o)
+  }
+  const tokens = config.returnToAllowlist
+    .split(',')
+    .map((t) => t.trim().toLowerCase())
+    .filter(Boolean)
+
+  return (origin: string) => {
+    if (allowAll) return true
+    const o = originOf(origin)
+    if (!o) return false
+    if (explicit.has(o)) return true
+    const host = new URL(o).hostname.toLowerCase()
+    for (const t of tokens) {
+      if (t === 'private') continue
+      if (t.startsWith('.') ? host.endsWith(t) : host === t) return true
+    }
+    for (const u of switcherUrls()) {
+      if (originOf(u) === o) return true
+    }
+    return false
+  }
+}

apps/api/src/lib/oidc/keys.ts

@@ -113,6 +113,11 @@ export async function ensureOidcSigningKey(
   return cached
 }
 
+/** Ключ подписи загружен — приложение готово выдавать токены. */
+export function isOidcKeyReady(): boolean {
+  return cached !== null
+}
+
 /** Reset cache (tests). */
 export function resetOidcKeyCache(): void {
   cached = null

apps/api/src/routes/auth.ts

@@ -23,11 +23,14 @@ import { clientUserAgent, targetAppFromReturnTo } from '../lib/target-app.js'
 
 export async function authRoutes(app: FastifyInstance): Promise<void> {
   /** Public — SPA reads allowlist at runtime (Docker-friendly). */
-  app.get('/api/v1/auth/config', async () => ({
-    return_to_allowlist: app.config.returnToAllowlist,
-    issuer: app.config.issuer,
-    webauthn: true,
-  }))
+  app.get('/api/v1/auth/config', async (_request, reply) => {
+    reply.header('Cache-Control', 'public, max-age=60')
+    return {
+      return_to_allowlist: app.config.returnToAllowlist,
+      issuer: app.config.issuer,
+      webauthn: true,
+    }
+  })
 
   app.post('/api/v1/auth/login', {
     config: { rateLimit: { max: 20, timeWindow: '1 minute' } },
@@ -213,9 +216,10 @@ export async function authRoutes(app: FastifyInstance): Promise<void> {
   )
 
   /** Public — apps chrome (CFDM/VPS) fetch switcher URLs without portal JWT. */
-  app.get('/api/v1/app-switcher', async () =>
-    publicAppSwitcherConfig(getAppSwitcherConfig(app.db)),
-  )
+  app.get('/api/v1/app-switcher', async (_request, reply) => {
+    reply.header('Cache-Control', 'public, max-age=30')
+    return publicAppSwitcherConfig(getAppSwitcherConfig(app.db))
+  })
 
   app.get(
     '/api/v1/auth/me',