@lab-anssi/lib 1.4.2 → 1.5.0

package/README.md

@@ -1,2 +1,43 @@
 # lab-anssi-lib
 Une librairie de code mutualisé pour les produits du Lab. Innovation de l'ANSSI
+
+## serveur
+
+Un certain nombre de comportements standards sont intégrés dans `serveur/serveurLab`, en particulier
+le filtrage IP (pour n'autoriser que les requêtes venant du waf) et le rate limit.
+
+Pour l'utiliser, remplacez votre code de la forme :
+
+```
+const app = express();
+app.get('/', (req, res) => {res.json({})});
+```
+
+Par un code de la forme :
+
+```
+const app = creeServeurLab({
+  reseau: {
+    ipAutorisees: [ipWaf],
+    trustProxy: 0,
+    maxRequetesParMinute: 500,
+  },
+});
+app.get('/', (req, res) => {res.json({})});
+```
+
+La configuration serveur peut-être construite automatiquement à partir des variables d'environnement :
+
+```
+const config = adaptateurEnvironnementServeurLab();
+const app = creeServeurLab(config);
+app.get('/', (req, res) => {res.json({})});
+```
+
+Dans ce cas, vous devez positionner des variables d'environnement de la forme :
+
+```
+SERVEUR_TRUST_PROXY = # optionnel (0 par défaut) nombre de proxies en amont du service ou configuration plus fine de trust proxy, Cf.  https://expressjs.com/en/guide/behind-proxies.html
+SERVEUR_MAX_REQUETES_PAR_MINUTE = # optionnel (600 par défaut) nombre maximum de requêtes par minute par IP
+SERVEUR_ADRESSES_IP_AUTORISEES = # Seules ces IP seront autorisées. Les autres ne seront pas servies. Séparées par des ',' s'il y en a plusieurs. Supprimer la variable d'env pour désactiver le filtrage.
+```

package/dist/index.d.ts

@@ -2,3 +2,6 @@ export { type EntreeTableDesMatieres, type PageHtmlCrisp, type ResumeArticleCris
 export { CmsCrisp } from './cms/cmsCrisp';
 export { AdaptateurProfilAnssi } from './profilAnssi/adaptateurProfilAnssi';
 export { ErreurArticleCrispIntrouvable } from './erreurs';
+export { type ConfigurationServeurLab } from './serveur/serveurLab';
+export { creeServeurLab } from './serveur/serveurLab';
+export { adaptateurEnvironnementServeurLab } from './serveur/adaptateurEnvironnementServeurLab';

package/dist/index.js

@@ -1,9 +1,13 @@
 "use strict";
 Object.defineProperty(exports, "__esModule", { value: true });
-exports.ErreurArticleCrispIntrouvable = exports.AdaptateurProfilAnssi = exports.CmsCrisp = void 0;
+exports.adaptateurEnvironnementServeurLab = exports.creeServeurLab = exports.ErreurArticleCrispIntrouvable = exports.AdaptateurProfilAnssi = exports.CmsCrisp = void 0;
 var cmsCrisp_1 = require("./cms/cmsCrisp");
 Object.defineProperty(exports, "CmsCrisp", { enumerable: true, get: function () { return cmsCrisp_1.CmsCrisp; } });
 var adaptateurProfilAnssi_1 = require("./profilAnssi/adaptateurProfilAnssi");
 Object.defineProperty(exports, "AdaptateurProfilAnssi", { enumerable: true, get: function () { return adaptateurProfilAnssi_1.AdaptateurProfilAnssi; } });
 var erreurs_1 = require("./erreurs");
 Object.defineProperty(exports, "ErreurArticleCrispIntrouvable", { enumerable: true, get: function () { return erreurs_1.ErreurArticleCrispIntrouvable; } });
+var serveurLab_1 = require("./serveur/serveurLab");
+Object.defineProperty(exports, "creeServeurLab", { enumerable: true, get: function () { return serveurLab_1.creeServeurLab; } });
+var adaptateurEnvironnementServeurLab_1 = require("./serveur/adaptateurEnvironnementServeurLab");
+Object.defineProperty(exports, "adaptateurEnvironnementServeurLab", { enumerable: true, get: function () { return adaptateurEnvironnementServeurLab_1.adaptateurEnvironnementServeurLab; } });

package/dist/serveur/adaptateurEnvironnementServeurLab.d.ts

@@ -0,0 +1,2 @@
+import { ConfigurationServeurLab } from './serveurLab';
+export declare const adaptateurEnvironnementServeurLab: () => ConfigurationServeurLab;

package/dist/serveur/adaptateurEnvironnementServeurLab.js

@@ -0,0 +1,34 @@
+"use strict";
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.adaptateurEnvironnementServeurLab = void 0;
+const trustProxy = () => {
+    const trustProxyEnChaine = process.env.SERVEUR_TRUST_PROXY || '0';
+    const trustProxyEnNombre = Number(trustProxyEnChaine);
+    if (isNaN(trustProxyEnNombre)) {
+        console.warn(`Attention ! SERVEUR_TRUST_PROXY positionné à ${trustProxyEnChaine}`);
+        return trustProxyEnChaine;
+    }
+    else {
+        return trustProxyEnNombre;
+    }
+};
+const maxRequetesParMinute = () => {
+    const maxEnChaine = process.env.SERVEUR_MAX_REQUETES_PAR_MINUTE || '600';
+    const maxEnNombre = Number(maxEnChaine);
+    if (isNaN(maxEnNombre)) {
+        throw new Error(`SERVEUR_MAX_REQUETES_PAR_MINUTE n'est pas un nombre : ${maxEnChaine}`);
+    }
+    else {
+        return maxEnNombre;
+    }
+};
+const adaptateurEnvironnementServeurLab = () => {
+    return {
+        reseau: {
+            trustProxy: trustProxy(),
+            maxRequetesParMinute: maxRequetesParMinute(),
+            ipAutorisees: process.env.SERVEUR_ADRESSES_IP_AUTORISEES?.split(',') ?? false,
+        },
+    };
+};
+exports.adaptateurEnvironnementServeurLab = adaptateurEnvironnementServeurLab;

package/dist/serveur/serveurLab.d.ts

@@ -0,0 +1,9 @@
+import { Express } from 'express';
+export declare const creeServeurLab: (config: ConfigurationServeurLab) => Express;
+export type ConfigurationServeurLab = {
+    reseau: {
+        trustProxy: number | string;
+        maxRequetesParMinute: number;
+        ipAutorisees: string[] | false;
+    };
+};

package/dist/serveur/serveurLab.js

@@ -0,0 +1,48 @@
+"use strict";
+var __importDefault = (this && this.__importDefault) || function (mod) {
+    return (mod && mod.__esModule) ? mod : { "default": mod };
+};
+Object.defineProperty(exports, "__esModule", { value: true });
+exports.creeServeurLab = void 0;
+const express_ipfilter_1 = require("express-ipfilter");
+const express_rate_limit_1 = __importDefault(require("express-rate-limit"));
+const creeServeurLab = (config) => {
+    const express = require('express');
+    const app = express();
+    const limiteRequetesParMinute = (0, express_rate_limit_1.default)({
+        windowMs: 60 * 1000,
+        limit: config.reseau.maxRequetesParMinute,
+    });
+    app.set('trust proxy', config.reseau.trustProxy);
+    app.use(limiteRequetesParMinute);
+    if (config.reseau.ipAutorisees) {
+        app.use((0, express_ipfilter_1.IpFilter)(config.reseau.ipAutorisees, {
+            detectIp: (request) => {
+                const forwardedFor = request.headers['x-forwarded-for'];
+                if (typeof forwardedFor === 'string') {
+                    const ips = forwardedFor
+                        .split(',')
+                        .map((ip) => ip.trim())
+                        .filter((ip) => ip !== '');
+                    if (ips.length > 0) {
+                        const ipWaf = ips[ips.length - 1];
+                        return ipWaf;
+                    }
+                }
+                return 'interdire';
+            },
+            mode: 'allow',
+            log: false,
+        }));
+        app.use((err, req, res, next) => {
+            if (err instanceof express_ipfilter_1.IpDeniedError) {
+                res.status(403).send('Access denied');
+            }
+            else {
+                next(err);
+            }
+        });
+    }
+    return app;
+};
+exports.creeServeurLab = creeServeurLab;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@lab-anssi/lib",
-  "version": "1.4.2",
+  "version": "1.5.0",
   "repository": {
     "type": "git",
     "url": "git+https://github.com/betagouv/lab-anssi-lib.git"
@@ -26,14 +26,22 @@
     }
   },
   "devDependencies": {
+    "@types/express": "5.0.0",
     "@types/node": "^22.14.1",
+    "@types/supertest": "^6.0.3",
     "prettier": "^3.5.3",
+    "supertest": "^7.1.1",
     "tsx": "^4.19.3",
     "typescript": "^5.8.3"
   },
   "dependencies": {
+    "express-ipfilter": "^1.3.2",
+    "express-rate-limit": "^7.5.1",
     "axios": "^1.9.0",
     "html-entities": "^2.6.0",
     "marked": "^13.0.3"
+  },
+  "peerDependencies": {
+    "express": "^4.21.2"
   }
-}
+}