neuroalpha 0.3.17 → 0.5.2

package/server/auth/index.js

@@ -5,9 +5,19 @@ import path from 'node:path';
 import { AsyncLocalStorage } from 'node:async_hooks';
 import { ROOT, DATA_DIR, DEFAULT_CLOUD_URL } from '../config.js';
 import { db, kvGet, kvSet, registerUidResolver } from '../db.js';
+import { IS_INSTANCE, IS_DESKTOP } from '../role.js';
+import { currentInstanceLicense } from '../instance/agent.js';
+import { isActivated } from '../instance/identity.js';
 
 const ctx = new AsyncLocalStorage();
-registerUidResolver(() => ctx.getStore()?.user?.id || 1);
+// Фоновые задачи сервера (без контекста запроса) работают от имени владельца (id = 1).
+// Запрос без авторизованного пользователя получает uid = 0 — изолированное пустое пространство данных.
+const resolveUid = () => {
+  const store = ctx.getStore();
+  if (!store) return 1;
+  return store.user?.id || 0;
+};
+registerUidResolver(resolveUid);
 
 // ---------- шифрование секретов (AES-256-GCM) ----------
 let masterKey = null;
@@ -66,14 +76,39 @@ export function hashPassword(password) {
   return `${salt}:${hash}`;
 }
 
-export function verifyPassword(password, stored) {
+export async function verifyPassword(password, stored) {
   if (!stored || !stored.includes(':')) return false;
   const [salt, hex] = stored.split(':');
-  const hash = crypto.scryptSync(String(password), salt, 64);
+  const hash = await new Promise((resolve, reject) => {
+    crypto.scrypt(String(password), salt, 64, (err, key) => (err ? reject(err) : resolve(key)));
+  });
   const target = Buffer.from(hex, 'hex');
   return hash.length === target.length && crypto.timingSafeEqual(hash, target);
 }
 
+// ---------- ограничение попыток входа (по IP и по email) ----------
+const LOGIN_WINDOW_MS = 15 * 60000;
+const LOGIN_MAX_FAILS = 8;
+const loginFails = new Map(); // key -> { count, firstAt }
+
+function loginBlockedFor(key) {
+  const rec = loginFails.get(key);
+  if (!rec) return 0;
+  const left = rec.firstAt + LOGIN_WINDOW_MS - Date.now();
+  if (left <= 0) { loginFails.delete(key); return 0; }
+  return rec.count >= LOGIN_MAX_FAILS ? left : 0;
+}
+
+function noteLoginFail(key) {
+  const now = Date.now();
+  const rec = loginFails.get(key);
+  if (!rec || now - rec.firstAt > LOGIN_WINDOW_MS) loginFails.set(key, { count: 1, firstAt: now });
+  else rec.count += 1;
+  if (loginFails.size > 50000) {
+    for (const [k, v] of loginFails) if (now - v.firstAt > LOGIN_WINDOW_MS) loginFails.delete(k);
+  }
+}
+
 // ---------- пользователи, тарифные планы (Инвестор, Профи, VIP + режим Хозяин) и сессии ----------
 export const PLANS = {
   none: {
@@ -87,7 +122,6 @@ export const PLANS = {
     allowShorts: false,
     allowVipBoost: false,
     allowResearch: false,
-    maxAnnualReturnPct: 0,
     maxChatPerDay: 10,
   },
   investor: {
@@ -101,7 +135,6 @@ export const PLANS = {
     allowShorts: false,
     allowVipBoost: false,
     allowResearch: false,
-    maxAnnualReturnPct: 60,
     maxChatPerDay: 200,
   },
   pro: {
@@ -115,7 +148,6 @@ export const PLANS = {
     allowShorts: true,
     allowVipBoost: false,
     allowResearch: false,
-    maxAnnualReturnPct: 120,
     maxChatPerDay: 1000,
   },
   vip: {
@@ -130,7 +162,7 @@ export const PLANS = {
     allowShorts: true,
     allowVipBoost: true,
     allowResearch: false,
-    maxAnnualReturnPct: 240,
+    allowDesktop: true, // установка на свой компьютер — по договору (VIP)
     maxChatPerDay: 5000,
   },
   owner: {
@@ -145,7 +177,7 @@ export const PLANS = {
     allowShorts: true,
     allowVipBoost: true,
     allowResearch: true,
-    maxAnnualReturnPct: 0, // 0 = без потолка доходности (полный форсаж >400% годовых)
+    allowDesktop: true,
     maxChatPerDay: 10000,
   },
 };
@@ -227,6 +259,15 @@ async function patchUserLicense(cleanKey, baseUrl) {
 
 export function effectivePlan(user) {
   if (!user) return PLANS.none;
+  // Машина клиента: тариф только из действующей подписанной лицензии центра
+  if (IS_INSTANCE) {
+    if (user.id !== 1) return PLANS.none;
+    const lic = currentInstanceLicense();
+    if (!lic || lic.revoked) return PLANS.none;
+    const p = PLANS[lic.plan] || PLANS.none;
+    if (p.id !== 'none' && lic.planUntil > 0 && lic.planUntil < Date.now()) return PLANS.none;
+    return p;
+  }
   if (process.env.CLOUD_MODE !== '1' && user.id === 1) {
     if (user.plan && PLANS[user.plan] && user.plan !== 'owner') {
       if (user.plan !== 'none' && user.plan_until > 0 && user.plan_until < Date.now()) return PLANS.none;
@@ -286,13 +327,24 @@ export function getUserById(id) {
 
 export function currentUser() {
   const store = ctx.getStore();
-  if (store?.user) return store.user;
+  if (store) return store.user || null;
   return getUserById(1);
 }
 
 export function currentUserId() {
-  const store = ctx.getStore();
-  return store?.user?.id || 1;
+  return resolveUid();
+}
+
+// Локальный режим без входа допускается только с этого же компьютера (не из локальной сети и не через прокси).
+// LOCAL_TRUST_LAN=1 возвращает прежнее поведение (доступ владельца любому устройству в сети).
+export function isLoopbackRequest(req) {
+  if (process.env.LOCAL_TRUST_LAN === '1') return true;
+  if (req?.headers?.['x-forwarded-for'] || req?.headers?.['x-real-ip'] || req?.headers?.forwarded) return false;
+  const addr = String(req?.socket?.remoteAddress || '');
+  if (!(addr === '127.0.0.1' || addr === '::1' || addr === '::ffff:127.0.0.1')) return false;
+  // защита от DNS-rebinding: чужой домен, указывающий на 127.0.0.1, не получает доступ владельца
+  const host = String(req?.headers?.host || '').toLowerCase().replace(/:\d+$/, '');
+  return host === 'localhost' || host === '127.0.0.1' || host === '[::1]';
 }
 
 export function runWithUser(user, fn) {
@@ -326,8 +378,10 @@ export function userFromRequest(req) {
       if (u) return u;
     }
   }
-  // В локальном режиме (без CLOUD_MODE=1) по умолчанию открывается владелец (id = 1)
-  if (process.env.CLOUD_MODE !== '1' && cookies.sid !== 'logged_out') {
+  // В локальном режиме (без CLOUD_MODE=1) владелец (id = 1) открывается без входа только с этого компьютера
+  // Установка на компьютер клиента после активации — так же, без пароля только с этого компьютера
+  const localTrusted = !IS_INSTANCE || (IS_DESKTOP && isActivated());
+  if (process.env.CLOUD_MODE !== '1' && localTrusted && cookies.sid !== 'logged_out' && isLoopbackRequest(req)) {
     return getUserById(1);
   }
   return null;
@@ -359,10 +413,20 @@ export function registerUser({ email, password, name }) {
   return getUserById(Number(r.lastInsertRowid));
 }
 
-export function loginUser({ email, password }) {
+export async function loginUser({ email, password }, { ip = '' } = {}) {
   const cleanEmail = String(email || '').trim().toLowerCase();
+  const keys = [`e:${cleanEmail}`, ...(ip ? [`ip:${ip}`] : [])];
+  const blockedMs = Math.max(...keys.map(loginBlockedFor));
+  if (blockedMs > 0) {
+    throw new Error(`Слишком много неудачных попыток входа. Повторите через ${Math.ceil(blockedMs / 60000)} мин.`);
+  }
   const u = db.prepare('SELECT * FROM users WHERE email = ?').get(cleanEmail);
-  if (!u || !verifyPassword(password, u.pass_hash)) throw new Error('Неверный email или пароль');
+  const ok = u ? await verifyPassword(password, u.pass_hash) : false;
+  if (!ok) {
+    for (const k of keys) noteLoginFail(k);
+    throw new Error('Неверный email или пароль');
+  }
+  for (const k of keys) loginFails.delete(k);
   return u;
 }