neuroalpha 0.6.13 → 0.7.1

package/server/instance/provision.js

@@ -1,166 +0,0 @@
-// Copyright (c) 2026 Roman A. Perepelkin. All rights reserved. Proprietary software.
-// Автоматическое развёртывание облачных машин клиентов. Драйвер выбирается переменной PAAS_DRIVER:
-//   k8s     — напрямую через API Kubernetes (server-side apply). Внутри кластера берётся токен сервисного аккаунта,
-//             снаружи — K8S_API_URL + K8S_TOKEN (+ K8S_CA_FILE)
-//   webhook — POST на PAAS_WEBHOOK_URL с подписью HMAC-SHA256 (заголовок X-NA-Signature) — для собственного PaaS
-//   none    — по умолчанию: машины разворачиваются вручную по шаблону deploy/k8s/instance.yaml
-import crypto from 'node:crypto';
-import fs from 'node:fs';
-import https from 'node:https';
-import tls from 'node:tls';
-
-export const PAAS_DRIVER = String(process.env.PAAS_DRIVER || 'none').trim().toLowerCase();
-const IMAGE = String(process.env.INSTANCE_IMAGE || 'registry.odant.org/neuroalpha:latest').trim();
-const INGRESS_CLASS = String(process.env.INSTANCE_INGRESS_CLASS || 'nginx').trim();
-const TLS_SECRET = String(process.env.INSTANCE_TLS_SECRET || 'odant-wildcard-tls').trim();
-const STORAGE = String(process.env.INSTANCE_STORAGE || '5Gi').trim();
-const STORAGE_CLASS = String(process.env.INSTANCE_STORAGE_CLASS || '').trim();
-const FIELD_MANAGER = 'neuroalpha-central';
-
-export const provisioningEnabled = () => PAAS_DRIVER === 'k8s' || PAAS_DRIVER === 'webhook';
-
-// ---------- манифесты машины (то же, что deploy/k8s/instance.yaml) ----------
-function manifests(inst, env) {
-  const ns = inst.id;
-  const labels = { 'app.kubernetes.io/part-of': 'neuroalpha', 'neuroalpha/instance': inst.id };
-  const app = { app: 'neuroalpha' };
-  return [
-    { apiVersion: 'v1', kind: 'Namespace', metadata: { name: ns, labels } },
-    { apiVersion: 'v1', kind: 'Secret', metadata: { name: 'neuroalpha-instance', namespace: ns, labels }, type: 'Opaque', stringData: env },
-    {
-      apiVersion: 'v1', kind: 'PersistentVolumeClaim', metadata: { name: 'neuroalpha-data', namespace: ns, labels },
-      spec: { accessModes: ['ReadWriteOnce'], resources: { requests: { storage: STORAGE } }, ...(STORAGE_CLASS ? { storageClassName: STORAGE_CLASS } : {}) },
-    },
-    {
-      apiVersion: 'apps/v1', kind: 'Deployment', metadata: { name: 'neuroalpha', namespace: ns, labels },
-      spec: {
-        replicas: 1,
-        strategy: { type: 'Recreate' },
-        selector: { matchLabels: app },
-        template: {
-          metadata: { labels: { ...app, ...labels }, annotations: { 'neuroalpha/key-rev': crypto.createHash('sha256').update(env.INSTANCE_KEY).digest('hex').slice(0, 12) } },
-          spec: {
-            securityContext: { runAsNonRoot: true, runAsUser: 1000, fsGroup: 1000 },
-            containers: [{
-              name: 'neuroalpha',
-              image: IMAGE,
-              ports: [{ containerPort: 3000 }],
-              envFrom: [{ secretRef: { name: 'neuroalpha-instance' } }],
-              volumeMounts: [{ name: 'data', mountPath: '/data' }],
-              resources: { requests: { cpu: '500m', memory: '1Gi' }, limits: { cpu: '2', memory: '3Gi' } },
-              readinessProbe: { httpGet: { path: '/healthz', port: 3000 }, initialDelaySeconds: 10, periodSeconds: 15 },
-              livenessProbe: { httpGet: { path: '/healthz', port: 3000 }, initialDelaySeconds: 60, periodSeconds: 30, failureThreshold: 4 },
-              securityContext: { allowPrivilegeEscalation: false, capabilities: { drop: ['ALL'] } },
-            }],
-            volumes: [{ name: 'data', persistentVolumeClaim: { claimName: 'neuroalpha-data' } }],
-          },
-        },
-      },
-    },
-    { apiVersion: 'v1', kind: 'Service', metadata: { name: 'neuroalpha', namespace: ns, labels }, spec: { selector: app, ports: [{ port: 80, targetPort: 3000 }] } },
-    {
-      apiVersion: 'networking.k8s.io/v1', kind: 'Ingress',
-      metadata: { name: 'neuroalpha', namespace: ns, labels, annotations: { 'nginx.ingress.kubernetes.io/proxy-read-timeout': '3600', 'nginx.ingress.kubernetes.io/proxy-send-timeout': '3600' } },
-      spec: {
-        ingressClassName: INGRESS_CLASS,
-        tls: [{ hosts: [inst.host], secretName: TLS_SECRET }],
-        rules: [{ host: inst.host, http: { paths: [{ path: '/', pathType: 'Prefix', backend: { service: { name: 'neuroalpha', port: { number: 80 } } } }] } }],
-      },
-    },
-    {
-      apiVersion: 'networking.k8s.io/v1', kind: 'NetworkPolicy', metadata: { name: 'neuroalpha-ingress-only', namespace: ns, labels },
-      spec: {
-        podSelector: { matchLabels: app },
-        policyTypes: ['Ingress'],
-        ingress: [{ from: [{ namespaceSelector: { matchLabels: { 'kubernetes.io/metadata.name': String(process.env.INSTANCE_INGRESS_NAMESPACE || 'ingress-nginx') } } }], ports: [{ port: 3000 }] }],
-      },
-    },
-  ];
-}
-
-// ---------- драйвер k8s ----------
-function k8sConfig() {
-  const saDir = '/var/run/secrets/kubernetes.io/serviceaccount';
-  const inCluster = process.env.KUBERNETES_SERVICE_HOST && fs.existsSync(`${saDir}/token`);
-  const apiUrl = String(process.env.K8S_API_URL || (inCluster ? `https://${process.env.KUBERNETES_SERVICE_HOST}:${process.env.KUBERNETES_SERVICE_PORT || 443}` : '')).replace(/\/+$/, '');
-  const token = String(process.env.K8S_TOKEN || (inCluster ? fs.readFileSync(`${saDir}/token`, 'utf8') : '')).trim();
-  const caFile = String(process.env.K8S_CA_FILE || (inCluster ? `${saDir}/ca.crt` : '')).trim();
-  if (!apiUrl || !token) throw new Error('PAAS_DRIVER=k8s: не заданы K8S_API_URL и K8S_TOKEN (или сервер запущен вне кластера)');
-  const ca = caFile && fs.existsSync(caFile) ? [...tls.rootCertificates, fs.readFileSync(caFile, 'utf8')] : undefined;
-  return { apiUrl, token, ca };
-}
-
-const PLURAL = { Namespace: 'namespaces', Secret: 'secrets', PersistentVolumeClaim: 'persistentvolumeclaims', Deployment: 'deployments', Service: 'services', Ingress: 'ingresses', NetworkPolicy: 'networkpolicies' };
-
-function objectPath(o) {
-  const base = o.apiVersion === 'v1' ? '/api/v1' : `/apis/${o.apiVersion}`;
-  const plural = PLURAL[o.kind];
-  if (o.kind === 'Namespace') return `${base}/namespaces/${o.metadata.name}`;
-  return `${base}/namespaces/${o.metadata.namespace}/${plural}/${o.metadata.name}`;
-}
-
-function k8sRequest(cfg, method, urlPath, body, contentType = 'application/json') {
-  return new Promise((resolve, reject) => {
-    const u = new URL(cfg.apiUrl + urlPath);
-    const data = body ? Buffer.from(typeof body === 'string' ? body : JSON.stringify(body)) : null;
-    const req = https.request({
-      hostname: u.hostname, port: u.port || 443, path: u.pathname + u.search, method, ca: cfg.ca, timeout: 20000,
-      headers: { Authorization: `Bearer ${cfg.token}`, Accept: 'application/json', ...(data ? { 'Content-Type': contentType, 'Content-Length': data.length } : {}) },
-    }, (res) => {
-      let t = '';
-      res.setEncoding('utf8');
-      res.on('data', (c) => { t += c; });
-      res.on('end', () => resolve({ status: res.statusCode, text: t }));
-    });
-    req.on('timeout', () => req.destroy(new Error('Kubernetes API: таймаут')));
-    req.on('error', reject);
-    if (data) req.write(data);
-    req.end();
-  });
-}
-
-async function k8sApply(inst, env) {
-  const cfg = k8sConfig();
-  for (const o of manifests(inst, env)) {
-    const r = await k8sRequest(cfg, 'PATCH', `${objectPath(o)}?fieldManager=${FIELD_MANAGER}&force=true`, o, 'application/apply-patch+yaml');
-    if (r.status >= 300) throw new Error(`Kubernetes ${o.kind}: HTTP ${r.status} ${r.text.slice(0, 200)}`);
-  }
-}
-
-async function k8sDelete(inst) {
-  const cfg = k8sConfig();
-  const r = await k8sRequest(cfg, 'DELETE', `/api/v1/namespaces/${inst.id}`);
-  if (r.status >= 300 && r.status !== 404) throw new Error(`Kubernetes Namespace: HTTP ${r.status} ${r.text.slice(0, 200)}`);
-}
-
-// ---------- драйвер webhook (собственный PaaS) ----------
-async function webhook(action, inst, env = null) {
-  const url = String(process.env.PAAS_WEBHOOK_URL || '').trim();
-  const secret = String(process.env.PAAS_WEBHOOK_SECRET || '').trim();
-  if (!url || !secret) throw new Error('PAAS_DRIVER=webhook: не заданы PAAS_WEBHOOK_URL и PAAS_WEBHOOK_SECRET');
-  const body = JSON.stringify({
-    action, // apply | delete
-    instanceId: inst.id,
-    host: inst.host,
-    image: IMAGE,
-    env, // переменные для Secret (только при apply)
-    manifests: env ? manifests(inst, env) : undefined,
-    ts: Date.now(),
-  });
-  const sig = crypto.createHmac('sha256', secret).update(body).digest('hex');
-  const r = await fetch(url, { method: 'POST', headers: { 'Content-Type': 'application/json', 'X-NA-Signature': `sha256=${sig}` }, body, signal: AbortSignal.timeout(30000) });
-  if (!r.ok) throw new Error(`PaaS webhook ${action}: HTTP ${r.status} ${(await r.text().catch(() => '')).slice(0, 200)}`);
-}
-
-// ---------- общий интерфейс ----------
-export async function provisionApply(inst, env) {
-  if (PAAS_DRIVER === 'k8s') return k8sApply(inst, env);
-  if (PAAS_DRIVER === 'webhook') return webhook('apply', inst, env);
-  throw new Error('Автоматическое развёртывание выключено (PAAS_DRIVER=none)');
-}
-
-export async function provisionDelete(inst) {
-  if (PAAS_DRIVER === 'k8s') return k8sDelete(inst);
-  if (PAAS_DRIVER === 'webhook') return webhook('delete', inst);
-  return null;
-}

package/server/instance/signing.js

@@ -1,71 +0,0 @@
-// Copyright (c) 2026 Roman A. Perepelkin. All rights reserved. Proprietary software.
-// Подписанные токены центра (Ed25519): лицензия машины и одноразовый вход (SSO).
-// Формат: base64url(JSON-полезная нагрузка) + "." + base64url(подпись)
-import crypto from 'node:crypto';
-import fs from 'node:fs';
-import path from 'node:path';
-import { DATA_DIR } from '../config.js';
-import { centralPublicKeyCandidates } from './identity.js';
-
-const ISSUER = 'neuroalpha-central';
-
-const b64u = (buf) => Buffer.from(buf).toString('base64url');
-
-// ---------- ключ подписи центра ----------
-let privateKey = null;
-let publicKeyPem = '';
-
-function loadSigningKey() {
-  if (privateKey) return privateKey;
-  const envPem = String(process.env.LICENSE_SIGNING_KEY || '').trim();
-  const file = String(process.env.LICENSE_SIGNING_KEY_FILE || '').trim() || path.join(DATA_DIR, '.license-ed25519.pem');
-  let pem = envPem.includes('BEGIN') ? envPem.replace(/\\n/g, '\n') : '';
-  if (!pem && fs.existsSync(file)) pem = fs.readFileSync(file, 'utf8');
-  if (!pem) {
-    const { privateKey: k } = crypto.generateKeyPairSync('ed25519');
-    pem = k.export({ type: 'pkcs8', format: 'pem' });
-    fs.mkdirSync(path.dirname(file), { recursive: true });
-    fs.writeFileSync(file, pem, { mode: 0o600 });
-    console.log(`✓ Создан ключ подписи лицензий центра: ${file}`);
-  }
-  privateKey = crypto.createPrivateKey(pem);
-  publicKeyPem = crypto.createPublicKey(privateKey).export({ type: 'spki', format: 'pem' });
-  return privateKey;
-}
-
-export function centralPublicKeyPem() {
-  loadSigningKey();
-  return publicKeyPem;
-}
-
-export function signToken(payload, ttlSec) {
-  const now = Math.floor(Date.now() / 1000);
-  const body = { iss: ISSUER, iat: now, exp: now + Math.max(1, Math.round(ttlSec)), ...payload };
-  const data = b64u(JSON.stringify(body));
-  const sig = crypto.sign(null, Buffer.from(data), loadSigningKey());
-  return `${data}.${b64u(sig)}`;
-}
-
-// ---------- проверка на машине клиента (только открытый ключ центра) ----------
-function loadVerifyKey() {
-  const pem = centralPublicKeyCandidates()[0];
-  return pem ? crypto.createPublicKey(pem) : null;
-}
-
-export function verifyToken(token, { typ, aud, leewaySec = 120 } = {}) {
-  const key = loadVerifyKey();
-  if (!key) throw new Error('Не задан открытый ключ центра (LICENSE_PUBLIC_KEY)');
-  const [data, sig] = String(token || '').split('.');
-  if (!data || !sig) throw new Error('Некорректный токен');
-  const ok = crypto.verify(null, Buffer.from(data), key, Buffer.from(sig, 'base64url'));
-  if (!ok) throw new Error('Подпись токена не прошла проверку');
-  let p;
-  try { p = JSON.parse(Buffer.from(data, 'base64url').toString('utf8')); } catch { throw new Error('Некорректный токен'); }
-  const now = Math.floor(Date.now() / 1000);
-  if (p.iss !== ISSUER) throw new Error('Токен выпущен не центром НейроАльфа');
-  if (typ && p.typ !== typ) throw new Error('Неверный тип токена');
-  if (aud && String(p.aud || '').toLowerCase() !== String(aud).toLowerCase()) throw new Error('Токен выпущен для другой машины');
-  if (!(p.exp > now - leewaySec)) throw new Error('Срок действия токена истёк');
-  if (p.iat && p.iat > now + leewaySec) throw new Error('Токен из будущего — проверьте время на сервере');
-  return p;
-}

package/server/role.js

@@ -1,44 +0,0 @@
-// Copyright (c) 2026 Roman A. Perepelkin. All rights reserved. Proprietary software.
-// Режим работы сервера:
-//   central  — центральный сервер платформы: лендинг, кабинеты, оплата, админка, ИИ-прокси, реестр машин клиентов и выпуск лицензий
-//   instance — машина клиента с лицензией центра. Вид машины (INSTANCE_KIND):
-//                cloud   — арендованная машина в Kubernetes (поддомен naXXXXXX.odant.org), вход через центр
-//                desktop — установка на компьютер клиента (VIP по договору), активация кодом из кабинета
-//   dev      — локальный запуск разработчика/владельца (прежнее поведение)
-import './config.js';
-import { BUILD } from './build-info.js';
-
-// Защищённая сборка для компьютера клиента — всегда instance/desktop, без возможности переопределения
-const raw = BUILD ? 'instance' : String(process.env.NEUROALPHA_ROLE || (process.env.CLOUD_MODE === '1' ? 'central' : 'dev')).trim().toLowerCase();
-export const ROLE = ['central', 'instance', 'dev'].includes(raw) ? raw : 'dev';
-export const IS_CENTRAL = ROLE === 'central';
-export const IS_INSTANCE = ROLE === 'instance';
-export const IS_DEV = ROLE === 'dev';
-export const INSTANCE_KIND = BUILD ? 'desktop' : (IS_INSTANCE && String(process.env.INSTANCE_KIND || 'cloud').trim().toLowerCase() === 'desktop' ? 'desktop' : 'cloud');
-export const IS_DESKTOP = IS_INSTANCE && INSTANCE_KIND === 'desktop';
-
-if (IS_CENTRAL) process.env.CLOUD_MODE = '1';
-if (BUILD) {
-  delete process.env.CLOUD_MODE;
-  // провайдер ИИ «НейроАльфа Облако» и проверка лицензии ходят только в вшитый центр
-  process.env.CLOUD_URL = BUILD.centralUrl;
-}
-
-export const INSTANCE_DOMAIN = String(process.env.INSTANCE_DOMAIN || 'odant.org').trim().replace(/^\.+/, '');
-export const CENTRAL_URL = (BUILD ? BUILD.centralUrl : String(process.env.CENTRAL_URL || process.env.CLOUD_URL || 'https://neuroalpha.odant.org')).trim().replace(/\/+$/, '');
-
-// Адрес прослушивания: установка на компьютер по умолчанию доступна только с этого компьютера
-export const LISTEN_HOST = String(process.env.HOST || (IS_DESKTOP ? '127.0.0.1' : '')).trim() || undefined;
-
-// IP клиента: за ingress/прокси (central, cloud-машина или TRUST_PROXY=1) берётся последний адрес из X-Forwarded-For,
-// который добавил наш прокси; первые значения цепочки клиент может подделать
-export function clientIp(req) {
-  const behindProxy = IS_CENTRAL || (IS_INSTANCE && !IS_DESKTOP) || process.env.TRUST_PROXY === '1';
-  const xff = String(req?.headers?.['x-forwarded-for'] || '').split(',').map((s) => s.trim()).filter(Boolean);
-  if (behindProxy && xff.length) return xff[xff.length - 1];
-  return String(req?.socket?.remoteAddress || '');
-}
-
-export function isHttpsRequest(req) {
-  return Boolean(req?.secure || String(req?.headers?.['x-forwarded-proto'] || '').split(',')[0].trim() === 'https');
-}