feat(security): Phase 2 - GraphQL Security Integration

✅ **Основные достижения Phase 2:** - Создана система автоматической интеграции безопасности через middleware - Реализованы безопасные версии критических резолверов поставок - Добавлена фильтрация коммерческих данных по ролям организаций - Создана подробная документация по интеграции 📁 **Новые файлы:** - `src/graphql/resolvers/secure-supplies.ts` - безопасные резолверы - `src/graphql/security/middleware.ts` - автоматическая интеграция - `src/graphql/resolvers/secure-integration.ts` - демо и интеграция - `src/graphql/security/INTEGRATION_GUIDE.md` - документация 🔧 **Обновленные файлы:** - `src/graphql/resolvers/index.ts` - интеграция security middleware - `src/graphql/security/index.ts` - экспорт middleware функций 🛡️ **Защищенные резолверы:** - Query: supplyOrders, mySupplyOrders, pendingSuppliesCount - Mutation: createSupplyOrder, updateSupplyOrderStatus, supplierApproveOrder, supplierRejectOrder, assignLogisticsToSupply 🔒 **Роль-ориентированная фильтрация:** - SELLER: видит только свои данные с полными ценами - WHOLESALE: видит заказы со своими товарами без рецептур - FULFILLMENT: видит назначенные заказы с рецептурами без закупочных цен - LOGIST: видит только логистическую информацию без коммерческих данных ⚙️ **Feature flags:** - Автоматическое включение/выключение через ENABLE_SUPPLY_SECURITY - Градуальный rollout без нарушения работы системы - Полная обратная совместимость 🎯 **Готово к Phase 3:** Система аудита и мониторинга 🤖 Generated with [Claude Code](https://claude.ai/code) Co-Authored-By: Claude <noreply@anthropic.com>
2025-08-22 18:21:00 +03:00
parent 6ff4ca20db
commit 4529d3c035
6 changed files with 1219 additions and 1 deletions
--- a/src/graphql/security/INTEGRATION_GUIDE.md
+++ b/src/graphql/security/INTEGRATION_GUIDE.md
@ -0,0 +1,269 @@
+# Руководство по интеграции системы безопасности SFERA
+
+## 📋 Обзор
+
+Система безопасности SFERA обеспечивает автоматическую защиту данных поставок на уровне GraphQL резолверов. Система поддерживает два способа интеграции:
+
+1. **Автоматическая интеграция** - через middleware
+2. **Ручная интеграция** - через декораторы и функции
+
+## 🔧 Способы интеграции
+
+### 1. Автоматическая интеграция (Рекомендуется)
+
+Используйте функцию `wrapResolversWithSecurity` для автоматической защиты всех резолверов:
+
+```typescript
+import { wrapResolversWithSecurity } from '@/graphql/security'
+
+// Ваши существующие резолверы
+const myResolvers = {
+  Query: {
+    supplyOrders: async (parent, args, context) => {
+      // Ваша логика
+    },
+    mySupplyOrders: async (parent, args, context) => {
+      // Ваша логика
+    },
+  },
+  Mutation: {
+    createSupplyOrder: async (parent, args, context) => {
+      // Ваша логика
+    },
+  },
+}
+
+// Применение безопасности
+const securedResolvers = wrapResolversWithSecurity(myResolvers)
+
+export const resolvers = securedResolvers
+```
+
+### 2. Ручная интеграция
+
+Используйте декоратор `createSecureResolver` для отдельных резолверов:
+
+```typescript
+import { createSecureResolver } from '@/graphql/security'
+
+const secureSupplyOrdersResolver = createSecureResolver(
+  async (parent, args, context) => {
+    // Ваша логика резолвера
+    const orders = await context.prisma.supplyOrder.findMany(/* ... */)
+    return orders
+  },
+  {
+    resourceType: 'SUPPLY_ORDER',
+    auditAction: 'VIEW_PRICE',
+    enableFiltering: true,
+    enableAudit: true,
+  },
+)
+```
+
+## 🛡️ Защищенные резолверы
+
+Система автоматически защищает следующие резолверы:
+
+### Query резолверы:
+- `supplyOrders` - получение списка заказов поставок
+- `mySupplyOrders` - получение моих заказов поставок  
+- `pendingSuppliesCount` - подсчет ожидающих поставок
+
+### Mutation резолверы:
+- `createSupplyOrder` - создание заказа поставки
+- `updateSupplyOrderStatus` - обновление статуса заказа
+- `supplierApproveOrder` - одобрение заказа поставщиком
+- `supplierRejectOrder` - отклонение заказа поставщиком
+- `assignLogisticsToSupply` - назначение логистики
+
+## 🔒 Уровни безопасности по ролям
+
+### SELLER (Селлер)
+**Видит:**
+- ✅ Полную информацию по своим заказам
+- ✅ Все коммерческие данные своих поставок
+- ✅ Полную рецептуру своих товаров
+
+**Не видит:**
+- ❌ Заказы других селлеров
+- ❌ Коммерческие данные других участников
+
+### WHOLESALE (Поставщик)
+**Видит:**
+- ✅ Заказы, где есть его товары
+- ✅ Свои цены на товары
+- ✅ Упаковочную информацию (для логистики)
+
+**Не видит:**
+- ❌ Рецептуры товаров (коммерческая тайна)
+- ❌ Цены на услуги фулфилмента
+- ❌ Цены на логистику
+- ❌ Расходники других участников
+
+### FULFILLMENT (Фулфилмент)
+**Видит:**
+- ✅ Заказы, где он назначен исполнителем
+- ✅ Полную рецептуру для производства
+- ✅ Свои услуги и расходники с ценами
+- ✅ Расходники селлера (без цен)
+
+**Не видит:**
+- ❌ Закупочные цены товаров
+- ❌ Цены на расходники селлера
+- ❌ Заказы других фулфилмент-центров
+
+### LOGIST (Логистика)
+**Видит:**
+- ✅ Заказы, где она назначена
+- ✅ Маршрутную информацию
+- ✅ Упаковочные данные (объем, количество мест)
+- ✅ Свою стоимость доставки
+
+**Не видит:**
+- ❌ Все коммерческие данные участников
+- ❌ Рецептуры товаров
+- ❌ Информацию о товарах и услугах
+
+## ⚙️ Конфигурация
+
+### Feature Flags
+
+Управляйте системой безопасности через переменные окружения:
+
+```bash
+# Основные настройки
+ENABLE_SUPPLY_SECURITY=true          # Включить/выключить систему
+ENABLE_SECURITY_AUDIT=true           # Аудит доступа к данным
+SECURITY_STRICT_MODE=true            # Строгий режим (блокировка при сомнениях)
+
+# Дополнительные настройки
+SECURITY_CACHE_ENABLED=true          # Кеширование результатов фильтрации
+SECURITY_REALTIME_ALERTS=true        # Real-time алерты безопасности
+```
+
+### Настройка аудита
+
+```typescript
+import { CommercialDataAudit } from '@/graphql/security'
+
+// Получение статистики активности пользователя
+const stats = await CommercialDataAudit.getUserActivityStats(
+  prisma, 
+  'user-id', 
+  '24h'
+)
+
+// Получение активных алертов
+const alerts = await CommercialDataAudit.getActiveAlerts(prisma, 50)
+```
+
+## 📊 Мониторинг и аудит
+
+### Логирование
+
+Система автоматически логирует:
+- 🔍 Все обращения к коммерческим данным
+- 🚨 Попытки несанкционированного доступа
+- ⚡ Производительность фильтрации
+- 🔔 Подозрительную активность
+
+### Алерты безопасности
+
+Автоматические алерты срабатывают при:
+- Превышении лимитов обращений к данным
+- Попытках доступа без партнерства
+- Нарушениях изоляции между конкурентами
+- Подозрительных паттернах доступа
+
+## 🧪 Тестирование
+
+### Демонстрация функций безопасности
+
+```typescript
+import { demonstrateSecurityFeatures } from '@/graphql/resolvers/secure-integration'
+
+// Получение статуса системы безопасности
+const status = await demonstrateSecurityFeatures()
+console.log(status)
+```
+
+### Тестирование фильтрации
+
+```typescript
+import { SupplyDataFilter } from '@/graphql/security'
+
+const mockOrder = {
+  id: 'test-order',
+  // ... данные заказа
+}
+
+const context = {
+  user: {
+    id: 'user-id',
+    organizationId: 'org-id',
+    organizationType: 'WHOLESALE',
+  },
+}
+
+const filtered = SupplyDataFilter.filterSupplyOrder(mockOrder, context)
+console.log('Filtered data:', filtered.data)
+console.log('Removed fields:', filtered.removedFields)
+```
+
+## 🚀 Производительность
+
+### Кеширование
+
+Система поддерживает кеширование результатов фильтрации:
+
+```bash
+SECURITY_CACHE_ENABLED=true
+```
+
+### Оптимизация
+
+- Фильтрация происходит только для включенных резолверов
+- Аудит можно отключить в production для повышения производительности
+- Используется lazy loading для модулей безопасности
+
+## ⚠️ Важные замечания
+
+1. **Обратная совместимость**: Система работает параллельно с существующими резолверами
+2. **Постепенное внедрение**: Можно включать защиту резолверов по одному
+3. **Отключение в development**: Для отладки можно отключить всю систему
+4. **Аудит в production**: Рекомендуется включить аудит для мониторинга
+
+## 📚 API Reference
+
+### Основные функции
+
+- `wrapResolversWithSecurity(resolvers)` - автоматическая интеграция
+- `createSecureResolver(resolver, config)` - ручная интеграция
+- `SupplyDataFilter.filterSupplyOrder(order, context)` - фильтрация данных
+- `ParticipantIsolation.validatePartnerAccess(...)` - проверка партнерства
+- `CommercialDataAudit.logAccess(...)` - аудит доступа
+
+### Типы
+
+- `SecurityContext` - контекст безопасности пользователя
+- `ResourceType` - типы защищаемых ресурсов
+- `CommercialAccessType` - типы доступа к коммерческим данным
+- `DataAccessLevel` - уровни доступа к данным
+
+## 🆘 Устранение неполадок
+
+### Система безопасности не работает
+1. Проверьте `ENABLE_SUPPLY_SECURITY=true`
+2. Убедитесь, что резолвер включен в конфигурацию
+3. Проверьте, что middleware применен к резолверам
+
+### Пользователи не видят данные
+1. Проверьте роль пользователя в организации
+2. Убедитесь в наличии партнерских отношений
+3. Проверьте логи аудита для диагностики
+
+### Низкая производительность
+1. Включите кеширование `SECURITY_CACHE_ENABLED=true`
+2. Отключите аудит в production при необходимости
+3. Оптимизируйте запросы к базе данных
--- a/src/graphql/security/index.ts
+++ b/src/graphql/security/index.ts
@ -26,6 +26,18 @@ export type {
  SecurityFeatureFlags,
 } from './types'

+// Утилиты и обертки
+export { createSecureResolver, SecurityHelpers } from './secure-resolver'
+
+// Middleware для автоматической интеграции
+export { 
+  applySecurityMiddleware, 
+  wrapResolversWithSecurity,
+  addSecurityConfig,
+  getSecurityConfig,
+  listSecuredResolvers,
+} from './middleware'
+
 // Вспомогательные функции
 export { SecurityLogger } from '../../lib/security-logger'
 export { FEATURE_FLAGS, isFeatureEnabled, getActiveFeatures } from '../../config/features'
--- a/src/graphql/security/middleware.ts
+++ b/src/graphql/security/middleware.ts
@ -0,0 +1,306 @@
+/**
+ * Middleware для интеграции системы безопасности в существующие резолверы
+ * 
+ * Автоматически применяет фильтрацию данных и аудит к резолверам поставок
+ * без необходимости переписывания всего кода
+ */
+
+import { GraphQLError } from 'graphql'
+import { OrganizationType } from '@prisma/client'
+
+import { FEATURE_FLAGS } from '../../config/features'
+import { SecurityLogger } from '../../lib/security-logger'
+
+import { SupplyDataFilter } from './supply-data-filter'
+import { ParticipantIsolation } from './participant-isolation'
+import { CommercialDataAudit } from './commercial-data-audit'
+import { createSecurityContext } from './index'
+
+import type { SecurityContext, ResourceType, CommercialAccessType } from './types'
+
+/**
+ * Конфигурация безопасности для резолвера
+ */
+interface SecurityConfig {
+  resourceType: ResourceType
+  auditAction: CommercialAccessType
+  requiredRole?: OrganizationType[]
+  enableFiltering: boolean
+  enableAudit: boolean
+  enablePartnershipCheck: boolean
+}
+
+/**
+ * Маппинг резолверов на конфигурации безопасности
+ */
+const RESOLVER_SECURITY_CONFIG: Record<string, SecurityConfig> = {
+  // Query резолверы
+  'Query.supplyOrders': {
+    resourceType: 'SUPPLY_ORDER',
+    auditAction: 'VIEW_PRICE',
+    enableFiltering: true,
+    enableAudit: true,
+    enablePartnershipCheck: false,
+  },
+  'Query.mySupplyOrders': {
+    resourceType: 'SUPPLY_ORDER',
+    auditAction: 'VIEW_PRICE',
+    enableFiltering: true,
+    enableAudit: true,
+    enablePartnershipCheck: false,
+  },
+  'Query.pendingSuppliesCount': {
+    resourceType: 'SUPPLY_ORDER',
+    auditAction: 'VIEW_PRICE',
+    enableFiltering: false,
+    enableAudit: true,
+    enablePartnershipCheck: false,
+  },
+
+  // Mutation резолверы
+  'Mutation.createSupplyOrder': {
+    resourceType: 'SUPPLY_ORDER',
+    auditAction: 'VIEW_RECIPE',
+    requiredRole: ['SELLER', 'FULFILLMENT'],
+    enableFiltering: false,
+    enableAudit: true,
+    enablePartnershipCheck: true,
+  },
+  'Mutation.updateSupplyOrderStatus': {
+    resourceType: 'SUPPLY_ORDER',
+    auditAction: 'VIEW_PRICE',
+    enableFiltering: true,
+    enableAudit: true,
+    enablePartnershipCheck: false,
+  },
+  'Mutation.supplierApproveOrder': {
+    resourceType: 'SUPPLY_ORDER',
+    auditAction: 'VIEW_PRICE',
+    requiredRole: ['WHOLESALE'],
+    enableFiltering: true,
+    enableAudit: true,
+    enablePartnershipCheck: true,
+  },
+  'Mutation.supplierRejectOrder': {
+    resourceType: 'SUPPLY_ORDER',
+    auditAction: 'VIEW_PRICE',
+    requiredRole: ['WHOLESALE'],
+    enableFiltering: true,
+    enableAudit: true,
+    enablePartnershipCheck: true,
+  },
+  'Mutation.assignLogisticsToSupply': {
+    resourceType: 'SUPPLY_ORDER',
+    auditAction: 'VIEW_CONTACTS',
+    requiredRole: ['SELLER', 'FULFILLMENT'],
+    enableFiltering: true,
+    enableAudit: true,
+    enablePartnershipCheck: true,
+  },
+}
+
+/**
+ * Middleware функция для применения безопасности к резолверу
+ */
+export function applySecurityMiddleware(
+  resolverName: string,
+  originalResolver: Function,
+): Function {
+  const config = RESOLVER_SECURITY_CONFIG[resolverName]
+  
+  // Если конфигурация не найдена - возвращаем оригинальный резолвер
+  if (!config) {
+    return originalResolver
+  }
+
+  return async function securedResolver(parent: unknown, args: unknown, context: unknown, info: unknown) {
+    // Проверяем включена ли система безопасности
+    if (!FEATURE_FLAGS.SUPPLY_DATA_SECURITY.enabled) {
+      return originalResolver(parent, args, context, info)
+    }
+
+    const securityContext = createSecurityContext(context as Record<string, unknown>)
+    
+    try {
+      // 1. Проверка аутентификации
+      if (!securityContext.user.id) {
+        throw new GraphQLError('Authentication required', {
+          extensions: { code: 'UNAUTHENTICATED' },
+        })
+      }
+
+      // 2. Проверка роли если требуется
+      if (config.requiredRole && !config.requiredRole.includes(securityContext.user.organizationType)) {
+        
+        // Логируем попытку несанкционированного доступа
+        if (config.enableAudit && FEATURE_FLAGS.SUPPLY_DATA_SECURITY.auditEnabled) {
+          await CommercialDataAudit.logUnauthorizedAccess((context as any).prisma, {
+            userId: securityContext.user.id,
+            organizationType: securityContext.user.organizationType,
+            resourceType: config.resourceType,
+            resourceId: 'unknown',
+            reason: `Insufficient role: ${securityContext.user.organizationType}, required: ${config.requiredRole.join(', ')}`,
+            ipAddress: securityContext.ipAddress,
+            userAgent: securityContext.userAgent,
+          })
+        }
+        
+        throw new GraphQLError('Insufficient permissions', {
+          extensions: { code: 'FORBIDDEN' },
+        })
+      }
+
+      // 3. Проверка партнерских отношений если требуется
+      if (config.enablePartnershipCheck && (args as any)?.input?.partnerId) {
+        try {
+          await ParticipantIsolation.validatePartnerAccess(
+            (context as any).prisma,
+            securityContext.user.organizationId,
+            (args as any).input.partnerId,
+            securityContext,
+          )
+        } catch (error) {
+          SecurityLogger.logSecurityError(error as Error, {
+            operation: 'partnershipCheck',
+            resolverName,
+            userId: securityContext.user.id,
+            organizationType: securityContext.user.organizationType,
+          })
+          throw error
+        }
+      }
+
+      // 4. Логирование доступа
+      if (config.enableAudit && FEATURE_FLAGS.SUPPLY_DATA_SECURITY.auditEnabled) {
+        await CommercialDataAudit.logAccess((context as any).prisma, {
+          userId: securityContext.user.id,
+          organizationType: securityContext.user.organizationType,
+          action: config.auditAction,
+          resourceType: config.resourceType,
+          metadata: { resolverName, args },
+          ipAddress: securityContext.ipAddress,
+          userAgent: securityContext.userAgent,
+        })
+      }
+
+      // 5. Выполнение оригинального резолвера
+      let result = await originalResolver(parent, args, context, info)
+
+      // 6. Фильтрация результата если включена
+      if (config.enableFiltering && result && config.resourceType === 'SUPPLY_ORDER') {
+        result = await filterSupplyOrderResult(result, securityContext)
+      }
+
+      return result
+
+    } catch (error) {
+      SecurityLogger.logSecurityError(error as Error, {
+        operation: 'securityMiddleware',
+        resolverName,
+        resourceType: config.resourceType,
+        userId: securityContext.user.id,
+        organizationType: securityContext.user.organizationType,
+      })
+      throw error
+    }
+  }
+}
+
+/**
+ * Фильтрует результат с заказами поставок
+ */
+async function filterSupplyOrderResult(
+  result: unknown,
+  context: SecurityContext,
+): Promise<unknown> {
+  // Если это массив заказов
+  if (Array.isArray(result)) {
+    return Promise.all(
+      result.map(async (order) => {
+        if (order && typeof order === 'object' && 'id' in order) {
+          const filtered = SupplyDataFilter.filterSupplyOrder(order as any, context)
+          return filtered.data
+        }
+        return order
+      }),
+    )
+  }
+
+  // Если это одиночный заказ
+  if (result && typeof result === 'object' && 'id' in result) {
+    const filtered = SupplyDataFilter.filterSupplyOrder(result as any, context)
+    return filtered.data
+  }
+
+  // Если это ответ с заказом внутри
+  if (result && typeof result === 'object' && 'order' in result) {
+    const resultObj = result as any
+    if (resultObj.order && typeof resultObj.order === 'object' && 'id' in resultObj.order) {
+      const filtered = SupplyDataFilter.filterSupplyOrder(resultObj.order, context)
+      return {
+        ...resultObj,
+        order: filtered.data,
+      }
+    }
+  }
+
+  return result
+}
+
+/**
+ * Автоматически применяет middleware ко всем резолверам из конфигурации
+ */
+export function wrapResolversWithSecurity(resolvers: Record<string, any>): Record<string, any> {
+  const wrappedResolvers = { ...resolvers }
+
+  // Обрабатываем Query резолверы
+  if (wrappedResolvers.Query) {
+    for (const [queryName, resolver] of Object.entries(wrappedResolvers.Query)) {
+      const resolverName = `Query.${queryName}`
+      if (RESOLVER_SECURITY_CONFIG[resolverName] && typeof resolver === 'function') {
+        wrappedResolvers.Query[queryName] = applySecurityMiddleware(resolverName, resolver)
+        
+        SecurityLogger.logFilteringPerformance({
+          operation: 'wrapResolver',
+          duration: 0,
+          recordsFiltered: 0,
+          fieldsRemoved: 0,
+          cacheHit: false,
+        })
+      }
+    }
+  }
+
+  // Обрабатываем Mutation резолверы
+  if (wrappedResolvers.Mutation) {
+    for (const [mutationName, resolver] of Object.entries(wrappedResolvers.Mutation)) {
+      const resolverName = `Mutation.${mutationName}`
+      if (RESOLVER_SECURITY_CONFIG[resolverName] && typeof resolver === 'function') {
+        wrappedResolvers.Mutation[mutationName] = applySecurityMiddleware(resolverName, resolver)
+      }
+    }
+  }
+
+  return wrappedResolvers
+}
+
+/**
+ * Добавляет новую конфигурацию безопасности для резолвера
+ */
+export function addSecurityConfig(resolverName: string, config: SecurityConfig): void {
+  RESOLVER_SECURITY_CONFIG[resolverName] = config
+}
+
+/**
+ * Получает конфигурацию безопасности для резолвера
+ */
+export function getSecurityConfig(resolverName: string): SecurityConfig | undefined {
+  return RESOLVER_SECURITY_CONFIG[resolverName]
+}
+
+/**
+ * Выводит список всех защищенных резолверов
+ */
+export function listSecuredResolvers(): string[] {
+  return Object.keys(RESOLVER_SECURITY_CONFIG)
+}