добавлена авторизация для запросов на api.tnsu.kz

.gitea/workflows/deploy.yml

@@ -15,7 +15,6 @@ on:
 
 env:
   REGISTRY: nexus.tnsu.kz:8082
-  IMAGE: hr-appeals-web
 
 jobs:
   # Единый источник тега для образа и для деплоя
@@ -34,6 +33,16 @@ jobs:
   build-and-push:
     needs: prepare
     runs-on: ubuntu-22.04
+    strategy:
+      fail-fast: false
+      matrix:
+        include:
+          - image: hr-appeals-web
+            context: .
+            dockerfile: Dockerfile
+          - image: hr-appeals-auth
+            context: server
+            dockerfile: server/Dockerfile
     steps:
       - name: Checkout
         uses: actions/checkout@v4
@@ -54,14 +63,15 @@ jobs:
       - name: Build image
         run: |
           docker build \
-            -t "$REGISTRY/$IMAGE:${{ needs.prepare.outputs.tag }}" \
-            -t "$REGISTRY/$IMAGE:latest" \
-            .
+            -f "${{ matrix.dockerfile }}" \
+            -t "$REGISTRY/${{ matrix.image }}:${{ needs.prepare.outputs.tag }}" \
+            -t "$REGISTRY/${{ matrix.image }}:latest" \
+            "${{ matrix.context }}"
 
       - name: Push image
         run: |
-          docker push "$REGISTRY/$IMAGE:${{ needs.prepare.outputs.tag }}"
-          docker push "$REGISTRY/$IMAGE:latest"
+          docker push "$REGISTRY/${{ matrix.image }}:${{ needs.prepare.outputs.tag }}"
+          docker push "$REGISTRY/${{ matrix.image }}:latest"
 
       - name: Docker logout
         if: always()

docker-compose.yml

@@ -4,5 +4,18 @@ services:
     restart: unless-stopped
     ports:
       - "80:80"
+    depends_on:
+      - hr-appeals-auth
 
-
+  hr-appeals-auth:
+    image: nexus.tnsu.kz:8082/hr-appeals-auth:${IMAGE_TAG:-latest}
+    restart: unless-stopped
+    environment:
+      GRAPH_TENANT_ID: ${GRAPH_TENANT_ID:?в .env на сервере не задан GRAPH_TENANT_ID}
+      GRAPH_CLIENT_ID: ${GRAPH_CLIENT_ID:?в .env на сервере не задан GRAPH_CLIENT_ID}
+      GRAPH_CERT_PATH: /certs/SPFxDeploy_cert.pem
+      GRAPH_KEY_PATH: /certs/SPFxDeploy_key.pem
+    volumes:
+      # Каталог с сертификатом/ключом на сервере — путь задаётся в .env
+      # (GRAPH_CERT_DIR), сами файлы в git не попадают.
+      - ${GRAPH_CERT_DIR:?в .env на сервере не задан GRAPH_CERT_DIR}:/certs:ro

nginx.conf

@@ -5,6 +5,13 @@ server {
     root /usr/share/nginx/html;
     index index.html;
 
+    # Запросы к Graph/SharePoint идут не из браузера, а через сервис
+    # hr-appeals-auth — он подписывает JWT сертификатом и меняет его на
+    # app-only токен, клиенту токен и приватный ключ не видны.
+    location /api/ {
+        proxy_pass http://hr-appeals-auth:3000/;
+    }
+
     location / {
         try_files $uri $uri/ /index.html;
     }

server/.dockerignore

@@ -0,0 +1,2 @@
+node_modules
+dist

server/Dockerfile

@@ -0,0 +1,22 @@
+# syntax=docker/dockerfile:1
+
+FROM node:20-alpine AS build
+WORKDIR /app
+
+COPY package.json package-lock.json ./
+RUN npm ci
+
+COPY . .
+RUN npm run build
+
+FROM node:20-alpine AS runtime
+WORKDIR /app
+ENV NODE_ENV=production
+
+COPY package.json package-lock.json ./
+RUN npm ci --omit=dev
+
+COPY --from=build /app/dist ./dist
+
+EXPOSE 3000
+CMD ["node", "dist/index.js"]

server/package.json

@@ -0,0 +1,23 @@
+{
+  "name": "hr-appeals-auth",
+  "version": "0.1.0",
+  "private": true,
+  "engines": {
+    "node": ">=20"
+  },
+  "scripts": {
+    "build": "tsc",
+    "start": "node dist/index.js",
+    "typecheck": "tsc --noEmit"
+  },
+  "dependencies": {
+    "express": "^4.21.2",
+    "jsonwebtoken": "^9.0.2"
+  },
+  "devDependencies": {
+    "@types/express": "^4.17.21",
+    "@types/jsonwebtoken": "^9.0.7",
+    "@types/node": "^22.20.1",
+    "typescript": "~5.8.0"
+  }
+}

server/src/config.ts

@@ -0,0 +1,16 @@
+function requireEnv(name: string): string {
+  const value = process.env[name];
+  if (!value) {
+    throw new Error(`Не задана переменная окружения ${name}`);
+  }
+  return value;
+}
+
+export const config = {
+  tenantId: requireEnv('GRAPH_TENANT_ID'),
+  clientId: requireEnv('GRAPH_CLIENT_ID'),
+  certPath: requireEnv('GRAPH_CERT_PATH'),
+  keyPath: requireEnv('GRAPH_KEY_PATH'),
+  scope: process.env.GRAPH_SCOPE ?? 'https://graph.microsoft.com/.default',
+  port: Number(process.env.PORT ?? 3000)
+};

server/src/graphAuth.ts

@@ -0,0 +1,81 @@
+import { readFileSync } from 'node:fs';
+import { createHash, randomUUID } from 'node:crypto';
+import jwt from 'jsonwebtoken';
+import { config } from './config';
+
+interface CachedToken {
+  accessToken: string;
+  expiresAt: number;
+}
+
+interface TokenResponse {
+  access_token: string;
+  expires_in: number;
+}
+
+const TOKEN_ENDPOINT = `https://login.microsoftonline.com/${config.tenantId}/oauth2/v2.0/token`;
+
+// Обновляем токен заранее, а не строго по истечении — иначе запрос, уже летящий
+// к Graph с почти протухшим токеном, может получить 401.
+const REFRESH_MARGIN_MS = 60_000;
+
+let cached: CachedToken | null = null;
+
+function buildClientAssertion(): string {
+  const certificatePem = readFileSync(config.certPath, 'utf8');
+  const privateKey = readFileSync(config.keyPath, 'utf8');
+
+  // x5t — SHA-1 отпечаток DER-сертификата, base64url. По нему Azure AD находит
+  // публичный ключ приложения и проверяет подпись JWT.
+  const der = certificatePem
+    .replace(/-----BEGIN CERTIFICATE-----/, '')
+    .replace(/-----END CERTIFICATE-----/, '')
+    .replace(/\s+/g, '');
+  const thumbprint = createHash('sha1').update(Buffer.from(der, 'base64')).digest('base64url');
+
+  const nowSeconds = Math.floor(Date.now() / 1000);
+
+  return jwt.sign(
+    {
+      aud: TOKEN_ENDPOINT,
+      iss: config.clientId,
+      sub: config.clientId,
+      jti: randomUUID(),
+      nbf: nowSeconds,
+      exp: nowSeconds + 5 * 60
+    },
+    privateKey,
+    { algorithm: 'RS256', header: { alg: 'RS256', x5t: thumbprint } }
+  );
+}
+
+export async function getAppOnlyToken(): Promise<string> {
+  if (cached && cached.expiresAt - REFRESH_MARGIN_MS > Date.now()) {
+    return cached.accessToken;
+  }
+
+  const body = new URLSearchParams({
+    grant_type: 'client_credentials',
+    client_id: config.clientId,
+    client_assertion_type: 'urn:ietf:params:oauth:client-assertion-type:jwt-bearer',
+    client_assertion: buildClientAssertion(),
+    scope: config.scope
+  });
+
+  const response = await fetch(TOKEN_ENDPOINT, {
+    method: 'POST',
+    headers: { 'Content-Type': 'application/x-www-form-urlencoded' },
+    body
+  });
+
+  if (!response.ok) {
+    throw new Error(`Не удалось получить app-only токен: ${response.status} ${await response.text()}`);
+  }
+
+  const data = (await response.json()) as TokenResponse;
+  cached = {
+    accessToken: data.access_token,
+    expiresAt: Date.now() + data.expires_in * 1000
+  };
+  return cached.accessToken;
+}

server/src/index.ts

@@ -0,0 +1,25 @@
+import express from 'express';
+import { config } from './config';
+import { getAppOnlyToken } from './graphAuth';
+
+const app = express();
+
+app.get('/healthz', (_req, res) => {
+  res.status(200).send('ok');
+});
+
+// Временный диагностический эндпоинт: подтверждает, что связка
+// "сертификат -> подписанный JWT -> access-токен" реально работает,
+// до того как появится сама логика сохранения формы в Graph/SharePoint.
+app.get('/diag/token', async (_req, res) => {
+  try {
+    await getAppOnlyToken();
+    res.status(200).json({ ok: true });
+  } catch (error) {
+    res.status(502).json({ ok: false, error: (error as Error).message });
+  }
+});
+
+app.listen(config.port, () => {
+  console.log(`hr-appeals-auth listening on :${config.port}`);
+});

server/tsconfig.json

@@ -0,0 +1,15 @@
+{
+  "compilerOptions": {
+    "target": "ES2022",
+    "module": "commonjs",
+    "moduleResolution": "node",
+    "lib": ["ES2022"],
+    "outDir": "dist",
+    "rootDir": "src",
+    "strict": true,
+    "esModuleInterop": true,
+    "skipLibCheck": true,
+    "forceConsistentCasingInFileNames": true
+  },
+  "include": ["src"]
+}