Sla (#11)

Co-authored-by: gorbenko.pavel <gorbenko.pavel@tansu.kz>
Reviewed-on: http://git.tnsu.kz/gorbenko.pavel/tnsu-approval-route/pulls/11

backend/Tnsu.ApprovalRoute.Infrastructure/SharePoint/CertificateProvider.cs

@@ -0,0 +1,70 @@
+using System.Security.Cryptography.X509Certificates;
+using Microsoft.EntityFrameworkCore;
+using Microsoft.Extensions.DependencyInjection;
+using Microsoft.Extensions.Options;
+using Tnsu.ApprovalRoute.Infrastructure.Persistence;
+
+namespace Tnsu.ApprovalRoute.Infrastructure.SharePoint;
+
+public interface ICertificateProvider
+{
+    Task<X509Certificate2> GetCertificateAsync(CancellationToken cancellationToken);
+}
+
+/// <summary>
+/// Сертификат для входа в SharePoint — из таблицы settings (option_name задаётся
+/// в SharePointOptions.CertificateSettingName, по умолчанию 'AzurePfx').
+///
+/// Синглтон с кешем: разбор .pfx стоит заметно дороже запроса к базе, а сам
+/// сертификат меняется раз в год. Блокировка — чтобы параллельные запросы не
+/// разбирали его одновременно при холодном старте.
+///
+/// Собственная таблица, а не общая с api-tnsu-portal, — осознанный выбор: базы
+/// у сервисов разные и связывать их не хотим. Цена — копию сертификата придётся
+/// обновлять в двух местах.
+/// </summary>
+public sealed class DbCertificateProvider(
+    IServiceScopeFactory scopeFactory,
+    IOptions<SharePointOptions> options) : ICertificateProvider
+{
+    private readonly SemaphoreSlim _lock = new(1, 1);
+    private X509Certificate2? _cached;
+
+    public async Task<X509Certificate2> GetCertificateAsync(CancellationToken cancellationToken)
+    {
+        if (_cached is not null) return _cached;
+
+        await _lock.WaitAsync(cancellationToken);
+        try
+        {
+            if (_cached is not null) return _cached;
+
+            var settingName = options.Value.CertificateSettingName;
+
+            // Своя область: провайдер — синглтон, а DbContext зарегистрирован
+            // как scoped, напрямую внедрять его сюда нельзя.
+            using var scope = scopeFactory.CreateScope();
+            var db = scope.ServiceProvider.GetRequiredService<ApprovalRouteDbContext>();
+
+            var pfx = await db.Settings.AsNoTracking()
+                .Where(x => x.OptionName == settingName)
+                .Select(x => x.FileData)
+                .FirstOrDefaultAsync(cancellationToken);
+
+            if (pfx is null || pfx.Length == 0)
+                throw new InvalidOperationException(
+                    $"Сертификат не найден: в таблице settings нет записи «{settingName}» с непустым file_data.");
+
+            _cached = X509CertificateLoader.LoadPkcs12(
+                pfx,
+                options.Value.CertificatePassword,
+                X509KeyStorageFlags.MachineKeySet | X509KeyStorageFlags.EphemeralKeySet);
+
+            return _cached;
+        }
+        finally
+        {
+            _lock.Release();
+        }
+    }
+}

backend/Tnsu.ApprovalRoute.Infrastructure/SharePoint/SharePointClient.cs

@@ -0,0 +1,145 @@
+using System.Collections.Concurrent;
+using System.Net.Http.Headers;
+using System.Text.Json;
+using Azure.Core;
+using Azure.Identity;
+using Microsoft.Extensions.Options;
+
+namespace Tnsu.ApprovalRoute.Infrastructure.SharePoint;
+
+public interface ISharePointClient
+{
+    /// <summary>Заголовок списка по его серверному относительному URL (см. RequestType.ListId).</summary>
+    Task<string?> GetListTitleAsync(string siteUrl, string listServerRelativeUrl, CancellationToken cancellationToken);
+
+    /// <summary>Элементы списка данных, найденного по серверному относительному URL.</summary>
+    Task<IReadOnlyList<JsonElement>> GetItemsByListUrlAsync(
+        string siteUrl, string listServerRelativeUrl, string odataQuery, CancellationToken cancellationToken);
+
+    /// <summary>Элементы списка, найденного по заголовку (списки согласования ищутся именно так).</summary>
+    Task<IReadOnlyList<JsonElement>> GetItemsByListTitleAsync(
+        string siteUrl, string listTitle, string odataQuery, CancellationToken cancellationToken);
+}
+
+/// <summary>
+/// Доступ к SharePoint REST от имени приложения (сертификат из таблицы settings).
+///
+/// Сырой HttpClient, а не PnP.Core/CSOM — по образцу api-tnsu-portal и потому,
+/// что нужно всего одно действие: прочитать элементы двух списков. Тянуть ради
+/// этого клиентскую библиотеку со своей объектной моделью незачем.
+///
+/// Клиент намеренно «глупый»: отдаёт сырой JSON и ничего не знает ни про SLA, ни
+/// про строки маршрута — вся логика напоминаний живёт в Application.
+/// </summary>
+public sealed class SharePointClient(
+    HttpClient httpClient,
+    ICertificateProvider certificateProvider,
+    IOptions<SharePointOptions> options) : ISharePointClient
+{
+    // Токен запрашивается на КОНКРЕТНЫЙ хост SharePoint, поэтому и кеш по хосту:
+    // списки разных типов заявок могут жить на разных сайтах.
+    private readonly ConcurrentDictionary<string, AccessToken> _tokens = new(StringComparer.OrdinalIgnoreCase);
+    private ClientCertificateCredential? _credential;
+    private readonly SemaphoreSlim _credentialLock = new(1, 1);
+
+    public async Task<string?> GetListTitleAsync(
+        string siteUrl, string listServerRelativeUrl, CancellationToken cancellationToken)
+    {
+        var url = $"{siteUrl.TrimEnd('/')}/_api/web/getList('{Escape(listServerRelativeUrl)}')?$select=Title";
+        var json = await GetAsync(siteUrl, url, cancellationToken);
+        return json.TryGetProperty("Title", out var title) ? title.GetString() : null;
+    }
+
+    public Task<IReadOnlyList<JsonElement>> GetItemsByListUrlAsync(
+        string siteUrl, string listServerRelativeUrl, string odataQuery, CancellationToken cancellationToken) =>
+        GetItemsAsync(
+            siteUrl,
+            $"{siteUrl.TrimEnd('/')}/_api/web/getList('{Escape(listServerRelativeUrl)}')/items?{odataQuery}",
+            cancellationToken);
+
+    public Task<IReadOnlyList<JsonElement>> GetItemsByListTitleAsync(
+        string siteUrl, string listTitle, string odataQuery, CancellationToken cancellationToken) =>
+        GetItemsAsync(
+            siteUrl,
+            $"{siteUrl.TrimEnd('/')}/_api/web/lists/getByTitle('{Escape(listTitle)}')/items?{odataQuery}",
+            cancellationToken);
+
+    private async Task<IReadOnlyList<JsonElement>> GetItemsAsync(
+        string siteUrl, string url, CancellationToken cancellationToken)
+    {
+        var json = await GetAsync(siteUrl, url, cancellationToken);
+
+        // odata=nometadata отдаёт элементы в "value"; на всякий случай терпим и
+        // «голый» массив, если заголовок Accept вдруг не подействует.
+        if (json.ValueKind == JsonValueKind.Array)
+            return json.EnumerateArray().ToList();
+
+        return json.TryGetProperty("value", out var value) && value.ValueKind == JsonValueKind.Array
+            ? value.EnumerateArray().ToList()
+            : [];
+    }
+
+    private async Task<JsonElement> GetAsync(string siteUrl, string url, CancellationToken cancellationToken)
+    {
+        using var request = new HttpRequestMessage(HttpMethod.Get, url);
+        request.Headers.Authorization = new AuthenticationHeaderValue(
+            "Bearer", await GetTokenAsync(siteUrl, cancellationToken));
+        request.Headers.Accept.Add(new MediaTypeWithQualityHeaderValue("application/json")
+        {
+            Parameters = { new NameValueHeaderValue("odata", "nometadata") }
+        });
+
+        using var response = await httpClient.SendAsync(request, cancellationToken);
+        var body = await response.Content.ReadAsStringAsync(cancellationToken);
+
+        if (!response.IsSuccessStatusCode)
+            throw new InvalidOperationException(
+                $"SharePoint ответил {(int)response.StatusCode} на {url}: {body}");
+
+        using var document = JsonDocument.Parse(body);
+        return document.RootElement.Clone();
+    }
+
+    private async Task<string> GetTokenAsync(string siteUrl, CancellationToken cancellationToken)
+    {
+        var host = new Uri(siteUrl).Host;
+
+        // Токен живой ещё пять минут — переиспользуем. Запас нужен, чтобы токен
+        // не истёк между проверкой и приходом запроса в SharePoint.
+        if (_tokens.TryGetValue(host, out var cached) && cached.ExpiresOn > DateTimeOffset.UtcNow.AddMinutes(5))
+            return cached.Token;
+
+        var credential = await GetCredentialAsync(cancellationToken);
+        var token = await credential.GetTokenAsync(
+            new TokenRequestContext([$"https://{host}/.default"]), cancellationToken);
+
+        _tokens[host] = token;
+        return token.Token;
+    }
+
+    private async Task<ClientCertificateCredential> GetCredentialAsync(CancellationToken cancellationToken)
+    {
+        if (_credential is not null) return _credential;
+
+        await _credentialLock.WaitAsync(cancellationToken);
+        try
+        {
+            if (_credential is not null) return _credential;
+
+            var certificate = await certificateProvider.GetCertificateAsync(cancellationToken);
+            _credential = new ClientCertificateCredential(
+                options.Value.TenantId, options.Value.ClientId, certificate);
+
+            return _credential;
+        }
+        finally
+        {
+            _credentialLock.Release();
+        }
+    }
+
+    // Одинарная кавычка в OData-литерале экранируется её удвоением. Заголовки
+    // списков содержат тире и кириллицу, но кавычка теоретически возможна —
+    // без экранирования она сломала бы запрос.
+    private static string Escape(string value) => value.Replace("'", "''");
+}

backend/Tnsu.ApprovalRoute.Infrastructure/SharePoint/SharePointOptions.cs

@@ -0,0 +1,23 @@
+namespace Tnsu.ApprovalRoute.Infrastructure.SharePoint;
+
+public sealed class SharePointOptions
+{
+    /// <summary>Тенант Entra — тот же, что у остальной авторизации.</summary>
+    public string TenantId { get; set; } = string.Empty;
+
+    /// <summary>
+    /// Приложение, от имени которого идём в SharePoint. Ему нужны разрешения
+    /// уровня приложения на чтение списков, выданные администратором тенанта.
+    /// </summary>
+    public string ClientId { get; set; } = string.Empty;
+
+    /// <summary>Ключ в таблице settings, под которым лежит .pfx (option_name).</summary>
+    public string CertificateSettingName { get; set; } = "AzurePfx";
+
+    /// <summary>
+    /// Пароль от .pfx. Намеренно берётся из конфигурации, а не зашивается в код:
+    /// в api-tnsu-portal он захардкожен в PostgresCertificateProvider, и повторять
+    /// это здесь не стоит — пароль от сертификата в исходниках не место.
+    /// </summary>
+    public string CertificatePassword { get; set; } = string.Empty;
+}