NotBigGhostandClaude Opus 4.8 ce7fbad58e API: закрыть схему в проде + security-заголовки на edge ...

main.py: openapi.json/docs/redoc отдаются только в dev/test (нужны для gen:api),
в production отключены. Caddyfile (edge): HSTS, X-Content-Type-Options, X-Frame-Options,
Referrer-Policy, Permissions-Policy, скрыт Server; CSP подготовлена, но выключена до
проверки на test-клоне (строгая политика ломает SPA/Telegram-виджет/SSE). #61

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01XfTsytzT6TojfmprRDKiV6

2026-09-13 17:19:42 +03:00

..

__init__.py

v0.1 - макет интерфейса, аутентификация через логин, аккаунт админа, создание партии в 2 этапа, базовые настройки профиля и группы, переключение между группами, статистика

2026-06-16 17:41:06 +03:00

conftest.py

Отзыв JWT при выходе и смене пароля

2026-09-13 17:09:57 +03:00

test_achievements.py

Ревью: закрыть дыры в собственном покрытии

2026-09-09 18:32:47 +03:00

test_admin_extra.py

Ревью: закрыть дыры в собственном покрытии

2026-09-09 18:32:47 +03:00

test_api_hardening.py

API: закрыть схему в проде + security-заголовки на edge

2026-09-13 17:19:42 +03:00

test_attachments.py

Ревью: закрыть дыры в собственном покрытии

2026-09-09 18:32:47 +03:00

test_auth.py

Вход и регистрация по логину и паролю

2026-09-13 13:57:10 +03:00

test_concurrency.py

Ревью: тесты-регрессии на найденные дефекты

2026-09-09 15:26:42 +03:00

test_config_security.py

Конфиг: fail-fast на дефолтных секретах в production

2026-09-13 17:18:08 +03:00

test_core_flow.py

SSE: CSRF-middleware на чистом ASGI (BaseHTTPMiddleware буферизует поток и ломает SSE) + тест CSRF

2026-06-17 23:08:10 +03:00

test_csrf.py

CSRF: перевыдавать токен, если сессия есть, а cookie нет

2026-09-13 13:14:14 +03:00

test_eliminated.py

Партии: «выбывшие» игроки (красный крестик) = последнее место

2026-06-26 16:54:37 +03:00

test_events_payload.py

SSE: событие партии несёт участников, клиент не дёргает лишних

2026-09-09 20:47:32 +03:00

test_events.py

Реал-тайм через SSE (push-to-invalidate): живые приглашения/партии, авто-обновление без перезагрузки

2026-06-17 22:52:41 +03:00

test_finish_draft.py

Партия: общий черновик завершения и запрет результатов до финиша

2026-09-09 19:39:31 +03:00

test_invitations.py

Группы: приглашения вместо авто-добавления (согласиться/отказаться)

2026-06-17 20:07:20 +03:00

test_match_edit.py

Партия: правка истории и кнопка «Редактировать» у игрока

2026-09-09 20:16:33 +03:00

test_notifications.py

Уведомления: непрочитанные не протухают — игрок увидит их при любом заходе

2026-07-18 04:08:00 +03:00

test_password_auth.py

Регистрация: throttle по IP от спама аккаунтов

2026-09-13 17:16:49 +03:00

test_profile.py

Ревью: закрыть дыры в собственном покрытии

2026-09-09 18:32:47 +03:00

test_scoring_smoothing.py

Рейтинг: байесовское сглаживание по опыту; новички — до 10 партий

2026-07-17 03:04:48 +03:00

test_stats_passes.py

Статистика: один проход по строкам игрока вместо четырёх

2026-09-09 20:38:29 +03:00

test_user_search.py

API: поиск игроков по нику для автокомплита (GET /api/users/search)

2026-07-17 02:22:27 +03:00

test_validation_errors.py

Ошибка валидации: 422 без эха тела запроса вместо 500

2026-09-13 15:02:00 +03:00