jambotron α
165edf1a1e
- SMTP-сервер переписан: разбор по строкам, AUTH PLAIN/LOGIN, нет открытого релея, MAIL FROM только свой после входа, 250 только после сохранения (иначе 451), лимит размера - отправка наружу: очередь outbound_queue (V2) с повторами ~22 ч и уведомлением о недоставке; Jakarta Mail, режимы off / mx / smarthost, байты письма не меняются (DKIM) - DKIM: подпись utils-mail-dkim, проверка Apache jDKIM; ключ PKCS#8, старый PKCS#1 читается - права: письма, папки, вложения — только владельцу (было: любой по номеру); имена вложений без ../ - секреты без значений по умолчанию (DB_PASSWORD, JWT_SECRET), регистрация закрыта, admin123 и /api/simulate/receive — только профиль dev - веб-клиент внутри jar (относительный /api), Dockerfile в 3 этапа, не root, health; docker-compose.jambotron.yml: секреты создаются при первом запуске, наружу только 8080 - gradle-wrapper.jar был в .gitignore — сборка не запускалась - тесты: 26 (SMTP реальным клиентом и сокетом, GreenMail, DKIM подпись+проверка, очередь) α Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
57 lines
2.8 KiB
Java
57 lines
2.8 KiB
Java
package com.mailserver.config;
|
|
|
|
import com.mailserver.security.JwtAuthenticationFilter;
|
|
import org.springframework.context.annotation.Bean;
|
|
import org.springframework.context.annotation.Configuration;
|
|
import org.springframework.security.config.annotation.web.reactive.EnableWebFluxSecurity;
|
|
import org.springframework.security.config.web.server.SecurityWebFiltersOrder;
|
|
import org.springframework.security.config.web.server.ServerHttpSecurity;
|
|
import org.springframework.security.web.server.SecurityWebFilterChain;
|
|
import org.springframework.web.cors.CorsConfiguration;
|
|
import org.springframework.web.cors.reactive.CorsConfigurationSource;
|
|
import org.springframework.web.cors.reactive.UrlBasedCorsConfigurationSource;
|
|
|
|
@Configuration
|
|
@EnableWebFluxSecurity
|
|
public class SecurityConfig {
|
|
|
|
private final JwtAuthenticationFilter jwtAuthenticationFilter;
|
|
private final String corsOrigins;
|
|
|
|
public SecurityConfig(JwtAuthenticationFilter jwtAuthenticationFilter,
|
|
@org.springframework.beans.factory.annotation.Value("${mailserver.cors.origins:}") String corsOrigins) {
|
|
this.jwtAuthenticationFilter = jwtAuthenticationFilter;
|
|
this.corsOrigins = corsOrigins;
|
|
}
|
|
|
|
@Bean
|
|
public CorsConfigurationSource corsConfigurationSource() {
|
|
CorsConfiguration configuration = new CorsConfiguration();
|
|
// The web client is served from the same origin; other origins only for development (ng serve)
|
|
configuration.setAllowedOrigins(java.util.Arrays.stream(corsOrigins.split(",")).map(String::trim).filter(o -> !o.isEmpty()).toList());
|
|
configuration.setAllowedMethods(java.util.Arrays.asList("GET", "POST", "PUT", "DELETE", "OPTIONS"));
|
|
configuration.setAllowedHeaders(java.util.Arrays.asList("Authorization", "Content-Type", "Accept", "X-Requested-With"));
|
|
configuration.setAllowCredentials(true);
|
|
configuration.setExposedHeaders(java.util.Arrays.asList("Authorization"));
|
|
UrlBasedCorsConfigurationSource source = new UrlBasedCorsConfigurationSource();
|
|
source.registerCorsConfiguration("/api/**", configuration);
|
|
return source;
|
|
}
|
|
|
|
@Bean
|
|
public SecurityWebFilterChain filterChain(ServerHttpSecurity http) {
|
|
http
|
|
.csrf(ServerHttpSecurity.CsrfSpec::disable)
|
|
.cors(cors -> cors.configurationSource(corsConfigurationSource()))
|
|
.authorizeExchange(exchange -> exchange
|
|
.pathMatchers("/api/login", "/api/register", "/actuator/health").permitAll()
|
|
.pathMatchers("/api/**", "/actuator/**").authenticated()
|
|
// the web client (static files, SPA routes)
|
|
.anyExchange().permitAll()
|
|
)
|
|
.addFilterAt(jwtAuthenticationFilter, SecurityWebFiltersOrder.AUTHENTICATION);
|
|
|
|
return http.build();
|
|
}
|
|
}
|