BFF: проверенная часть
Проверено 31.10.2026 в 13:11 UTC на cellestial.ru в чистом Chrome: гостю доступна форма входа, запросы tRPC проходят отдельную проверку CSRF и сессии. Это свидетельство только гостевого маршрута, а не готовности всего трека BFF.
Что наблюдается на проде
| Сценарий | Результат |
|---|---|
Открыть / в чистом браузере | 302 на /login, затем 200, видна форма входа |
Прочитать bootstrap HTML /login | user: null, cookie гостю не установлены |
Из этой страницы вызвать GET /api/trpc/users.me без X-CSRF | 403, appCode: csrf_invalid |
Повторить тот же GET с X-CSRF: 1 | 401, сообщение «Нет сессии» |
Вызвать прежний GET /api/v1/users/me | 404 Not Found |
Браузер → BFF: HTML и /api/trpc/* — наблюдаемый публичный маршрут. Обычный curl к / без Accept: text/html возвращает 404; это не свидетельство недоступности формы входа. Результат согласуется с маршрутизацией BFF.
Старое описание Double Submit Cookie сохранено по прежнему адресу CSRF как история проверки 07.10.2026. Его три cookie и X-CSRF-Token не описывают проверенный гостевой маршрут BFF.
Релизы и граница доказательства
На момент проверки GitHub Deployments сообщает success для следующих production-выкладок:
| Репозиторий | SHA | Свидетельство выкладки |
|---|---|---|
| frontend | dd3d11fbeebe5bf1e2b51fdd663a36d1829a4e64 | Deployment 7389948880, CD 28.10 |
| backend | 23d3dd9e955424a7634fb0dc49a38af6eb08792c | Deployment 7434158986, CD 30.10 |
| infra | 14653763279dab055e3cea47a84a0c531bccf03f | Deployment 7458961353, CD 31.10 |
Это SHA из источника выкладки, не измерение версии работающего процесса. Успех deployment сам по себе не подтверждает пользовательский сценарий; наблюдения выше проверены отдельно.
Где искать реализацию
Код маршрута браузер → BFF → Go принадлежит двум репозиториям:
- frontend: сборка обработчиков HTML и tRPC.
- Проверка CSRF перед чтением сессии. Код требует
X-CSRF: 1; для POST дополнительно проверяетOriginиSec-Fetch-Site. На проде в этой проверке испытаны только два GET из таблицы, не вся матрица защиты. - Вызов Go через сессию BFF и backend на SHA выкладки. Участок BFF → Go здесь подтверждён исходниками, не проверен авторизованным сценарием на проде.
- Локальная разработка frontend и BFF.
Что ещё нужно проверить
Нет проверяемого свидетельства входа и регистрации, refresh и параллельных запросов, выхода, открытия и изменения блокнотов, работы после истечения сессии и POST-защиты от чужого Origin. Нужен прогон с тестовой учётной записью или свидетельство владельца с датой, релизом и результатами. Эти возможности остаются планом авторизации и других страниц трека, а не текущими фактами этой страницы.