Telegram-Market/telegram-shop
1
1
Fork 0
Code Issues 45 Pull Requests 1 Actions Packages Projects 1 Releases Wiki Activity

Документировать CSV-экспорт мнемоник как фичу владельца #48

New Issue
Closed
opened 2026-06-17 19:39:21 +00:00 by NW · 1 comment
NW commented 2026-06-17 19:39:21 +00:00
Owner
Copy Link

Контекст

CSV-экспорт мнемоник в adminWalletsHandler.js:446-463 — это НЕ бэкдор, а фича для владельца магазина для переноса финансов. Однако требуется усиление безопасности этой фичи.

Улучшения

  • Добавить подтверждение по паролю/PIN перед экспортом мнемоник
  • Добавить логирование в аудитор: кто, когда, сколько мнемоник экспортировал
  • Ограничить экспорт только для SUPER_ADMIN (не все админы)
  • Добавить watermark с ID админа в экспортируемый файл
  • Отправлять уведомление владельцу при каждом экспорте мнемоник

Файлы

  • src/handlers/adminHandlers/adminWalletsHandler.js

Приоритет: СРЕДНИЙ

## Контекст CSV-экспорт мнемоник в `adminWalletsHandler.js:446-463` — это НЕ бэкдор, а фича для владельца магазина для переноса финансов. Однако требуется усиление безопасности этой фичи. ## Улучшения - [ ] Добавить подтверждение по паролю/PIN перед экспортом мнемоник - [ ] Добавить логирование в аудитор: кто, когда, сколько мнемоник экспортировал - [ ] Ограничить экспорт только для SUPER_ADMIN (не все админы) - [ ] Добавить watermark с ID админа в экспортируемый файл - [ ] Отправлять уведомление владельцу при каждом экспорте мнемоник ## Файлы - `src/handlers/adminHandlers/adminWalletsHandler.js` ## Приоритет: СРЕДНИЙ
NW added this to the Phase 1: Security & Secrets Management milestone 2026-06-17 19:39:21 +00:00
NW added the priority::mediumtype::featurephase::1 labels 2026-06-17 19:39:21 +00:00
NW commented 2026-06-22 09:08:14 +00:00
Author
Owner
Copy Link

✅ Реализовано

  • Добавить SUPER_ADMIN_IDS в config (fallback на ADMIN_IDS)
  • Добавить isSuperAdmin() в middleware/auth.js
  • Создать auditService.js для структурного аудита (DB + pino)
  • Создать миграцию 005_audit_log
  • Ограничить экспорт мнемоник только для SUPER_ADMIN
  • Добавить подтверждение перед экспортом (confirm_export_ callback)
  • Логировать каждый экспорт: adminId, walletType, walletCount
  • Добавить watermark с ID админа в CSV (колонка exported_by)
  • Отправлять уведомление всем SUPER_ADMIN при экспорте

Коммит: 49945d9

## ✅ Реализовано - [x] Добавить SUPER_ADMIN_IDS в config (fallback на ADMIN_IDS) - [x] Добавить isSuperAdmin() в middleware/auth.js - [x] Создать auditService.js для структурного аудита (DB + pino) - [x] Создать миграцию 005_audit_log - [x] Ограничить экспорт мнемоник только для SUPER_ADMIN - [x] Добавить подтверждение перед экспортом (confirm_export_ callback) - [x] Логировать каждый экспорт: adminId, walletType, walletCount - [x] Добавить watermark с ID админа в CSV (колонка exported_by) - [x] Отправлять уведомление всем SUPER_ADMIN при экспорте **Коммит**: 49945d9
NW closed this issue 2026-06-22 09:08:14 +00:00
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
phase::1
Phase 1: Security
 phase::1
Phase 1
 phase::1
Phase 1
 phase::2
Phase 2: Architecture
 phase::2
Phase 2
 phase::3
Phase 3: Admin API
 phase::3
Phase 3
 phase::4
Phase 4: Web UI
 phase::4
Phase 4
 phase::5
Phase 5: Quality
 phase::5
Phase 5
 priority::critical
Critical priority
 priority::critical
Critical priority
 priority::high
High priority
 priority::high
High priority
 priority::medium
Medium priority
 priority::medium
Medium priority
 type::bug
Bug fix
 type::bug
Bug
 type::feature
New feature
 type::feature
Feature
 type::infra
Infrastructure
 type::infra
Infrastructure
 type::refactor
Code refactoring
 type::refactor
Refactoring
 type::security
Security issue
 type::security
Security
 type::testing
Testing
 type::testing
Testing
No Label phase::1 priority::medium type::feature
Milestone
No items
No Milestone Phase 1: Security & Secrets Management
Projects
Clear projects
No project
Assignees
Clear assignees
NW
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: Telegram-Market/telegram-shop#48
Delete Branch "%!s()"

Deleting a branch is permanent. Although the deleted branch may continue to exist for a short time before it actually gets removed, it CANNOT be undone in most cases. Continue?