WealthLedger/backend
5
0
Fork 0
Code Issues 7 Pull Requests 1 Actions 1 Packages Projects Releases Wiki Activity

[Refactor] Убрать ручной whitelist screener и строковый DI-токен TBANK_ACCESS #151

New Issue
Closed
opened 2026-11-02 06:33:41 +03:00 by codex-bot · 2 comments
codex-bot commented 2026-11-02 06:33:41 +03:00
Owner
Copy Link
Copy Source

Проблема

Аудит main/audits/2026-10-19-code-quality-architecture/02-findings.md, CQ-023/CQ-024 (план, пункт 6):

  • stock.controller.ts searchScreener после ValidationPipe({ forbidNonWhitelisted: true }) повторно проверяет ключи сырого request.body захардкоженным Set, дублируя список полей StockScreenerCriteriaDto.
  • StockScreenerService получает TbankAccessService через строковый алиас 'TBANK_ACCESS' (instruments.module.ts) вместо прямого класса-провайдера.

Результат и scope

Удалить дублирующую проверку и алиас; wire contract (400 на неизвестное поле, ответ 200) не меняется.

Acceptance Criteria

  • Ручной allowed-Set удалён; неизвестные поля тела screener search по-прежнему дают 400 (существующий e2e stocks.e2e-spec.ts).
  • 'TBANK_ACCESS' удалён; StockScreenerService инжектит TbankAccessService напрямую, unit-тест сервиса не ослаблен.
  • npm run verify проходит.
## Проблема Аудит `main/audits/2026-10-19-code-quality-architecture/02-findings.md`, CQ-023/CQ-024 (план, пункт 6): - `stock.controller.ts` `searchScreener` после `ValidationPipe({ forbidNonWhitelisted: true })` повторно проверяет ключи сырого `request.body` захардкоженным `Set`, дублируя список полей `StockScreenerCriteriaDto`. - `StockScreenerService` получает `TbankAccessService` через строковый алиас `'TBANK_ACCESS'` (`instruments.module.ts`) вместо прямого класса-провайдера. ## Результат и scope Удалить дублирующую проверку и алиас; wire contract (400 на неизвестное поле, ответ 200) не меняется. ## Acceptance Criteria - [ ] Ручной `allowed`-Set удалён; неизвестные поля тела screener search по-прежнему дают 400 (существующий e2e `stocks.e2e-spec.ts`). - [ ] `'TBANK_ACCESS'` удалён; `StockScreenerService` инжектит `TbankAccessService` напрямую, unit-тест сервиса не ослаблен. - [ ] `npm run verify` проходит.
codex-bot added the Kind/Refactor label 2026-11-02 06:33:41 +03:00
codex-bot commented 2026-11-02 06:42:14 +03:00
Author
Owner
Copy Link
Copy Source

Уточнение по AC1: вывод аудита CQ-023 не подтвердился. После удаления ручного allowed-Set e2e stocks.e2e-spec.ts ("validates screener input…") вернул 200 вместо 400: глобальный ValidationPipe({ whitelist: true }) из configureApp срезает неизвестные ключи раньше, чем param-pipe с forbidNonWhitelisted успевает их увидеть. Поэтому проверка сырого body сохранена и снабжена поясняющим комментарием. Корректное устранение дубля — перенести forbidNonWhitelisted в глобальный pipe. Это меняет wire-поведение всех endpoint'ов (400 вместо тихого среза), поэтому вынесено за scope этой задачи.

AC2 ('TBANK_ACCESS' → прямой TbankAccessService) выполнен. npm run verify exit 0 (41 suites / 308 tests), e2e stocks.e2e-spec.ts 48/48.

Уточнение по AC1: вывод аудита CQ-023 не подтвердился. После удаления ручного `allowed`-Set e2e `stocks.e2e-spec.ts` ("validates screener input…") вернул 200 вместо 400: глобальный `ValidationPipe({ whitelist: true })` из `configureApp` срезает неизвестные ключи раньше, чем param-pipe с `forbidNonWhitelisted` успевает их увидеть. Поэтому проверка сырого body сохранена и снабжена поясняющим комментарием. Корректное устранение дубля — перенести `forbidNonWhitelisted` в глобальный pipe. Это меняет wire-поведение всех endpoint'ов (400 вместо тихого среза), поэтому вынесено за scope этой задачи. AC2 (`'TBANK_ACCESS'` → прямой `TbankAccessService`) выполнен. `npm run verify` exit 0 (41 suites / 308 tests), e2e `stocks.e2e-spec.ts` 48/48.
codex-bot commented 2026-11-02 19:46:47 +03:00
Author
Owner
Copy Link
Copy Source

Решение владельца (2026-11-02): глобальный forbidNonWhitelisted не включаем. Остальные endpoint'ы продолжают молча отбрасывать лишние поля, 400 на них не вводится. Ручная проверка сырого body в searchScreener остаётся намеренно и не является дублированием: CQ-023 закрыт как «не подтверждён».

Решение владельца (2026-11-02): глобальный `forbidNonWhitelisted` не включаем. Остальные endpoint'ы продолжают молча отбрасывать лишние поля, 400 на них не вводится. Ручная проверка сырого body в `searchScreener` остаётся намеренно и не является дублированием: CQ-023 закрыт как «не подтверждён».
Sign in to join this conversation.
No Branch/Tag Specified
Branches Tags
Labels
Clear labels
Kind/Dependencies
Dependency update or dependency-management work
 Kind/Investigation
Research or decision required before implementation
 Kind/Process
Developer workflow, CI/CD, tooling, or process improvement
 Kind/Refactor
Internal code or configuration restructuring without new product behavior
 audit/2026-10-11
Technical Audit Remediation — 2026-10-11
 kind/investigation
Нужна проверка evidence до решения; runtime-дефект не утверждается
Compat/Breaking
Breaking change that won't be backward compatible
 Kind/Bug
Something is not working
 Kind/Documentation
Documentation changes
 Kind/Enhancement
Improve existing functionality
 Kind/Feature
New functionality
 Kind/Security
This is security issue
 Kind/Testing
Issue or pull request related to testing
Priority
Critical
1
The priority is critical
Priority
High
2
The priority is high
Priority
Medium
3
The priority is medium
Priority
Low
4
The priority is low
Reviewed
Confirmed
1
Issue has been confirmed
Reviewed
Duplicate
2
This issue or pull request already exists
Reviewed
Invalid
3
Invalid issue
Reviewed
Won't Fix
3
This issue won't be fixed
Status
Blocked
1
Something is blocking this issue or pull request
Status
Need More Info
2
Feedback is required to reproduce issue or to continue work
Status
Abandoned
3
Somebody has started to work on this but abandoned work
No labels Kind/Refactor
Milestone
No items
No Milestone
Projects
Clear projects
No projects
Assignees
Clear assignees
codex-bot hermes-agent ksv741 publisher-bot renovate-bot
No Assignees
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: WealthLedger/backend#151