f902ccbecb
Servico que roda dentro da rede da Comercial Scardua e faz a ponte entre a API publica da FLS (na VPS) e o Oracle privado (10.16.x), inalcancavel pela internet. Fluxo: Holmes -> API na VPS (trata e cifra) -> ESTE conector (abre e valida) -> Oracle. Recebimento: - app/v1/compras.py: POST /v1/compras/dados - app/services/cripto.py: abre o envelope AES-256-GCM + RSA-OAEP-SHA256 com a chave privada. O GCM autentica: corpo adulterado levanta InvalidTag em vez de devolver lixo - app/schemas.py: modulo folha (so pydantic) com a config e o contrato PayloadCompras, que espelha o da API. Fora de sincronia devolve 422 de proposito, pra falhar explicito em vez de gravar dado torto Seguranca: - app/seguranca.py: header X-Token com compare_digest (nao vaza por tempo de resposta) + allowlist de IP da VPS - .gitignore barra configs.json.*, *.bak-*, *.pem e *.key Config: - app/config.py e so o carregamento do configs.json - o bloco "vps" guarda chave privada, token e ips permitidos Estado: ainda NAO persiste. Recebe, valida e descarta (persistido: false). O INSERT no Oracle e a proxima fase, e tem que ser MERGE por id_processo porque o Holmes reentrega webhook. Docs em docs/ — arquitetura, a decisao do conector (opcao A, com as alternativas descartadas), deploy e problemas conhecidos. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
29 lines
994 B
Text
29 lines
994 B
Text
# Quadlet do Podman -> o systemd (usuario) converte isto em api-scardua.service
|
|
# Instalar em: ~/.config/containers/systemd/api-scardua.container
|
|
# Aplicar com: systemctl --user daemon-reload && systemctl --user start api-scardua
|
|
|
|
[Unit]
|
|
Description=API Scardua
|
|
|
|
[Container]
|
|
# AJUSTE <owner> para o teu usuario/org no Forgejo
|
|
Image=git.flstecnologia.tech/<owner>/api-scardua:latest
|
|
AutoUpdate=registry
|
|
ContainerName=api-scardua
|
|
|
|
# Somente a rede do proxy (Caddy alcanca por "api-scardua:8000").
|
|
# NAO entra na db-net: esta API usa Oracle EXTERNO, nao o Postgres da VPS.
|
|
Network=fls.network
|
|
|
|
# configs.json montado read-only. :Z reetiqueta o arquivo pro rootless/SELinux.
|
|
# Coloque o arquivo real em ~/.config/api-scardua/configs.json no servidor.
|
|
Volume=%h/.config/api-scardua/configs.json:/app/configs.json:ro,Z
|
|
|
|
# Healthcheck vem embutido na imagem (HEALTHCHECK no Dockerfile) -> o
|
|
# podman auto-update usa pra decidir rollback.
|
|
|
|
[Service]
|
|
Restart=always
|
|
|
|
[Install]
|
|
WantedBy=default.target
|