f902ccbecb
Servico que roda dentro da rede da Comercial Scardua e faz a ponte entre a API publica da FLS (na VPS) e o Oracle privado (10.16.x), inalcancavel pela internet. Fluxo: Holmes -> API na VPS (trata e cifra) -> ESTE conector (abre e valida) -> Oracle. Recebimento: - app/v1/compras.py: POST /v1/compras/dados - app/services/cripto.py: abre o envelope AES-256-GCM + RSA-OAEP-SHA256 com a chave privada. O GCM autentica: corpo adulterado levanta InvalidTag em vez de devolver lixo - app/schemas.py: modulo folha (so pydantic) com a config e o contrato PayloadCompras, que espelha o da API. Fora de sincronia devolve 422 de proposito, pra falhar explicito em vez de gravar dado torto Seguranca: - app/seguranca.py: header X-Token com compare_digest (nao vaza por tempo de resposta) + allowlist de IP da VPS - .gitignore barra configs.json.*, *.bak-*, *.pem e *.key Config: - app/config.py e so o carregamento do configs.json - o bloco "vps" guarda chave privada, token e ips permitidos Estado: ainda NAO persiste. Recebe, valida e descarta (persistido: false). O INSERT no Oracle e a proxima fase, e tem que ser MERGE por id_processo porque o Holmes reentrega webhook. Docs em docs/ — arquitetura, a decisao do conector (opcao A, com as alternativas descartadas), deploy e problemas conhecidos. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
45 lines
1.1 KiB
Python
45 lines
1.1 KiB
Python
import re
|
|
|
|
from fastapi import Request, status
|
|
from fastapi.responses import Response
|
|
|
|
BLOCKED_PATHS = {
|
|
"/",
|
|
"/metrics",
|
|
"/security.txt",
|
|
"/.env",
|
|
"/wp-admin",
|
|
"/wp-login.php",
|
|
"/admin",
|
|
"/config",
|
|
"/actuator",
|
|
"/nice%20ports%2C/Trinity.txt.bak",
|
|
}
|
|
|
|
BLOCKED_UA_PATTERNS = re.compile(
|
|
r"(nmap|nikto|masscan|zgrab|censys|shodan|nuclei|httpx|gobuster|dirbuster)",
|
|
re.IGNORECASE,
|
|
)
|
|
|
|
|
|
async def block_scanners(request: Request, call_next):
|
|
path = request.url.path
|
|
ua = request.headers.get("user-agent", "")
|
|
|
|
if (
|
|
path.startswith("/v1/")
|
|
or path.startswith("/v2/")
|
|
or path in ("/health", "/dados_retorno", "/token")
|
|
):
|
|
return await call_next(request)
|
|
|
|
if path in BLOCKED_PATHS or path.endswith((".bak", ".env", ".git", ".php")):
|
|
return Response(status_code=status.HTTP_403_FORBIDDEN)
|
|
|
|
if BLOCKED_UA_PATTERNS.search(ua):
|
|
return Response(status_code=status.HTTP_403_FORBIDDEN)
|
|
|
|
if not ua:
|
|
return Response(status_code=status.HTTP_403_FORBIDDEN)
|
|
|
|
return await call_next(request)
|