feat(auth): сервис аккаунтов и аутентификации Фазы 1

- регистрация: политика пароля (≥10 + локальный словарь 10k утечек, SecLists MIT),
  username и email без учёта регистра, шифрование email с привязкой к аккаунту,
  blind index для поиска, автовступление в главный сервер с ролью @user
- вход: Argon2id+pepper, TOTP при включённом 2FA, блокировка после серии неудач,
  события безопасности; единый ответ на неверный пароль и неизвестный аккаунт
- сессии: opaque-токены (в БД только SHA-256), ротация токена, logout/logout-all,
  отзыв остальных сессий при смене пароля, step-up с окном 10 минут
- 2FA: настройка секрета с QR-URL, подтверждение кодом, 8 резервных кодов
  (хранятся хэшами), обязательность для инстанс-админов, запрет отключения
- тесты на реальной SQLite: регистрация/вход/дубликаты, слабые и утёкшие пароли,
  ротация и logout-all, TOTP и резервные коды, step-up, смена пароля,
  выключенная регистрация, отсутствие секретов в логах

This commit is contained in:

grendervill

2026-09-19 21:29:07 +03:00

parent a5205cc054

commit 16218ee045

10 changed files with 11294 additions and 24 deletions

									
										go.mod
									
		+2
		
												View File
												
				@@ -4,11 +4,13 @@ go 1.26.0

				require (

					github.com/mattn/go-sqlite3 v1.14.52

					github.com/pquerna/otp v1.5.0

					github.com/pressly/goose/v3 v3.28.0

					golang.org/x/crypto v0.55.0

				)

				require (

					github.com/boombuler/barcode v1.0.1-0.20190219062509-6c824513bacc // indirect

					github.com/mfridman/interpolate v0.0.2 // indirect

					github.com/sethvargo/go-retry v0.4.0 // indirect

					go.uber.org/multierr v1.11.0 // indirect