Enhance JWT signing key validation and improve FfmpegBumperRenderer label handling: add checks for signing key length and placeholder values in DependencyInjection, and refactor label processing to read from files in FfmpegBumperRenderer. Update MediaProcessingBackgroundService to ensure slot release on claim failure.

2026-07-25 21:07:38 +03:00
parent 5bc6e144d2
commit 53e0eeb776
4 changed files with 158 additions and 10 deletions
@@ -66,6 +66,19 @@ public static class DependencyInjection
            configuration.GetSection(JwtOptions.SectionName).Get<JwtOptions>()
            ?? throw new InvalidOperationException("Секция конфигурации 'Jwt' не задана.");

+        // Fail-fast на подписывающем ключе: этот же ключ подписывает и JWT, и stream-токены
+        // (StreamTokenService), поэтому placeholder/короткий ключ из appsettings.json = полный обход
+        // авторизации (можно сфорджить admin-JWT). Лучше не стартовать вовсе, чем стартовать уязвимым.
+        // HMAC-SHA256 требует ключ не короче размера хеша (32 байта), иначе он ослаблен нулевым паддингом.
+        if (Encoding.UTF8.GetByteCount(jwtOptions.SigningKey) < 32)
+            throw new InvalidOperationException(
+                "Jwt:SigningKey должен быть не короче 32 байт. Задайте криптостойкий секрет через конфигурацию/переменную окружения Jwt__SigningKey."
+            );
+        if (jwtOptions.SigningKey.Contains("change-me", StringComparison.OrdinalIgnoreCase))
+            throw new InvalidOperationException(
+                "Jwt:SigningKey использует значение-заглушку из appsettings.json. Переопределите его криптостойким секретом (Jwt__SigningKey)."
+            );
+
        services
            .AddAuthentication(JwtBearerDefaults.AuthenticationScheme)
            .AddJwtBearer(options =>