[{"data":1,"prerenderedAt":98},["ShallowReactive",2],{"api:\u002Fapi\u002Fconfig:ru":3,"api:\u002Fapi\u002Fnotes:ru":8,"api:\u002Fapi\u002Fprojects\u002Fauth-service:ru":32},{"email":4,"lang":5,"name":6,"role":7},"hello@ewsirdev.example","ru","Ewsirdev","Веб-разработчик: сайты, лендинги и сервисы на Go",[9,16,22,27],{"slug":10,"lang":5,"title":11,"date":12,"summary":13,"project":14,"minutes":15},"double-booking","Двойная бронь: транзакция плюс частичный UNIQUE-индекс","2026-10-20","Как booking-slots защищается от двух клиентов, которые одновременно записываются на одно время, и чем проверяется эта защита.","booking-slots",1,{"slug":17,"lang":5,"title":18,"date":12,"summary":19,"project":20,"minutes":21},"lease-and-fencing","Lease и fencing: как очередь не теряет задачу и не даёт ей выполниться дважды «зомби»","Воркер может упасть, зависнуть или проснуться, когда его задачу уже забрали. Разбираю, как lease и токен аренды в job-queue решают это в SQLite.","job-queue",2,{"slug":23,"lang":5,"title":24,"date":12,"summary":25,"project":26,"minutes":15},"p95-nearest-rank","p95 в мониторе доступности: метод ближайшего ранга и чего он не скрывает","Как uptime-monitor считает p50\u002Fp95 задержки и аптайм, почему выбран метод ближайшего ранга и где эти цифры обманчивы.","uptime-monitor",{"slug":28,"lang":5,"title":29,"date":12,"summary":30,"project":31,"minutes":21},"websocket-from-scratch","WebSocket на стандартной библиотеке: что на самом деле происходит под new WebSocket()","Зачем в realtime-rooms написан собственный слой RFC 6455, какие нарушения протокола он проверяет и почему для продакшена всё равно лучше взять библиотеку.","realtime-rooms",{"slug":33,"title":34,"type":35,"stack":36,"description":52,"highlights":53,"run":58,"hue":59,"og":60,"shots":61,"case":69,"case_lang":5,"prev":92,"next":95},"auth-service","Ключница: сервис аутентификации","backend",[37,38,39,40,41,42,43,44,45,46,47,48,49,50,51],"Go","stdlib crypto","SQLite","modernc.org\u002Fsqlite (без CGO)","JWT EdDSA\u002FEd25519","JWKS","PBKDF2","TOTP","RBAC","REST","OpenAPI 3","Vanilla JS","embed","Docker","GitHub Actions","Сервис аутентификации и авторизации на Go: EdDSA-JWT с ротацией ключей и JWKS, refresh-токены с ротацией и обнаружением кражи, TOTP-2FA (RFC 6238) с резервными кодами, RBAC, блокировка при переборе, сброс пароля по одноразовому токену, журнал аудита, список устройств, openapi.yaml. Не прошёл независимый аудит, не production-IdP.",[54,55,56,57],"JWT EdDSA и ротация ключей с JWKS","Refresh-токены с ротацией и reuse-detection","TOTP по RFC 6238 с проверкой на векторах RFC","Журнал аудита только на дозапись (триггеры БД)","cd auth-service && set SEED_DEMO=1&& go run .\u002Fcmd\u002Fserver",20,"\u002Fog\u002Fauth-service.jpg",{"desktop":62,"desktop_sm":63,"mobile":64,"dw":65,"dh":66,"mw":67,"mh":68},"\u002Fshots\u002Fauth-service-desktop.webp","\u002Fshots\u002Fauth-service-desktop-sm.webp","\u002Fshots\u002Fauth-service-mobile.webp",1280,800,390,844,{"about":70,"features":73,"run":83,"notes":87},[71,72],"«Ключница» — сервис аутентификации и авторизации на Go: регистрация и вход, короткоживущие JWT с ротацией ключей и JWKS, refresh-токены с ротацией и обнаружением кражи, TOTP-2FA с резервными кодами, RBAC, защита от перебора, сброс пароля, журнал аудита и управление устройствами.","Стандартная библиотека плюс modernc.org\u002Fsqlite (без CGO), интерфейс на ванильном JS встроен через embed, API описан в openapi.yaml. Это учебный проект: он не проходил независимого аудита безопасности и не является production-IdP, ограничения перечислены ниже.",[74,75,76,77,78,79,80,81,82],"Access-токен JWT с alg=EdDSA (Ed25519): подпись и разбор написаны на stdlib, none и HS256 отклоняются до проверки подписи, проверяются exp, nbf, iss, aud и typ","Ротация ключей через API и публичный JWKS (RFC 7517\u002F8037): чужой сервис проверяет токены сам, старый ключ живёт ещё access_ttl + 1 минуту","Refresh-токены хранятся хешем SHA-256; повторное предъявление использованного токена отзывает всю семью токенов и пишет token.reuse_detected в аудит","TOTP по RFC 6238 на stdlib, проверен тестовыми векторами RFC, окно ±1 шаг, защита от повтора кода, 8 одноразовых резервных кодов","Пароли: PBKDF2-HMAC-SHA256, 600 000 итераций, сравнение за постоянное время, фиктивный хеш для неизвестного логина, чтобы не раскрывать, есть ли такой пользователь","Блокировка при переборе с экспоненциальной задержкой (429 и Retry-After), плюс лимит запросов на IP","RBAC: права берутся из БД на каждом запросе, нельзя оставить систему без администратора и отключить самого себя","Сброс пароля одноразовым токеном, после сброса все сессии завершаются; журнал аудита только на дозапись (триггеры БД запрещают UPDATE и DELETE)","Список устройств с отзывом сессий, CSP без unsafe-inline, HttpOnly + SameSite=Strict cookie, CSRF-токен, проверка Origin",[84,85,86],"git clone \u003Cрепозиторий по запросу> auth-service","cd auth-service","SEED_DEMO=1 go run .\u002Fcmd\u002Fserver   # http:\u002F\u002Flocalhost:8101, публичные демо-учётки показаны на странице входа",[88,89,90,91],"Не прошёл независимый аудит и не production-IdP. Нет OAuth 2.0 и OIDC, WebAuthn, подтверждения почты, входа через соцсети. Пароли хешируются PBKDF2, а не argon2id, потому что argon2 нет в stdlib.","Секреты TOTP и приватные ключи подписи лежат в БД открытым текстом: с дампом БД можно подделать токены. Письмо для сброса пароля это заглушка (лог и файл), QR-кода для 2FA нет.","Мгновенный отзыв работает только внутри самого сервиса: сторонний потребитель JWT узнает об отзыве не раньше exp (10 минут). Лимитер хранится в памяти одного процесса, масштабирования нет.","Демо-пароли публичные, они показаны в интерфейсе и помечены плашкой, пользоваться ими вне демонстрации нельзя. Тесты с -race проходят только в CI, Docker-образ не собирался.",{"slug":93,"title":94},"raft-kv","Плот: KV на Raft",{"slug":96,"title":97},"finance-tracker","Книга учёта: личные финансы",1792697892699]