React Server Functions (Actions): RPC протокол, шифрование ID и безопасность

import { createServerReference } from 'react-server-dom-webpack/client';

// Клиентская заглушка: содержит только Action ID и сетевой транспорт
export const transferMoney = createServerReference(
  'action-id-9f8a3c2e1b', // Захэшированный идентификатор функции
  callServer              // Транспортная функция отправки HTTP POST
);

export const actionsManifest = {
  'action-id-9f8a3c2e1b': {
    module: './src/actions/banking.ts',
    name: 'transferMoney',
    // Привязанный хэш сборки для защиты от атак повторного воспроизведения (Replay Attacks)
    buildHash: 'v1.42.0-prod',
  },
};

import { Request } from 'express';

export function validateActionSecurity(req: Request): boolean {
  // 1. Метод обязан быть строго POST
  if (req.method !== 'POST') {
    return false;
  }

  // 2. Проверка заголовка Sec-Fetch-Site (современные браузеры)
  const fetchSite = req.headers['sec-fetch-site'];
  if (fetchSite && fetchSite !== 'same-origin' && fetchSite !== 'same-site') {
    console.error(`[CSRF Block] Недопустимый Sec-Fetch-Site: ${fetchSite}`);
    return false;
  }

  // 3. Проверка совпадения Origin и Host
  const origin = req.headers['origin'];
  const host = req.headers['host'];

  if (origin && host) {
    const originHost = new URL(origin).host;
    if (originHost !== host) {
      console.error(`[CSRF Block] Origin (${originHost}) не совпадает с Host (${host})`);
      return false;
    }
  }

  return true;
}

'use server';

import 'server-only'; // Запрет утечки на клиент
import { z } from 'zod';
import { db } from '@/lib/db';
import { getAuthenticatedUser } from '@/lib/auth';

// Схема входных данных, валидируемая на бэкенде
const TransferPayloadSchema = z.object({
  recipientIban: z.string().regex(/^DE\d{20}$/, 'Некорректный немецкий IBAN'),
  amountCents: z.number().int().positive('Сумма должна быть положительной'),
  referenceNote: z.string().max(140).optional(),
});

export interface TransferResult {
  success: boolean;
  transactionId?: string;
  error?: string;
}

export async function transferFunds(
  targetAccountId: string, // Привязан через .bind()
  prevState: TransferResult,
  formData: FormData
): Promise<TransferResult> {
  // 1. АУТЕНТИФИКАЦИЯ: Проверка сессии из Cookie/Headers
  const currentUser = await getAuthenticatedUser();
  if (!currentUser) {
    return { success: false, error: 'Требуется повторная авторизация' };
  }

  // 2. АВТОРИЗАЦИЯ (Защита от IDOR): Принадлежит ли targetAccountId текущему пользователю?
  const sourceAccount = await db.accounts.findFirst({
    where: { id: targetAccountId, ownerId: currentUser.id },
  });

  if (!sourceAccount) {
    // Пользователь пытается совершить действие со счетом, который ему не принадлежит!
    console.warn(`[Security Alert] Пользователь ${currentUser.id} попытался списать средства со счета ${targetAccountId}`);
    return { success: false, error: 'Счет списания не найден или доступ запрещен' };
  }

  // 3. ВАЛИДАЦИЯ ДАННЫХ
  const rawData = {
    recipientIban: formData.get('recipientIban'),
    amountCents: Number(formData.get('amountCents')),
    referenceNote: formData.get('referenceNote') || undefined,
  };

  const parsed = TransferPayloadSchema.safeParse(rawData);
  if (!parsed.success) {
    const issue = parsed.error.issues[0]?.message || 'Ошибка валидации полей';
    return { success: false, error: issue };
  }

  // 4. БИЗНЕС-ЛОГИКА: Проверка баланса
  if (sourceAccount.balanceCents < parsed.data.amountCents) {
    return { success: false, error: 'Недостаточно средств на счете' };
  }

  // 5. ИСПОЛНЕНИЕ ТРАНЗАКЦИИ
  try {
    const tx = await db.$transaction(async (prisma) => {
      await prisma.accounts.update({
        where: { id: sourceAccount.id },
        data: { balanceCents: { decrement: parsed.data.amountCents } },
      });

      return prisma.transactions.create({
        data: {
          sourceAccountId: sourceAccount.id,
          recipientIban: parsed.data.recipientIban,
          amountCents: parsed.data.amountCents,
          note: parsed.data.referenceNote,
        },
      });
    });

    return { success: true, transactionId: tx.id };
  } catch (err: unknown) {
    // 6. БЕЗОПАСНАЯ ОБРАБОТКА ОШИБОК: Скрываем системные детали БД
    console.error('[Transaction Error]:', err);
    return { success: false, error: 'Сбой процессинга платежа. Попробуйте позже.' };
  }
}