OutlookID

Что я сделал

• Спроектировал и построил всю систему с нуля — OAuth-потоки, шифрование токенов, жизненный цикл подписок Microsoft Graph, конвейер доставки вебхуков, схема базы данных и развёртывание Docker.

• Написал интеграционные тесты против реальных временных экземпляров Postgres с помощью Testcontainers и модульные тесты для всей криптографической и токенной логики.

• Написал README, спецификацию OpenAPI и руководство по развёртыванию — чтобы другая команда могла взять это и запустить без необходимости читать исходный код.

Под капотом

• 1

  OAuth-токены шифруются в покое с помощью AES-256-GCM, используя случайный вектор инициализации для каждого токена — так что даже если кто-то вытащит базу данных, он получит шифртекст, а не рабочие учётные данные.

• 2

  Параллельное обновление токена объединяется: если два запроса попадают в один почтовый ящик при истёкшем токене, они используют один цикл обновления вместо того, чтобы гоняться и аннулировать друг друга. Это предотвращает трудно отлаживаемую ошибку двойного обновления, которая появляется в мультитенантных системах.

• 3

  Исходящие вебхуки подписываются заголовком HMAC в стиле Stripe — нижестоящее приложение может проверить, что каждая доставка подлинная и не была подделана, а экспоненциальная задержка с управлением dead-letter означает, что ни одно событие не теряется навсегда.

• 4

  Библиотека MSAL от Microsoft не раскрывает refresh-токены в стандартном результате — поэтому мне пришлось десериализовать её внутренний кеш токенов для извлечения секрета по идентификатору аккаунта. Необходимый обходной путь, хорошо протестированный и задокументированный.

Технологии