Справочное руководство включает в себя сведения о возможных допустимых параметрах конфигурации PC и сопуствующих компонентов.

Параметры кофигурации сервера PC

Установка параметров

Настройки PC Server устанавливаются путём добавления/изменения записей в БД модуля, в таблице pc_sys_property. Запись состоит из setting_name и setting_value. Параметры и значения для каждого сервреа перечислены для каждого сервера в соответствующих разделах ниже.

Примеры запросов для установки параметров

PostgreSQL

Добавление значения с помощью SQL-запроса (После выполнения запроса требуется перезапуск службы):

insert into pc_sys_property values (nextval('pc_setting_seq'), 'DEBUG_INFO', '1');

Oracle

insert into pc_sys_property values (PC_SETTING_SEQ.NEXTVAL, 'DEBUG_INFO', '1');

MS SQL

insert into pc_sys_property values (NEXT VALUE FOR PC_SETTING_SEQ, 'DEBUG_INFO', '1');

Пример запроса для изменения параметров

Изменение установленного ранее значения с помощью SQL-запроса (независимо от используемой СУБД):

update pc_sys_property set setting_value = '1' where setting_name='DEBUG_INFO';

Параметры конфигурации PC Server

Параметры конфигурации PC Pusher

Описание возможностей и способа конфигурирования модуля приведено по ссылке.

Включение и конфигурирование HTTPS

Добавление сертификата

Для добавления/обновления сертификата необходимо выполнить следующие действия:

1. Составить цепочку сертификатов. Из файлов сертификатов в формате PEM (Base64) составить цепочку путём соединения в новом файле с расширением crt, например fullchain.crt. Для этого в новый файл с помощью текстового редактора нужно добавить сертификат корневого УЦ, промежуточных, и собственно сертификат сервера.

2. Создать контейнер формата pkcs12:

   openssl pkcs12 -export -in fullchain.crt -inkey private_key.key -out keycontainer.p12
   

   при экспорте следует задать пароль <password> для приватного ключа.

3. Создать JKS-контейнер из PKCS12:

   keytool -importkeystore -srckeystore keycontainer.p12 \
       -srcstoretype PKCS12 \
       -destkeystore <container-name>.jks \
       -deststoretype JKS
   

   при импорте указать <password>, при экспорте указать пароль к контейнеру.

4. Скопировать <container-name>.jks например в /opt/wildfly/standalone/configuration/ (для Linux), либо в C:\wildfly\standalone\configuration\ (для Windows).

5. Имя файла-контейнера (относительный путь от директории configuration) и пароли указать в файле /opt/wildfly/standalone/configuration/standalone.xml (для Linux), либо в C:\wildfly\standalone\configuration\standalone.xml (для Windows), в объекте keystore (если АЛИАС не был задан, по умолчанию устанавливается значение "1"):

           <security-realm name="ApplicationRealm">
               <server-identities>
                   <ssl>
                       <keystore path="ИМЯ ФАЙЛА-КОНТЕЙНЕРА.jks" relative-to="jboss.server.config.dir" keystore-password="ПАРОЛЬ К КОНТЕЙНЕРУ" alias="АЛИАС" key-password="ПАРОЛЬ К ПРИВАТНОМУ КЛЮЧУ" generate-self-signed-certificate-host="localhost"/>
                   </ssl>
               </server-identities>
   

6. Перезапустить сервис WildFly.

7. Проверить подключение:

   openssl s_client -connect <server-name>:8443
   

   Verify Result должен быть 0.

Отключение HTTP порта (8080)

Для того, чтобы на сервере PC External отключить доступ к REST-интерфейсу по порту 8080 необходимо в файле /opt/wildfly/standalone/configuration/standalone.xml (для Linux), либо в C:\wildfly\standalone\configuration\standalone.xml (для Windows) (перед этим лучше сделать его резервную копию) в блоке <server name="default-server"> удалить строку

<http-listener name="default" socket-binding="http" redirect-socket="https" enable-http2="true"/>

В блоке <socket-binding-group name="standard-sockets" default-interface="public" port-offset="${jboss.socket.binding.port-offset:0}"> удалить строку:

<socket-binding name="http" port="${jboss.http.port:8080}"/>

В строке <http-connector name="http-remoting-connector" connector-ref="default" security-realm="ApplicationRealm"/> поменять значение параметра connector-ref с default на https:

<http-connector name="http-remoting-connector" connector-ref="https" security-realm="ApplicationRealm"/>

Добавление сертификатов корпоративных УЦ

Для валидации подключения к хостам, на которых используется сертификат, выпущенный на корпоративном УЦ, необходимо добавить все сертификаты из цепочки для валидации конечного хоста в хранилище доверенных в Java. Для этого необходимо использовать утилиту Java keytool.

sudo keytool -import -alias testCert -keystore $JAVA_HOME/jre/lib/security/cacerts -file example.cer

где alias — alias for the certificate so have a meaningful name file — exported .cer certificate from the browser Пароль по умолчанию – changeit.

Как минимум в CN сертификата должен быть адрес, по которому происходит обращение к серверу (DNS или IP). Если этого будет недостаточно, тогда добавить в SAN сертификата.

Параметры ключа

При создании запроса на генерацию ключевой информации пользователя, могут быть установлены параметры, перечисленные ниже.

Отпечаток устройства

withFingerPrint – указывает, осуществлять ли привязку устройства к Пользователю PC. В случае наличия в запросе на создание пользователя параметра «флаг привязки пользователя к устройству» со значением «true» при проверке кода подтверждения будет использован отпечаток устройства пользователя. Отпечаток устройства вносится в информацию о пользователе путем вызова метода «Сохранение отпечатка устройства».

Флаг не может быть использован одновременно с флагом указывающим, на тип пользователя "Серверная подпись".

Сбор событий

collectEvent – флаг, указывающий необходимость передачи мобильным приложением информации о событиях и сохранения её сервером в базе данных PC.

Информация об устройстве

collectDeviceInfo – флаг, указывающий необходимость сбора информации об устройстве в составе информации о событии. Учитывается только в случае, если установлен флаг collectEvent.

Информация о сим-карте

collectDeviceSIMInfo – флаг, указывающий необходимость сбора информации о телефоне (SIM-карте). При включении – мобильное устройство передаёт информацию, относящуюся к телефону и SIM-карте в составе информации об устройстве. Учитывается только если установлен флаг collectDeviceInfo. На Android-устройстве необходимо дополнительное разрешение приложению на доступ к информации о телефоне.

Информация о местоположении устройства

collectDeviceLocation – флаг, указывающий необходимость сбора информации о местоположении устройства. При включении – мобильное устройство передаёт координаты местоположения устройства в составе информации об устройстве. Учитывается только если установлен флаг collectDeviceInfo. На мобильном устройстве необходимо дополнительное разрешение на доступ к геолокации.

Запрет перерегистрации открытого ключа

denyRenewPublicKey – флаг, запрещающий перерегистарцию открытого ключа сервере, если открытый ключ уже был зарегистрирован ранее.

Параметры сохранения ключевой информации на устройстве

Запрет использования механизмов безопасности ОС

denyStoreWithOSProtection – флаг, запрещающий сохранение ключа с использованием механизмов безопасности операционной системы мобильного устройства (TouchID/FaceID, Google Key Store).

Требования к паролю

passPolicy указывает вариант требований к сложности пароля при сохранении ключевой информации на мобильном устройстве. Доступны следующие варианты:

• «0» – минимум 6 символов, пароль не обязателен;
• «1» – минимум 6 символов, пароль обязателен;
• «2» – минимум 8 символов (обязательно использование A-Z и a-z) пароль обязателен;
• «3» – минимум 8 символов (обязательно использование A-Z, a-z и 0-9) пароль обязателен.

Скоринг и автоподпись

Скоринг

scoring_enabled — разрешение "скоринга" устройства и поведенческого анализа с помощью дополнительного антифрод-модуля Secure Bank от Group IB. Лицензируется отдельно.

Автоподписание

autosign_enabled — разрешение автоподписи транзакций на основе результата скоринга устройства и поведенческого анализа. Для автоподписи используется дополнительная асимметричная ключевая пара.

Отложенный ввод в действие ключевой информации

delayed – флаг отложенного ввода в действие ключа. При его установке ключ, используемый для подтверждения транзакций и проверки кодов аутентификации, не заменяется. Сгенерированный новый ключ помечается как отложенный. Его ввод в действие выполняется одним из следующих способов:

• путем вызова метода Ввод отложенного ключа в действие;
• путем вызова одного из методов: Сохранение отпечатка устройства, Регистрация открытого ключа, Регистрация устройства для отправки PUSH-уведомлений с кодом аутентификации, сформированным на отложенном ключе. Выполнять обновление ключевой информации с флагом отложенного ввода можно неограниченное количество раз. При этом сформированная ранее отложенная ключевая информация будет заменена новой отложенной ключевой информацией. При выполнении обновления без данного флага вся отложенная ключевая информация далее считается недействительной и не может быть введена в действие.

Если значение опционального флага не указано, принимается значение равное «false».

Удалённый перевыпуск ключа

Если флаг установлен, то для ключа разрешена процедура перевыпуска ключевой инофрмации по инициативе мобильного приложения. Обязательным предусловием является действительность ключа на момент перевыпуска. Подробнее о процессе по ссылке.

Серверная подпись

Флаг, указывающий на то, что пользователь подлежит регистрации в модуле серверной подписи, а не в мобильном устройстве. При этом компонент серверной подписи (PCSS) должен быть развернут и настроен. Описание вызовов API для взаимодействия с компонентом доступно в описании API PC.

Флаг не может быть использован одновременно с флагом включения проверки отпечатка устройства.

Использование NFC-токенов

nfc_policy - флаг, определяющий политику использования NFC-токенов на мобильном устройстве для хранения ключа ЭП и генерации ЭП с использованием хранящегося на карте ключа ЭП. Доступны следующие варианты:

• «0» – использование NFC-карты, хранащей закрытый ключ, на мобильном устройстве запрещено. Для всех криптографических операций используется ключевая пара генерируемая на самом мобильном устройстве;
• «1» – использование NFC-карты, хранащей закрытый ключ, на мобильном устройстве опционально. В криптографических операциях может быть использована как ключевая пара, генерируемая на мобильном устройстве, так и ключевой контейнер, хранящийся на NFC-карте;
• «2» – использование NFC-карты, хранащей закрытый ключ, на мобильном устройстве обязательно. Для всех криптографических операций используется ключевая пара, хранящаяся в контейнере на NFC-карте;

Если опциональное значение nfc_policy не установлено, принимается значение равное «0».

Кодирование значений флагов в составе ключевой информации

В составе QR-кода, значения передаются в 7-ой строке данных (для версии сервера 3.x) или в параметре "key_flags" (для версии сервера 5 и выше), целым числом. Значения флагов вычисляются с помощью битовой маски.

KEYFLAG_WITH_FINGERPINT = (1 << 0);
KEYFLAG_COLLECT_EVENTS = (1 << 1);
KEYFLAG_COLLECT_DEVICEINFO = (1 << 2);
KEYFLAG_COLLECT_SIMINFO = (1 << 3);
KEYFLAG_COLLECT_LOCATION = (1 << 4);
KEYFLAG_PASS_POLICY_POS = (1 << 5); // password policy encoded by 2 bits (4 values)
KEYFLAG_PASS_POLICY_POS = (1 << 6); // password policy encoded by 2 bits (4 values)
KEYFLAG_DENY_STORE_WITH_OS_PROTECTION = (1 << 7);
KEYFLAG_DENY_RENEW_PUBKEY = (1 << 8);
KEYFLAG_SCORING_ENABLED = (1 << 9);
KEYFLAG_AUTOSIGN_ENABLED = (1 << 10);
KEYFLAG_REMOTE_UPDATE_ENABLED = (1 << 11);
KEYFLAG_SERVERSIGNER = (1 << 12);
KEYFLAG_NFC_ENABLED_POS = (1 << 13); // NFC policy encoded by 2 bits (3 values is used)
KEYFLAG_NFC_ENABLED_POS = (1 << 14); // NFC policy encoded by 2 bits (3 values is used)

События

Свойства записи о событии

Типы запросов/событий

Информация о мобильном устройстве

Сбор информации об устройстве – это возможность, которую может использовать организация, выпустившая ключ.

Флаги, разрешающие сбор информации, устанавливаются для ключа при его выпуске (эта возможность должна быть реализована в прикладной системе).

Состав информации

Собираемую информацию об устройстве можно разбить на две группы:

• Информация, для сбора которой не требуется предоставление дополнительного разрешения приложению;
• Информация, для сбора которой приложению требуется запросить дополнительные разрешения.

Для iOS и Android производится попытка собрать всю доступную информацию. Поля для собираемой информации для обеих платформ одинаковы. В зависимости от того, какая платформа какую информацию отдаёт, они либо заполняются, либо остаются пустыми.

Информация не требующая дополнительных разрешений

При включении опции сбора информации собирается (при наличии технической возможности получения такой информации):

• базовая об устройстве:

  производитель, модель, версия ОС, часовой пояс, установленные значения языковых параметров устройства, а также сведения об аппаратных составляющих (марки процессора, дисплея и т.д.);

• состояние памяти устройства:

  установлена, либо нет карта памяти, её объём, объём ОЗУ и встроенной памяти устройства;

• информация о приложении (собственно об экземпляре, отправляющем эту информацию):

  Название, версия и идентификатор мобильного приложения (BundleID);

• информация о Wi-Fi подключении:

  название подключённой сети, IP и MAC адрес;

• информация о физических сенсорах устройства:

  вывод информации о доступных приложению данных физических сенсоров, таких как акселерометр, датчик освещённости и т.д.

Информация, требующая предоставление разрешения

При включении дополнительных двух опций можно включить сбор (при наличии технической возможности получения такой информации):

• геоданных устройства (Android и iOS):

  значение долготы и широты;

• информации о телефоне и SIM-карте (iOS разрешение не запрашивает):

  оператор сотовой связи, количество сим-карт, IMSI, IMEI

Пример

Для версий 5.0 - 5.2

{
    "device_event_id": "e71426df-be90-408a-bef5-111ffe60c831",
    "device_info": {
        "app": {
            "appName": "PayControl",
            "packageName": "org.paycontrol.app",
            "appVersionName": "5.0.135-Release",
            "appVersionCode": 135
        },
        "wifi": {
            "macAddress": "F6:32:A7:61:24:9D",
            "localIp": "192.168.19.173",
            "userAgent": "Mozilla\/5.0 (Linux; Android 10; SM-G970F Build\/QP1A.190711.020; wv) AppleWebKit\/537.36 (KHTML, like Gecko) Version\/4.0 Chrome\/84.0.4147.125 Mobile Safari\/537.36__Dalvik\/2.1.0 (Linux; U; Android 10; SM-G970F Build\/QP1A.190711.020)",
            "SSID": "SafeTech-2-5Ghz"
        },
        "memory": {
            "totalExternalMemorySize": "118032510976",
            "totalInternalMemorySize": "118053482496",
            "hasExternalSDCard": 1,
            "totalRAM": "5524932"
        },
        "sim": {
            "networkCountryIso": "ru",
            "phoneType": "GSM",
            "simCount": 2,
            "simCountryIso": "ru",
            "roaming": 0,
            "IMSI": "",
            "simOperatorName": "Beeline",
            "mmsUrl": "http:\/\/wap.samsungmobile.com\/uaprof\/SAMSUNGUAPROF.xml",
            "imei": "",
            "mmsAgent": "SAMSUNG-ANDROID-MMS\/SM-G970F",
            "simSerial": "",
            "networkOperatorName": "Beeline"
        },
        "sensor": {
            "minDelay": 2000,
            "vendor": "STM",
            "name": "LSM6DSO Acceleration Sensor",
            "maxRange": 78.453201293945,
            "type": 1,
            "version": 15932,
            "resolution": 0.0023942016996443
        },
        "location": {
            "latitude": "55,7888752",
            "accuracy": "96,00",
            "longitude": "37,5042244"
        },
        "device": {
            "screenWidth": 1080,
            "radioVersion": "G970FXXU8CTG4,G970FXXU8CTG4",
            "locale": "ru",
            "manufacturer": "samsung",
            "buildHost": "21HHAD24",
            "buildVersionCodeName": "REL",
            "osVersion": "10",
            "defaultBrowser": "com.android.chrome",
            "bootloader": "G970FXXU8CTG4",
            "root": 0,
            "fingerprint": "samsung\/beyond0lteser\/beyond0:10\/QP1A.190711.020\/G970FXXU8CTG4:user\/release-keys",
            "model": "SM-G970F",
            "hardware": "exynos9820",
            "product": "beyond0lteser",
            "simulator": 0,
            "buildBrand": "samsung",
            "buildTime": 1594894183000,
            "buildUser": "dpi",
            "screenHeight": 2119,
            "timeZone": "Europe\/Moscow",
            "cpu": "BogoMIPS=52.00;CPU implementer=0x53;CPU architecture=8;CPU variant=0x1;CPU revision=0;Features=fp asimd evtstrm aes pmull sha1 sha2 crc32 atomics fphp asimdhp cpuid asimdrdm dcpop;processor=7;CPU part=0x003",
            "defaultSms": "com.samsung.android.messaging",
            "deviceID": "a450af03e00db165",
            "certificates": [

            ],
            "serial": "unknown",
            "displayVersion": "QP1A.190711.020.G970FXXU8CTG4",
            "name": "SV-SGS10e",
            "sdkVersion": 29,
            "screenDensity": "xxhdpi",
            "device": "beyond0",
            "board": "exynos9820",
            "releaseBuildVersion": "10"
        }
    },
    "event_id": 8210,
    "request_type": "get_transactions",
    "user_id": "stage51-7dbe69b2-4bdf-4a4f-a004-58e90131dde2",
    "request_hash": "562e21ae186ab3684011f70d23956549bb3af1fcf37d59503b34364749b94814",
    "session_id": "e3ef6099-d700-45e0-9988-e77197107030",
    "request_hmac": "ae5e6da7628bd95a81543013902bd0bdee25bc6aa64eb0f8c7b857d996dda3a9",
    "request_result": 0,
    "requester_ip_address": "31.173.87.93,192.168.117.19"
}

Для версии 5.3

Опционально, записи о событиях могут дополняться идентификатором экземпляра, который задаётся через установку параметра pc_instance_name окружения Java, например -Dpc_instance_name=pcs-node-1

{
    "transaction_id": "fc320b42-d6c0-4528-b2ae-f29389dbe8a6",
    "request_type": "confirm_transaction",
    "pc_instance_name": "pcs-node-1",
    "session_id": "cf52588e-9e9b-4730-83bc-88733b314a7e",
    "created_at": 1625599693574,
    "request_url": "http:\/\/localhost:8080\/pc-api\/ext\/e55d3d79-327e-4c23-b152-967a57258d57\/users\/devapi4postpay-e6c89a0c-7ca5-4d71-a01c-5f1d4b200c16\/transactions\/fc320b42-d6c0-4528-b2ae-f29389dbe8a6\/confirm",
    "requester_ip_address": "192.168.9.105, 192.168.8.52,172.19.0.3",
    "request_result": 0,
    "pc_version": {
        "pc_version": "5.3.201-pgsql",
        "product": "PC Server",
        "pc_api_version": 4
    },
    "device_event_id": "b06c4b3d-ac42-4445-baf5-58bcb9bb767c",
    "device_info": {
        "app": {
            "appName": "PayControl",
            "packageName": "org.paycontrol.app",
            "appVersionName": "5.2.197-Release",
            "appVersionCode": 197
        },
        "wifi": {
            "macAddress": "",
            "localIp": "192.168.9.105",
            "userAgent": "Mozilla\/5.0 (Linux; Android 11; SM-G970F Build\/RP1A.200720.012; wv) AppleWebKit\/537.36 (KHTML, like Gecko) Version\/4.0 Chrome\/91.0.4472.120 Mobile Safari\/537.36__Dalvik\/2.1.0 (Linux; U; Android 11; SM-G970F Build\/RP1A.200720.012)",
            "SSID": ""
        },
        "memory": {
            "totalExternalMemorySize": "118032510976",
            "totalInternalMemorySize": "118053482496",
            "hasExternalSDCard": 1,
            "totalRAM": "5546068"
        },
        "sim": {
            "networkCountryIso": "ru",
            "phoneType": "GSM",
            "simCount": 2,
            "simCountryIso": "ru",
            "roaming": 0,
            "IMSI": "",
            "simOperatorName": "Beeline",
            "mmsUrl": "http:\/\/wap.samsungmobile.com\/uaprof\/SAMSUNGUAPROF.xml",
            "imei": "",
            "mmsAgent": "SAMSUNG-ANDROID-MMS\/SM-G970F",
            "simSerial": "",
            "networkOperatorName": "Beeline"
        },
        "sensor": {
            "minDelay": 2000,
            "vendor": "STM",
            "name": "LSM6DSO Acceleration Sensor",
            "maxRange": 78.45320129394531,
            "type": 1,
            "version": 15932,
            "resolution": 0.002394201699644327
        },
        "location": {
            "latitude": "55.11000001",
            "accuracy": "48.00",
            "longitude": "37.2244004"
        },
        "device": {
            "screenWidth": 1080,
            "radioVersion": "G970FXXSBFUE6,G970FXXSBFUE6",
            "locale": "en",
            "manufacturer": "samsung",
            "buildHost": "21DJ6552",
            "buildVersionCodeName": "REL",
            "osVersion": "11",
            "defaultBrowser": "",
            "bootloader": "G970FXXSBFUE6",
            "root": 0,
            "fingerprint": "samsung\/beyond0lteser\/beyond0:11\/RP1A.200720.012\/G970FXXSBFUE6:user\/release-keys",
            "model": "SM-G970F",
            "hardware": "exynos9820",
            "product": "beyond0lteser",
            "simulator": 0,
            "buildBrand": "samsung",
            "buildTime": 1621935403000,
            "buildUser": "dpi",
            "screenHeight": 2119,
            "timeZone": "Europe\/Moscow",
            "cpu": "BogoMIPS=52.00;CPU implementer=0x53;CPU architecture=8;CPU variant=0x1;CPU revision=0;Features=fp asimd evtstrm aes pmull sha1 sha2 crc32 atomics fphp asimdhp cpuid asimdrdm dcpop;processor=7;CPU part=0x003",
            "defaultSms": "com.samsung.android.messaging",
            "deviceID": "a450af01e11db222",
            "certificates": [],
            "serial": "",
            "displayVersion": "RP1A.200720.012.G970FXXSBFUE6",
            "name": "My-SGS10e",
            "sdkVersion": 30,
            "screenDensity": "xxhdpi",
            "device": "beyond0",
            "board": "exynos9820",
            "releaseBuildVersion": "11"
        }
    },
    "event_id": 72895,
    "system": "1f639fb8-8613-4461-8f14-61a73aced9c3",
    "connection_info": {
        "destination": {
            "port": "8080",
            "ip": "127.0.0.1",
            "mac": ""
        },
        "remote": {
            "port": "60598",
            "ip": "127.0.0.1",
            "mac": ""
        }
    },
    "user_id": "stageapi4postpay-c0b9784f-4d21-410c-901d-1e151dea745b",
    "request_hash": "8e5c46a112ab4bcfe4623462a08ab4ec7cf0434ba23c76efaccd3bf42fecea73",
    "device_time": 1625599692934,
    "request_hmac": "e1bf3050e2ca8b676073f4c13928bdac3fc29d759e82aeb905a0cda25d5c7026",
}

Коды ошибок сервисов

Темы оформления мобильного приложения

Структура архива темы

Файл темы оформления должен соответстововать идентификатору прикладной системы + расширение .zip.

Состав файла:

• theme.json ­— Описание темы
• image_light.png ­— Кастомная картинка для светлого режима приложения
• image_dark.png ­— Кастомная картинка для тёмного режима приложения

Структура файла theme.json

{
    "colors": {
        "accentColor": {
            "light": "#006BFF",
            "dark": "#2F98FF"
        },
        "textButton": {
            "light": "#006BFF",
            "dark": "#2F98FF"
        },
        "accentText": {
            "light": "#006BFF",
            "dark": "#2F98FF"
        },
        "declineButton": {
            "light": "#CFD4DE",
            "dark": "#3C4048"
        },
        "barButton": {
            "light": "#A0AABD",
            "dark": "#6D7586"
        },
        "error": {
            "light": "#E53D00",
            "dark": "#F95E25"
        },
        "success": {
            "light": "#006BFF",
            "dark": "#2F98FF"
        }
    },
    "icon": {
        "light": "icon_light.png",
        "dark": "icon_dark.png"
    },
    "image": {
        "light": "icon_light.png",
        "dark": "icon_dark.png"
    },
    "about": "https://safe-tech.ru/about",
    "feedback": "info@safe-tech.ru"
}

Цвета (Colors)

Цвета описываются в формате #RRGGBB для светлой и тёмной темы по-отдельности.

Иконки/логотипы

В теме могут содержаться логотип или иконка. Необходимо указать название картинки для светлой и тёмной темы. Может использоваться всего одна картинка, указав одно и тоже название для light и dark.

В первую очередь приложение ищет большой логотип по ключу image . Если её нет, то далее приложение ищет иконку по ключу icon. Если и её нет — то будет использоваться дефолтная иконка.

Т.е. если будут указаны оба ключа, то приоритет у image.

Если логотип в приложении не отображается, сверьте название картинки в архиве с тем, что указано в ключе.

Логотип

Если необходимо использование логотипа, то необходимо указать ключ image с названием картинок для светлой и тёмной тем.

Область, которую будет занимать логотип, имеет динамическую ширину. Картинка будет размещена по центру и сжата по высоте.

Рекомендуемый размер логотипа — не менее 792x396, соотношение сторон 2:1

Иконка

Если необходимо использование небольшой иконки, то необходимо указать ключ icon с названием картинок для светлой и тёмной тем.

Иконка будет размещена в квадратной области.

Рекомендуемое разрешение 80x80, соотношение сторон 1:1.

"О приложении" и "Обратная связь"

В тему можно добавить дополнительные ключи — about и feedback. Они будут отображены как текстовые ссылки в информации о ключе.

WildFly

Настройка

Запуск CLI

Подключение к консоли:

sudo /opt/wildfly/bin/jboss-cli.sh --connect

Выполнение команд в неинтерактивном режиме:

sudo /opt/wildfly/bin/jboss-cli.sh --connect --commands=ls\ deployment

Удаление настроек по умолчанию

При конфигурировании Wildfly можно (при переводе системы в промышленную эксплуатацию — рекомендуется) удалить пример источника данных и страницу-приветствие.

С помощью CLI

data-source remove --name=ExampleDS
/subsystem=ee/service=default-bindings:remove()
reload
/subsystem=datasources/jdbc-driver=h2:remove
/subsystem=undertow/server=default-server/host=default-host/location=\/:remove()
/subsystem=undertow/configuration=handler:remove()

Путём конфигурирования файла standalone.xml

Вручную это можно сделать убрав (либо закомментировав) следующие объекты:

<datasource jndi-name="java:jboss/datasources/ExampleDS" pool-name="ExampleDS" enabled="true" use-java-context="true">
    <connection-url>jdbc:h2:mem:test;DB_CLOSE_DELAY=-1;DB_CLOSE_ON_EXIT=FALSE</connection-url>
    <driver>h2</driver>
    <security>
        <user-name>sa</user-name>
        <password>sa</password>
    </security>
</datasource>

<driver name="h2" module="com.h2database.h2">
    <xa-datasource-class>org.h2.jdbcx.JdbcDataSource</xa-datasource-class>
</driver>

<default-bindings context-service="java:jboss/ee/concurrency/context/default" datasource="java:jboss/datasources/ExampleDS" managed-executor-service="java:jboss/ee/concurrency/executor/default" managed-scheduled-executor-service="java:jboss/ee/concurrency/scheduler/default" managed-thread-factory="java:jboss/ee/concurrency/factory/default"/>

<location name="/" handler="welcome-content"/>

<handlers>
    <file name="welcome-content" path="${jboss.home.dir}/welcome-content"/>
</handlers>

Добавление источников данных (БД), на примере PostgreSQL

module add --name=org.postgresql --resources=/opt/paycontrol/postgresql-42.2.5.jar --dependencies=javax.api,javax.transaction.api,javax.servlet.api
/subsystem=datasources/jdbc-driver=postgres:add(driver-name="postgres",driver-module-name="org.postgresql",driver-class-name=org.postgresql.Driver)
data-source add --jndi-name=java:jboss/datasources/PayControlDS --name=PayControlDS --connection-url=jdbc:postgresql://localhost:5432/pcs --driver-name=postgres --user-name=pcuser --password=XXXXXXXX
data-source add --jndi-name=java:jboss/datasources/PayControlISDS --name=PayControlISDS --connection-url=jdbc:postgresql://localhost:5432/pcis --driver-name=postgres --user-name=pcuser --password=XXXXXXXX

Формат параметра Connection URL для разных типов СУБД

Валидация подключения

PostgreSQL

    <validation>
      <valid-connection-checker class-name="org.jboss.jca.adapters.jdbc.extensions.postgres.PostgreSQLValidConnectionChecker"></valid-connection-checker>
      <exception-sorter class-name="org.jboss.jca.adapters.jdbc.extensions.postgres.PostgreSQLExceptionSorter"></exception-sorter>
    </validation>

Oracle

    <validation>
        <check-valid-connection-sql>select 1 from dual</check-valid-connection-sql>
        <validate-on-match>false</validate-on-match>
        <background-validation>true</background-validation>
        <background-validation-millis>10000</background-validation-millis>
    </validation>

MS SQL

    <validation>
      <valid-connection-checker class-name="org.jboss.jca.adapters.jdbc.extensions.mssql.MSSQLValidConnectionChecker"></valid-connection-checker>
    </validation>

Установка определённых стандартов защиты и алгоритмов

HTTPS

Для выбора стандарта защиты HTTPS, только, например, TLS 1.2, нужно в объект https-listener объекта <subsystem xmlns="urn:jboss:domain:undertow:X.X"> добавить

enabled-protocols="TLSv1.2"

Для выбора определённых криптографических алгоритмов, необходимо их указать в объекте https-listener объекта <subsystem xmlns="urn:jboss:domain:undertow:X.X">. Например, для запрета режимов работы без использования алгоритмов Диффи-Хеллмана, нужно добавить

enabled-cipher-suites="ALL:!kRSA"

Пример:

<subsystem xmlns="urn:jboss:domain:undertow:1.2">
    <server name="default-server">
        <https-listener name="https" socket-binding="https" security-realm="ApplicationRealm" enable-http2="true" enabled-cipher-suites="ALL:!kRSA" enabled-protocols="TLSv1.2"/>
    </server>
</subsystem>

https://security.stackexchange.com/questions/145855/how-to-enforce-perfect-forward-secrecy-using-jvm-properties

https://www.openssl.org/docs/manmaster/man1/ciphers.html

Включение дополнительных заголовков

Для включения дополнительных HTTP заголовков необходимо в файл

• Linux: /opt/wildfly/standalone/configuration/standalone.xml
• Windows: C:\wildfly\standalone\configuration\standalone.xml

1. добавить фильтры в раздел <subsystem xmlns="urn:jboss:domain:undertow:X.X"> добавив блок (при его отсутствии) <filters></filters> следующего содержания:

           <filters>
               <response-header name="transport-security" header-name="Strict-Transport-Security" header-value="max-age=31536000"/>
               <response-header name="x-frame-options" header-name="X-Frame-Options" header-value="DENY"/>
               <response-header name="x-content-type-options" header-name="X-Content-Type-Options" header-value="nosniff"/>
               <response-header name="Content-Security-Policy" header-name="Content-Security-Policy" header-value="default-src 'self'"/>
           </filters>
   

2. добавить ссылки на эти фильтры в раздел <subsystem xmlns="urn:jboss:domain:undertow:X.X"> в <server name="default-server"> в <host name="default-host" alias="localhost"> включив следующие строки:

                   <filter-ref name="transport-security"/>
                   <filter-ref name="x-frame-options"/>
                   <filter-ref name="x-content-type-options"/>
                   <filter-ref name="Content-Security-Policy"/>
   

Пример:

<subsystem xmlns="urn:jboss:domain:undertow:11.0" default-server="default-server" default-virtual-host="default-host" default-servlet-container="default" default-security-domain="other">
    <buffer-cache name="default"/>
    <server name="default-server">
        <http-listener name="default" socket-binding="http" redirect-socket="https" enable-http2="true"/>
        <https-listener name="https" socket-binding="https" security-realm="ApplicationRealm" enable-http2="true" enabled-cipher-suites="ALL:!kRSA" enabled-protocols="TLSv1.2"/>
        <host name="default-host" alias="localhost">
            <http-invoker security-realm="ApplicationRealm"/>
            <filter-ref name="transport-security"/>
            <filter-ref name="x-frame-options"/>
            <filter-ref name="x-content-type-options"/>
            <filter-ref name="Content-Security-Policy"/>
        </host>
    </server>
    <servlet-container name="default">
        <jsp-config/>
        <websockets/>
    </servlet-container>
    <filters>
        <response-header name="transport-security" header-name="Strict-Transport-Security" header-value="max-age=31536000"/>
        <response-header name="x-frame-options" header-name="X-Frame-Options" header-value="DENY"/>
        <response-header name="x-content-type-options" header-name="X-Content-Type-Options" header-value="nosniff"/>
        <response-header name="Content-Security-Policy" header-name="Content-Security-Policy" header-value="default-src 'self'"/>
    </filters>
</subsystem>

Изменение номера порта

Для изменения номера порта необходимо в файле /opt/wildfly/standalone/configuration/standalone.xml (Linux) или в C:\wildfly\standalone\configuration\standalone.xml (Windows), в блоке

<socket-binding-group name="standard-sockets" default-interface="public" port-offset="${jboss.socket.binding.port-offset:0}">

в нужном (для http, либо https) параметре

<socket-binding name="http" port="${jboss.http.port:8080}"/>
<socket-binding name="https" port="${jboss.https.port:8443}"/>

изменить номер используемого порта.

После изменения номера порта, службу WildFly необходимо перезапустить.

Приведённые ниже примеры описаны для протокола HTTP. При использовании HTTPS, необходимо также скорректировать название используемого протокола в адресе подключения.

Изменение порта PC Server

При изменении порта для подключения к PC Server, необходимо:

• установить новый порт для обращения к PC в настройках прикладной системы;

• изменить номер порта в настройках PC External. Для изменения номера порта для обращения к PC Server, в настройках PC External в файле /opt/wildfly/bin/standalone.conf (Linux) или C:\opt\wildfly\bin\standalone.conf.bat (Windows), в строке

  JAVA_OPTS="$JAVA_OPTS -Dpc_url=http[s]://<IP или DNS-имя>[:PORT]/pc-api/ -Duser.language=ru -Dpaycontrol.locale=ru"
  

  в параметре -Dpc_url=http[s]://<IP или DNS-имя>[:PORT]/pc-api/ установить новое значение [PORT].

Изменение порта PC Pusher

Для изменения порта для подключения к PC Pusher необходимо в БД PC Server выполнить следующий запрос:

update pc_system set pc_is_internal_url='http[s]://<IP или DNS-имя>[:PORT]/pc-pusher-api/' where systemid='XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX';

где

• <HOSTNASME> - имя хоста PC Pusher;
• <PORT> новое значение порта;
• XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX - UUID идентификатор прикладной системы.

Допускается выполнять запрос к БД PC Server на обновление адреса PC Pusher без указания systemid, в случае, если подключена только одна прикладная система, или необходимо обновить адрес PC Pusher для всех прикладных систем.

После изменения номера порта, службу wildfly необходимо перезапустить.

Изменение порта PC External

При изменении порта PC External необходимо в БД PC Server выполнить следующий запрос:

update pc_system set pc_is_external_url='http://<HOSTNASME>:<PORT>/PayControl-interaction-rest/' where systemid='XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX';

где

• <HOSTNASME> - имя хоста PC External, используемое мобильными устройствами для доступа к серверу PC;
• <PORT> новое значение порта;
• XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX` - UUID идентификатор прикладной системы.

Допускается выполнять запрос к БД PC Server на обновление адреса PC External без указания systemid, в случае, если подключена только одна прикладная система, или необходимо обновить адрес PC External для всех прикладных систем.

После изменения номера порта, службу wildfly необходимо перезапустить.

Установка имени хоста для публикации WSDL-схемы

Актуально для версии PC v.3.x, в случае, если фактическое имя хоста, по которому доступна WSDL-схема отличается от определяемого WildFly'ем имени.

/subsystem=webservices:write-attribute\(name=wsdl-host,value=docker.loc\)

Журналирование

Доступ к данным журнала

Журнал работы сервера PC записываются общий лог функционирования Wildfly.

Файлы журналов за текущий день доступны по следующему пути:

• Linux:

  /opt/wildfly/standalone/log/server.log

• Windows: C:\wildfly\standalone\log\server.log

Для просмотра журнала за другие дни, нужно добавить к имени файла требуемую дату в формате server.log.YYYY-MM-DD

Направление логов Wildfly в Kafka

Исходник https://developer.jboss.org/docs/DOC-56423. Основное отличие - добавление <module name="com.fasterxml.jackson.core.jackson-databind"/> в зависимости модуля org.apache.kafka.clients.

Модули

Файлы модулей можно загрузить с https://mvnrepository.com/

org.apache.kafka.clients

Создать файл /opt/wildfly/modules/system/layers/base/org/apache/kafka/clients/main/module.xml с содержанием

<?xml version="1.0" encoding="UTF-8"?>
<module name="org.apache.kafka.clients" xmlns="urn:jboss:module:1.8">
    <resources>
        <resource-root path="kafka-clients-2.6.0.jar"/>
        <resource-root path="snappy-java-1.1.8.2.jar"/>
        <resource-root path="lz4-java-1.7.1.jar"/>
    </resources>
    <dependencies>
        <module name="javax.api"/>
        <module name="org.slf4j"/>
        <module name="com.fasterxml.jackson.core.jackson-databind"/>
    </dependencies>
</module>

и добавить в директорию указанные в блоке resources файлы.

org.apache.kafka.log4jappender

Создать файл /opt/wildfly/modules/system/layers/base/org/apache/kafka/log4jappender/main/module.xml с содержанием

<?xml version="1.0" encoding="UTF-8"?>
<module name="org.apache.kafka.log4jappender" xmlns="urn:jboss:module:1.8">
    <resources>
        <resource-root path="kafka-log4j-appender-2.6.0.jar"/>
        <resource-root path="slf4j-log4j12-1.7.30.jar"/>
    </resources>
    <dependencies>
        <module name="org.slf4j"/>
        <module name="org.apache.kafka.clients" />
        <module name="org.jboss.log4j.logmanager" />
    </dependencies>
</module>

и добавить в директорию указанные в блоке resources файлы.

org.apache.log4j

Добавить модуль log4jappender в качестве зависимости в существующий org.apache.log4j модуль:

<module name="org.apache.log4j" xmlns="urn:jboss:module:1.6">

    ...

    <dependencies>

        ...

        <module name="org.apache.kafka.log4jappender" export="true"/>

    </dependencies>

</module>

org.jboss.as.standalone

Указать в имеющемся модуле org.jboss.as.standalone в качестве зависимости модуль org.apache.kafka.clients.

<module name="org.jboss.as.standalone" xmlns="urn:jboss:module:1.6">

    ...

    <dependencies>

        ...

        <module name="org.apache.kafka.clients" />

    </dependencies>

</module>

Хэндлеры

Необходимо добавить перечисленные ниже хэндлеры в файл standalone.xml в блок <subsystem xmlns="urn:jboss:domain:logging:8.0">

kafka

            <custom-handler name="kafka" class="org.apache.kafka.log4jappender.KafkaLog4jAppender" module="org.apache.log4j">
                <level name="INFO"/>
                <formatter>
                    <named-formatter name="PATTERN"/>
                </formatter>
                <properties>
                    <property name="brokerList" value="localhost:9092"/>
                    <property name="topic" value="out-topic"/>
                </properties>
            </custom-handler>

async-kafka-wrapper

            <async-handler name="async-kafka-wrapper">
                <level name="ALL"/> 
                <queue-length value="1024"/> 
                <overflow-action value="block"/> 
                <subhandlers> 
                    <handler name="kafka"/> 
                </subhandlers> 
            </async-handler>

Включение хэндлера

В блок <handlers> добавить <handler name="async-kafka-wrapper"/>

Включение журналирования SOAP-вызовов

Актуально для версии PC v.3.x.

Для включения расширенного логирования необходимо:

1. Остановить службу wildfly.

2. Добавить после блока <extensions> ... </extensions> в файл

   • Linux: /opt/wildfly/standalone/configuration/standalone.xml
   • Windows: C:\wildfly\standalone\configuration\standalone.xml

   блок:

   <system-properties>
       <property name="org.apache.cxf.logging.enabled" value="pretty"/>
   </system-properties>
   

3. Запустить службу wildfly

Проблемы и способы их устранения

Очень медленный старт через standalone.sh (каждый этап скрипта запуска - с большими задержками). Система отправляет сигнал на остановку сервиса

Вероятная проблема - неверные настройки DNS сервера.

Решение:Необходимо скорректировать настройки DNS.

Проблема обнаружилась 2018-07-27 при развёртывании у заказчика.

Не происходит «биндинг» IP-адреса адаптера

Вероятная проблема - отсутствие PTR-записи на DNS-сервере, или неправильная работа службы DNS.

Решение: Добавить в файл opt/wildfly/bin/standalone.conf (Linux) или C:\opt\wildfly\bin\standalone.conf.bat (Windows), в переменную JAVA_OPTS параметр -Djboss.bind.address=0.0.0.0

Проблема проявилась на тестовом Windows-сервере

Частое появление WARNING в логе

Предупреждения в логе вида:

WARNING [org.apache.cxf.phase.PhaseInterceptorChain] (default task-1) Interceptor for {http://ws.safetech.ru/PayControlV3/}PayControlServiceV3 has thrown exception, unwinding now: org.apache.cxf.binding.soap.SoapFault: Error writing to XMLStreamWriter.
Caused by: com.ctc.wstx.exc.WstxIOException: UT010029: Stream is closed
Caused by: java.io.IOException: UT010029: Stream is closed

WARNING [org.apache.cxf.phase.PhaseInterceptorChain] (default task-1) Interceptor for {http://ws.safetech.ru/PayControlV3/}PayControlServiceV3 has thrown exception, unwinding now: org.apache.cxf.interceptor.Fault: Could not send Message.
Caused by: java.io.IOException: Broken pipe

Могут быть вызваны системой мониторинга, которая для проверки того, что сервер доступен, устанавливает соединение и обрывает его получив лишь только header.

Для отключения преждений о непредвиденном закрытии соединения необходимо в файл /opt/wildfly/standalone/configuration/standalone.xml в блок

<profile>
    <subsystem xmlns="urn:jboss:domain:logging:X.X">
       ... 
    </subsystem>
</profile>

добавить:

<!-- to prevent warnings on unsuspicious connection close -->
<logger category="org.apache.cxf.phase.PhaseInterceptorChain">
      <level name="ERROR"/>
</logger>

INFO: Disabling contextual LOB creation as createClob() method threw error

Иногда смущает появление в журнале события, из-за присутствия в его составе слова "error":

    INFO  [org.hibernate.engine.jdbc.env.internal.LobCreatorBuilderImpl] (ServerService Thread Pool -- 64) HHH000424: Disabling contextual LOB creation as createClob() method threw error : java.lang.reflect.InvocationTargetException 

Для отключения этого сообщения необходимо установить hibernate.temp.use_jdbc_metadata_defaults=false в файл persistence.xml, располагающийся внутри модуля сервера следующим образом:

        <properties>
            ...
            <property name="hibernate.temp.use_jdbc_metadata_defaults" value="false"/>
            ...
        </properties>