METROPOLIA GZM — GŁOSOWANIE OBYWATELSKIE NA MAPIE 3D

PLZ nie ma OAuth ani OIDC — logowanie to kod QR skanowany w aplikacji mobilnej, a callback wraca z własnym xsessionId, nie identyfikatorem naszej sesji. Trójstronny handshake przeglądarka ↔ PLZ ↔ Supabase trzeba było zbudować ręcznie, łącznie z pułapką typów tokenów: generateLink dla niepotwierdzonego konta zwraca token typu signup, który frontend odrzuca błędem 403 — rozwiązanie to potwierdzenie e-maila przez Admin API i wygenerowanie linku po raz drugi, już jako magiclink. Osobną klasą problemu był replay: callback PLZ potrafi przyjść dwukrotnie, a naiwny zapis tokena ponownie „uzbrajał” skonsumowaną sesję. Warunkowy UPDATE po status='pending' czyni operację atomową — drugi callback trafia w zero wierszy, a sessionId nigdy nie podróżuje w URL-u, tylko w cookie HttpOnly.

Otwarte dane rządowe walczyły z nami na każdym poziomie stosu. WAF przed CKAN-em resetował połączenia z runnera GitHub Actions z pythonowym User-Agentem, a Supabase równocześnie odrzucał klucz serwerowy, gdy żądanie wyglądało „przeglądarkowo” — dwa systemy stawiały sprzeczne wymagania na ten sam nagłówek, więc sync dobiera User-Agent per cel. Dalej: część CSV przychodzi w Windows-1250 (dekodowanie jako UTF-8 niszczy każdy polski diakrytyk — stąd fallback strict-UTF-8-then-cp1250), Gliwice mają własny schemat kolumn różny od standardu GZM, zbiór zabytków Rudy Śląskiej ma odwrócone osie współrzędnych, a duplikaty kluczy wywracały upsert błędem PG 21000 — deduplikacja przed zapisem zachowuje ostatnie wystąpienie. Całość jest idempotentna i działa codziennie z retry i backoffem, na czystej bibliotece standardowej Pythona.

Najgroźniejszy finding audytu siedział w niuansie modelu ról Postgresa: guard chroniący katalog PostGIS sprawdzał session_user, ale PostgREST łączy się jako rola authenticator i robi SET ROLE — session_user zostaje authenticator, więc strażnik nigdy nie blokował i anonim mógł uszkodzić katalog SRID, wyłączając całe PostGIS. Do tego RLS nie chroni pojedynczych kolumn: właściciel projektu mógł podmieniać pola systemowe jak vote_count czy status, bo polityki sprawdzały tylko created_by. Migracja naprawcza przeszła na triggery SECURITY INVOKER używające current_user, REVOKE praw zapisu i wymuszanie pól systemowych dla ról publicznego API — a wcześniej inny trigger, chroniący ręcznie rozrzucone współrzędne projektów, okazał się „cichą regułą”, która nigdy się nie odpalała, i został przepisany z flagi na porównanie geometryczne.