P1 gateway: enforce HLS auth via signed JWT

[SlavaKuntsov]

Phase / Priority / Area

Phase 13 · Priority P1 · Area gateway

Зависимости

Blocked by: #7 (предположение)

Scope

services/gateway/cmd/server/main.go:115, services/gateway/internal/middleware/hlsauth.go (new), frontend/src/lib/api.ts

Goal

Приватные видео недоступны подбором UUID.

Acceptance Criteria

• Middleware HLSAuth: GET /hls/{id}/*?token=JWT(video_id,exp 1h) или Authorization: Bearer + metadata owner_id check; public — пропуск
• private без токена →403, с токеном →200, Cache-Control: private

Проверки

curl /hls/{private}/master.m3u8 403 без токена / 200 с токеном, curl -I

Out of scope

CDN Cache-Control diff (#9)

Риски

Формат токена JWT vs signed URL — решить

[SlavaKuntsov]

Выполнено — Phase 13

Реализовано в PR #37.

Изменения

• Новый services/gateway/internal/middleware/hlsauth.go — HLSAuth: парсит video_id из /hls/{uuid}/, запрашивает GET /internal/videos/{id} с X-Internal-Token, для public|unlisted пропускает, для private требует Authorization: Bearer <access> (sub==owner) или ?token=<hls>/ X-HLS-Token HLS JWT (video_id, exp 1h, type hls)
• GET /api/v1/videos/{id}/hls-token — генерация signed URL (owner only, проверяет metadata)
• Cache-Control: private, max-age=10 + CDN-Cache-Control: private для private через hlsCacheWriter
• Порядок роутов исправлен: hls-token до wildcard videos/*
• Frontend VideoPlayer xhrSetup добавляет Authorization для сегментов, watch page грузит signed URL для private

Acceptance

• GET /hls/{private}/* без токена → 403
• GET /hls/{private}/*?token=... / с Authorization владельца → 200
• public без токена → 200
• Cache-Control: private для private

Проверки

• go test gateway/middleware — HLSAuth private/public/token кейсы pass
• make lint-go — 0 issues (errcheck fix)
• make lint-front — ok

Закрываю по Фазе 13.