JiriUhlir
91 lines
3.8 KiB
Markdown
91 lines
3.8 KiB
Markdown
# csob
|
||
|
||
Multi-tenant REST integrace na **ČSOB PSD2 (Open Banking) API** podle Czech Open Banking Standard (COBS).
|
||
.NET 8 služba běžící v AppFactory za reverse proxy `/apps/csob`.
|
||
|
||
Pokrývá **AISP** (informace o účtech), **PISP** (iniciace plateb, trvalých příkazů a inkas vč. sign/SCA flow),
|
||
**consents** a **OAuth2** helper (Authorization Code flow).
|
||
|
||
## Architektura
|
||
|
||
Služba je **bezstavový proxy** – neukládá žádné credentials. Volající klientská služba předává veškeré
|
||
citlivé údaje (eIDAS certifikát, OAuth client id/secret, access token, APIKEY, TPP name) **per-request
|
||
v HTTP hlavičkách** (jen přes TLS). mTLS se na základě certifikátu z hlavičky staví per-request a klienti
|
||
se cachují podle thumbprintu certifikátu. Nic se neloguje ani neukládá na disk.
|
||
|
||
Strukturně zrcadlí sesterskou službu `idoklad` (Configuration → env, Credentials → hlavičky, Client factory
|
||
+ Accessor, Services, Controllers, Infrastructure middleware + Swagger operation filter, `/docs`).
|
||
|
||
## Endpointy
|
||
|
||
Veřejně dostupné přes `https://services.csbot.cz/apps/csob/...`.
|
||
|
||
### Meta (bez credentials)
|
||
- `GET /health` – liveness
|
||
- `GET /version` – název/verze + API info
|
||
- `GET /status` – ne-secret konfigurace (base/oauth URL, timeout)
|
||
- `GET /docs` – Swagger UI
|
||
- `GET /docs/v1/swagger.json` – OpenAPI dokument
|
||
|
||
### OAuth2
|
||
- `GET /oauth/authorization-url` – sestaví authorize URL pro přesměrování PSU
|
||
- `POST /oauth/token` – výměna `code` → access/refresh token (mTLS)
|
||
- `POST /oauth/refresh` – obnova access tokenu (mTLS)
|
||
|
||
### AISP – účty
|
||
- `GET /accounts`
|
||
- `GET /accounts/{id}/balance`
|
||
- `GET /accounts/{id}/transactions`
|
||
- `GET /accounts/{id}/transactions/awaiting`
|
||
- `GET /accounts/{id}/standing-orders`
|
||
- `GET /accounts/{id}/standing-orders/{standingOrderId}`
|
||
- `GET /accounts/{id}/direct-debits`
|
||
|
||
### PISP – platby / trvalé příkazy / inkasa
|
||
Pro každou agendu: `POST` (iniciace), `GET /{id}` (detail), `GET /{id}/status`, `DELETE /{id}` (zrušení),
|
||
a sign/SCA flow `POST|GET|PUT /{id}/sign/{signId}`.
|
||
- `/payments`
|
||
- `/standing-orders`
|
||
- `/direct-debits`
|
||
|
||
### Consents
|
||
- `POST /consents`, `GET /consents/{id}`, `DELETE /consents/{id}`
|
||
|
||
## Credential hlavičky (per-request, jen přes TLS)
|
||
|
||
| Hlavička | Význam | Předáno do ČSOB jako |
|
||
|---|---|---|
|
||
| `X-CSOB-Certificate` | eIDAS klientský certifikát (QWAC), **Base64 PFX/PKCS#12** vč. privátního klíče a chainu | mutual TLS |
|
||
| `X-CSOB-Certificate-Password` | heslo k PFX (volitelné) | – |
|
||
| `X-Access-Token` | OAuth2 Bearer access token PSU (AISP/PISP/consents) | `Authorization: Bearer` |
|
||
| `X-API-Key` | ČSOB application API key | `APIKEY` |
|
||
| `X-TPP-Name` | název TPP organizace | `TPP-Name` |
|
||
| `X-CSOB-Client-Id` / `X-CSOB-Client-Secret` | OAuth2 app credentials (jen `/oauth/*`) | OAuth form |
|
||
| `X-User-Involved`, `X-User-IP-Address` | volitelný PSU kontext | `User-Involved`, `User-IP-Address` |
|
||
|
||
Hlavičky `X-Request-ID` a `Date` generuje služba automaticky.
|
||
|
||
## Konfigurace (environment variables – pouze ne-secret)
|
||
|
||
| Proměnná | Default |
|
||
|---|---|
|
||
| `APP_NAME` | `ČSOB PSD2 Service` |
|
||
| `APP_VERSION` | `1.0.0` |
|
||
| `ROOT_PATH` | (prázdné; AppFactory nastaví `/apps/csob`) |
|
||
| `CSOB_API_BASE_URL` | `https://api.csob.cz/api/csob/psd2/v1` |
|
||
| `CSOB_OAUTH_AUTHORIZE_URL` | `https://identita.csob.cz/mep/fs/fl/oauth2/auth` |
|
||
| `CSOB_OAUTH_TOKEN_URL` | `https://api.csob.cz/api/csob/oauth2/v1/token` |
|
||
| `CSOB_REQUEST_TIMEOUT_SECONDS` | `100` |
|
||
|
||
> **Žádné secrets v env.** Certifikát, client id/secret, access token a APIKEY jdou výhradně per-request hlavičkami.
|
||
|
||
## Lokální spuštění
|
||
|
||
```bash
|
||
dotnet run --project Csob.csproj
|
||
# nebo
|
||
ROOT_PATH=/apps/csob ASPNETCORE_URLS=http://0.0.0.0:8080 dotnet run
|
||
```
|
||
|
||
Podrobnosti k OAuth/SCA flow a kompletní seznam endpointů viz [documentation/](documentation/).
|