Gerege POS¶

Production · Давхарга 4 — Салбар продукт · Репо: gerege-pos-mn · geregepos.mn

Худалдаа, үйлчилгээний цэг дээрх баталгаажсан танилт ба цахим гарын үсэг. Кассын ард үйлчлүүлэгчийг цахим үнэмлэхээр нь тэр дор нь таньж, гэрээ, зөвшөөрөл, гүйлгээг хуулийн хүчинтэй гарын үсгээр битүүмжилнэ.

Эзэмшил

Платформыг Gerege POS ХХК эзэмшин ажиллуулна. Техникийн суурь нь Gerege Systems-ийн хувилбартай дундын Go модуль open-gerege-core — танилт, аюулгүй байдал, AI, үйлчилгээний тулгуур давхаргыг эндээс өвлөнө.

Юуг шийддэг вэ¶

Уламжлалт POS нь юу зарагдсаныг бүртгэдэг ч хэн худалдаж авсныг батлахгүй. Насны хязгаартай бараа, гэрээт үйлчилгээ, зээл, даатгал, бүртгэлтэй SIM — эдгээрт кассын ард бодит таних үйлдэл шаардагдана. Gerege POS энэ цоорхойг хаана:

Асуулт	Хариу
Хэн энд зогсож байна вэ?	eID танилт — QR / App2App / регистрийн дугаараар push
Тэр зөвшөөрсөн үү?	PAdES цахим гарын үсэг (eID Mongolia `/v3`)
Байгууллагын нэрийн өмнөөс үү?	eID PKI профайл — байгууллага, эрх бүхий гарын үсэг зурагчид
Дараа нь няцаах уу?	Hash-chain холбоост, зөвхөн-нэмэх аудит бүртгэл

Гол чадварууд¶

eID + Gerege SSO

Цорын ганц нэвтрэх арга нь eID. Нууц үг байхгүй. Мөн Gerege SSO-гийн relying party.
Өөрөө ч OIDC provider

OAUTH_ISSUER тохируулагдсан үед платформ өөрөө identity provider болж, дагалдах апп-уудыг нэвтрүүлнэ (өөрийн Go код, Hydra-гүй).
Цахим гарын үсэг

PDF-д PAdES гарын үсэг; sign relay нь 3 дагч RP-уудыг платформын eID креденшлээр дамжуулан гарын үсэг зуруулна.
Admin-аас удирдах gateway

Service catalog, апп бүрт олгосон svc:* зөвшөөрөл, хүсэлтийн телеметр.
Иргэний үйлчилгээний портал

Хүсэлт, лавлагаа, мэдэгдэл, төлбөр, цаг захиалга + операторын дараалал (CPSV-AP толь, SLA-тай төлөвийн машин).
AI туслах (Gemini)

Чат, яриа→текст, текст→яриа, шууд орчуулга. pgvector семантик хайлттай мэдлэгийн сан.

Түүнчлэн: RBAC + супер админ (TOTP MFA), байгууллага ба гишүүнчлэл, үйлчилгээний нэгдсэн регистр (once-only хяналт), платформ хоорондын relay, Google Drive · Dropbox · Google Meet холболт, өөрийн SFTP хадгалалт (Gerege Space), дөрвөн хэлний UI (mn · en · zh · ru).

Экосистем дэх байрлал¶

flowchart TD
    EID[eID Mongolia<br/>Давхарга 1] --> SSO[Gerege SSO<br/>Давхарга 2]
    SSO -->|OIDC RP| POS[Gerege POS<br/>Давхарга 4]
    SSO -->|eID proxy · sign relay| POS
    CORE[(open-gerege-core<br/>Давхарга 3)] -.суурь модуль.-> POS

eID рүү шууд ханддаггүй. Зөвшөөрөгдсөн eID үйлчилгээ нь SSO-гийн eID proxy (/rp/eid, /rp/eid-org) болон sign relay (/rp/sign)-ээр дамжина.
Client secret нь SSO дээр. gerege-pos-mn client нь sso.gerege.mn дээр бүртгэлтэй; secret нь тэнд зөвхөн hash хэлбэрээр амьдарна.
Суурь нь дундын. Backend нь open-gerege-core-ийн лавлах хэрэгжилт — өөрийн нэмэлт маршрутгүй. Аюулгүй байдлын нөхөөс нэг цэгээс тархана.

Технологи¶

Давхарга	Сонголт
Backend	Go 1.26 · chi (net/http) · pgx (ORM-гүй, гар бичмэл SQL)
Өгөгдөл	PostgreSQL 16 + pgvector · Redis 7
Frontend	Next.js 15 (BFF) · React 19 · TanStack Query
AI	Gemini REST (SDK-гүй) — чат · STT · TTS · орчуулга
Ажиглалт	OpenTelemetry · Prometheus · Zap
Байршуулалт	Docker Compose + edge nginx, `geregepos.mn`

Дэлгэрэнгүйг Технологийн стек-ээс.

Аюулгүй байдлын тулгуур¶

Postgres Row-Level Security — api нь superuser БИШ ролиор холбогдоно; boot дээр энэ нөхцөлийг guard шалгана.
BFF загвар — токен httpOnly cookie-д, браузерын JS-д хэзээ ч хүрэхгүй; давхар CSRF хамгаалалт (custom header + origin).
Fail-closed фичер — креденшл байхгүй бол чадвар унтарна, худал ажиллахгүй.
Hash-chain аудит — /api/v1/audit/verify нь гинжийн бүрэн бүтэн байдлыг шалгаж, эвдэрсэн эхний мөрийг зааж өгнө.

Экосистемийн нийтлэг шаардлагыг Аюулгүй байдал-аас.

Дэлгэрэнгүй баримт¶

Хэрэгжүүлэлтийн түвшний бүрэн баримт — чадварын зураглал, endpoint лавлах, байршуулалтын runbook — тусдаа сайтад:

Gerege POS баримт →

Хуудас	Юуны тухай
Чадварын зураглал	Модуль бүр, эрх, хурдны хязгаар, идэвхжих нөхцөл
Апп холбох (OIDC RP)	Өөрийн апп-аа нэвтрүүлэх алхмууд
eID Service Proxy	eID мэдээллийг proxy-гоор авах
API лавлах	Бүх endpoint нэг хүснэгтэд
Байршуулалт	Compose, env, nginx, rollback