Монгол العربية 中文 English Français Русский Español

Gerege Nexus

Plateforme intégrée d'opérations numériques

Gerege Nexus est une plateforme modulaire open source qui relie les services, les opérations, les systèmes et les données des organisations publiques et privées. Elle place le mongol au premier plan et s'intègre directement à l'infrastructure numérique nationale de la Mongolie (DAN, E-ID, XYP / ХУР).

Nexus désigne le point de connexion : là où se rejoignent organisations, services, processus, systèmes, utilisateurs et données. La plateforme elle-même n'est liée à aucun secteur — ce sont les modules qui y tournent qui donnent son caractère à un déploiement.

Les modules sont compilés dans un seul binaire Go, tandis qu'un magasin d'applications adossé à PostgreSQL décide des applications actives pour chaque locataire — une séparation modulaire sans les appels réseau ni le coût d'exploitation des microservices.

Монгол  ·  العربية  ·  中文  ·  English  ·  Français  ·  Русский  ·  Español

Sommaire

• Auteurs
• Capacités principales
• Applications métier
• Structure du dépôt
• Démarrage
• Configuration
• Aperçu de l'API
• Tests et contrôles qualité
• Sécurité
• Index de la documentation

Auteurs

Capacités principales

1. Monolithe modulaire haute performance

• Modules Go compilés — contacts, products, inventory, billing, documents et sso_clients sont compilés dans un binaire unique et appelés en processus.
• Magasin d'applications par locataire — droits applicatifs, menus et RBAC sont pilotés depuis PostgreSQL (app_installations).
• Résolveur de dépendances — résolution récursive sur un graphe orienté acyclique, avec détection de cycles et vérification des contraintes semver.
• Synchronisation du catalogue — catalog/apps.json fait autorité ; la table apps est réconciliée à chaque démarrage.

2. Moteur de résilience cloud-native

3. Infrastructure numérique nationale

• XYP — échange d'informations de l'État (platform/gerege/xyp.go) : registre civil des citoyens (WS100101) et vérification des personnes morales (WS100201).
• E-ID national et DAN (developer.gerege.mn, eidmongolia.mn) — signature numérique PKI, OTP mobile, SSO bancaire et vérification faciale biométrique.
• Fournisseur OAuth2 / OIDC intégré (/.well-known/openid-configuration) délivrant des jetons client-credentials à des systèmes tiers.
• Vérification d'e-mail (platform/emailverify) — un flux partagé pour prouver une adresse, appelé en interne par chaque module applicatif. L'e-mail est envoyé par le service hébergé (enigma.mn) : la plateforme ne détient aucune information d'authentification de messagerie et ne possède pas d'adresse d'expéditeur. La vérification est enregistrée au retour de la personne, et ce retour ne fonctionne qu'une fois. Visible dans Paramètres → Vérification d'e-mail.

Remarque. Le mode simulé (mock) pour E-ID, DAN et XYP est une commodité de développement uniquement. Avec ENVIRONMENT=production il est désactivé automatiquement : un numéro d'enregistrement fabriqué ne peut jamais authentifier.

4. Copilote IA et analytique

• Assistant IA (platform/ai/copilot.go) — conversation classée par intention, branchée sur les données réelles du locataire.
• Prévision de la demande (platform/ai/inventory_forecaster.go) — recommandations de stock de sécurité et de point de commande à partir de l'historique des mouvements.

Applications métier

Les routes ne s'ouvrent qu'une fois l'application installée et activée pour le locataire ; sinon le contrôle renvoie 403 Forbidden.

Structure du dépôt

backend/
  cmd/api/            Serveur d'API HTTP (+ jeu de données de démonstration)
  cmd/migrate/        Exécuteur de migrations Goose
  db/migrations/      Migrations SQL
  internal/
    module.go         Le contrat de module Go
    apps/             Modules métier
    platform/         Services du cœur de plateforme
frontend/             Client web Next.js 16 (App Router)
catalog/              Catalogue et manifestes du magasin d'applications
deploy/               Dockerfile de production, configuration Nginx
docs/                 Documentation et traductions

Démarrage

Prérequis

• Go 1.26+
• Node.js 20+
• PostgreSQL 16+ (ou Docker Compose)

1. Docker Compose

docker compose up -d

Les migrations s'exécutent dans un service migrate dédié, à usage unique, avant le démarrage de l'API.

2. Manuellement

Backend :

cd backend
go mod download
DATABASE_URL="postgres://postgres:postgrespassword@localhost:5432/platform_db?sslmode=disable" \
  go run ./cmd/migrate up
go run ./cmd/api

Frontend :

cd frontend
npm ci
npm run dev

Ouvrez http://localhost:3000.

Identifiants de démonstration

Le compte de démonstration n'est créé qu'en dehors de la production. En production il n'est créé que si SEED_DEMO_DATA=true est défini explicitement.

Déploiement automatisé

Chaque poussée sur main déclenche deploy.yml :

1. Construire et publier les images backend et frontend sur GHCR (:latest et :<sha>).
2. Copier docker-compose.prod.yml sur le serveur.
3. Écrire le .env du serveur depuis les secrets GitHub et récupérer les images.
4. Exécuter les migrations jusqu'au bout, puis basculer l'API et le frontend.
5. Sonder /health et /ready, afficher les journaux des conteneurs et faire échouer l'exécution si le déploiement n'est pas sain.

Déploiement manuel : Actions → Deploy to Production → Run workflow, en épinglant éventuellement une étiquette d'image.

Secrets requis dans le dépôt :

Le domaine de production est nexus.gerege.mn, qui a remplacé openerp.gerege.mn lors du changement de nom vers Gerege Nexus. PUBLIC_ORIGIN définit en un seul endroit le CORS, l'émetteur OIDC et le callback eID : le déplacer entraîne donc le DNS, le certificat TLS et tout client ayant épinglé l'émetteur.

Le serveur n'a besoin que de Docker — ni code source, ni chaîne d'outils Go/Node. Voir deploy/.env.prod.example pour les valeurs.

Configuration

Voir .env.example pour la liste complète.

Aperçu de l'API

Les jetons de session circulent soit dans le cookie HttpOnly, soit via Authorization: Bearer <token>.

Tests et contrôles qualité

# Tests unitaires backend avec le détecteur de courses
cd backend && go test -race ./...

# Analyse statique
cd backend && go vet ./... && golangci-lint run

# Analyse des vulnérabilités
cd backend && govulncheck ./...

# Build du frontend
cd frontend && npm run build

La CI exécute le lint, les tests, le build du frontend, la construction de l'image Docker, govulncheck et gosec à chaque poussée et chaque pull request.

Sécurité

• Les jetons de session sont des valeurs aléatoires de 256 bits ; seul leur condensé SHA-256 est stocké.
• Les mots de passe sont hachés avec bcrypt et les tentatives de connexion sont limitées par IP.
• Installer, activer ou désactiver des applications et enregistrer des intégrations exige les droits d'administrateur du locataire.
• L'authentification des clients OAuth2 utilise une comparaison à temps constant.

Signalez les vulnérabilités comme décrit dans SECURITY.md.

Index de la documentation

Remerciements et inspirations

1. snykk/go-rest-boilerplate de @snykk — fondations de l'API REST Go.
2. Odoo — magasin d'applications modulaire et modèle de dépendances.
3. go-zero — moteur de résilience cloud-native.

Licence

Copyright (c) 2026 Gerege Systems Development Team, Gemini AI & Claude AI. Distribué sous licence Apache 2.0 — voir LICENSE.

Icônes de drapeaux par Flaticon (attribution).