AdamThomasandClaude Sonnet 5
ced922f785
- app/auth/ : jetons (lien magique aléatoire haché SHA-256, JWT HS256), dépendances get_current_account / current_account_in_edition / require_roles + require_coordinator / require_staff, et ensure_can_write_position/_shift - Endpoints app/api/auth.py : POST .../auth/magic-link (202 constant, pas de divulgation), POST .../auth/verify (JWT, jeton à usage unique), GET /auth/me - Envoi d'email stubé : le lien est journalisé (logger app.auth, identifiants seulement, aucune donnée nominative) - app/api/accounts.py : CRUD des comptes réservé à la COORDINATION - Rôles appliqués sur toute l'API : COORDINATION accès complet ; RÉFÉRENT lecture globale + écriture sur ses seuls postes/créneaux/affectations ; BÉNÉVOLE sa fiche et ses affectations, aucune écriture - imports.py aligné sur la dépendance get_edition (404 avant 403) - Secret JWT porté à >= 32 octets (config, .env.example, docker-compose) - seed : crée un compte VOLUNTEER pour chaque bénévole avec email (104 comptes) - conftest : fixtures make_account / coordinator / as_account / raw_client ; la suite existante s'exécute en COORDINATION - 13 tests d'authentification + de rôles ; 119 tests au total ; alembic check toujours vert (Account / MagicLinkToken déjà dans la migration 0001) Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_017uUsRg7XzopkCPWimwg9ZM
44 lines
1.2 KiB
Python
44 lines
1.2 KiB
Python
"""Jetons : lien magique (aléatoire, haché en base) et session JWT."""
|
|
|
|
import datetime as dt
|
|
import hashlib
|
|
import secrets
|
|
|
|
import jwt
|
|
|
|
from app.config import get_settings
|
|
from app.models import Account
|
|
|
|
_ALGORITHM = "HS256"
|
|
|
|
|
|
def new_raw_token() -> str:
|
|
"""Jeton de lien magique en clair (transmis à l'utilisateur une seule fois)."""
|
|
return secrets.token_urlsafe(32)
|
|
|
|
|
|
def hash_token(raw: str) -> str:
|
|
"""Empreinte stockée en base. Le jeton a 256 bits d'entropie : un SHA-256
|
|
simple suffit (pas de sel ni de KDF nécessaires)."""
|
|
return hashlib.sha256(raw.encode("utf-8")).hexdigest()
|
|
|
|
|
|
def create_access_token(account: Account) -> str:
|
|
settings = get_settings()
|
|
now = dt.datetime.now(dt.UTC)
|
|
payload = {
|
|
"sub": str(account.id),
|
|
"edi": str(account.edition_id),
|
|
"role": account.role.value,
|
|
"iat": now,
|
|
"exp": now + dt.timedelta(hours=settings.session_ttl_hours),
|
|
}
|
|
return jwt.encode(payload, settings.jwt_secret, algorithm=_ALGORITHM)
|
|
|
|
|
|
def decode_access_token(token: str) -> dict:
|
|
"""Lève `jwt.PyJWTError` si le jeton est invalide ou expiré."""
|
|
return jwt.decode(
|
|
token, get_settings().jwt_secret, algorithms=[_ALGORITHM]
|
|
)
|