AdamThomasandClaude Sonnet 5
096b7cd26a
- Lien d'inscription protégé par un jeton (FormTemplate.access_token, /inscription/<token>), avec régénération depuis l'écran de configuration. - Reçus fiscaux mécénat (cerfa 11580*05) : un PDF par bénévole ayant payé en mécénat, donateur/montant (chiffres et toutes lettres en français, app/mecenat/number_words.py)/date complétés par-dessus le modèle officiel. - Jeu de démonstration : bénévoles avec cotisation classique ou mécénat payée. - Infobulles (HelpTip et détail de cellule de la grille des besoins) repositionnées en position: fixed via JS, bornées à l'écran. - Revue de sécurité : logo des emails en pièce jointe inline au lieu d'une URL (fuyait le jeton d'inscription), sujet retiré du log de remise des emails (pouvait porter un nom de bénévole), photo du formulaire public revalidée par décodage réel avant stockage, export Excel protégé contre l'injection de formule, sondage du statut de paiement limité en fréquence, pyjwt mis à jour. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
26 lines
1008 B
Python
26 lines
1008 B
Python
"""Logo d'une édition pour l'en-tête des emails (voir `app/email/html.py`) —
|
|
`None` tant qu'aucun logo n'a été importé sur le formulaire public
|
|
(`FormTemplate.logo`, `app/api/forms.py:set_logo`).
|
|
|
|
Renvoie les octets (intégrés en pièce jointe « inline », voir
|
|
`app/email/sender.py:build_message`), jamais une URL : `GET .../form/logo`
|
|
exige désormais le `access_token` du formulaire public
|
|
(`app/api/forms.py:_require_access_token`) — une URL externe dans un email
|
|
aurait exposé ce jeton à quiconque lit la source du message, pas seulement
|
|
la coordination."""
|
|
|
|
import uuid
|
|
|
|
from sqlmodel import Session, select
|
|
|
|
from app.models import FormTemplate
|
|
|
|
|
|
def edition_logo(session: Session, edition_id: uuid.UUID) -> tuple[bytes, str] | None:
|
|
template = session.exec(
|
|
select(FormTemplate).where(FormTemplate.edition_id == edition_id)
|
|
).first()
|
|
if template is None or template.logo is None:
|
|
return None
|
|
return template.logo, template.logo_content_type or "image/png"
|