AdamThomasandClaude Sonnet 5
0ede409841
Suite de la revue de sécurité (commit précédent) : ni /auth/login (mot de passe COORDINATION) ni /auth/magic-link n'avaient de limite de tentatives — aucun verrou de compte, aucun throttling, avant ouverture au public. `app/auth/rate_limit.py` : limiteur en mémoire (un seul processus uvicorn, cf. Dockerfile), à créneau glissant, par clé (édition, email) plutôt que par IP — le VPS ne transmet pas encore l'IP réelle du client à travers Caddy, et le risque réel ici est de deviner le mot de passe d'un compte connu (peu de comptes protégés par mot de passe), pas une attaque distribuée sur des emails au hasard. - `/auth/login` : 5 tentatives/minute → 429 `error.too_many_requests`. - `/auth/magic-link` : 3 demandes/5 min (évite aussi le spam d'emails vers une victime ou vers le SMTP). Fixture `_reset_rate_limiters` (autouse) pour ne pas faire fuiter l'état d'un test à l'autre. Testé : dépassement, indépendance des clés, expiration de la fenêtre, scénarios bout en bout sur les deux endpoints. Non inclus dans ce commit (édités en parallèle par l'utilisateur, laissés en l'état) : backend/app/seed.py, frontend/tailwind.config.js. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_017uUsRg7XzopkCPWimwg9ZM
Backend — API de gestion des bénévoles
FastAPI · SQLModel · PostgreSQL · Alembic. Dépendances gérées par uv.
Développement
Toujours via Docker Compose depuis la racine du dépôt :
docker compose up --build # démarre db + backend (reload actif)
docker compose run --rm backend uv run pytest
docker compose run --rm backend uv run ruff check .
Migrations
docker compose run --rm backend uv run alembic revision --autogenerate -m "..."
docker compose run --rm backend uv run alembic upgrade head
Structure
| Chemin | Rôle |
|---|---|
app/main.py |
Instance FastAPI, middlewares, routers |
app/config.py |
Configuration (variables d'environnement) |
app/db.py |
Engine SQLAlchemy + dépendance de session |
app/api/ |
Routers HTTP |
app/models/ |
Tables SQLModel du domaine |
app/validation/ |
Moteur de règles d'affectation (cœur du produit) |
app/i18n/ |
t(key) + locales/fr.json — aucun texte en dur ailleurs |
app/migrations/ |
Alembic |
tests/ |
pytest, base de test PostgreSQL réelle |
Note
uv.lock est versionné (généré dans le conteneur). Le régénérer après toute
modification des dépendances : docker compose run --rm backend uv lock.