ScarriffleandClaude Opus 5
9be772557e
Das Sitzungs-Token benannte den Benutzer ueber seinen Namen (sub = username). Damit war der Name die Kennung der Sitzung - ein Umbenennen haette jede laufende Anmeldung dieses Benutzers ungueltig gemacht, und deshalb war es gar nicht erst vorgesehen. Beim Anmeldedienst geaenderte Namen liessen sich in Vorrania folglich nirgends nachziehen. Neue Token tragen die ID (sub = "<id>", zusaetzlich uid), und deps.py loest die Sitzung darueber auf. Alles andere haengt ohnehin schon an der ID: Bewegungen, Dashboards, API-Tokens. Der Name ist damit reine Anzeige. Benutzer lassen sich jetzt unter "Benutzer" umbenennen - auch sich selbst, ohne aus der Sitzung zu fliegen. Der Anmeldeweg selbst sucht weiterhin ueber den Namen; das ist das Feld im Formular und soll so bleiben. Bestandsschutz: Token ohne uid werden weiter ueber den Namen aufgeloest, damit beim Update niemand abgemeldet wird. Der Zweig darf nach Ablauf der Token-Lebensdauer weg. Das zusaetzliche uid unterscheidet alt von neu eindeutig - ein Benutzer koennte schlicht "42" heissen. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
65 lines
2.3 KiB
Python
65 lines
2.3 KiB
Python
import hashlib
|
||
import secrets
|
||
from datetime import datetime, timedelta, timezone
|
||
|
||
import bcrypt
|
||
from jose import JWTError, jwt
|
||
|
||
from .config import get_settings
|
||
|
||
settings = get_settings()
|
||
|
||
# bcrypt akzeptiert maximal 72 Bytes – längere Passwörter werden abgeschnitten.
|
||
_BCRYPT_MAX_BYTES = 72
|
||
|
||
|
||
def hash_password(password: str) -> str:
|
||
pw = password.encode("utf-8")[:_BCRYPT_MAX_BYTES]
|
||
return bcrypt.hashpw(pw, bcrypt.gensalt()).decode("utf-8")
|
||
|
||
|
||
def verify_password(password: str, password_hash: str | None) -> bool:
|
||
# Konten, die es nur ueber Single Sign-on gibt, haben gar keinen Hash. Ohne
|
||
# diesen Riegel liefe None.encode() in einen AttributeError – und der Login
|
||
# antwortete mit 500 statt mit einem ehrlichen 401.
|
||
if not password_hash:
|
||
return False
|
||
try:
|
||
pw = password.encode("utf-8")[:_BCRYPT_MAX_BYTES]
|
||
return bcrypt.checkpw(pw, password_hash.encode("utf-8"))
|
||
except (ValueError, TypeError):
|
||
return False
|
||
|
||
|
||
def create_access_token(user_id: int, role: str) -> str:
|
||
"""Stellt ein Sitzungs-Token aus, das den Benutzer ueber seine ID benennt.
|
||
|
||
Frueher stand hier der Benutzername. Damit war der Name die Kennung der
|
||
Sitzung – und ein Umbenennen haette jede laufende Anmeldung dieses Benutzers
|
||
ungueltig gemacht. Ueber die ID ist der Name reine Anzeige und frei aenderbar.
|
||
|
||
``uid`` steht zusaetzlich zu ``sub`` drin, damit sich alte Token (``sub`` =
|
||
Name) eindeutig von neuen unterscheiden lassen – ein Benutzer koennte sonst
|
||
schlicht "42" heissen.
|
||
"""
|
||
expire = datetime.now(timezone.utc) + timedelta(minutes=settings.jwt_expire_minutes)
|
||
payload = {"sub": str(user_id), "uid": user_id, "role": role, "exp": expire}
|
||
return jwt.encode(payload, settings.jwt_secret, algorithm=settings.jwt_algorithm)
|
||
|
||
|
||
def generate_api_token() -> str:
|
||
"""Erzeugt ein langlebiges Token für externe Zugriffe."""
|
||
return secrets.token_urlsafe(32)
|
||
|
||
|
||
def hash_api_token(token: str) -> str:
|
||
"""SHA-256 – schnell genug, um bei jeder Anfrage geprüft zu werden."""
|
||
return hashlib.sha256(token.encode("utf-8")).hexdigest()
|
||
|
||
|
||
def decode_access_token(token: str) -> dict | None:
|
||
try:
|
||
return jwt.decode(token, settings.jwt_secret, algorithms=[settings.jwt_algorithm])
|
||
except JWTError:
|
||
return None
|