ScarriffleandClaude Opus 5
254737086e
Die Anmeldung galt fest 7 Tage - und die Frist lief ab dem *Anmelden*, nicht ab der letzten Nutzung. Wer die App taeglich benutzte, flog trotzdem punktgenau nach einer Woche hinaus. Beides ist jetzt geregelt: - Einstellungen -> Anmeldung: 7 Tage bis 1 Jahr oder unbegrenzt. Gilt fuer Website und App gemeinsam, weil beide dasselbe Token bekommen - auch nach Single Sign-on. - POST /auth/refresh schiebt die Frist beim Start nach vorn. Damit zaehlt die eingestellte Dauer ab dem letzten Besuch, und eine geaenderte Einstellung greift ohne Neuanmeldung. "Unbegrenzt" heisst ein Token ganz ohne exp. Das ist bewusst folgenreich: Es gibt keine Sperrliste, eine erteilte Anmeldung laesst sich nicht einzeln zurueckziehen. Die Oberflaeche sagt das dazu und nennt den einzigen Ausweg (JWT_SECRET aendern). /auth/refresh nimmt bewusst nur JWTs an, keine langlebigen API-Token: aus einem jederzeit widerrufbaren Zugang (Home Assistant) waere sonst ein unwiderruflicher geworden. Der Rueckfallwert aus der Umgebung steigt von 7 auf 30 Tage - er gilt nur noch, solange nichts eingestellt ist. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
76 lines
2.8 KiB
Python
76 lines
2.8 KiB
Python
import hashlib
|
||
import secrets
|
||
from datetime import datetime, timedelta, timezone
|
||
|
||
import bcrypt
|
||
from jose import JWTError, jwt
|
||
|
||
from .config import get_settings
|
||
|
||
settings = get_settings()
|
||
|
||
# bcrypt akzeptiert maximal 72 Bytes – längere Passwörter werden abgeschnitten.
|
||
_BCRYPT_MAX_BYTES = 72
|
||
|
||
|
||
def hash_password(password: str) -> str:
|
||
pw = password.encode("utf-8")[:_BCRYPT_MAX_BYTES]
|
||
return bcrypt.hashpw(pw, bcrypt.gensalt()).decode("utf-8")
|
||
|
||
|
||
def verify_password(password: str, password_hash: str | None) -> bool:
|
||
# Konten, die es nur ueber Single Sign-on gibt, haben gar keinen Hash. Ohne
|
||
# diesen Riegel liefe None.encode() in einen AttributeError – und der Login
|
||
# antwortete mit 500 statt mit einem ehrlichen 401.
|
||
if not password_hash:
|
||
return False
|
||
try:
|
||
pw = password.encode("utf-8")[:_BCRYPT_MAX_BYTES]
|
||
return bcrypt.checkpw(pw, password_hash.encode("utf-8"))
|
||
except (ValueError, TypeError):
|
||
return False
|
||
|
||
|
||
def create_access_token(
|
||
user_id: int, role: str, gueltig_minuten: int | None = None
|
||
) -> str:
|
||
"""Stellt ein Sitzungs-Token aus, das den Benutzer ueber seine ID benennt.
|
||
|
||
Frueher stand hier der Benutzername. Damit war der Name die Kennung der
|
||
Sitzung – und ein Umbenennen haette jede laufende Anmeldung dieses Benutzers
|
||
ungueltig gemacht. Ueber die ID ist der Name reine Anzeige und frei aenderbar.
|
||
|
||
``uid`` steht zusaetzlich zu ``sub`` drin, damit sich alte Token (``sub`` =
|
||
Name) eindeutig von neuen unterscheiden lassen – ein Benutzer koennte sonst
|
||
schlicht "42" heissen.
|
||
|
||
``gueltig_minuten`` kommt aus der Einstellung ``session_days``; ``None``
|
||
nimmt den Rueckfallwert aus der Umgebung. **0 heisst unbegrenzt** – dann
|
||
bekommt das Token gar kein ``exp`` und laeuft nie ab. Diese Wahl ist
|
||
bewusst folgenreich: Ein ausgestelltes Token laesst sich nicht
|
||
zurueckrufen, es gibt keine Sperrliste. Wer alle Anmeldungen beenden will,
|
||
muss JWT_SECRET aendern.
|
||
"""
|
||
minuten = settings.jwt_expire_minutes if gueltig_minuten is None else gueltig_minuten
|
||
payload: dict = {"sub": str(user_id), "uid": user_id, "role": role}
|
||
if minuten > 0:
|
||
payload["exp"] = datetime.now(timezone.utc) + timedelta(minutes=minuten)
|
||
return jwt.encode(payload, settings.jwt_secret, algorithm=settings.jwt_algorithm)
|
||
|
||
|
||
def generate_api_token() -> str:
|
||
"""Erzeugt ein langlebiges Token für externe Zugriffe."""
|
||
return secrets.token_urlsafe(32)
|
||
|
||
|
||
def hash_api_token(token: str) -> str:
|
||
"""SHA-256 – schnell genug, um bei jeder Anfrage geprüft zu werden."""
|
||
return hashlib.sha256(token.encode("utf-8")).hexdigest()
|
||
|
||
|
||
def decode_access_token(token: str) -> dict | None:
|
||
try:
|
||
return jwt.decode(token, settings.jwt_secret, algorithms=[settings.jwt_algorithm])
|
||
except JWTError:
|
||
return None
|