ScarriffleandClaude Opus 5
254737086e
Die Anmeldung galt fest 7 Tage - und die Frist lief ab dem *Anmelden*, nicht ab der letzten Nutzung. Wer die App taeglich benutzte, flog trotzdem punktgenau nach einer Woche hinaus. Beides ist jetzt geregelt: - Einstellungen -> Anmeldung: 7 Tage bis 1 Jahr oder unbegrenzt. Gilt fuer Website und App gemeinsam, weil beide dasselbe Token bekommen - auch nach Single Sign-on. - POST /auth/refresh schiebt die Frist beim Start nach vorn. Damit zaehlt die eingestellte Dauer ab dem letzten Besuch, und eine geaenderte Einstellung greift ohne Neuanmeldung. "Unbegrenzt" heisst ein Token ganz ohne exp. Das ist bewusst folgenreich: Es gibt keine Sperrliste, eine erteilte Anmeldung laesst sich nicht einzeln zurueckziehen. Die Oberflaeche sagt das dazu und nennt den einzigen Ausweg (JWT_SECRET aendern). /auth/refresh nimmt bewusst nur JWTs an, keine langlebigen API-Token: aus einem jederzeit widerrufbaren Zugang (Home Assistant) waere sonst ein unwiderruflicher geworden. Der Rueckfallwert aus der Umgebung steigt von 7 auf 30 Tage - er gilt nur noch, solange nichts eingestellt ist. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
64 lines
2.5 KiB
Python
64 lines
2.5 KiB
Python
from fastapi import APIRouter, Depends, HTTPException, status
|
|
from fastapi.security import OAuth2PasswordRequestForm
|
|
from sqlalchemy.orm import Session
|
|
|
|
from ..database import get_db
|
|
from ..deps import get_current_user, nutzer_aus_payload, oauth2_scheme
|
|
from ..models import User
|
|
from ..schemas import Token, UserOut
|
|
from ..security import create_access_token, decode_access_token, verify_password
|
|
from .settings import get_session_minutes
|
|
|
|
router = APIRouter(prefix="/auth", tags=["auth"])
|
|
|
|
|
|
@router.post("/login", response_model=Token)
|
|
def login(
|
|
form: OAuth2PasswordRequestForm = Depends(), db: Session = Depends(get_db)
|
|
) -> Token:
|
|
user = db.query(User).filter(User.username == form.username).first()
|
|
if user is None or not verify_password(form.password, user.password_hash):
|
|
raise HTTPException(
|
|
status_code=status.HTTP_401_UNAUTHORIZED,
|
|
detail="Benutzername oder Passwort falsch",
|
|
)
|
|
token = create_access_token(
|
|
user_id=user.id, role=user.role.value, gueltig_minuten=get_session_minutes(db)
|
|
)
|
|
return Token(access_token=token, role=user.role, username=user.username)
|
|
|
|
|
|
@router.post("/refresh", response_model=Token)
|
|
def refresh(
|
|
token: str = Depends(oauth2_scheme), db: Session = Depends(get_db)
|
|
) -> Token:
|
|
"""Stellt der laufenden Sitzung ein frisches Token aus.
|
|
|
|
Ohne das laeuft die Frist ab dem *Anmelden*, nicht ab der letzten Nutzung:
|
|
Wer die App taeglich benutzt, fliegt trotzdem punktgenau nach Ablauf
|
|
hinaus. Weboberflaeche und App rufen das beim Start auf; damit zaehlt die
|
|
eingestellte Dauer ab dem letzten Besuch.
|
|
|
|
Bewusst NICHT ueber ``get_current_user``: das nimmt auch langlebige
|
|
API-Token an (Home Assistant). Aus so einem Token hier ein JWT zu machen,
|
|
haette aus einem jederzeit widerrufbaren Zugang einen unwiderruflichen
|
|
gemacht.
|
|
"""
|
|
payload = decode_access_token(token)
|
|
user = nutzer_aus_payload(db, payload) if payload is not None else None
|
|
if user is None:
|
|
raise HTTPException(
|
|
status_code=status.HTTP_401_UNAUTHORIZED,
|
|
detail="Ungültige oder abgelaufene Anmeldung",
|
|
headers={"WWW-Authenticate": "Bearer"},
|
|
)
|
|
neu = create_access_token(
|
|
user_id=user.id, role=user.role.value, gueltig_minuten=get_session_minutes(db)
|
|
)
|
|
return Token(access_token=neu, role=user.role, username=user.username)
|
|
|
|
|
|
@router.get("/me", response_model=UserOut)
|
|
def me(current_user: User = Depends(get_current_user)) -> User:
|
|
return current_user
|