feat: 2FA, Passwortrichtlinie und wiederherstellbares JSON-Backup
Zwei-Faktor per TOTP mit zehn Einmal-Wiederherstellungscodes. Der Zwischenzustand "Passwort stimmt, Code fehlt" haengt an der vorhandenen Sitzungstabelle (pending_2fa, zehn Minuten Laufzeit) und gilt nirgends als angemeldet; nach dem Code wird das Cookie getauscht statt weiterverwendet. Der Wiederverwendungsschutz merkt sich das tatsaechlich getroffene Zeitfenster, nicht die aktuelle Uhrzeit - sonst liesse sich ein Code aus dem naechsten Fenster gleich darauf nochmal einloesen. Passwortrichtlinie (Laenge, Zeichenklassen, MFA-Pflicht) in der neuen globalen Tabelle app_settings, durchgesetzt beim Anlegen, Zuruecksetzen und Aendern von Passwoertern. Bestehende Passwoerter lassen sich nicht gegen eine neue Richtlinie pruefen - der Hash gibt nichts her. Beim Anmelden liegt das Passwort aber kurz im Klartext vor: dort wird geprueft und bei Verstoss ein Wechsel verlangt, mit passendem Grund fuer den Hinweistext. Nebenbei geschlossen: must_change_password war bisher nur im Frontend erzwungen, wer die API direkt ansprach kam vorbei. enforce_account_state haengt jetzt am /api-Sammelrouter und laesst nur noch durch, was man zum Erfuellen der Pflicht braucht. Das JSON-Backup liess sich bisher grundsaetzlich nicht zurueckladen: keine Version, Kategorien nur ueber mehrdeutige Namen, sieben Tabellen fehlten. Daneben steht nun ein Format v2, das Beziehungen ueber lokale IDs abbildet, je Benutzer oder systemweit. Zurueckgeladen wird nach einer Pruefansicht, wahlweise ersetzend oder ergaenzend; vor dem Ersetzen legt der Server einen Schnappschuss der Datenbank an. Der alte Ansichts-Export bleibt fuer Tabellenkalkulationen bestehen und wird beim Hochladen ausdruecklich abgewiesen, statt halb zu raten. Frontend: wiederverwendbares Passwortfeld mit Augensymbol, animierte Anforderungsliste, 2FA-Seite, Admin-Karte fuer die Richtlinie und Karte zum Zurueckladen. Neue Bewegung ist in prefers-reduced-motion hinterlegt; Secret und Codes sind markierbar, sonst verhinderte das globale user-select das Kopieren. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
This commit is contained in:
Scarriffle
co-authored by
Claude Opus 5
Claude Opus 5
parent
1d5b23c127
commit
7fc8763d57
@@ -1,4 +1,5 @@
|
||||
"""Backup & Export: kompletter DB-Download (Admin) und Datenexport je Nutzer."""
|
||||
"""Backup & Export: kompletter DB-Download (Admin), Datenexport je Nutzer und
|
||||
das wiederherstellbare Voll-Backup als JSON (siehe ``services/backup_data``)."""
|
||||
|
||||
import csv
|
||||
import io
|
||||
@@ -6,8 +7,9 @@ import os
|
||||
import sqlite3
|
||||
import tempfile
|
||||
from datetime import datetime, timezone
|
||||
from pathlib import Path
|
||||
|
||||
from fastapi import APIRouter, Depends, HTTPException, Response
|
||||
from fastapi import APIRouter, Depends, File, Form, HTTPException, Response, UploadFile
|
||||
from fastapi.responses import FileResponse
|
||||
from sqlalchemy.orm import Session
|
||||
from starlette.background import BackgroundTask
|
||||
@@ -23,17 +25,49 @@ from ..models import (
|
||||
CategoryGroup,
|
||||
DashboardLayout,
|
||||
PlannedIncomeLine,
|
||||
Role,
|
||||
Transaction,
|
||||
User,
|
||||
)
|
||||
from ..services import backup_data, sessions
|
||||
|
||||
router = APIRouter(tags=["backup"])
|
||||
|
||||
# Ein Backup ist reiner Text; alles darüber ist mit Sicherheit keins mehr.
|
||||
MAX_BACKUP_BYTES = 64 * 1024 * 1024
|
||||
|
||||
|
||||
def _ts() -> str:
|
||||
return datetime.now(timezone.utc).strftime("%Y%m%d-%H%M%S")
|
||||
|
||||
|
||||
def _sqlite_path() -> str | None:
|
||||
url = get_settings().effective_database_url
|
||||
return url.replace("sqlite:///", "", 1) if url.startswith("sqlite:///") else None
|
||||
|
||||
|
||||
def _snapshot_before_restore() -> str | None:
|
||||
"""Legt vor einem ersetzenden Restore eine Kopie der Datenbank ab.
|
||||
|
||||
Dieselbe Absicherung, die ``deploy/update.sh`` vor einem Update macht: wer
|
||||
versehentlich das falsche Backup einspielt, hat noch einen Weg zurück."""
|
||||
db_path = _sqlite_path()
|
||||
if db_path is None or not os.path.exists(db_path):
|
||||
return None
|
||||
ziel_ordner = Path(get_settings().data_dir) / "backups"
|
||||
ziel_ordner.mkdir(parents=True, exist_ok=True)
|
||||
ziel = ziel_ordner / f"pre-restore-{_ts()}.db"
|
||||
src = sqlite3.connect(db_path)
|
||||
dst = sqlite3.connect(str(ziel))
|
||||
try:
|
||||
with dst:
|
||||
src.backup(dst)
|
||||
finally:
|
||||
dst.close()
|
||||
src.close()
|
||||
return str(ziel)
|
||||
|
||||
|
||||
def _money(cents: int | None) -> str:
|
||||
return f"{(cents or 0) / 100:.2f}"
|
||||
|
||||
@@ -43,10 +77,9 @@ def _money(cents: int | None) -> str:
|
||||
|
||||
@router.get("/backup/db")
|
||||
def backup_db(_: User = Depends(require_admin)):
|
||||
url = get_settings().effective_database_url
|
||||
if not url.startswith("sqlite:///"):
|
||||
db_path = _sqlite_path()
|
||||
if db_path is None:
|
||||
raise HTTPException(status_code=400, detail="DB-Backup ist nur für SQLite verfügbar.")
|
||||
db_path = url.replace("sqlite:///", "", 1)
|
||||
tmp = tempfile.NamedTemporaryFile(prefix="cf-backup-", suffix=".db", delete=False)
|
||||
tmp.close()
|
||||
# Online-Backup-API: konsistente Kopie auch bei laufendem Betrieb.
|
||||
@@ -198,3 +231,131 @@ def export_all_json(db: Session = Depends(get_db), user: User = Depends(get_curr
|
||||
media_type="application/json",
|
||||
headers={"Content-Disposition": f'attachment; filename="certain-finance-export-{_ts()}.json"'},
|
||||
)
|
||||
|
||||
|
||||
# --- Voll-Backup (wiederherstellbar) ---------------------------------------
|
||||
|
||||
|
||||
def _download(obj: dict, name: str) -> Response:
|
||||
return Response(
|
||||
content=backup_data.to_bytes(obj),
|
||||
media_type="application/json",
|
||||
headers={"Content-Disposition": f'attachment; filename="{name}-{_ts()}.json"'},
|
||||
)
|
||||
|
||||
|
||||
@router.get("/export/backup.json")
|
||||
def export_backup(db: Session = Depends(get_db), user: User = Depends(get_current_user)):
|
||||
"""Alle eigenen Daten – vollständig und wieder einspielbar."""
|
||||
return _download(backup_data.export_user(db, user), "certain-finance-backup")
|
||||
|
||||
|
||||
@router.get("/export/system-backup.json")
|
||||
def export_system_backup(db: Session = Depends(get_db), _: User = Depends(require_admin)):
|
||||
"""Die ganze Instanz inklusive Benutzerkonten. Enthält Passwort-Hashes und
|
||||
TOTP-Secrets – die Datei ist wie ein Passwort zu behandeln."""
|
||||
return _download(backup_data.export_system(db), "certain-finance-system-backup")
|
||||
|
||||
|
||||
async def _read_upload(file: UploadFile) -> bytes:
|
||||
roh = await file.read()
|
||||
if len(roh) > MAX_BACKUP_BYTES:
|
||||
raise HTTPException(status_code=400, detail="Die Datei ist zu gross für ein Backup.")
|
||||
return roh
|
||||
|
||||
|
||||
@router.post("/backup/restore/preview")
|
||||
async def restore_preview(
|
||||
file: UploadFile = File(...),
|
||||
db: Session = Depends(get_db),
|
||||
user: User = Depends(get_current_user),
|
||||
):
|
||||
"""Prüft die Datei und meldet, was darin steckt. Schreibt nichts."""
|
||||
try:
|
||||
data = backup_data.parse(await _read_upload(file))
|
||||
except backup_data.BackupError as exc:
|
||||
raise HTTPException(status_code=400, detail=str(exc)) from exc
|
||||
|
||||
scope = data["scope"]
|
||||
if scope == "system" and user.role != Role.admin:
|
||||
raise HTTPException(
|
||||
status_code=403,
|
||||
detail="Ein systemweites Backup darf nur ein Administrator einspielen.",
|
||||
)
|
||||
hinweise: list[str] = []
|
||||
if scope == "system":
|
||||
hinweise.append(
|
||||
"Systemweite Wiederherstellung: alle Benutzer und deren Daten werden "
|
||||
"ersetzt. Danach sind alle Sitzungen beendet und du musst dich neu anmelden."
|
||||
)
|
||||
if not any(u.get("role") == "admin" for u in data.get("users") or []):
|
||||
hinweise.append("Achtung: im Backup ist kein Administrator enthalten.")
|
||||
return {
|
||||
"scope": scope,
|
||||
"exported_at": data.get("exported_at"),
|
||||
"app_version": data.get("app_version"),
|
||||
"username": data.get("username"),
|
||||
"user_count": len(data.get("users") or []) if scope == "system" else 1,
|
||||
"tables": backup_data.summarize(data),
|
||||
"notes": hinweise,
|
||||
}
|
||||
|
||||
|
||||
@router.post("/backup/restore")
|
||||
async def restore(
|
||||
file: UploadFile = File(...),
|
||||
mode: str = Form("replace"),
|
||||
db: Session = Depends(get_db),
|
||||
user: User = Depends(get_current_user),
|
||||
):
|
||||
"""Spielt ein Backup ein – ``replace`` (ersetzen) oder ``merge`` (ergänzen).
|
||||
|
||||
Alles läuft in einer Transaktion: entweder es geht komplett durch oder es
|
||||
wird gar nichts geschrieben."""
|
||||
if mode not in ("replace", "merge"):
|
||||
raise HTTPException(status_code=400, detail="Unbekannter Modus.")
|
||||
try:
|
||||
data = backup_data.parse(await _read_upload(file))
|
||||
except backup_data.BackupError as exc:
|
||||
raise HTTPException(status_code=400, detail=str(exc)) from exc
|
||||
|
||||
scope = data["scope"]
|
||||
if scope == "system" and user.role != Role.admin:
|
||||
raise HTTPException(
|
||||
status_code=403,
|
||||
detail="Ein systemweites Backup darf nur ein Administrator einspielen.",
|
||||
)
|
||||
if scope == "system" and mode != "replace":
|
||||
raise HTTPException(
|
||||
status_code=400,
|
||||
detail="Ein systemweites Backup kann nur ersetzend eingespielt werden.",
|
||||
)
|
||||
|
||||
schnappschuss = _snapshot_before_restore() if mode == "replace" else None
|
||||
try:
|
||||
if scope == "system":
|
||||
bilanz = backup_data.restore_system(db, data)
|
||||
else:
|
||||
bilanz = backup_data.restore_user_data(
|
||||
db, user, data.get("data") or {}, merge=(mode == "merge")
|
||||
)
|
||||
db.commit()
|
||||
except backup_data.BackupError as exc:
|
||||
db.rollback()
|
||||
raise HTTPException(status_code=400, detail=str(exc)) from exc
|
||||
except Exception as exc: # pragma: no cover - Schutznetz gegen halbe Zustände
|
||||
db.rollback()
|
||||
raise HTTPException(
|
||||
status_code=400, detail=f"Wiederherstellung fehlgeschlagen: {exc}"
|
||||
) from exc
|
||||
|
||||
if scope == "system":
|
||||
# Die eigene Sitzung wurde mitgelöscht; alle übrigen ebenfalls beenden.
|
||||
sessions.revoke_all_everywhere(db)
|
||||
return {
|
||||
"scope": scope,
|
||||
"mode": mode,
|
||||
"restored": bilanz,
|
||||
"snapshot": os.path.basename(schnappschuss) if schnappschuss else None,
|
||||
"logout_required": scope == "system",
|
||||
}
|
||||
|
||||
Reference in New Issue
Block a user