ScarriffleandClaude Opus 5
7fc8763d57
Zwei-Faktor per TOTP mit zehn Einmal-Wiederherstellungscodes. Der Zwischenzustand "Passwort stimmt, Code fehlt" haengt an der vorhandenen Sitzungstabelle (pending_2fa, zehn Minuten Laufzeit) und gilt nirgends als angemeldet; nach dem Code wird das Cookie getauscht statt weiterverwendet. Der Wiederverwendungsschutz merkt sich das tatsaechlich getroffene Zeitfenster, nicht die aktuelle Uhrzeit - sonst liesse sich ein Code aus dem naechsten Fenster gleich darauf nochmal einloesen. Passwortrichtlinie (Laenge, Zeichenklassen, MFA-Pflicht) in der neuen globalen Tabelle app_settings, durchgesetzt beim Anlegen, Zuruecksetzen und Aendern von Passwoertern. Bestehende Passwoerter lassen sich nicht gegen eine neue Richtlinie pruefen - der Hash gibt nichts her. Beim Anmelden liegt das Passwort aber kurz im Klartext vor: dort wird geprueft und bei Verstoss ein Wechsel verlangt, mit passendem Grund fuer den Hinweistext. Nebenbei geschlossen: must_change_password war bisher nur im Frontend erzwungen, wer die API direkt ansprach kam vorbei. enforce_account_state haengt jetzt am /api-Sammelrouter und laesst nur noch durch, was man zum Erfuellen der Pflicht braucht. Das JSON-Backup liess sich bisher grundsaetzlich nicht zurueckladen: keine Version, Kategorien nur ueber mehrdeutige Namen, sieben Tabellen fehlten. Daneben steht nun ein Format v2, das Beziehungen ueber lokale IDs abbildet, je Benutzer oder systemweit. Zurueckgeladen wird nach einer Pruefansicht, wahlweise ersetzend oder ergaenzend; vor dem Ersetzen legt der Server einen Schnappschuss der Datenbank an. Der alte Ansichts-Export bleibt fuer Tabellenkalkulationen bestehen und wird beim Hochladen ausdruecklich abgewiesen, statt halb zu raten. Frontend: wiederverwendbares Passwortfeld mit Augensymbol, animierte Anforderungsliste, 2FA-Seite, Admin-Karte fuer die Richtlinie und Karte zum Zurueckladen. Neue Bewegung ist in prefers-reduced-motion hinterlegt; Secret und Codes sind markierbar, sonst verhinderte das globale user-select das Kopieren. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
96 lines
3.2 KiB
Python
96 lines
3.2 KiB
Python
"""Test-Setup: frische SQLite-DB je Testlauf, kein EZB-Netzabruf."""
|
||
|
||
import os
|
||
import secrets
|
||
import tempfile
|
||
|
||
# Umgebung setzen, BEVOR app importiert wird (config wird beim Import gelesen).
|
||
os.environ.setdefault("APP_DATA_DIR", tempfile.mkdtemp(prefix="cf-test-"))
|
||
os.environ.setdefault("APP_ECB_FETCH_ON_START", "false")
|
||
os.environ.setdefault("APP_ADMIN_USERNAME", "admin")
|
||
# Muss die Standard-Passwortrichtlinie erfüllen (Länge 10, Gross/Klein/Ziffer),
|
||
# sonst verlangt der erste Login sofort einen Wechsel und alle Tests scheitern.
|
||
os.environ.setdefault("APP_ADMIN_PASSWORD", "AdminPass1")
|
||
os.environ.setdefault("APP_SESSION_SECRET", "test-secret")
|
||
|
||
import pytest
|
||
from fastapi.testclient import TestClient
|
||
|
||
ADMIN_PASSWORD = "AdminPass1"
|
||
|
||
|
||
@pytest.fixture()
|
||
def client():
|
||
from app.main import app
|
||
|
||
with TestClient(app) as c:
|
||
yield c
|
||
|
||
|
||
@pytest.fixture()
|
||
def admin(client):
|
||
r = client.post("/api/auth/login", data={"username": "admin", "password": ADMIN_PASSWORD})
|
||
assert r.status_code == 200
|
||
return client
|
||
|
||
|
||
def new_password() -> str:
|
||
"""Zufälliges, richtlinienkonformes Testpasswort."""
|
||
return "Pw1_" + secrets.token_hex(4)
|
||
|
||
|
||
def new_user(admin_client) -> tuple[str, str]:
|
||
"""Legt (als Admin) einen frischen Nutzer an und gibt (username, passwort) zurück."""
|
||
username = "u_" + secrets.token_hex(4)
|
||
password = new_password()
|
||
r = admin_client.post("/api/users", json={"username": username, "password": password, "role": "user"})
|
||
assert r.status_code == 201, r.text
|
||
return username, password
|
||
|
||
|
||
@pytest.fixture()
|
||
def policy_admin(admin):
|
||
"""Admin-Client für Tests, die die Passwortrichtlinie verändern.
|
||
|
||
Die Testdatenbank lebt über den ganzen Testlauf und die Richtlinie ist
|
||
global – ohne Zurücksetzen würde eine Verschärfung alle folgenden Tests
|
||
kippen.
|
||
|
||
Zurückgesetzt wird bewusst direkt über die Dienstschicht, nicht über die
|
||
API: wer ``mfa_required`` einschaltet, sperrt sich damit selbst aus
|
||
``PUT /policy`` aus, bis er einen zweiten Faktor eingerichtet hat. Über die
|
||
API bliebe die Verschärfung also stehen."""
|
||
from app.database import SessionLocal
|
||
from app.services import policy as policy_service
|
||
|
||
vorher = admin.get("/api/policy").json()
|
||
try:
|
||
yield admin
|
||
finally:
|
||
db = SessionLocal()
|
||
try:
|
||
policy_service.save(db, policy_service.Policy(**vorher))
|
||
finally:
|
||
db.close()
|
||
|
||
|
||
def login_ready(username: str, password: str) -> tuple[TestClient, str]:
|
||
"""Meldet einen frisch angelegten Nutzer an und erledigt den Pflichtwechsel.
|
||
|
||
Vom Admin angelegte Konten tragen ``must_change_password``; solange das
|
||
offen ist, sperrt der Server alle fachlichen Endpunkte. Für Tests, die den
|
||
Nutzer einfach benutzen wollen, wird der Wechsel hier gleich mit erledigt.
|
||
Gibt den angemeldeten Client und das nun gültige Passwort zurück."""
|
||
from app.main import app
|
||
|
||
c = TestClient(app)
|
||
r = c.post("/api/auth/login", data={"username": username, "password": password})
|
||
assert r.status_code == 200, r.text
|
||
neu = new_password()
|
||
r = c.post(
|
||
"/api/auth/change-password",
|
||
json={"current_password": password, "new_password": neu},
|
||
)
|
||
assert r.status_code == 200, r.text
|
||
return c, neu
|