ScarriffleandClaude Opus 5
7fc8763d57
Zwei-Faktor per TOTP mit zehn Einmal-Wiederherstellungscodes. Der Zwischenzustand "Passwort stimmt, Code fehlt" haengt an der vorhandenen Sitzungstabelle (pending_2fa, zehn Minuten Laufzeit) und gilt nirgends als angemeldet; nach dem Code wird das Cookie getauscht statt weiterverwendet. Der Wiederverwendungsschutz merkt sich das tatsaechlich getroffene Zeitfenster, nicht die aktuelle Uhrzeit - sonst liesse sich ein Code aus dem naechsten Fenster gleich darauf nochmal einloesen. Passwortrichtlinie (Laenge, Zeichenklassen, MFA-Pflicht) in der neuen globalen Tabelle app_settings, durchgesetzt beim Anlegen, Zuruecksetzen und Aendern von Passwoertern. Bestehende Passwoerter lassen sich nicht gegen eine neue Richtlinie pruefen - der Hash gibt nichts her. Beim Anmelden liegt das Passwort aber kurz im Klartext vor: dort wird geprueft und bei Verstoss ein Wechsel verlangt, mit passendem Grund fuer den Hinweistext. Nebenbei geschlossen: must_change_password war bisher nur im Frontend erzwungen, wer die API direkt ansprach kam vorbei. enforce_account_state haengt jetzt am /api-Sammelrouter und laesst nur noch durch, was man zum Erfuellen der Pflicht braucht. Das JSON-Backup liess sich bisher grundsaetzlich nicht zurueckladen: keine Version, Kategorien nur ueber mehrdeutige Namen, sieben Tabellen fehlten. Daneben steht nun ein Format v2, das Beziehungen ueber lokale IDs abbildet, je Benutzer oder systemweit. Zurueckgeladen wird nach einer Pruefansicht, wahlweise ersetzend oder ergaenzend; vor dem Ersetzen legt der Server einen Schnappschuss der Datenbank an. Der alte Ansichts-Export bleibt fuer Tabellenkalkulationen bestehen und wird beim Hochladen ausdruecklich abgewiesen, statt halb zu raten. Frontend: wiederverwendbares Passwortfeld mit Augensymbol, animierte Anforderungsliste, 2FA-Seite, Admin-Karte fuer die Richtlinie und Karte zum Zurueckladen. Neue Bewegung ist in prefers-reduced-motion hinterlegt; Secret und Codes sind markierbar, sonst verhinderte das globale user-select das Kopieren. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
106 lines
4.1 KiB
Python
106 lines
4.1 KiB
Python
"""Benutzerverwaltung (nur Admin). Neue Nutzer bekommen ein Temporär-Passwort."""
|
||
|
||
from fastapi import APIRouter, Depends, HTTPException, status
|
||
from sqlalchemy.orm import Session
|
||
|
||
from ..database import get_db
|
||
from ..deps import require_admin, user_out
|
||
from ..models import Role, User
|
||
from ..schemas import UserCreate, UserOut, UserUpdate
|
||
from ..security import hash_password
|
||
from ..seed import ensure_starter_categories
|
||
from ..services import policy as policy_service
|
||
from ..services import sessions, twofactor
|
||
|
||
router = APIRouter(prefix="/users", tags=["users"], dependencies=[Depends(require_admin)])
|
||
|
||
|
||
@router.get("", response_model=list[UserOut])
|
||
def list_users(db: Session = Depends(get_db)) -> list[UserOut]:
|
||
rows = db.query(User).order_by(User.username).all()
|
||
return [user_out(db, u) for u in rows]
|
||
|
||
|
||
@router.post("", response_model=UserOut, status_code=status.HTTP_201_CREATED)
|
||
def create_user(payload: UserCreate, db: Session = Depends(get_db)) -> UserOut:
|
||
if db.query(User).filter(User.username == payload.username).first():
|
||
raise HTTPException(status.HTTP_409_CONFLICT, "Benutzername existiert bereits")
|
||
policy_service.assert_ok(db, payload.password)
|
||
user = User(
|
||
username=payload.username,
|
||
password_hash=hash_password(payload.password),
|
||
role=payload.role,
|
||
display_name=payload.display_name,
|
||
is_active=True,
|
||
# Vom Admin gesetztes Temporär-Passwort: beim ersten Login ändern lassen.
|
||
must_change_password=True,
|
||
must_change_password_reason="temp",
|
||
)
|
||
db.add(user)
|
||
db.commit()
|
||
db.refresh(user)
|
||
# Neuen Nutzern die Startkategorien mitgeben.
|
||
ensure_starter_categories(db, user)
|
||
return user_out(db, user)
|
||
|
||
|
||
@router.patch("/{user_id}", response_model=UserOut)
|
||
def update_user(user_id: int, payload: UserUpdate, db: Session = Depends(get_db)) -> UserOut:
|
||
user = db.get(User, user_id)
|
||
if user is None:
|
||
raise HTTPException(status.HTTP_404_NOT_FOUND, "Benutzer nicht gefunden")
|
||
if payload.password is not None:
|
||
policy_service.assert_ok(db, payload.password)
|
||
user.password_hash = hash_password(payload.password)
|
||
# Vom Admin gesetztes Passwort gilt als temporär.
|
||
user.must_change_password = True
|
||
user.must_change_password_reason = "temp"
|
||
# Ein zurückgesetztes Passwort soll bestehende Sitzungen beenden.
|
||
sessions.revoke_all(db, user)
|
||
if payload.role is not None:
|
||
user.role = payload.role
|
||
if payload.display_name is not None:
|
||
user.display_name = payload.display_name
|
||
if payload.is_active is not None:
|
||
user.is_active = payload.is_active
|
||
db.commit()
|
||
db.refresh(user)
|
||
return user_out(db, user)
|
||
|
||
|
||
@router.post("/{user_id}/2fa/reset", response_model=UserOut)
|
||
def reset_two_factor(user_id: int, db: Session = Depends(get_db)) -> UserOut:
|
||
"""Notausgang, wenn jemand seinen Authenticator und alle Codes verloren hat.
|
||
|
||
Verlangt die Richtlinie MFA, muss der Benutzer beim nächsten Anmelden sofort
|
||
neu einrichten – dafür sorgt ``enforce_account_state``."""
|
||
user = db.get(User, user_id)
|
||
if user is None:
|
||
raise HTTPException(status.HTTP_404_NOT_FOUND, "Benutzer nicht gefunden")
|
||
twofactor.disable(db, user)
|
||
sessions.revoke_all(db, user)
|
||
db.refresh(user)
|
||
return user_out(db, user)
|
||
|
||
|
||
@router.delete("/{user_id}", status_code=status.HTTP_204_NO_CONTENT)
|
||
def delete_user(
|
||
user_id: int,
|
||
db: Session = Depends(get_db),
|
||
current_admin: User = Depends(require_admin),
|
||
) -> None:
|
||
user = db.get(User, user_id)
|
||
if user is None:
|
||
raise HTTPException(status.HTTP_404_NOT_FOUND, "Benutzer nicht gefunden")
|
||
if user.id == current_admin.id:
|
||
raise HTTPException(status.HTTP_400_BAD_REQUEST, "Du kannst dich nicht selbst löschen")
|
||
if user.role == Role.admin:
|
||
admin_count = db.query(User).filter(User.role == Role.admin).count()
|
||
if admin_count <= 1:
|
||
raise HTTPException(
|
||
status.HTTP_400_BAD_REQUEST,
|
||
"Der letzte Administrator kann nicht gelöscht werden",
|
||
)
|
||
db.delete(user)
|
||
db.commit()
|