rene
9394bab1fb
SECURITY (auth.py, routes/auth.py, database.py, main.py) - JWT bekommt jti; Logout trägt in neue jwt_blacklist-Tabelle ein, decode_token() prüft → server-side Invalidierung - JWT-Expiry default 30 → 7 Tage (ENV JWT_EXPIRY_DAYS überschreibt) - Sliding-Refresh-Middleware: erneuert Cookie wenn >50% verbraucht (Schwelle via JWT_REFRESH_FRACTION, Default 2) - Login-Lockout in DB-Tabelle login_attempts (5 Versuche / 15 Min, überlebt Container-Restart) — alte In-Memory-Lockouts ersetzt - SMTP-Versand: alle 'except: pass' durch logger.exception ersetzt; Fehlversuche landen in failed_emails-Tabelle für späteres Retry - Referral-Counter Race gefixt: UPDATE partner_codes SET uses=uses+1 ... WHERE uses<max_uses RETURNING — atomar statt SELECT+UPDATE RACE CONDITIONS (routes/invoices.py, database.py) - Neue invoice_counters-Tabelle für atomare Nummernvergabe - _next_invoice_number nutzt BEGIN IMMEDIATE + atomares UPDATE - Funktioniert für RG- und ST-Prefixe (Stornorechnungen) - Race-Test verifiziert (5 Threads × 20 Calls = 100 eindeutige Nummern) VERSION + TESTS + ERROR-DIGEST (VERSION, Makefile, tests/, scheduler.py) - Neue VERSION-Datei (Single Source of Truth) — main.py liest beim Startup - Makefile-Target 'make bump' propagiert in sw.js, app.js, index.html - Makefile-Target 'make test' setzt venv auf, läuft pytest - 19 Smoke-Tests in tests/ (health, auth, diary, invoice) — alle grün - Scheduler: täglicher _job_error_digest um 06:30 → schickt Error- Zusammenfassung an ADMIN_EMAIL (still wenn keine Errors) DSGVO + A11Y + ERSTE-HILFE - landing.html: 'HTML und ODS' → 'JSON' (tatsächlich implementiert) - datenschutz.js: Sektion Account-Löschung erweitert (sofort gelöscht / anonymisiert / 10 Jahre für Rechnungen) - erste-hilfe.js: prominentes Warning-Banner oben (ersetzt keine Tierarzt-Beratung); Notfallnummern gruppiert nach Land, TODO-Platz- halter für AT-Uni-Klinik, CH Tox Info Suisse, CH Tierspital Zürich - ui.js Modal: ESC schließt, Focus-Trap, Auto-Focus erstes Element, Restore Focus auf vorigen Caller - impressum.js Kontaktformular: Labels mit for=cf-name etc. NEUE DB-TABELLEN (idempotent via CREATE TABLE IF NOT EXISTS) - jwt_blacklist, login_attempts, failed_emails, invoice_counters NEUE ENV-VARS - JWT_REFRESH_FRACTION (Default 2) - JWT_EXPIRY_DAYS Default geändert (30 → 7)
56 lines
1.7 KiB
Python
56 lines
1.7 KiB
Python
"""Smoke-Tests fuer Auth-Flows: Register, Login, Logout, /me."""
|
|
|
|
import secrets
|
|
|
|
|
|
def test_register_creates_pending_user(client):
|
|
"""Frischer User -> pending_verification=True."""
|
|
email = f"new-{secrets.token_hex(4)}@example.com"
|
|
r = client.post("/api/auth/register", json={
|
|
"email": email,
|
|
"password": "TestPass123!",
|
|
"name": f"user{secrets.token_hex(3)}",
|
|
})
|
|
assert r.status_code == 200, r.text
|
|
assert r.json().get("pending_verification") is True
|
|
|
|
|
|
def test_login_with_wrong_password_returns_401(client, user):
|
|
"""Falsches Passwort -> 401."""
|
|
r = client.post("/api/auth/login", json={
|
|
"email": user["email"], "password": "WrongPass!!"
|
|
})
|
|
assert r.status_code == 401
|
|
|
|
|
|
def test_login_returns_token(client, user):
|
|
"""Korrekte Credentials -> JWT-Token."""
|
|
r = client.post("/api/auth/login", json={
|
|
"email": user["email"], "password": user["password"]
|
|
})
|
|
assert r.status_code == 200
|
|
assert "token" in r.json()
|
|
|
|
|
|
def test_me_requires_auth(client):
|
|
"""/api/auth/me ohne Token -> 401."""
|
|
r = client.get("/api/auth/me")
|
|
assert r.status_code == 401
|
|
|
|
|
|
def test_me_returns_user_info(client, user):
|
|
"""/api/auth/me mit gueltigem Token -> User-Objekt."""
|
|
r = client.get("/api/auth/me", headers=user["headers"])
|
|
assert r.status_code == 200
|
|
data = r.json()
|
|
assert data["email"] == user["email"]
|
|
assert data["name"] == user["name"]
|
|
# email_verified wurde im Fixture per DB-Update auf 1 gesetzt
|
|
assert data["email_verified"] == 1
|
|
|
|
|
|
def test_logout_clears_cookie(client, user):
|
|
"""/api/auth/logout -> ok."""
|
|
r = client.post("/api/auth/logout", headers=user["headers"])
|
|
assert r.status_code == 200
|
|
assert r.json()["ok"] is True
|