williamandClaude Sonnet 5
d5a84413d1
Un lien "Mot de passe oublié ?" (login.html) mène à /forgot-password : si l'adresse saisie correspond à un compte, un jeton à haute entropie (secrets.token_urlsafe, valable 1h) est généré et envoyé par email via smtplib (auth/send_email.py, aucune dépendance ajoutée) — configuré uniquement par variables d'environnement (SMTP_HOST/PORT/USER/PASSWORD/ FROM, voir .env.example et docker-compose.prod.yml), n'importe quel serveur SMTP existant convient (Mailcow compris). Seul le hash SHA-256 du jeton est stocké (auth/password_reset.py, table _password_reset_tokens) : un jeton envoyé par email reste inutilisable même en cas de fuite de la base. Le même message générique s'affiche que l'adresse corresponde à un compte ou non, pour ne jamais permettre à ce formulaire de servir à deviner quelles adresses sont déjà inscrites. Un échec d'envoi (SMTP non configuré) est journalisé côté serveur seulement, jamais révélé à l'utilisateur. /reset-password/<token> vérifie le jeton (non expiré, non déjà utilisé), applique les mêmes règles de mot de passe fort qu'à l'inscription (même schéma visuel), puis consomme le jeton et remet à zéro le compteur anti-bruteforce du compte (auth/set_password.py) — une identité prouvée par email est une voie de récupération légitime même pour un compte verrouillé. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
66 lines
3.0 KiB
Python
66 lines
3.0 KiB
Python
"""Garde d'accès globale — connexion obligatoire pour tout le moteur, et
|
|
isolation par utilisateur d'un SEUL projet (sauf le rôle "admin",
|
|
illimité comme avant l'authentification). Un seul before_request plutôt
|
|
qu'un décorateur à poser sur chacune des ~80 routes existantes : moins de
|
|
risque d'en oublier une, et aucun fichier de routes existant n'a besoin
|
|
d'être modifié.
|
|
|
|
Cet import doit avoir lieu APRÈS `import routes` (voir app.py/conftest.py)
|
|
pour que `app.url_map` connaisse déjà toutes les routes au moment où ce
|
|
module tente de résoudre request.endpoint — en pratique sans importance
|
|
ici (la résolution se fait à la requête, pas à l'import), mais gardé pour
|
|
rester cohérent avec l'ordre d'import du reste du moteur."""
|
|
from flask import g, redirect, request, session, url_for, abort
|
|
|
|
import auth
|
|
|
|
from .flask_app import app
|
|
|
|
# Endpoints accessibles SANS être connecté — tout le reste exige une
|
|
# session valide. "static" (CSS/JS/images) doit rester public : la page
|
|
# de connexion elle-même en a besoin pour s'afficher.
|
|
_PUBLIC_ENDPOINTS = {
|
|
"static", "login", "login_2fa", "register", "register_2fa", "logout",
|
|
"forgot_password", "reset_password",
|
|
}
|
|
|
|
|
|
@app.before_request
|
|
def _require_login_and_enforce_project_isolation():
|
|
endpoint = request.endpoint
|
|
if endpoint is None or endpoint in _PUBLIC_ENDPOINTS:
|
|
return None
|
|
|
|
user_id = session.get("user_id")
|
|
if not user_id:
|
|
return redirect(url_for("login", next=request.path))
|
|
|
|
user = auth.get_user_by_id(user_id)
|
|
if not user:
|
|
# Compte supprimé/introuvable depuis la dernière requête : la
|
|
# session ne doit jamais rester "connectée" dans le vide.
|
|
session.clear()
|
|
return redirect(url_for("login"))
|
|
g.current_user = user
|
|
|
|
# Un compte "user" n'a accès qu'à SON SEUL projet (project_slug) — un
|
|
# "admin" reste illimité, exactement comme avant l'authentification.
|
|
# Les routes de gestion multi-jeux (page d'accueil, "+ Nouveau jeu")
|
|
# n'ont pas leur place pour un compte à projet unique : redirigées
|
|
# directement vers son propre tableau de bord plutôt qu'un 403 sec.
|
|
if user["role"] != "admin":
|
|
if endpoint in ("index", "games_new") and user.get("project_slug"):
|
|
return redirect(url_for("game_dashboard", slug=user["project_slug"]))
|
|
slug = request.view_args.get("slug") if request.view_args else None
|
|
if slug is not None and slug != user.get("project_slug"):
|
|
abort(403)
|
|
if endpoint == "game_delete":
|
|
# Un compte "user" n'a qu'UN SEUL projet, et aucun moyen d'en
|
|
# recréer un une fois supprimé (games_new le renvoie toujours
|
|
# vers project_slug, même si le dossier n'existe plus) —
|
|
# bloqué plutôt que de risquer de le laisser sans projet du
|
|
# tout. Un admin, lui, peut toujours supprimer ses jeux comme
|
|
# avant (aucune restriction ci-dessus pour ce rôle).
|
|
abort(403)
|
|
return None
|