Forge-Engine/core/auth_guard.py

"""Garde d'accès globale — connexion obligatoire pour tout le moteur, et
isolation par utilisateur d'un SEUL projet (sauf le rôle "admin",
illimité comme avant l'authentification). Un seul before_request plutôt
qu'un décorateur à poser sur chacune des ~80 routes existantes : moins de
risque d'en oublier une, et aucun fichier de routes existant n'a besoin
d'être modifié.

Cet import doit avoir lieu APRÈS `import routes` (voir app.py/conftest.py)
pour que `app.url_map` connaisse déjà toutes les routes au moment où ce
module tente de résoudre request.endpoint — en pratique sans importance
ici (la résolution se fait à la requête, pas à l'import), mais gardé pour
rester cohérent avec l'ordre d'import du reste du moteur."""
from flask import g, redirect, request, session, url_for, abort

import auth

from .flask_app import app

# Endpoints accessibles SANS être connecté — tout le reste exige une
# session valide. "static" (CSS/JS/images) doit rester public : la page
# de connexion elle-même en a besoin pour s'afficher.
#
# game_play_public/runtime_payload_public/flow_node_run_data_public/
# flow_node_run_variable_public (routes/public_play/) : la route PUBLIQUE
# /jouer/<slug>, pour un vrai visiteur anonyme (état par joueur, Phase 1)
# — chaque vue vérifie ELLE-MÊME db.is_public_played(slug) (404 sinon),
# cette garde générique ne fait qu'autoriser l'accès sans connexion, elle
# ne dispense d'aucune autre vérification.
_PUBLIC_ENDPOINTS = {
    "static", "login", "login_2fa", "register", "register_2fa", "logout",
    "forgot_password", "reset_password",
    "game_play_public", "runtime_payload_public",
    "flow_node_run_data_public", "flow_node_run_variable_public",
    "flow_node_run_score_public", "flow_node_run_status_public",
    "flow_node_run_add_row_public",
}

# Endpoints de gestion de COMPTE (routes/auth/profile.py) — connexion
# requise, mais indépendants d'avoir un projet ou non (voir onboarding
# guidé ci-dessous) : un compte pas encore passé par /onboarding doit
# quand même pouvoir changer son mot de passe, son email, ou supprimer
# son compte.
_REACHABLE_WITHOUT_PROJECT = {
    "onboarding_new", "profile", "profile_update_name", "profile_update_email",
    "profile_regenerate_recovery_codes", "profile_change_password", "profile_delete",
}


@app.before_request
def _require_login_and_enforce_project_isolation():
    endpoint = request.endpoint
    if endpoint is None or endpoint in _PUBLIC_ENDPOINTS:
        return None

    user_id = session.get("user_id")
    if not user_id:
        return redirect(url_for("login", next=request.path))

    user = auth.get_user_by_id(user_id)
    if not user:
        # Compte supprimé/introuvable depuis la dernière requête : la
        # session ne doit jamais rester "connectée" dans le vide.
        session.clear()
        return redirect(url_for("login"))
    g.current_user = user

    # Un compte "user" n'a accès qu'à SON SEUL projet (project_slug) — un
    # "admin" reste illimité, exactement comme avant l'authentification.
    # Les routes de gestion multi-jeux (page d'accueil, "+ Nouveau jeu")
    # n'ont pas leur place pour un compte à projet unique : redirigées
    # directement vers son propre tableau de bord plutôt qu'un 403 sec.
    if user["role"] != "admin":
        if endpoint in ("index", "games_new") and user.get("project_slug"):
            return redirect(url_for("game_dashboard", slug=user["project_slug"]))
        # Onboarding guidé (voir routes/onboarding/onboarding_new.py) : un
        # compte "user" fraîchement inscrit n'a plus de projet créé
        # d'office (voir routes/auth/register_2fa.py) — tant qu'il n'en a
        # pas, seules ces routes restent atteignables (toutes exigent déjà
        # une connexion, absentes de _PUBLIC_ENDPOINTS).
        if not user.get("project_slug") and endpoint not in _REACHABLE_WITHOUT_PROJECT:
            return redirect(url_for("onboarding_new"))
        slug = request.view_args.get("slug") if request.view_args else None
        if slug is not None and slug != user.get("project_slug"):
            abort(403)
        # Type d'onboarding "restreint" (quiz/embranchement/rpg, voir
        # db/games/game_type_catalog.py) : game_dashboard reste atteignable
        # comme pour "custom", mais routes/games/game_dashboard.py y rend
        # une version SIMPLIFIÉE (juste les écrans, pas d'onglets Objets/
        # Éléments de jeu/Variables) — rien à bloquer ici, la restriction
        # se fait au niveau du rendu, pas de l'accès à la route.
        if endpoint == "game_delete":
            # Un compte "user" n'a qu'UN SEUL projet, et aucun moyen d'en
            # recréer un une fois supprimé (games_new le renvoie toujours
            # vers project_slug, même si le dossier n'existe plus) —
            # bloqué plutôt que de risquer de le laisser sans projet du
            # tout. Un admin, lui, peut toujours supprimer ses jeux comme
            # avant (aucune restriction ci-dessus pour ce rôle).
            abort(403)
    return None