williamandClaude Sonnet 5
c57420c8c9
Config strictement stricte partout (ruff, mypy --strict, bandit, vulture, import-linter, eslint, stylelint), aucune regle desactivee "pour ne pas casser le build" - l'existant a ete corrige pour la satisfaire plutot que l'inverse. Hooks pre-commit locaux (language: system) bloquants. - Typage mypy --strict propage a tout le moteur (db, screens, auth, core, ai, routes, puis publish/scripts/tests/app.py/build_css.py). - Securite : fuite de handle fichier Windows corrigee dans l'export SCORM (routes/publish/export_scorm.py), CSRF/RNG non-crypto/xAPI documentes (# nosec, # NOSONAR justifies), nouveau db.json_for_script() (echappe "</script>" dans le JSON embarque en <script>, 25 sites). - Architecture : imports circulaires/F811 nettoyes, contrats import-linter respectes, code mort retire (vulture). - Accessibilite : 69 champs de formulaire sans label correctement associe corriges (for/id ou aria-label) sur 11 templates. - ESLint/Stylelint : lot mecanique JS/CSS, regles ajustees puis appliquees (aucune desactivee sans verification individuelle). - Tests : isolation du compte admin partage (nettoyage ponctuel + fixture de teardown automatique en filet de securite), suite complete verte (591 tests Python, 241 tests JS). - SonarQube Community Build self-heberge (Docker + PostgreSQL) : rapport complet analyse point par point, faux positifs documentes. - .gitattributes ajoute (LF force) : core.autocrlf=true sur cette machine faisait echouer ESLint (linebreak-style) via un bug connu de git (checkout "en place" qui ignore l'eol force sur un fichier deja present sur disque - contourne en supprimant puis recreant chaque fichier suivi). djLint (H021, styles inline) volontairement saute pour ce commit - backlog assume, deja documente, traite dans un lot separe. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
48 lines
2.1 KiB
Python
48 lines
2.1 KiB
Python
import os
|
|
import secrets
|
|
|
|
from dotenv import load_dotenv
|
|
from flask import Flask
|
|
|
|
# Charge .env AVANT tout le reste (voir .env.example) — ce module est le
|
|
# tout premier import interne de app.py, donc les variables sont posées
|
|
# avant qu'un `import db`/`auth` ne les résolve à l'import (ex.
|
|
# db/constants.py::PROJECTS_DIR). Ne remplace JAMAIS une variable déjà
|
|
# présente dans os.environ (comportement par défaut de load_dotenv) —
|
|
# tests/conftest.py, qui pose ses propres variables en Python avant tout
|
|
# import, reste donc isolé d'un .env local même s'il en existe un sur le
|
|
# poste. Aucun effet en production (pas de fichier .env sur le serveur,
|
|
# les variables y sont posées directement sur l'hôte/le conteneur).
|
|
load_dotenv()
|
|
|
|
_BASE_DIR = os.path.dirname(os.path.dirname(os.path.abspath(__file__)))
|
|
_TEMPLATE_FOLDER = os.path.join(_BASE_DIR, "templates")
|
|
_STATIC_FOLDER = os.path.join(_BASE_DIR, "static")
|
|
|
|
# CSRF gere par core/csrf_guard.py (garde maison globale, testee dans test_csrf.py) - pas Flask-WTF.
|
|
app = Flask(__name__, template_folder=_TEMPLATE_FOLDER, static_folder=_STATIC_FOLDER) # NOSONAR S4502
|
|
|
|
|
|
def _load_or_create_secret_key() -> str:
|
|
"""Nécessaire dès qu'une session Flask (flask.session) est utilisée —
|
|
ici pour se souvenir de qui est connecté (auth/). Généré une seule
|
|
fois et PERSISTÉ dans un fichier (jamais en dur dans le code, jamais
|
|
commité — voir .gitignore, data/) : sans ça, chaque redémarrage du
|
|
serveur changerait la clé et déconnecterait tout le monde. Le chemin
|
|
est overridable (FORGE_SECRET_KEY_PATH) pour que les tests utilisent
|
|
un fichier temporaire, jamais celui du poste réel."""
|
|
path = os.environ.get("FORGE_SECRET_KEY_PATH") or os.path.join(_BASE_DIR, "data", "secret_key")
|
|
if os.path.isfile(path):
|
|
with open(path, "r", encoding="utf-8") as f:
|
|
key = f.read().strip()
|
|
if key:
|
|
return key
|
|
key = secrets.token_hex(32)
|
|
os.makedirs(os.path.dirname(path), exist_ok=True)
|
|
with open(path, "w", encoding="utf-8") as f:
|
|
f.write(key)
|
|
return key
|
|
|
|
|
|
app.secret_key = _load_or_create_secret_key()
|