williamandClaude Sonnet 5
3c39f1a249
Ajoute la vraie route hébergée multi-joueurs qui manquait totalement
(voir le constat d'exploration : /game/<slug>/play est réservé au
créateur connecté, "Publier" ne génère qu'un exécutable mono-joueur) —
un visiteur anonyme peut maintenant jouer un jeu explicitement publié en
ligne, avec sa propre partie (variables/objets per_player posés dans le
commit précédent).
core/player_identity.py : identité visiteur via un cookie NON SIGNÉ
(forge_player_id, secrets.token_urlsafe(16), 1 an) — une simple clé de
partition, jamais un jeton d'autorisation.
routes/public_play/ : 4 routes, miroirs des routes existantes de l'aperçu
créateur mais threadées avec le vrai player_id du cookie au lieu du
sentinel PLAYER_SHARED :
- GET /jouer/<slug> (game_play_public.py)
- GET /jouer/<slug>/runtime-payload
- POST /jouer/<slug>/flow/nodes/<id>/run-data
- POST /jouer/<slug>/flow/nodes/<id>/run-variable
Chacune vérifie elle-même db.is_public_played(slug) (404 sinon) — un jeu
n'est exposé publiquement que si le créateur l'a explicitement basculé
"Publier en ligne" (nouveau db/games/is_public_played.py, réutilise la
table générique _meta, comme game_meta.py pour 'name').
core/auth_guard.py : les 4 endpoints publics ajoutés à _PUBLIC_ENDPOINTS
— la garde générique de connexion les laisse passer sans session, mais
chaque vue vérifie quand même is_public_played elle-même (défense en
profondeur, pas seulement une liste d'exceptions). CSRF (core/csrf_guard.py)
n'a besoin d'AUCUN changement : le jeton est déjà lié à la session Flask,
qui existe pour n'importe quel visiteur (connecté ou non).
templates/play.html : FORGE_PLAY_URLS (posé en Phase -1) ne construit
plus ses URLs via des noms de endpoint fixes (url_for('runtime_payload',
...)) mais reçoit des URLs déjà résolues par la route elle-même
(runtime_payload_url/flow_node_run_data_url/flow_node_run_variable_url)
— nécessaire puisque ce même template sert maintenant DEUX familles de
routes (aperçu créateur ET partie publique), chacune avec ses propres
noms de endpoint. routes/play/game_play.py (aperçu créateur, INCHANGÉ
comportement) et game_play_public.py passent chacun ses propres URLs.
templates/base.html : bascule "🌐 Publier en ligne" dans la barre de
navigation du jeu, à côté de "📦 Publier" (export .zip) — deux
fonctionnalités distinctes. db/games/game_meta.py expose maintenant
is_public_played, disponible partout où `game` est dans le contexte.
Vérifié : 237 tests passent (5 nouveaux dans test_public_play.py, dont un
bout-en-bout via HTTP avec deux VRAIS clients de test anonymes — deux
cookies forge_player_id différents — qui obtiennent des valeurs de
variable indépendantes, et un qui verrouille que l'aperçu créateur reste
inchangé). Syntaxe JS validée sur les deux variantes de play.html rendu
(aperçu créateur et partie publique).
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
75 lines
3.5 KiB
Python
75 lines
3.5 KiB
Python
"""Garde d'accès globale — connexion obligatoire pour tout le moteur, et
|
|
isolation par utilisateur d'un SEUL projet (sauf le rôle "admin",
|
|
illimité comme avant l'authentification). Un seul before_request plutôt
|
|
qu'un décorateur à poser sur chacune des ~80 routes existantes : moins de
|
|
risque d'en oublier une, et aucun fichier de routes existant n'a besoin
|
|
d'être modifié.
|
|
|
|
Cet import doit avoir lieu APRÈS `import routes` (voir app.py/conftest.py)
|
|
pour que `app.url_map` connaisse déjà toutes les routes au moment où ce
|
|
module tente de résoudre request.endpoint — en pratique sans importance
|
|
ici (la résolution se fait à la requête, pas à l'import), mais gardé pour
|
|
rester cohérent avec l'ordre d'import du reste du moteur."""
|
|
from flask import g, redirect, request, session, url_for, abort
|
|
|
|
import auth
|
|
|
|
from .flask_app import app
|
|
|
|
# Endpoints accessibles SANS être connecté — tout le reste exige une
|
|
# session valide. "static" (CSS/JS/images) doit rester public : la page
|
|
# de connexion elle-même en a besoin pour s'afficher.
|
|
#
|
|
# game_play_public/runtime_payload_public/flow_node_run_data_public/
|
|
# flow_node_run_variable_public (routes/public_play/) : la route PUBLIQUE
|
|
# /jouer/<slug>, pour un vrai visiteur anonyme (état par joueur, Phase 1)
|
|
# — chaque vue vérifie ELLE-MÊME db.is_public_played(slug) (404 sinon),
|
|
# cette garde générique ne fait qu'autoriser l'accès sans connexion, elle
|
|
# ne dispense d'aucune autre vérification.
|
|
_PUBLIC_ENDPOINTS = {
|
|
"static", "login", "login_2fa", "register", "register_2fa", "logout",
|
|
"forgot_password", "reset_password",
|
|
"game_play_public", "runtime_payload_public",
|
|
"flow_node_run_data_public", "flow_node_run_variable_public",
|
|
}
|
|
|
|
|
|
@app.before_request
|
|
def _require_login_and_enforce_project_isolation():
|
|
endpoint = request.endpoint
|
|
if endpoint is None or endpoint in _PUBLIC_ENDPOINTS:
|
|
return None
|
|
|
|
user_id = session.get("user_id")
|
|
if not user_id:
|
|
return redirect(url_for("login", next=request.path))
|
|
|
|
user = auth.get_user_by_id(user_id)
|
|
if not user:
|
|
# Compte supprimé/introuvable depuis la dernière requête : la
|
|
# session ne doit jamais rester "connectée" dans le vide.
|
|
session.clear()
|
|
return redirect(url_for("login"))
|
|
g.current_user = user
|
|
|
|
# Un compte "user" n'a accès qu'à SON SEUL projet (project_slug) — un
|
|
# "admin" reste illimité, exactement comme avant l'authentification.
|
|
# Les routes de gestion multi-jeux (page d'accueil, "+ Nouveau jeu")
|
|
# n'ont pas leur place pour un compte à projet unique : redirigées
|
|
# directement vers son propre tableau de bord plutôt qu'un 403 sec.
|
|
if user["role"] != "admin":
|
|
if endpoint in ("index", "games_new") and user.get("project_slug"):
|
|
return redirect(url_for("game_dashboard", slug=user["project_slug"]))
|
|
slug = request.view_args.get("slug") if request.view_args else None
|
|
if slug is not None and slug != user.get("project_slug"):
|
|
abort(403)
|
|
if endpoint == "game_delete":
|
|
# Un compte "user" n'a qu'UN SEUL projet, et aucun moyen d'en
|
|
# recréer un une fois supprimé (games_new le renvoie toujours
|
|
# vers project_slug, même si le dossier n'existe plus) —
|
|
# bloqué plutôt que de risquer de le laisser sans projet du
|
|
# tout. Un admin, lui, peut toujours supprimer ses jeux comme
|
|
# avant (aucune restriction ci-dessus pour ce rôle).
|
|
abort(403)
|
|
return None
|