patrickandClaude Sonnet 5
ceddeb1bf4
Konsolidierte Funde aus postgres-/sql-/jwt-/owasp-top10-expert-Review: - Race Conditions gefixt: doppelte aktive Kontrolle (SAVEPOINT + partieller Unique-Index), doppelte Mindermengen-Genehmigung (FOR UPDATE + Unique-Index), Lost-Update bei Nachfüllung (FOR UPDATE auf Fehlbestand/Objektposition). - Migration 0007: partielle Unique-Indizes als DB-Sicherheitsnetz + fehlende FK-Indizes (fehlbestand.material_id, kontrolle(objekt_id,status), zustaendigkeit, benutzer_rolle.rolle, objektposition.ablaufdatum u.a.). - Connection-Pool explizit begrenzt (pool_size=5, max_overflow=5) - ohne das könnte jeder uvicorn-Worker den Postgres max_connections-Wert sprengen. - Timing-Angriff bei Login-Enumeration gefixt (konstante Antwortzeit über Dummy-Hash), JWT-Decode verlangt jetzt exp/sub-Claims. - App-seitiges Rate-Limiting (slowapi, 5/min) auf /auth/login als Verteidigung in der Tiefe zusätzlich zum nginx-Limit. - nginx: TLS mit selbstsigniertem Zertifikat (LAN-Betrieb, keine Domain), HSTS, Content-Security-Policy, Permissions-Policy ergänzt. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01CVgbozhYmuEhiEJHffRXCV
83 lines
2.7 KiB
Python
83 lines
2.7 KiB
Python
import pytest
|
|
|
|
from app.core.rate_limit import limiter
|
|
|
|
|
|
@pytest.mark.asyncio
|
|
async def test_login_unbekannter_benutzer_ist_401(client):
|
|
"""jwt-expert-Review-Fund: konstante Antwortzeit auch ohne existierenden
|
|
Login (verify_password_konstante_zeit) - hier nur der Statuscode, die
|
|
Timing-Eigenschaft selbst ist nicht sinnvoll per Unit-Test prüfbar."""
|
|
response = await client.post(
|
|
"/api/v1/auth/login",
|
|
data={"username": "gibt-es-nicht", "password": "irgendwas"},
|
|
)
|
|
assert response.status_code == 401
|
|
|
|
|
|
@pytest.mark.asyncio
|
|
async def test_login_rate_limit(client, mitarbeiter_user):
|
|
"""owasp-Review-Fund: App-seitiges Rate-Limit als Verteidigung in der Tiefe,
|
|
unabhängig vom nginx-Limit. In conftest.py global deaktiviert (sonst würden
|
|
andere Tests, die login() mehrfach aufrufen, selbst geblockt) - hier gezielt
|
|
für diesen einen Test wieder aktiviert."""
|
|
limiter.enabled = True
|
|
try:
|
|
for _ in range(5):
|
|
response = await client.post(
|
|
"/api/v1/auth/login",
|
|
data={"username": "mitarbeiter1", "password": "falsch"},
|
|
)
|
|
assert response.status_code == 401
|
|
blockiert = await client.post(
|
|
"/api/v1/auth/login",
|
|
data={"username": "mitarbeiter1", "password": "falsch"},
|
|
)
|
|
assert blockiert.status_code == 429
|
|
finally:
|
|
limiter.enabled = False
|
|
|
|
|
|
@pytest.mark.asyncio
|
|
async def test_login_success(client, mitarbeiter_user):
|
|
response = await client.post(
|
|
"/api/v1/auth/login",
|
|
data={"username": "mitarbeiter1", "password": "test-passwort-123"},
|
|
)
|
|
assert response.status_code == 200
|
|
body = response.json()
|
|
assert body["token_type"] == "bearer"
|
|
assert body["access_token"]
|
|
|
|
|
|
@pytest.mark.asyncio
|
|
async def test_login_wrong_password(client, mitarbeiter_user):
|
|
response = await client.post(
|
|
"/api/v1/auth/login",
|
|
data={"username": "mitarbeiter1", "password": "falsch"},
|
|
)
|
|
assert response.status_code == 401
|
|
|
|
|
|
@pytest.mark.asyncio
|
|
async def test_me_requires_token(client):
|
|
response = await client.get("/api/v1/auth/me")
|
|
assert response.status_code == 401
|
|
|
|
|
|
@pytest.mark.asyncio
|
|
async def test_me_returns_current_user(client, mitarbeiter_user):
|
|
login_response = await client.post(
|
|
"/api/v1/auth/login",
|
|
data={"username": "mitarbeiter1", "password": "test-passwort-123"},
|
|
)
|
|
token = login_response.json()["access_token"]
|
|
|
|
response = await client.get(
|
|
"/api/v1/auth/me", headers={"Authorization": f"Bearer {token}"}
|
|
)
|
|
assert response.status_code == 200
|
|
body = response.json()
|
|
assert body["login"] == "mitarbeiter1"
|
|
assert body["rollen"] == ["mitarbeiter"]
|