patrickandClaude Sonnet 5
ceddeb1bf4
Konsolidierte Funde aus postgres-/sql-/jwt-/owasp-top10-expert-Review: - Race Conditions gefixt: doppelte aktive Kontrolle (SAVEPOINT + partieller Unique-Index), doppelte Mindermengen-Genehmigung (FOR UPDATE + Unique-Index), Lost-Update bei Nachfüllung (FOR UPDATE auf Fehlbestand/Objektposition). - Migration 0007: partielle Unique-Indizes als DB-Sicherheitsnetz + fehlende FK-Indizes (fehlbestand.material_id, kontrolle(objekt_id,status), zustaendigkeit, benutzer_rolle.rolle, objektposition.ablaufdatum u.a.). - Connection-Pool explizit begrenzt (pool_size=5, max_overflow=5) - ohne das könnte jeder uvicorn-Worker den Postgres max_connections-Wert sprengen. - Timing-Angriff bei Login-Enumeration gefixt (konstante Antwortzeit über Dummy-Hash), JWT-Decode verlangt jetzt exp/sub-Claims. - App-seitiges Rate-Limiting (slowapi, 5/min) auf /auth/login als Verteidigung in der Tiefe zusätzlich zum nginx-Limit. - nginx: TLS mit selbstsigniertem Zertifikat (LAN-Betrieb, keine Domain), HSTS, Content-Security-Policy, Permissions-Policy ergänzt. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01CVgbozhYmuEhiEJHffRXCV
52 lines
1.9 KiB
Python
52 lines
1.9 KiB
Python
from datetime import datetime, timedelta, timezone
|
|
|
|
import jwt
|
|
from passlib.context import CryptContext
|
|
|
|
from app.core.app_settings import settings
|
|
|
|
_pwd_context = CryptContext(schemes=["bcrypt"], deprecated="auto")
|
|
|
|
# Konstanter Dummy-Hash für Timing-Angriff-Schutz (jwt-expert-Review-Fund):
|
|
# ohne existierenden Benutzer kurzschließt `benutzer is None or verify_password(...)`
|
|
# den bcrypt-Vergleich, was per Antwortzeit verrät, ob ein Login existiert.
|
|
_DUMMY_HASH = _pwd_context.hash("kein-echtes-passwort-nur-fuer-konstante-antwortzeit")
|
|
|
|
|
|
def hash_password(password: str) -> str:
|
|
return _pwd_context.hash(password)
|
|
|
|
|
|
def verify_password(plain_password: str, password_hash: str) -> bool:
|
|
return _pwd_context.verify(plain_password, password_hash)
|
|
|
|
|
|
def verify_password_konstante_zeit(plain_password: str, password_hash: str | None) -> bool:
|
|
"""Wie verify_password, aber prüft immer gegen einen Hash (Dummy, falls der
|
|
Benutzer nicht existiert) - verhindert Login-Enumeration per Antwortzeit."""
|
|
return _pwd_context.verify(plain_password, password_hash or _DUMMY_HASH)
|
|
|
|
|
|
def create_access_token(*, subject: str) -> str:
|
|
# Bewusst KEINE Rollen im Token: get_current_user liest Rollen bei jedem Request
|
|
# frisch aus der DB (Rollenänderung wirkt sofort, kein Token-Refresh nötig).
|
|
expire = datetime.now(timezone.utc) + timedelta(minutes=settings.access_token_expire_minutes)
|
|
payload = {"sub": subject, "exp": expire}
|
|
return jwt.encode(payload, settings.jwt_secret_key, algorithm=settings.jwt_algorithm)
|
|
|
|
|
|
class InvalidTokenError(Exception):
|
|
pass
|
|
|
|
|
|
def decode_access_token(token: str) -> dict:
|
|
try:
|
|
return jwt.decode(
|
|
token,
|
|
settings.jwt_secret_key,
|
|
algorithms=[settings.jwt_algorithm],
|
|
options={"require": ["exp", "sub"]},
|
|
)
|
|
except jwt.PyJWTError as exc:
|
|
raise InvalidTokenError(str(exc)) from exc
|