patrickandClaude Sonnet 5
ceddeb1bf4
Konsolidierte Funde aus postgres-/sql-/jwt-/owasp-top10-expert-Review: - Race Conditions gefixt: doppelte aktive Kontrolle (SAVEPOINT + partieller Unique-Index), doppelte Mindermengen-Genehmigung (FOR UPDATE + Unique-Index), Lost-Update bei Nachfüllung (FOR UPDATE auf Fehlbestand/Objektposition). - Migration 0007: partielle Unique-Indizes als DB-Sicherheitsnetz + fehlende FK-Indizes (fehlbestand.material_id, kontrolle(objekt_id,status), zustaendigkeit, benutzer_rolle.rolle, objektposition.ablaufdatum u.a.). - Connection-Pool explizit begrenzt (pool_size=5, max_overflow=5) - ohne das könnte jeder uvicorn-Worker den Postgres max_connections-Wert sprengen. - Timing-Angriff bei Login-Enumeration gefixt (konstante Antwortzeit über Dummy-Hash), JWT-Decode verlangt jetzt exp/sub-Claims. - App-seitiges Rate-Limiting (slowapi, 5/min) auf /auth/login als Verteidigung in der Tiefe zusätzlich zum nginx-Limit. - nginx: TLS mit selbstsigniertem Zertifikat (LAN-Betrieb, keine Domain), HSTS, Content-Security-Policy, Permissions-Policy ergänzt. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01CVgbozhYmuEhiEJHffRXCV
33 lines
1.2 KiB
Python
33 lines
1.2 KiB
Python
from contextlib import asynccontextmanager
|
||
|
||
from fastapi import FastAPI
|
||
from slowapi import _rate_limit_exceeded_handler
|
||
from slowapi.errors import RateLimitExceeded
|
||
|
||
import app.models # noqa: F401 (alle ORM-Modelle vollständig an Base.metadata
|
||
# registrieren, unabhängig davon, welche Endpunkte tatsächlich verdrahtet sind -
|
||
# sonst schlägt FK-Auflösung zwischen Modellen fehl, siehe tests/conftest.py)
|
||
from app.api.v1.api import api_router
|
||
from app.core.app_settings import settings
|
||
from app.core.rate_limit import limiter
|
||
from app.db.session import engine
|
||
|
||
_PLACEHOLDER_JWT_SECRET = "change-me-to-a-long-random-value"
|
||
|
||
|
||
@asynccontextmanager
|
||
async def lifespan(app: FastAPI):
|
||
if not settings.jwt_secret_key or settings.jwt_secret_key == _PLACEHOLDER_JWT_SECRET:
|
||
raise RuntimeError(
|
||
"JWT_SECRET_KEY ist leer oder noch der Platzhalter aus example.env – "
|
||
"in .env auf dem Zielsystem einen echten zufälligen Wert setzen."
|
||
)
|
||
yield
|
||
await engine.dispose()
|
||
|
||
|
||
app = FastAPI(title="MABEA", version="0.1.0", lifespan=lifespan)
|
||
app.state.limiter = limiter
|
||
app.add_exception_handler(RateLimitExceeded, _rate_limit_exceeded_handler)
|
||
app.include_router(api_router, prefix="/api/v1")
|