gustavosantos/GTI_GERENCIADOR_FISCAL
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

feat: perfil admin/padrao em funcionarios, protege ultimo admin

Browse Source 
Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
This commit is contained in:
Gustavo
2026-08-13 20:56:52 -03:00
co-authored by Claude Sonnet 5
parent a2a5fc7905
commit 81f730df9e
4 changed files with 208 additions and 34 deletions
Download Patch File Download Diff File Expand all files Collapse all files
app/routers/funcionarios.py
+53 -20
View File
@@ -1,6 +1,8 @@
"""
Rotas de gestão de FUNCIONARIO_PAINEL: listar, criar (com senha), editar
nome/login, redefinir senha, ativar/desativar (nunca exclui de verdade).
Rotas de gestão de FUNCIONARIO_PAINEL: listar, criar (com senha e perfil),
editar nome/login/perfil, redefinir senha, ativar/desativar (nunca exclui
de verdade). Router inteiro protegido por exigir_admin — só administradores
acessam qualquer rota daqui (ver app/auth.py).
"""
from typing import Optional
@@ -8,12 +10,14 @@ from fastapi import APIRouter, Depends, Form, Request
from fastapi.responses import HTMLResponse, RedirectResponse
from fastapi.templating import Jinja2Templates
from ..auth import exigir_login
from ..auth import UsuarioLogado, exigir_admin
from ..csrf import exigir_csrf, token_do_contexto
from ..db import funcionarios as db_funcionarios
from ..db import log as db_log
router = APIRouter(prefix="/funcionarios")
PERFIS_VALIDOS = {"ADMIN", "PADRAO"}
router = APIRouter(prefix="/funcionarios", dependencies=[Depends(exigir_admin)])
templates = Jinja2Templates(directory="app/templates")
@@ -28,7 +32,7 @@ def listar(
request: Request,
mensagem: Optional[str] = None,
mensagem_tipo: Optional[str] = None,
usuario: str = Depends(exigir_login),
usuario: UsuarioLogado = Depends(exigir_admin),
):
funcionarios = db_funcionarios.listar_funcionarios()
return templates.TemplateResponse(
@@ -42,7 +46,7 @@ def listar(
@router.get("/novo", response_class=HTMLResponse)
def form_novo(request: Request, usuario: str = Depends(exigir_login)):
def form_novo(request: Request, usuario: UsuarioLogado = Depends(exigir_admin)):
return templates.TemplateResponse(
request, "funcionario_form.html", {"funcionario": None, "csrf_token": token_do_contexto(request)}
)
@@ -55,7 +59,8 @@ def criar(
login: str = Form(...),
senha: str = Form(...),
confirmar_senha: str = Form(...),
usuario: str = Depends(exigir_login),
perfil: str = Form(...),
usuario: UsuarioLogado = Depends(exigir_admin),
):
nome = nome.strip()
login = login.strip()
@@ -65,6 +70,8 @@ def criar(
erro = "Preencha nome, login e senha."
elif senha != confirmar_senha:
erro = "As senhas digitadas não coincidem."
elif perfil not in PERFIS_VALIDOS:
erro = "Perfil inválido."
elif db_funcionarios.login_em_uso(login):
erro = f"O login \"{login}\" já está em uso."
@@ -73,18 +80,18 @@ def criar(
request,
"funcionario_form.html",
{
"funcionario": None, "erro": erro, "dados": {"NOME": nome, "LOGIN": login},
"funcionario": None, "erro": erro, "dados": {"NOME": nome, "LOGIN": login, "PERFIL": perfil},
"csrf_token": token_do_contexto(request),
},
)
novo_id = db_funcionarios.criar_funcionario(nome, login, senha)
db_log.registrar(usuario, "criar", "funcionario", str(novo_id), True)
novo_id = db_funcionarios.criar_funcionario(nome, login, senha, perfil)
db_log.registrar(str(usuario), "criar", "funcionario", str(novo_id), True)
return _redirect_com_mensagem("Funcionário cadastrado.")
@router.get("/{funcionario_id}/editar", response_class=HTMLResponse)
def form_editar(request: Request, funcionario_id: int, usuario: str = Depends(exigir_login)):
def form_editar(request: Request, funcionario_id: int, usuario: UsuarioLogado = Depends(exigir_admin)):
funcionario = db_funcionarios.obter_funcionario(funcionario_id)
if funcionario is None:
return _redirect_com_mensagem("Funcionário não encontrado.", "danger")
@@ -99,7 +106,8 @@ def editar(
funcionario_id: int,
nome: str = Form(...),
login: str = Form(...),
usuario: str = Depends(exigir_login),
perfil: str = Form(...),
usuario: UsuarioLogado = Depends(exigir_admin),
):
nome = nome.strip()
login = login.strip()
@@ -107,21 +115,35 @@ def editar(
erro = None
if not nome or not login:
erro = "Preencha nome e login."
elif perfil not in PERFIS_VALIDOS:
erro = "Perfil inválido."
elif db_funcionarios.login_em_uso(login, ignorar_id=funcionario_id):
erro = f"O login \"{login}\" já está em uso."
else:
atual = db_funcionarios.obter_funcionario(funcionario_id)
rebaixando_ultimo_admin = (
atual is not None
and atual["PERFIL"] == "ADMIN"
and atual["ATIVO"] == 1
and perfil == "PADRAO"
and db_funcionarios.contar_admins_ativos() <= 1
)
if rebaixando_ultimo_admin:
erro = "Não é possível — este é o único administrador ativo."
if erro:
return templates.TemplateResponse(
request,
"funcionario_form.html",
{
"funcionario": {"ID": funcionario_id}, "erro": erro, "dados": {"NOME": nome, "LOGIN": login},
"funcionario": {"ID": funcionario_id}, "erro": erro,
"dados": {"NOME": nome, "LOGIN": login, "PERFIL": perfil},
"csrf_token": token_do_contexto(request),
},
)
db_funcionarios.atualizar_funcionario(funcionario_id, nome, login)
db_log.registrar(usuario, "editar", "funcionario", str(funcionario_id), True)
db_funcionarios.atualizar_funcionario(funcionario_id, nome, login, perfil)
db_log.registrar(str(usuario), "editar", "funcionario", str(funcionario_id), True)
return _redirect_com_mensagem("Funcionário atualizado.")
@@ -130,19 +152,30 @@ def redefinir_senha(
funcionario_id: int,
nova_senha: str = Form(...),
confirmar_nova_senha: str = Form(...),
usuario: str = Depends(exigir_login),
usuario: UsuarioLogado = Depends(exigir_admin),
):
if not nova_senha or nova_senha != confirmar_nova_senha:
db_log.registrar(usuario, "redefinir_senha", "funcionario", str(funcionario_id), False, "senhas não coincidem")
db_log.registrar(str(usuario), "redefinir_senha", "funcionario", str(funcionario_id), False, "senhas não coincidem")
return _redirect_com_mensagem("As senhas digitadas não coincidem.", "danger")
db_funcionarios.redefinir_senha(funcionario_id, nova_senha)
db_log.registrar(usuario, "redefinir_senha", "funcionario", str(funcionario_id), True)
db_log.registrar(str(usuario), "redefinir_senha", "funcionario", str(funcionario_id), True)
return _redirect_com_mensagem("Senha redefinida.")
@router.post("/{funcionario_id}/alternar-ativo", dependencies=[Depends(exigir_csrf)])
def alternar_ativo(funcionario_id: int, usuario: str = Depends(exigir_login)):
def alternar_ativo(funcionario_id: int, usuario: UsuarioLogado = Depends(exigir_admin)):
atual = db_funcionarios.obter_funcionario(funcionario_id)
if atual is not None and atual["ATIVO"] == 1:
# Só desativações (ATIVO 1 -> 0) de um admin passam pela checagem —
# reativar (0 -> 1) nunca reduz a contagem de admins ativos.
vai_desativar_ultimo_admin = atual["PERFIL"] == "ADMIN" and db_funcionarios.contar_admins_ativos() <= 1
if vai_desativar_ultimo_admin:
db_log.registrar(
str(usuario), "alternar_ativo", "funcionario", str(funcionario_id), False, "único administrador ativo"
)
return _redirect_com_mensagem("Não é possível desativar — este é o único administrador ativo.", "danger")
db_funcionarios.alternar_ativo(funcionario_id)
db_log.registrar(usuario, "alternar_ativo", "funcionario", str(funcionario_id), True)
db_log.registrar(str(usuario), "alternar_ativo", "funcionario", str(funcionario_id), True)
return _redirect_com_mensagem("Status do funcionário atualizado.")
app/templates/funcionario_form.html
+6
View File
@@ -12,6 +12,12 @@
<input type="text" id="nome" name="nome" value="{{ dados.NOME if dados else (funcionario.NOME if funcionario else '') }}" required>
<label for="login">Login</label>
<input type="text" id="login" name="login" value="{{ dados.LOGIN if dados else (funcionario.LOGIN if funcionario else '') }}" required>
<label for="perfil">Perfil</label>
{% set perfil_atual = dados.PERFIL if dados else (funcionario.PERFIL if funcionario else 'PADRAO') %}
<select id="perfil" name="perfil">
<option value="PADRAO" {{ "selected" if perfil_atual == "PADRAO" else "" }}>Padrão</option>
<option value="ADMIN" {{ "selected" if perfil_atual == "ADMIN" else "" }}>Administrador</option>
</select>
{% if not funcionario %}
<label for="senha">Senha</label>
<input type="password" id="senha" name="senha" required>
app/templates/funcionarios_lista.html
+2 -1
View File
@@ -5,11 +5,12 @@
<h1>Funcionários</h1>
<p><a class="botao" href="/funcionarios/novo">+ Novo funcionário</a></p>
<table>
<tr><th>Nome</th><th>Login</th><th>Status</th><th></th></tr>
<tr><th>Nome</th><th>Login</th><th>Perfil</th><th>Status</th><th></th></tr>
{% for f in funcionarios %}
<tr>
<td>{{ f.NOME }}</td>
<td>{{ f.LOGIN }}</td>
<td>{{ "Administrador" if f.PERFIL == "ADMIN" else "Padrão" }}</td>
<td>{{ "Ativo" if f.ATIVO else "Inativo" }}</td>
<td>
<a class="botao" href="/funcionarios/{{ f.ID }}/editar">Editar</a>
tests/test_router_funcionarios.py
+147 -13
View File
@@ -2,12 +2,12 @@ import pytest
from fastapi import FastAPI
from fastapi.testclient import TestClient
from app.auth import exigir_login
from app.auth import UsuarioLogado, exigir_login
from app.routers import funcionarios as router_funcionarios
app_teste = FastAPI()
app_teste.include_router(router_funcionarios.router)
app_teste.dependency_overrides[exigir_login] = lambda: "teste"
app_teste.dependency_overrides[exigir_login] = lambda: UsuarioLogado(login="admin", nome="Admin", perfil="ADMIN")
client = TestClient(app_teste, follow_redirects=False)
CSRF_TESTE = "teste-csrf-token"
client.cookies.set("csrf_token", CSRF_TESTE)
@@ -18,11 +18,26 @@ def _sem_log_real(monkeypatch):
monkeypatch.setattr(router_funcionarios.db_log, "registrar", lambda *args, **kwargs: None)
@pytest.fixture(autouse=True)
def _admin_como_padrao(monkeypatch):
"""Todo teste roda como admin por padrão (override acima). Testes que
querem simular usuário padrão sobrescrevem de novo dentro do próprio
teste e restauram no fim via yield."""
yield
app_teste.dependency_overrides[exigir_login] = lambda: UsuarioLogado(login="admin", nome="Admin", perfil="ADMIN")
def test_usuario_padrao_toma_403_em_qualquer_rota():
app_teste.dependency_overrides[exigir_login] = lambda: UsuarioLogado(login="fulano", nome="Fulano", perfil="PADRAO")
resposta = client.get("/funcionarios")
assert resposta.status_code == 403
def test_listar_funcionarios(monkeypatch):
monkeypatch.setattr(
router_funcionarios.db_funcionarios,
"listar_funcionarios",
lambda: [{"ID": 1, "NOME": "Fulano", "LOGIN": "fulano", "ATIVO": 1, "CRIADO_EM": "2026-01-01"}],
lambda: [{"ID": 1, "NOME": "Fulano", "LOGIN": "fulano", "PERFIL": "PADRAO", "ATIVO": 1, "CRIADO_EM": "2026-01-01"}],
)
resposta = client.get("/funcionarios")
assert resposta.status_code == 200
@@ -35,18 +50,18 @@ def test_criar_funcionario_com_sucesso(monkeypatch):
monkeypatch.setattr(
router_funcionarios.db_funcionarios,
"criar_funcionario",
lambda nome, login, senha: criado.setdefault("dados", (nome, login, senha)) and 1,
lambda nome, login, senha, perfil: criado.setdefault("dados", (nome, login, senha, perfil)) and 1,
)
resposta = client.post(
"/funcionarios/novo",
data={
"nome": "Fulano", "login": "fulano", "senha": "senhaForte123", "confirmar_senha": "senhaForte123",
"csrf_token": CSRF_TESTE,
"perfil": "PADRAO", "csrf_token": CSRF_TESTE,
},
)
assert resposta.status_code == 303
assert criado["dados"] == ("Fulano", "fulano", "senhaForte123")
assert criado["dados"] == ("Fulano", "fulano", "senhaForte123", "PADRAO")
def test_criar_funcionario_senhas_diferentes_bloqueia(monkeypatch):
@@ -55,14 +70,14 @@ def test_criar_funcionario_senhas_diferentes_bloqueia(monkeypatch):
monkeypatch.setattr(
router_funcionarios.db_funcionarios,
"criar_funcionario",
lambda nome, login, senha: chamou.setdefault("ok", True),
lambda nome, login, senha, perfil: chamou.setdefault("ok", True),
)
resposta = client.post(
"/funcionarios/novo",
data={
"nome": "Fulano", "login": "fulano", "senha": "senhaForte123", "confirmar_senha": "outraCoisa",
"csrf_token": CSRF_TESTE,
"perfil": "PADRAO", "csrf_token": CSRF_TESTE,
},
)
assert resposta.status_code == 200
@@ -76,14 +91,14 @@ def test_criar_funcionario_login_duplicado_bloqueia(monkeypatch):
monkeypatch.setattr(
router_funcionarios.db_funcionarios,
"criar_funcionario",
lambda nome, login, senha: chamou.setdefault("ok", True),
lambda nome, login, senha, perfil: chamou.setdefault("ok", True),
)
resposta = client.post(
"/funcionarios/novo",
data={
"nome": "Fulano", "login": "fulano", "senha": "senhaForte123", "confirmar_senha": "senhaForte123",
"csrf_token": CSRF_TESTE,
"perfil": "PADRAO", "csrf_token": CSRF_TESTE,
},
)
assert resposta.status_code == 200
@@ -91,21 +106,93 @@ def test_criar_funcionario_login_duplicado_bloqueia(monkeypatch):
assert "ok" not in chamou
def test_criar_funcionario_perfil_invalido_bloqueia(monkeypatch):
monkeypatch.setattr(router_funcionarios.db_funcionarios, "login_em_uso", lambda login, ignorar_id=None: False)
chamou = {}
monkeypatch.setattr(
router_funcionarios.db_funcionarios,
"criar_funcionario",
lambda nome, login, senha, perfil: chamou.setdefault("ok", True),
)
resposta = client.post(
"/funcionarios/novo",
data={
"nome": "Fulano", "login": "fulano", "senha": "senhaForte123", "confirmar_senha": "senhaForte123",
"perfil": "SUPERUSUARIO", "csrf_token": CSRF_TESTE,
},
)
assert resposta.status_code == 200
assert "ok" not in chamou
def test_editar_funcionario_com_sucesso(monkeypatch):
monkeypatch.setattr(router_funcionarios.db_funcionarios, "login_em_uso", lambda login, ignorar_id=None: False)
monkeypatch.setattr(
router_funcionarios.db_funcionarios,
"obter_funcionario",
lambda fid: {"ID": fid, "NOME": "Fulano", "LOGIN": "fulano", "PERFIL": "PADRAO", "ATIVO": 1},
)
capturado = {}
monkeypatch.setattr(
router_funcionarios.db_funcionarios,
"atualizar_funcionario",
lambda fid, nome, login: capturado.setdefault("dados", (fid, nome, login)),
lambda fid, nome, login, perfil: capturado.setdefault("dados", (fid, nome, login, perfil)),
)
resposta = client.post(
"/funcionarios/1/editar",
data={"nome": "Fulano Editado", "login": "fulano.editado", "csrf_token": CSRF_TESTE},
data={"nome": "Fulano Editado", "login": "fulano.editado", "perfil": "PADRAO", "csrf_token": CSRF_TESTE},
)
assert resposta.status_code == 303
assert capturado["dados"] == (1, "Fulano Editado", "fulano.editado")
assert capturado["dados"] == (1, "Fulano Editado", "fulano.editado", "PADRAO")
def test_editar_ultimo_admin_para_padrao_bloqueia(monkeypatch):
monkeypatch.setattr(router_funcionarios.db_funcionarios, "login_em_uso", lambda login, ignorar_id=None: False)
monkeypatch.setattr(
router_funcionarios.db_funcionarios,
"obter_funcionario",
lambda fid: {"ID": fid, "NOME": "Admin", "LOGIN": "admin.db", "PERFIL": "ADMIN", "ATIVO": 1},
)
monkeypatch.setattr(router_funcionarios.db_funcionarios, "contar_admins_ativos", lambda: 1)
chamou = {}
monkeypatch.setattr(
router_funcionarios.db_funcionarios,
"atualizar_funcionario",
lambda fid, nome, login, perfil: chamou.setdefault("ok", True),
)
resposta = client.post(
"/funcionarios/1/editar",
data={"nome": "Admin", "login": "admin.db", "perfil": "PADRAO", "csrf_token": CSRF_TESTE},
)
assert resposta.status_code == 200
assert "único administrador" in resposta.text
assert "ok" not in chamou
def test_editar_admin_para_padrao_com_outros_admins_permite(monkeypatch):
monkeypatch.setattr(router_funcionarios.db_funcionarios, "login_em_uso", lambda login, ignorar_id=None: False)
monkeypatch.setattr(
router_funcionarios.db_funcionarios,
"obter_funcionario",
lambda fid: {"ID": fid, "NOME": "Admin", "LOGIN": "admin.db", "PERFIL": "ADMIN", "ATIVO": 1},
)
monkeypatch.setattr(router_funcionarios.db_funcionarios, "contar_admins_ativos", lambda: 2)
capturado = {}
monkeypatch.setattr(
router_funcionarios.db_funcionarios,
"atualizar_funcionario",
lambda fid, nome, login, perfil: capturado.setdefault("dados", (fid, nome, login, perfil)),
)
resposta = client.post(
"/funcionarios/1/editar",
data={"nome": "Admin", "login": "admin.db", "perfil": "PADRAO", "csrf_token": CSRF_TESTE},
)
assert resposta.status_code == 303
assert capturado["dados"] == (1, "Admin", "admin.db", "PADRAO")
def test_redefinir_senha_com_sucesso(monkeypatch):
@@ -140,6 +227,53 @@ def test_redefinir_senha_nao_coincide_bloqueia(monkeypatch):
def test_alternar_ativo(monkeypatch):
monkeypatch.setattr(
router_funcionarios.db_funcionarios,
"obter_funcionario",
lambda fid: {"ID": fid, "NOME": "Fulano", "LOGIN": "fulano", "PERFIL": "PADRAO", "ATIVO": 1},
)
capturado = {}
monkeypatch.setattr(
router_funcionarios.db_funcionarios, "alternar_ativo", lambda fid: capturado.setdefault("id", fid)
)
resposta = client.post("/funcionarios/1/alternar-ativo", data={"csrf_token": CSRF_TESTE})
assert resposta.status_code == 303
assert capturado["id"] == 1
def test_desativar_ultimo_admin_ativo_bloqueia(monkeypatch):
monkeypatch.setattr(
router_funcionarios.db_funcionarios,
"obter_funcionario",
lambda fid: {"ID": fid, "NOME": "Admin", "LOGIN": "admin.db", "PERFIL": "ADMIN", "ATIVO": 1},
)
monkeypatch.setattr(router_funcionarios.db_funcionarios, "contar_admins_ativos", lambda: 1)
chamou = {}
monkeypatch.setattr(
router_funcionarios.db_funcionarios, "alternar_ativo", lambda fid: chamou.setdefault("ok", True)
)
resposta = client.post(
"/funcionarios/1/alternar-ativo", data={"csrf_token": CSRF_TESTE}, follow_redirects=True
)
assert "único administrador" in resposta.text
assert "ok" not in chamou
def test_reativar_funcionario_nao_passa_pela_checagem_de_ultimo_admin(monkeypatch):
# ATIVO indo de 0 para 1 (reativação) nunca reduz a contagem de admins
# ativos — não precisa nem chamar contar_admins_ativos().
monkeypatch.setattr(
router_funcionarios.db_funcionarios,
"obter_funcionario",
lambda fid: {"ID": fid, "NOME": "Admin", "LOGIN": "admin.db", "PERFIL": "ADMIN", "ATIVO": 0},
)
def _falha_se_chamado():
raise AssertionError("contar_admins_ativos não deveria ser chamado ao reativar")
monkeypatch.setattr(router_funcionarios.db_funcionarios, "contar_admins_ativos", _falha_se_chamado)
capturado = {}
monkeypatch.setattr(
router_funcionarios.db_funcionarios, "alternar_ativo", lambda fid: capturado.setdefault("id", fid)