gustavosantos/GTI_GERENCIADOR_FISCAL
1
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases Wiki Activity

feat: protecao CSRF (double-submit cookie) e paginacao da lista de clientes

Browse Source 
CSRF: novo app/csrf.py + middleware em app/main.py garantem um cookie
csrf_token por navegador; todo formulario que muda estado (criar/editar/
excluir cliente, adicionar/editar/excluir contato) embute esse valor
como campo oculto, e Depends(exigir_csrf) confere no POST que o valor
enviado bate com o cookie antes de deixar a rota executar. Verificado
ponta a ponta com o app real rodando (curl): token errado -> 403,
token correto -> 303.

Paginacao: db_clientes.listar_clientes ganha offset, nova
contar_clientes(); GET /clientes aceita ?pagina=N (100 clientes por
pagina), template mostra Anterior/Proxima e o total.

53/53 testes passando (8 novos).
This commit is contained in:
Gustavo
2026-08-13 11:02:17 -03:00
parent 96cbd8a294
commit bb8fd596b1
12 changed files with 247 additions and 31 deletions
Download Patch File Download Diff File Expand all files Collapse all files
tests/test_router_contatos.py
+19 -5
View File
@@ -10,6 +10,11 @@ app_teste.include_router(router_clientes.router)
app_teste.include_router(router_contatos.router)
app_teste.dependency_overrides[exigir_login] = lambda: "teste"
client = TestClient(app_teste, follow_redirects=False)
# Este app de teste não tem o middleware de CSRF (só o main.py real o monta).
# Simula um navegador que já tem o cookie definido: os testes de POST
# precisam mandar o mesmo valor no campo oculto "csrf_token".
CSRF_TESTE = "teste-csrf-token"
client.cookies.set("csrf_token", CSRF_TESTE)
def test_adicionar_contato_com_sucesso(monkeypatch):
@@ -22,7 +27,9 @@ def test_adicionar_contato_com_sucesso(monkeypatch):
lambda cid, nome, tel, email=None: chamadas.setdefault("dados", (cid, nome, tel, email)),
)
resposta = client.post("/clientes/1/contatos", data={"nome": "Fulano", "telefone": "(75) 99909-0001"})
resposta = client.post(
"/clientes/1/contatos", data={"nome": "Fulano", "telefone": "(75) 99909-0001", "csrf_token": CSRF_TESTE}
)
assert resposta.status_code == 303
assert chamadas["dados"] == (1, "Fulano", "75999090001", None)
@@ -35,7 +42,11 @@ def test_adicionar_contato_duplicado_avisa(monkeypatch):
monkeypatch.setattr(router_clientes.db_contatos, "listar_contatos_por_cliente", lambda cid: [])
monkeypatch.setattr(router_clientes.db_chaves, "status_chaves", lambda codigo: None)
resposta = client.post("/clientes/1/contatos", data={"nome": "Fulano", "telefone": "75999090001"}, follow_redirects=True)
resposta = client.post(
"/clientes/1/contatos",
data={"nome": "Fulano", "telefone": "75999090001", "csrf_token": CSRF_TESTE},
follow_redirects=True,
)
assert "já está cadastrado" in resposta.text
@@ -52,7 +63,10 @@ def test_editar_contato_com_sucesso(monkeypatch):
resposta = client.post(
"/clientes/1/contatos/5/editar",
data={"nome": "Fulano Editado", "telefone": "(75) 99909-0002", "email": "fulano@example.com"},
data={
"nome": "Fulano Editado", "telefone": "(75) 99909-0002", "email": "fulano@example.com",
"csrf_token": CSRF_TESTE,
},
)
assert resposta.status_code == 303
assert chamadas["dados"] == (5, 1, "Fulano Editado", "75999090002", "fulano@example.com")
@@ -66,7 +80,7 @@ def test_editar_contato_duplicado_avisa(monkeypatch):
resposta = client.post(
"/clientes/1/contatos/5/editar",
data={"nome": "Fulano", "telefone": "75999090001"},
data={"nome": "Fulano", "telefone": "75999090001", "csrf_token": CSRF_TESTE},
follow_redirects=True,
)
assert "já está cadastrado" in resposta.text
@@ -79,6 +93,6 @@ def test_excluir_contato(monkeypatch):
router_contatos.db_contatos, "excluir_contato", lambda contato_id, cid: chamadas.setdefault("dados", (contato_id, cid))
)
resposta = client.post("/clientes/1/contatos/5/excluir")
resposta = client.post("/clientes/1/contatos/5/excluir", data={"csrf_token": CSRF_TESTE})
assert resposta.status_code == 303
assert chamadas["dados"] == (5, 1)