Gustavo
8d83122e98
- Tabela FUNCIONARIO_PAINEL (nova, ja criada no banco de dev) + app/db/funcionarios.py: nome/login/senha (hash scrypt, stdlib, sem dependencia nova) por funcionario, nunca excluido de verdade (so ativo/inativo). - app/senha.py: gerar_hash/verificar_senha com hashlib.scrypt + salt aleatorio por senha. - app/auth.py: login passa a checar duas fontes, nessa ordem - ADMIN_USER/ADMIN_PASSWORD (bootstrap, continua exigindo as duas preenchidas) e depois FUNCIONARIO_PAINEL (so contas ATIVO=1). O nome retornado (usado no log) passa a ser o nome de verdade do funcionario, nao mais sempre 'admin'. - Tela /funcionarios: listar, criar (com confirmacao de senha e checagem de login duplicado), editar nome/login, redefinir senha (form separado) e ativar/desativar. Tudo logado em LOG_PAINEL. - Testado ponta a ponta contra o app real: funcionario criado via tela consegue logar de verdade, e a acao aparece no /log com o nome de quem fez. 93/93 testes passando (23 novos).
45 lines
1.7 KiB
Python
45 lines
1.7 KiB
Python
"""
|
|
Login HTTP Basic. Duas fontes de credencial, checadas nessa ordem:
|
|
|
|
1. ADMIN_USER/ADMIN_PASSWORD (variáveis de ambiente) — conta única de
|
|
bootstrap, útil para o primeiro acesso (cadastrar o primeiro
|
|
funcionário em /funcionarios) e como plano B se a tabela de
|
|
funcionários ficar vazia/inacessível. Continua exigindo as duas
|
|
variáveis preenchidas (nunca autentica credencial vazia).
|
|
2. FUNCIONARIO_PAINEL (app/db/funcionarios.py) — conta individual por
|
|
funcionário, com senha em hash (app/senha.py). Só autentica se ATIVO=1.
|
|
|
|
Sem sessão/cookie — o próprio navegador guarda a credencial Basic.
|
|
"""
|
|
import os
|
|
import secrets
|
|
|
|
from fastapi import Depends, HTTPException, status
|
|
from fastapi.security import HTTPBasic, HTTPBasicCredentials
|
|
|
|
from .db import funcionarios as db_funcionarios
|
|
from .senha import verificar_senha
|
|
|
|
_security = HTTPBasic()
|
|
|
|
|
|
def exigir_login(credenciais: HTTPBasicCredentials = Depends(_security)) -> str:
|
|
usuario_admin = os.environ.get("ADMIN_USER", "")
|
|
senha_admin = os.environ.get("ADMIN_PASSWORD", "")
|
|
|
|
if usuario_admin and senha_admin:
|
|
usuario_ok = secrets.compare_digest(credenciais.username, usuario_admin)
|
|
senha_ok = secrets.compare_digest(credenciais.password, senha_admin)
|
|
if usuario_ok and senha_ok:
|
|
return credenciais.username
|
|
|
|
funcionario = db_funcionarios.obter_por_login(credenciais.username)
|
|
if funcionario and funcionario["ATIVO"] and verificar_senha(credenciais.password, funcionario["SENHA_HASH"]):
|
|
return funcionario["NOME"]
|
|
|
|
raise HTTPException(
|
|
status_code=status.HTTP_401_UNAUTHORIZED,
|
|
detail="Usuário ou senha inválidos.",
|
|
headers={"WWW-Authenticate": "Basic"},
|
|
)
|