GustavoandClaude Sonnet 5
d7a08ddd8d
- app/rate_limit.py: bloqueia por IP após 5 tentativas de senha erradas em 5 minutos em POST /login (rota pré-autenticação, hoje sem nenhuma proteção contra força bruta). - Cookie de sessão (routers/auth.py) e cookie CSRF (main.py) passam a sair com Secure quando a requisição chega em HTTPS (request.url.scheme) — hoje é sempre False porque produção ainda serve HTTP puro, mas o cookie passa a ficar protegido automaticamente assim que um TLS for colocado na frente, sem precisar editar isso de novo. - main.py: novo middleware de security headers (X-Content-Type-Options, X-Frame-Options: DENY, Referrer-Policy, Content-Security-Policy, Strict-Transport-Security condicional a HTTPS). - requirements.txt: fastapi 0.115.0 -> 0.115.6 (starlette >=0.40.0, corrige DoS por memória não limitada ao parsear multipart/form-data — GHSA-f96h-pmfr-66vw), python-multipart 0.0.9 -> 0.0.20 (várias vulnerabilidades de DoS corrigidas), jinja2 3.1.4 -> 3.1.6 (escapes de sandbox). httpx/uvicorn/PyMySQL já estavam em versões sem CVE conhecida — conferido via osv.dev. - Dockerfile: container não roda mais como root. Suíte completa (181 testes) passando, incluindo testes novos para o rate limiter (unitários + integração via POST /login) e smoke test manual confirmando headers, fluxo de login com CSRF e o bloqueio por força bruta. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
118 lines
4.6 KiB
Python
118 lines
4.6 KiB
Python
from fastapi import Depends, FastAPI
|
|
from fastapi.testclient import TestClient
|
|
|
|
from app import rate_limit, session
|
|
from app.auth import NaoAutenticado, UsuarioLogado, exigir_login
|
|
from app.routers import auth as router_auth
|
|
|
|
app_teste = FastAPI()
|
|
app_teste.include_router(router_auth.router)
|
|
|
|
|
|
@app_teste.exception_handler(NaoAutenticado)
|
|
def _handler(request, exc):
|
|
from fastapi.responses import RedirectResponse
|
|
|
|
return RedirectResponse(url=f"/login?next={exc.caminho_original}", status_code=303)
|
|
|
|
|
|
@app_teste.get("/rota-protegida-teste")
|
|
def _rota_protegida(usuario: UsuarioLogado = Depends(exigir_login)):
|
|
return {"ok": True}
|
|
|
|
|
|
client = TestClient(app_teste, follow_redirects=False)
|
|
CSRF_TESTE = "teste-csrf-token"
|
|
client.cookies.set("csrf_token", CSRF_TESTE)
|
|
|
|
|
|
def test_get_login_mostra_formulario():
|
|
resposta = client.get("/login")
|
|
assert resposta.status_code == 200
|
|
assert "senha" in resposta.text.lower()
|
|
|
|
|
|
def test_post_login_credenciais_corretas_grava_cookie_e_redireciona():
|
|
resposta = client.post(
|
|
"/login", data={"usuario": "admin", "senha": "teste123", "next": "/clientes", "csrf_token": CSRF_TESTE}
|
|
)
|
|
assert resposta.status_code == 303
|
|
assert resposta.headers["location"] == "/clientes"
|
|
assert session.SESSION_COOKIE_NAME in resposta.cookies
|
|
|
|
|
|
def test_post_login_sem_next_redireciona_para_clientes():
|
|
resposta = client.post("/login", data={"usuario": "admin", "senha": "teste123", "csrf_token": CSRF_TESTE})
|
|
assert resposta.status_code == 303
|
|
assert resposta.headers["location"] == "/clientes"
|
|
|
|
|
|
def test_post_login_next_externo_e_ignorado_por_seguranca():
|
|
resposta = client.post(
|
|
"/login",
|
|
data={"usuario": "admin", "senha": "teste123", "next": "https://site-malicioso.com", "csrf_token": CSRF_TESTE},
|
|
)
|
|
assert resposta.status_code == 303
|
|
assert resposta.headers["location"] == "/clientes"
|
|
|
|
|
|
def test_post_login_next_com_barra_invertida_e_ignorado_por_seguranca():
|
|
# "/\evil.com" é tratado por navegadores modernos como equivalente a
|
|
# "//evil.com" (URL protocol-relative) — precisa ser bloqueado também.
|
|
resposta = client.post(
|
|
"/login",
|
|
data={"usuario": "admin", "senha": "teste123", "next": "/\\evil.com", "csrf_token": CSRF_TESTE},
|
|
)
|
|
assert resposta.status_code == 303
|
|
assert resposta.headers["location"] == "/clientes"
|
|
|
|
|
|
def test_post_login_credenciais_erradas_nao_grava_cookie():
|
|
resposta = client.post(
|
|
"/login", data={"usuario": "admin", "senha": "errada", "csrf_token": CSRF_TESTE}
|
|
)
|
|
assert resposta.status_code == 200
|
|
assert "inválid" in resposta.text.lower()
|
|
assert session.SESSION_COOKIE_NAME not in resposta.cookies
|
|
|
|
|
|
def test_get_rota_protegida_sem_login_redireciona_para_login():
|
|
# Testes anteriores deixaram um painel_session válido no cookie jar do
|
|
# client (persistente, como um navegador real) — limpa antes de simular
|
|
# a requisição de um visitante não autenticado.
|
|
client.cookies.delete(session.SESSION_COOKIE_NAME)
|
|
resposta = client.get("/rota-protegida-teste")
|
|
assert resposta.status_code == 303
|
|
assert resposta.headers["location"] == "/login?next=/rota-protegida-teste"
|
|
|
|
|
|
def test_post_login_apos_muitas_falhas_e_bloqueado_mesmo_com_senha_certa():
|
|
# TestClient reporta sempre a mesma origem ("testclient") — limpa
|
|
# antes pra não herdar a falha registrada em
|
|
# test_post_login_credenciais_erradas_nao_grava_cookie() acima, e
|
|
# limpa depois pra não vazar bloqueio pros testes seguintes deste
|
|
# arquivo (que também usam essa mesma origem "testclient").
|
|
rate_limit._falhas.pop("testclient", None)
|
|
try:
|
|
for _ in range(rate_limit.MAX_TENTATIVAS):
|
|
client.post("/login", data={"usuario": "admin", "senha": "errada", "csrf_token": CSRF_TESTE})
|
|
|
|
resposta = client.post(
|
|
"/login", data={"usuario": "admin", "senha": "teste123", "csrf_token": CSRF_TESTE}
|
|
)
|
|
assert resposta.status_code == 429
|
|
assert "muitas tentativas" in resposta.text.lower()
|
|
assert session.SESSION_COOKIE_NAME not in resposta.cookies
|
|
finally:
|
|
rate_limit._falhas.pop("testclient", None)
|
|
|
|
|
|
def test_post_logout_apaga_cookie_e_redireciona():
|
|
cookies = {session.SESSION_COOKIE_NAME: session.criar_token("admin", "Admin", "ADMIN")}
|
|
resposta = client.post("/logout", data={"csrf_token": CSRF_TESTE}, cookies=cookies)
|
|
assert resposta.status_code == 303
|
|
assert resposta.headers["location"] == "/login"
|
|
# cookie apagado: o Set-Cookie da resposta zera o valor
|
|
set_cookie = resposta.headers.get("set-cookie", "")
|
|
assert session.SESSION_COOKIE_NAME in set_cookie
|