jUdZddlZddlZddlZddlZddlZddlZddlZddlm Z ddl m Z ddl m Z ejdZhdZiZeeefed<d ed efd Zd efd Zd efd Zded efdZdede ed efdZdeded efdZdeded eeeffdZdededed efdZde efdZ!e!e jDZ#ded efdZ$d efdZ%d e efd Z&y)!u Sécurité transverse : secrets persistants, mots de passe, URLs signées, IP client derrière un reverse proxy, validation de la config de production. N)Optional)config)get_dbzmeeconic.security>adminchangemepassword direction2026 change-me _secret_cachenamereturnc:|tvr t|St5}|jdd|tjdf|j |jdd|fj d}dddt|<|S#1swYxYw)uSecret généré une fois puis conservé en base : identique entre workers et entre redémarrages (utilisé seulement si le .env n'en fournit pas).z6INSERT OR IGNORE INTO app_kv (key, value) VALUES (?,?)zsecret: z$SELECT value FROM app_kv WHERE key=?valueN)r rexecutesecrets token_hexcommitfetchone)r connrs (/var/www/photos/backend/core/security.py_persistent_secretrs }T"" nT Mv&(9(9"(=> @  CPTvFVEXYbbdelm n  M$ L nns A"BBc<tjxs tdS)Njwt)rADMIN_JWT_SECRETrr jwt_secretr)s  " " ?&8&??rctjrtjStjdt zj j S)Nzmedia:)r MEDIA_SECREThashlibsha256rencode hexdigestrrr media_secretr%-s? """ >>8jl2::< = G G IIrrctjd}tj|j |dddd}dt j |jdt j |jS) N@rsaltnrpdklenzscrypt$$)r token_bytesr!scryptr#base64 b64encodedecode)rr,dks r hash_passwordr85so   r "D )1QS TB V%%d+2245Qv7G7G7K7R7R7T6U VVrstoredc B|sy |jd\}}}|dk7rytj|tj|}}tj|j |dddt |}tj||S#t$rYywxYw)NFr1r3r(r)r*r+) splitr4 b64decoder!r3r#lenhmaccompare_digest Exception)rr9schemesalt_b64dk_b64r,expectedr7s rverify_passwordrE;s #)<<#4 & X ))(3V5E5Ef5Mh ^^HOO-DGqAUXYaUb c""2x00 sBA1B BBabcftj|j|jSN)r>r?r#)rFrGs rconstant_time_eqrJIs!   qxxz188: 66rpayloadttl_secscttj|z}tjt j |d|j t jjdd}||fS)N|r) inttimer>newr%r#r!r"r$)rKrLexpsigs rsignrTOsg diik X %C ((<>((*wiq,>,E,E,G X b b dehfh iC 8OrrRrSc$|tjkrytjtj |d|j t j jdd}tj||xsdS)NFrNr) rPr>rQr%r#r!r"r$r?)rKrRrSrDs rverify_signaturerWUsq TYY[xx --/G9AcU1C1J1J1Lgnn]ggijmkmnH   x 33ritemscg}|D])} |jtj|d+|S#t$rtj d|YOwxYw)NF)strictz!TRUSTED_PROXIES: entry ignored %r)append ipaddress ip_network ValueErrorlogwarning)rXnetsits r_parse_networksrc^s` DA A KK ,,R> ?A K A KK;R @ As&3AAipc~ tj|tfdtDS#t$rYywxYw)NFc3&K|]}|v ywrIr).0r-addrs r z_is_trusted..ps0Qtqy0s)r\ ip_addressr^any _trusted_nets)rdrhs @r _is_trustedrmks?##B' 0-0 00 s 0 <<ch|jr|jjnd}t|s|S|jj dd}|s|St |j dDcgc]#}|js|j%c}D]}t|r|cS|Scc}w)uIP réelle du client. X-Forwarded-For n'est lu que si la connexion vient d'un proxy de confiance ; on remonte la chaîne depuis la droite jusqu'à la première adresse non fiable (un client ne peut donc pas forger sa propre IP).unknownzx-forwarded-forrV,)clienthostrmheadersgetreversedr;strip)requestpeerxffr/ candidates r client_ipr{ss#*..7>>  iD t  //  / 4C  #))C.NQAGGIqwwyNO 9%  KOs *B/B/cg}tj}|r$|jtvst |dkr|j dtj r;t tj dkstj jdr|j dtjs|j dtjs|j d|S)u8Retourne la liste des problèmes bloquants (vide si OK). uGADMIN_PASSWORD absent, par défaut ou trop court (min. 10 caractères).rr u<ADMIN_JWT_SECRET absent ou trop court (min. 32 caractères).uISTRIPE_SECRET_KEY absent : les commandes ne pourraient pas être payées.u[STRIPE_WEBHOOK_SECRET absent : les paiements ne seraient jamais confirmés de façon sûre.) rADMIN_PASSWORDlower_DEFAULT_PASSWORDSr=r[r startswithSTRIPE_SECRET_KEYSTRIPE_WEBHOOK_SECRET)problemspws rvalidate_production_configrsH   B 11SWr\ab  " "c&*A*A&BR&G6KbKbKmKmnyKzVW  # #cd  ' 'uv Or)'__doc__r4r!r>r\loggingrrPtypingrcorercore.dbr getLoggerr_rr dictstr__annotations__rrr%r8boolrErJrOtuplerTrWlistrcTRUSTED_PROXIESrlrmr{rrrrrsi  g+,U " tCH~" S S @C@JcJWCWCW c 8C= T 7777 #sCx 4c44#4$449  6 67 1C1D1 # $ DI r