j%SrSSKrSSKrSSKrSSKrSSKrSSKrSSKrSSKJ r SSK J r SSK J r \R"S5r1Skr0r\\\4\S'S \S \4S jrS \4S jrS \4S jrS\S \4SjrS\S\ \S \4SjrS\S\S \4SjrS\S\S \\\44SjrS\S\S\S \4SjrS\ \4Sjr!\!"\ RD5r#S\S \4Sjr$S \4Sjr%S \ \4S jr&g)!u Sécurité transverse : secrets persistants, mots de passe, URLs signées, IP client derrière un reverse proxy, validation de la config de production. N)Optional)config)get_dbzmeeconic.security>adminchangemepassword direction2026 change-me _secret_cachenamereturncJU[;a [U$[5nURSSU3[R"S545 UR 5 URSSU345R 5SnSSS5 W[U'U$!,(df  N=f)uSecret généré une fois puis conservé en base : identique entre workers et entre redémarrages (utilisé seulement si le .env n'en fournit pas).z6INSERT OR IGNORE INTO app_kv (key, value) VALUES (?,?)zsecret: z$SELECT value FROM app_kv WHERE key=?valueN)r rexecutesecrets token_hexcommitfetchone)r connrs PD:\Ingenieria\TRABAJOS ONLINE\Projects\11- Photo School\backend\core\security.py_persistent_secretrs }T"" T Mv&(9(9"(=> @  CPTvFVEXYbbdelm   M$ L s A#B B"cF[R=(d [S5$)Njwt)rADMIN_JWT_SECRETrr jwt_secretr)s  " " ?&8&??rc[R(a[R$[R"S[ 5-R 55R 5$)Nzmedia:)r MEDIA_SECREThashlibsha256rencode hexdigestrrr media_secretr%-s? """ >>8jl2::< = G G IIrrc [R"S5n[R"UR 5USSSSS9nS[ R "U5R5S[ R "U5R53$) N@rsaltnrpdklenzscrypt$$)r token_bytesr!scryptr#base64 b64encodedecode)rr,dks r hash_passwordr85so   r "D )1QS TB V%%d+2245Qv7G7G7K7R7R7T6U VVrstoredc LU(dgURS5up#nUS:wag[R"U5[R"U5pe[R"UR 5USSS[ U5S9n[R"Xv5$![a gf=f)NFr1r3r(r)r*r+) splitr4 b64decoder!r3r#lenhmaccompare_digest Exception)rr9schemesalt_b64dk_b64r,expectedr7s rverify_passwordrE;s #)<<#4 & X ))(3V5E5Ef5Mh ^^HOO-DGqAUXYaUb c""200 sBA0B B#"B#abch[R"UR5UR55$N)r>r?r#)rFrGs rconstant_time_eqrJIs!   qxxz188: 66rpayloadttl_secsc [[R"55U-n[R"[ 5R 5USU3R 5[ R5R5SSnX#4$)N|r) inttimer>newr%r#r!r"r$)rKrLexpsigs rsignrTOse diik X %C ((<>((*wiq,>,E,E,G X b b dehfh iC 8OrrRrSc4U[R"5:ag[R"[5R 5USU3R 5[ R 5R5SSn[R"X2=(d S5$)NFrNr) rPr>rQr%r#r!r"r$r?)rKrRrSrDs rverify_signaturerWUso TYY[xx --/G9AcU1C1J1J1Lgnn]ggijmkmnH   x 33ritemsc/nUH(nUR[R"USS95 M* U$![a [R SU5 MQf=f)NF)strictz!TRUSTED_PROXIES: entry ignored %r)append ipaddress ip_network ValueErrorlogwarning)rXnetsits r_parse_networksrc^sY D A KK ,,R> ? K A KK;R @ As$3 AAipc^[R"U5m[U4Sj[55$![a gf=f)NFc3.># UH nTU;v M g7frIr).0r-addrs r _is_trusted..ps0-Qtqy-s)r\ ip_addressr^any _trusted_nets)rdrhs @r _is_trustedrnks?##B' 0-0 00 s 2 ??cUR(aURROSn[U5(dU$URR SS5nU(dU$[ UR S5Vs/sH)o3R5(dMUR5PM+ sn5Hn[U5(aMUs $ U$s snf)uIP réelle du client. X-Forwarded-For n'est lu que si la connexion vient d'un proxy de confiance ; on remonte la chaîne depuis la droite jusqu'à la première adresse non fiable (un client ne peut donc pas forger sa propre IP).unknownzx-forwarded-forrV,)clienthostrnheadersgetreversedr;strip)requestpeerxffr/ candidates r client_ipr|ss#*..7>>  iD t   //  / 4C  #))C.N.QGGIyqwwy.NO 9%% P KOs 9C C c/n[RnU(a'UR5[;d[ U5S:aUR S5 [R (aA[ [R 5S:d$[R RS5(aUR S5 [R(dUR S5 [R(dUR S5 U$)u8Retourne la liste des problèmes bloquants (vide si OK). uGADMIN_PASSWORD absent, par défaut ou trop court (min. 10 caractères).rr u<ADMIN_JWT_SECRET absent ou trop court (min. 32 caractères).uISTRIPE_SECRET_KEY absent : les commandes ne pourraient pas être payées.u[STRIPE_WEBHOOK_SECRET absent : les paiements ne seraient jamais confirmés de façon sûre.) rADMIN_PASSWORDlower_DEFAULT_PASSWORDSr=r[r startswithSTRIPE_SECRET_KEYSTRIPE_WEBHOOK_SECRET)problemspws rvalidate_production_configrsH   B 11SWr\ab  " "c&*A*A&BR&G6KbKbKmKmnyKzKzVW  # #cd  ' 'uv Or)'__doc__r4r!r>r\loggingrrPtypingrcorercore.dbr getLoggerr_rr dictstr__annotations__rrr%r8boolrErJrOtuplerTrWlistrcTRUSTED_PROXIESrmrnr|rrrrrsg   +,U " tCH~" S S @C@JcJWCWCW c 8C= T 7777 #sCx 4c44#4$449  6 67 1C1D1 # $ DI r