feat(tradein/auth): password hashing + session config foundation (#2550) #2560

Merged

lekss361 merged 1 commit from feat/tradein-auth-password-foundation into main

2026-07-30 07:04:56 +00:00

lekss361 commented

2026-07-30 06:41:54 +00:00

Owner

Closes #2550 (эпик #2549, шаг 1/8).

bcrypt>=4.2.0 (locked 5.0.0, uv.lock в workspace root tradein-mvp/)
app/core/password.py: hash/verify, rounds=12; >72 байт UTF-8 или пустой → ValueError на hash, False на verify (без silent truncation, multibyte учтён)
app/core/config.py: session_secret (default "" — намеренно НЕ required, чтобы прод не упал до простановки env; enforcement в #2552), session_cookie_name, session_ttl_hours=720, auth_mode=dual, login_rate_limit*
tests/test_password.py: 10 тестов (roundtrip, границы 72 байт, кириллица 80 байт, соль, malformed hash)

uv run pytest tests/test_password.py -q → 10 passed. Роуты/rbac не тронуты (#2552).

Closes #2550 (эпик #2549, шаг 1/8). - `bcrypt>=4.2.0` (locked 5.0.0, uv.lock в workspace root `tradein-mvp/`) - `app/core/password.py`: hash/verify, rounds=12; >72 байт UTF-8 или пустой → ValueError на hash, False на verify (без silent truncation, multibyte учтён) - `app/core/config.py`: `session_secret` (default `""` — намеренно НЕ required, чтобы прод не упал до простановки env; enforcement в #2552), `session_cookie_name`, `session_ttl_hours=720`, `auth_mode=dual`, `login_rate_limit*` - `tests/test_password.py`: 10 тестов (roundtrip, границы 72 байт, кириллица 80 байт, соль, malformed hash) `uv run pytest tests/test_password.py -q` → 10 passed. Роуты/rbac не тронуты (#2552).

Rows
Columns