ayurishchevandClaude Opus 5.5
d3495fb077
Пользователь сам включает TOTP (QR, приложение-аутентификатор); 10 одноразовых кодов восстановления; superadmin сбрасывает 2FA другому пользователю. Вход в два шага: /auth/login → mfa_token, /auth/login/2fa — под теми же лимитами и advisory-lock, что пароль. Секрет шифруется Fernet-ключом TOTP_ENC_KEY, защита от повторного использования кода (totp_last_step), лимиты перебора кода при отключении. Миграция 0015, зависимости pyotp, segno, cryptography. UI: второй шаг входа, диалоги 2FA в меню логина, бейдж и сброс в «Пользователях»; submitDialog не закрывает окно, открытое следующим шагом цепочки. Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>
39 lines
1.4 KiB
Python
39 lines
1.4 KiB
Python
"""Двухфакторная аутентификация TOTP, по выбору пользователя (изменение 037)
|
|
|
|
Revision ID: 0015
|
|
Revises: 0014
|
|
"""
|
|
from alembic import op
|
|
import sqlalchemy as sa
|
|
|
|
|
|
revision = "0015"
|
|
down_revision = "0014"
|
|
branch_labels = None
|
|
depends_on = None
|
|
|
|
|
|
def upgrade() -> None:
|
|
op.add_column("users", sa.Column("totp_secret_enc", sa.Text(), nullable=True))
|
|
op.add_column("users", sa.Column("totp_pending_enc", sa.Text(), nullable=True))
|
|
op.add_column("users", sa.Column("totp_enabled_at", sa.DateTime(timezone=True), nullable=True))
|
|
op.add_column("users", sa.Column("totp_last_step", sa.BigInteger(), nullable=True))
|
|
|
|
op.create_table(
|
|
"recovery_codes",
|
|
sa.Column("id", sa.Integer(), primary_key=True),
|
|
sa.Column("user_id", sa.Integer(), sa.ForeignKey("users.id", ondelete="CASCADE"), nullable=False),
|
|
sa.Column("code_hash", sa.String(64), nullable=False),
|
|
sa.Column("used_at", sa.DateTime(timezone=True), nullable=True),
|
|
)
|
|
op.create_index("ix_recovery_codes_user_id", "recovery_codes", ["user_id"])
|
|
|
|
|
|
def downgrade() -> None:
|
|
op.drop_index("ix_recovery_codes_user_id", table_name="recovery_codes")
|
|
op.drop_table("recovery_codes")
|
|
op.drop_column("users", "totp_last_step")
|
|
op.drop_column("users", "totp_enabled_at")
|
|
op.drop_column("users", "totp_pending_enc")
|
|
op.drop_column("users", "totp_secret_enc")
|