Add password validation for email auth by Georgon · Pull Request #265 · profcomff/auth-api

Georgon · 2026-08-13T18:22:35Z

Введена новая политика пароля:

8–32 символов

Разрешены:

A-Z, a-z, 0-9 и стандартные ASCII-спецсимволы, например: ! @ # $ % ^ & * ( ) _ + - = [ ] { } ; : , . / ? и т. д.

Запрещены пробелы, \n, \t, кириллица, буквы с диакритикой и вообще символы вне ASCII.

При этом я специально не применял новые ограничения к паролю при логине и к полю старого пароля при смене. Это важно для обратной совместимости: пользователь, зарегистрированный раньше с паролем вроде пароль123, по-прежнему сможет войти. Но установить такой пароль заново уже нельзя.

Основные изменения хранятся в auth_backend/schemas/types/password.py - новый файл, где централизовано хранятся условия на пароль: PASSWORD_MIN_LENGTH = 8, PASSWORD_MAX_LENGTH = 32, набор разрешённых символов, validate_password() и Pydantic-тип Password. В OpenAPI добавлены minLength, maxLength, pattern, format=password и текстовое описание требований.
Создание пользователя через CLI теперь тоже не позволяет обойти политику пароля.
Добавлены новые тесты: tests/test_unit/test_password.py - проверяются длина, Unicode, пробел, \n, \t, все ASCII-спецсимволы и данные, которые попадут в OpenAPI; tests/test_routes/test_registration.py и test_change_password.py - добавлены проверки, что короткие и недопустимые пароли дают 422.

Также изменен README и Makefile под новые правила пароля.

Closes #246

github-actions · 2026-08-13T18:24:14Z

Coverage Report

File	Stmts	Miss	Cover	Missing
auth_backend
__main__.py	3	3	0%	1–4
base.py	12	4	67%	6–9
exceptions.py	45	6	87%	32, 50–52, 57, 78
auth_backend/admin
admin.py	97	37	62%	17, 38, 41, 44–48, 51–55, 58–60, 91, 94, 97–102, 105–113, 116–117, 147, 150, 153–156
auth.py	41	29	29%	14–24, 27–31, 34–35, 39–49
filter.py	17	11	35%	13–24
auth_backend/auth_method
base.py	63	4	94%	51, 53, 60, 142
method_mixins.py	32	2	94%	27, 50
oauth.py	56	17	70%	37, 43, 48–53, 57–68, 94–99
outer.py	114	29	75%	26, 33, 40, 47, 98, 104, 113, 167–172, 185–193, 205–211
userdata_mixin.py	19	5	74%	32, 37–40
auth_backend/auth_plugins
airflow.py	33	16	52%	25–36, 41–64
authentic.py	190	103	46%	52–64, 69–82, 86–101, 105–111, 115–121, 128–130, 140–196, 203–253, 258, 263–264, 274–281, 310–316, 325, 330–340, 345–358
coder.py	32	16	50%	24–33, 38–51
email.py	256	14	95%	91, 248, 333, 335, 340, 351–357, 404, 445, 496, 506
github.py	104	63	39%	56–115, 129–173, 183, 188, 194–206
google.py	112	64	43%	64–123, 137–165, 175, 181–185, 189–194, 198–207
keycloak.py	104	62	40%	52–114, 124–174, 184, 189, 195–200
lkmsu.py	164	112	32%	59–112, 130–168, 178–200, 205, 210, 216–226, 230–244, 248–277, 281–290
mailu.py	34	18	47%	24–33, 38–53
postgres.py	43	20	53%	28–34, 39–45, 50–62
telegram.py	103	54	48%	57–84, 99–117, 130, 138, 146–166, 171–185
vk.py	128	82	36%	70–122, 136–174, 184, 189, 195–212, 219–245
yandex.py	127	83	35%	57–127, 140–178, 189, 195, 201–227
auth_backend/cli
group.py	13	13	0%	1–17
process.py	56	56	0%	1–71
scope.py	11	11	0%	1–20
user.py	22	22	0%	1–42
user_group.py	12	12	0%	1–25
auth_backend/kafka
kafka.py	50	20	60%	29–32, 41–43, 55–58, 71–81, 84, 92, 102
kafkameta.py	9	2	78%	8, 12
auth_backend/models
base.py	83	5	94%	79, 100–102, 106
db.py	152	8	95%	46, 55, 59, 120, 214, 223, 227, 240
dynamic_settings.py	27	7	74%	24–31
auth_backend/routes
base.py	37	2	95%	25–26
exc_handlers.py	43	6	86%	31, 56, 69, 95, 117, 125
groups.py	92	3	97%	81, 148, 150
oidc.py	34	1	97%	93
scopes.py	39	3	92%	16, 55–56
user.py	97	27	72%	52, 54, 56–65, 71–77, 89–109, 162, 172
user_session.py	84	6	93%	79–88, 118, 120, 181, 188
auth_backend/schemas
models.py	100	3	97%	150–152
auth_backend/schemas/types
scopes.py	24	6	75%	30–32, 37, 40, 42
auth_backend/utils
jwt.py	57	7	88%	34–41
oidc_token.py	37	8	78%	26, 39–43, 48, 74
security.py	46	2	96%	40, 65
smtp.py	78	19	76%	75–78, 100–120
string.py	7	1	86%	12
user_session_control.py	41	2	95%	32, 40
TOTAL	3336	1106	67%

Summary

Tests	Skipped	Failures	Errors	Time
82	6 💤	0 ❌	0 🔥	25.330s ⏱️

petrCher · 2026-08-15T13:12:43Z

сделай git rebase, надо подтянуть изменения с коммита Артема, который я замерджил вчера

p.s. можно и через кнопку update branch (если она есть у тебя, находится внизу пр рядом с галочками all checks passed) сделать это, но тогда проверь что конфликтов кода не должно быть с последним мерджем

petrCher

отревьюил пока что без тестов, в целом можешь уже начать менять, ревью тестов сейчас тоже уже начну

petrCher · 2026-08-15T13:37:06Z

+    """Validate a newly created password according to the Auth API password policy."""
+    if len(value) < PASSWORD_MIN_LENGTH:
+        raise ValueError(f"Password must be at least {PASSWORD_MIN_LENGTH} characters long")
+    if len(value) > PASSWORD_MAX_LENGTH:


здесь лучше elif для более быстрой работы, если len(value)<min то больше max точно не будет

petrCher · 2026-08-15T13:46:13Z

+from pydantic.json_schema import JsonSchemaValue
+from pydantic_core import core_schema
+
+PASSWORD_MIN_LENGTH = 8


надо эту переменную перенести в settings и здесь ее просто оттуда импортировать
в settings надо, так как все переменные окружения лежат там, чтобы можно было их не прописывать вручную в коде, а дать возможность не меняя код в секретах репозитория в environments values задать то, что хочется. Конечно, можно и не задавать свои значения будет, тогда возьмутся значения дефолта, то есть =8 как ты и пропишешь

также, когда перенесешь это в settings надо еще в github/workflows в test и prod прописать аналогичные команды как здесь https://github.com/profcomff/auth-api/blob/main/.github/workflows/build_and_publish.yml#L147

petrCher · 2026-08-15T13:46:36Z

+from pydantic_core import core_schema
+
+PASSWORD_MIN_LENGTH = 8
+PASSWORD_MAX_LENGTH = 32


с этой переменной аналогично

ниже переменные (с 10 строчки) оставить здесь, их нет смысла переносить в settings

petrCher · 2026-08-15T14:02:40Z

 ```
+
+Требования к новому паролю:
+- длина от 8 до 32 символов;


от min до max
надо вместо цифр прописать переменные

petrCher · 2026-08-15T14:03:05Z

 ```
+
+Требования к новому паролю:
+- длина от 8 до 32 символов;


от min до max
надо вместо цифр прописать переменные

petrCher · 2026-08-15T14:06:43Z

+PASSWORD_MIN_LENGTH = 8
+PASSWORD_MAX_LENGTH = 32
+PASSWORD_ALLOWED_CHARACTERS = string.ascii_letters + string.digits + string.punctuation
+PASSWORD_PATTERN = r"^[\x21-\x7E]+$"


а зачем эта константа если есть PASSWORD_ALLOWED_CHARACTERS

ты ее в валидации используешь, ее же и используй в классе Password, не надо плодить константы одинаковые по сути

petrCher · 2026-08-15T14:15:56Z



 def create_user(email: str, password: str, session: Session) -> None:
+    password = validate_password(password)


здесь можно без присваивания, ты же в validate_password никак не меняешь пароль, а всего лишь проверяешь

плюс в коде ниже есть проверка с print и exit
здесь лучше тоже подобное поставить, чтобы отловить проблему если что

petrCher · 2026-08-15T14:36:24Z


 create-user:
-	python -m auth_backend user create --email test-user@profcomff.com --password string
+	python -m auth_backend user create --email test-user@profcomff.com --password string12


мб коммент добавить сюда и в изменение ниже, что пароль должен удовлетворять min и max, просто при беглом изучении может быть неочевидно почему именно string12 а не просто string к примеру

вроде коммент здесь через хэштег

petrCher · 2026-08-15T14:37:48Z


 create-admin:
-	source ./venv/bin/activate && python -m auth_backend user create --email test-admin@profcomff.com --password string
+	source ./venv/bin/activate && python -m auth_backend user create --email test-admin@profcomff.com --password string12


здесь соответственно тоже

petrCher

все отревьюил, можно исправлять)

petrCher · 2026-08-15T14:46:01Z

 def user_id(client_auth: TestClient, dbsession):
    time = datetime.datetime.utcnow()
-    body = {"email": f"user{time}@example.com", "password": "string"}
+    body = {"email": f"user{time}@example.com", "password": "string12"}


я бы лучше что-то более существенное прописал сюда, например "test-password"

везде ниже тоже

petrCher · 2026-08-15T14:46:48Z

        f"{url}/request",
        headers={"Authorization": auth_token},
-        json={"password": "", "new_password": "changed"},
+        json={"password": "", "new_password": "changed12"},


здесь какой нибудь "changed-pass"

petrCher · 2026-08-15T14:49:43Z

+def test_invalid_password(client_auth: TestClient):
+    invalid_passwords = [
+        "short7",
+        "a" * 129,


129 уже не сильно актуально)

лучше делать PASSWORD_MAX_LENGTH + 1

petrCher · 2026-08-15T14:51:56Z


+def test_invalid_password(client_auth: TestClient):
+    invalid_passwords = [
+        "short7",


здесь лучше тоже как ниже через min делать строку, чтобы не быть привязанным к чему-то конкретному

petrCher · 2026-08-15T14:52:19Z


+def test_invalid_password(client_auth: TestClient):
+    invalid_passwords = [
+        "short7",


здесь лучше тоже как ниже через min делать строку, чтобы не быть привязанным к чему-то конкретному

petrCher · 2026-08-15T15:04:45Z

+
+
+def test_password_accepts_all_ascii_punctuation():
+    value = string.punctuation


клод такое подсказал, я бы не заметил)

petrCher · 2026-08-15T15:10:35Z

+        PasswordModel(password=value)
+
+
+def test_password_json_schema_contains_frontend_requirements():


а зачем этот тест не очень понял? разве здесь не будет всегда assert отправлять положительный ответ? ну просто я так понимаю ты кладешь все эти переменные еще в password.py и сейчас сравниваешь сами с собой, в чем я не прав?

Add password validation for email auth

a77f689

Georgon self-assigned this Aug 13, 2026

Georgon requested a review from petrCher August 13, 2026 18:23

Georgon added this to Viribus Team Aug 13, 2026

petrCher removed this from Viribus Team Aug 14, 2026

petrCher requested changes Aug 15, 2026

View reviewed changes



		def create_user(email: str, password: str, session: Session) -> None:
		password = validate_password(password)



		def test_password_accepts_all_ascii_punctuation():
		value = string.punctuation

		PasswordModel(password=value)


		def test_password_json_schema_contains_frontend_requirements():

Uh oh!

Conversation

Georgon commented Aug 13, 2026 • edited by petrCher Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

Uh oh!

github-actions Bot commented Aug 13, 2026

Summary

Uh oh!

petrCher commented Aug 15, 2026 • edited Loading Uh oh! There was an error while loading. Please reload this page.

Uh oh!

Uh oh!

petrCher left a comment

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

petrCher left a comment

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Choose a reason for hiding this comment

Uh oh!

Reviewers

Assignees

Labels

Projects

Milestone

Development

Uh oh!

2 participants

Georgon commented Aug 13, 2026 •

edited by petrCher

Loading

petrCher commented Aug 15, 2026 •

edited

Loading