Antoine Van Elstraete
2f6184df0b
Sécurité : - ical_url : str → SecretStr | None (masquage dans str/repr/model_dump_json) - En-têtes Authorization/Proxy-Authorization : masquage complet de la valeur - _URL_PATTERN : insensible à la casse (HTTPS:// reconnu) - redact_url() : masquage du nom d'utilisateur (userinfo complet) Configuration : - Sous-configs : Field(default_factory=...) pour rechargement à chaque appel - Suppression du singleton settings (injection de dépendances) - .env.example : ajout AI_PROVIDER et CALDAV_CALENDAR_PATH - Guide : BLOG_RSS_ENABLED → BLOG_ENABLED, AI_MODEL=None par défaut - .secrets.baseline : ligne décalée 5112 → 5117 (faux positif audité) - pre-commit : ajout de pytest aux additional_dependencies du hook mypy Tests : 15 tests (config + redaction) couvrant rechargement, masquage SecretStr, en-têtes Authorization, URL auth intégrée et casse variable. Co-authored-by: opencode/coder <coder@agents.invalid> Co-authored-by: opencode/test-engineer <test-engineer@agents.invalid>
129 lines
3.9 KiB
Python
129 lines
3.9 KiB
Python
"""Tests unitaires pour les utilitaires de masquage des secrets.
|
|
|
|
Ce module vérifie que les fonctions de masquage des URLs, des en-têtes
|
|
et des secrets dans les textes fonctionnent correctement, sans fuite
|
|
d'informations sensibles.
|
|
"""
|
|
|
|
from __future__ import annotations
|
|
|
|
from pronote_sync.utils.redaction import redact_exception, redact_secrets, redact_url
|
|
|
|
|
|
def test_redact_url_with_sensitive_query_param() -> None:
|
|
"""Vérifie que les paramètres sensibles dans une URL sont masqués.
|
|
|
|
:return: None
|
|
"""
|
|
url = "https://example.fr/ical?icalsecurise=TOKEN123" # pragma: allowlist secret
|
|
redacted = redact_url(url)
|
|
assert "TOKEN123" not in redacted
|
|
assert "REDACTED" in redacted
|
|
|
|
|
|
def test_redact_url_with_embedded_auth() -> None:
|
|
"""Vérifie que les informations d'authentification intégrées dans une URL sont masquées.
|
|
|
|
:return: None
|
|
"""
|
|
url = "https://user:pass@host/path" # pragma: allowlist secret
|
|
redacted = redact_url(url)
|
|
assert "user" not in redacted
|
|
assert "pass" not in redacted
|
|
assert "REDACTED" in redacted
|
|
|
|
|
|
def test_redact_url_with_uppercase_scheme() -> None:
|
|
"""Vérifie que les URLs avec un schéma en majuscules sont traitées correctement.
|
|
|
|
:return: None
|
|
"""
|
|
url = "HTTPS://user:pass@host/path" # pragma: allowlist secret
|
|
redacted = redact_url(url)
|
|
assert "user" not in redacted
|
|
assert "pass" not in redacted
|
|
assert "REDACTED" in redacted
|
|
|
|
|
|
def test_redact_secrets_authorization_bearer() -> None:
|
|
"""Vérifie que les en-têtes Authorization: Bearer sont masqués.
|
|
|
|
:return: None
|
|
"""
|
|
text = "Authorization: Bearer mytoken123" # pragma: allowlist secret
|
|
redacted = redact_secrets(text)
|
|
assert "mytoken123" not in redacted
|
|
assert "REDACTED" in redacted
|
|
|
|
|
|
def test_redact_secrets_proxy_authorization_basic() -> None:
|
|
"""Vérifie que les en-têtes Proxy-Authorization: Basic sont masqués.
|
|
|
|
:return: None
|
|
"""
|
|
text = "Proxy-Authorization: Basic dXNlcjpwYXNz" # pragma: allowlist secret
|
|
redacted = redact_secrets(text)
|
|
assert "dXNlcjpwYXNz" not in redacted
|
|
assert "REDACTED" in redacted
|
|
|
|
|
|
def test_redact_secrets_lowercase_authorization() -> None:
|
|
"""Vérifie que les en-têtes authorization en minuscules sont masqués.
|
|
|
|
:return: None
|
|
"""
|
|
text = "authorization: Bearer tok" # pragma: allowlist secret
|
|
redacted = redact_secrets(text)
|
|
assert "tok" not in redacted
|
|
assert "REDACTED" in redacted
|
|
|
|
|
|
def test_redact_secrets_text_key_value() -> None:
|
|
"""Vérifie que les affectations clé=valeur dans du texte sont masquées.
|
|
|
|
:return: None
|
|
"""
|
|
text = "password=mysecret" # pragma: allowlist secret
|
|
redacted = redact_secrets(text)
|
|
assert "mysecret" not in redacted
|
|
assert "REDACTED" in redacted
|
|
|
|
|
|
def test_redact_secrets_json_key_value() -> None:
|
|
"""Vérifie que les secrets dans du JSON sont masqués.
|
|
|
|
:return: None
|
|
"""
|
|
text = '{"api_key": "myapikey"}' # pragma: allowlist secret
|
|
redacted = redact_secrets(text)
|
|
assert "myapikey" not in redacted
|
|
assert "REDACTED" in redacted
|
|
|
|
|
|
def test_redact_exception() -> None:
|
|
"""Vérifie que les exceptions contenant des secrets sont masquées.
|
|
|
|
:return: None
|
|
"""
|
|
exc = Exception("Authorization: Bearer leaked_token") # pragma: allowlist secret
|
|
redacted_msg = redact_exception(exc)
|
|
assert "leaked_token" not in redacted_msg
|
|
assert "REDACTED" in redacted_msg
|
|
|
|
|
|
def test_redact_url_preserves_host_and_path() -> None:
|
|
"""Vérifie que l'hôte et le chemin d'une URL sont préservés après masquage.
|
|
|
|
:return: None
|
|
"""
|
|
url = "https://user:pass@example.fr/path?icalsecurise=tok" # pragma: allowlist secret
|
|
redacted = redact_url(url)
|
|
assert "example.fr" in redacted
|
|
assert "/path" in redacted
|
|
assert "user" not in redacted
|
|
assert "pass" not in redacted
|
|
assert "tok" not in redacted
|
|
|
|
|
|
# Ensure trailing newline
|