Johan LEROY
a646635b4c
db/seeds/ était vide, et chaque outil de test semait ses données à la main : un site et deux relevés dans dast.yml, rien pour le reste. - db/seeds/demo.sql : trois sites, 72 heures de relevés relatives à now(), une prévision par site, quatorze alertes de tous types et sévérités, un rapport de dérive par site. Rejouable. - scripts/comptes-test.sh : administrateur par la CLI, lecteur et opérateur activés, et un compte laissé sur son mot de passe temporaire ; identifiants écrits en JSON (mode 600). Fonctionne en natif ou contre la stack Compose (BASE_URL, APP_CLI). - scripts/dast-token.sh s'appuie désormais dessus ; dast.yml sème demo.sql.
104 lines
4.9 KiB
Bash
Executable File
104 lines
4.9 KiB
Bash
Executable File
#!/usr/bin/env bash
|
|
# Contrainte : réservé à une base JETABLE (CI, e2e, charge sur le poste) - comptes-test.sh. Crée
|
|
# un administrateur par la CLI, puis un lecteur, un opérateur et un compte laissé sur son mot de
|
|
# passe temporaire, et écrit leurs identifiants en JSON dans $COMPTES_FICHIER.
|
|
# Piège : un compte neuf est en `must_change_password`, que toute route gardée refuse. Seul
|
|
# `premiere_connexion` garde ce statut : c'est le parcours du premier login de l'e2e.
|
|
# Piège : `create-admin` refuse un second administrateur actif. Sur une base qui en a déjà un
|
|
# (recette, poste peuplé), créer les comptes depuis l'interface d'administration.
|
|
#
|
|
# BASE_URL vise l'API (http://localhost:8000 par défaut, ou le proxy en https). APP_CLI lance la
|
|
# CLI du backend : depuis apps/backend par défaut, ou `docker compose ... exec -T backend python
|
|
# -m app.cli` contre la stack conteneurisée.
|
|
|
|
set -euo pipefail
|
|
# Sans lui, une erreur dans `$(...)` ne s'arrête pas : la substitution rendrait un mot de passe vide.
|
|
shopt -s inherit_errexit
|
|
|
|
BASE_URL="${BASE_URL:-http://localhost:8000}"
|
|
API="$BASE_URL/api/v1"
|
|
COMPTES_FICHIER="${COMPTES_FICHIER:?COMPTES_FICHIER=chemin du fichier JSON requis}"
|
|
read -ra CLI <<<"${APP_CLI:-uv run --frozen --no-sync --no-build python -m app.cli}"
|
|
SUFFIXE="$(openssl rand -hex 4)"
|
|
|
|
CURL=(curl -fsS)
|
|
[[ "$BASE_URL" == https://* ]] && CURL+=(--insecure)
|
|
|
|
# Classes exigées par le validateur : majuscule, minuscule, chiffre, caractère spécial.
|
|
nouveau_mot_de_passe() { echo "Test-$(openssl rand -hex 12)-Aa1!"; }
|
|
|
|
journal() { echo "comptes-test: $*" >&2; }
|
|
|
|
connexion() {
|
|
local email="$1" mot_de_passe="$2"
|
|
"${CURL[@]}" -X POST "$API/auth/login" -H 'Content-Type: application/json' \
|
|
-d "$(jq -n --arg e "$email" --arg p "$mot_de_passe" '{email:$e, password:$p}')" \
|
|
| jq -r '.access_token'
|
|
}
|
|
|
|
# `/auth/password` rend un nouveau jeton d'accès : pas de reconnexion, donc pas de second hachage
|
|
# Argon2id ni de requête de plus dans la zone `auth` de nginx (30 par minute).
|
|
changer_mot_de_passe() {
|
|
local jeton="$1" ancien="$2" nouveau="$3"
|
|
"${CURL[@]}" -X POST "$API/auth/password" \
|
|
-H "Authorization: Bearer $jeton" -H 'Content-Type: application/json' \
|
|
-d "$(jq -n --arg a "$ancien" --arg n "$nouveau" '{current_password:$a, new_password:$n}')" \
|
|
| jq -r '.access_token'
|
|
}
|
|
|
|
creer_compte() {
|
|
local jeton_admin="$1" email="$2" role="$3" reponse temporaire
|
|
reponse="$("${CURL[@]}" -X POST "$API/users" -H "Authorization: Bearer $jeton_admin" \
|
|
-H 'Content-Type: application/json' \
|
|
-d "$(jq -n --arg e "$email" --arg r "$role" '{email:$e, role:$r}')")"
|
|
temporaire="$(jq -r '.temporary_password // empty' <<<"$reponse")"
|
|
[[ -n "$temporaire" ]] || { journal "mot de passe temporaire absent de la réponse : $reponse"; exit 1; }
|
|
echo "$temporaire"
|
|
}
|
|
|
|
# Rend le mot de passe définitif d'un compte créé par `creer_compte`.
|
|
activer_compte() {
|
|
local email="$1" temporaire="$2" definitif jeton
|
|
definitif="$(nouveau_mot_de_passe)"
|
|
jeton="$(connexion "$email" "$temporaire")"
|
|
changer_mot_de_passe "$jeton" "$temporaire" "$definitif" >/dev/null
|
|
echo "$definitif"
|
|
}
|
|
|
|
EMAIL_ADMIN="test-admin-$SUFFIXE@enervision.fr"
|
|
journal "création de l'administrateur $EMAIL_ADMIN"
|
|
if ! SORTIE="$("${CLI[@]}" create-admin --email "$EMAIL_ADMIN" --generate)"; then
|
|
journal "la création de l'administrateur a échoué : $SORTIE"
|
|
exit 1
|
|
fi
|
|
MDP_TEMPORAIRE_ADMIN="$(sed -n 's/^Mot de passe généré, il ne sera plus affiché : //p' <<<"$SORTIE" | tr -d '\r')"
|
|
[[ -n "$MDP_TEMPORAIRE_ADMIN" ]] || { journal "mot de passe introuvable dans la sortie : $SORTIE"; exit 1; }
|
|
|
|
MDP_ADMIN="$(nouveau_mot_de_passe)"
|
|
JETON_ADMIN="$(connexion "$EMAIL_ADMIN" "$MDP_TEMPORAIRE_ADMIN")"
|
|
JETON_ADMIN="$(changer_mot_de_passe "$JETON_ADMIN" "$MDP_TEMPORAIRE_ADMIN" "$MDP_ADMIN")"
|
|
|
|
EMAIL_LECTEUR="test-lecteur-$SUFFIXE@enervision.fr"
|
|
EMAIL_OPERATEUR="test-operateur-$SUFFIXE@enervision.fr"
|
|
EMAIL_PREMIERE="test-premiere-connexion-$SUFFIXE@enervision.fr"
|
|
journal "création du lecteur, de l'opérateur et du compte de première connexion"
|
|
TEMPORAIRE_LECTEUR="$(creer_compte "$JETON_ADMIN" "$EMAIL_LECTEUR" lecteur)"
|
|
MDP_LECTEUR="$(activer_compte "$EMAIL_LECTEUR" "$TEMPORAIRE_LECTEUR")"
|
|
TEMPORAIRE_OPERATEUR="$(creer_compte "$JETON_ADMIN" "$EMAIL_OPERATEUR" operateur)"
|
|
MDP_OPERATEUR="$(activer_compte "$EMAIL_OPERATEUR" "$TEMPORAIRE_OPERATEUR")"
|
|
MDP_PREMIERE="$(creer_compte "$JETON_ADMIN" "$EMAIL_PREMIERE" lecteur)"
|
|
|
|
umask 077
|
|
jq -n \
|
|
--arg ae "$EMAIL_ADMIN" --arg ap "$MDP_ADMIN" \
|
|
--arg le "$EMAIL_LECTEUR" --arg lp "$MDP_LECTEUR" \
|
|
--arg oe "$EMAIL_OPERATEUR" --arg op "$MDP_OPERATEUR" \
|
|
--arg pe "$EMAIL_PREMIERE" --arg pp "$MDP_PREMIERE" \
|
|
'{
|
|
admin: {email: $ae, password: $ap},
|
|
lecteur: {email: $le, password: $lp},
|
|
operateur: {email: $oe, password: $op},
|
|
premiere_connexion: {email: $pe, password: $pp}
|
|
}' >"$COMPTES_FICHIER"
|
|
journal "identifiants écrits dans $COMPTES_FICHIER"
|