3 Commits

Author	SHA1	Message	Date
Fringg	72b5305b87	fix: review findings — db.commit, isinstance guard, constants, ACTIVE check ... - Explicit db.commit() for cabinet_last_login before _store_refresh_token - isinstance(callback.message, types.Message) guard in process_webauth_confirm - Check UserStatus.ACTIVE (not just DELETED) in bot callback handler - isinstance guard in consume_web_auth_token for type safety - Named constants: WEB_AUTH_LINKED_TTL, WEB_AUTH_TOKEN_MIN_LENGTH - Use str.removeprefix() instead of hardcoded slice - Move link_web_auth_token import to module level	2026-03-17 21:56:52 +03:00
Fringg	099391eb5f	fix: deep link auth security and reliability fixes ... - Atomic GETDEL in link_web_auth_token to prevent TOCTOU race - Session fixation protection: inline keyboard confirmation before linking - Poll rate limit 30→60/min to support 2.5s polling interval - Fix double commit in poll endpoint (cabinet_last_login before _store_refresh_token) - Replace magic string 'active' with UserStatus.ACTIVE.value - Add response_model=AuthResponse to poll endpoint - Validate bot_username is set (503 if empty) - Move web_auth imports to module level	2026-03-17 21:46:09 +03:00
Fringg	322d457652	feat: deep link авторизация в кабинете при блокировке oauth.telegram.org ... Когда скрипт Telegram Login Widget не загружается (заблокирован), фронтенд автоматически переключается на deep link авторизацию: - POST /cabinet/auth/deeplink/request — генерирует одноразовый токен - Пользователь открывает t.me/bot?start=webauth_TOKEN - Бот связывает токен с Telegram-аккаунтом - POST /cabinet/auth/deeplink/poll — фронтенд получает JWT токены Новый сервис: app/services/web_auth_service.py (Redis, TTL 5 мин)	2026-03-17 21:29:18 +03:00