| """Sécurité minimale de l'API : clé API sur l'en-tête X-API-Key. |
| |
| Volontairement simple (pas d'OAuth) car ce projet est une démo/portfolio |
| déployée sur un Space Hugging Face public ; adapter selon le contexte réel |
| (JWT, SSO, etc.) avant tout usage en production avec des données sensibles. |
| """ |
| from __future__ import annotations |
|
|
| from fastapi import Header, HTTPException, status |
|
|
| from app.core.config import get_settings |
|
|
|
|
| async def verify_api_key(x_api_key: str | None = Header(default=None)) -> None: |
| """Sur Space public, la clé est optionnelle sauf si explicitement requise.""" |
| settings = get_settings() |
| key = (settings.app_api_key or "").strip() |
| |
| if ( |
| not key |
| or key in {"change-me-please", "disabled", "none", "public"} |
| or not settings.require_api_key |
| ): |
| return |
| if x_api_key != key: |
| raise HTTPException( |
| status_code=status.HTTP_401_UNAUTHORIZED, |
| detail="Clé API invalide ou manquante (en-tête X-API-Key).", |
| ) |
|
|
|
|
| MAX_QUESTION_LENGTH = 1000 |
|
|
|
|
| def sanitize_question(question: str) -> str: |
| question = question.strip() |
| if not question: |
| raise HTTPException(status_code=422, detail="La question ne peut pas être vide.") |
| if len(question) > MAX_QUESTION_LENGTH: |
| raise HTTPException( |
| status_code=422, |
| detail=f"Question trop longue (max {MAX_QUESTION_LENGTH} caractères).", |
| ) |
| return question |
|
|
