StefanandClaude Opus 5
1d122b33f9
Uploads werden geprüft, nach WebP gewandelt (max. 1200 px Breite) und über eine eigene Route ausgeliefert. Dazu der Stapel-Import: viele Fotos auf einmal hochladen, pro Foto entsteht ein Entwurf. Der Upload ist die grösste Angriffsfläche der Anwendung - die Galerie ist frei zugänglich, und hier landet fremdes Binärmaterial auf der Platte. Entsprechend: - Der Dateiname wird selbst erzeugt (UUID + .webp), nie aus dem Upload übernommen. Beim Ausliefern wird er zusätzlich gegen ein Muster geprüft: er kommt dort aus der URL und ist damit Nutzereingabe, auch wenn wir ihn ursprünglich vergeben haben. - Der Inhalt entscheidet, nicht die Endung - Pillow muss das Bild öffnen können. Eine als .jpg getarnte PHP-Datei fällt durch. - Pixelmasse ausdrücklich begrenzt, VOR dem Dekodieren. Pillow allein wirft erst bei der doppelten Zahl einen Fehler; dazwischen gibt es nur eine Warnung, die niemand sieht. - Gespeichert wird nur das Ergebnis. Das entfernt eingebettete Fremdinhalte und die EXIF-Daten - bei Handyfotos oft samt GPS-Koordinaten der Wohnung. Die Drehung wird vorher auf die Bildpunkte angewendet, sonst lägen Hochkant-Fotos quer. - Bilder liegen nicht unter static/, sondern werden mit festem Content-Type und nosniff ausgeliefert. HEIC wird unterstützt (pillow-heif): iPhones nehmen so auf, und ohne das fiele beim Stapel-Import jedes iPhone-Foto durch. Ein unlesbares Bild lässt bewusst den ganzen Stapel scheitern - bei zwanzig Fotos fiele sonst niemandem auf, dass eines fehlt. Beim Löschen werden die Dateien mitentfernt (ON DELETE CASCADE räumt nur die Zeilen weg), und wird das Vorschaubild gelöscht, rückt das nächste nach. 42 Tests, alle grün. Zusätzlich von Hand gegen die laufende API geprüft: 3000x2200-Foto kommt als WebP 1200x880 an, Pfadmanipulation und getarnte Dateien werden abgewiesen, Entwürfe bleiben aus der Galerie draussen. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01GR4bNaj9GtRu57J4Niii8o
47 lines
1.3 KiB
Python
47 lines
1.3 KiB
Python
"""Einstiegspunkt der Anwendung.
|
|
|
|
FastAPI liefert später sowohl die REST-API als auch die gerenderten Seiten
|
|
aus - ein Dienst, eine Datenbank, kein getrenntes Frontend (Variante A aus
|
|
Plan.md).
|
|
"""
|
|
|
|
from contextlib import asynccontextmanager
|
|
|
|
from fastapi import FastAPI
|
|
|
|
from app.config import einstellungen
|
|
from app.database import SessionLocal, engine
|
|
from app.routers import categories, images, items
|
|
from app.seed import stammdaten_anlegen
|
|
|
|
|
|
@asynccontextmanager
|
|
async def lebenszyklus(_app: FastAPI):
|
|
# Die Tabellen legt Alembic an (alembic upgrade head). Hier werden nur
|
|
# die Stammdaten ergänzt, damit eine frische Datenbank sofort brauchbar
|
|
# ist - Kategorien und Grössen sind Voraussetzung fürs Erfassen.
|
|
cfg = einstellungen()
|
|
cfg.upload_pfad.mkdir(parents=True, exist_ok=True)
|
|
with SessionLocal() as db:
|
|
stammdaten_anlegen(db)
|
|
yield
|
|
engine.dispose()
|
|
|
|
|
|
app = FastAPI(
|
|
title="Kinderkleider-Börse",
|
|
description="Zu klein gewordene Kinderkleidung katalogisieren und weitergeben.",
|
|
version="0.1.0",
|
|
lifespan=lebenszyklus,
|
|
)
|
|
|
|
app.include_router(categories.router)
|
|
app.include_router(items.router)
|
|
app.include_router(images.router)
|
|
|
|
|
|
@app.get("/health", tags=["Betrieb"])
|
|
def health():
|
|
"""Wird vom Docker-Healthcheck und von der CI benutzt."""
|
|
return {"status": "ok"}
|