etic-insa-auth 0.1.0__tar.gz

etic_insa_auth-0.1.0/.gitignore

@@ -0,0 +1,4 @@
+__pycache__/
+.venv/
+.pytest_cache/
+.ruff_cache/

etic_insa_auth-0.1.0/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 etic-insa
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

etic_insa_auth-0.1.0/PKG-INFO

@@ -0,0 +1,220 @@
+Metadata-Version: 2.5
+Name: etic-insa-auth
+Version: 0.1.0
+Summary: Connexion des applications ETIC à ETIC Members (FastAPI) : SSO, session serveur, droits.
+Project-URL: Source, https://github.com/etic-insa-tech/etic-packages/tree/main/packages/auth
+License-Expression: MIT
+License-File: LICENSE
+Requires-Python: >=3.12
+Requires-Dist: cachetools<8,>=6
+Requires-Dist: cryptography<51,>=45
+Requires-Dist: fastapi<1,>=0.141
+Requires-Dist: httpx<0.29,>=0.28
+Requires-Dist: itsdangerous<3,>=2.2
+Requires-Dist: pydantic<3,>=2.11
+Requires-Dist: tenacity<10,>=9.2
+Provides-Extra: sqlalchemy
+Requires-Dist: sqlalchemy<3,>=2.0.40; extra == 'sqlalchemy'
+Description-Content-Type: text/markdown
+
+# @etic-insa/auth · etic-insa-auth
+
+Connexion des applications ETIC à ETIC Members, des deux côtés :
+
+| Côté       | Paquet                                      | Rôle                                                        |
+| ---------- | ------------------------------------------- | ----------------------------------------------------------- |
+| serveur    | `etic-insa-auth` (PyPI), module `etic_auth` | SSO, session serveur, droits et préférences, pour FastAPI   |
+| navigateur | `@etic-insa/auth` (npm)                     | session, droits pour l'affichage, thème partagé, pour React |
+
+Les deux portent **le même numéro de version** : ils forment un seul contrat, les routes
+`/api/v1/auth/*` ci-dessous. Une application installe les deux au même numéro.
+
+Contrat amont : `docs/etic-members-external/AUTHENTICATION.md` du dépôt ETIC Members.
+
+## Le principe
+
+```
+navigateur ──cookie──► serveur de l'application ──identifiants d'app + jeton──► ETIC Members
+(l'écran)              (session, jetons chiffrés,                              (membres, droits,
+                        introspection à chaque requête)                         préférences)
+```
+
+- Le navigateur ne voit **jamais** de jeton ETIC Members : il porte un cookie `httpOnly` qui
+  désigne une session gardée côté serveur, jetons chiffrés en base.
+- Le serveur vérifie la session **à chaque requête** auprès d'ETIC Members (introspection,
+  cache de 30 s au plus) : un membre désactivé ou déconnecté est coupé dans les 30 s.
+- **Le serveur fait autorité, toujours.** Ce que le navigateur masque selon les droits n'est
+  qu'un confort d'affichage ; chaque route protégée passe par `auth.exiger(…)`.
+- Aucun secret dans ce paquet : le secret d'application, celui du cookie et la clé de
+  chiffrement viennent de la configuration de chaque serveur.
+
+## Côté serveur (FastAPI)
+
+```sh
+uv add "etic-insa-auth[sqlalchemy]"
+```
+
+```python
+from typing import Annotated
+from fastapi import Depends, FastAPI
+from etic_auth import AuthEtic, ConfigSSO, Principal
+from etic_auth.sqlalchemy import ColonnesSession, StockageSQLAlchemy
+
+
+class SessionSatellite(ColonnesSession, Base):  # Base : la base déclarative de l'application
+    __tablename__ = "sessions_auth"             # migration Alembic à écrire par l'application
+
+
+auth = AuthEtic(
+    ConfigSSO.depuis_env(
+        "ETIC Intervenant",
+        implications={"intervenant.manage": frozenset({"intervenant.read"})},
+    ),
+    StockageSQLAlchemy(SessionLocal, SessionSatellite),
+)
+app = FastAPI(lifespan=…)  # appeler `await auth.fermer()` à l'arrêt
+auth.installer(app)
+
+Lecture = Annotated[Principal, Depends(auth.exiger("intervenant.read"))]
+
+
+@app.get("/api/v1/missions")
+def missions(principal: Lecture): …
+```
+
+`installer` pose le cookie de session (`__Host-etic_session`, signé, `httpOnly`, `SameSite=Lax` ;
+le préfixe `__Host-` empêche un autre sous-domaine de le poser à sa place), le contrôle
+d'origine des écritures (anti-CSRF entre sous-domaines d'etic-insa.com), le gestionnaire
+d'erreurs et les routes :
+
+| Route                            | Rôle                                                                       |
+| -------------------------------- | -------------------------------------------------------------------------- |
+| `GET /api/v1/auth/login`         | `?suivant=/chemin` : envoie le navigateur vers ETIC Members (PKCE)         |
+| `GET /api/v1/auth/callback`      | retour du SSO ; en cas d'échec, renvoie vers `/login?erreur=<code>`        |
+| `GET /api/v1/auth/me`            | identité, droits développés et préférences d'interface de la session       |
+| `PATCH /api/v1/auth/preferences` | `{"theme": "system" \| "light" \| "dark"}`, enregistré pour toute la suite |
+| `POST /api/v1/auth/logout`       | révoque et supprime la session ; réussit même sans session                 |
+
+Erreurs dans l'enveloppe commune `{"error": {"code", "message", "details"}}` : `401
+unauthenticated` (avec `details.action = "relancer_authorize"` quand seule une reconnexion
+peut aboutir), `403 forbidden` (`details.required_permission`), `403 account_disabled`,
+`403 account_alumni`, `502 external_service_unavailable`.
+
+### Réglages (`ConfigSSO`)
+
+`ConfigSSO.depuis_env(nom, **reglages)` lit :
+
+| Variable                     | Exemple                                                 |
+| ---------------------------- | ------------------------------------------------------- |
+| `ETIC_MEMBERS_API`           | `https://auth.etic-insa.com`                            |
+| `ETIC_MEMBERS_AUTHORIZE_URL` | `https://auth.etic-insa.com/api/v1/auth/sso/authorize`  |
+| `ETIC_APP_CODE`              | code de l'application enregistrée dans ETIC Members     |
+| `ETIC_APP_SECRET`            | son secret                                              |
+| `ETIC_APP_URL`               | `https://intervenant.etic-insa.com`                     |
+| `SESSION_SECRET`             | `openssl rand -hex 32`, signe le cookie                 |
+| `ENCRYPTION_KEY`             | `openssl rand -hex 32`, chiffre les jetons ; différente |
+
+Dans ETIC Members, l'URL de retour à enregistrer est `ETIC_APP_URL` suivie de
+`/api/v1/auth/callback`. Le front et l'API sont servis sous la même origine.
+
+Réglages utiles : `statuts_admis` (par défaut les seuls membres `active` ; ajouter `"alumni"`
+pour accueillir les anciens), `implications` (permissions impliquées), `duree_session`
+(12 h), `chemins_sans_cookie` (webhooks exemptés du contrôle d'origine), `cookie_https=False`
+en développement local seulement (le cookie s'appelle alors `etic_session` : sans HTTPS, le
+navigateur refuserait un cookie `__Host-`).
+
+Sessions : `StockageSQLAlchemy` (une table, voir ci-dessus) ou `StockageMemoire` (tests, ou un
+seul processus qui accepte de déconnecter tout le monde au redémarrage). Le verrou de
+rafraîchissement est en mémoire : l'application tourne avec un seul processus serveur.
+
+### Tests de l'application
+
+```python
+from etic_auth.testing import principal_de_test, simuler_principal
+
+simuler_principal(app, auth, principal_de_test(permissions=("intervenant.read",)))
+```
+
+Passe par `app.dependency_overrides` : il n'existe aucun mode « mock » à oublier activé en
+production.
+
+### Droits sans session
+
+Pour une requête relayée par un tiers (carte CRM, webhook) dont le membre est déjà connu :
+`await auth.client.droits_membre(membre_id)` puis `auth.verifier_statut(droits.status)` (scope
+`eticmembers.authz.read` requis côté ETIC Members).
+
+## Côté navigateur (React)
+
+```sh
+npm i @etic-insa/auth @tanstack/react-query
+```
+
+```tsx
+import {
+  AuthProvider,
+  SessionRequise,
+  SiPermission,
+  lireErreurConnexion,
+  signalerNonAuthentifie,
+  useAuth,
+} from "@etic-insa/auth"
+
+// Sous le QueryClientProvider de l'application.
+;<AuthProvider surNonAuthentifie={() => naviguer("/login")}>
+  <SessionRequise
+    sansSession={<PageConnexion />}
+    chargement={<Squelette />}
+    erreur={(erreur, reessayer) => (
+      <Erreur erreur={erreur} onReessayer={reessayer} />
+    )}
+  >
+    <Application />
+  </SessionRequise>
+</AuthProvider>
+
+function PageConnexion() {
+  const { seConnecter } = useAuth()
+  const echec = lireErreurConnexion(location.search) // { code, message } ou null
+  return (
+    <Button onClick={() => seConnecter("/")}>
+      Se connecter avec ETIC Members
+    </Button>
+  )
+}
+
+function Barre() {
+  const { me, theme, changerTheme, deconnecter } = useAuth()
+  // `theme` vient d'ETIC Members ; `changerTheme` l'enregistre pour toute la suite.
+  return (
+    <SiPermission code="intervenant.manage">
+      <Lien vers="/administration" />
+    </SiPermission>
+  )
+}
+```
+
+- `SessionRequise` distingue trois états : chargement, panne (« Réessayer », surtout pas un
+  renvoi vers la connexion) et absence de session.
+- **Sur tout 401 de ses propres appels**, l'application appelle `signalerNonAuthentifie()` :
+  le fournisseur oublie la session et appelle `surNonAuthentifie`.
+- Après `deconnecter()`, l'application affiche sa page de connexion **sans** relancer le SSO :
+  la session ETIC Members est toujours ouverte, et la relancer reconnecterait aussitôt.
+- `lireErreurConnexion(location.search, messages?)` rend le code d'échec du SSO et un texte
+  par défaut, que `messages` remplace code par code.
+- `nomAffichage(me)` donne le libellé à afficher (jamais prénom + nom recollés : un compte
+  fonctionnel n'en a pas) ; `aPermission(me, code)` la même règle que `SiPermission`.
+
+## Développer
+
+Côté navigateur, comme les autres paquets (`npm run lint`, `typecheck`, `test`, `build`
+depuis la racine). Côté serveur, depuis `packages/auth`, avec [uv](https://docs.astral.sh/uv/) :
+
+```sh
+uv sync
+uv run ruff format python && uv run ruff check python
+uv run pytest
+```
+
+Toute modification de l'un des deux côtés passe par `npx changeset` sur `@etic-insa/auth` : le
+paquet Python en reprend le numéro.

etic_insa_auth-0.1.0/README.md

@@ -0,0 +1,201 @@
+# @etic-insa/auth · etic-insa-auth
+
+Connexion des applications ETIC à ETIC Members, des deux côtés :
+
+| Côté       | Paquet                                      | Rôle                                                        |
+| ---------- | ------------------------------------------- | ----------------------------------------------------------- |
+| serveur    | `etic-insa-auth` (PyPI), module `etic_auth` | SSO, session serveur, droits et préférences, pour FastAPI   |
+| navigateur | `@etic-insa/auth` (npm)                     | session, droits pour l'affichage, thème partagé, pour React |
+
+Les deux portent **le même numéro de version** : ils forment un seul contrat, les routes
+`/api/v1/auth/*` ci-dessous. Une application installe les deux au même numéro.
+
+Contrat amont : `docs/etic-members-external/AUTHENTICATION.md` du dépôt ETIC Members.
+
+## Le principe
+
+```
+navigateur ──cookie──► serveur de l'application ──identifiants d'app + jeton──► ETIC Members
+(l'écran)              (session, jetons chiffrés,                              (membres, droits,
+                        introspection à chaque requête)                         préférences)
+```
+
+- Le navigateur ne voit **jamais** de jeton ETIC Members : il porte un cookie `httpOnly` qui
+  désigne une session gardée côté serveur, jetons chiffrés en base.
+- Le serveur vérifie la session **à chaque requête** auprès d'ETIC Members (introspection,
+  cache de 30 s au plus) : un membre désactivé ou déconnecté est coupé dans les 30 s.
+- **Le serveur fait autorité, toujours.** Ce que le navigateur masque selon les droits n'est
+  qu'un confort d'affichage ; chaque route protégée passe par `auth.exiger(…)`.
+- Aucun secret dans ce paquet : le secret d'application, celui du cookie et la clé de
+  chiffrement viennent de la configuration de chaque serveur.
+
+## Côté serveur (FastAPI)
+
+```sh
+uv add "etic-insa-auth[sqlalchemy]"
+```
+
+```python
+from typing import Annotated
+from fastapi import Depends, FastAPI
+from etic_auth import AuthEtic, ConfigSSO, Principal
+from etic_auth.sqlalchemy import ColonnesSession, StockageSQLAlchemy
+
+
+class SessionSatellite(ColonnesSession, Base):  # Base : la base déclarative de l'application
+    __tablename__ = "sessions_auth"             # migration Alembic à écrire par l'application
+
+
+auth = AuthEtic(
+    ConfigSSO.depuis_env(
+        "ETIC Intervenant",
+        implications={"intervenant.manage": frozenset({"intervenant.read"})},
+    ),
+    StockageSQLAlchemy(SessionLocal, SessionSatellite),
+)
+app = FastAPI(lifespan=…)  # appeler `await auth.fermer()` à l'arrêt
+auth.installer(app)
+
+Lecture = Annotated[Principal, Depends(auth.exiger("intervenant.read"))]
+
+
+@app.get("/api/v1/missions")
+def missions(principal: Lecture): …
+```
+
+`installer` pose le cookie de session (`__Host-etic_session`, signé, `httpOnly`, `SameSite=Lax` ;
+le préfixe `__Host-` empêche un autre sous-domaine de le poser à sa place), le contrôle
+d'origine des écritures (anti-CSRF entre sous-domaines d'etic-insa.com), le gestionnaire
+d'erreurs et les routes :
+
+| Route                            | Rôle                                                                       |
+| -------------------------------- | -------------------------------------------------------------------------- |
+| `GET /api/v1/auth/login`         | `?suivant=/chemin` : envoie le navigateur vers ETIC Members (PKCE)         |
+| `GET /api/v1/auth/callback`      | retour du SSO ; en cas d'échec, renvoie vers `/login?erreur=<code>`        |
+| `GET /api/v1/auth/me`            | identité, droits développés et préférences d'interface de la session       |
+| `PATCH /api/v1/auth/preferences` | `{"theme": "system" \| "light" \| "dark"}`, enregistré pour toute la suite |
+| `POST /api/v1/auth/logout`       | révoque et supprime la session ; réussit même sans session                 |
+
+Erreurs dans l'enveloppe commune `{"error": {"code", "message", "details"}}` : `401
+unauthenticated` (avec `details.action = "relancer_authorize"` quand seule une reconnexion
+peut aboutir), `403 forbidden` (`details.required_permission`), `403 account_disabled`,
+`403 account_alumni`, `502 external_service_unavailable`.
+
+### Réglages (`ConfigSSO`)
+
+`ConfigSSO.depuis_env(nom, **reglages)` lit :
+
+| Variable                     | Exemple                                                 |
+| ---------------------------- | ------------------------------------------------------- |
+| `ETIC_MEMBERS_API`           | `https://auth.etic-insa.com`                            |
+| `ETIC_MEMBERS_AUTHORIZE_URL` | `https://auth.etic-insa.com/api/v1/auth/sso/authorize`  |
+| `ETIC_APP_CODE`              | code de l'application enregistrée dans ETIC Members     |
+| `ETIC_APP_SECRET`            | son secret                                              |
+| `ETIC_APP_URL`               | `https://intervenant.etic-insa.com`                     |
+| `SESSION_SECRET`             | `openssl rand -hex 32`, signe le cookie                 |
+| `ENCRYPTION_KEY`             | `openssl rand -hex 32`, chiffre les jetons ; différente |
+
+Dans ETIC Members, l'URL de retour à enregistrer est `ETIC_APP_URL` suivie de
+`/api/v1/auth/callback`. Le front et l'API sont servis sous la même origine.
+
+Réglages utiles : `statuts_admis` (par défaut les seuls membres `active` ; ajouter `"alumni"`
+pour accueillir les anciens), `implications` (permissions impliquées), `duree_session`
+(12 h), `chemins_sans_cookie` (webhooks exemptés du contrôle d'origine), `cookie_https=False`
+en développement local seulement (le cookie s'appelle alors `etic_session` : sans HTTPS, le
+navigateur refuserait un cookie `__Host-`).
+
+Sessions : `StockageSQLAlchemy` (une table, voir ci-dessus) ou `StockageMemoire` (tests, ou un
+seul processus qui accepte de déconnecter tout le monde au redémarrage). Le verrou de
+rafraîchissement est en mémoire : l'application tourne avec un seul processus serveur.
+
+### Tests de l'application
+
+```python
+from etic_auth.testing import principal_de_test, simuler_principal
+
+simuler_principal(app, auth, principal_de_test(permissions=("intervenant.read",)))
+```
+
+Passe par `app.dependency_overrides` : il n'existe aucun mode « mock » à oublier activé en
+production.
+
+### Droits sans session
+
+Pour une requête relayée par un tiers (carte CRM, webhook) dont le membre est déjà connu :
+`await auth.client.droits_membre(membre_id)` puis `auth.verifier_statut(droits.status)` (scope
+`eticmembers.authz.read` requis côté ETIC Members).
+
+## Côté navigateur (React)
+
+```sh
+npm i @etic-insa/auth @tanstack/react-query
+```
+
+```tsx
+import {
+  AuthProvider,
+  SessionRequise,
+  SiPermission,
+  lireErreurConnexion,
+  signalerNonAuthentifie,
+  useAuth,
+} from "@etic-insa/auth"
+
+// Sous le QueryClientProvider de l'application.
+;<AuthProvider surNonAuthentifie={() => naviguer("/login")}>
+  <SessionRequise
+    sansSession={<PageConnexion />}
+    chargement={<Squelette />}
+    erreur={(erreur, reessayer) => (
+      <Erreur erreur={erreur} onReessayer={reessayer} />
+    )}
+  >
+    <Application />
+  </SessionRequise>
+</AuthProvider>
+
+function PageConnexion() {
+  const { seConnecter } = useAuth()
+  const echec = lireErreurConnexion(location.search) // { code, message } ou null
+  return (
+    <Button onClick={() => seConnecter("/")}>
+      Se connecter avec ETIC Members
+    </Button>
+  )
+}
+
+function Barre() {
+  const { me, theme, changerTheme, deconnecter } = useAuth()
+  // `theme` vient d'ETIC Members ; `changerTheme` l'enregistre pour toute la suite.
+  return (
+    <SiPermission code="intervenant.manage">
+      <Lien vers="/administration" />
+    </SiPermission>
+  )
+}
+```
+
+- `SessionRequise` distingue trois états : chargement, panne (« Réessayer », surtout pas un
+  renvoi vers la connexion) et absence de session.
+- **Sur tout 401 de ses propres appels**, l'application appelle `signalerNonAuthentifie()` :
+  le fournisseur oublie la session et appelle `surNonAuthentifie`.
+- Après `deconnecter()`, l'application affiche sa page de connexion **sans** relancer le SSO :
+  la session ETIC Members est toujours ouverte, et la relancer reconnecterait aussitôt.
+- `lireErreurConnexion(location.search, messages?)` rend le code d'échec du SSO et un texte
+  par défaut, que `messages` remplace code par code.
+- `nomAffichage(me)` donne le libellé à afficher (jamais prénom + nom recollés : un compte
+  fonctionnel n'en a pas) ; `aPermission(me, code)` la même règle que `SiPermission`.
+
+## Développer
+
+Côté navigateur, comme les autres paquets (`npm run lint`, `typecheck`, `test`, `build`
+depuis la racine). Côté serveur, depuis `packages/auth`, avec [uv](https://docs.astral.sh/uv/) :
+
+```sh
+uv sync
+uv run ruff format python && uv run ruff check python
+uv run pytest
+```
+
+Toute modification de l'un des deux côtés passe par `npx changeset` sur `@etic-insa/auth` : le
+paquet Python en reprend le numéro.

etic_insa_auth-0.1.0/package.json

@@ -0,0 +1,58 @@
+{
+  "name": "@etic-insa/auth",
+  "version": "0.1.0",
+  "description": "Session ETIC Members côté navigateur pour les applications ETIC (React).",
+  "license": "MIT",
+  "repository": {
+    "type": "git",
+    "url": "git+https://github.com/etic-insa-tech/etic-packages.git",
+    "directory": "packages/auth"
+  },
+  "type": "module",
+  "sideEffects": false,
+  "exports": {
+    ".": {
+      "types": "./dist/index.d.ts",
+      "import": "./dist/index.js"
+    }
+  },
+  "files": [
+    "dist"
+  ],
+  "publishConfig": {
+    "access": "public",
+    "provenance": true
+  },
+  "scripts": {
+    "build": "vite build",
+    "lint": "eslint .",
+    "typecheck": "tsc -b",
+    "test": "vitest run"
+  },
+  "peerDependencies": {
+    "@tanstack/react-query": "^5",
+    "react": "^19"
+  },
+  "devDependencies": {
+    "@eslint/js": "^10",
+    "@tanstack/react-query": "^5.105.0",
+    "@testing-library/jest-dom": "^7.0.1",
+    "@testing-library/react": "^16.3.3",
+    "@types/node": "^26.6.5",
+    "@types/react": "^19",
+    "@types/react-dom": "^19",
+    "@vitejs/plugin-react": "^6",
+    "eslint": "^10",
+    "eslint-plugin-react-hooks": "^7.1.1",
+    "eslint-plugin-react-refresh": "^0.5.7",
+    "globals": "^17",
+    "jsdom": "^30.1.3",
+    "react": "^19.3.1",
+    "react-dom": "^19.3.1",
+    "typescript": "~6.0.2",
+    "typescript-eslint": "^8",
+    "vite": "^8",
+    "vite-plugin-dts": "^4",
+    "vitest": "^5.0.5"
+  }
+}

etic_insa_auth-0.1.0/pyproject.toml

@@ -0,0 +1,71 @@
+[build-system]
+requires = ["hatchling>=1.27"]
+build-backend = "hatchling.build"
+
+[project]
+name = "etic-insa-auth"
+# Même numéro que `@etic-insa/auth` : les deux côtés forment un seul contrat, versionné par
+# Changesets dans package.json.
+dynamic = ["version"]
+description = "Connexion des applications ETIC à ETIC Members (FastAPI) : SSO, session serveur, droits."
+readme = "README.md"
+license = "MIT"
+license-files = ["LICENSE"]
+requires-python = ">=3.12"
+dependencies = [
+  "fastapi>=0.141,<1",
+  "httpx>=0.28,<0.29",
+  "tenacity>=9.2,<10",
+  "cryptography>=45,<51",
+  "cachetools>=6,<8",
+  # Signature du cookie (SessionMiddleware de Starlette).
+  "itsdangerous>=2.2,<3",
+  "pydantic>=2.11,<3",
+]
+
+[project.optional-dependencies]
+sqlalchemy = ["sqlalchemy>=2.0.40,<3"]
+
+[project.urls]
+Source = "https://github.com/etic-insa-tech/etic-packages/tree/main/packages/auth"
+
+[dependency-groups]
+dev = [
+  "pytest>=9,<10",
+  # Client du TestClient de Starlette (httpx y est déprécié).
+  "httpx2>=2.13,<3",
+  "pytest-asyncio>=1,<2",
+  "ruff==0.17.3",
+  "sqlalchemy>=2.0.40,<3",
+  "pip-audit>=2.9,<3",
+]
+
+[tool.hatch.version]
+path = "package.json"
+pattern = '"version": "(?P<version>[^"]+)"'
+
+[tool.hatch.build.targets.wheel]
+packages = ["python/etic_auth"]
+
+[tool.hatch.build.targets.sdist]
+include = ["python/etic_auth", "package.json", "README.md", "LICENSE"]
+
+[tool.pytest.ini_options]
+testpaths = ["python/tests"]
+pythonpath = ["python"]
+asyncio_mode = "auto"
+asyncio_default_fixture_loop_scope = "function"
+
+[tool.ruff]
+line-length = 100
+target-version = "py312"
+src = ["python"]
+
+[tool.ruff.lint]
+select = ["E", "F", "I", "B", "UP", "N", "SIM", "RUF"]
+# Exceptions nommées en français (`ErreurAuth`), sans suffixe « Error ».
+ignore = ["N818"]
+
+[tool.ruff.lint.per-file-ignores]
+# Dépendances FastAPI en valeur par défaut : les annotations des tests citent des locales.
+"python/tests/*" = ["B008"]

etic_insa_auth-0.1.0/python/etic_auth/__init__.py

@@ -0,0 +1,26 @@
+"""Connexion des applications ETIC à ETIC Members : SSO, session serveur, droits.
+
+Voir le README du paquet (`etic-insa-auth` sur PyPI, `@etic-insa/auth` sur npm pour le front).
+"""
+
+from .auth import AuthEtic, MeOut, Principal
+from .config import ConfigSSO, lire_cle_chiffrement
+from .erreurs import ErreurAuth, gestionnaire_erreur_auth
+from .members import ClientMembers, DroitsMembre, Preferences, Theme
+from .session import StockageMemoire, StockageSessions
+
+__all__ = [
+    "AuthEtic",
+    "ClientMembers",
+    "ConfigSSO",
+    "DroitsMembre",
+    "ErreurAuth",
+    "MeOut",
+    "Preferences",
+    "Principal",
+    "StockageMemoire",
+    "StockageSessions",
+    "Theme",
+    "gestionnaire_erreur_auth",
+    "lire_cle_chiffrement",
+]