fastapi-basekit 0.5.0__tar.gz → 0.5.2__tar.gz

{fastapi_basekit-0.5.0 → fastapi_basekit-0.5.2}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.1
 Name: fastapi-basekit
-Version: 0.5.0
+Version: 0.5.2
 Summary: Utilities and base classes for FastAPI async projects (Beanie, SQLAlchemy or SQLModel)
 Author-email: Jerson Moreno <jerson.ml820@hotmail.com>
 License: MIT

{fastapi_basekit-0.5.0 → fastapi_basekit-0.5.2}/fastapi_basekit/aio/beanie/repository/base.py

@@ -215,6 +215,19 @@ class BaseRepository(Generic[ModelT]):
                     exprs.append(field_attr.id == _coerce_objectid(v))
                     continue
 
+            # Clave no resoluble (typo, campo inexistente, nesting mal escrito).
+            # Se descarta — pero se AVISA: si la clave venía de `get_filters`
+            # (scoping por tenant/owner), su desaparición silenciosa deja el
+            # listado sin filtrar → fuga cross-tenant (IDOR). El warning hace
+            # visible la pérdida en logs/Sentry en vez de fallar en silencio.
+            logger.warning(
+                "build_filter_query: filtro '%s' descartado (no resuelve a "
+                "ningún campo de %s). Si era un filtro de scoping, el listado "
+                "queda SIN ese filtro.",
+                k,
+                getattr(self.model, "__name__", self.model),
+            )
+
         # Raw MongoDB filters go first so Beanie processes them as a dict condition
         query_args: list = ([raw_filters] if raw_filters else []) + exprs
         query = self.model.find(*query_args, **self._get_query_kwargs(**kwargs))

{fastapi_basekit-0.5.0 → fastapi_basekit-0.5.2}/fastapi_basekit/aio/controller/base.py

@@ -79,12 +79,41 @@ class BaseController:
     # DRF Style: Permisos globales por defecto
     permission_classes: ClassVar[List[Type[BasePermission]]] = []
 
-    # ClassVar so cbv (fastapi-restful) does NOT promote it to a query param.
-    # A plain `Optional[str]` annotation here leaks a spurious `action` query
-    # parameter onto every mounted endpoint. `prepare_action` still assigns
-    # `self.action` (instance attr) at runtime, which works fine.
-    action: ClassVar[Optional[str]] = None
     request: Request
+
+    @property
+    def action(self) -> Optional[str]:
+        """Acción canónica del request actual.
+
+        Preferencia: la que fijó ``prepare_action`` (``list``/``retrieve``/…).
+        Fallback: el nombre de la función de endpoint que FastAPI está
+        ejecutando (``create``/``update``/``retrieve``/…), leído de
+        ``request.scope["endpoint"]``. Así un endpoint CUSTOM que llama
+        ``format_response`` sin ``prepare_action`` igual obtiene su acción para
+        ``get_schema_class``/``get_filters`` — antes caía a ``None`` y devolvía
+        el schema por defecto (de lista), rompiendo la validación del
+        ``response_model`` de detalle.
+
+        Es una ``property`` (no un campo anotado) a propósito: cbv
+        (fastapi-restful) NO la promueve a query param, así que no reaparece el
+        ``action`` espurio en la firma de cada endpoint.
+
+        OJO: NO reemplaza a ``prepare_action`` para permisos. El fallback solo
+        informa el schema/scoping; ``check_permissions`` sigue corriendo solo si
+        el endpoint llamó ``prepare_action`` (o delega en un CRUD base)."""
+        prepared = getattr(self, "_basekit_prepared_action", None)
+        if prepared is not None:
+            return prepared
+        request = getattr(self, "request", None)
+        scope = getattr(request, "scope", None) if request is not None else None
+        endpoint = scope.get("endpoint") if isinstance(scope, dict) else None
+        return getattr(endpoint, "__name__", None)
+
+    @action.setter
+    def action(self, value: Optional[str]) -> None:
+        """Permite fijar la acción a mano (``self.action = "list"``) — compat
+        con código pre-property. Escribe el backing attr que lee el getter."""
+        self._basekit_prepared_action = value
     _params_excluded_fields: ClassVar[Set[str]] = {
         "self",
         "page",
@@ -135,7 +164,9 @@ class BaseController:
         """
         if getattr(self, "_basekit_prepared_action", None) == action_name:
             return
-        self.action = action_name
+        # `action` es una property de solo-lectura que expone
+        # `_basekit_prepared_action` (con fallback al nombre del endpoint), así
+        # que fijamos el backing attr, no `self.action` directamente.
         self._basekit_prepared_action = action_name
         # Propagate the canonical CRUD action ("list"/"retrieve"/...) to the
         # service so `get_kwargs_query` / `get_filters` can branch on it. The

{fastapi_basekit-0.5.0 → fastapi_basekit-0.5.2}/fastapi_basekit/aio/sqlalchemy/repository/base.py

@@ -11,6 +11,7 @@ from typing import (
     Union,
 )
 from uuid import UUID
+import logging
 
 from sqlalchemy import Select, and_, or_, select, func
 from sqlalchemy.ext.asyncio import AsyncSession
@@ -18,6 +19,8 @@ from sqlalchemy.orm import Relationship, joinedload, selectinload
 
 from ....exceptions.api_exceptions import NotFoundException
 
+logger = logging.getLogger(__name__)
+
 #: Tipo del modelo ORM que gestiona el repositorio. Parametrízalo al declarar
 #: la subclase — ``class UserRepository(BaseRepository[User])`` — para que
 #: ``get``/``create``/``update``/``list_paginated`` devuelvan ``User`` tipado
@@ -165,6 +168,17 @@ class BaseRepository(Generic[ModelT]):
             attr, field_joins = self._resolve_field_path(resolve_path)
 
             if attr is None:
+                # Filtro no resoluble (typo, columna/relación inexistente). Se
+                # descarta — pero se AVISA: si venía de `get_filters` (scoping
+                # por tenant/owner), su desaparición silenciosa deja el listado
+                # sin filtrar → fuga cross-tenant (IDOR). El warning hace
+                # visible la pérdida en logs en vez de fallar en silencio.
+                logger.warning(
+                    "filtro '%s' descartado (no resuelve a ningún campo de %s). "
+                    "Si era un filtro de scoping, el listado queda SIN ese filtro.",
+                    filter_path,
+                    getattr(self.model, "__name__", self.model),
+                )
                 continue
 
             joins_to_apply.update(field_joins)

{fastapi_basekit-0.5.0 → fastapi_basekit-0.5.2}/fastapi_basekit/aio/sqlmodel/repository/base.py

@@ -12,6 +12,8 @@ from typing import (
 )
 from uuid import UUID
 
+import logging
+
 from sqlmodel import select
 from sqlmodel.ext.asyncio.session import AsyncSession
 from sqlalchemy import and_, or_, func, Select
@@ -19,6 +21,8 @@ from sqlalchemy.orm import Relationship, joinedload, selectinload
 
 from ....exceptions.api_exceptions import NotFoundException
 
+logger = logging.getLogger(__name__)
+
 #: Tipo del modelo SQLModel que gestiona el repositorio. Parametrízalo al
 #: declarar la subclase — ``class UserRepository(BaseRepository[User])``.
 ModelT = TypeVar("ModelT")
@@ -140,6 +144,17 @@ class BaseRepository(Generic[ModelT]):
             attr, field_joins = self._resolve_field_path(resolve_path)
 
             if attr is None:
+                # Filtro no resoluble (typo, columna/relación inexistente). Se
+                # descarta — pero se AVISA: si venía de `get_filters` (scoping
+                # por tenant/owner), su desaparición silenciosa deja el listado
+                # sin filtrar → fuga cross-tenant (IDOR). El warning hace
+                # visible la pérdida en logs en vez de fallar en silencio.
+                logger.warning(
+                    "filtro '%s' descartado (no resuelve a ningún campo de %s). "
+                    "Si era un filtro de scoping, el listado queda SIN ese filtro.",
+                    filter_path,
+                    getattr(self.model, "__name__", self.model),
+                )
                 continue
 
             joins_to_apply.update(field_joins)

{fastapi_basekit-0.5.0 → fastapi_basekit-0.5.2}/fastapi_basekit.egg-info/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.1
 Name: fastapi-basekit
-Version: 0.5.0
+Version: 0.5.2
 Summary: Utilities and base classes for FastAPI async projects (Beanie, SQLAlchemy or SQLModel)
 Author-email: Jerson Moreno <jerson.ml820@hotmail.com>
 License: MIT

{fastapi_basekit-0.5.0 → fastapi_basekit-0.5.2}/pyproject.toml

@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "fastapi-basekit"
-version = "0.5.0"
+version = "0.5.2"
 description = "Utilities and base classes for FastAPI async projects (Beanie, SQLAlchemy or SQLModel)"
 readme = "README.md"
 requires-python = ">=3.11"

{fastapi_basekit-0.5.0 → fastapi_basekit-0.5.2}/tests/test_action_param_leak.py

@@ -1,7 +1,7 @@
 """Regresión: cbv NO debe exponer `action` como query param.
 
-`BaseController.action` se declara `ClassVar` precisamente para que
-fastapi-restful (cbv) no lo promueva a parámetro de query en cada ruta
+`BaseController.action` es una `@property` (no un campo anotado) precisamente
+para que fastapi-restful (cbv) no lo promueva a parámetro de query en cada ruta
 montada. Antes de 0.4.0 aparecía un `?action=` espurio en toda mutación.
 """
 
@@ -49,3 +49,42 @@ def test_action_is_filterable_not_excluded():
 
     assert "action" not in SQLAlchemyBaseController._params_excluded_fields
     assert "action" not in BaseController._params_excluded_fields
+
+
+def test_action_falls_back_to_endpoint_name():
+    """`action` resuelve al nombre de la función de endpoint cuando el endpoint
+    custom NO llamó `prepare_action`.
+
+    Antes `action` era un ClassVar que quedaba en None → `get_schema_class`
+    devolvía el schema por defecto (de lista) y la validación del `response_model`
+    de detalle fallaba. Ahora es una property con fallback a
+    `request.scope["endpoint"].__name__`. Sigue sin filtrarse como query param
+    (test de arriba) porque una property no es un campo anotado.
+    """
+    from fastapi_basekit.aio.controller.base import BaseController
+
+    class C(BaseController):
+        pass
+
+    # Sin request ni prepare_action → None (no rompe).
+    assert C().action is None
+
+    # `prepare_action` (vía backing attr) gana sobre el fallback.
+    c = C()
+    c._basekit_prepared_action = "list"
+    assert c.action == "list"
+
+    # Fallback: lee el nombre de la función de endpoint activa.
+    def create():  # nombre = acción canónica
+        ...
+
+    class _Req:
+        scope = {"endpoint": create}
+
+    c2 = C()
+    c2.request = _Req()
+    assert c2.action == "create"
+
+    # Setter de compat: `self.action = "x"` sigue funcionando.
+    c2.action = "update"
+    assert c2.action == "update"

{fastapi_basekit-0.5.0 → fastapi_basekit-0.5.2}/tests/test_beanie_repository_regression.py

@@ -163,6 +163,40 @@ async def test_filter_scalar_field(data):
     assert {e.name for e in rows} == {"Ana", "Ciro"}
 
 
+@pytest.mark.asyncio
+async def test_mongo_style_scoping_keys_pass_through(data):
+    """`user.$id` / `$or` (patrón de scoping en get_filters) NO se descartan:
+    se aplican como filtro Mongo crudo. Su pérdida silenciosa sería un IDOR."""
+    repo = EmployeeRepo()
+    query = repo.build_filter_query(
+        search=None,
+        search_fields=[],
+        filters={"company.$id": data["acme"].id},
+    )
+    assert query.get_filter_query() == {"company.$id": data["acme"].id}
+
+
+@pytest.mark.asyncio
+async def test_unresolvable_filter_key_warns_before_drop(data, caplog):
+    """Una clave que no resuelve a ningún campo se descarta PERO avisa: si era
+    un filtro de scoping, su desaparición silenciosa dejaría el listado sin
+    filtrar (fuga cross-tenant). El warning hace visible la pérdida."""
+    import logging
+
+    repo = EmployeeRepo()
+    with caplog.at_level(logging.WARNING):
+        query = repo.build_filter_query(
+            search=None,
+            search_fields=[],
+            filters={"nonexistent_scope": "x"},
+        )
+    assert query.get_filter_query() in ({}, {"$and": []})
+    assert any(
+        "nonexistent_scope" in r.message and "descartado" in r.message
+        for r in caplog.records
+    )
+
+
 # ---------------------------------------------------------------------------
 # get_by_field / get_by_fields
 # ---------------------------------------------------------------------------