s-authkit-server 0.1.1__tar.gz

s_authkit_server-0.1.1/.gitignore

@@ -0,0 +1,47 @@
+# === atlas universal gitignore ===
+
+# OS / IDE
+.DS_Store
+Thumbs.db
+.vscode/
+.idea/
+*.swp
+*.swo
+
+# Sensitive
+.env
+.env.local
+*.key
+*.pem
+secrets/
+private/
+
+# Python
+__pycache__/
+*.py[cod]
+.venv/
+venv/
+.pytest_cache/
+.ruff_cache/
+*.egg-info/
+
+# Node / JS
+node_modules/
+.next/
+dist/
+build/
+
+# Temporary / large
+*.log
+*.tmp
+nul
+NUL
+*.zip
+*.rar
+*.7z
+
+# Media (selectively unignore via !path/*.ext if needed for fixtures)
+*.mp4
+*.mov
+*.avi
+*.mkv

s_authkit_server-0.1.1/AGENTS.md

@@ -0,0 +1,54 @@
+# AGENTS.md — authkit-server
+
+> Контекст для AI-ассистентов (Claude Code, ChatGPT, Cursor и т.п.), работающих
+> над этим проектом.
+
+## Что это
+
+Серверное ядро авторизации: НАШ бэкенд авторизует СВОИХ пользователей (JWT RS256,
+persistent refresh с ротацией, Argon2-хеширование). Дистрибутив — `s-authkit-server`,
+импорт — `authkit_server`.
+
+Не путать с `s-authkit-client` (импорт `authkit_client`, репо `../authkit-client`) — там
+обратная сторона: доступ НАШЕГО кода к ЧУЖИМ сервисам (сессии, секреты, OAuth-обновление,
+живая проба). Суффикс имени и есть указатель стороны.
+
+> Слаг проекта в Atlas и имя git-репозитория остались `authkit` — переименован ПАКЕТ, а не
+> репозиторий; команды ниже намеренно используют старый слаг.
+
+## Atlas
+
+Проект зарегистрирован в Atlas-БД (Atlas). Карточка:
+
+```sh
+atlas projects get authkit
+```
+
+Любые изменения метаданных (приоритет, статус, теги) — через atlas CLI:
+
+- `atlas projects update authkit --priority P0` — поменять приоритет
+- `atlas add-tags authkit -t domain:<slug>` — добавить тег
+- `atlas projects move authkit --to-type <type>` — конвертировать тип
+
+## Тип / Статус (на момент создания)
+
+- type=`kit`, status=`experiment`, priority=`P1`
+
+## Правила работы
+
+- Все исходные тексты, документы, код проекта — в этом репо.
+- Чувствительные данные (`.env`, токены, ключи) — игнорируются `.gitignore`.
+- AI-ассистенту разрешено: читать, генерировать, редактировать в этом репо.
+
+## Канонические команды
+
+- `atlas projects get authkit` — карточка проекта
+- `atlas task list --project authkit` — задачи проекта (когда W7
+  волна будет реализована)
+
+<!-- atlas:usage:start -->
+## Управление проектом — через Atlas
+
+Этот проект ведётся в Atlas (личная PM-система портфеля). Для задач/проектов/эпиков/бэкапов
+используй CLI `atlas` и вызывай навык `atlas` — вся логика и роутинг внутри навыка.
+<!-- atlas:usage:end -->

s_authkit_server-0.1.1/CHANGELOG.md

@@ -0,0 +1,49 @@
+# Changelog
+
+Все значительные изменения этого проекта будут документироваться в этом файле.
+
+Формат основан на [Keep a Changelog](https://keepachangelog.com/en/1.0.0/),
+и этот проект соответствует [Semantic Versioning](https://semver.org/spec/v2.0.0.html).
+
+## [0.1.1] - 2026-08-18
+
+### Changed
+
+- **Переименование кита: `s-authkit` → `s-authkit-server`, импорт `authkit` → `authkit_server`** (#1983).
+  Имя теперь называет сторону: этот кит авторизует НАШИХ пользователей на НАШЕМ сервере,
+  а зеркальный `s-authkit-client` (импорт `authkit_client`) даёт НАШЕМУ коду доступ к ЧУЖИМ
+  сервисам. Раньше пара читалась как «`authkit` и SDK к нему»; путаница была человеческая —
+  в коде пространства имён не пересекались.
+- Публичный API не изменён: те же `JoseTokenIssuer`, `Argon2PasswordHasher`,
+  `ensure_jwt_keypair`, `RefreshTokenRecord`, `IRefreshTokenStore`, исключения. Правится
+  ровно строка импорта и строка зависимости.
+
+### Notes
+
+- **PyPI.** Переименовать дистрибутив «на месте» нельзя: `s-authkit-server` — НОВЫЙ
+  дистрибутив. `s-authkit==0.1.0` остаётся опубликованным как есть (не yank, не delete —
+  уже собранные сборки на него живые), но новых выпусков под старым именем не будет: имя
+  заморожено на 0.1.0.
+- Версия 0.1.1 продолжает историю кита, а не начинается с нуля — так видно, что это то же
+  ядро под новым именем.
+- Потребители переведены тем же заходом: `skillery-backend` и `skills-hub/backend`
+  (`infrastructure/auth/{__init__,argon2_hasher,keys}.py` + `pyproject.toml`).
+
+## [0.1.0] - 2026-07-02
+
+### Added
+
+- **JWT RS256 issuer** (`JoseTokenIssuer`): выпуск и верификация JWT access-токенов с асимметричным ключом
+- **Persistent refresh-tokens** (`RefreshTokenRecord`, `IRefreshTokenStore`): хранение и ротация refresh-токенов с хешированием SHA256
+- **Argon2 password hashing** (`Argon2PasswordHasher`): хеширование паролей через passlib с Argon2id
+- **RSA keypair generation** (`ensure_jwt_keypair`): утилита для создания RSA 2048 ключей в PEM-формате
+- **Comprehensive test suite**: 38 unit и integration тестов с coverage ≥80%
+- **Protocol-based architecture**: `IRefreshTokenStore` как Protocol для контрактного дизайна
+
+### Notes
+
+- Первый релиз модуля `s-authkit` как отделённого ядра авторизации для Skillery проектов
+- Нет завязок на конкретное приложение: только чистая инфраструктура
+- OAuth, PermissionResolver, ExchangeCode отложены на v0.2+
+- Все методы асинхронные (async/await)
+- Python ≥3.11, зависимости: python-jose[cryptography], passlib[argon2], cryptography

s_authkit_server-0.1.1/LICENSE

@@ -0,0 +1,21 @@
+MIT License
+
+Copyright (c) 2026 Dmitry
+
+Permission is hereby granted, free of charge, to any person obtaining a copy
+of this software and associated documentation files (the "Software"), to deal
+in the Software without restriction, including without limitation the rights
+to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
+copies of the Software, and to permit persons to whom the Software is
+furnished to do so, subject to the following conditions:
+
+The above copyright notice and this permission notice shall be included in all
+copies or substantial portions of the Software.
+
+THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
+IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
+FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
+AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
+LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
+OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
+SOFTWARE.

s_authkit_server-0.1.1/PKG-INFO

@@ -0,0 +1,238 @@
+Metadata-Version: 2.5
+Name: s-authkit-server
+Version: 0.1.1
+Summary: Серверная авторизация своих пользователей: JWT RS256 + refresh-tokens + Argon2 hashing. Пара к s-authkit-client (доступ к чужим сервисам). 0 завязок на конкретное приложение.
+Author: Dmitry
+License: MIT
+License-File: LICENSE
+Requires-Python: >=3.11
+Requires-Dist: cryptography>=41.0.0
+Requires-Dist: passlib[argon2]>=1.7.4
+Requires-Dist: python-jose[cryptography]>=3.3.0
+Provides-Extra: dev
+Requires-Dist: pytest-asyncio>=0.24; extra == 'dev'
+Requires-Dist: pytest-cov>=6.0; extra == 'dev'
+Requires-Dist: pytest>=8; extra == 'dev'
+Description-Content-Type: text/markdown
+
+# s-authkit-server
+
+СЕРВЕРНОЕ ядро авторизации для Skillery проектов: JWT RS256, refresh-token management,
+Argon2 hashing. Импорт — `authkit_server`.
+
+**Версия:** 0.1.1  
+**Лицензия:** MIT  
+**Зависимости:** `python-jose[cryptography]`, `passlib[argon2]`, `cryptography`
+
+## Какая это сторона
+
+| Кит | Импорт | Чью авторизацию решает |
+| --- | --- | --- |
+| `s-authkit-server` (этот) | `authkit_server` | НАШ сервис авторизует СВОИХ пользователей: свои токены, свои пароли, свои refresh |
+| `s-authkit-client` | `authkit_client` | НАШ код получает доступ к ЧУЖИМ сервисам: сессии, секреты, OAuth-обновление, живая проба |
+
+Суффикс имени и есть указатель стороны. До 0.1.1 этот кит назывался `s-authkit`
+(импорт `authkit`) — из-за пары «`authkit` / `authkit-client`» серверный кит читался
+как SDK к клиентскому. См. раздел «Переименование» ниже.
+
+## Что входит
+
+### JWT access-токены (RS256)
+- `JoseTokenIssuer` — выпуск и верификация JWT
+- `TokenPair` / `TokenClaims` — value objects для типизации
+- `ensure_jwt_keypair` — генерация RSA 2048 ключей
+
+### Persistent refresh-tokens
+- `IRefreshTokenStore` — protocol для БД-реализации
+- `RefreshTokenRecord` — агрегат с хешированием и валидацией
+- Rotation с audit-trail (`rotated_from`)
+
+### Password hashing
+- `Argon2PasswordHasher` — Argon2id через passlib
+
+## Примеры
+
+### 1. Инициализация
+
+```python
+from pathlib import Path
+from authkit_server import (
+    JoseTokenIssuer,
+    Argon2PasswordHasher,
+    ensure_jwt_keypair,
+)
+
+# Создаём ключи (если нет)
+keys_dir = Path.home() / ".myapp" / "keys"
+ensure_jwt_keypair(
+    private_path=keys_dir / "jwt_private.pem",
+    public_path=keys_dir / "jwt_public.pem",
+)
+
+# Прочитаем ключи
+private_key = (keys_dir / "jwt_private.pem").read_text()
+public_key = (keys_dir / "jwt_public.pem").read_text()
+
+# Создаём компоненты
+hasher = Argon2PasswordHasher()
+issuer = JoseTokenIssuer(
+    private_key_pem=private_key,
+    public_key_pem=public_key,
+    issuer="myproject.com",
+    access_ttl_min=15,
+    refresh_ttl_days=30,
+    refresh_store=your_store_impl,  # реализуете вы
+)
+```
+
+### 2. Login (выпуск пары токенов)
+
+```python
+async def login_with_password(username: str, password: str):
+    # Получаем юзера из БД
+    user = await db.get_user_by_username(username)
+    if not user:
+        raise ValueError("User not found")
+    
+    # Проверяем пароль
+    if not hasher.verify(password, user.password_hash):
+        raise ValueError("Invalid password")
+    
+    # Выпускаем пару
+    pair = await issuer.issue_pair(
+        user_id=str(user.id),
+        company_id=str(user.active_company_id) if user.active_company_id else None,
+        permissions={"skill.read", "skill.install"},
+    )
+    return pair
+```
+
+### 3. Middleware (верификация токена)
+
+```python
+from authkit_server import TokenError
+
+async def auth_middleware(request, call_next):
+    auth_header = request.headers.get("Authorization", "")
+    if not auth_header.startswith("Bearer "):
+        return Response("Unauthorized", status_code=401)
+    
+    token = auth_header[7:]
+    try:
+        claims = issuer.verify_access(token)
+    except TokenError as e:
+        return Response(f"Invalid token: {e}", status_code=401)
+    
+    request.state.claims = claims
+    return await call_next(request)
+```
+
+### 4. Refresh (rotation)
+
+```python
+async def refresh_session(refresh_token: str):
+    try:
+        new_pair = await issuer.rotate_refresh(refresh_token)
+    except RefreshTokenError as e:
+        raise Unauthorized(f"Refresh failed: {e}")
+    return new_pair
+```
+
+### 5. Реализация IRefreshTokenStore
+
+```python
+from authkit_server import RefreshTokenRecord, IRefreshTokenStore
+
+class PostgresRefreshTokenStore:
+    def __init__(self, db_engine):
+        self.engine = db_engine
+    
+    async def save(self, record: RefreshTokenRecord) -> None:
+        # INSERT/UPDATE в БД
+        async with self.engine.begin() as conn:
+            await conn.execute(
+                "INSERT INTO refresh_tokens (user_id, token_hash, ...) VALUES (...)"
+            )
+    
+    async def get_by_hash(self, token_hash: str) -> RefreshTokenRecord | None:
+        # SELECT * FROM refresh_tokens WHERE token_hash = ?
+        ...
+    
+    async def revoke_all_for_user(self, user_id: str) -> int:
+        # UPDATE refresh_tokens SET revoked_at = NOW() WHERE user_id = ?
+        ...
+    
+    # Реализуете остальные методы Protocol'а
+```
+
+## Архитектура
+
+```
+authkit_server/
+├── __init__.py              # Public API
+├── exceptions.py            # AuthKitError, TokenError, ...
+├── token/
+│   ├── models.py            # TokenPair, TokenClaims
+│   ├── jose_issuer.py       # JoseTokenIssuer
+│   └── keys.py              # ensure_jwt_keypair
+├── refresh/
+│   └── models.py            # RefreshTokenRecord, IRefreshTokenStore
+└── password/
+    └── hasher.py            # Argon2PasswordHasher
+```
+
+## Тестирование
+
+```bash
+pytest tests/                      # Все тесты
+pytest tests/ -v --cov           # С coverage report
+pytest tests/ -k "test_verify"   # Конкретный тест
+```
+
+Coverage gate: ≥ 80%.
+
+## Что НЕ входит (v0.1)
+
+- **OAuth** (YandexOAuth, ExchangeCode) — в v0.2+
+- **PermissionResolver** — остаются на стороне приложения
+- **Redis cache invalidation** — в v0.2+ как optional
+- **Signing PK/SK rotation** — будущая фича
+- **Sync обёртки** — только async API в v0.1
+
+## Интеграция в существующее приложение
+
+Типовой путь перевода существующего приложения на модуль:
+1. Импортирует `from authkit_server import ...` вместо локального кода
+2. Обёрнет `RefreshTokenRecord` в ORM-адаптер для своей БД
+3. Оставит PermissionResolver/OAuth/ExchangeCode локально
+
+## Переименование (0.1.0 → 0.1.1)
+
+Кит переименован: дистрибутив `s-authkit` → `s-authkit-server`, импорт `authkit` →
+`authkit_server`. Публичный API (имена классов и функций) не менялся — правится только
+строка импорта и строка зависимости.
+
+Со старым дистрибутивом на PyPI:
+
+- `s-authkit==0.1.0` остаётся опубликованным как есть — его не отзываем (yank) и не
+  удаляем: он рабочий, а отзыв сломал бы любую уже собранную сборку;
+- **новых выпусков под именем `s-authkit` больше не будет** — имя заморожено на 0.1.0;
+- переименование на PyPI «на месте» невозможно: `s-authkit-server` — это НОВЫЙ
+  дистрибутив, первый его выпуск — 0.1.1 (нумерация продолжает историю кита, а не
+  начинается заново, чтобы версия читалась как «то же ядро, новое имя»).
+
+Миграция потребителя — две строки:
+
+```diff
+-"s-authkit>=0.1.0",
++"s-authkit-server>=0.1.1",
+```
+
+```diff
+-from authkit import Argon2PasswordHasher, ensure_jwt_keypair
++from authkit_server import Argon2PasswordHasher, ensure_jwt_keypair
+```
+
+## Лицензия
+
+MIT

s_authkit_server-0.1.1/README.md

@@ -0,0 +1,221 @@
+# s-authkit-server
+
+СЕРВЕРНОЕ ядро авторизации для Skillery проектов: JWT RS256, refresh-token management,
+Argon2 hashing. Импорт — `authkit_server`.
+
+**Версия:** 0.1.1  
+**Лицензия:** MIT  
+**Зависимости:** `python-jose[cryptography]`, `passlib[argon2]`, `cryptography`
+
+## Какая это сторона
+
+| Кит | Импорт | Чью авторизацию решает |
+| --- | --- | --- |
+| `s-authkit-server` (этот) | `authkit_server` | НАШ сервис авторизует СВОИХ пользователей: свои токены, свои пароли, свои refresh |
+| `s-authkit-client` | `authkit_client` | НАШ код получает доступ к ЧУЖИМ сервисам: сессии, секреты, OAuth-обновление, живая проба |
+
+Суффикс имени и есть указатель стороны. До 0.1.1 этот кит назывался `s-authkit`
+(импорт `authkit`) — из-за пары «`authkit` / `authkit-client`» серверный кит читался
+как SDK к клиентскому. См. раздел «Переименование» ниже.
+
+## Что входит
+
+### JWT access-токены (RS256)
+- `JoseTokenIssuer` — выпуск и верификация JWT
+- `TokenPair` / `TokenClaims` — value objects для типизации
+- `ensure_jwt_keypair` — генерация RSA 2048 ключей
+
+### Persistent refresh-tokens
+- `IRefreshTokenStore` — protocol для БД-реализации
+- `RefreshTokenRecord` — агрегат с хешированием и валидацией
+- Rotation с audit-trail (`rotated_from`)
+
+### Password hashing
+- `Argon2PasswordHasher` — Argon2id через passlib
+
+## Примеры
+
+### 1. Инициализация
+
+```python
+from pathlib import Path
+from authkit_server import (
+    JoseTokenIssuer,
+    Argon2PasswordHasher,
+    ensure_jwt_keypair,
+)
+
+# Создаём ключи (если нет)
+keys_dir = Path.home() / ".myapp" / "keys"
+ensure_jwt_keypair(
+    private_path=keys_dir / "jwt_private.pem",
+    public_path=keys_dir / "jwt_public.pem",
+)
+
+# Прочитаем ключи
+private_key = (keys_dir / "jwt_private.pem").read_text()
+public_key = (keys_dir / "jwt_public.pem").read_text()
+
+# Создаём компоненты
+hasher = Argon2PasswordHasher()
+issuer = JoseTokenIssuer(
+    private_key_pem=private_key,
+    public_key_pem=public_key,
+    issuer="myproject.com",
+    access_ttl_min=15,
+    refresh_ttl_days=30,
+    refresh_store=your_store_impl,  # реализуете вы
+)
+```
+
+### 2. Login (выпуск пары токенов)
+
+```python
+async def login_with_password(username: str, password: str):
+    # Получаем юзера из БД
+    user = await db.get_user_by_username(username)
+    if not user:
+        raise ValueError("User not found")
+    
+    # Проверяем пароль
+    if not hasher.verify(password, user.password_hash):
+        raise ValueError("Invalid password")
+    
+    # Выпускаем пару
+    pair = await issuer.issue_pair(
+        user_id=str(user.id),
+        company_id=str(user.active_company_id) if user.active_company_id else None,
+        permissions={"skill.read", "skill.install"},
+    )
+    return pair
+```
+
+### 3. Middleware (верификация токена)
+
+```python
+from authkit_server import TokenError
+
+async def auth_middleware(request, call_next):
+    auth_header = request.headers.get("Authorization", "")
+    if not auth_header.startswith("Bearer "):
+        return Response("Unauthorized", status_code=401)
+    
+    token = auth_header[7:]
+    try:
+        claims = issuer.verify_access(token)
+    except TokenError as e:
+        return Response(f"Invalid token: {e}", status_code=401)
+    
+    request.state.claims = claims
+    return await call_next(request)
+```
+
+### 4. Refresh (rotation)
+
+```python
+async def refresh_session(refresh_token: str):
+    try:
+        new_pair = await issuer.rotate_refresh(refresh_token)
+    except RefreshTokenError as e:
+        raise Unauthorized(f"Refresh failed: {e}")
+    return new_pair
+```
+
+### 5. Реализация IRefreshTokenStore
+
+```python
+from authkit_server import RefreshTokenRecord, IRefreshTokenStore
+
+class PostgresRefreshTokenStore:
+    def __init__(self, db_engine):
+        self.engine = db_engine
+    
+    async def save(self, record: RefreshTokenRecord) -> None:
+        # INSERT/UPDATE в БД
+        async with self.engine.begin() as conn:
+            await conn.execute(
+                "INSERT INTO refresh_tokens (user_id, token_hash, ...) VALUES (...)"
+            )
+    
+    async def get_by_hash(self, token_hash: str) -> RefreshTokenRecord | None:
+        # SELECT * FROM refresh_tokens WHERE token_hash = ?
+        ...
+    
+    async def revoke_all_for_user(self, user_id: str) -> int:
+        # UPDATE refresh_tokens SET revoked_at = NOW() WHERE user_id = ?
+        ...
+    
+    # Реализуете остальные методы Protocol'а
+```
+
+## Архитектура
+
+```
+authkit_server/
+├── __init__.py              # Public API
+├── exceptions.py            # AuthKitError, TokenError, ...
+├── token/
+│   ├── models.py            # TokenPair, TokenClaims
+│   ├── jose_issuer.py       # JoseTokenIssuer
+│   └── keys.py              # ensure_jwt_keypair
+├── refresh/
+│   └── models.py            # RefreshTokenRecord, IRefreshTokenStore
+└── password/
+    └── hasher.py            # Argon2PasswordHasher
+```
+
+## Тестирование
+
+```bash
+pytest tests/                      # Все тесты
+pytest tests/ -v --cov           # С coverage report
+pytest tests/ -k "test_verify"   # Конкретный тест
+```
+
+Coverage gate: ≥ 80%.
+
+## Что НЕ входит (v0.1)
+
+- **OAuth** (YandexOAuth, ExchangeCode) — в v0.2+
+- **PermissionResolver** — остаются на стороне приложения
+- **Redis cache invalidation** — в v0.2+ как optional
+- **Signing PK/SK rotation** — будущая фича
+- **Sync обёртки** — только async API в v0.1
+
+## Интеграция в существующее приложение
+
+Типовой путь перевода существующего приложения на модуль:
+1. Импортирует `from authkit_server import ...` вместо локального кода
+2. Обёрнет `RefreshTokenRecord` в ORM-адаптер для своей БД
+3. Оставит PermissionResolver/OAuth/ExchangeCode локально
+
+## Переименование (0.1.0 → 0.1.1)
+
+Кит переименован: дистрибутив `s-authkit` → `s-authkit-server`, импорт `authkit` →
+`authkit_server`. Публичный API (имена классов и функций) не менялся — правится только
+строка импорта и строка зависимости.
+
+Со старым дистрибутивом на PyPI:
+
+- `s-authkit==0.1.0` остаётся опубликованным как есть — его не отзываем (yank) и не
+  удаляем: он рабочий, а отзыв сломал бы любую уже собранную сборку;
+- **новых выпусков под именем `s-authkit` больше не будет** — имя заморожено на 0.1.0;
+- переименование на PyPI «на месте» невозможно: `s-authkit-server` — это НОВЫЙ
+  дистрибутив, первый его выпуск — 0.1.1 (нумерация продолжает историю кита, а не
+  начинается заново, чтобы версия читалась как «то же ядро, новое имя»).
+
+Миграция потребителя — две строки:
+
+```diff
+-"s-authkit>=0.1.0",
++"s-authkit-server>=0.1.1",
+```
+
+```diff
+-from authkit import Argon2PasswordHasher, ensure_jwt_keypair
++from authkit_server import Argon2PasswordHasher, ensure_jwt_keypair
+```
+
+## Лицензия
+
+MIT