sysnet-pyutils 1.8.0__tar.gz → 1.9.0__tar.gz

{sysnet_pyutils-1.8.0/sysnet_pyutils.egg-info → sysnet_pyutils-1.9.0}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: sysnet-pyutils
-Version: 1.8.0
+Version: 1.9.0
 Summary: SYSNET Python Utilities - kompletní sada nástrojů pro Python aplikace
 Author-email: Data Developer <info@sysnet.cz>
 Maintainer-email: SYSNET Development Team <info@sysnet.cz>
@@ -729,7 +729,7 @@ Knihovna obsahuje základní, v aplikacích hojně používané, utility pro Pyt
 
 [![Python](https://img.shields.io/badge/python-3.10+-blue.svg)](https://www.python.org/downloads/)
 [![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
-[![Verze](https://img.shields.io/badge/version-1.8.0-blue.svg)](https://pypi.org/project/sysnet-pyutils/1.8.0/)
+[![Verze](https://img.shields.io/badge/version-1.9.0-blue.svg)](https://pypi.org/project/sysnet-pyutils/1.9.0/)
 [![Tests](https://github.com/SYSNET-CZ/pyutils/actions/workflows/ci.yml/badge.svg)](https://github.com/SYSNET-CZ/pyutils/actions/workflows/ci.yml)
 [![Coverage](https://img.shields.io/badge/coverage-90%25-brightgreen.svg)](tests/)
 
@@ -901,6 +901,44 @@ if ctx.check_api_key('some_key'):
     print(f"Přihlášen jako: {ctx.user_name}")
 ```
 
+> **`Context` je singleton se sdíleným stavem.** `check_api_key()` ukládá identitu do jediné instance, kterou sdílejí
+> všechny souběžné požadavky. Ve webové službě (FastAPI) může jeden požadavek po `await` vidět identitu jiného.
+> Pokus se dvěma souběžnými požadavky to potvrdil: `Context` vrátil první osobě jméno druhé.
+> **Ověřování API klíčů patří knihovně `sysnet-apikeys`** (standard CML `api-keys.md`); `check_api_key()` a
+> **Ověřování API klíčů patří knihovně `sysnet-apikeys`** (standard CML `api-keys.md`); `check_api_key()`,
+> `check_user()` a `api_keys_init()` jsou zastaralé (`DeprecationWarning`) a zůstávají jen kvůli stávajícím službám.
+> Tajemství (`config`, `api_key`, `cert_pass`) se čtou jako dřív, ale nejsou ve `vars()`, v `repr` ani v `pickle`/`copy`;
+> pro diagnostiku slouží `ctx.safe_dict()`.
+
+##### Per-request kontext (`RequestContext`)
+
+`RequestContext` jen **nese** identitu ověřenou jinde, v `ContextVar`, takže ji každý požadavek vidí jen svou.
+Ověřuje `sysnet-apikeys`; služba převede jeho `Principal` na kontext:
+
+```python
+from fastapi import Depends
+from sysnet_apikeys.fastapi import ApiKeyAuth
+from sysnet_pyutils import RequestContext, current_request_context, set_request_context
+
+auth = ApiKeyAuth(service)  # sysnet-apikeys
+
+
+async def authenticated(principal=Depends(auth)) -> RequestContext:
+    ctx = RequestContext(user_name=principal.client, agenda=principal.agenda)
+    set_request_context(ctx)
+    return ctx
+
+
+# kdekoli později ve stejném požadavku:
+agenda = current_request_context().agenda
+```
+
+- `RequestContext` je neměnný (`frozen`); `api_key` a `cert_pass` jsou typu `Secret` (repr a log skrývají hodnotu).
+- `authenticated` je `True`, nese-li kontext identitu (`user_name` nebo `api_key`); samotná `agenda` ji nedělá.
+- Kontext nastavujte v **`async def`** závislosti. `ContextVar` nastavený v synchronní závislosti (`def`, běží ve vlákně)
+  se do endpointu nepřenese; ověřeno pokusem s FastAPI 0.150. Případně použijte hodnotu vrácenou z `Depends`.
+- Pro dočasné nastavení v bloku: `with use_request_context(ctx): ...` (vždy vrátí předchozí hodnotu).
+
 #### Identifikátory a validace
 
 ```python
@@ -1409,6 +1447,15 @@ při běžném vydání již lokálně nic nenahrávejte na PyPI.
 
 Podrobnosti nových změn jsou v [CHANGELOG.md](CHANGELOG.md).
 
+### Verze 1.9.0 (2026-10-28)
+
+- 🧭 `RequestContext`: nosič identity jednoho požadavku v `ContextVar` (`set_request_context`, `current_request_context`, `use_request_context`); souběžné požadavky se nevidí. Ověřování API klíčů záměrně neobsahuje, patří knihovně `sysnet-apikeys`.
+- ⚠️ `Context.check_api_key()`, `Context.check_user()` a `api_keys_init()` jsou zastaralé (`DeprecationWarning` jednou za proces); chování pro platné konfigurace se nemění.
+- 🛡️ `Context`: vadná konfigurace nebo klíč jiného typu než neprázdný řetězec vrací `False` místo výjimky.
+- 🔐 `Context`: tajemství (`config`, `api_key`, `cert_pass`) nejsou ve `vars()`, v `repr` ani v `pickle`/`copy`; čtení atributů beze změny, nová metoda `safe_dict()`.
+
+Podrobnosti a dopady na stávající aplikace jsou v [CHANGELOG.md](CHANGELOG.md).
+
 ### Verze 1.8.0 (2026-10-27)
 
 - 🔐 `Config`: ochrana secrets. Hodnotu v YAML lze zadat odkazem `${env:NAZEV}` nebo `${file:/absolutni/cesta}`; rozlišuje se při načtení na nový typ `Secret` (maskovaný `repr`, `str` a log), `store()` zapisuje zpět odkaz, nikdy hodnotu. Nově `Config.redacted()` a `Config.audit()`. Viz `docs/adr/0001-config-secrets.md`.
@@ -1555,6 +1602,6 @@ Tento projekt je licencován pod MIT licencí — viz [LICENSE](LICENSE) soubor.
  
  **Vytvořeno s ❤️ týmem SYSNET**
  
-*Verze: 1.8.0*
+*Verze: 1.9.0*
 
 *Datum: 2026-10-27*

{sysnet_pyutils-1.8.0 → sysnet_pyutils-1.9.0}/README.md

@@ -6,7 +6,7 @@ Knihovna obsahuje základní, v aplikacích hojně používané, utility pro Pyt
 
 [![Python](https://img.shields.io/badge/python-3.10+-blue.svg)](https://www.python.org/downloads/)
 [![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
-[![Verze](https://img.shields.io/badge/version-1.8.0-blue.svg)](https://pypi.org/project/sysnet-pyutils/1.8.0/)
+[![Verze](https://img.shields.io/badge/version-1.9.0-blue.svg)](https://pypi.org/project/sysnet-pyutils/1.9.0/)
 [![Tests](https://github.com/SYSNET-CZ/pyutils/actions/workflows/ci.yml/badge.svg)](https://github.com/SYSNET-CZ/pyutils/actions/workflows/ci.yml)
 [![Coverage](https://img.shields.io/badge/coverage-90%25-brightgreen.svg)](tests/)
 
@@ -178,6 +178,44 @@ if ctx.check_api_key('some_key'):
     print(f"Přihlášen jako: {ctx.user_name}")
 ```
 
+> **`Context` je singleton se sdíleným stavem.** `check_api_key()` ukládá identitu do jediné instance, kterou sdílejí
+> všechny souběžné požadavky. Ve webové službě (FastAPI) může jeden požadavek po `await` vidět identitu jiného.
+> Pokus se dvěma souběžnými požadavky to potvrdil: `Context` vrátil první osobě jméno druhé.
+> **Ověřování API klíčů patří knihovně `sysnet-apikeys`** (standard CML `api-keys.md`); `check_api_key()` a
+> **Ověřování API klíčů patří knihovně `sysnet-apikeys`** (standard CML `api-keys.md`); `check_api_key()`,
+> `check_user()` a `api_keys_init()` jsou zastaralé (`DeprecationWarning`) a zůstávají jen kvůli stávajícím službám.
+> Tajemství (`config`, `api_key`, `cert_pass`) se čtou jako dřív, ale nejsou ve `vars()`, v `repr` ani v `pickle`/`copy`;
+> pro diagnostiku slouží `ctx.safe_dict()`.
+
+##### Per-request kontext (`RequestContext`)
+
+`RequestContext` jen **nese** identitu ověřenou jinde, v `ContextVar`, takže ji každý požadavek vidí jen svou.
+Ověřuje `sysnet-apikeys`; služba převede jeho `Principal` na kontext:
+
+```python
+from fastapi import Depends
+from sysnet_apikeys.fastapi import ApiKeyAuth
+from sysnet_pyutils import RequestContext, current_request_context, set_request_context
+
+auth = ApiKeyAuth(service)  # sysnet-apikeys
+
+
+async def authenticated(principal=Depends(auth)) -> RequestContext:
+    ctx = RequestContext(user_name=principal.client, agenda=principal.agenda)
+    set_request_context(ctx)
+    return ctx
+
+
+# kdekoli později ve stejném požadavku:
+agenda = current_request_context().agenda
+```
+
+- `RequestContext` je neměnný (`frozen`); `api_key` a `cert_pass` jsou typu `Secret` (repr a log skrývají hodnotu).
+- `authenticated` je `True`, nese-li kontext identitu (`user_name` nebo `api_key`); samotná `agenda` ji nedělá.
+- Kontext nastavujte v **`async def`** závislosti. `ContextVar` nastavený v synchronní závislosti (`def`, běží ve vlákně)
+  se do endpointu nepřenese; ověřeno pokusem s FastAPI 0.150. Případně použijte hodnotu vrácenou z `Depends`.
+- Pro dočasné nastavení v bloku: `with use_request_context(ctx): ...` (vždy vrátí předchozí hodnotu).
+
 #### Identifikátory a validace
 
 ```python
@@ -686,6 +724,15 @@ při běžném vydání již lokálně nic nenahrávejte na PyPI.
 
 Podrobnosti nových změn jsou v [CHANGELOG.md](CHANGELOG.md).
 
+### Verze 1.9.0 (2026-10-28)
+
+- 🧭 `RequestContext`: nosič identity jednoho požadavku v `ContextVar` (`set_request_context`, `current_request_context`, `use_request_context`); souběžné požadavky se nevidí. Ověřování API klíčů záměrně neobsahuje, patří knihovně `sysnet-apikeys`.
+- ⚠️ `Context.check_api_key()`, `Context.check_user()` a `api_keys_init()` jsou zastaralé (`DeprecationWarning` jednou za proces); chování pro platné konfigurace se nemění.
+- 🛡️ `Context`: vadná konfigurace nebo klíč jiného typu než neprázdný řetězec vrací `False` místo výjimky.
+- 🔐 `Context`: tajemství (`config`, `api_key`, `cert_pass`) nejsou ve `vars()`, v `repr` ani v `pickle`/`copy`; čtení atributů beze změny, nová metoda `safe_dict()`.
+
+Podrobnosti a dopady na stávající aplikace jsou v [CHANGELOG.md](CHANGELOG.md).
+
 ### Verze 1.8.0 (2026-10-27)
 
 - 🔐 `Config`: ochrana secrets. Hodnotu v YAML lze zadat odkazem `${env:NAZEV}` nebo `${file:/absolutni/cesta}`; rozlišuje se při načtení na nový typ `Secret` (maskovaný `repr`, `str` a log), `store()` zapisuje zpět odkaz, nikdy hodnotu. Nově `Config.redacted()` a `Config.audit()`. Viz `docs/adr/0001-config-secrets.md`.
@@ -832,6 +879,6 @@ Tento projekt je licencován pod MIT licencí — viz [LICENSE](LICENSE) soubor.
  
  **Vytvořeno s ❤️ týmem SYSNET**
  
-*Verze: 1.8.0*
+*Verze: 1.9.0*
 
 *Datum: 2026-10-27*

{sysnet_pyutils-1.8.0 → sysnet_pyutils-1.9.0}/pyproject.toml

@@ -4,7 +4,7 @@ build-backend = "setuptools.build_meta"
 
 [project]
 name = "sysnet-pyutils"
-version = "1.8.0"
+version = "1.9.0"
 description = "SYSNET Python Utilities - kompletní sada nástrojů pro Python aplikace"
 readme = "README.md"
 license = { file = "LICENSE" }

{sysnet_pyutils-1.8.0 → sysnet_pyutils-1.9.0}/sysnet_pyutils/__init__.py

@@ -116,6 +116,13 @@ from sysnet_pyutils.models.general import (
     WorkflowType,
     calculate_status,
 )
+from sysnet_pyutils.request_context import (
+    RequestContext,
+    current_request_context,
+    reset_request_context,
+    set_request_context,
+    use_request_context,
+)
 
 # Syslog
 from sysnet_pyutils.syslog import SyslogFactory

sysnet_pyutils-1.9.0/sysnet_pyutils/request_context.py

@@ -0,0 +1,90 @@
+"""Nosič kontextu jednoho požadavku (ASGI-safe doplněk ke třídě ``Context``).
+
+``sysnet_pyutils.Context`` je singleton: drží stav posledního ověření a sdílí ho všechny souběžné požadavky.
+Pokud si dva požadavky vymění stav, jeden z nich uvidí identitu druhého. Tento modul nabízí jen **nosič**
+identity bez sdíleného stavu:
+
+* neměnný :class:`RequestContext`,
+* ``set_request_context`` / ``current_request_context`` / ``reset_request_context`` / ``use_request_context``
+  ukládají kontext do :class:`contextvars.ContextVar`, takže každá asynchronní úloha (požadavek) vidí jen svůj.
+
+**Modul neověřuje API klíče.** Ověřování, hashování a správa klíčů patří výhradně knihovně ``sysnet-apikeys``
+(standard CML ``constitution/standards/api-keys.md``, pravidlo 1). Identitu, kterou ``sysnet-apikeys`` vrátí
+(``Principal`` s ``client``, ``agenda`` a ``scopes``), si služba převede na :class:`RequestContext` sama::
+
+    async def authenticated(principal: Principal = Depends(auth)) -> RequestContext:
+        ctx = RequestContext(user_name=principal.client, agenda=principal.agenda)
+        set_request_context(ctx)
+        return ctx
+
+``ContextVar`` nastavený v **synchronní** závislosti (``def``, běží ve vlákně) se do endpointu nepřenese. Nastavujte
+ho v ``async def`` závislosti, nebo použijte vrácenou hodnotu (``Depends``) přímo.
+
+Starý singleton ``Context`` zůstává beze změny kvůli stávajícím konzumentům.
+"""
+
+from __future__ import annotations
+
+import contextlib
+from collections.abc import Iterator
+from contextvars import ContextVar, Token
+from dataclasses import dataclass
+
+from sysnet_pyutils.utils import Secret
+
+
+@dataclass(frozen=True)
+class RequestContext:
+    """Neměnný kontext jednoho požadavku.
+
+    ``frozen`` brání tomu, aby se změnou sdílené prázdné instance změnil stav všech úloh, které kontext ještě
+    nenastavily. ``api_key`` a ``cert_pass`` jsou typu :class:`Secret`, takže se neobjeví v ``repr``, ``str`` ani
+    v logu; čistou hodnotu vrací ``.reveal()``.
+    """
+
+    api_key: Secret | None = None
+    agenda: str | None = None
+    user_name: str | None = None
+    cert_file: str | None = None
+    cert_pass: Secret | None = None
+
+    @property
+    def authenticated(self) -> bool:
+        """``True``, pokud kontext nese identitu volajícího (``user_name`` nebo ``api_key``).
+
+        ``sysnet-apikeys`` otevřený klíč nevrací (ukládá se jen hash), proto ``api_key`` bývá prázdný a identitu
+        nese ``user_name`` (klient z ``Principal``). Samotná ``agenda`` identitou není.
+        """
+        return self.api_key is not None or self.user_name is not None
+
+
+_EMPTY: RequestContext = RequestContext()
+_request_ctx: ContextVar[RequestContext] = ContextVar("sysnet_pyutils_request_context", default=_EMPTY)
+
+
+def current_request_context() -> RequestContext:
+    """Kontext aktuální úlohy; pokud nebyl nastaven, vrací prázdný (neověřený)."""
+    return _request_ctx.get()
+
+
+def set_request_context(ctx: RequestContext) -> Token[RequestContext]:
+    """Nastaví kontext pro aktuální úlohu. Vrací token pro :func:`reset_request_context`."""
+    return _request_ctx.set(ctx)
+
+
+def reset_request_context(token: Token[RequestContext] | None = None) -> None:
+    """Vrátí předchozí hodnotu (podle ``token``), nebo bez tokenu nastaví prázdný kontext."""
+    if token is not None:
+        _request_ctx.reset(token)
+    else:
+        _request_ctx.set(_EMPTY)
+
+
+@contextlib.contextmanager
+def use_request_context(ctx: RequestContext) -> Iterator[RequestContext]:
+    """Nastaví kontext po dobu bloku a vždy ho vrátí zpět (i při výjimce)."""
+    token = set_request_context(ctx)
+    try:
+        yield ctx
+    finally:
+        reset_request_context(token)

{sysnet_pyutils-1.8.0 → sysnet_pyutils-1.9.0}/sysnet_pyutils/utils.py

@@ -10,6 +10,7 @@ import secrets
 import stat
 import sys
 import traceback
+import warnings
 from datetime import date, datetime, timedelta
 from typing import Any
 from urllib.parse import quote
@@ -43,6 +44,25 @@ class ConfigParseError(ConfigError, yaml.YAMLError):
     """
 
 
+_DEPRECATION_WARNED: set[str] = set()
+
+
+def _warn_deprecated_once(name: str, stacklevel: int = 3) -> None:
+    """Jednou za proces upozorní, že ověřování příchozích API klíčů patří knihovně ``sysnet-apikeys``.
+
+    Zpráva neobsahuje žádné hodnoty z konfigurace. ``stacklevel`` míří na volajícího zastaralé funkce.
+    """
+    if name in _DEPRECATION_WARNED:
+        return
+    _DEPRECATION_WARNED.add(name)
+    warnings.warn(
+        f"{name} je zastaralé: správu a ověřování API klíčů zajišťuje knihovna sysnet-apikeys "
+        "(standard CML constitution/standards/api-keys.md). Chování se nemění, odstranění je plánováno až v major vydání.",
+        DeprecationWarning,
+        stacklevel=stacklevel,
+    )
+
+
 class Singleton(type):
     """
     Třída Singleton
@@ -731,10 +751,15 @@ def api_keys_init(agenda: str = "main", amount: int = 4) -> list[dict]:
     """
     Vygeneruje klíče pro API
 
+    .. deprecated:: 1.9.0
+       Příchozí API klíče spravuje ``sysnet-apikeys`` (standard CML ``api-keys.md``); klíče v otevřené podobě
+       v YAML se nemají ukládat. Funkce zůstává kvůli stávajícím službám.
+
     :param agenda: Název agendy, pro kterou se klíče generují
     :param amount: Počet vygenerovaných klíčů
     :return: seznam vygenerovaných klíčů
     """
+    _warn_deprecated_once("api_keys_init")
     out = []
     for i in range(amount):
         out.append(api_key_next(f"{agenda} {i + 1}"))
@@ -1505,9 +1530,41 @@ def parse_ldap_name(ldap_name: str) -> tuple[str | None, str | None]:
     return cn, ldap_name
 
 
+class _SecretVault:
+    """Schránka na tajemství třídy ``Context`` (``config``, ``api_key``, ``cert_pass``).
+
+    Tajemství nejsou ve ``vars()`` ani v ``__dict__`` objektu; ve slovníku je jen tato schránka, která se
+    vypisuje maskovaně a při ``pickle`` i ``copy`` se přenese prázdná.
+    """
+
+    __slots__ = ("api_key", "cert_pass", "config")
+
+    def __init__(self) -> None:
+        self.api_key = None
+        self.cert_pass = None
+        self.config = None
+
+    def __repr__(self) -> str:
+        return "<tajemství skryta>"
+
+    def __reduce__(self):
+        return (_SecretVault, ())
+
+
 class Context(LoggedObject, metaclass=Singleton):
+    """Singleton se stavem posledního ověření (zastaralé pro ověřování API klíčů).
+
+    Instance je sdílená všemi souběžnými požadavky, takže po ``await`` může jeden požadavek vidět identitu jiného.
+    Ověřování API klíčů patří knihovně ``sysnet-apikeys``; identitu požadavku nese ``RequestContext``
+    (``contextvars``, bez sdíleného stavu). Třída zůstává beze změny chování kvůli stávajícím službám.
+
+    Tajemství (``config``, ``api_key``, ``cert_pass``) se čtou jako dřív, ale nejsou ve ``vars()``, v ``repr`` ani
+    v ``pickle``/``copy``; pro diagnostiku slouží :meth:`safe_dict`.
+    """
+
     def __init__(self, config=None, api_key=None, user_name=None, agenda=None, cert_file=None, cert_pass=None):
         super().__init__(object_name="CONTEXT")
+        self._vault = _SecretVault()
         self.config = config
         if self.config is None:
             self.log.error(f"{self.name} FAILED - Missing config")
@@ -1519,6 +1576,62 @@ class Context(LoggedObject, metaclass=Singleton):
         self.cert_pass = cert_pass
         self.log.info(f"{self.name} Created")
 
+    @property
+    def config(self):
+        """Konfigurace (obsahuje tajemství, proto není ve ``vars()``)."""
+        return self._vault.config
+
+    @config.setter
+    def config(self, value):
+        self._vault.config = value
+
+    @property
+    def api_key(self):
+        """Ověřený API klíč (tajemství, ve ``vars()`` není)."""
+        return self._vault.api_key
+
+    @api_key.setter
+    def api_key(self, value):
+        self._vault.api_key = value
+
+    @property
+    def cert_pass(self):
+        """Heslo certifikátu (tajemství, ve ``vars()`` není). Čte se jako obyčejný řetězec."""
+        return self._vault.cert_pass
+
+    @cert_pass.setter
+    def cert_pass(self, value):
+        self._vault.cert_pass = value
+
+    def safe_dict(self) -> dict:
+        """Bezpečný diagnostický výpis: identita a certifikát, tajemství jako ``***`` (nebo ``None``, když chybí)."""
+
+        def mask(value):
+            return None if value is None else "***"
+
+        return {
+            "agenda": self.agenda,
+            "user_name": self.user_name,
+            "authenticated": self.authenticated,
+            "cert_file": self.cert_file,
+            "api_key": mask(self.api_key),
+            "cert_pass": mask(self.cert_pass),
+            "config": mask(self.config),
+        }
+
+    def __repr__(self) -> str:
+        info = self.safe_dict()
+        parts = ", ".join(
+            f"{k}={v!r}" if k not in ("api_key", "cert_pass", "config") else f"{k}={v}" for k, v in info.items()
+        )
+        return f"{type(self).__name__}({parts})"
+
+    def __getstate__(self):
+        """Pro ``pickle`` a ``copy``: tajemství se nepřenášejí (kopie má prázdnou schránku)."""
+        state = self.__dict__.copy()
+        state["_vault"] = _SecretVault()
+        return state
+
     def _singleton_reconfigure(
         self, config=None, api_key=None, user_name=None, agenda=None, cert_file=None, cert_pass=None
     ):
@@ -1539,49 +1652,80 @@ class Context(LoggedObject, metaclass=Singleton):
         self.cert_pass = None
         self.log.info(f"{self.name} Cleared")
 
+    def _agendas(self):
+        """Dvojice (agenda, sekce) jen pro sekce typu slovník; vadná konfigurace nevyhodí výjimku."""
+        if not isinstance(self.config, dict):
+            self.log.error(f"{self.name} - config is not a dict, authentication is not possible")
+            return []
+        return [(agenda, section) for agenda, section in self.config.items() if isinstance(section, dict)]
+
+    def _load_cert(self, section):
+        """Načte cestu a heslo certifikátu agendy; neplatná sekce ``cert`` se přeskočí."""
+        cert = section.get(CONFIG_CERT)
+        if not isinstance(cert, dict):
+            return
+        if CONFIG_PATH in cert:
+            self.cert_file = cert[CONFIG_PATH]
+        if CONFIG_PASSWORD in cert:
+            self.cert_pass = cert[CONFIG_PASSWORD]
+
     def check_api_key(self, api_key):
+        """Ověří API klíč podle ``config[agenda]['api_keys']``.
+
+        .. deprecated:: 1.9.0
+           Ověřování API klíčů patří knihovně ``sysnet-apikeys`` (standard CML ``api-keys.md``). Chování se nemění.
+
+        Vstup musí být neprázdný řetězec, jinak vrací ``False``. Vadná konfigurace (sekce ``api_keys`` jiného typu
+        než seznam, položky jiného typu než slovník) se přeskočí s varováním bez hodnot a nevyhodí výjimku.
+        """
+        _warn_deprecated_once("Context.check_api_key")
         self.clear()
-        if api_key in [None, ""]:
+        if not isinstance(api_key, str) or api_key == "":
             return False
-        for agenda in self.config.keys():
-            if not isinstance(self.config[agenda], dict):
+        for agenda, section in self._agendas():
+            if CONFIG_API_KEYS not in section:
                 continue
-            if CONFIG_API_KEYS not in self.config[agenda]:
+            entries = section[CONFIG_API_KEYS]
+            if not isinstance(entries, list):
+                self.log.warning(f"{self.name} - '{CONFIG_API_KEYS}' of agenda '{agenda}' is not a list, skipped")
                 continue
-            for ak in self.config[agenda][CONFIG_API_KEYS]:
-                if api_key in ak.keys():
+            for ak in entries:
+                if not isinstance(ak, dict):
+                    continue
+                for candidate, user in ak.items():
+                    if not isinstance(candidate, str):
+                        self.log.warning(
+                            f"{self.name} - agenda '{agenda}' has a non-string API key ({type(candidate).__name__}), "
+                            "compared as text"
+                        )
+                    if str(candidate) != api_key:
+                        continue
                     self.api_key = api_key
                     self.agenda = agenda
-                    self.user_name = ak[api_key]
+                    self.user_name = user
                     self.authenticated = True
-                    if CONFIG_CERT in self.config[agenda]:
-                        if CONFIG_PATH in self.config[agenda][CONFIG_CERT]:
-                            self.cert_file = self.config[agenda][CONFIG_CERT][CONFIG_PATH]
-                        if CONFIG_PASSWORD in self.config[agenda][CONFIG_CERT]:
-                            self.cert_pass = self.config[agenda][CONFIG_CERT][CONFIG_PASSWORD]
+                    self._load_cert(section)
                     self.log.info(f"{self.name} - User '{self.user_name}' logged in")
-                    break
-            if self.authenticated:
-                break
+                    return self.authenticated
         return self.authenticated
 
     def check_user(self, username, password):
+        """Ověří jméno a heslo podle ``config[agenda]['paswd']``.
+
+        .. deprecated:: 1.9.0
+           Viz :meth:`check_api_key`. Chování se nemění; vadná sekce ``paswd`` se přeskočí bez výjimky.
+        """
+        _warn_deprecated_once("Context.check_user")
         self.clear()
-        for agenda in self.config.keys():
-            if not isinstance(self.config[agenda], dict):
-                continue
-            if CONFIG_PASSWD not in self.config[agenda]:
+        for agenda, section in self._agendas():
+            users = section.get(CONFIG_PASSWD)
+            if not isinstance(users, dict):
                 continue
-            if username in self.config[agenda][CONFIG_PASSWD]:
-                if self.config[agenda][CONFIG_PASSWD][username] == password:
-                    self.api_key = None
-                    self.agenda = agenda
-                    self.user_name = username
-                    self.authenticated = True
-                    if CONFIG_CERT in self.config[agenda]:
-                        if CONFIG_PATH in self.config[agenda][CONFIG_CERT]:
-                            self.cert_file = self.config[agenda][CONFIG_CERT][CONFIG_PATH]
-                        if CONFIG_PASSWORD in self.config[agenda][CONFIG_CERT]:
-                            self.cert_pass = self.config[agenda][CONFIG_CERT][CONFIG_PASSWORD]
-                    break
+            if username in users and users[username] == password:
+                self.api_key = None
+                self.agenda = agenda
+                self.user_name = username
+                self.authenticated = True
+                self._load_cert(section)
+                break
         return self.authenticated

{sysnet_pyutils-1.8.0 → sysnet_pyutils-1.9.0/sysnet_pyutils.egg-info}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: sysnet-pyutils
-Version: 1.8.0
+Version: 1.9.0
 Summary: SYSNET Python Utilities - kompletní sada nástrojů pro Python aplikace
 Author-email: Data Developer <info@sysnet.cz>
 Maintainer-email: SYSNET Development Team <info@sysnet.cz>
@@ -729,7 +729,7 @@ Knihovna obsahuje základní, v aplikacích hojně používané, utility pro Pyt
 
 [![Python](https://img.shields.io/badge/python-3.10+-blue.svg)](https://www.python.org/downloads/)
 [![License](https://img.shields.io/badge/license-MIT-green.svg)](LICENSE)
-[![Verze](https://img.shields.io/badge/version-1.8.0-blue.svg)](https://pypi.org/project/sysnet-pyutils/1.8.0/)
+[![Verze](https://img.shields.io/badge/version-1.9.0-blue.svg)](https://pypi.org/project/sysnet-pyutils/1.9.0/)
 [![Tests](https://github.com/SYSNET-CZ/pyutils/actions/workflows/ci.yml/badge.svg)](https://github.com/SYSNET-CZ/pyutils/actions/workflows/ci.yml)
 [![Coverage](https://img.shields.io/badge/coverage-90%25-brightgreen.svg)](tests/)
 
@@ -901,6 +901,44 @@ if ctx.check_api_key('some_key'):
     print(f"Přihlášen jako: {ctx.user_name}")
 ```
 
+> **`Context` je singleton se sdíleným stavem.** `check_api_key()` ukládá identitu do jediné instance, kterou sdílejí
+> všechny souběžné požadavky. Ve webové službě (FastAPI) může jeden požadavek po `await` vidět identitu jiného.
+> Pokus se dvěma souběžnými požadavky to potvrdil: `Context` vrátil první osobě jméno druhé.
+> **Ověřování API klíčů patří knihovně `sysnet-apikeys`** (standard CML `api-keys.md`); `check_api_key()` a
+> **Ověřování API klíčů patří knihovně `sysnet-apikeys`** (standard CML `api-keys.md`); `check_api_key()`,
+> `check_user()` a `api_keys_init()` jsou zastaralé (`DeprecationWarning`) a zůstávají jen kvůli stávajícím službám.
+> Tajemství (`config`, `api_key`, `cert_pass`) se čtou jako dřív, ale nejsou ve `vars()`, v `repr` ani v `pickle`/`copy`;
+> pro diagnostiku slouží `ctx.safe_dict()`.
+
+##### Per-request kontext (`RequestContext`)
+
+`RequestContext` jen **nese** identitu ověřenou jinde, v `ContextVar`, takže ji každý požadavek vidí jen svou.
+Ověřuje `sysnet-apikeys`; služba převede jeho `Principal` na kontext:
+
+```python
+from fastapi import Depends
+from sysnet_apikeys.fastapi import ApiKeyAuth
+from sysnet_pyutils import RequestContext, current_request_context, set_request_context
+
+auth = ApiKeyAuth(service)  # sysnet-apikeys
+
+
+async def authenticated(principal=Depends(auth)) -> RequestContext:
+    ctx = RequestContext(user_name=principal.client, agenda=principal.agenda)
+    set_request_context(ctx)
+    return ctx
+
+
+# kdekoli později ve stejném požadavku:
+agenda = current_request_context().agenda
+```
+
+- `RequestContext` je neměnný (`frozen`); `api_key` a `cert_pass` jsou typu `Secret` (repr a log skrývají hodnotu).
+- `authenticated` je `True`, nese-li kontext identitu (`user_name` nebo `api_key`); samotná `agenda` ji nedělá.
+- Kontext nastavujte v **`async def`** závislosti. `ContextVar` nastavený v synchronní závislosti (`def`, běží ve vlákně)
+  se do endpointu nepřenese; ověřeno pokusem s FastAPI 0.150. Případně použijte hodnotu vrácenou z `Depends`.
+- Pro dočasné nastavení v bloku: `with use_request_context(ctx): ...` (vždy vrátí předchozí hodnotu).
+
 #### Identifikátory a validace
 
 ```python
@@ -1409,6 +1447,15 @@ při běžném vydání již lokálně nic nenahrávejte na PyPI.
 
 Podrobnosti nových změn jsou v [CHANGELOG.md](CHANGELOG.md).
 
+### Verze 1.9.0 (2026-10-28)
+
+- 🧭 `RequestContext`: nosič identity jednoho požadavku v `ContextVar` (`set_request_context`, `current_request_context`, `use_request_context`); souběžné požadavky se nevidí. Ověřování API klíčů záměrně neobsahuje, patří knihovně `sysnet-apikeys`.
+- ⚠️ `Context.check_api_key()`, `Context.check_user()` a `api_keys_init()` jsou zastaralé (`DeprecationWarning` jednou za proces); chování pro platné konfigurace se nemění.
+- 🛡️ `Context`: vadná konfigurace nebo klíč jiného typu než neprázdný řetězec vrací `False` místo výjimky.
+- 🔐 `Context`: tajemství (`config`, `api_key`, `cert_pass`) nejsou ve `vars()`, v `repr` ani v `pickle`/`copy`; čtení atributů beze změny, nová metoda `safe_dict()`.
+
+Podrobnosti a dopady na stávající aplikace jsou v [CHANGELOG.md](CHANGELOG.md).
+
 ### Verze 1.8.0 (2026-10-27)
 
 - 🔐 `Config`: ochrana secrets. Hodnotu v YAML lze zadat odkazem `${env:NAZEV}` nebo `${file:/absolutni/cesta}`; rozlišuje se při načtení na nový typ `Secret` (maskovaný `repr`, `str` a log), `store()` zapisuje zpět odkaz, nikdy hodnotu. Nově `Config.redacted()` a `Config.audit()`. Viz `docs/adr/0001-config-secrets.md`.
@@ -1555,6 +1602,6 @@ Tento projekt je licencován pod MIT licencí — viz [LICENSE](LICENSE) soubor.
  
  **Vytvořeno s ❤️ týmem SYSNET**
  
-*Verze: 1.8.0*
+*Verze: 1.9.0*
 
 *Datum: 2026-10-27*

{sysnet_pyutils-1.8.0 → sysnet_pyutils-1.9.0}/sysnet_pyutils.egg-info/SOURCES.txt

@@ -9,6 +9,7 @@ sysnet_pyutils/domino.py
 sysnet_pyutils/geo.py
 sysnet_pyutils/ident.py
 sysnet_pyutils/log.py
+sysnet_pyutils/request_context.py
 sysnet_pyutils/ses.py
 sysnet_pyutils/tools.py
 sysnet_pyutils/utils.py
@@ -30,6 +31,8 @@ sysnet_pyutils/syslog/__init__.py
 sysnet_pyutils/syslog/factory.py
 tests/test_config_secrets.py
 tests/test_config_store.py
+tests/test_context_legacy_robustness.py
+tests/test_context_secrets_masking.py
 tests/test_cron_utils.py
 tests/test_cron_validation_edge.py
 tests/test_data_utils.py
@@ -49,6 +52,7 @@ tests/test_models_general.py
 tests/test_models_general_edge.py
 tests/test_package_init_version.py
 tests/test_recursive_update.py
+tests/test_request_context.py
 tests/test_ses.py
 tests/test_ses_importerror_branch.py
 tests/test_syslog_factory.py