SchotzIAD

T

MadJax 5c80102dca Auth : rejeter les jetons dont le compte n'existe plus (validation de session)

Corrige un contournement : après réinitialisation de la base (même JWT_SECRET_KEY),
un jeton restait cryptographiquement valide et donnait accès alors que le compte
n'existait plus, permettant d'atteindre l'onboarding sans s'inscrire.

- Backend : JwtBearer.OnTokenValidated vérifie désormais l'existence du compte
  référencé par le claim sub (lu sous 'sub' ou NameIdentifier selon le remapping)
  et rejette le jeton (401) si le compte est introuvable.
- Backend : nouvel endpoint protégé GET /api/auth/moi (SessionController) renvoyant
  200 si la session est réellement valide, 401 sinon.
- Frontend : authGuard valide la session côté serveur (GET /auth/moi) au lieu de se
  fier au seul jeton local ; sur échec, redirection vers /login (jeton purgé par
  l'intercepteur sur 401). AuthService.validerSession() ajouté.

Tests backend : 54/54 au vert.

2026-09-15 20:13:23 +02:00

.kiro/specs

Ajout de l'authentification (compte unique, JWT, reset par email)

2026-09-14 09:07:08 +02:00

backend

Auth : rejeter les jetons dont le compte n'existe plus (validation de session)

2026-09-15 20:13:23 +02:00

frontend

Auth : rejeter les jetons dont le compte n'existe plus (validation de session)

2026-09-15 20:13:23 +02:00

.env.example

.env.example : aligner AUTH_FRONTEND_BASE_URL sur le port hôte 2202