feat: Fusion — barre d'apps commune (#28) et pont SSO draco_session (#27)

app/config.py

@@ -14,6 +14,15 @@ Environment variables:
     KANBANTE_SESSION_SECRET      HMAC key for the login session cookie
                                  (default: derived from the credentials —
                                  rotating the password invalidates sessions).
+    DRACO_SESSION_SECRET         Shared secret of the dracodev SSO cookie
+                                 (``draco_session``, emitted by ObsiGate —
+                                 Fusion ACC-3). Empty (default) = SSO bridge
+                                 disabled. ``DRACO_SESSION_SECRET_PREV``
+                                 accepts the previous secret while rotating,
+                                 ``DRACO_SSO_MACHINE_KEY`` authenticates the
+                                 revocation-list fetch and ``DRACO_SSO_URL``
+                                 points at the emitter (default
+                                 https://og.dracodev.net).
     KANBANTE_SNAPSHOT_INTERVAL   Seconds between background snapshot
                                  refreshes (chantier B, default 120;
                                  0 disables the refresher).
@@ -95,7 +104,7 @@ from pathlib import Path
 
 BASE_DIR = Path(__file__).resolve().parent.parent
 
-APP_VERSION = "0.22.1"
+APP_VERSION = "0.23.0"
 
 
 def _env_bool(name: str, default: bool) -> bool:
@@ -166,6 +175,10 @@ class Settings:
     zombie_days: int = 30
     session_secret: str = ""
     snapshot_interval: int = 120
+    draco_secret: str = ""
+    draco_secret_prev: str = ""
+    sso_machine_key: str = ""
+    sso_url: str = "https://og.dracodev.net"
 
     @property
     def auth_enabled(self) -> bool:
@@ -213,4 +226,8 @@ def get_settings() -> Settings:
         zombie_days=_env_int("KANBANTE_ZOMBIE_DAYS", 30),
         session_secret=os.getenv("KANBANTE_SESSION_SECRET", ""),
         snapshot_interval=_env_int("KANBANTE_SNAPSHOT_INTERVAL", 120),
+        draco_secret=os.getenv("DRACO_SESSION_SECRET", ""),
+        draco_secret_prev=os.getenv("DRACO_SESSION_SECRET_PREV", ""),
+        sso_machine_key=os.getenv("DRACO_SSO_MACHINE_KEY", ""),
+        sso_url=os.getenv("DRACO_SSO_URL", "https://og.dracodev.net").rstrip("/"),
     )

app/draco.py

@@ -0,0 +1,124 @@
+"""Validation locale du cookie SSO ``draco_session`` — Fusion ACC-3.2.
+
+Kanbante valide localement le jeton émis par ObsiGate (l'émettrice,
+ACC-3.1) : JWS HS256 vérifié avec le secret partagé
+(``DRACO_SESSION_SECRET``, ``_PREV`` accepté en rotation),
+algorithme épinglé, expiration, et liste de révocation de
+l'émettrice (cache 60 s, interrogée seulement si un cookie draco
+est présenté). Vérification hmac/hashlib — mêmes sémantiques que
+les validateurs de TikTak (0.52.0) et Flowdeck (7.74.0).
+
+Le pont ``GET /auth/draco`` (app/main.py) convertit un cookie valide
+en session Kanbante native. Kanbante est mono-utilisateur
+(identifiants configurés par l'environnement) : un jeton valide
+désigne l'opérateur configuré — pas de table de liens. Sans secret
+configuré, module inerte.
+"""
+
+from __future__ import annotations
+
+import base64
+import hashlib
+import hmac
+import json
+import logging
+import time
+
+from app.config import get_settings
+
+logger = logging.getLogger(__name__)
+
+COOKIE_NAME = "draco_session"
+_REVOCATIONS_TTL = 60  # secondes de cache, comme le prévoit le design
+
+_revoked_cache: dict[str, int] = {}
+_revoked_fetched_at: float = 0.0
+
+
+def enabled() -> bool:
+    return bool(get_settings().draco_secret)
+
+
+def _b64decode(segment: str) -> bytes:
+    return base64.urlsafe_b64decode(segment + "=" * (-len(segment) % 4))
+
+
+def verify_token(token: str) -> dict | None:
+    """Vérifie un JWS HS256 (signature, alg épinglé, expiration)."""
+    settings = get_settings()
+    if not token or not settings.draco_secret:
+        return None
+    parts = token.split(".")
+    if len(parts) != 3:
+        return None
+    try:
+        header = json.loads(_b64decode(parts[0]))
+        if not isinstance(header, dict) or header.get("alg") != "HS256":
+            return None
+        signing_input = f"{parts[0]}.{parts[1]}".encode("ascii")
+        signature = _b64decode(parts[2])
+        claims = json.loads(_b64decode(parts[1]))
+    except Exception:
+        return None
+    if not isinstance(claims, dict):
+        return None
+    for secret in (settings.draco_secret, settings.draco_secret_prev):
+        if not secret:
+            continue
+        attendu = hmac.new(secret.encode("utf-8"), signing_input,
+                           hashlib.sha256).digest()
+        if hmac.compare_digest(attendu, signature):
+            break
+    else:
+        return None
+    try:
+        if int(claims.get("exp", 0)) <= int(time.time()):
+            return None
+    except (TypeError, ValueError):
+        return None
+    return claims
+
+
+# ── Révocations (cache 60 s alimenté par l'émettrice) ───────────────────
+
+def _refresh_revocations() -> None:
+    global _revoked_fetched_at
+    now = time.monotonic()
+    if now - _revoked_fetched_at < _REVOCATIONS_TTL:
+        return
+    _revoked_fetched_at = now
+    settings = get_settings()
+    try:
+        import httpx
+
+        headers = {}
+        if settings.sso_machine_key:
+            headers["X-Draco-Machine-Key"] = settings.sso_machine_key
+        r = httpx.get(f"{settings.sso_url}/api/sso/revocations",
+                      headers=headers, timeout=2.0)
+        if r.status_code == 200:
+            _revoked_cache.clear()
+            for item in r.json().get("revoked", []):
+                _revoked_cache[str(item["jti"])] = int(item["exp"])
+    except Exception as exc:  # l'émettrice injoignable ne bloque pas le SSO
+        logger.debug("Révocations draco indisponibles: %s", exc)
+
+
+def is_revoked(jti: str) -> bool:
+    _refresh_revocations()
+    return jti in _revoked_cache
+
+
+def claims_for(request) -> dict | None:
+    """Claims valides du cookie draco de la requête (révocation incluse)."""
+    if not enabled():
+        return None
+    claims = verify_token(request.cookies.get(COOKIE_NAME, ""))
+    if not claims:
+        return None
+    jti = str(claims.get("jti", ""))
+    if jti and is_revoked(jti):
+        return None
+    if not claims.get("sub"):
+        return None
+    return claims

app/main.py

@@ -220,7 +220,8 @@ gitea = GiteaClient()
 
 SESSION_COOKIE = "kanbante_session"
 SESSION_DAYS = 7
-_PUBLIC_PATHS = ("/api/health", "/webhooks/gitea", "/api/capture", "/login")
+_PUBLIC_PATHS = ("/api/health", "/webhooks/gitea", "/api/capture", "/login",
+                 "/auth/draco")
 
 
 def _session_secret() -> bytes:
@@ -374,6 +375,32 @@ async def logout():
     return response
 
 
+@app.get("/auth/draco")
+def draco_bridge(request: Request, next: str = "/"):
+    """Fusion ACC-3.2 — pont SSO : cookie ``draco_session`` → session.
+
+    Point de retour de ``GET /sso/authorize`` de l'émettrice
+    (ObsiGate) : si le cookie partagé est valide, la session native
+    de l'opérateur configuré est créée (Kanbante est mono-utilisateur,
+    aucun mapping de comptes n'est nécessaire) ; sinon, retour à
+    l'écran de connexion. Inerte sans ``DRACO_SESSION_SECRET``.
+    """
+    from app import draco
+
+    settings = get_settings()
+    if not settings.auth_enabled or draco.claims_for(request) is None:
+        return RedirectResponse("/login", status_code=303)
+    response = RedirectResponse(_safe_next(next), status_code=303)
+    response.set_cookie(
+        SESSION_COOKIE,
+        _make_session(settings.auth_user),
+        max_age=SESSION_DAYS * 86400,
+        httponly=True,
+        samesite="lax",
+    )
+    return response
+
+
 # ── Live updates (SSE hub) ─────────────────────────────────
 
 class LiveHub:
@@ -459,6 +486,10 @@ def render(
         token = secrets.token_urlsafe(32)
     context.setdefault("csrf_token", token)
     context.setdefault("version", APP_VERSION)
+    # Fusion ACC-1 : initiale de l'opérateur pour la barre d'apps commune.
+    context.setdefault(
+        "draco_avatar", (get_settings().auth_user or "K")[:1].upper()
+    )
     context.setdefault("active_nav", _NAV_BY_TEMPLATE.get(name, ""))
     context.setdefault("auth_enabled", get_settings().auth_enabled)
     context.setdefault("data_freshness", snapshots_service.freshness_label())

app/templates/_draco_bar.html

@@ -0,0 +1,98 @@
+{# Barre d'apps commune dracodev — Fusion ACC-1 (issue kanbante#28).
+   Snippet FIGÉ vendangé depuis Projets/dracodev-commons v0.1.1
+   (ui/barre-apps/) : ne pas modifier la structure ici ; toute évolution
+   passe par une nouvelle version de commons.
+   CSS/JS : /static/css/draco-barre.css, /static/js/draco-barre.js.
+   Inclus par _header.html (toutes les pages applicatives ; ni le
+   wallboard ni l'écran de connexion, volontaires). #}
+<link rel="stylesheet" href="/static/css/draco-barre.css">
+<script>document.body.classList.add('has-draco-bar');</script>
+<header class="draco-bar" data-current="kanbante">
+    <div class="draco-bar-zone draco-bar-gauche">
+        <button type="button" class="draco-icon-btn" data-act="rail" aria-label="Barre latérale">☰</button>
+        <a class="draco-brand" href="/" aria-label="dracodev">
+            <span class="draco-brand-mark">✦</span><span class="draco-brand-name">dracodev</span>
+        </a>
+        <nav class="draco-apptabs" aria-label="Applications">
+            <a class="draco-apptab" data-app="obsigate" href="https://og.dracodev.net/">
+                <span class="draco-apptab-ico" style="--app:#7a5af5">▤</span>
+                <span class="draco-apptab-txt"><strong>ObsiGate</strong><small>Notes</small></span>
+            </a>
+            <a class="draco-apptab" data-app="flowdeck" href="https://flowdeck.dracodev.net/">
+                <span class="draco-apptab-ico" style="--app:#2f6fed">▦</span>
+                <span class="draco-apptab-txt"><strong>Flowdeck</strong><small>Projets</small></span>
+            </a>
+            <a class="draco-apptab" data-app="tiktak" href="https://tiktak.dracodev.net/">
+                <span class="draco-apptab-ico" style="--app:#e8762c">✓</span>
+                <span class="draco-apptab-txt"><strong>TikTak</strong><small>Tâches</small></span>
+                <span class="draco-badge" data-badge="tiktak" hidden>0</span>
+            </a>
+            <a class="draco-apptab" data-app="kanbante" href="https://kanbante.dracodev.net/">
+                <span class="draco-apptab-ico" style="--app:#0d9488">▥</span>
+                <span class="draco-apptab-txt"><strong>Kanbante</strong><small>Kanban</small></span>
+                <span class="draco-badge" data-badge="kanbante" hidden>0</span>
+            </a>
+        </nav>
+    </div>
+    <div class="draco-bar-zone draco-bar-centre">
+        <button type="button" class="draco-search" data-act="palette" aria-label="Rechercher partout (Ctrl+K)">
+            <span class="draco-search-ico">⌕</span>
+            <span class="draco-search-txt">Rechercher partout…</span>
+            <kbd>⌘K</kbd>
+        </button>
+    </div>
+    <div class="draco-bar-zone draco-bar-droite">
+        <div class="draco-domaines" role="group" aria-label="Domaine">
+            <span class="draco-domaines-lbl">Domaine</span>
+            <button type="button" data-act="domaine" data-dom="pro">Pro</button>
+            <button type="button" data-act="domaine" data-dom="famille">Famille</button>
+            <button type="button" data-act="domaine" data-dom="perso">Perso</button>
+        </div>
+        <button type="button" class="draco-alertes" data-act="alertes" aria-label="Alertes unifiées">
+            <svg viewBox="0 0 24 24" width="19" height="19" fill="none" stroke="currentColor" stroke-width="2" stroke-linecap="round" stroke-linejoin="round" aria-hidden="true"><path d="M6 8a6 6 0 0 1 12 0c0 7 3 9 3 9H3s3-2 3-9"/><path d="M10.3 21a1.94 1.94 0 0 0 3.4 0"/></svg>
+            <span class="draco-alertes-txt">Alertes</span>
+            <span class="draco-badge" data-badge="alertes" hidden>0</span>
+        </button>
+        <button type="button" class="draco-spark" data-act="spark" aria-label="Ouvrir Spark, l'agent commun">
+            <span class="draco-spark-ico">✦</span><span class="draco-spark-txt">Spark</span>
+            <span class="draco-badge" data-badge="spark" hidden>0</span>
+        </button>
+        <button type="button" class="draco-icon-btn" data-act="menu" aria-label="Plus d'actions" aria-haspopup="menu">•••</button>
+        <span class="draco-avatar" title="Opérateur Kanbante">{{ draco_avatar }}</span>
+    </div>
+</header>
+<div class="draco-bar-rappel" data-act="rappel-entete" hidden>✦ dracodev — afficher l'en-tête</div>
+<script>
+    /* Configuration Kanbante de la barre commune (Fusion ACC-1).
+       Phase 1 : navigation entre apps et domaine mémorisé localement ;
+       le rail pilote le repli natif de la barre latérale, la palette
+       ouvre la recherche & commandes native (Ctrl+K) ; les alertes
+       unifiées, la recherche fédérée et Spark arrivent avec les
+       phases suivantes du programme Fusion. */
+    window.DRACO_BAR_CONFIG = {
+        current: "kanbante",
+        domain: (function () { try { return localStorage.getItem("draco_domain") || "pro"; } catch (e) { return "pro"; } })(),
+        counts: {},
+        onAction: function (act, el) {
+            var dire = function (m) {
+                var d = document.createElement("div");
+                d.textContent = m;
+                d.style.cssText = "position:fixed;left:50%;bottom:22px;transform:translateX(-50%);z-index:3000;background:#1f1f1f;color:#eee;padding:10px 16px;border-radius:10px;font:500 13.5px system-ui;box-shadow:0 6px 24px rgb(0 0 0/.35)";
+                document.body.appendChild(d);
+                setTimeout(function () { d.remove(); }, 3400);
+            };
+            if (act === "domaine") { try { localStorage.setItem("draco_domain", el.dataset.dom); } catch (e) { } return; }
+            if (act === "rail") { var b = document.getElementById("side-collapse"); if (b) b.click(); return; }
+            if (act === "palette") { var p = document.querySelector(".palette-trigger"); if (p) { p.click(); } else { dire("Recherche & commandes : Ctrl+K."); } return; }
+            if (act === "alertes") { dire("Alertes unifiées : arrive avec la fédération (programme Fusion)."); return; }
+            if (act === "menu") { dire("Menu commun : arrive avec la fédération (programme Fusion)."); return; }
+            if (act === "spark") { dire("Spark, l'agent commun : arrive en phase 4 du programme Fusion."); return; }
+            if (act === "rappel-entete") {
+                var bar = document.querySelector(".draco-bar");
+                if (bar) bar.style.display = "";
+                el.hidden = true;
+            }
+        }
+    };
+</script>
+<script defer src="/static/js/draco-barre.js"></script>

app/templates/_header.html

@@ -1,3 +1,4 @@
+{% include "_draco_bar.html" %}
 {# ── Cadre applicatif partagé (issue #16, refonte 0.16.0) ─────────
    Barre latérale unique pour TOUTES les pages applicatives :
    desktop = barre fixe repliable en rail d'icônes (état mémorisé),

app/templates/login.html

@@ -29,6 +29,7 @@
                 </label>
                 <button type="submit" class="login-submit">Se connecter</button>
             </form>
+            <a class="login-sso" href="https://og.dracodev.net/sso/authorize?return_to=https%3A%2F%2Fkanbante.dracodev.net%2Fauth%2Fdraco">🧭 Se connecter avec ObsiGate (SSO)</a>
             <p class="login-foot">Accès restreint — session de {{ 7 }} jours, déconnexion depuis le menu latéral.</p>
         </section>
     </main>