jd SSKrSSKrSSKrSSKrSSKrSSKJr SSKJrJrJ r SSK J r SSK r SSK r SSKJrJrJrJr SSKJr SSKrSSKrSSKJr SSKJrJrJrJrJr S \S \4S jr SWS \S \4S jjr!\"\"5r#\ "5r$Sr%Sr&S\'S \(4Sjr)S\S \(4Sjr*S\S\+S \(4Sjr,S \4Sjr-S\S \(4Sjr.S\S \(4Sjr/S\S\4Sjr0\ Rb"S\ Rd"55RgS5r4S\4S jr5S!\64S"jr7S#r8S$\S%\4S&jr9S$\S%\S S4S'jr:SXS$\S%\S(\(S \4S)jjr;S$\S S4S*jrS.r?S/r@SYS0\S1\S \4S2jjrAS3\4S4jrBS5rC\"\54S \S$\4S6jjrD\"\54S \S$\4S7jjrES \4S8jrFS9rGS:\'S$\S \(4S;jrHS\JS?0rK\IS@\JSA0rLS:\'S$\4SBjrMS:\'S$\S \(4SCjrNS:\'S$\S \(4SDjrOS:\'S$\S \4SEjrPS \(4SFjrQS:\'S \(4SGjrRS:\'S$\S \S4SHjrTS$\S \S4SIjrUS$\S \(4SJjrVSK\SL\'S$\S \(4SMjrWS \4SNjrXSK\4SOjrYS:\'S$\S \(4SPjrZS:\'S \(4SQjr[SRr\\\SS-r]\]ST-r^SUr_SZS$\SK\4SVjjr`g)[N) defaultdict)datetime timedeltatimezone)Lock)Depends HTTPExceptionRequeststatus)Session)get_db) SECRET_KEY ALGORITHMACCESS_TOKEN_EXPIRE_MINUTESALLOWED_EXTENSIONS PROXY_HOPSrequestreturncUR(aURROSn[S::aU$URR S5nU(dU$UR S5Vs/sH)o3R 5(dMUR 5PM+ nn[U5[:aU$[[R"U[*55$s snf![a Us$f=f)uA valódi kliens-IP-t adja vissza (bejelentkezés-védelem, naplók). Élesben az alkalmazás Apache reverse proxy mögött fut, ezért request.client.host a proxy saját (loopback) címe. A kliens címét az `X-Forwarded-For` (XFF) fejlécből olvassuk - DE NEM AZ ELSŐ bejegyzésből (2026-10-04 javítás; korábban az első volt, és az hamisítható): A kliens maga is küldhet XFF-et ("X-Forwarded-For: 9.9.9.9"). A proxy ezt nem írja felül, hanem HOZZÁFŰZI az általa látott valódi címet: "9.9.9.9, ". Az első elem tehát a támadó által választott érték (így kijátszható az IP-korlát, vagy egy másik cég IP-je kitiltatható), az UTOLSÓ viszont a megbízható proxy által hozzáfűzött, valódi cím. A megbízható proxyk számát a PROXY_HOPS beállítás adja (config.py / .env, alapérték 1 = egy Apache): a jobbról számított PROXY_HOPS-adik bejegyzést használjuk. Ha PROXY_HOPS=0, a fejlécet figyelmen kívül hagyjuk (közvetlen kapcsolat, pl. helyi fejlesztés). Ha a fejléc hiányzik, rövidebb a vártnál, vagy az érték nem érvényes IP-cím, a közvetlen kapcsolat címét (request.client.host) adjuk vissza - így hamisított/hibás fejléc sosem "találhat ki" új IP-t. FIGYELEM: az alkalmazás portja nem érhető el közvetlenül kívülről, csak a proxy-n át (ez az architektúra). Ellenőrzés: docs/LOGIN_VEDELEM.md 9.1. ismeretlenrzx-forwarded-for,) clienthostrheadersgetsplitstriplenstr ipaddress ip_address ValueError)r kozvetlen forwardedeelemeks /var/www/website/security.py get_client_ipr(s$(/~~##*biztonsagos_atiranyitas..Ds( 5A3q6B; '#a&C- 's02) isinstancerr startswithany)celr)s r'biztonsagos_atiranyitasr;6s{ c3   ))C.  ! !# &q )C >>#  #.."6"6$#+  5 555 Ji, user_idc8[R"5nSU3n[ [UnUVs/sHoAU- [:dMUPM snUSS&[ U5[ :a SSS5 gUR U5 SSS5 gs snf!,(df  g=f)uxTrue, ha ez a felhasználó az utolsó 5 percben már elérte a megengedett AI-szkennelés számot - ilyenkor a hívó félnek EZT a kérést el kell utasítania, API-hívás nélkül. Ha False- szal tér vissza, a kérést egyúttal rögzíti is (a számlálóba beleszámít), ezért hívónként (sikertől függetlenül) csak egyszer szabad meghívni egy adott kéréshez.zuser:NTF)time_ai_szkenneles_lock_ai_szkenneles_kiserletek_AI_SZKENNELES_ABLAK_MASODPERCr _AI_SZKENNELES_MAX_KISERLET_USERappend)r>mostkulcslistats r'ai_szkenneles_rate_limitalva_erJ\s 99;DG9 E )%0$Ru!q3Q(QAuRa u:9 9    T   S   s(B BB B ,B B  BfilenamecF^T(dg[U4Sj[55$)uDEllenőrzi, hogy a fájl kiterjesztése rajta van-e a fehérlistán.Fc3b># UH$nTR5RU5v M& g7fN)lowerendswith)r3extrKs r'r5$is_safe_extension..ps(L9K#x~~((--9Ks,/)r9r)rKs`r'is_safe_extensionrSls  L9KL LLr<fejreszcU(aSU;agSURSS5SR5-nUS:XaUSSS:H$US ;aUSS S ;$g ) u4Alap tartalom-ellenőrzés (fájl-aláírás/"magic byte") a PDF/DOCX/XLSX feltöltésekhez - 2026-09-24-i külső biztonsági audit találata szerint eddig csak a fájlnév kiterjesztését néztük (is_safe_extension), a tényleges tartalmat nem, így egy "PDF"-nek látszó fájl bármi lehetett. Nem helyettesíti a teljes formátum-validációt (egy sérült, de helyes fejlécű PDF-et is átenged), de a legdurvább álcázást (tetszőleges bináris tartalom PDF/DOCX/XLSX néven) kizárja. A `fejresz` elég, ha a fájl első néhány (pl. 8) bájtja - a hívónak nem kell a teljes tartalmat memóriába olvasnia csak emiatt, bár a jelenlegi feltöltő végpontok úgyis beolvassák. Kép-kiterjesztéseknél nincs dolga (azokat a tomorit_kepet() PIL-alapú tartalmi ellenőrzése védi) - ilyenkor True-t ad..Fz.pdfNs%PDF-)z.docxz.xlsx)sPKsPKsPKT)rsplitrO)rKrT kiterjesztess r'%tartalom_illeszkedik_e_kiterjesztesrer]ssm s(*a04::< tagbe ágyazáshoz: megakadályozza a kitörést (XSS).z\u003e&z\u0026)jsondumpsreplace)datas r'safe_json_for_scriptrfs9 4 i i i r<jelszocp[U5=(a% [U5S:=(a [U5(+$)uMinimális szerver-oldali jelszóerősség-ellenőrzés. A jelszómezők HTML `minlength="6"`-ja eddig csak kliensoldali volt (Burp/curl-lal, vagy egy közvetlen POST-tal megkerülhető) - ez a függvény minden jelszót beállító/módosító végponton meghívva zárja be ezt a rést. Csak a hosszt nézi (nem kényszerít ki kis/nagybetű vagy szám kombinációt), hogy a meglévő felhasználói elvárásokkal (és a kliensoldali szabállyal) összhangban maradjon.)boolrjelszo_tul_hosszu_ergs r'jelszo_eleg_eros_erms* < PCK1, P5H5P1PPr<cN[U=(d SRS55S:$)u=A bcrypt (5.x) 72 bájtnál hosszabb jelszóra ValueError-t dob (nem csonkít) - ez eddig egy kezeletlen 500-as hibát okozott pl. egy hosszú, ékezetes jelszó-mondat vagy jelszókezelő által generált jelszó megadásakor. Most 400-as hibaüzenet lesz belőle. A bájthossz számít (az ékezetes betű 2 bájt).utf-8H)rencoderls r'rkrks#  "$$W- . 33r<plain_passwordhashed_passwordcl[R"URS5URS55$Nrp)bcryptcheckpwrr)rsrts r'verify_passwordrys/ >>g&w' r<sidozites-vedelmi-dummy-jelszorppasswordc[R"URS5[R"55R S5$rv)rwhashpwrrgensaltdecode)rzs r'get_password_hashrs4 ==   fWor<rec UR5n[R"[R5nU[ [ S9-nURX2R5S.5 [R"U[[S9nU$)Nminutes)expiat algorithm) copyrnowrutcrrupdate timestampjwtrrrr)re to_encoderF expire_time encoded_jwts r'create_access_tokenrsa I << %D+FGGK [1ABC**Y iHK r<zE-LIC-01dbipc~[U5(ag[R"[R5R SS9nUR URURpen[R"S5nXqlX1lU=(d SSSUlU(aU(aXc[[S9- :aqUR[R"UR UR"SSS [$S US U=(d S S UR'S5S3 S95 [)XX%U5 UR+5 U$)u Új munkamenetet indít a felhasználónak: új véletlen azonosítót ír a felhasználó sorába (ezzel a korábbi munkamenet tokenje azonnal érvénytelen lesz), és visszaadja azt a JWT-be írandó `sid`-et. A rendszeradminisztrátornak None-t ad (neki nincs korlátja, és a meglévő munkameneteit sem érinti). Ha a korábbi munkamenet még érvényes lett volna (a token élettartamán belül indult), a Jogosultsági naplóba bejegyzést teszünk: ez a bizonyíték, ha egy fiókot több ember használ. COMMITOL.Ntzinforo@ruBejelentkezés-uEgyidejű belépés (u): az új belépés (u:) megszüntette a korábbi, még érvényes munkamenetet (r+ , indult: %Y-%m-%d %H:%Mz UTC)) company_idr> field_name old_value new_value)is_rendszeradminisztratorrrrrrdaktiv_munkamenet munkamenet_ipmunkamenet_kezdete_atsecrets token_hexrraddmodelsAuditLogridHIBAKOD_SZIMULTANstrftimeszimultan_belepes_ertesitescommit)ruserrrFregi_sidregi_ip regi_kezdetsids r'munkamenet_inditasars !&& << % - -T - :D%)%:%:Dc**[5I5IJZ5[4\\ac    $Bb;GIIK Jr<c^SSKmSSKnSSKnSSKnSSKJn SSKJn URU5(dgURU5n U (dg[R"U 5R5n URUSUR3URSU 5(dgU4Sjn UR(a*UR!["R$UR5OSn UR'U5R(R+S5S -nU(a;UR-[.R0S 9R3U 5R5S 5OS nS U "U[65SU "[65SU "UR85SU "UR:5U bSU "U R<5-OSSU "U5SU "U=(d S 5SU "U5SU "U5S3nUR?U [6SU[63USUR@URUS9 g![Ba5n[ES[6S[GU5RHSU35 SnAgSnAff=f)uE-LIC-01: levél a rendszeradminisztrátoroknak, hogy egy fiókot egyidejűleg két helyről használtak (licenckorlát átlépése). OPCIONÁLIS: csak akkor megy, ha a rendszeradmin bekapcsolta (email_sor.szimultan_ertesites_be_van; alapból KI) - a Jogosultsági naplóba a szimultán belépés a kapcsolótól függetlenül MINDIG bekerül (l. munkamenet_inditasa). ÁRVÍZ-VÉDELEM: ha két ember percenként kidobja egymást, az nem jelenthet percenként levelet - fiókonként NAPONTA EGY levél megy (a további esetek a Jogosultsági naplóban látszanak). A hiba SOHA nem akaszthatja meg a belépést: itt minden kivétel elnyelődik. NEM commitol (a hívó commitol a naplóbejegyzéssel együtt).rN) HIBAKODOK)HELYI_TZz szimultan:rWcF>TRUcSSS9$[U5SS9$)NroT)quote)escaper)xhtmls r'-szimultan_belepes_ertesites..s#t{{2d{KAd{Kr<r-z /felhasznalokrrr+z

u (Hibakód: z)

A(z) u fiókot (z, rou=) egyidejűleg két helyről használták: az új belépés (u4) kidobta a korábbi, még érvényes munkamenetet (ruG helyi idő).

Egy fiók egyszerre csak egy helyen használható; a gyakori ismétlődés arra utalhat, hogy a cég a fiókot több személy között osztja meg (licenckorlát átlépése). Fiókonként naponta legfeljebb egy ilyen levelet küldünk; a további esetek a Jogosultsági naplóban láthatók.

Felhasználók

z: rendszer) kategoria prioritasrru❌ u értesítés sikertelen: )%remail_beallitasok email_sor login_vedelem hibakodokr templates_envrszimultan_ertesites_be_vanrendszeradmin_cimekrrdatekikuldheto_e_es_rogzitrrrrCompanybetoltalkalmazas_url_vagy_alaprstriprdrr astimezonerremailusernamenev sorba_allitPRIORITAS_SURGOS Exceptionprinttype__name__)rrrrrrrrrrcimekma_eceglinkregitorzsr%rs @r'rrsJ [ '*33B77 11"5  \\( # ( ( *//j 4JDOO]^`bcc  K9=bffV^^T__5d ''+DDKKCPSbbkv{""(,,"7BB8LUUVfg|R "34566FrJ[G\F]^TZZ.)4==8I7J%(_tbk!"=>!!#B(\]_`g`nkn]o\ppz{}C|D{EEtH:%>  @  e(9':"YGX=Y[$R&"U[(R*S 9R-SS 9UR":a[[RSS0S9eURS 5(d4[.R0"XS S9(a[[RSS0S9e[3XS5nUS:Xa![[RSS[430S9eUS:wa[[RSS0S9eUR6bNUR8R:S;a4SSKnUR?X5(a[[RSS0S9eU$![a e[@a [[RSS0S9ef=f)N access_tokenLocationz/login status_coderrrrFr)tzrrT gyorsitotarrz/login?hibakod=r)z/profilz/sajat-jelszo-csererz/profil?jelszo=lejart#jelszo)!cookiesrr r HTTP_303_SEE_OTHERrr~rrqueryrUserfilterrfirstaktiv aktivalvajelszo_valtozott_atr fromtimestamprrrd mfa_utils szukseges_errjelszo_lejarat_aturlpathjelszo_hazirendkenyszeritett_csere_er) rrrrrrr munkamenetrs r'get_current_userr^s OO   /E 11*  O **UJI;G E" ;;u  )"55#X.  xx $++FKK,=,=,FGMMO4::5)@"55#X.   # # /++e$C{h44SX\\JRRZ^R_bfbzbzz# & 9 9'2{{5!!i&;&;BRV&W"55#X. +49  '"55#7H6I%JK   "55#X.   ! ! -'++2B2BJl2l "44R>># & 9 9')GH    11*   s I%J$$/KctURRS5nU(dg[R"U[[ /S9nURS5bgURS5nUR [R5R[RRU:H5R5nU(a UR(aURSLagURS5(d[R"XSS 9(ag[!XS5S :wagU$!["a gf=f) uvMint a get_current_user, de sosem dob kivételt/irányít át - None-t ad vissza, ha nincs érvényes bejelentkezés. Kizárólag olyan nyilvános oldalaknál használandó (pl. a "/" alatti marketing kezdőlap), ahol a bejelentkezett és a bejelentkezetlen látogatónak is más tartalom jár, tehát a hiányzó bejelentkezés nem hiba, hanem az egyik érvényes állapot.rNrrrFrTrr)r rrr~rrr rr rrrrrrrrr)rrrrrrs r'get_current_user_optionalrs OO   /E **UJI;G ;;u  ) E"xx $++FKK,=,=,FGMMO4::5)@{{5!!i&;&;BRV&W  /4 7 s*1D*BD*'0D*D*(D** D76D7c\^TRS;aS[4U4SjjnURRS5nU(a[ U5nU"U5(aU$TR (a#U"TR 5(a TR $TR$![ a NLf=f)uSzuper-Admin és Külsős Szakértő funkció: Ellenőrzi és kezeli az aktív cégkörnyezetet. Elsőként a biztonságos Cookie-ból olvassuk ki (ha a böngészőben friss a váltás), ennek hiányában a felhasználóhoz tartósan (adatbázisban) mentett legutóbbi cégválasztásra esünk vissza - így új bejelentkezés után vagy más eszközön is automatikusan a legutóbb ténylegesen használt céget mutatja a rendszer, nem mindig a felhasználó saját (company_id) cégét.AdminEmelőgép szakértőEmelőgép vizsgálóEmelőgép ügyintézőu Karbantartórc>[T5nUTRVs/sHo"RPM sn;nUTR:HnU=(d U=(d U$s snfrN)rallowed_companiesrr)view_idis_adminr4is_allowed_companyis_own_company current_users r'_valaszthato_e.get_working_company_id.._valaszthato_esZ1>H")L:  l+!'**"N+  % %.9S9S*T*T-- -  " ""   sB B+*B+c URS;aU$URS:Xah/nURHnURUR5 M UR [ RRRU55$URS:Xah/nURHnURUR5 M UR [ RRRU55$U$)u8Szigorú adatszeparáció a Listáknál és Keresőknél)r! TELEPHELYGEP) r/hozzaferes_szint allowed_sitesrErrrMachinesite_idin_allowed_machines)r r+site_idss machine_idsms r'apply_user_data_scope_filterr@sI% $$ 3++A OOADD !,||FNN2266x@AA  & &% / ..A   qtt $/||FNN--11+>?? Lr<rcUR[R5R[RRU:H5R 5n[ U=(a UR5$)urInaktivált (törölt ügyfélnek szánt) cégeknél minden szerkesztés tiltott - csak megtekintés/export marad.)r rrrrrrjr)rrrs r'is_company_activerB sK ((6>> " ) )&..*;*;z*I J P P RC ! ""r< inaktiv_ceg csak_olvasasu<Ez a cég inaktív státuszú, szerkesztés nem lehetséges!uMCsak megtekintési jogosultsággal rendelkezel, szerkesztés nem lehetséges!z/lista?inaktiv_ceg=1z/lista?csak_olvasas=1c^[X5(d[$UR(a[$g)u}None, ha a felhasználó írhat a megadott cég adataiba; különben a tiltás oka (IRASI_TILTAS_INAKTIV_CEG vagy IRASI_TILTAS_CSAK_OLVASAS). A sorrend (előbb a cég, aztán a fiók) megegyezik a korábbi kézi ellenőrzésekével. A RENDSZERADMIN-only route-okra NEM erre van szükség: az RA inaktív cégen is dolgozik (aktiválás, törlés), ott csak a csak_olvasas számít.N)rBIRASI_TILTAS_INAKTIV_CEGrDIRASI_TILTAS_CSAK_OLVASAS)r+rrs r'irasi_tiltas_okarH#s' Z , ,''  (( r<cUR[R5R[RRU:H[RR S:H5R 5SL$)uJ-14 (v75): be van-e kapcsolva a cégben a napi (műszakkezdő) ellenőrzés (Beállítások / "NapiEllenorzesAktiv", a /kapcsol-napi-ellenorzes route írja: a sor megléte = bekapcsolva). Korábban a kapcsoló csak megjelent a beállítások oldalon, a szerver nem érvényesítette.NapiEllenorzesAktivN)r r Dictionaryrrrr)rrs r'napi_ellenorzes_aktiv_erL/s_ 88F%% & - -$$ 2##'<<  egT r<c*UR[R5R[RRU:H[RR S:H5R 5n[U=(a URS:H5$)uCégenként kapcsolható: megjelenjenek-e a súgó buborékok és a Használati útmutató oldal - kizárólag rendszeradmin engedélyezi/tiltja a Cégek oldalon.SugoEngedelyezveTrue r rrKrrrrrjertekrrrs r'sugo_engedelyezverS9ss**+22$$ 2##'99 eg  7ioo7 88r<c0UR[R5R[RRU:H[RR S:H5R 5nU(aURS;a UR$g)uvCégenként beállítható géppazonosítási mód a matricákhoz: 'QR', 'NFC' vagy 'Mindketto'. Alapértelmezett: QR. AzonositasMod)QRNFC MindkettorV)r rrKrrrrrQrRs r'get_azonositas_modrYCss**+22$$ 2##6 egY__(BB r<cLURS:H=(a URS:H$)uA rendszeradminisztrátor (Admin szerepkör, az Alapértelmezett Cég / company_id==1 alá tartozó felhasználó) minden modulhoz automatikusan, korlátozás nélkül hozzáfér.r!rW)r/r)r+s r'rrNs%    ' HL,C,Cq,HHr<c[U5(agXR:XagXRVs/sHo"RPM sn;$s snf)uYIgaz, ha a felhasználó jogosult az adott céghez hozzáférni: a valódi rendszeradmin bármelyikhez, mindenki más csak a saját cégéhez vagy a neki kifejezetten kiosztott (allowed_companies) cégekhez - FONTOS: egy céges Admin (role=='Admin', de más company_id) NEM automatikusan jogosult minden céghez, csak mert a szerepköre 'Admin'.T)rrr&r)r+rr4s r'is_company_accessibler\TsF !..,,, (F(FG(F1$$(FG GGGsA cNUR[R5R[RRU:H5R 5nU(d [ 5$URVs1sH!o3R(dMURiM# sn$s snf)ufMelyik modulokat engedélyezte a rendszeradminisztrátor az adott cégnek (előfizetés-szintű kapu).) r rrrrrsetengedelyezett_modulokrkod)rrrr?s r'get_company_modul_kodokra`sk ((6>> " ) )&..*;*;z*I J P P RC u 44 @4aEAEE4 @@ @s 7B"B"c[U5(aqUR[R5R [RR S:H5R 5Vs1sHo"RiM sn$[URU5nURVs1sH!o"R (dMURiM# nnX4-$s snfs snf)uA felhasználó ténylegesen elérhető moduljai: a cég által engedélyezettek metszete azzal, amit a felhasználóhoz konkrétan hozzárendeltek. Rendszeradminisztrátornak korlátozás nélkül minden aktív modul jár.T) rr rModulrrallr`rar sajat_modulok)r+rr? ceg_modulokres r'get_user_modul_kodokrghs!..!xx 5<$>J$>q''UQUU$>MJ  &&`Js*C&C>CcR[U5(ag[[X55S:$)uA modulváltó gomb csak akkor legyen látható, ha ténylegesen van hova váltani - rendszeradminnak mindig (a rendszeradminisztráció csempe miatt), másnak csak ha 1-nél több aktív modulhoz van hozzáférése.TrW)rrrg)r+rs r'van_e_tobb_moduljariss(!.. #L5 6 ::r< modul_kodworking_company_idc~U[X5;ag[U5(dX R:XagU[X#5;$)uJ-15 (v72): a modul-kapu a felhasználó SAJÁT cége mellett a kiválasztott MUNKAKÖRNYEZET cégének előfizetését is nézi. Korábban csak a saját cég moduljait ellenőrizte, így a külsős szakértő olyan ügyfélcég modulját is elérte, amely nem fizetett elő rá. A rendszeradminisztrátor korlátlan (minden aktív modul). A saját cégben dolgozónál a két vizsgálat ugyanaz, tehát náluk semmi nem változik.FT)rgrrra)r+rjrkrs r'"modul_elerheto_a_munkakornyezetbenrm|sA ,\>> ..2DH_H_2_ /0BG GGr<cURRURR(aSURR-OS-nSURS3nX#4$)uÖnjavító válasz, ha a kiválasztott munkakörnyezet cégének nincs meg a kért modulja: a munkakörnyezetet a felhasználó SAJÁT cégére állítja vissza (a modul-ellenőrzés ott már átment, tehát nincs átirányítási hurok), és ugyanarra az oldalra irányít vissza. A visszatérési érték (url, Set-Cookie fejléc) a hívó dolga: a HTTPException / RedirectResponse összerakja.r+roz workspace_id=z7; Max-Age=86400; Path=/; HttpOnly; Secure; SameSite=lax)rrr r)rr+r:sutiks r'!munkakornyezet_visszaallitasa_getrpsT ++  7;;;L;LsW[[%6%66RT UCL3344k lE :r<c^[[5[[54S[S[S[ R 4U4SjjjnU$)uFastAPI dependency-gyár: csak akkor engedi tovább a kérést, ha a felhasználónak van hozzáférése a megadott modulhoz - egyébként a modul-választó oldalra irányít. J-15 (v72): a kiválasztott munkakörnyezet cégének is elő kell fizetnie a modulra. Ha nem (és a saját cégében van meg a modul), GET kérésnél a munkakörnyezet a saját cégre áll vissza és az oldal újratöltődik, egyéb metódusnál (POST...) 403 - hogy egy másik cég modul nélküli adatába ne lehessen se olvasni, se írni.rrr+c2>T[X!5;a[[RSS0S9e[ X 5n[ UTX15(dOUR S:Xa'[X5upE[[RXES.S9e[[RSS9eU$)Nrz/valassz-modultrGET)rz Set-CookieuGA kiválasztott munkakörnyezet cége nem fizetett elő erre a modulra!)rdetail) rgr r r r2rmmethodrpHTTP_403_FORBIDDEN)rrr+rkr:rorjs r' _dependency"require_modul.._dependencys 0B B"55#%67 4LJ1, K]bb~~&>wU # & 9 9),B "55` r<)rr rr r rr )rjrws` r' require_modulrysEfo$+,<$= kk. r<c*UR[R5R[RRU:H[RR S:H5R 5n[U=(a URS:H5$)uCégenként kapcsolható: a tűzoltó készülékek oltóanyagegység-igényét a rendszer az alapterület alapján (OTSZ 16. melléklet 2. táblázata) is felajánlja-e.OEAlapteruletSzamitasrOrPrRs r'get_oe_alapterulet_szamitasr|ss**+22$$ 2##'>> eg  7ioo7 88r<c[X5$)uIDOR Védelem: Ellenőrzi, hogy a felhasználónak van-e jogosultsága az adott céghez. KRITIKUS JAVÍTÁS: korábban `current_user.role == "Admin"` esetén feltétel nélkül True-t adott - ez BÁRMELYIK ügyfélcég saját Admin-ját (nem csak a valódi rendszeradminisztrátort) átengedte, ami a fájlkiszolgáló route-oknál (pl. `/uploads/{company_id}/...`, ahol a company_id közvetlenül URL-paraméter, nem a hamisítás ellen védett working_company_id) lehetővé tette, hogy bármelyik cég Admin-ja egy másik cég company_id-jét kitalálva/ megszerezve hozzáférjen annak dokumentumaihoz/fényképeihez. Mostantól ugyanazt a helyes logikát követi, mint az `is_company_accessible()`.)r\)r+rs r'is_company_allowedr~s ! ::r<)r!r$)r"r#)u Felhasználóc[XR5(dgURS:XagURS:Xa?/nURHnUR UR 5 M URU;$URS:Xa?/nURHnUR UR 5 M UR U;$g)u]IDOR Védelem: Ellenőrzi, hogy az egyedileg megnyitott géphez van-e joga a felhasználónakFr!Tr4r5) r~rr/r6r7rErr9r;)gepr+r<r=r>r?s r'is_machine_allowedrs lNN ; ; G#$$ 3++A OOADD !,{{h&&$$- ..A   qtt $/vv$$ r<cd[U5(a.UR[R5R 5nOUR S;a[ UR5S:a/nUR(aURUR5 URHnURU5 M 0nUHnUcMXvUR'M [UR55nO/nO/nU(a-UVs/sH or[URU5;dMUPM" nnU$s snf)uVisszaadja azokat a cégeket, amik között a felhasználó válthat a felső menüben - opcionálisan (modul_kod megadásával) csak azokat, amelyeknél az adott modul (pl. 'EBK') elő van fizetve. FONTOS: csak a valódi rendszeradminisztrátor (company_id==1) láthat minden céget - egy céges Admin (role=='Admin', de más company_id) NEM az, ő legfeljebb a saját cégét és a neki kifejezetten kiosztott (allowed_companies) cégeket láthatja.r r)rr rrrdr/rr&rrErlistvaluesra)r+rrjcegekrH allowed_c egyedi_cegekr4s r'get_allowed_companies_listrs !..(,,.   E E |-- . 2E \--.);;  Y'<L=)*&,,./EE!TEq2I!$$PR2S%SET LUs D-#D-)r-)F)r`rN)ar rbrrr@ collectionsrrrr threadingrrwrfastapirr r r sqlalchemy.ormr rrdatabaser configrrrrrrr(r;rrBrArCrDr0rjrJrSbytesr]rfrmrkryr|r}r~DUMMY_PASSWORD_HASHrdictrrrrrrrMFA_PENDING_COOKIErrrrrrrr2r@rBrFrGIRASI_TILTAS_UZENETEKIRASI_TILTAS_LISTA_URLrHrLrSrYrr\r^rargrirmrpryr|r~EMELOGEP_KEZELO_SZEREPKOROKEMELOGEP_SZAKMAI_SZEREPKOROKEMELOGEP_SZEREPKOROKrrr<r'rs&  #22 ;;" ee7sBsS@(-f!$#%  C D  MMMC%D,#QsQtQ444C#mm$DfnnFVW^^_fg d $Gs6'[G'[s'[UY'[T %w %# %D %S %4  # &#)C)c)c)DCD6=V_W gW 7W t?FfowG4 #' #F,###7#t#)*\n 46 s  T9#979t93GItI HC HD HAAASA'7's';;T; H HY\ Hbi Hnr HwS@9C9W99 ; ; ;C:=oo36HH6  S r<