Подпись Telegram-логина проверяется токеном бота, а доступ есть только у записей в bot.admin_users: роль перечитывается из БД на каждом запросе, поэтому выключение пользователя сразу закрывает доступ. Сессия — подписанная HttpOnly-cookie на 12 часов, все формы получили CSRF-токен, первые администраторы засеваются из ADMIN_IDS при старте. Домены в BotFather уже заданы, но NPM и публикацию не включаем — снаружи админка по-прежнему только на loopback. |
||
|---|---|---|
| .. | ||
| __init__.py | ||
| admins_repo.py | ||
| economy_repo.py | ||
| schedules_repo.py | ||
| shop_repo.py | ||
| stats_repo.py | ||
| subscriptions_repo.py | ||
| templates_repo.py | ||
| users_repo.py | ||