[mpasternak]

Co zmieniono

• Uczelnia.pbn_app_token, Uczelnia.orcid_client_secret, Uczelnia.clarivate_password i BppUser.pbn_token przechodzą na EncryptedTextField (dotąd używany przez dspace_api_password). max_length zostaje (walidacja formularzy); kolumny stają się text.
• src/bpp/fields.py: klucz z nowej zmiennej DJANGO_BPP_FIELD_ENCRYPTION_KEY (MultiFernet; kilka kluczy po przecinku — pierwszy szyfruje, reszta tylko odczyt), DSPACE_CREDENTIALS_KEY nadal obsługiwany jako klucz zgodności.
  • Bez klucza: zapis jawny z ostrzeżeniem w logu, odczyt rozpoznaje wartości jawne (szyfrogram Fernet zaczyna się od gAAAAA) — instalacje bez klucza działają jak dotąd (wcześniej zapis pola rzucał ImproperlyConfigured).
  • Nieodszyfrowalny szyfrogram (zły/brak klucza) czytany jest jako pusta wartość (jak dotąd), ale ponowny zapis rekordu zachowuje oryginalny szyfrogram zamiast nadpisać go pustym napisem.
  • Niepoprawny format klucza → ImproperlyConfigured przy zapisie (bez cichego przejścia na zapis jawny).
  • Porównanie z "" (exclude(pbn_token="")) działa jak dotąd — pusty napis nie jest szyfrowany.
  • Serializacja (value_to_string: historia zmian django-reversion w adminie Uczelni, dumpdata) zapisuje szyfrogram zamiast wartości jawnej; to_python odszyfrowuje go przy deserializacji, więc przywrócenie wersji odtwarza poprawną wartość. Wersje historii zapisane przed tą zmianą nie są przepisywane.
• Migracja 0496_uczelnia_bppuser_szyfrowanie_sekretow: AlterField + RunPython szyfrujący istniejące jawne wartości (surowy SQL, nie przez ORM), gdy klucz jest dostępny; bez klucza pomija z komunikatem. Cofnięcie odszyfrowuje.
• manage.py zaszyfruj_sekrety (idempotentne, --rotuj przepisuje szyfrogramy na główny klucz, --dry-run).
• System checki (src/bpp/checks.py, same Warningi — nie blokują startu/migrate/buildu): bpp.W101 brak klucza, bpp.W102 zły format klucza, bpp.W103 w bazie są szyfrogramy nieodszyfrowalne aktualnym kluczem, bpp.W104 klucz jest, ale zostały wartości jawne. W103/W104 tylko z listą baz (migrate, check --database default), błąd bazy → pominięcie.
• Dokumentacja: docs/administrator/zaawansowane.md (nowa sekcja: generowanie klucza, rotacja, utrata klucza), docs/administrator/integracja-dspace.md.

Uwagi

• Numer migracji: 0496 — inne otwarte gałęzie też mogą mieć 0496; przy scalaniu może być potrzebny merge/przenumerowanie. Baseline nie był odświeżany.
• Wdrożenie: klucz generuje bpp-deploy (feat(config): generowanie klucza szyfrowania pól BPP (DJANGO_BPP_FIELD_ENCRYPTION_KEY) bpp-deploy#41). Kolejność dowolna — bez klucza wszystko działa jawnie; po dodaniu klucza migrate (lub zaszyfruj_sekrety) szyfruje istniejące wartości.

Testy

• Nowe: src/bpp/tests/test_szyfrowanie_sekretow.py (pole, MultiFernet/stary klucz, brak klucza, zły klucz, zachowanie nieodszyfrowalnej wartości przy zapisie, surowa zawartość kolumn, exclude(pbn_token=""), QuerySet.update, klient PBN dostaje odszyfrowane tokeny, migracja w obie strony, komenda z --rotuj/--dry-run, system checki, serializacja i przywracanie wersji z django-reversion bez wartości jawnej).
• Lokalnie: nowe testy + test_encrypted_field — 28 passed; testy modułów dotkniętych zmianą (dspace_api, admin integracji Uczelni, DjangoQL sekrety, pbn_api, orcid_integration, pbn_downloader_app, bpp_setup_wizard, clarivate, pbn_wysylka_oswiadczen, importer PBN, oidc) — 995 passed.
• makemigrations --check — bez zmian; ruff, pre-commit — OK.

🤖 Generated with Claude Code

https://claude.ai/code/session_01UJ23Rb1c5UtxHTfAke9ENQ

[gitguardian]

️✅ There are no secrets present in this pull request anymore.

If these secrets were true positive and are still valid, we highly recommend you to revoke them.
While these secrets were previously flagged, we no longer have a reference to the
specific commits where they were detected. Once a secret has been leaked into a git
repository, you should consider it compromised, even if it was deleted immediately.
Find here more information about risks.

---

^{_{🦉 GitGuardian detects secrets in your source code to help developers and security teams secure the modern development process. You are seeing this because you or someone else with access to this repository has authorized GitGuardian to scan your pull request.}}