gwoe-antragspruefer/requirements.txt

fastapi>=0.115.0,<0.116.0
starlette>=0.38.0,<0.42.0
uvicorn[standard]>=0.30.0
jinja2>=3.1.0,<3.1.6
python-multipart>=0.0.9
pymupdf>=1.24.0
openai>=1.50.0
aiosqlite>=0.20.0
httpx>=0.27.0
beautifulsoup4>=4.12.0
weasyprint>=62.0
pydantic>=2.9.0
pydantic-settings>=2.5.0
slowapi>=0.1.9
Initial commit: GWÖ-Antragsprüfer v1.0 Features: - GWÖ-Matrix 2.0 Analyse für NRW-Landtagsanträge - Verbesserungsvorschläge im Redline-Format (Original/Vorschlag/Begründung) - Wahlprogramm- und Parteiprogrammtreue-Bewertung - Landtag-Suche via OPAL-API - Tag-Wolke mit Multi-Select Filter - Partei-Filter mit Durchschnittswerten - PDF-Report-Generierung - Security Headers (CSP, X-Frame-Options, etc.) - Persistente SQLite-DB via Docker Volumes Tech Stack: - FastAPI + Jinja2 - Qwen LLM via DashScope API - SQLite + aiosqlite - WeasyPrint für PDF - Docker Compose mit Traefik 2026-03-28 22:30:24 +01:00			`fastapi>=0.115.0,<0.116.0`
			`starlette>=0.38.0,<0.42.0`
			`uvicorn[standard]>=0.30.0`
			`jinja2>=3.1.0,<3.1.6`
			`python-multipart>=0.0.9`
			`pymupdf>=1.24.0`
			`openai>=1.50.0`
			`aiosqlite>=0.20.0`
			`httpx>=0.27.0`
			`beautifulsoup4>=4.12.0`
			`weasyprint>=62.0`
			`pydantic>=2.9.0`
			`pydantic-settings>=2.5.0`
Security hotfixes #1, #2, #6 from audit (#57) Drei akute Befunde aus dem Live-System-Audit (Issue #57): - #1 HIGH — Resource Exhaustion via öffentlichem POST: slowapi Limiter (in-memory, IP-key) auf /analyze (10/min), /api/analyze-drucksache (10/min) und /api/programme/index (3/min). Verhindert, dass ein unauthentifizierter Client mit einer Schleife die DashScope-Quota oder die CPU des Containers leerziehen kann. Default-Storage reicht solange wir auf einem einzigen Worker laufen. - #2 MEDIUM + #6 MEDIUM (selber Root-Cause) — XXE/Local-File-Read via WeasyPrint und Stored XSS via Browser-Rendering: alle LLM-getragenen Felder in app/report.py laufen jetzt durch html.escape() bevor sie in die HTML-Template interpoliert werden. format_redline_html escape-first und ersetzt dann die Markdown-Marker durch von uns kontrollierte <span>-Tags. build_matrix_html escaped das aspect-Attribut, sodass ein nacktes " den title="..."-Wert nicht mehr beenden und einen Event- Handler injizieren kann. Toter jinja2-Import in report.py entfernt (war never used, blockierte nur den lokalen Test). - Tests — neue tests/test_report.py mit 8 Cases, die direkt die Bug-Klasse verifizieren: <script>, file://-img, "-attribut-breakout in Title und ein End-to-End-Render mit XSS-Payloads in jedem LLM-Feld. Die Marker-Funktionalität (** und ~~) wird mit-getestet, damit der Escape-First-Ansatz das nicht versehentlich kaputt macht. 77 alte Unit-Tests + 8 neue → 85 grün. Rate-Limit-Verifikation per TestClient ist Integration-Scope und folgt in tests/integration/test_main_security.py als separates Folge-Item. Refs: #57 Co-Authored-By: Claude Opus 4.6 (1M context) <noreply@anthropic.com> 2026-04-09 10:45:43 +02:00			`slowapi>=0.1.9`