defense-in-depth

import re

def validar_cpf(cpf: str) -> bool:
    # Remove caracteres nao numericos
    cpf = re.sub(r'[^0-9]', '', cpf)

    # Verifica tamanho
    if len(cpf) != 11:
        return False

    # Verifica se nao sao todos iguais
    if cpf == cpf[0] * 11:
        return False

    # Validacao dos digitos verificadores
    # ... implementar algoritmo
    return True

from html import escape

def sanitizar_input(texto: str) -> str:
    # Remove HTML/scripts
    texto = escape(texto)
    # Limita tamanho
    texto = texto[:1000]
    return texto

async def verificar_sessao(session_id: str) -> bool:
    session = await redis.get(f"session:{session_id}")
    return session is not None

from slowapi import Limiter

limiter = Limiter(key_func=get_remote_address)

@app.get("/api/v1/beneficios")
@limiter.limit("10/minute")
async def consultar_beneficios():
    pass

# Em producao, forcar HTTPS
if not request.url.scheme == "https":
    raise HTTPException(status_code=400)

from fastapi.middleware.cors import CORSMiddleware

app.add_middleware(
    CORSMiddleware,
    allow_origins=["https://tanamao.gov.br"],
    allow_methods=["GET", "POST"],
    allow_headers=["*"],
)

# ERRADO
logger.info(f"Consultando CPF: {cpf}")

# CERTO
logger.info(f"Consultando CPF: ***{cpf[-4:]}")

# Nunca commitar .env
# Usar .env.example como template
DATABASE_URL=
REDIS_URL=
API_KEY=

# Detectar tentativas suspeitas
if tentativas_falhas > 5:
    logger.warning(f"Multiplas falhas de autenticacao: {ip}")
    await notificar_admin(ip)