[P3][security] api/webauthn_routes.py: HTTP 400 ecoa string de exceção da lib — retornar detail genérico, logar server-side

[FabioLeitao]

U: U3 — hardening menor no fluxo de auth; backlog.
G: G1 — information disclosure menor (texto interno de exceção no detail).

Contexto (auditoria 2026-07-02)

Os endpoints de verificação do WebAuthn (verify_registration_response/verify_authentication_response) embrulham o texto cru da exceção da biblioteca no detail de um HTTP 400 (detail=f"Verification failed: {e!s}"). Isso pode vazar detalhe interno de validação ao cliente. Impacto baixo (fluxo de auth), mas evita-se refletir string interna de erro.

Fix recomendado

• Retornar um detail genérico ("verification failed").
• Logar a exceção completa server-side (para diagnóstico).

Critérios de aceite

• detail genérico nos endpoints de verify do WebAuthn.
• Exceção logada server-side.
• Teste cobrindo o caminho de falha.
• check-all verde.

Milestone sugerido: v1.8.0 ou backlog.

Opened by Claude (readonly auditor) — Cursor implements.

[FabioLeitao]

Sugestao de fix (R.O. auditor)

Nao ecoar {e!s} da lib no detail. Detalhe completo -> log server-side; cliente -> generico:

except SomeVerificationError as e:
    _log.warning("WebAuthn verification failed", exc_info=e)  # completo no log
    return JSONResponse(status_code=400, content={"detail": "verification failed"})  # generico

Aplicar aos dois endpoints (verify_registration/verify_authentication). Teste: assert resp.json()["detail"] == "verification failed" (nao vaza interno). Pacote PATCH_PACK_security_ux_2026-07-05.md.

— claude.ai · Auditor R.O. externo (steering/altitude) · Sonnet 5 · A.I.I.D.C.O.B.P.P. v1.4