корректировка документации

Author: RomanVetrov

app/security/password.py

@@ -1,9 +1,9 @@
 """Password hashing/verify helpers.
 
-- Argon2id — рекомендуемый вариант для паролей (устойчив к GPU, без утечек по времени).
-- Параметры берём из конфигурации (.env), чтобы их можно было тюнить под железо без правки кода.
-- Хеширование/проверка отправляем в threadpool, чтобы не блокировать event loop.
-- Ограничиваем максимальную длину пароля как простую защиту от DoS сверхдлинными строками.
+- Используем Argon2id для хеширования паролей.
+- Параметры берём из конфигурации (.env).
+- Хеширование и проверка идут в threadpool, чтобы не блокировать event loop.
+- Ограничиваем максимальную длину пароля.
 """
 
 import logging

app/services/auth.py

@@ -45,8 +45,7 @@ async def authenticate_user(
     """Проверяет email + пароль. Возвращает пользователя или None если данные неверны."""
     with tracer.start_as_current_span("auth.authenticate_user"):
         user = await user_repo.get_user_by_email(session, email)
-        # Всегда прогоняем Argon2, даже если email не найден — защита от тайминг-атаки.
-        # Без этого атакующий может по времени ответа определить, существует ли email.
+        # Проверяем хэш всегда, чтобы не выдавать существование email по времени ответа.
         hashed = user.hashed_password if user else get_dummy_hash()
         if not await verify_password(password=password, hashed_password=hashed):
             return None