Comparer le token d'API à temps constant

lidar_pipeline/webapp.py

@@ -348,8 +348,11 @@ def _require_token(x_lidar_token: str = Header(None)):
     Utilisé par la machine de traitement pour n'accepter que la webapp légère
     autorisée (qui présente LIDAR_REMOTE_TOKEN) sur le réseau local.
     """
-    if API_TOKEN and x_lidar_token != API_TOKEN:
-        raise HTTPException(401, "token d'API manquant ou invalide")
+    if API_TOKEN:
+        import hmac
+        presented = x_lidar_token or ""
+        if not hmac.compare_digest(presented, API_TOKEN):
+            raise HTTPException(401, "token d'API manquant ou invalide")
 
 
 def _ip_in_regen_cidr(ip):