No tragar errores de programación al leer la sesión

leer_sesion capturaba (BadSignature, Exception). El `Exception` hacía redundante
el `BadSignature` y, sobre todo, convertía cualquier error interno en «no hay
sesión»: un bug en la capa de sesión salía como un 401 silencioso en vez de
propagarse, que es justo lo que no se quiere en el camino de autenticación.

Se captura BadData, el padre común de:
- BadSignature firma inválida o falsificada
- SignatureExpired sesión caducada (subclase de BadSignature)
- BadPayload token corrupto
Las tres son «cookie no válida» → sin sesión. Un TypeError o un fallo de
configuración ahora se propagan.

Nota: (BadSignature, SignatureExpired) —la corrección que se propuso primero—
habría repetido el mismo error en pequeño, porque SignatureExpired ya es
subclase de BadSignature.

Se añaden tests de sesión (no había ninguno), incluido el caso negativo que
motiva el cambio: un error interno debe propagarse, no devolver None.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

backend/app/security/session.py

@@ -9,7 +9,7 @@ from __future__ import annotations
 
 import secrets
 
-from itsdangerous import BadSignature, URLSafeTimedSerializer
+from itsdangerous import BadData, URLSafeTimedSerializer
 
 from ..config import obtener_config
 
@@ -34,7 +34,11 @@ def leer_sesion(token: str | None) -> dict | None:
     cfg = obtener_config()
     try:
         return _serializer().loads(token, max_age=cfg.session_max_age_s)
-    except (BadSignature, Exception):  # noqa: BLE001
+    except BadData:
+        # BadData es el padre de BadSignature (firma inválida o falsificada), de
+        # SignatureExpired (sesión caducada) y de BadPayload (token corrupto): las tres son
+        # "cookie no válida" → sin sesión. NO se captura Exception: un TypeError o un fallo de
+        # configuración deben propagarse, no disfrazarse de 401 y ocultar el bug real.
         return None
 
 

backend/tests/test_session.py

@@ -0,0 +1,72 @@
+"""Sesiones firmadas por cookie.
+
+El caso importante aquí es el NEGATIVO: `leer_sesion` capturaba `(BadSignature, Exception)`, de
+modo que cualquier error de programación se convertía en «no hay sesión» y salía como un 401
+silencioso, ocultando el bug real. Estos tests fijan qué se traga y qué debe propagarse.
+"""
+
+from __future__ import annotations
+
+import pytest
+
+from app.security import session as ses
+
+
+def test_ida_y_vuelta():
+    token = ses.firmar_sesion({"email": "vet@example.com"})
+    assert ses.leer_sesion(token) == {"email": "vet@example.com"}
+
+
+@pytest.mark.parametrize(
+    "token",
+    [
+        None,
+        "",
+        "no-es-un-token",
+        "a.b.c",
+        "eyJlbWFpbCI6ICJhdGFjYW50ZUBleGFtcGxlLmNvbSJ9.falsificado.firma",
+    ],
+)
+def test_tokens_invalidos_devuelven_none(token):
+    """Firma inválida, token corrupto o ausente → sin sesión, sin excepción."""
+    assert ses.leer_sesion(token) is None
+
+
+def test_firma_con_otro_secreto_no_valida(monkeypatch):
+    """Una cookie firmada con otro secreto (p. ej. el fallback de dev) no debe abrir sesión:
+    es exactamente el escenario de suplantación que evita MORPHOS_SESSION_SECRET."""
+    token = ses.firmar_sesion({"email": "vet@example.com"})
+
+    ses.obtener_config.cache_clear()
+    monkeypatch.setenv("MORPHOS_SESSION_SECRET", "otro-secreto-completamente-distinto-1234567890")
+    try:
+        assert ses.leer_sesion(token) is None
+    finally:
+        ses.obtener_config.cache_clear()
+
+
+def test_sesion_caducada_devuelve_none(monkeypatch):
+    token = ses.firmar_sesion({"email": "vet@example.com"})
+
+    ses.obtener_config.cache_clear()
+    # -1 y no 0: itsdangerous compara `edad > max_age`, así que un token recién creado (edad 0)
+    # con max_age=0 todavía es válido. Con -1 se dispara SignatureExpired, subclase de BadData,
+    # que es la rama que interesa comprobar.
+    monkeypatch.setenv("MORPHOS_SESSION_MAX_AGE_S", "-1")
+    try:
+        assert ses.leer_sesion(token) is None
+    finally:
+        ses.obtener_config.cache_clear()
+
+
+def test_los_errores_de_programacion_se_propagan(monkeypatch):
+    """El fallo que motiva estos tests: un error interno NO puede disfrazarse de «sin sesión».
+    Si `loads` revienta por un bug, debe propagarse para que se vea, no devolver None."""
+
+    class SerializadorRoto:
+        def loads(self, *_args, **_kwargs):
+            raise RuntimeError("fallo interno, no es una cookie inválida")
+
+    monkeypatch.setattr(ses, "_serializer", lambda: SerializadorRoto())
+    with pytest.raises(RuntimeError):
+        ses.leer_sesion("cualquier-token")