add auth support

README.md

@@ -1,33 +1,33 @@
 # pyTorrent
 
-Monopage web UI dla rTorrent inspirowany workflow ruTorrent.
+Single-page web UI for rTorrent inspired by the ruTorrent workflow.
 
-## Funkcje
+## Features
 
 - Flask + Flask-SocketIO.
-- SQLite na preferencje, profile SCGI, motyw Bootstrapa i font UI.
-- Dowolna liczba profili rTorrent per user.
-- Profile można dodawać i edytować z UI; flaga zdalnej lokalizacji ukrywa CPU/RAM hosta aplikacji, żeby nie mylić ich z zasobami zdalnego rTorrenta; publiczny IP dla port check jest dalej sprawdzany zdalnie, jeśli rTorrent to obsługuje.
-- Przełączanie aktywnego rTorrent z UI.
-- Live lista torrentów przez WebSocket.
-- Cache aplikacyjny i wysyłanie patchy bez przeładowywania całej tabeli.
-- Operacje usera wykonywane w ThreadPoolExecutor.
-- Akcje `move` i `remove` są wykonywane per profil w kolejności zlecenia, więc późniejsze usunięcie poczeka na wcześniejsze przenoszenia.
-- Log jobsów pokazuje krótką datę i godzinę w tabeli oraz pełny timestamp w tooltipie.
-- Masowe start/pause/stop/resume/recheck/remove/move.
-- Move obsługuje `move_data=true`, który fizycznie przenosi dane po stronie rTorrent w tle i odpytuje plik statusu, dzięki czemu długie `mv` nie kończy się timeoutem SCGI; jeśli cel już istnieje, jest nadpisywany (`force`), a timeouty z `mkdir`/startu/pollingu move nie przerywają operacji. Potem aktualizuje katalog torrenta, a `recheck` domyślnie włącza się przy fizycznym przenoszeniu.
-- Modal dodawania wielu magnetów.
-- Dolny status bar: CPU, RAM, wersja rTorrent, prędkości, limity, total DL/UP oraz status portu, gdy port check jest włączony.
-- Prawoklik na torrentach.
-- Skróty klawiaturowe.
-- Szczegóły: General, Files, Peers, Trackers, Log.
-- Smart Queue pokazuje domyślnie 10 ostatnich operacji; można rozwinąć historię do 100 wpisów.
-- GeoIP peerów z MaxMind GeoLite2-City.mmdb, z cache IP.
-- Cache-busting statyków przez MD5 i nagłówki cache.
-- Preferencje wyglądu: domyślny Bootstrap albo Bootswatch: Flatly, Litera, Lumen, Minty, Sketchy, Solar, Spacelab, United, Zephyr.
-- Preferencje fontu: domyślny font motywu, Adwaita Mono oraz dodatkowe pasujące fonty.
+- SQLite storage for preferences, SCGI profiles, Bootstrap theme and UI font.
+- Multiple rTorrent profiles per user.
+- Profiles can be added and edited from the UI; the remote profile flag hides local CPU/RAM usage to avoid confusing it with remote rTorrent host resources.
+- Active rTorrent profile switching from the UI.
+- Live torrent list over WebSocket.
+- Application-side cache with patch updates instead of full table reloads.
+- User operations executed through ThreadPoolExecutor.
+- `move` and `remove` actions are executed per profile in request order, so later deletes wait for earlier moves.
+- Job log shows a short date/time in the table and the full timestamp in the tooltip.
+- Bulk start, pause, stop, resume, recheck, remove and move.
+- Move supports `move_data=true`; data is physically moved on the rTorrent side in the background and status is polled from a marker file, so long `mv` operations do not hit the SCGI timeout.
+- Multi-magnet add modal.
+- Bottom status bar with CPU, RAM, rTorrent version, speeds, limits, total DL/UP and port-check status when enabled.
+- Torrent context menu.
+- Keyboard shortcuts.
+- Details tabs: General, Files, Peers, Trackers and Log.
+- Smart Queue shows the last 10 operations by default and can expand history to 100 rows.
+- Peer GeoIP with MaxMind GeoLite2-City.mmdb and IP cache.
+- Static cache busting with MD5 and cache headers.
+- Appearance preferences: default Bootstrap or Bootswatch themes Flatly, Litera, Lumen, Minty, Sketchy, Solar, Spacelab, United and Zephyr.
+- Font preferences: default theme font, Adwaita Mono and additional matching fonts.
 
-## Uruchomienie
+## Run locally
 
 ```bash
 ./install.sh
@@ -35,34 +35,54 @@ Monopage web UI dla rTorrent inspirowany workflow ruTorrent.
 python app.py
 ```
 
-Domyślnie: `http://127.0.0.1:8090`.
+Default URL: `http://127.0.0.1:8090`.
 
-## Uruchomienie produkcyjne
+## Production run
 
-Preferowany wariant bez deweloperskiego Werkzeug:
+Preferred mode without development Werkzeug:
 
 ```bash
 . venv/bin/activate
 gunicorn --worker-class gthread --workers 1 --threads 32 --bind 0.0.0.0:8090 --access-logfile - --error-logfile - wsgi:app
 ```
 
-Note: aplikacja zostaje przy `async_mode="threading"`, więc WebSocket, `start_background_task`, kolejka operacji i poller działają w tym samym modelu co wcześniej.
+Note: the app keeps `async_mode="threading"`, so WebSocket, `start_background_task`, operation queues and the poller run in the same model as before.
 
-Alternatywy przeanalizowane, ale nie wdrożone:
+Alternatives reviewed but not enabled by default:
 
-- `eventlet` przez Gunicorn: działa z Flask-SocketIO, ale wymaga green threads i monkey-patching; większe ryzyko regresji dla operacji plikowych/SCGI.
-- `gevent` przez Gunicorn: dobry wariant produkcyjny, ale wymaga dodatkowych zależności i testów zgodności.
-- wiele workerów Gunicorn: wymaga Redis/RabbitMQ/Kafka jako message queue dla Socket.IO, więc nie jest zamiennikiem 1:1.
+- Gunicorn with `eventlet`: works with Flask-SocketIO, but requires green threads and monkey patching, which increases regression risk for file and SCGI operations.
+- Gunicorn with `gevent`: a valid production option, but it needs extra dependencies and compatibility testing.
+- Multiple Gunicorn workers: requires Redis, RabbitMQ or Kafka as the Socket.IO message queue, so it is not a drop-in replacement.
 
-## Profil SCGI
+## Reverse proxy
 
-Przykład:
+When pyTorrent is served behind a reverse proxy, enable proxy header handling only when the proxy is trusted:
+
+```env
+PYTORRENT_PROXY_FIX_ENABLE=true
+PYTORRENT_SESSION_COOKIE_SECURE=true
+```
+
+The proxy should forward at least:
+
+```txt
+X-Forwarded-For
+X-Forwarded-Proto
+X-Forwarded-Host
+X-Forwarded-Port
+```
+
+This keeps login redirects, session cookies and same-origin API checks correct when HTTPS is terminated by the proxy. If pyTorrent is mounted under a sub-path, also forward `X-Forwarded-Prefix`.
+
+## SCGI profile
+
+Example:
 
 ```txt
 scgi://127.0.0.1:5000/RPC2
 ```
 
-Po stronie rTorrent:
+On the rTorrent side:
 
 ```txt
 network.scgi.open_port = 127.0.0.1:5000
@@ -70,22 +90,39 @@ network.scgi.open_port = 127.0.0.1:5000
 
 ## GeoIP
 
-Instalator pobiera bazę GeoLite2-City jednorazowo do:
+The installer downloads GeoLite2-City once to:
 
 ```txt
 data/GeoLite2-City.mmdb
 ```
 
-Można też uruchomić ręcznie:
+Manual download:
 
 ```bash
 ./scripts/download_geoip.sh
 ```
 
-Skrypt używa głównego źródła `https://git.io/GeoLite2-City.mmdb`, a przy błędzie fallbacku `https://github.com/P3TERX/GeoLite.mmdb/raw/download/GeoLite2-City.mmdb`. Katalog `data` ma uprawnienia `755`, a plik bazy `644`.
+The script uses `https://git.io/GeoLite2-City.mmdb` as the primary source and `https://github.com/P3TERX/GeoLite.mmdb/raw/download/GeoLite2-City.mmdb` as fallback. The `data` directory is set to `755`, and the database file is set to `644`.
 
 ## API docs
 
-Dokumentacja OpenAPI jest dostępna pod `/docs`. Endpoint `/api/profiles` obsługuje `max_parallel_jobs` z domyślną wartością `5` oraz `is_remote`; `PUT /api/profiles/{profile_id}` edytuje istniejący profil. Endpoint `/api/preferences` obsługuje m.in. `theme`, `bootstrap_theme`, `font_family`, `table_columns_json`, `peers_refresh_seconds` i `port_check_enabled`. Endpoint `/api/port-check` zwraca status portu wraz z `checked_at`; dla zdalnego profilu publiczny IP jest pobierany przez rTorrent z fallbackami `ifconfig.co`, `ifconfig.me` i `ipapi.linuxiarz.pl`, jeśli dana konfiguracja rTorrenta wspiera zdalne polecenia, a metoda `POST` wymusza ponowny check z pominięciem cache. Endpoint `/api/system/status` dla zdalnego profilu zwraca `usage_available=false` i nie odczytuje CPU/RAM.
+OpenAPI documentation is available at `/docs`. `/api/profiles` supports `max_parallel_jobs` with default value `5` and `is_remote`; `PUT /api/profiles/{profile_id}` edits an existing profile. `/api/preferences` supports fields including `theme`, `bootstrap_theme`, `font_family`, `table_columns_json`, `peers_refresh_seconds` and `port_check_enabled`. `/api/port-check` returns port status with `checked_at`; for remote profiles the public IP is read through rTorrent with fallbacks when supported. `/api/system/status` returns `usage_available=false` for remote profiles and does not read local CPU/RAM.
 
-`/api/openapi.json` zawiera reusable schemas dla głównych odpowiedzi API, w tym `TorrentListResponse`, `TorrentSummary`, `TorrentFilterSummary`, `CleanupSummary` i `AppStatus`. `GET /api/torrents` dokumentuje teraz pole `summary` używane przez sidebar filters.
+`/api/openapi.json` includes reusable schemas for main API responses, including `TorrentListResponse`, `TorrentSummary`, `TorrentFilterSummary`, `CleanupSummary` and `AppStatus`. `GET /api/torrents` documents the `summary` field used by sidebar filters.
+
+## Admin CLI
+
+Reset an existing user's password:
+
+```bash
+. venv/bin/activate
+python -m pytorrent.cli reset-password admin new_password
+```
+
+Without the password argument, the CLI asks for it interactively:
+
+```bash
+python -m pytorrent.cli reset-password admin
+```
+
+The command uses the same database as the app and respects `PYTORRENT_DB_PATH` from `.env`. The reset changes only the password hash and leaves role and permissions unchanged.