feat: add /reset-password page

app.py

@@ -101,6 +101,17 @@ _INTERNAL_PROXY_DOMAINS = {
     "proxy.spaces.internal.huggingface.tech",
 }
 
+# Gradio バックグラウンド通信のパス（未認証ノイズを抑制）
+def _is_gradio_background_path(path: str) -> bool:
+    """Gradio が自動送信するバックグラウンドリクエストかどうかを判定する。
+    これらは未認証時でも大量に飛んでくるためログ対象外とする。
+    """
+    return (
+        path.startswith("/app/gradio_api/heartbeat/")
+        or path == "/app/gradio_api/queue/join"
+        or path.startswith("/app/gradio_api/queue/join/")
+    )
+
 # --- Request Logging Middleware ---
 def _resolve_source(request: Request) -> dict | None:
     """リクエストヘッダから流入元を判定して source_domain を返す。
@@ -148,12 +159,14 @@ class RequestLoggingMiddleware(BaseHTTPMiddleware):
             duration = time.time() - start_time
             # print(f"[RESPONSE] method={method} path={path} status={response.status_code} duration={duration:.3f}s{user_tag}")
             if response.status_code >= 400:
-                log_event(
-                    "error",
-                    "http_response_error",
-                    level="WARNING",
-                    metadata={"method": method, "path": path, "status": response.status_code, "duration": round(duration, 3)},
-                )
+                # Gradio バックグラウンド通信の 401 は未認証ノイズなので記録しない
+                if not (response.status_code == 401 and _is_gradio_background_path(path)):
+                    log_event(
+                        "error",
+                        "http_response_error",
+                        level="WARNING",
+                        metadata={"method": method, "path": path, "status": response.status_code, "duration": round(duration, 3)},
+                    )
             return response
         except Exception as e:
             duration = time.time() - start_time
@@ -259,7 +272,8 @@ def get_current_user(request: Request):
 
     if not token:
         print("[AUTH_CHECK] No sb_access_token cookie – unauthenticated access")
-        log_event("auth", "unauthenticated_access", level="INFO", metadata={"path": str(request.url.path)})
+        if not _is_gradio_background_path(str(request.url.path)):
+            log_event("auth", "unauthenticated_access", level="INFO", metadata={"path": str(request.url.path)})
         return None
     
     try: