Sprint 0: FastAPI-Skeleton, vollständiges DB-Schema (Alembic), Auth (JWT/bcrypt), Rollen-Dependency, CI

- Vollständiges Ziel-Schema aus Prompt 20 als initiale Migration (inkl. Karte-13-Vorbereitung: UUID-PKs, systemknoten)
- Seed-Migration für Hauptserver-Datensatz (Sprintplan E6)
- JWT-Login + /auth/me, require_roles-Dependency (Prompt 05 Berechtigungsmatrix)
- Tests: health, login/me, Rollen-Ablehnung/-Zulassung (S0-Abnahmekriterien)
- Gitea-Actions-CI: install -> migrate -> pytest mit Coverage-Gate 50%

Nur Code/Config erzeugt, nicht lokal installiert oder ausgeführt (Deployment-Regel).

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01L85hmKbvX7Cqkq47KnQhFt

backend/tests/conftest.py

@@ -0,0 +1,70 @@
+import pytest
+import pytest_asyncio
+from httpx import ASGITransport, AsyncClient
+from sqlalchemy.ext.asyncio import AsyncSession, async_sessionmaker, create_async_engine
+
+from app.core.app_settings import settings
+from app.core.security import hash_password
+from app.db.session import get_db
+from app.main import app
+from app.models.auth import Benutzer, BenutzerRolle, RolleTyp
+
+# Erwartet eine bereits per Alembic migrierte Test-Datenbank (CI: install -> migrate -> pytest,
+# siehe testphasen.md Phase 0). Jeder Test läuft in einer Transaktion, die am Ende zurückgerollt
+# wird, damit Tests sich nicht gegenseitig beeinflussen.
+engine = create_async_engine(settings.database_url, pool_pre_ping=True)
+TestSessionLocal = async_sessionmaker(engine, expire_on_commit=False)
+
+
+@pytest_asyncio.fixture
+async def db_session():
+    async with engine.connect() as connection:
+        transaction = await connection.begin()
+        session = AsyncSession(bind=connection, expire_on_commit=False)
+        try:
+            yield session
+        finally:
+            await session.close()
+            await transaction.rollback()
+
+
+@pytest_asyncio.fixture
+async def client(db_session):
+    async def _get_db_override():
+        yield db_session
+
+    app.dependency_overrides[get_db] = _get_db_override
+    transport = ASGITransport(app=app)
+    async with AsyncClient(transport=transport, base_url="http://test") as ac:
+        yield ac
+    app.dependency_overrides.clear()
+
+
+@pytest_asyncio.fixture
+async def mitarbeiter_user(db_session):
+    benutzer = Benutzer(
+        name="Test Mitarbeiter",
+        login="mitarbeiter1",
+        passwort_hash=hash_password("test-passwort-123"),
+        aktiv=True,
+    )
+    db_session.add(benutzer)
+    await db_session.flush()
+    db_session.add(BenutzerRolle(benutzer_id=benutzer.id, rolle=RolleTyp.mitarbeiter))
+    await db_session.flush()
+    return benutzer
+
+
+@pytest_asyncio.fixture
+async def admin_user(db_session):
+    benutzer = Benutzer(
+        name="Test Administration",
+        login="admin1",
+        passwort_hash=hash_password("test-passwort-123"),
+        aktiv=True,
+    )
+    db_session.add(benutzer)
+    await db_session.flush()
+    db_session.add(BenutzerRolle(benutzer_id=benutzer.id, rolle=RolleTyp.administration))
+    await db_session.flush()
+    return benutzer

backend/tests/test_auth.py

@@ -0,0 +1,45 @@
+import pytest
+
+
+@pytest.mark.asyncio
+async def test_login_success(client, mitarbeiter_user):
+    response = await client.post(
+        "/api/v1/auth/login",
+        data={"username": "mitarbeiter1", "password": "test-passwort-123"},
+    )
+    assert response.status_code == 200
+    body = response.json()
+    assert body["token_type"] == "bearer"
+    assert body["access_token"]
+
+
+@pytest.mark.asyncio
+async def test_login_wrong_password(client, mitarbeiter_user):
+    response = await client.post(
+        "/api/v1/auth/login",
+        data={"username": "mitarbeiter1", "password": "falsch"},
+    )
+    assert response.status_code == 401
+
+
+@pytest.mark.asyncio
+async def test_me_requires_token(client):
+    response = await client.get("/api/v1/auth/me")
+    assert response.status_code == 401
+
+
+@pytest.mark.asyncio
+async def test_me_returns_current_user(client, mitarbeiter_user):
+    login_response = await client.post(
+        "/api/v1/auth/login",
+        data={"username": "mitarbeiter1", "password": "test-passwort-123"},
+    )
+    token = login_response.json()["access_token"]
+
+    response = await client.get(
+        "/api/v1/auth/me", headers={"Authorization": f"Bearer {token}"}
+    )
+    assert response.status_code == 200
+    body = response.json()
+    assert body["login"] == "mitarbeiter1"
+    assert body["rollen"] == ["mitarbeiter"]

backend/tests/test_health.py

@@ -0,0 +1,8 @@
+import pytest
+
+
+@pytest.mark.asyncio
+async def test_health(client):
+    response = await client.get("/api/v1/health")
+    assert response.status_code == 200
+    assert response.json() == {"status": "ok"}

backend/tests/test_roles.py

@@ -0,0 +1,28 @@
+import pytest
+
+
+async def _login(client, username: str) -> str:
+    response = await client.post(
+        "/api/v1/auth/login",
+        data={"username": username, "password": "test-passwort-123"},
+    )
+    return response.json()["access_token"]
+
+
+@pytest.mark.asyncio
+async def test_admin_only_rejects_mitarbeiter(client, mitarbeiter_user):
+    token = await _login(client, "mitarbeiter1")
+    response = await client.get(
+        "/api/v1/health/admin-only", headers={"Authorization": f"Bearer {token}"}
+    )
+    assert response.status_code == 403
+
+
+@pytest.mark.asyncio
+async def test_admin_only_allows_administration(client, admin_user):
+    token = await _login(client, "admin1")
+    response = await client.get(
+        "/api/v1/health/admin-only", headers={"Authorization": f"Bearer {token}"}
+    )
+    assert response.status_code == 200
+    assert response.json()["login"] == "admin1"