feat(rollen): granulares Rechte-System (Roadmap Phase 6, letztes Modul)

Additiv neben dem bestehenden 4-Rollen-System (mitarbeiter/material-
verantwortlicher/leitungsverantwortlicher/administration bleiben unverändert,
kein Breaking Change): Admin kann jetzt eigene Rollen (z.B. "Materialwart",
"Helfer" aus der Ursprungs-Anforderung) mit frei wählbaren Einzelrechten aus
einem Berechtigungs-Katalog anlegen und Benutzern zuweisen - auch Benutzern
ganz ohne feste RolleTyp-Zuordnung.

Neue Tabellen: berechtigung (Katalog), rolle (custom, admin-anlegbar),
rolle_berechtigung (M:N), benutzer_rolle_zuordnung (M:N, eigene Tabelle statt
Wiederverwendung des ENUM-basierten benutzer_rolle).

require_roles_or_permission() kombiniert beide Systeme: bestehende feste
Rollen ODER eine passende granulare Berechtigung. Auf die vom Nutzer genannten
Beispiel-Endpunkte angewendet: Material anlegen/bearbeiten, Lagerbewegung
durchführen, Mangel melden/lesen/bearbeiten, Prüfung durchführen - weitere
Endpunkte folgen bei Bedarf nach demselben Muster (require_permission()/
require_roles_or_permission() stehen jetzt als Bausteine bereit).

Neue Endpunkte: GET /berechtigungen, CRUD /rollen, PUT/DELETE
/rollen/{id}/berechtigungen/{id}, PUT/DELETE /benutzer/{id}/rollen/{id}.

Frontend: neuer Admin-Tab "Rollen & Rechte" (Rolle anlegen, Rechte togglen,
Benutzer zuweisen/entfernen).

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01KC8HYvv6UkCVYheYiTw9DD

backend/app/api/deps.py

@@ -8,6 +8,7 @@ from sqlalchemy.ext.asyncio import AsyncSession
 from app.core.security import InvalidTokenError, decode_access_token
 from app.db.session import get_db
 from app.models.auth import Benutzer, RolleTyp
+from app.models.permission import Berechtigung, BenutzerRolleZuordnung, Rolle, RolleBerechtigung
 
 oauth2_scheme = OAuth2PasswordBearer(tokenUrl="/api/v1/auth/login")
 
@@ -50,3 +51,55 @@ def require_roles(*erlaubte_rollen: RolleTyp) -> Callable:
         return current_user
 
     return checker
+
+
+async def _hat_berechtigung(db: AsyncSession, benutzer_id: int, schluessel: tuple[str, ...]) -> bool:
+    result = await db.execute(
+        select(Berechtigung.schluessel)
+        .join(RolleBerechtigung, RolleBerechtigung.berechtigung_id == Berechtigung.id)
+        .join(Rolle, Rolle.id == RolleBerechtigung.rolle_id)
+        .join(BenutzerRolleZuordnung, BenutzerRolleZuordnung.rolle_id == Rolle.id)
+        .where(BenutzerRolleZuordnung.benutzer_id == benutzer_id, Berechtigung.schluessel.in_(schluessel))
+    )
+    return result.first() is not None
+
+
+def require_permission(*erlaubte_berechtigungen: str) -> Callable:
+    """Roadmap Phase 6 (granulares Rechte-System): prüft, ob eine der frei
+    konfigurierbaren Rollen des Benutzers (app.models.permission.Rolle) eine
+    der übergebenen Berechtigungen trägt - additiv zum festen 4-Rollen-System,
+    das über require_roles() unverändert weiterläuft."""
+
+    async def checker(
+        current_user: Benutzer = Depends(get_current_user), db: AsyncSession = Depends(get_db)
+    ) -> Benutzer:
+        if not await _hat_berechtigung(db, current_user.id, erlaubte_berechtigungen):
+            raise HTTPException(
+                status_code=status.HTTP_403_FORBIDDEN,
+                detail="Für diese Aktion fehlt die erforderliche Berechtigung",
+            )
+        return current_user
+
+    return checker
+
+
+def require_roles_or_permission(*erlaubte_rollen: RolleTyp, berechtigung: str) -> Callable:
+    """Kombinierte Prüfung für Endpunkte, die sowohl über eine der festen
+    Rollen (bestehende Admins/Materialverantwortliche/... - Rückwärts-
+    kompatibilität) als auch über eine neu zugewiesene granulare Berechtigung
+    (z.B. eine custom "Materialwart"-Rolle) erreichbar sein sollen."""
+
+    async def checker(
+        current_user: Benutzer = Depends(get_current_user), db: AsyncSession = Depends(get_db)
+    ) -> Benutzer:
+        besitzt = {RolleTyp(r) for r in current_user.rollen_namen}
+        if besitzt.intersection(erlaubte_rollen):
+            return current_user
+        if await _hat_berechtigung(db, current_user.id, (berechtigung,)):
+            return current_user
+        raise HTTPException(
+            status_code=status.HTTP_403_FORBIDDEN,
+            detail="Für diese Aktion fehlt die erforderliche Rolle oder Berechtigung",
+        )
+
+    return checker