Multi-Agent-Review: Race Conditions, DB-Indizes, TLS/Security-Härtung

Konsolidierte Funde aus postgres-/sql-/jwt-/owasp-top10-expert-Review:

- Race Conditions gefixt: doppelte aktive Kontrolle (SAVEPOINT + partieller
  Unique-Index), doppelte Mindermengen-Genehmigung (FOR UPDATE + Unique-Index),
  Lost-Update bei Nachfüllung (FOR UPDATE auf Fehlbestand/Objektposition).
- Migration 0007: partielle Unique-Indizes als DB-Sicherheitsnetz + fehlende
  FK-Indizes (fehlbestand.material_id, kontrolle(objekt_id,status),
  zustaendigkeit, benutzer_rolle.rolle, objektposition.ablaufdatum u.a.).
- Connection-Pool explizit begrenzt (pool_size=5, max_overflow=5) - ohne das
  könnte jeder uvicorn-Worker den Postgres max_connections-Wert sprengen.
- Timing-Angriff bei Login-Enumeration gefixt (konstante Antwortzeit über
  Dummy-Hash), JWT-Decode verlangt jetzt exp/sub-Claims.
- App-seitiges Rate-Limiting (slowapi, 5/min) auf /auth/login als Verteidigung
  in der Tiefe zusätzlich zum nginx-Limit.
- nginx: TLS mit selbstsigniertem Zertifikat (LAN-Betrieb, keine Domain),
  HSTS, Content-Security-Policy, Permissions-Policy ergänzt.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01CVgbozhYmuEhiEJHffRXCV

backend/app/core/rate_limit.py

@@ -0,0 +1,8 @@
+from slowapi import Limiter
+from slowapi.util import get_remote_address
+
+# App-seitiges Rate-Limiting als Verteidigung in der Tiefe (owasp-Review-Fund):
+# nginx begrenzt /auth/login bereits auf 5r/m (deploy/nginx_mabea.conf.template),
+# aber das schützt nicht, wenn der Backend-Port direkt erreichbar ist (z.B.
+# Fehlkonfiguration, Firewall-Lücke) oder nginx umgangen wird.
+limiter = Limiter(key_func=get_remote_address)

backend/app/core/security.py

@@ -7,6 +7,11 @@ from app.core.app_settings import settings
 
 _pwd_context = CryptContext(schemes=["bcrypt"], deprecated="auto")
 
+# Konstanter Dummy-Hash für Timing-Angriff-Schutz (jwt-expert-Review-Fund):
+# ohne existierenden Benutzer kurzschließt `benutzer is None or verify_password(...)`
+# den bcrypt-Vergleich, was per Antwortzeit verrät, ob ein Login existiert.
+_DUMMY_HASH = _pwd_context.hash("kein-echtes-passwort-nur-fuer-konstante-antwortzeit")
+
 
 def hash_password(password: str) -> str:
     return _pwd_context.hash(password)
@@ -16,6 +21,12 @@ def verify_password(plain_password: str, password_hash: str) -> bool:
     return _pwd_context.verify(plain_password, password_hash)
 
 
+def verify_password_konstante_zeit(plain_password: str, password_hash: str | None) -> bool:
+    """Wie verify_password, aber prüft immer gegen einen Hash (Dummy, falls der
+    Benutzer nicht existiert) - verhindert Login-Enumeration per Antwortzeit."""
+    return _pwd_context.verify(plain_password, password_hash or _DUMMY_HASH)
+
+
 def create_access_token(*, subject: str) -> str:
     # Bewusst KEINE Rollen im Token: get_current_user liest Rollen bei jedem Request
     # frisch aus der DB (Rollenänderung wirkt sofort, kein Token-Refresh nötig).
@@ -30,6 +41,11 @@ class InvalidTokenError(Exception):
 
 def decode_access_token(token: str) -> dict:
     try:
-        return jwt.decode(token, settings.jwt_secret_key, algorithms=[settings.jwt_algorithm])
+        return jwt.decode(
+            token,
+            settings.jwt_secret_key,
+            algorithms=[settings.jwt_algorithm],
+            options={"require": ["exp", "sub"]},
+        )
     except jwt.PyJWTError as exc:
         raise InvalidTokenError(str(exc)) from exc