Multi-Agent-Review: Race Conditions, DB-Indizes, TLS/Security-Härtung

Konsolidierte Funde aus postgres-/sql-/jwt-/owasp-top10-expert-Review:

- Race Conditions gefixt: doppelte aktive Kontrolle (SAVEPOINT + partieller
  Unique-Index), doppelte Mindermengen-Genehmigung (FOR UPDATE + Unique-Index),
  Lost-Update bei Nachfüllung (FOR UPDATE auf Fehlbestand/Objektposition).
- Migration 0007: partielle Unique-Indizes als DB-Sicherheitsnetz + fehlende
  FK-Indizes (fehlbestand.material_id, kontrolle(objekt_id,status),
  zustaendigkeit, benutzer_rolle.rolle, objektposition.ablaufdatum u.a.).
- Connection-Pool explizit begrenzt (pool_size=5, max_overflow=5) - ohne das
  könnte jeder uvicorn-Worker den Postgres max_connections-Wert sprengen.
- Timing-Angriff bei Login-Enumeration gefixt (konstante Antwortzeit über
  Dummy-Hash), JWT-Decode verlangt jetzt exp/sub-Claims.
- App-seitiges Rate-Limiting (slowapi, 5/min) auf /auth/login als Verteidigung
  in der Tiefe zusätzlich zum nginx-Limit.
- nginx: TLS mit selbstsigniertem Zertifikat (LAN-Betrieb, keine Domain),
  HSTS, Content-Security-Policy, Permissions-Policy ergänzt.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01CVgbozhYmuEhiEJHffRXCV

backend/app/services/fehlbestand.py

@@ -38,6 +38,13 @@ async def nachfuellen(
     Stand stehen, obwohl die Kontrolle bereits einen realen Zählwert kennt -
     "Ist-Menge wird auf Soll korrigiert" (Prompt 02.3) meint genau dieses Setzen.
     """
+    # Row-Lock gegen Lost-Update bei gleichzeitiger Nachfüllung derselben Position
+    # (z. B. zwei Stationen erfassen parallel, sql-expert-Review-Fund) - blockiert
+    # bis Transaktionsende (get_db committet/rollbacked nach dem Request), danach
+    # sieht der zweite Aufruf bereits die aktualisierte istmenge/status.
+    result = await db.execute(select(Fehlbestand).where(Fehlbestand.id == fehlbestand.id).with_for_update())
+    fehlbestand = result.scalar_one()
+
     if fehlbestand.status == FehlbestandStatus.erledigt:
         raise FehlbestandBereitsErledigtError()
 
@@ -46,10 +53,12 @@ async def nachfuellen(
     neue_fehlmenge = max(Decimal(0), fehlbestand.sollmenge - neue_istmenge)
 
     result = await db.execute(
-        select(Objektposition).where(
+        select(Objektposition)
+        .where(
             Objektposition.objekt_id == fehlbestand.objekt_id,
             Objektposition.material_id == fehlbestand.material_id,
         )
+        .with_for_update()
     )
     objektposition = result.scalar_one_or_none()
     if objektposition is not None:

backend/app/services/kontrolle/lifecycle.py

@@ -1,6 +1,7 @@
 from datetime import datetime, timezone
 
 from sqlalchemy import select
+from sqlalchemy.exc import IntegrityError
 from sqlalchemy.ext.asyncio import AsyncSession
 
 from app.models.fehlbestand import Fehlbestand, FehlbestandStatus
@@ -60,8 +61,22 @@ async def starte_kontrolle(
         status=KontrollStatus.in_bearbeitung,
         gestartet_am=datetime.now(timezone.utc),
     )
-    db.add(neue_kontrolle)
-    await db.flush()
+    try:
+        # SAVEPOINT statt vollem Rollback: ein Fehlschlag hier darf die bereits
+        # oben (Übernahme-Zweig) protokollierte Historie/Abbruch der alten
+        # Kontrolle nicht mit verwerfen.
+        async with db.begin_nested():
+            db.add(neue_kontrolle)
+            await db.flush()
+    except IntegrityError as exc:
+        # Sicherheitsnetz gegen den partiellen Unique-Index (Migration 0007):
+        # zwei parallele Requests haben beide die aktive_kontrolle()-Prüfung
+        # oben passiert (TOCTOU, sql-expert-Review-Fund) - hier verliert der
+        # zweite Request kontrolliert statt mit rohem DB-Fehler.
+        laufende_jetzt = await aktive_kontrolle(db, objekt_id)
+        if laufende_jetzt is not None:
+            raise ObjektGesperrtError(laufende_jetzt) from exc
+        raise
 
     await _lasse_mindermengen_ablaufen(
         db, objekt_id=objekt_id, neue_kontrolle=neue_kontrolle, zustaendiger_server_id=zustaendiger_server_id

backend/app/services/mindermenge.py

@@ -1,6 +1,7 @@
 from datetime import datetime, timezone
 
 from sqlalchemy import select
+from sqlalchemy.exc import IntegrityError
 from sqlalchemy.ext.asyncio import AsyncSession
 
 from app.models.fehlbestand import Fehlbestand, FehlbestandStatus
@@ -34,6 +35,10 @@ async def genehmigen(
         # Kontrolle, Sprint 3), aber das Schema erlaubt kontrolle_id=NULL.
         raise ValueError("Fehlbestand ohne auslösende Kontrolle kann nicht genehmigt werden")
 
+    # Row-Lock auf den Fehlbestand serialisiert parallele Genehmigungsversuche
+    # (sql-expert-Review-Fund: TOCTOU zwischen Check und Insert ohne Lock).
+    await db.execute(select(Fehlbestand).where(Fehlbestand.id == fehlbestand.id).with_for_update())
+
     result = await db.execute(
         select(MindermengenGenehmigung).where(
             MindermengenGenehmigung.fehlbestand_id == fehlbestand.id,
@@ -52,7 +57,12 @@ async def genehmigen(
         status=MindermengeStatus.aktiv,
     )
     db.add(genehmigung)
-    await db.flush()
+    try:
+        await db.flush()
+    except IntegrityError as exc:
+        # Sicherheitsnetz gegen den partiellen Unique-Index (Migration 0007),
+        # falls der Lock oben je umgangen würde (z. B. anderer Isolation-Level).
+        raise BereitsGenehmigtError() from exc
 
     await historie_service.log(
         db,