Multi-Agent-Review: Race Conditions, DB-Indizes, TLS/Security-Härtung

Konsolidierte Funde aus postgres-/sql-/jwt-/owasp-top10-expert-Review:

- Race Conditions gefixt: doppelte aktive Kontrolle (SAVEPOINT + partieller
  Unique-Index), doppelte Mindermengen-Genehmigung (FOR UPDATE + Unique-Index),
  Lost-Update bei Nachfüllung (FOR UPDATE auf Fehlbestand/Objektposition).
- Migration 0007: partielle Unique-Indizes als DB-Sicherheitsnetz + fehlende
  FK-Indizes (fehlbestand.material_id, kontrolle(objekt_id,status),
  zustaendigkeit, benutzer_rolle.rolle, objektposition.ablaufdatum u.a.).
- Connection-Pool explizit begrenzt (pool_size=5, max_overflow=5) - ohne das
  könnte jeder uvicorn-Worker den Postgres max_connections-Wert sprengen.
- Timing-Angriff bei Login-Enumeration gefixt (konstante Antwortzeit über
  Dummy-Hash), JWT-Decode verlangt jetzt exp/sub-Claims.
- App-seitiges Rate-Limiting (slowapi, 5/min) auf /auth/login als Verteidigung
  in der Tiefe zusätzlich zum nginx-Limit.
- nginx: TLS mit selbstsigniertem Zertifikat (LAN-Betrieb, keine Domain),
  HSTS, Content-Security-Policy, Permissions-Policy ergänzt.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01CVgbozhYmuEhiEJHffRXCV

backend/tests/conftest.py

@@ -9,8 +9,14 @@ import app.models  # noqa: F401  (registriert ALLE ORM-Modelle an Base.metadata,
 # nicht importierte Tabelle zeigt. Fund im dritten echten CI-Lauf.)
 from app.core.app_settings import settings
 from app.core.security import hash_password
+from app.core.rate_limit import limiter
 from app.db.session import get_db
 from app.main import app
+
+# Login-Rate-Limit (5/Minute, Karte owasp-Review) würde bei vielen Tests, die
+# login() mehrfach aufrufen, den Testlauf selbst blockieren - hier bewusst
+# global für die Testsuite deaktiviert, Produktivverhalten bleibt unberührt.
+limiter.enabled = False
 from app.models.auth import Benutzer, BenutzerRolle, RolleTyp
 from app.models.objekt import Objekt
 from app.models.stammdaten import Bereich, Material, MaterialTyp, Objekttyp, Standort

backend/tests/test_auth.py

@@ -1,5 +1,42 @@
 import pytest
 
+from app.core.rate_limit import limiter
+
+
+@pytest.mark.asyncio
+async def test_login_unbekannter_benutzer_ist_401(client):
+    """jwt-expert-Review-Fund: konstante Antwortzeit auch ohne existierenden
+    Login (verify_password_konstante_zeit) - hier nur der Statuscode, die
+    Timing-Eigenschaft selbst ist nicht sinnvoll per Unit-Test prüfbar."""
+    response = await client.post(
+        "/api/v1/auth/login",
+        data={"username": "gibt-es-nicht", "password": "irgendwas"},
+    )
+    assert response.status_code == 401
+
+
+@pytest.mark.asyncio
+async def test_login_rate_limit(client, mitarbeiter_user):
+    """owasp-Review-Fund: App-seitiges Rate-Limit als Verteidigung in der Tiefe,
+    unabhängig vom nginx-Limit. In conftest.py global deaktiviert (sonst würden
+    andere Tests, die login() mehrfach aufrufen, selbst geblockt) - hier gezielt
+    für diesen einen Test wieder aktiviert."""
+    limiter.enabled = True
+    try:
+        for _ in range(5):
+            response = await client.post(
+                "/api/v1/auth/login",
+                data={"username": "mitarbeiter1", "password": "falsch"},
+            )
+            assert response.status_code == 401
+        blockiert = await client.post(
+            "/api/v1/auth/login",
+            data={"username": "mitarbeiter1", "password": "falsch"},
+        )
+        assert blockiert.status_code == 429
+    finally:
+        limiter.enabled = False
+
 
 @pytest.mark.asyncio
 async def test_login_success(client, mitarbeiter_user):