3 Commits

Include renames

Author	SHA1	Message	Date
patrickandClaude Sonnet 5	ceddeb1bf4	Multi-Agent-Review: Race Conditions, DB-Indizes, TLS/Security-Härtung ... Konsolidierte Funde aus postgres-/sql-/jwt-/owasp-top10-expert-Review: - Race Conditions gefixt: doppelte aktive Kontrolle (SAVEPOINT + partieller Unique-Index), doppelte Mindermengen-Genehmigung (FOR UPDATE + Unique-Index), Lost-Update bei Nachfüllung (FOR UPDATE auf Fehlbestand/Objektposition). - Migration 0007: partielle Unique-Indizes als DB-Sicherheitsnetz + fehlende FK-Indizes (fehlbestand.material_id, kontrolle(objekt_id,status), zustaendigkeit, benutzer_rolle.rolle, objektposition.ablaufdatum u.a.). - Connection-Pool explizit begrenzt (pool_size=5, max_overflow=5) - ohne das könnte jeder uvicorn-Worker den Postgres max_connections-Wert sprengen. - Timing-Angriff bei Login-Enumeration gefixt (konstante Antwortzeit über Dummy-Hash), JWT-Decode verlangt jetzt exp/sub-Claims. - App-seitiges Rate-Limiting (slowapi, 5/min) auf /auth/login als Verteidigung in der Tiefe zusätzlich zum nginx-Limit. - nginx: TLS mit selbstsigniertem Zertifikat (LAN-Betrieb, keine Domain), HSTS, Content-Security-Policy, Permissions-Policy ergänzt. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01CVgbozhYmuEhiEJHffRXCV	2026-09-04 18:47:06 +02:00
patrickandClaude Sonnet 5	1e9012cba3	Sprint 5: Mindermengen-Genehmigung + automatischer Ablauf, Historie für Kernkette ... - MindermengenGenehmigung-Modell/Service (Prompt 04): reine fachliche Bewertung, ändert NIEMALS Ist-Menge/Fehlmenge/Fehlbestand-Status (Leitplanke, U2) - Automatischer Ablauf bei Start der nächsten Kontrolle desselben Objekts (Karte 08, U6) - kein Zeit-Trigger, der Kontrollstart selbst ist der Ablauf-Zeitpunkt - Genehmigung endet gemeinsam mit dem Fehlbestand, wenn dieser durch Nachfüllung erledigt wird (U7), unabhängig davon ob vorher eine neue Kontrolle stattfand - Historie-Service (app/services/historie.py) + Verdrahtung in die komplette Kernkette: kontrolle_gestartet/-abgeschlossen/-abgebrochen/-uebernommen, istmenge_erfasst, fehlbestand_entstanden/-erledigt, nachfuellung_erfasst, mindermenge_genehmigt/-abgelaufen/-beendet_durch_erledigung (U14) Hinweis: Stammdaten-/Vorlagen-/Benutzerverwaltung noch nicht retrofittet - Sprint 5 deckt bewusst die im Testkonzept referenzierte Kernkette ab, keine flächendeckende Audit-Abdeckung aller CRUD-Endpunkte. - Tests: U2, U6, U7, vollständige Historie-Kette nach Prompt-13.3-Beispiel (U14) Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01L85hmKbvX7Cqkq47KnQhFt	2026-09-03 23:53:14 +02:00
patrickandClaude Sonnet 5	18fba28eae	Sprint 4: Fehlbestand-Statusmaschine komplett, Nachfüllung sofort/später/teilweise ... - Nachfuellung-Modell: einzige Aktion, die Objektposition.istmenge tatsächlich ändert (Vier-Kernbegriffe). Deckt Sofort-Nachfüllung während Kontrolle (Karte 07) und spätere/externe Nachfüllung (Prompt 02.5) mit derselben Logik ab - Wichtiger Fix vor dem ersten Testlauf: Objektposition.istmenge wird bei Nachfüllung auf den neuen Wert GESETZT (fehlbestand.istmenge + menge), nicht unabhängig inkrementiert - sonst bliebe sie beim initialen "nicht kontrolliert"-Stand (0) stehen, obwohl die Kontrolle bereits einen realen Zählwert kennt - Statusübergänge: offen -> nachgefuellt_teilweise (Fehlmenge>0) -> erledigt (Fehlmenge=0), ausschließlich automatisch bei Ist=Soll (U3) - Überbestand durch Nachfüllung erlaubt, als Info gekennzeichnet, kein Fehler (E4) - KontrollpositionRead liefert jetzt fehlbestand_id mit, damit die UI direkt eine Sofort-Nachfüllung anbieten kann, ohne separat nachzufragen - Tests: U3, U4 (Sofort-Nachfüllung ohne Zwischenstatus), U5 (Teilnachfüllung), Überbestand-Fall, Nachfüllung auf bereits erledigten Fehlbestand -> 409 Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01L85hmKbvX7Cqkq47KnQhFt	2026-09-03 23:46:21 +02:00