2 Commits

Include renames

Author	SHA1	Message	Date
patrickandClaude Sonnet 5	ceddeb1bf4	Multi-Agent-Review: Race Conditions, DB-Indizes, TLS/Security-Härtung ... Konsolidierte Funde aus postgres-/sql-/jwt-/owasp-top10-expert-Review: - Race Conditions gefixt: doppelte aktive Kontrolle (SAVEPOINT + partieller Unique-Index), doppelte Mindermengen-Genehmigung (FOR UPDATE + Unique-Index), Lost-Update bei Nachfüllung (FOR UPDATE auf Fehlbestand/Objektposition). - Migration 0007: partielle Unique-Indizes als DB-Sicherheitsnetz + fehlende FK-Indizes (fehlbestand.material_id, kontrolle(objekt_id,status), zustaendigkeit, benutzer_rolle.rolle, objektposition.ablaufdatum u.a.). - Connection-Pool explizit begrenzt (pool_size=5, max_overflow=5) - ohne das könnte jeder uvicorn-Worker den Postgres max_connections-Wert sprengen. - Timing-Angriff bei Login-Enumeration gefixt (konstante Antwortzeit über Dummy-Hash), JWT-Decode verlangt jetzt exp/sub-Claims. - App-seitiges Rate-Limiting (slowapi, 5/min) auf /auth/login als Verteidigung in der Tiefe zusätzlich zum nginx-Limit. - nginx: TLS mit selbstsigniertem Zertifikat (LAN-Betrieb, keine Domain), HSTS, Content-Security-Policy, Permissions-Policy ergänzt. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01CVgbozhYmuEhiEJHffRXCV	2026-09-04 18:47:06 +02:00
patrickandClaude Sonnet 5	1e9012cba3	Sprint 5: Mindermengen-Genehmigung + automatischer Ablauf, Historie für Kernkette ... - MindermengenGenehmigung-Modell/Service (Prompt 04): reine fachliche Bewertung, ändert NIEMALS Ist-Menge/Fehlmenge/Fehlbestand-Status (Leitplanke, U2) - Automatischer Ablauf bei Start der nächsten Kontrolle desselben Objekts (Karte 08, U6) - kein Zeit-Trigger, der Kontrollstart selbst ist der Ablauf-Zeitpunkt - Genehmigung endet gemeinsam mit dem Fehlbestand, wenn dieser durch Nachfüllung erledigt wird (U7), unabhängig davon ob vorher eine neue Kontrolle stattfand - Historie-Service (app/services/historie.py) + Verdrahtung in die komplette Kernkette: kontrolle_gestartet/-abgeschlossen/-abgebrochen/-uebernommen, istmenge_erfasst, fehlbestand_entstanden/-erledigt, nachfuellung_erfasst, mindermenge_genehmigt/-abgelaufen/-beendet_durch_erledigung (U14) Hinweis: Stammdaten-/Vorlagen-/Benutzerverwaltung noch nicht retrofittet - Sprint 5 deckt bewusst die im Testkonzept referenzierte Kernkette ab, keine flächendeckende Audit-Abdeckung aller CRUD-Endpunkte. - Tests: U2, U6, U7, vollständige Historie-Kette nach Prompt-13.3-Beispiel (U14) Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01L85hmKbvX7Cqkq47KnQhFt	2026-09-03 23:53:14 +02:00