patrickandClaude Sonnet 5
ceddeb1bf4
Konsolidierte Funde aus postgres-/sql-/jwt-/owasp-top10-expert-Review: - Race Conditions gefixt: doppelte aktive Kontrolle (SAVEPOINT + partieller Unique-Index), doppelte Mindermengen-Genehmigung (FOR UPDATE + Unique-Index), Lost-Update bei Nachfüllung (FOR UPDATE auf Fehlbestand/Objektposition). - Migration 0007: partielle Unique-Indizes als DB-Sicherheitsnetz + fehlende FK-Indizes (fehlbestand.material_id, kontrolle(objekt_id,status), zustaendigkeit, benutzer_rolle.rolle, objektposition.ablaufdatum u.a.). - Connection-Pool explizit begrenzt (pool_size=5, max_overflow=5) - ohne das könnte jeder uvicorn-Worker den Postgres max_connections-Wert sprengen. - Timing-Angriff bei Login-Enumeration gefixt (konstante Antwortzeit über Dummy-Hash), JWT-Decode verlangt jetzt exp/sub-Claims. - App-seitiges Rate-Limiting (slowapi, 5/min) auf /auth/login als Verteidigung in der Tiefe zusätzlich zum nginx-Limit. - nginx: TLS mit selbstsigniertem Zertifikat (LAN-Betrieb, keine Domain), HSTS, Content-Security-Policy, Permissions-Policy ergänzt. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01CVgbozhYmuEhiEJHffRXCV
MABEA Backend – Sprint 0
FastAPI-Skeleton, Datenbankschema (Alembic), Auth (JWT), Rollen-Dependency. Details: ergebnisse/sprintplan.md, ergebnisse/19_technische_architektur.md, ergebnisse/20_datenbank_schema.md.
Setup (auf dem Zielsystem, nicht lokal)
python3 -m venv .venv
source .venv/bin/activate
pip install -e ".[dev]"
cp example.env .env
# .env editieren: DATABASE_URL, JWT_SECRET_KEY, SYSTEMKNOTEN_ID
alembic upgrade head
uvicorn app.main:app --host 0.0.0.0 --port 8000
Tests (CI oder Zielsystem)
pytest
Erwartet eine per Alembic migrierte PostgreSQL-Test-Datenbank (DATABASE_URL zeigt darauf). CI-Workflow: .gitea/workflows/ci.yml.
Struktur
app/core/app_settings.py– Konfiguration aus Umgebungsvariablenapp/core/security.py– Passwort-Hashing, JWTapp/db/– SQLAlchemy Engine/Sessionapp/models/– ORM-Modelle (Sprint 0: nur Auth-relevante Tabellen; weitere Modelle folgen Sprint 1+)app/api/– FastAPI-Router, Dependencies (u.a.require_rolesfür Prompt-05-Berechtigungsmatrix)alembic/versions/0001_initial_schema.py– vollständiges Ziel-Schema (Prompt 20), auch für Tabellen, die erst spätere Sprints per API befüllenalembic/versions/0002_seed_hauptserver.py– Sprintplan E6: seedet den einensystemknoten-Datensatz (typ='haupt')