2 Commits

Author	SHA1	Message	Date
sysops	0fbb1924bb	fix(security): W-02 Secure-Cookie-Flag + W-03 TrustedProxies für X-Forwarded-For ... W-02: Cookie Secure-Flag ist nun über config.yml steuerbar. api.secure_cookies: true/false — default false (kein Breaking Change). Alle 3 SetCookie-Aufrufe (Login, Logout, TOTP) nutzen s.cfg.SecureCookies. W-03: remoteIP() ist jetzt eine Methode und prüft api.trusted_proxies. X-Forwarded-For wird nur ausgewertet wenn der direkte Peer in der trusted_proxies-Liste steht (IP oder CIDR). Sonst wird r.RemoteAddr verwendet — kein Spoofing mehr möglich. Neue Hilfsfunktion: isTrustedProxy(ip, proxies). config.go: APIConfig um SecureCookies bool + TrustedProxies []string erweitert. Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>	2026-03-18 01:10:24 +01:00
sysops	280034679e	feat(PROJ-25): User-Profil & Einstellungen — Passwort, E-Mail, 2FA ... Backend: - PATCH /api/auth/password — Passwort ändern (bcrypt, LDAP-Guard, Audit-Log) - PATCH /api/auth/email — E-Mail ändern (Unique-Check, LDAP-Guard, Audit-Log) - userstore: UpdatePassword, UpdateEmail, GetPasswordHash Frontend: - UserNav.tsx: Dropdown-Menü (Profil & Einstellungen, Abmelden) - navbar.tsx: UserNav eingebunden - /settings: Passwort ändern, E-Mail ändern, 2FA verwalten (QR-Code + Deaktivieren) - api.ts: changePassword, changeEmail, getTOTPSetup, confirmTOTPSetup, disableTOTP Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>	2026-03-18 01:05:33 +01:00