QA-02: echter End-to-End-Testlauf ueber TEN-01..07/IAM-01..14

Volle Merge-Verifikation aller 21 Vorbedingungs-Tickets: neue internal/e2e-Tests (Tenant-Onboarding-Login-Flow, Cross-Tenant-Isolation) gegen echte Postgres-Instanz, docs/QA-02-PRUEFPROTOKOLL.md mit Ticket-zu-Test-Zuordnung. Dabei echten Merge-Konflikt zwischen IAM-12 und IAM-13 gefunden und behoben (jwk/jwkSet-Typkollision in internal/oidc). 124/124 Tests gruen auf 131.
2026-08-29 09:35:31 +02:00
parent 4f84ee23dc
commit 314b821929
6 changed files with 440 additions and 7 deletions
@@ -0,0 +1,116 @@
+package e2e
+
+import (
+	"context"
+	"strings"
+	"testing"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
+	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
+	"gitea.perlbach24.de/scripte/nexarch/internal/user"
+)
+
+// TestE2E_CrossTenantIsolation ist der QA-02-Nachweis fuer Akzeptanzkriterium
+// "keine Datenlecks zwischen Mandanten": zwei vollstaendig provisionierte
+// Mandanten mit je einem Benutzer, dann drei unabhaengige Beweise, dass
+// weder Datenbank- noch Token-Ebene eine Vermischung zulassen.
+func TestE2E_CrossTenantIsolation(t *testing.T) {
+	adminDSN := requireAdminDSN(t)
+	ctx := context.Background()
+	root := repoRoot(t)
+
+	adminPool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("admin pool: %v", err)
+	}
+	defer adminPool.Close()
+
+	applyRegistrySchema(t, ctx, adminPool, root)
+
+	registry := tenant.NewRegistry(adminPool)
+	dsnTemplate := strings.Replace(adminDSN, "/postgres?", "/%s?", 1)
+	provisioner := tenant.NewProvisioner(adminPool, registry, dsnTemplate)
+
+	t.Cleanup(func() {
+		_, _ = adminPool.Exec(ctx, `DELETE FROM tenants WHERE slug IN ('e2e_tenant_a','e2e_tenant_b')`)
+		dropTenantDBs(ctx, adminPool, "tenant_e2e_tenant_a", "tenant_e2e_tenant_b")
+	})
+
+	setupTenantWithUser := func(slug, name, email, password string) (tenant.Tenant, user.User, *auth.LoginService, *pgxpool.Pool) {
+		tn, err := provisioner.Provision(ctx, slug, name)
+		if err != nil {
+			t.Fatalf("provision %s: %v", slug, err)
+		}
+		pool, err := pgxpool.New(ctx, tn.DBDSN)
+		if err != nil {
+			t.Fatalf("connect %s: %v", slug, err)
+		}
+		applyTenantSchema(t, ctx, pool, root)
+
+		store := user.NewTenantUserStore(pool)
+		u, err := store.Create(ctx, email, "Benutzer "+slug)
+		if err != nil {
+			t.Fatalf("benutzer anlegen %s: %v", slug, err)
+		}
+		hash, err := auth.HashPassword(password)
+		if err != nil {
+			t.Fatalf("passwort hashen %s: %v", slug, err)
+		}
+		if err := store.SetPasswordHash(ctx, u.ID, hash); err != nil {
+			t.Fatalf("passwort setzen %s: %v", slug, err)
+		}
+		issuer := auth.NewTokenIssuer("qa-02-cross-tenant-secret")
+		login := auth.NewLoginService(store, issuer, tn.Slug)
+		return tn, u, login, pool
+	}
+
+	tenantA, userA, loginA, poolA := setupTenantWithUser("e2e_tenant_a", "Tenant A GmbH", "user@tenant-a.example", "passwort-a-sicher")
+	defer poolA.Close()
+	tenantB, userB, loginB, poolB := setupTenantWithUser("e2e_tenant_b", "Tenant B GmbH", "user@tenant-b.example", "passwort-b-sicher")
+	defer poolB.Close()
+
+	// Beweis 1: physische Trennung - Tenant Bs Benutzer existiert in der
+	// users-Tabelle von Tenant A schlicht nicht (keine Zeile, kein Filter).
+	var count int
+	if err := poolA.QueryRow(ctx, `SELECT count(*) FROM users WHERE email = $1`, "user@tenant-b.example").Scan(&count); err != nil {
+		t.Fatalf("query tenant a fuer tenant-b-email: %v", err)
+	}
+	if count != 0 {
+		t.Fatalf("tenant a datenbank enthaelt %d zeile(n) fuer tenant-b-benutzer, erwartet 0", count)
+	}
+	if err := poolB.QueryRow(ctx, `SELECT count(*) FROM users WHERE email = $1`, "user@tenant-a.example").Scan(&count); err != nil {
+		t.Fatalf("query tenant b fuer tenant-a-email: %v", err)
+	}
+	if count != 0 {
+		t.Fatalf("tenant b datenbank enthaelt %d zeile(n) fuer tenant-a-benutzer, erwartet 0", count)
+	}
+
+	// Beweis 2: Login schlaegt fehl, wenn ein Benutzer versucht, sich ueber
+	// den falschen Tenant-LoginService anzumelden - er existiert dort nicht.
+	if _, err := loginA.Login(ctx, "user@tenant-b.example", "passwort-b-sicher"); err == nil {
+		t.Fatal("tenant-b-benutzer konnte sich ueber tenant-a-loginservice anmelden")
+	}
+	if _, err := loginB.Login(ctx, "user@tenant-a.example", "passwort-a-sicher"); err == nil {
+		t.Fatal("tenant-a-benutzer konnte sich ueber tenant-b-loginservice anmelden")
+	}
+
+	// Beweis 3: Token tragen den korrekten Tenant-Slug und die korrekte
+	// User-ID, keine Vermischung ueber gemeinsame IDs oder Slugs.
+	tokenA, err := loginA.Login(ctx, "user@tenant-a.example", "passwort-a-sicher")
+	if err != nil {
+		t.Fatalf("login tenant a: %v", err)
+	}
+	issuer := auth.NewTokenIssuer("qa-02-cross-tenant-secret")
+	claimsA, err := issuer.Verify(tokenA)
+	if err != nil {
+		t.Fatalf("verify token a: %v", err)
+	}
+	if claimsA.TenantSlug != tenantA.Slug || claimsA.UserID != userA.ID {
+		t.Fatalf("token a claims = %+v, want tenant %q user %q", claimsA, tenantA.Slug, userA.ID)
+	}
+	if claimsA.TenantSlug == tenantB.Slug || claimsA.UserID == userB.ID {
+		t.Fatal("token a claims stimmen mit tenant-b-daten ueberein")
+	}
+}