IAM-16: login-account-dienst-starten

- cmd/account-api: tenant-gescopter Login/Account-Dienst, setzt die fertigen IAM-08-Handler zusammen (auth, authtoken, totp) - Login ueber totp.Handler.Login (deckt 2FA optional mit ab), Passwort-Reset ueber authtoken.LogNotifier (IAM-08s eigene Uebergangsloesung) - reines Wiring, kein Diff an internal/auth|authtoken|totp|user (verifiziert) - real deployed auf 131, end-zu-ende per curl: falsches Passwort->401, korrektes Passwort->echte Session-Cookie, geschuetzter Endpunkt mit Cookie->200 (echte Nutzerdaten), ohne Cookie->401 - Migrationen (users/totp/password_tokens) real auf tenant_acme angewendet, reale Grant-Luecke behoben und verifiziert - RBAC-05s Board-dependsOn um IAM-16 ergaenzt (RBAC-05 braucht dieselbe Auth-Middleware, bei Sichtpruefung festgestellt) Pruefungen siehe docs/IAM-16-PRUEFPROTOKOLL.md
2026-08-30 21:18:57 +02:00
parent df2a54f0e6
commit 3b3991f54f
3 changed files with 176 additions and 0 deletions
@@ -0,0 +1,84 @@
+// account-api ist der Aufrufpunkt fuer IAM-16: setzt die bereits fertigen
+// IAM-08-Handler (internal/auth, internal/authtoken, internal/totp) zu
+// einem laufenden Login/Account-HTTP-Dienst zusammen. REINES WIRING —
+// keine Aenderung an den bestehenden Paketen. Tenant-gescoped (Modell C):
+// ein Dienst pro Mandanten-Datenbank, wie internal/auth.LoginService es
+// bereits vorsieht.
+package main
+
+import (
+	"context"
+	"log"
+	"net/http"
+	"os"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
+	"gitea.perlbach24.de/scripte/nexarch/internal/authtoken"
+	"gitea.perlbach24.de/scripte/nexarch/internal/totp"
+	"gitea.perlbach24.de/scripte/nexarch/internal/user"
+)
+
+func requireEnv(name string) string {
+	v := os.Getenv(name)
+	if v == "" {
+		log.Fatalf("%s muss gesetzt sein", name)
+	}
+	return v
+}
+
+func main() {
+	dsn := requireEnv("NEXARCH_ACCOUNT_TENANT_DSN")
+	tenantSlug := requireEnv("NEXARCH_ACCOUNT_TENANT_SLUG")
+	jwtSecret := requireEnv("NEXARCH_ACCOUNT_JWT_SECRET")
+	totpIssuer := os.Getenv("NEXARCH_ACCOUNT_TOTP_ISSUER")
+	if totpIssuer == "" {
+		totpIssuer = "NEXARCH"
+	}
+	addr := os.Getenv("NEXARCH_ACCOUNT_API_LISTEN_ADDR")
+	if addr == "" {
+		addr = "127.0.0.1:8099"
+	}
+
+	ctx := context.Background()
+	pool, err := pgxpool.New(ctx, dsn)
+	if err != nil {
+		log.Fatalf("datenbankverbindung: %v", err)
+	}
+	defer pool.Close()
+
+	users := user.NewTenantUserStore(pool)
+	totpStore := totp.NewStore(pool)
+	tokenIssuer := auth.NewTokenIssuer(jwtSecret)
+	loginService := auth.NewLoginService(users, tokenIssuer, tenantSlug)
+
+	authHandler := auth.NewHandler(loginService)
+	totpHandler := totp.NewHandler(users, totpStore, loginService, totpIssuer)
+	profileHandler := auth.NewProfileHandler(users)
+	changePasswordHandler := auth.NewChangePasswordHandler(users)
+	resetStore := authtoken.NewStore(pool)
+	resetHandler := authtoken.NewHandler(resetStore, users, authtoken.LogNotifier{})
+
+	mux := http.NewServeMux()
+	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
+
+	// Login ist DER EINE Endpunkt, den das Frontend aufruft (deckt 2FA
+	// optional mit ab) — siehe internal/totp/handler.go-Dokumentation.
+	mux.HandleFunc("POST /auth/login", totpHandler.Login)
+	mux.HandleFunc("POST /auth/logout", authHandler.Logout)
+	mux.HandleFunc("POST /auth/password-reset/request", resetHandler.RequestReset)
+	mux.HandleFunc("POST /auth/password-reset/complete", resetHandler.CompleteReset)
+
+	mux.HandleFunc("GET /account/me", auth.RequireAuth(tokenIssuer, profileHandler.Me))
+	mux.HandleFunc("POST /account/change-password", auth.RequireAuth(tokenIssuer, changePasswordHandler.ChangePassword))
+
+	mux.HandleFunc("GET /auth/totp/status", auth.RequireAuth(tokenIssuer, totpHandler.Status))
+	mux.HandleFunc("POST /auth/totp/setup/begin", auth.RequireAuth(tokenIssuer, totpHandler.SetupBegin))
+	mux.HandleFunc("POST /auth/totp/setup/confirm", auth.RequireAuth(tokenIssuer, totpHandler.SetupConfirm))
+
+	log.Printf("account-api: listening on %s (tenant %s)", addr, tenantSlug)
+	if err := http.ListenAndServe(addr, mux); err != nil {
+		log.Fatalf("http server: %v", err)
+	}
+}