QA-04: sicherheits-penetrationspruefung-core

Voller Merge von RBAC-02/IAM-06/IAM-07/API-03/API-10/API-08/API-09/IAM-10/
IAM-11/IAM-13 plus echte Angriffstests (internal/pentest) gegen SSO/OIDC
(alg=none, Fremdschluessel, Claims-Manipulation, Nonce-Replay), Rate-
Limiting/Lockout im simulierten Mehrinstanz-Betrieb, zentrale Policy-
Durchsetzung (Rechteausweitung, struktureller Guard-Bypass) und Master-
Key-/Tenant-KEK-Rotation. 29/29 Pakete gruen auf 192.168.1.131.

Vier real gefundene Testinfrastruktur-Fehler behoben: reset-test-env.sh
liess tenant_keks (und weitere neuere Registry-Tabellen) beim Reset stehen
(FK-CASCADE loescht nur die Constraint, keine Zeilen); zwei E2E-Tests und
kek_test.go schlossen ihren adminPool per defer VOR ihrer t.Cleanup-
Bereinigung (t.Cleanup laeuft immer nach allen defers); migrate_test.go
hatte ein Testschema ohne die TEN-04-Lifecycle-Spalten. Alle vier Fixes
betreffen ausschliesslich Testcode, kein Produktionscode geaendert.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01HhgFcLS8tYMhDJpP74C6AQ

internal/kek/kek_test.go

@@ -59,7 +59,14 @@ func setupTest(t *testing.T) (*Store, *pgxpool.Pool, func()) {
 		t.Fatalf("schema: %v", err)
 	}
 
-	cleanup := func() { pool.Close() }
+	// Als t.Cleanup statt nur per defer im Aufrufer zurueckgegeben: falls ein
+	// Aufrufer "defer cleanup()" nutzt, liefe das Schliessen VOR den
+	// t.Cleanup-Aufraeumfunktionen von createTenant (die den Pool noch
+	// brauchen), da t.Cleanup grundsaetzlich erst nach allen defers der
+	// Testfunktion ausgefuehrt wird. Registrierung hier stellt sicher, dass
+	// das Schliessen selbst als letzte Cleanup-Funktion (LIFO) laeuft.
+	t.Cleanup(func() { pool.Close() })
+	cleanup := func() {}
 	return NewStore(pool), pool, cleanup
 }
 
@@ -81,6 +88,15 @@ func createTenant(t *testing.T, pool *pgxpool.Pool, slug string) string {
 	if err != nil {
 		t.Fatalf("tenant anlegen: %v", err)
 	}
+	// Aufraeumen nach Testende - ohne dies bleiben Registry-Zeilen mit
+	// db_dsn='unused' dauerhaft in der geteilten tenants-Tabelle stehen und
+	// verfaelschen registry.List()-Ergebnisse in anderen Paketen (z.B.
+	// internal/migrate), die im selben Testlauf gegen dieselbe physische
+	// Postgres-Instanz laufen.
+	t.Cleanup(func() {
+		_, _ = pool.Exec(context.Background(), `DELETE FROM tenant_keks WHERE tenant_id = $1`, id)
+		_, _ = pool.Exec(context.Background(), `DELETE FROM tenants WHERE id = $1`, id)
+	})
 	return id
 }