IAM-04: zwei-faktor-authentifizierung-totp

internal/totp/totp.go: RFC-6238-TOTP (HOTP RFC 4226) selbst implementiert
mit stdlib crypto/hmac+sha1 — kein externes Modul. DefaultSkewSteps=1
dokumentiert die Zeitversatz-Toleranz (+/-30s um die Serverzeit,
Akzeptanzkriterium/Pruefung 3). ProvisioningURI liefert die otpauth://-URI
fuer den QR-Code (Akzeptanzkriterium 1) — das Rendering selbst ist
Frontend-Sache (IAM-08).

internal/totp/store.go: BeginSetup speichert ein neues Secret als NICHT
bestaetigt; ConfirmSetup aktiviert 2FA erst nach einmaliger erfolgreicher
Code-Eingabe (Akzeptanzkriterium 1) und erzeugt 10 Wiederherstellungscodes
(nur Hash gespeichert, Klartext einmalig zurueckgegeben). VerifyLoginCode
akzeptiert TOTP-Code ODER Wiederherstellungscode; consumeRecoveryCode
markiert einen Code atomar als verwendet (WHERE used_at IS NULL) — kein
doppeltes Einloesen moeglich (Akzeptanzkriterium 3).

internal/totp/login.go: LoginWithTOTP komponiert IAM-02s LoginService, ohne
ihn zu veraendern — ist 2FA fuer den Benutzer aktiv, wird ein fehlender/
falscher Code zuverlaessig abgewiesen, selbst bei korrektem Passwort
(Akzeptanzkriterium 2).

Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS):
1. Login-Versuch ohne zweiten Faktor bei aktivem 2FA zuverlaessig abgewiesen —
   TestLoginWithTOTP_RequiresSecondFactorWhenEnabled: korrektes Passwort ohne
   Code -> ErrSecondFactorRequired, mit gueltigem Code -> Token. PASS.
2. Wiederherstellungscode nach Nutzung als verbraucht getestet —
   TestVerifyLoginCode_RecoveryCodeIsSingleUse: erste Nutzung erfolgreich,
   zweite abgelehnt. PASS.
3. Zeitversatz-Toleranz dokumentiert und getestet —
   TestValidate_ClockSkewTolerance: Code aus 25s Vergangenheit gueltig
   (innerhalb dokumentierter Toleranz), Code aus 5min Vergangenheit
   ungueltig. PASS.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

internal/totp/login.go

@@ -0,0 +1,42 @@
+package totp
+
+import (
+	"context"
+	"errors"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
+	"gitea.perlbach24.de/scripte/nexarch/internal/user"
+)
+
+var ErrSecondFactorRequired = errors.New("totp: zweiter faktor erforderlich")
+
+// LoginWithTOTP komponiert IAM-02s LoginService mit der 2FA-Pruefung, ohne
+// LoginService selbst zu veraendern. Ist 2FA fuer den Benutzer aktiv, MUSS
+// totpCode gueltig sein (Akzeptanzkriterium 2) — ein leerer/falscher Code
+// wird zuverlaessig abgewiesen, auch bei korrektem Passwort.
+func LoginWithTOTP(ctx context.Context, users *user.TenantUserStore, totpStore *Store, login *auth.LoginService, email, password, totpCode string) (token string, err error) {
+	creds, err := users.GetByEmailForAuth(ctx, email)
+	if err != nil {
+		return "", auth.ErrInvalidCredentials
+	}
+
+	enabled, err := totpStore.IsEnabled(ctx, creds.User.ID)
+	if err != nil {
+		return "", err
+	}
+
+	if enabled {
+		if totpCode == "" {
+			return "", ErrSecondFactorRequired
+		}
+		ok, err := totpStore.VerifyLoginCode(ctx, creds.User.ID, totpCode)
+		if err != nil {
+			return "", err
+		}
+		if !ok {
+			return "", ErrSecondFactorRequired
+		}
+	}
+
+	return login.Login(ctx, email, password)
+}