1776 Commits

This Branch

This Branch

All Branches

Author	SHA1	Message	Date
patrickandClaude Sonnet 5.5	21e15d71b8	dms/backup-tool: Quelle und Ziel waehlbar lokal oder S3 ... Backup und Restore nutzen NewDriverFromEnv mit den Praefixen NEXARCH_DMS_BACKUP_ und NEXARCH_DMS_RESTORE_. Ohne STORAGE_DRIVER bleibt es beim lokalen Verzeichnis. Der Drill-Test laeuft mit TEST_S3_SRC_BUCKET und TEST_S3_BUCKET gegen S3. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-11-03 23:41:18 +01:00
patrickandClaude Sonnet 5.5	f4ac5055c8	dms: S3-Treiber in dms-app und dms-worker waehlbar ... NewDriverFromEnv waehlt ueber <prefix>_STORAGE_DRIVER zwischen local und s3. Bisher war S3Driver in keinem Dienst eingebunden. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-11-03 23:38:07 +01:00
patrick	998aaf964c	Merge pull request 'connect: DATEV-Export in connect-app registrieren' (#429) from feat/connect-datev-registrieren into main	2026-10-30 00:24:20 +01:00
patrickandClaude Sonnet 5.5	976878136f	Merge main in feat/connect-datev-registrieren ... Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-30 00:24:14 +01:00
patrick	dc8f6476ab	Merge pull request 'connect/statusapi: Rolle aus dem Token an die Policy' (#428) from fix/statusapi-rolle into main	2026-10-30 00:23:50 +01:00
patrick	bc95515d98	Merge pull request 'workflow, connect: bearerauth aus common' (#427) from refactor/bearerauth-common into main common/v0.2.3	2026-10-30 00:23:48 +01:00
patrickandClaude Sonnet 5.5	753af35888	connect: DATEV-Export in connect-app registriert, mit Rechtepruefung ... /datev/exports braucht connect.datev.write (POST) bzw. connect.datev.read (GET) mit der Rolle aus X-User-Role. Registriert nur mit NEXARCH_CONNECT_APP_ARCHIVE_URL; die DATEV-Uebertragung bleibt aus. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-30 00:23:17 +01:00
patrickandClaude Sonnet 5.5	422e96cc20	connect/statusapi: Rolle aus X-User-Role an die Policy ... Bisher fragte statusapi mit fester Rolle user. bearerauth setzt X-User-Role aus dem Token; ohne Header bleibt es bei user. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-29 23:42:16 +01:00
patrickandClaude Sonnet 5.5	df9581cf45	workflow, connect: bearerauth aus common/bearerauth ... Die beiden gleichen Kopien entfallen; common v0.2.2. Das Testpflicht-Muster fuer bearerauth wandert vom workflow-Gate in das common-Gate. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-29 23:41:06 +01:00
patrick	1da0985ee9	Merge pull request 'docs: Arbeitskarten Portal-Betrieb 131' (#425) from docs/arbeitskarten-131 into main	2026-10-29 15:48:44 +01:00
patrick	550b8fad37	Merge pull request 'common: bearerauth aus workflow und connect' (#426) from feat/common-bearerauth into main common/v0.2.2	2026-10-29 15:48:42 +01:00
patrickandClaude Sonnet 5.5	fb191e6a7e	common: bearerauth aus workflow und connect ... Beide Module halten dieselbe Middleware (nur der Kommentar unterscheidet sich). Hier liegt die gemeinsame Fassung; workflow und connect stellen nach dem Tag in einem Folge-PR um. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-29 15:41:41 +01:00
patrickandClaude Sonnet 5.5	8db62327dc	docs: Arbeitskarten D-02, D-03 aktualisiert, D-08 und D-09 ergaenzt ... Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-29 15:37:03 +01:00
patrick	52a6a4bfd7	Merge pull request 'deploy: Skript zum Einrichten des Portals auf 131' (#424) from feat/skript-131-portal into main	2026-10-29 11:17:23 +01:00
patrickandClaude Sonnet 5.5	d7172a1699	deploy: npm ci bei abweichender Lockdatei, shl nutzt node_modules der App ... Account auf 131 hat Next 14.2.35, die Quelle braucht 16.3.5 (--webpack unbekannt). Abhaengigkeiten werden jetzt per Lockdatei-Hash erneuert, shl/node_modules wird auf die der App verlinkt (eine React-Instanz). Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-29 10:58:13 +01:00
patrickandClaude Sonnet 5.5	154f3fc505	deploy: shl bekommt node_modules-Link, sonst findet der Portal-Build react nicht ... Auf 131 hat /opt/nexarch-web/portal/web/shl kein node_modules; der rsync laesst node_modules aus. Typpruefung scheiterte mit TS2307 'react'. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-29 10:55:30 +01:00
patrickandClaude Sonnet 5.5	638150450d	deploy: Skript zum Einrichten des Portals auf 131 ... Env-Datei, Unit, nginx-Block 8450, nft-Regel, Audience portal, CORS am Core und Neubau von Portal und Login in einem idempotenten Lauf mit Sicherungen. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-29 00:00:29 +01:00
patrick	21e2e34940	Merge pull request 'portal: Betriebszustand an den Modul-Kacheln' (#423) from feat/portal-kachel-status into main	2026-10-28 23:57:41 +01:00
patrickandClaude Sonnet 5.5	63dc5c5a6f	portal: Betriebszustand an den Modul-Kacheln ... Die Kachel zeigt Punkt und Text, wenn die Statusseite ein Pruefziel kennt, dessen Name dem Modul-Schluessel oder der Bezeichnung entspricht. Ohne Berechtigung (403) oder ohne Statusquelle bleibt die Kachel unveraendert. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 23:56:02 +01:00
patrick	44c0919724	Merge pull request 'account: nach der Anmeldung direkt ins Portal' (#422) from feat/login-zum-portal into main	2026-10-28 23:49:57 +01:00
patrickandClaude Sonnet 5.5	e5e5a5a4ed	account: nach der Anmeldung direkt ins Portal, gueltige Sitzung ueberspringt das Formular ... NEXT_PUBLIC_PORTAL_URL ist das Ziel (ohne Wert wie bisher /profile). Das Profil bekommt einen Link zum Portal. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 23:47:00 +01:00
patrick	303c5cfcae	Merge pull request 'docs: Arbeitskarten D-05 und D-07' (#421) from docs/arbeitskarten-d07 into main	2026-10-28 23:31:55 +01:00
patrickandClaude Sonnet 5.5	81ecfe8d86	docs: Arbeitskarten D-05 aktualisiert, D-07 (Issue 369) neu ... Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 23:30:54 +01:00
patrick	9bb138166d	Merge pull request 'connect: Bearer-Pruefung in connect-app und Frontends' (#419) from feat/connect-bearer into main	2026-10-28 23:30:24 +01:00
patrickandClaude Sonnet 5.5	1de1da433f	Merge main in feat/connect-bearer ... Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 23:30:01 +01:00
patrick	1b095507f3	Merge pull request 'RBAC #369: Rolle aus dem Token, Policy-Pruefung fail-closed' (#420) from fix/rbac-role-failclosed into main	2026-10-28 23:29:22 +01:00
patrick	a2832c5b53	Merge pull request 'SEC: RBAC-Pruefung in ai-search, workflow-tasks, connect-setup (#369)' (#418) from fix/issue-369-rbac into main	2026-10-28 23:29:04 +01:00
patrick	87bed4d213	Merge pull request 'shl: gemeinsamer Bearer-Helfer fuer Frontends' (#417) from refactor/shl-bearer into main	2026-10-28 23:29:02 +01:00
patrickandClaude Sonnet 5.5	bfbb375649	connect bearerauth: X-User-Role nur aus dem Token ... Gleiche Aenderung wie workflow/internal/bearerauth, damit die Rechtepruefung aus #418 die echte Rolle bekommt. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 23:09:17 +01:00
patrickandClaude Sonnet 5.5	698f0490f2	RBAC #369: Rolle aus dem Token durchreichen, Policy-Pruefung fail-closed ... workflow bearerauth setzt X-User-Role nur aus den Claims (Client-Header werden entfernt); taskapi und connectorsetupapi fragen mit dieser Rolle, Default user. Migration 0029: connect.setup.write nur fuer tenant_admin. ai-app, workflow-app, connect-app starten ohne POLICY_URL nicht mehr, ausser mit NEXARCH_<MODUL>_APP_POLICY_DISABLED=1. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 23:08:57 +01:00
patrickandClaude Sonnet 5.5	3f83038203	connect: Bearer-Pruefung in connect-app, Frontends connect-*, datev-export, dms2-import per Sitzung ... connect/internal/bearerauth (wie workflow): verifiziertes Core-Token setzt X-User-Id/X-Tenant-Slug, ohne Token nur mit NEXARCH_CONNECT_APP_ALLOW_HEADER_AUTH=1. Mit JWKS ist NEXARCH_CONNECT_APP_TENANT_SLUG Pflicht (Mandant der Datenbank). common auf v0.2.1 (moduleauth). Frontends nutzen createBearerClient("connect"). Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 22:44:50 +01:00
patrickandClaude Sonnet 5.5	0a4c0aaf92	SEC: RBAC-Pruefung in ai-search, workflow-tasks, connect-setup (#369) ... - semanticsearchapi: ai.search.read per policyclient (WithPolicy), Tenant aus dem Anfragekoerper, nach Service-Token-Pruefung - taskapi: workflow.task.read (GET /tasks) und workflow.task.write (PATCH status); Paket jetzt in cmd/workflow-app verdrahtet (lag bisher nur im a11y-Fixture) und damit hinter bearerauth - connectorsetupapi: connect.setup.read/write je Route - Migration 0029 (up/down): neue Rechte fuer user und tenant_admin - Wiring: NEXARCH_{AI,WORKFLOW,CONNECT}_APP_POLICY_URL/_POLICY_SERVICE_TOKEN; ohne URL Warnung und keine Pruefung (Uebergang), URL ohne Token Startfehler; connect-app setzt die bestehende statusapi-Pruefung damit ebenfalls scharf - Tests je API: 403 bei Ablehnung, 200 bei Freigabe, 503 bei Ausfall, Policy wird ohne Identitaet/Service-Token nicht befragt - MODULE_REGISTRY: ai_search_chat, workflow_tasks, connect_setup (+ Icons, Portal-Rechteliste) - Doku: BETRIEB-PORTAL.md, ENG-11 Umgebungsvariablen Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 22:36:43 +01:00
patrickandClaude Sonnet 5.5	e2d941287f	shl: createBearerClient und bearerHeader statt vier kopierter http/forward-Dateien ... workflow-approvals, workflow-tasks, workflow-cases und routing-rules hatten identische lib/http.ts und lib/forward.ts; mail-search eine fuenfte Variante. Verhalten unveraendert. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 22:22:37 +01:00
patrick	ddda4b93a7	Merge pull request 'mail-search: Akte-Kontext per Bearer' (#416) from feat/mailsearch-bearer into main	2026-10-28 22:16:00 +01:00
patrick	237403e27d	Merge pull request 'workflow: Pflichttest-Gate fuer bearerauth' (#415) from feat/workflow-gate-bearerauth into main	2026-10-28 22:15:58 +01:00
patrickandClaude Sonnet 5.5	db11334b21	mail-search: Akte-Kontext per Bearer (Audience workflow) ... Die BFF-Route reicht mit Bearer nur das Token weiter; user/tenant aus der URL gelten nur noch ohne Token. Der Client sendet das Token ueber eine zweite Sitzung (module workflow), sobald NEXT_PUBLIC_CORE_API_BASE gesetzt ist. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 22:07:18 +01:00
patrickandClaude Sonnet 5.5	9bfe2e891b	workflow: Pflichttest-Gate deckt internal/bearerauth ab ... Aenderungen an bearerauth (Durchsetzungspunkt fuer Bearer-Token der Frontends) brauchen jetzt eine begleitende _test.go im selben Package. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 17:33:10 +01:00
patrick	57b3e2125e	Merge pull request 'docs: Workflow-Demo und Bearer-Betrieb auf 204' (#414) from docs/betrieb-demo-bearer into main	2026-10-28 17:32:27 +01:00
patrickandClaude Sonnet 5.5	dbf0877789	docs: Workflow-Demo und Bearer-Betrieb auf 204 ... Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 16:12:40 +01:00
patrick	701fb4e2c4	Merge pull request 'web: Modul-Tokens mit explizitem Zielmodul (NEXT_PUBLIC_TOKEN_MODULE)' (#413) from feat/frontends-token-module into main	2026-10-28 16:05:23 +01:00
patrickandClaude Sonnet 5.5	c5474111f9	web: Modul-Tokens mit explizitem Zielmodul anfordern (NEXT_PUBLIC_TOKEN_MODULE, Standard dms) ... Vorbereitung auf mehrere NEXARCH_ACCOUNT_MODULE_AUDIENCES: der Core lehnt Token-Anfragen ohne ?module ab, sobald mehr als eine Audience konfiguriert ist. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 15:59:16 +01:00
patrick	21838e87d0	Merge pull request 'Frontends auf Bearer: Portal-BFF, workflow-approvals, workflow-tasks' (#412) from feat/frontends-bearer into main	2026-10-28 15:05:38 +01:00
patrickandClaude Sonnet 5.5	77b46945f2	workflow-cases, routing-rules: Sitzung und Bearer statt X-User-Id aus der URL ... Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 15:05:34 +01:00
patrickandClaude Sonnet 5.5	0032aa7d81	workflow-approvals, workflow-tasks: Sitzung und Bearer statt X-User-Id aus der URL ... Mit NEXT_PUBLIC_CORE_API_BASE holen die Frontends ein workflow-Token ueber die Sitzung und senden Authorization; die BFF-Routen reichen es weiter und ignorieren userId/tenant aus der URL. Ohne die Variable bleibt der Uebergangsweg. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 15:02:14 +01:00
patrickandClaude Sonnet 5.5	07b4ccbda5	portal: Workflow-Aufruf per Bearer (X-Workflow-Token), X-User-Id nur noch als Uebergang ... Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 14:59:43 +01:00
patrick	92dd8d33ca	Merge pull request 'docs/deploy: Portal-Betrieb 131/204 aufnehmen' (#411) from docs/betrieb-portal into main	2026-10-28 14:55:50 +01:00
patrickandClaude Sonnet 5.5	6da280f91d	docs/deploy: Portal-Betrieb 131/204, Unit-Vorlage, nginx-Proxy fuer 204 ... Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 14:53:31 +01:00
patrick	a16d8cef66	Merge pull request 'account-api: DB-Start mit Backoff, Fehlerklassifizierung, Restart-Limits' (#410) from fix/account-api-start into main	2026-10-28 14:52:59 +01:00
patrick	6d3a4f8e56	Merge pull request 'Portal: moderne Oberflaeche - Kacheln mit Icons, Favoriten, Befehlsleiste, Zustaende' (#409) from feat/portal-ui-1 into main	2026-10-28 14:52:56 +01:00
patrickandClaude Sonnet 5.5	e428de553d	account-api: DB-Start mit Backoff und Fehlerklassifizierung, systemd-Restart-Limits ... Dauerhafte Fehler (28P01, 28000, 3D000) beenden mit Exit 2 und klarer Meldung, transiente Fehler werden bis NEXARCH_ACCOUNT_DB_STARTUP_TIMEOUT_SECONDS wiederholt. Unit-Template: RestartSec, StartLimit, RestartPreventExitStatus=2. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 14:22:40 +01:00