77 Commits

Include renames

Author	SHA1	Message	Date
patrickandClaude Sonnet 5.5	e428de553d	account-api: DB-Start mit Backoff und Fehlerklassifizierung, systemd-Restart-Limits ... Dauerhafte Fehler (28P01, 28000, 3D000) beenden mit Exit 2 und klarer Meldung, transiente Fehler werden bis NEXARCH_ACCOUNT_DB_STARTUP_TIMEOUT_SECONDS wiederholt. Unit-Template: RestartSec, StartLimit, RestartPreventExitStatus=2. Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 14:22:40 +01:00
patrick	e0c0f7c537	Merge pull request 'refactor: Prüfgate-Pakete nach Funktion benannt, migration* gruppiert' (#373) from refactor/struktur-pakete into main	2026-10-28 11:32:29 +01:00
patrickandClaude Sonnet 5.5	07eb74cadf	Root-Modul: apierror und httpharden aus common v0.1.0 ... Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-28 09:37:03 +01:00
patrickandClaude Sonnet 5.5	5b8c20777d	refactor: Pruefgate-Pakete nach Funktion benannt, migration* gruppiert ... - dms/ai/workflow: qa0x-Pakete nach internal/gates/<thema> verschoben, Paketname = Thema - internal/migration{acl,audit,...} -> internal/migration/{acl,audit,...} - Importpfade, Gate-Skripte und zwei relative Migrationspfade angepasst - keine Logikaenderung; mail-Gates bewusst unveraendert (pfadabhaengig) Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>	2026-10-27 12:44:21 +01:00
patrick	af7dc8859e	Merge PR #217: OPS-12: Systemd-Haertung und DB-Rollentrennung (F-15)	2026-10-19 02:14:23 +02:00
patrick	3ff70986d2	Merge PR #216: OPS-13: Additional Authenticated Data bei AES-GCM (F-21)	2026-10-19 02:14:13 +02:00
patrickandClaude Sonnet 5	7abc866356	OPS-12: Merge-Folgefehler behoben (NewProvisioner-Signatur, Runtime-DSN) ... Der automatische Merge von PR #217 (OPS-12) gegen main liess internal/tenant/provisioner.go::ProvisionWithID mit einem nicht mehr existierenden Feld (p.dsnTemplate) zurueck und vergass dort den grantRuntimeRole-Aufruf, den Provision() bereits hat -- echter Build-Fehler, kein reiner Textkonflikt, git markierte ihn nicht als Konflikt. Drei weitere Aufrufer von NewProvisioner (Migrationswerkzeug, Cutover-Orchestrator, Test) riefen noch mit der alten Drei-Parameter- Signatur auf. Alle auf die neue Vier-Parameter-Signatur (Admin-DSN + Runtime-DSN) nachgezogen, wo keine eigene Runtime-DSN-Variable existiert faellt auf dieselbe Vorlage zurueck (admin-only Werkzeuge). Verifiziert auf Host 204: go build/vet sauber, betroffene Pakete (tenant, migrationtenant, cutoverorchestrator, cor01-tenant-migrate) gruen. Einziger verbleibender FAIL (TestAllHTTPServersUseHTTPHarden) ist der bereits bekannte, unabhaengige Befund aus PR #345 (noch nicht gemergt), keine neue Regression. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-10-17 16:24:14 +02:00
patrickandClaude Sonnet 5	d5b526db0e	Merge: main in OPS-12 einarbeiten, Konflikt in internal/config/config.go aufgeloest ... PR #217 (OPS-12) war nicht mergefaehig: additiver Konflikt in Config{} -- main hatte inzwischen ModuleDirectoryPath ergaenzt, OPS-12 ergaenzt unabhaengig davon TenantRuntimeDSNTemplate. Beide Felder behalten, keine inhaltliche Aenderung an der eigentlichen OPS-12-Logik. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-10-17 16:20:35 +02:00
rootandClaude Sonnet 5	74b45c64ba	CUT-02: Einstiegspunkt cutover-generalprobe und End-to-End-Integrationstests ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-10-14 22:45:25 +00:00
patrickandClaude Sonnet 5	8f75ab3b37	CUT-01: trockenlauf-1-entwicklung - orchestrator erster entwurf ... Orchestrator (internal/cutoverorchestrator, cmd/cutover-dryrun) fuer den Trockenlauf aller Migrationspakete gegen eine vollstaendig synthetische Testkopie: Ablaufplan mit Abhaengigkeitspruefung, Abbruch beim ersten Fehler, JSON-/Textprotokoll mit Redigierung von Zugangsdaten, Generator und Anonymisierungsnachweis der Testkopie. Modulstufen (dms/mail/archive/workflow cmd/cutover-stage) liefern die Quell-Adapter und rufen die bestehenden Migratoren der jeweiligen Module auf, da deren internal-Pakete aus dem Root-Modul nicht importierbar sind. migrationdocument.DocumentID macht die DOK-01-Ziel-ID fuer TAR-01/TAR-02 im Archive-Modul verfuegbar. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-10-14 20:45:03 +00:00
patrick	a49d73cbb0	Merge pull request 'VAL-01: Zeilenzahl-Abgleich je Kerntabelle' (#274) from feature/val-01-zeilenzahl-abgleich-kerntabelle into main	2026-10-14 22:10:12 +02:00
patrickandClaude Sonnet 5	628be89c9a	VAL-01: zeilenzahl-abgleich-kerntabelle ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-10-14 20:07:29 +00:00
patrickandClaude Sonnet 5	8b87e97183	MAP-03: user-export-email-abgleich-tenant ... Export der users-Tabellen aus archivmail/archivdms (internal/usermatch) und E-Mail-Abgleich ausschliesslich innerhalb bereits per MAP-02 freigegebener Tenants (tenantapproval.Store.Approved()). Kandidatenliste als CSV, kein automatischer Merge -- Freigabe bleibt MAP-04. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-10-14 20:03:57 +00:00
patrick	10a305b4cf	Merge pull request 'MAP-01: Tenant-Export und Slug/Domain-Abgleich' (#254) from feature/map-01-tenant-export-slug-domain-abgleich into main	2026-10-13 13:37:54 +02:00
patrickandClaude Sonnet 5	3083a6cff1	MAP-01: Export- und Matching-Logik fuer Tenant-Slug-/Domain-Abgleich ... Generischer SQL-Export der tenants-Tabellen (slug/name/domain), automatischer Abgleichsvorschlag per Slug- (hart) und Domain-Matching (weicher Fallback) mit Konfidenzwert, uebersteuerbar durch eine manuell gepflegte CSV-Zuordnungsliste. Konflikte zwischen automatischem Vorschlag und manueller Liste werden sichtbar markiert, nie still aufgeloest. Ausgabe als Kandidatenliste (CSV), direkt nutzbar als Eingabe fuer die menschliche Freigabe in tenant_migration_map (COR-01/MAP-02). Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-10-13 11:00:41 +00:00
patrickandClaude Sonnet 5	dace71e6a9	COR-02: benutzer-migration inkl-passwort-hashes ... Uebernahme freigegebener Benutzer aus user_migration_map in Core IAM-01, bcrypt-Hashes 1:1 ohne Rehash, analog zu COR-01s Tenant-Migration-Pattern. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-10-13 10:52:12 +00:00
rootandClaude Sonnet 5	3903544d11	COR-01: tenant-datenmodell-migration ... Uebernahme freigegebener tenant_migration_map-Eintraege (MAP-02) als Core-Tenants (TEN-01), tenants.id folgt der bereits freigegebenen nexarch_tenant_id. Idempotent, kein Import ohne Freigabe. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-28 06:11:06 +00:00
patrickandClaude Sonnet 5	b2bd1c4c1a	API-22: modul endpunkt discovery ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-28 04:56:41 +00:00
patrickandClaude Sonnet 5	0ea129e71c	OPS-13: Additional Authenticated Data bei AES-GCM (F-21) ... seal/open (bzw. wrap/unwrap) in allen vier betroffenen Stellen binden ein Additional Authenticated Data an Chiffretext/DEK-Wrapper: ein Austausch zwischen zwei Kontexten faellt beim Entschluesseln auf, statt still zu funktionieren. - dms/internal/crypto/envelope.go + service.go: AAD = Tenant-Slug (bereits vorhandener Parameter in Service.Seal/Open, Signatur unveraendert -- keine der rund 30 externen Aufrufstellen musste angepasst werden) - archive/internal/backupcrypto/envelope.go + reposecret.go/file.go: gleiches Muster, AAD = Tenant-Slug - mail/internal/crypto/envelope.go + service.go + kekversions.go: gleiches Muster, AAD = Tenant-Slug (inkl. ARC-08 KEK-Versionsverwaltung) - internal/kek/master.go + store.go: wrap/unwrap sowie EncryptWithTenantKEK/DecryptWithTenantKEK binden AAD. Die drei echten externen Aufrufer angepasst: ldapsync (Tenant-ID + Zweck), webhook (Ziel-URL des Abonnements), account-api modulekeys (fester Zweck-Bezeichner -- SecretCipher-Interface aus internal/moduletrust reicht keine Datensatz-ID durch, eine Erweiterung wuerde in andere Module hineinwirken, bewusst nicht Teil dieser Kachel) Rueckwaertskompatibel: jedes open/unwrap versucht zuerst mit AAD, faellt bei Fehlschlag auf kein-AAD zurueck -- vor dieser Aenderung versiegelte Datensaetze bleiben lesbar. Bekannte, dokumentierte Grenze: ein Austausch zwischen zwei Datensaetzen DESSELBEN Mandanten/Kontexts bleibt unerkannt (identisches AAD) -- volle Bindung an den einzelnen Datensatz braeuchte eine Datensatz-ID an rund 30 Aufrufstellen, bewusst nicht Teil dieser kleinstmoeglichen Loesung. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-26 22:42:17 +02:00
patrickandClaude Sonnet 5	02038866a9	OPS-12: systemd haertung und db rollentrennung (F-15) ... 10 bisher ungehaertete Archive-Backup/Reconcile/Scrub-Oneshot-Vorlagen (deploy/systemd/) bekommen die etablierten Sandbox-Direktiven (NoNewPrivileges, ProtectSystem=strict, ProtectHome, PrivateTmp, ggf. ReadWritePaths). Drei Vorlagen ohne Dateisystemzugriff (reconcile, retention-notify, scrub) bekommen bewusst keine ReadWritePaths, begruendet dokumentiert (S3-kompatible Storage-Abstraktion statt lokaler Pfade). Neue, getrennte Postgres-Laufzeit-Rolle (nexarch_tenant_runtime, OHNE CREATEDB) statt der bisher gemeinsam genutzten CREATEDB-Rolle fuer NEXARCH_TENANT_DSN_TEMPLATE. Provisioner.Provision() berechtigt die neue Rolle je frisch angelegter Tenant-DB (GRANT CONNECT + Schema- Rechte inkl. Default-Privileges), Tenant.DBDSN wird jetzt mit dieser Rolle statt der CREATEDB-Rolle gebaut. Neue Umgebungsvariable NEXARCH_TENANT_RUNTIME_DSN_TEMPLATE, deploy/install.sh legt die Rolle automatisch an. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-26 22:34:51 +02:00
patrickandClaude Sonnet 5	45ecd69ee9	INT-21: native android erfassungs app ... Backend (kleinstmoeglich, wie im Ticket vorgesehen): - internal/auth: TokenIssuer.IssueWithTTL, LoginService.LoginWithTTL (additiv, bestehende Issue/Login unveraendert) - internal/totp: LoginWithTOTPTTL (durchlaeuft denselben 2FA-Ablauf) - cmd/account-api: neue Route POST /auth/mobile-login (JSON-Token statt Cookie, 90 Tage TTL statt 30 Minuten) Android-App (android/dms-capture, Kotlin, Gradle-Projekt): - CameraX-Erfassung mit Live-Vorschau, erneuter Aufnahme, Mehrseiten- Sammlung (AC2) - Ruft ausschliesslich die bestehende DOC-01-Upload-API auf, kein neuer Backend-Uploadpfad (AC3) -- echter Architektur-Fund dabei: dms-app erwartet ein audience-gebundenes Modul-Token (aud=dms), kein rohes Sitzungstoken; App tauscht ueber den bereits bestehenden Endpunkt POST /auth/module-token (Cookie-Header), dokumentiert im Pruefprotokoll - Room-basierte Offline-Warteschlange mit sichtbarem Status, WorkManager fuer automatische Nachreichung ohne Nutzeraktion (AC4) - Verstaendliche Fehlermeldungen bei Groessen-/Typ-Ablehnung statt nur Fehlercode (AC5) - Internes APK, kein Play-Store-Zwang (AC6) Real getestet: Ende-zu-Ende-Auth-Kette (Login -> Modul-Token -> Bearer gegen echten dms-app) auf Host 204, 13/13 Kotlin-Unit-Tests gruen, echter APK-Build auf Host 236 (Android-SDK dort vorhanden, kein Install auf der Entwicklungsmaschine, Gradle projektlokal nachgezogen statt System-Install). Offen (Pruefprotokoll): Kamera-/Offline-/Smoke-Install-Pruefungen brauchen einen Android-Emulator; kein System-Image auf Host 236 installiert, Nachinstallation bewusst nicht ohne Rueckfrage vorgenommen. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-26 14:34:46 +02:00
ClaudeandClaude Sonnet 5	f07fe4c596	INT-14: fehlenden Core-Endpunkt GET /tenants/{slug} ergaenzen ... DMS' und Archives internal/tenantregistryclient (INT-14) riefen bereits GET /tenants/{slug} mit X-Service-Token gegen Core auf, aber Core registrierte diese Route nirgends -- jeder Aufruf schlug mit 404 fehl. Beim Rollout-131-Versuch entdeckt. Neuer Handler tenant.ConfirmHandler nutzt die bestehende Registry.GetBySlug, dieselbe svcauth.Require-Absicherung wie TEN-12s Import-Verzeichnis-Routen (kein neues Auth-Schema). 200 mit Slug/Status bei bekanntem Mandanten, 404 bei unbekanntem, 500 nur bei echtem DB-Fehler -- der bestehende Client wertet ausschliesslich den Statuscode aus. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-26 01:36:46 +02:00
patrickandClaude Sonnet 5	637998a322	TEN-12: import-verzeichnisse-je-tenant-in-der-registry-fuehren ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-23 00:17:27 +02:00
patrick	2cb48e6e73	Merge PR #122 (OPS-08/09/10 Haertungsbuendel)	2026-09-22 11:22:43 +02:00
patrickandClaude Sonnet 5	1e3fa43229	AUD-08: audit-export ohne token in der url ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-22 10:29:26 +02:00
patrick	8bdc0f13c2	gofmt	2026-09-22 10:25:25 +02:00
patrickandClaude Sonnet 5	74c052a3e4	OPS-10: F-25 Neuverpackung der Modul-Signaturschluessel bei Schluesselwechsel (RewrapAll, -rewrap-module-keys) ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-22 10:24:50 +02:00
patrickandClaude Sonnet 5	17988c53c9	IAM-23: sitzungssignatur asymmetrisch (Ed25519), HS256-Mindestlaenge, Uebergangs-Dualmodus ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-22 10:22:49 +02:00
patrickandClaude Sonnet 5	8327a25278	OPS-10: F-24 einheitliche Lauschadressen (127.0.0.1), F-22 Webhook-Ziel-Pruefung (SSRF) und verschluesseltes Signaturgeheimnis ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-22 10:21:25 +02:00
patrickandClaude Sonnet 5	052d63aadb	QA-15 F-06: TOTP-Secrets verschluesselt speichern, Replay-Schutz, Sitzungswiderruf bei Passwortaenderung ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-22 08:55:54 +02:00
patrick	e5516ee213	Merge remote-tracking branch 'origin/feature/qa-15-phase2b-sicherheitsbehebung' into integration/gesamtprojekt	2026-09-22 02:50:47 +02:00
patrick	641940d06c	Merge remote-tracking branch 'origin/feature/qa-15-phase2a-sicherheitsbehebung' into integration/gesamtprojekt ... # Conflicts: # cmd/policy-api/main.go	2026-09-22 02:50:43 +02:00
patrickandClaude Sonnet 5	d4c92dd0a8	QA-15 F-07: aud und iss im Modul-JWT ausstellen und im DMS pruefen ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-22 00:57:09 +02:00
patrickandClaude Sonnet 5	b52f46ca15	QA-15 Phase 2a: gofmt handler.go, Testzaehler je Pfad ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-22 00:54:03 +02:00
patrickandClaude Sonnet 5	e53aaa06c7	IAM-21: Kontosperre und Quelladressen-Limit im Login, Passwort vor zweitem Faktor (QA-15 F-04) ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-22 00:49:27 +02:00
patrickandClaude Sonnet 5	9aa69d3801	TEN-13/LIC-07: Dienst-Token fuer interne Admin-Endpunkte, Loopback-Standard, CORS-Ursprungsliste, Proxy in den Admin-Oberflaechen (QA-15 F-01..F-03) ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-22 00:49:27 +02:00
patrickandClaude Sonnet 5	c5fddad8a5	API-17: gehaertete HTTP-Server (Timeouts, Body-Limit) in allen Diensten (QA-15 F-05) ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-22 00:49:27 +02:00
patrick	72381818a4	Merge #108 RBAC-10: Mandant und Modulaktivierung in authorize	2026-09-21 23:56:19 +02:00
patrickandClaude Sonnet 5	e57b0d23b6	API-16: persistente modul-signaturschlüssel und rotation ... Signaturschluessel der Modul-JWTs liegen verschluesselt in der Mandanten-Datenbank (module_signing_keys), werden von mehreren Instanzen geteilt und rotieren mit Ueberlappung; nicht lesbarer Speicher ergibt 503 statt Token/JWKS. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-21 23:42:00 +02:00
patrickandClaude Sonnet 5	824e2d8b10	RBAC-10: imports in policy-api, struktur des EnforceConfig ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-21 23:38:40 +02:00
patrickandClaude Sonnet 5	b3ba0fdfa6	RBAC-10: mandant und modulaktivierung in authorize ... POST /authorize nimmt optional den Mandanten entgegen und wertet modulgebundene Rechte ueber AuthorizeForTenant aus (fail closed). Mandant ist Pflicht fuer Rechte mit Modul-Bindung, das Service-Token laesst sich auf Mandanten einschraenken. Migration 0012 bindet die dms.*-Rechte an das Flag dms. Der DMS-policyclient sendet den Mandanten mit und trennt den Cache je Mandant. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-21 23:38:02 +02:00
patrickandClaude Sonnet 5	1fac08f341	API-15: modul-jwt mit rollen-claim und token-austausch ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-21 22:31:20 +02:00
patrickandClaude Sonnet 5	ec883a9bb0	API-14: jwks-endpunkt im core-kontodienst ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-21 22:30:10 +02:00
patrickandClaude Sonnet 5	6c68ac3526	Gesamtprojekt: account-api an IAM-17-Signatur von auth.NewHandler angepasst (Admin-Widerruf deaktiviert) ... Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-09-21 13:54:41 +02:00
patrick	0418c5f579	Merge remote-tracking branch 'origin/feature/qa-01-teststrategie-core' into integration/gesamtprojekt ... # Conflicts: # DEVLOG.md # go.sum	2026-09-21 13:52:00 +02:00
patrick	6a555957da	Merge remote-tracking branch 'origin/feature/api-12-kek-bezugsdienst-starten' into integration/gesamtprojekt	2026-09-21 13:51:53 +02:00
patrick	087fd1464e	Merge remote-tracking branch 'origin/feature/api-11-wiederanlauf-nachsynchronisierungs-endpunkt-starten' into integration/gesamtprojekt ... # Conflicts: # go.sum # scripts/reset-test-env.sh	2026-09-21 13:51:53 +02:00
patrick	73e4e1580f	Merge remote-tracking branch 'origin/feature/iam-16-login-account-dienst-starten' into integration/gesamtprojekt	2026-09-21 13:51:39 +02:00
patrick	1694a82914	Merge remote-tracking branch 'origin/feature/cfg-06-benachrichtigungs-einstellungen-dienst-starten' into integration/gesamtprojekt	2026-09-21 13:51:39 +02:00
patrick	bfbd7a7738	Merge remote-tracking branch 'origin/feature/cfg-05-modulübergreifender-http-endpunkt-für-benachrichtigungs-ereignisse' into integration/gesamtprojekt ... # Conflicts: # scripts/reset-test-env.sh	2026-09-21 13:51:39 +02:00