ai/provider: Opt-in-Test und Pruefprotokoll ENG-09

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

ai/docs/ENG-09-PRUEFPROTOKOLL.md

@@ -0,0 +1,32 @@
+# ENG-09 – Weitere Provider (OpenAI-kompatible Presets, Gemini) – Prüfprotokoll
+
+Datum: 2026-11-06. Host: Entwicklungshost 192.168.1.204.
+
+## Umsetzung
+
+- Neues Paket `ai/internal/provider/gemini`: Chat, Completion (über Chat) und Embedding gegen die Gemini-REST-API (`generateContent`, `embedContent`). Schlüssel aus `NEXARCH_AI_GEMINI_API_KEY`, optionale Basis-URL `NEXARCH_AI_GEMINI_BASE_URL`; Schlüssel nur im Header `x-goog-api-key`. Ohne Schlüssel liefert `NewFromEnv` `ErrDisabled`.
+- OpenAI-kompatible Dienste: der vorhandene `openai`-Adapter nimmt bereits eine Basis-URL (`NEXARCH_AI_OPENAI_BASE_URL`); es war keine Codeänderung nötig.
+- Opt-in je Mandant: `openai.GuardedProvider` mit `TenantGate` umschließt jeden `provider.Provider`, auch den Gemini-Adapter.
+
+## Akzeptanzkriterien
+
+| # | Kriterium | Ergebnis |
+|---|---|---|
+| 1 | OpenAI-kompatible Dienste ohne Codeänderung über Basis-URL und Schlüssel aus Umgebungsvariablen | **Teilweise belegt.** Mechanismus vorhanden und durch bestehende `openai`-Tests (Fake-Server mit abweichender Basis-URL) abgedeckt. Gegen OpenRouter, vLLM, LiteLLM oder DeepSeek nicht getestet (keine Zugänge). |
+| 2 | Gemini-Adapter erfüllt den Provider-Vertragstest | **Erfüllt gegen Fake-Server.** `TestContract_Gemini` (Chat, Complete, Embed über `runContract`), `TestUniformErrors` (404, 429, 500 auf die einheitlichen Codes), Timeout/Nicht-Erreichbar (`TestUnreachableAndCancelled`). Nicht gegen die echte Gemini-API. |
+| 3 | Externe Anbieter nur nach Opt-in und Residenz-Prüfung | **Teilweise belegt.** Opt-in per `GuardedProvider` belegt (`TestOptIn_GuardedProviderBlocksWithoutCallingServer`: kein Aufruf ohne Freigabe oder ohne Mandant). Datenresidenz-Prüfung (`residency`) ist nicht an den Adapter gekoppelt. |
+| 4 | Zugangsdaten ausschließlich über Umgebungsvariablen | **Erfüllt.** `TestDisabledWithoutKey`; `TestKeyNotInErrors`; Schlüssel nie in der URL (`fakeServer` prüft den Query-Parameter `key`). |
+
+## Prüfungen vor der Abnahme
+
+| # | Prüfung | Ergebnis |
+|---|---|---|
+| 1 | Vertragstest gegen jeden neuen Adapter | **Bestanden** (Fake-Server). Echte Gemini-API: **offen**, kein API-Schlüssel vorhanden. |
+| 2 | Opt-in-Verweigerung blockiert den Aufruf nachweislich | **Bestanden.** Server-Zähler bleibt unberührt. |
+| 3 | Keine echten Kundendaten in Tests gegen externe Dienste | **Bestanden.** Es gibt keine Tests gegen externe Dienste. |
+
+## Einschränkungen
+
+- Kein Lauf gegen eine echte Gemini-API; Request-/Response-Format nach der öffentlichen REST-Dokumentation nachgebaut, nicht gegen den echten Dienst verifiziert.
+- `ai-app` bindet den Adapter nicht ein; die Fehlermeldung von `GuardedProvider` nennt den Anbieter `openai`, auch wenn Gemini umschlossen ist.
+- Kopplung an `residency` und Streaming sind nicht Teil dieser Kachel.

ai/internal/provider/contract_test.go

@@ -2,12 +2,17 @@ package provider_test
 
 import (
 	"context"
+	"encoding/json"
 	"errors"
+	"net/http"
+	"net/http/httptest"
 	"os"
+	"strings"
 	"testing"
 	"time"
 
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/provider"
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/provider/gemini"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/provider/mock"
 	"gitea.perlbach24.de/scripte/nexarch/ai/internal/provider/ollama"
 )
@@ -84,6 +89,22 @@ func TestContract_Ollama(t *testing.T) {
 	runContract(t, p, model)
 }
 
+func TestContract_Gemini(t *testing.T) {
+	srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		if strings.HasSuffix(r.URL.Path, ":embedContent") {
+			_ = json.NewEncoder(w).Encode(map[string]any{"embedding": map[string]any{"values": []float64{0.1, 0.2}}})
+			return
+		}
+		_ = json.NewEncoder(w).Encode(map[string]any{"candidates": []map[string]any{{"content": map[string]any{"parts": []map[string]string{{"text": "OK"}}}}}})
+	}))
+	defer srv.Close()
+	p, err := gemini.New(srv.URL, "k")
+	if err != nil {
+		t.Fatal(err)
+	}
+	runContract(t, p, "gemini-test")
+}
+
 // TestInterchangeable_SameCallerCode belegt AK2: ein Aufrufer, der gegen das
 // Interface programmiert, funktioniert unveraendert mit jeder Implementierung.
 func TestInterchangeable_SameCallerCode(t *testing.T) {

ai/internal/provider/gemini/gemini.go

@@ -0,0 +1,203 @@
+package gemini
+
+import (
+	"bytes"
+	"context"
+	"encoding/json"
+	"fmt"
+	"io"
+	"net/http"
+	"net/url"
+	"os"
+	"strings"
+	"time"
+
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/provider"
+)
+
+const (
+	DefaultBaseURL = "https://generativelanguage.googleapis.com/v1beta"
+	EnvAPIKey      = "NEXARCH_AI_GEMINI_API_KEY"
+	EnvBaseURL     = "NEXARCH_AI_GEMINI_BASE_URL"
+)
+
+var ErrDisabled = fmt.Errorf("gemini-adapter: %s nicht gesetzt, adapter bleibt deaktiviert", EnvAPIKey)
+
+type Provider struct {
+	BaseURL string
+	APIKey  string
+	Client  *http.Client
+}
+
+var _ provider.Provider = (*Provider)(nil)
+
+func New(baseURL, apiKey string) (*Provider, error) {
+	if apiKey == "" {
+		return nil, ErrDisabled
+	}
+	if baseURL == "" {
+		baseURL = DefaultBaseURL
+	}
+	return &Provider{
+		BaseURL: strings.TrimRight(baseURL, "/"),
+		APIKey:  apiKey,
+		Client:  &http.Client{Timeout: 120 * time.Second},
+	}, nil
+}
+
+func NewFromEnv() (*Provider, error) {
+	return New(os.Getenv(EnvBaseURL), os.Getenv(EnvAPIKey))
+}
+
+func newErr(code provider.Code, msg string, err error) error {
+	return &provider.Error{Provider: "gemini", Code: code, Message: msg, Err: err}
+}
+
+func (p *Provider) do(ctx context.Context, model, method string, body, out any) error {
+	buf, err := json.Marshal(body)
+	if err != nil {
+		return newErr(provider.CodeInvalidRequest, "anfrage kodieren", err)
+	}
+	endpoint := fmt.Sprintf("%s/models/%s:%s", p.BaseURL, url.PathEscape(strings.TrimPrefix(model, "models/")), method)
+	req, err := http.NewRequestWithContext(ctx, http.MethodPost, endpoint, bytes.NewReader(buf))
+	if err != nil {
+		return newErr(provider.CodeInvalidRequest, "anfrage aufbauen", err)
+	}
+	req.Header.Set("x-goog-api-key", p.APIKey)
+	req.Header.Set("Content-Type", "application/json")
+
+	resp, err := p.Client.Do(req)
+	if err != nil {
+		if ctx.Err() != nil {
+			return newErr(provider.CodeTimeout, "anfrage abgebrochen", err)
+		}
+		return newErr(provider.CodeUnavailable, "dienst nicht erreichbar", err)
+	}
+	defer resp.Body.Close()
+
+	data, err := io.ReadAll(resp.Body)
+	if err != nil {
+		return newErr(provider.CodeUpstream, "antwort lesen", err)
+	}
+	switch {
+	case resp.StatusCode == http.StatusNotFound:
+		return newErr(provider.CodeModelNotFound, "modell nicht gefunden", fmt.Errorf("http %d", resp.StatusCode))
+	case resp.StatusCode == http.StatusTooManyRequests:
+		return newErr(provider.CodeRateLimited, "rate limit", fmt.Errorf("http %d", resp.StatusCode))
+	case resp.StatusCode >= 400:
+		return newErr(provider.CodeUpstream, "fehlerhafte antwort", fmt.Errorf("http %d: %s", resp.StatusCode, string(data)))
+	}
+	if err := json.Unmarshal(data, out); err != nil {
+		return newErr(provider.CodeUpstream, "antwort dekodieren", err)
+	}
+	return nil
+}
+
+type part struct {
+	Text string `json:"text"`
+}
+
+type content struct {
+	Role  string `json:"role,omitempty"`
+	Parts []part `json:"parts"`
+}
+
+type generationConfig struct {
+	MaxOutputTokens int     `json:"maxOutputTokens,omitempty"`
+	Temperature     float64 `json:"temperature"`
+}
+
+type generateRequest struct {
+	SystemInstruction *content         `json:"systemInstruction,omitempty"`
+	Contents          []content        `json:"contents"`
+	GenerationConfig  generationConfig `json:"generationConfig"`
+}
+
+type generateResponse struct {
+	Candidates []struct {
+		Content      content `json:"content"`
+		FinishReason string  `json:"finishReason"`
+	} `json:"candidates"`
+	UsageMetadata struct {
+		PromptTokenCount     int `json:"promptTokenCount"`
+		CandidatesTokenCount int `json:"candidatesTokenCount"`
+		TotalTokenCount      int `json:"totalTokenCount"`
+	} `json:"usageMetadata"`
+	ModelVersion string `json:"modelVersion"`
+}
+
+func (p *Provider) Chat(ctx context.Context, req provider.ChatRequest) (provider.ChatResponse, error) {
+	body := generateRequest{GenerationConfig: generationConfig{MaxOutputTokens: req.MaxTokens, Temperature: req.Temperature}}
+	var system []part
+	for _, m := range req.Messages {
+		switch m.Role {
+		case provider.RoleSystem:
+			system = append(system, part{Text: m.Content})
+		case provider.RoleAssistant:
+			body.Contents = append(body.Contents, content{Role: "model", Parts: []part{{Text: m.Content}}})
+		default:
+			body.Contents = append(body.Contents, content{Role: "user", Parts: []part{{Text: m.Content}}})
+		}
+	}
+	if len(system) > 0 {
+		body.SystemInstruction = &content{Parts: system}
+	}
+
+	var out generateResponse
+	if err := p.do(ctx, req.Model, "generateContent", body, &out); err != nil {
+		return provider.ChatResponse{}, err
+	}
+	if len(out.Candidates) == 0 {
+		return provider.ChatResponse{}, newErr(provider.CodeUpstream, "keine antwort in candidates", nil)
+	}
+	c := out.Candidates[0]
+	var text strings.Builder
+	for _, pt := range c.Content.Parts {
+		text.WriteString(pt.Text)
+	}
+	return provider.ChatResponse{
+		Model:        out.ModelVersion,
+		Message:      provider.Message{Role: provider.RoleAssistant, Content: text.String()},
+		FinishReason: c.FinishReason,
+		Usage: provider.Usage{
+			PromptTokens:     out.UsageMetadata.PromptTokenCount,
+			CompletionTokens: out.UsageMetadata.CandidatesTokenCount,
+			TotalTokens:      out.UsageMetadata.TotalTokenCount,
+		},
+	}, nil
+}
+
+func (p *Provider) Complete(ctx context.Context, req provider.CompletionRequest) (provider.CompletionResponse, error) {
+	resp, err := p.Chat(ctx, provider.ChatRequest{
+		Model:       req.Model,
+		Messages:    []provider.Message{{Role: provider.RoleUser, Content: req.Prompt}},
+		MaxTokens:   req.MaxTokens,
+		Temperature: req.Temperature,
+	})
+	if err != nil {
+		return provider.CompletionResponse{}, err
+	}
+	return provider.CompletionResponse{Model: resp.Model, Text: resp.Message.Content, FinishReason: resp.FinishReason, Usage: resp.Usage}, nil
+}
+
+type embedRequest struct {
+	Content content `json:"content"`
+}
+
+type embedResponse struct {
+	Embedding struct {
+		Values []float64 `json:"values"`
+	} `json:"embedding"`
+}
+
+func (p *Provider) Embed(ctx context.Context, req provider.EmbeddingRequest) (provider.EmbeddingResponse, error) {
+	var out embedResponse
+	body := embedRequest{Content: content{Parts: []part{{Text: req.Input}}}}
+	if err := p.do(ctx, req.Model, "embedContent", body, &out); err != nil {
+		return provider.EmbeddingResponse{}, err
+	}
+	if len(out.Embedding.Values) == 0 {
+		return provider.EmbeddingResponse{}, newErr(provider.CodeUpstream, "keine einbettung in der antwort", nil)
+	}
+	return provider.EmbeddingResponse{Model: req.Model, Embedding: out.Embedding.Values}, nil
+}

ai/internal/provider/gemini/gemini_test.go

@@ -0,0 +1,148 @@
+package gemini
+
+import (
+	"context"
+	"encoding/json"
+	"net/http"
+	"net/http/httptest"
+	"strings"
+	"testing"
+
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/provider"
+	"gitea.perlbach24.de/scripte/nexarch/ai/internal/provider/openai"
+)
+
+func fakeServer(t *testing.T, status int) (*httptest.Server, *map[string]any) {
+	t.Helper()
+	var last map[string]any
+	srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		if got := r.Header.Get("x-goog-api-key"); got != "key-1" {
+			t.Errorf("x-goog-api-key = %q", got)
+		}
+		if r.URL.Query().Get("key") != "" {
+			t.Error("schluessel darf nicht in der url stehen")
+		}
+		_ = json.NewDecoder(r.Body).Decode(&last)
+		if status != http.StatusOK {
+			w.WriteHeader(status)
+			_, _ = w.Write([]byte(`{"error":{"message":"x"}}`))
+			return
+		}
+		switch {
+		case strings.HasSuffix(r.URL.Path, ":generateContent"):
+			_ = json.NewEncoder(w).Encode(map[string]any{
+				"candidates": []map[string]any{{
+					"content":      map[string]any{"role": "model", "parts": []map[string]string{{"text": "ha"}, {"text": "llo"}}},
+					"finishReason": "STOP",
+				}},
+				"usageMetadata": map[string]int{"promptTokenCount": 3, "candidatesTokenCount": 2, "totalTokenCount": 5},
+				"modelVersion":  "gemini-test",
+			})
+		case strings.HasSuffix(r.URL.Path, ":embedContent"):
+			_ = json.NewEncoder(w).Encode(map[string]any{"embedding": map[string]any{"values": []float64{0.1, 0.2}}})
+		default:
+			t.Errorf("unerwarteter pfad %s", r.URL.Path)
+		}
+	}))
+	t.Cleanup(srv.Close)
+	return srv, &last
+}
+
+func TestChat_MapsRolesUsageAndParts(t *testing.T) {
+	srv, last := fakeServer(t, http.StatusOK)
+	p, _ := New(srv.URL, "key-1")
+	resp, err := p.Chat(context.Background(), provider.ChatRequest{
+		Model: "models/gemini-test",
+		Messages: []provider.Message{
+			{Role: provider.RoleSystem, Content: "sys"},
+			{Role: provider.RoleUser, Content: "u"},
+			{Role: provider.RoleAssistant, Content: "a"},
+		},
+	})
+	if err != nil {
+		t.Fatal(err)
+	}
+	if resp.Message.Content != "hallo" || resp.Usage.TotalTokens != 5 || resp.FinishReason != "STOP" {
+		t.Fatalf("unerwartet: %+v", resp)
+	}
+	if (*last)["systemInstruction"] == nil {
+		t.Fatal("systemInstruction fehlt")
+	}
+	contents := (*last)["contents"].([]any)
+	if len(contents) != 2 || contents[1].(map[string]any)["role"] != "model" {
+		t.Fatalf("rollen falsch: %v", contents)
+	}
+}
+
+func TestCompleteAndEmbed(t *testing.T) {
+	srv, _ := fakeServer(t, http.StatusOK)
+	p, _ := New(srv.URL, "key-1")
+	c, err := p.Complete(context.Background(), provider.CompletionRequest{Model: "m", Prompt: "x"})
+	if err != nil || c.Text != "hallo" {
+		t.Fatalf("complete: %+v %v", c, err)
+	}
+	e, err := p.Embed(context.Background(), provider.EmbeddingRequest{Model: "m", Input: "x"})
+	if err != nil || len(e.Embedding) != 2 {
+		t.Fatalf("embed: %+v %v", e, err)
+	}
+}
+
+func TestUniformErrors(t *testing.T) {
+	for status, code := range map[int]provider.Code{404: provider.CodeModelNotFound, 429: provider.CodeRateLimited, 500: provider.CodeUpstream} {
+		srv, _ := fakeServer(t, status)
+		p, _ := New(srv.URL, "key-1")
+		_, err := p.Chat(context.Background(), provider.ChatRequest{Model: "m", Messages: []provider.Message{{Role: provider.RoleUser, Content: "x"}}})
+		if !provider.IsCode(err, code) {
+			t.Errorf("status %d: err=%v, want %s", status, err, code)
+		}
+	}
+}
+
+func TestUnreachableAndCancelled(t *testing.T) {
+	p, _ := New("http://127.0.0.1:1", "key-1")
+	_, err := p.Embed(context.Background(), provider.EmbeddingRequest{Model: "m", Input: "x"})
+	if !provider.IsCode(err, provider.CodeUnavailable) {
+		t.Fatalf("err=%v", err)
+	}
+	ctx, cancel := context.WithCancel(context.Background())
+	cancel()
+	_, err = p.Embed(ctx, provider.EmbeddingRequest{Model: "m", Input: "x"})
+	if !provider.IsCode(err, provider.CodeTimeout) {
+		t.Fatalf("err=%v", err)
+	}
+}
+
+func TestDisabledWithoutKey(t *testing.T) {
+	t.Setenv(EnvAPIKey, "")
+	if _, err := NewFromEnv(); err != ErrDisabled {
+		t.Fatalf("err=%v", err)
+	}
+}
+
+func TestKeyNotInErrors(t *testing.T) {
+	srv, _ := fakeServer(t, http.StatusInternalServerError)
+	p, _ := New(srv.URL, "key-1")
+	_, err := p.Chat(context.Background(), provider.ChatRequest{Model: "m", Messages: []provider.Message{{Role: provider.RoleUser, Content: "x"}}})
+	if err == nil || strings.Contains(err.Error(), "key-1") {
+		t.Fatalf("err=%v", err)
+	}
+}
+
+func TestOptIn_GuardedProviderBlocksWithoutCallingServer(t *testing.T) {
+	called := false
+	srv := httptest.NewServer(http.HandlerFunc(func(http.ResponseWriter, *http.Request) { called = true }))
+	defer srv.Close()
+	inner, _ := New(srv.URL, "key-1")
+	g := &openai.GuardedProvider{Inner: inner, Gate: openai.NewEnvTenantGate("acme")}
+	req := provider.ChatRequest{Model: "m", Messages: []provider.Message{{Role: provider.RoleUser, Content: "x"}}}
+
+	if _, err := g.Chat(openai.WithTenant(context.Background(), "other"), req); err == nil {
+		t.Fatal("freigabe fehlt, fehler erwartet")
+	}
+	if _, err := g.Chat(context.Background(), req); err == nil {
+		t.Fatal("ohne mandant, fehler erwartet")
+	}
+	if called {
+		t.Fatal("server wurde trotz fehlender freigabe aufgerufen")
+	}
+}

common/cmd/pflichttestgate/main.go

@@ -20,6 +20,7 @@ var sensitive = []*regexp.Regexp{
 	regexp.MustCompile(`(^|/)common/policyclient/`),
 	regexp.MustCompile(`(^|/)common/apierror/`),
 	regexp.MustCompile(`(^|/)common/httpharden/`),
+	regexp.MustCompile(`(^|/)common/bearerauth/`),
 }
 
 func main() {

connect/cmd/connect-app/main.go

@@ -15,12 +15,15 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
+	"gitea.perlbach24.de/scripte/nexarch/common/bearerauth"
 	"gitea.perlbach24.de/scripte/nexarch/common/moduleauth"
 	"gitea.perlbach24.de/scripte/nexarch/common/policyclient"
-	"gitea.perlbach24.de/scripte/nexarch/connect/internal/bearerauth"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/archiveclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/connectorsetupapi"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/credential"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/crypto"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/datevapi"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/datevexport"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/dms2import"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/dms2importapi"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/fieldmapping"
@@ -56,6 +59,25 @@ func buildPolicyClient() *policyclient.Client {
 	return policyclient.New(policyURL, token)
 }
 
+// buildDatevExports liefert nil ohne NEXARCH_CONNECT_APP_ARCHIVE_URL; dann ist
+// /datev/exports nicht registriert. Die DATEV-Uebertragung ist hier nicht verdrahtet.
+func buildDatevExports(pool *pgxpool.Pool) *datevexport.Store {
+	archiveURL := os.Getenv("NEXARCH_CONNECT_APP_ARCHIVE_URL")
+	if archiveURL == "" {
+		log.Print("connect-app: NEXARCH_CONNECT_APP_ARCHIVE_URL fehlt, /datev/exports nicht registriert")
+		return nil
+	}
+	token := os.Getenv("NEXARCH_CONNECT_APP_ARCHIVE_SERVICE_TOKEN")
+	if token == "" {
+		log.Fatal("connect-app: NEXARCH_CONNECT_APP_ARCHIVE_SERVICE_TOKEN ist erforderlich, wenn NEXARCH_CONNECT_APP_ARCHIVE_URL gesetzt ist")
+	}
+	return &datevexport.Store{
+		Pool:        pool,
+		Archive:     archiveclient.New(archiveURL, token),
+		CallbackURL: os.Getenv("NEXARCH_CONNECT_APP_DATEV_CALLBACK_URL"),
+	}
+}
+
 func main() {
 	if !killswitch.Enabled() {
 		log.Printf("connect-app: deaktiviert (%s=false), kein Start", killswitch.EnvEnabled)
@@ -98,6 +120,9 @@ func main() {
 	statusapi.NewServer(syncjob.NewStore(pool)).WithPolicy(policy).RegisterRoutes(mux)
 	dms2importapi.NewServer(mappings, dms2import.NewStore(pool)).RegisterRoutes(mux)
 	connectorsetupapi.NewServer(credentials, mappings).WithPolicy(policy).RegisterRoutes(mux)
+	if exports := buildDatevExports(pool); exports != nil {
+		datevapi.NewServer(exports, nil).WithPolicy(policy).RegisterRoutes(mux)
+	}
 
 	srv := &http.Server{
 		Addr:              addr,

connect/go.mod

@@ -5,7 +5,7 @@ go 1.25.0
 toolchain go1.25.13
 
 require (
-	gitea.perlbach24.de/scripte/nexarch/common v0.2.1
+	gitea.perlbach24.de/scripte/nexarch/common v0.2.2
 	github.com/jackc/pgx/v5 v5.9.2
 	golang.org/x/text v0.29.0
 )

connect/go.sum

@@ -1,5 +1,5 @@
-gitea.perlbach24.de/scripte/nexarch/common v0.2.1 h1:vIreSocK/F4+uid+lZ7u0CSNlPFvA1N7A77k+RhNeAc=
-gitea.perlbach24.de/scripte/nexarch/common v0.2.1/go.mod h1:CiEImG++QMt1xZqSMeDJhPiB7sfWTLZOwjS6OY/Iguc=
+gitea.perlbach24.de/scripte/nexarch/common v0.2.2 h1:PupmTMm3xysOP8J+zgqRAgwro1XlaQn0njsuUgbqN14=
+gitea.perlbach24.de/scripte/nexarch/common v0.2.2/go.mod h1:CiEImG++QMt1xZqSMeDJhPiB7sfWTLZOwjS6OY/Iguc=
 github.com/davecgh/go-spew v1.1.0/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
 github.com/davecgh/go-spew v1.1.1 h1:vj9j/u1bqnvCEfJOwUhtlOARqs3+rkHYY13jYWTU97c=
 github.com/davecgh/go-spew v1.1.1/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=

connect/internal/bearerauth/bearerauth.go

@@ -1,71 +0,0 @@
-// Package bearerauth setzt die Identitaet der Connect-APIs aus einem
-// verifizierten Core-Modul-Token. Die Handler lesen weiter X-User-Id und
-// X-Tenant-Slug; die Middleware ueberschreibt beide aus den Claims, sodass ein
-// Client sie nicht frei setzen kann. X-User-Role kommt nur aus dem Token.
-package bearerauth
-
-import (
-	"encoding/json"
-	"errors"
-	"net/http"
-	"strings"
-
-	"gitea.perlbach24.de/scripte/nexarch/common/moduleauth"
-)
-
-const (
-	headerUser   = "X-User-Id"
-	headerTenant = "X-Tenant-Slug"
-	headerRole   = "X-User-Role"
-)
-
-// Middleware verlangt fuer Anfragen mit Authorization: Bearer ein gueltiges
-// Token. Ohne Bearer werden X-User-Id und X-Tenant-Slug entfernt, ausser
-// allowHeaderAuth ist gesetzt (Uebergang, bis alle Clients Bearer senden).
-func Middleware(v *moduleauth.Verifier, allowHeaderAuth bool, next http.Handler) http.Handler {
-	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
-		r.Header.Del(headerRole)
-		token, ok := bearer(r)
-		if !ok {
-			if !allowHeaderAuth {
-				r.Header.Del(headerUser)
-				r.Header.Del(headerTenant)
-			}
-			next.ServeHTTP(w, r)
-			return
-		}
-		if v == nil {
-			writeError(w, http.StatusUnauthorized, "nicht angemeldet")
-			return
-		}
-		claims, err := v.Verify(r.Context(), token)
-		if err != nil {
-			if errors.Is(err, moduleauth.ErrInvalidToken) {
-				writeError(w, http.StatusUnauthorized, "nicht angemeldet")
-			} else {
-				writeError(w, http.StatusServiceUnavailable, "identitaetsdienst nicht erreichbar")
-			}
-			return
-		}
-		r.Header.Set(headerUser, claims.Subject)
-		r.Header.Set(headerTenant, claims.Tenant)
-		if claims.Role != "" {
-			r.Header.Set(headerRole, claims.Role)
-		}
-		next.ServeHTTP(w, r)
-	})
-}
-
-func bearer(r *http.Request) (string, bool) {
-	h := r.Header.Get("Authorization")
-	if len(h) > 7 && strings.EqualFold(h[:7], "bearer ") {
-		return strings.TrimSpace(h[7:]), true
-	}
-	return "", false
-}
-
-func writeError(w http.ResponseWriter, status int, message string) {
-	w.Header().Set("Content-Type", "application/json")
-	w.WriteHeader(status)
-	_ = json.NewEncoder(w).Encode(map[string]string{"error": message})
-}

connect/internal/bearerauth/bearerauth_test.go

@@ -1,75 +0,0 @@
-package bearerauth
-
-import (
-	"net/http"
-	"net/http/httptest"
-	"testing"
-
-	"gitea.perlbach24.de/scripte/nexarch/common/moduleauth"
-)
-
-func echo() http.Handler {
-	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
-		_, _ = w.Write([]byte(r.Header.Get("X-User-Id") + "|" + r.Header.Get("X-Tenant-Slug") + "|" + r.Header.Get("X-User-Role")))
-	})
-}
-
-func do(h http.Handler, hdr map[string]string) *httptest.ResponseRecorder {
-	req := httptest.NewRequest(http.MethodGet, "/x", nil)
-	for k, v := range hdr {
-		req.Header.Set(k, v)
-	}
-	rec := httptest.NewRecorder()
-	h.ServeHTTP(rec, req)
-	return rec
-}
-
-func TestBearerOverridesClientSuppliedHeaders(t *testing.T) {
-	v, iss := moduleauth.NewTestVerifierAndIssuer()
-	h := Middleware(v, false, echo())
-	rec := do(h, map[string]string{
-		"Authorization": "Bearer " + iss.Token("u1", "acme", "user", "", ""),
-		"X-User-Id":     "fremd", "X-Tenant-Slug": "fremd",
-	})
-	if rec.Code != 200 || rec.Body.String() != "u1|acme|user" {
-		t.Fatalf("code=%d body=%q", rec.Code, rec.Body.String())
-	}
-}
-
-func TestInvalidBearerIs401(t *testing.T) {
-	v, _ := moduleauth.NewTestVerifierAndIssuer()
-	_, other := moduleauth.NewTestVerifierAndIssuer()
-	h := Middleware(v, true, echo())
-	if rec := do(h, map[string]string{"Authorization": "Bearer " + other.Token("u1", "acme", "user", "", ""), "X-User-Id": "evil"}); rec.Code != 401 {
-		t.Fatalf("code=%d", rec.Code)
-	}
-	if rec := do(Middleware(nil, true, echo()), map[string]string{"Authorization": "Bearer x.y.z"}); rec.Code != 401 {
-		t.Fatalf("ohne Verifier code=%d", rec.Code)
-	}
-}
-
-func TestWithoutBearerHeadersStrippedUnlessAllowed(t *testing.T) {
-	v, _ := moduleauth.NewTestVerifierAndIssuer()
-	hdr := map[string]string{"X-User-Id": "u9", "X-Tenant-Slug": "t9"}
-	if rec := do(Middleware(v, false, echo()), hdr); rec.Body.String() != "||" {
-		t.Fatalf("Header muessen entfernt werden, bekam %q", rec.Body.String())
-	}
-	if rec := do(Middleware(v, true, echo()), hdr); rec.Body.String() != "u9|t9|" {
-		t.Fatalf("Uebergangsmodus muss Header durchlassen, bekam %q", rec.Body.String())
-	}
-}
-
-func TestRoleOnlyFromToken(t *testing.T) {
-	v, iss := moduleauth.NewTestVerifierAndIssuer()
-	h := Middleware(v, true, echo())
-	rec := do(h, map[string]string{
-		"Authorization": "Bearer " + iss.Token("u1", "acme", "tenant_admin", "", ""),
-		"X-User-Role":   "tenant_admin_fremd",
-	})
-	if rec.Body.String() != "u1|acme|tenant_admin" {
-		t.Fatalf("Rolle muss aus dem Token kommen, bekam %q", rec.Body.String())
-	}
-	if rec := do(h, map[string]string{"X-User-Role": "tenant_admin"}); rec.Body.String() != "||" {
-		t.Fatalf("Rolle ohne Token muss entfernt werden, bekam %q", rec.Body.String())
-	}
-}

connect/internal/datevapi/datevapi.go

@@ -9,6 +9,7 @@ import (
 	"net/http"
 	"time"
 
+	"gitea.perlbach24.de/scripte/nexarch/common/policyclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/datevexport"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/datevtransfer"
 )
@@ -16,6 +17,12 @@ import (
 type Server struct {
 	Exports   *datevexport.Store
 	Transfers *datevtransfer.Store
+	policy    *policyclient.Client
+}
+
+func (s *Server) WithPolicy(client *policyclient.Client) *Server {
+	s.policy = client
+	return s
 }
 
 func NewServer(exports *datevexport.Store, transfers *datevtransfer.Store) *Server {
@@ -23,8 +30,32 @@ func NewServer(exports *datevexport.Store, transfers *datevtransfer.Store) *Serv
 }
 
 func (s *Server) RegisterRoutes(mux *http.ServeMux) {
-	mux.HandleFunc("POST /datev/exports", s.requireIdentity(s.handleTrigger))
-	mux.HandleFunc("GET /datev/exports", s.requireIdentity(s.handleList))
+	mux.HandleFunc("POST /datev/exports", s.requireIdentity(s.requirePermission("connect.datev.write", s.handleTrigger)))
+	mux.HandleFunc("GET /datev/exports", s.requireIdentity(s.requirePermission("connect.datev.read", s.handleList)))
+}
+
+func (s *Server) requirePermission(permission string, next func(w http.ResponseWriter, r *http.Request, tenantSlug string)) func(w http.ResponseWriter, r *http.Request, tenantSlug string) {
+	return func(w http.ResponseWriter, r *http.Request, tenantSlug string) {
+		if s.policy != nil {
+			allowed, err := s.policy.Allowed(r.Context(), tenantSlug, roleOf(r), permission)
+			if err != nil {
+				writeError(w, http.StatusServiceUnavailable, "berechtigungsdienst nicht erreichbar")
+				return
+			}
+			if !allowed {
+				writeError(w, http.StatusForbidden, "keine berechtigung")
+				return
+			}
+		}
+		next(w, r, tenantSlug)
+	}
+}
+
+func roleOf(r *http.Request) string {
+	if role := r.Header.Get("X-User-Role"); role != "" {
+		return role
+	}
+	return "user"
 }
 
 func (s *Server) requireIdentity(next func(w http.ResponseWriter, r *http.Request, tenantSlug string)) http.HandlerFunc {

connect/internal/datevapi/datevapi_policy_test.go

@@ -0,0 +1,46 @@
+package datevapi
+
+import (
+	"encoding/json"
+	"net/http"
+	"net/http/httptest"
+	"strings"
+	"testing"
+
+	"gitea.perlbach24.de/scripte/nexarch/common/policyclient"
+)
+
+func TestPolicy_PermissionAndRoleReachCore(t *testing.T) {
+	type ask struct{ role, permission string }
+	var got []ask
+	policyAPI := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		var body struct {
+			Role       string `json:"role"`
+			Permission string `json:"permission"`
+		}
+		_ = json.NewDecoder(r.Body).Decode(&body)
+		got = append(got, ask{body.Role, body.Permission})
+		_ = json.NewEncoder(w).Encode(map[string]bool{"allowed": false})
+	}))
+	defer policyAPI.Close()
+	mux := http.NewServeMux()
+	(&Server{}).WithPolicy(policyclient.New(policyAPI.URL, "tok")).RegisterRoutes(mux)
+
+	for _, c := range []struct{ method, role string }{{"GET", "tenant_admin"}, {"POST", ""}} {
+		req := httptest.NewRequest(c.method, "/datev/exports", strings.NewReader("{}"))
+		req.Header.Set("X-User-Id", "u1")
+		req.Header.Set("X-Tenant-Slug", "acme")
+		if c.role != "" {
+			req.Header.Set("X-User-Role", c.role)
+		}
+		rec := httptest.NewRecorder()
+		mux.ServeHTTP(rec, req)
+		if rec.Code != http.StatusForbidden {
+			t.Fatalf("%s: erwartet 403, bekam %d", c.method, rec.Code)
+		}
+	}
+	want := []ask{{"tenant_admin", "connect.datev.read"}, {"user", "connect.datev.write"}}
+	if len(got) != 2 || got[0] != want[0] || got[1] != want[1] {
+		t.Fatalf("erwartet %v, bekam %v", want, got)
+	}
+}

connect/internal/statusapi/statusapi.go

@@ -22,8 +22,7 @@ type Server struct {
 
 // WithPolicy aktiviert RBAC-12: echte Rechtepruefung gegen Core (POST
 // /authorize), zusaetzlich zur bestehenden X-User-Id/X-Tenant-Slug-Pruefung.
-// Rolle ist mangels eigenem Rollenkonzept in Connect fest "user" (Uebergang,
-// wie beim restlichen Header-basierten Identitaetsmodell dieses Pakets).
+// Die Rolle kommt aus X-User-Role (setzt bearerauth aus dem Token), sonst "user".
 func (s *Server) WithPolicy(client *policyclient.Client) *Server {
 	s.policy = client
 	return s
@@ -40,7 +39,7 @@ func (s *Server) RegisterRoutes(mux *http.ServeMux) {
 func (s *Server) requirePermission(permission string, next func(w http.ResponseWriter, r *http.Request, tenantSlug string)) func(w http.ResponseWriter, r *http.Request, tenantSlug string) {
 	return func(w http.ResponseWriter, r *http.Request, tenantSlug string) {
 		if s.policy != nil {
-			allowed, err := s.policy.Allowed(r.Context(), tenantSlug, "user", permission)
+			allowed, err := s.policy.Allowed(r.Context(), tenantSlug, roleOf(r), permission)
 			if err != nil {
 				writeError(w, http.StatusServiceUnavailable, "berechtigungsdienst nicht erreichbar")
 				return
@@ -54,6 +53,13 @@ func (s *Server) requirePermission(permission string, next func(w http.ResponseW
 	}
 }
 
+func roleOf(r *http.Request) string {
+	if role := r.Header.Get("X-User-Role"); role != "" {
+		return role
+	}
+	return "user"
+}
+
 func (s *Server) requireIdentity(next func(w http.ResponseWriter, r *http.Request, tenantSlug string)) http.HandlerFunc {
 	return func(w http.ResponseWriter, r *http.Request) {
 		if r.Header.Get("X-User-Id") == "" {

connect/internal/statusapi/statusapi_policy_test.go

@@ -60,3 +60,32 @@ func TestHandleList_PolicyAllows_Passes(t *testing.T) {
 		t.Fatalf("erwartet 200 mit berechtigung, bekam %d: %s", rec.Code, rec.Body.String())
 	}
 }
+
+func TestHandleList_RoleFromHeaderReachesPolicy(t *testing.T) {
+	var got []string
+	policyAPI := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		var body struct {
+			Role string `json:"role"`
+		}
+		_ = json.NewDecoder(r.Body).Decode(&body)
+		got = append(got, body.Role)
+		_ = json.NewEncoder(w).Encode(map[string]bool{"allowed": true})
+	}))
+	defer policyAPI.Close()
+	s := newTestServer(t).WithPolicy(policyclient.New(policyAPI.URL, "test-token"))
+	mux := http.NewServeMux()
+	s.RegisterRoutes(mux)
+
+	for _, role := range []string{"tenant_admin", ""} {
+		req := httptest.NewRequest("GET", "/connectors/status", nil)
+		req.Header.Set("X-User-Id", "u1")
+		req.Header.Set("X-Tenant-Slug", "acme")
+		if role != "" {
+			req.Header.Set("X-User-Role", role)
+		}
+		mux.ServeHTTP(httptest.NewRecorder(), req)
+	}
+	if len(got) != 2 || got[0] != "tenant_admin" || got[1] != "user" {
+		t.Fatalf("erwartet [tenant_admin user], bekam %v", got)
+	}
+}

docs/ARBEITSKARTEN.md

@@ -71,9 +71,11 @@ Offene PRs, die auf Merge warten, stehen unter C-01. Merge-Reihenfolge: erst DB-
 
 ## D. Portal-Betrieb (Stand 2026-10-28)
 - D-01 Portal-UI (PR #409) und account-api-Start (PR #410): gemergt.
-- D-02 Portal auf 131: gebaut, Unit und nginx/nft offen, siehe `docs/BETRIEB-PORTAL.md`.
-- D-03 account-api auf 131: DB-Passwort `nexarch_core` abgleichen (Betreiber), Unit aus Vorlage erneuern.
+- D-02 Portal auf 131: eingerichtet mit `deploy/131-portal-einrichten.sh` (#424): Unit `nexarch-web-portal`, Port 8450, CORS am Core, Audience `portal`. Offen: Anmeldung im Browser testen.
+- D-03 account-api auf 131: erledigt, Passwort der Rolle `nexarch_core` abgeglichen (2026-10-29). Offen: `NEXARCH_ACCOUNT_REGISTRY_DSN` fehlt (Sperr-Ereignisse nicht im zentralen Audit-Log).
 - D-04 204: localhost-Adressen in connect/connect-datev/rbac-admin behoben; Port 3113 offen.
 - D-05 Frontends auf Bearer: workflow-approvals, workflow-tasks, workflow-cases, routing-rules, Portal-BFF (PR #412, #413), mail-search (#416), connect-setup, connect-status, datev-export, dms2-import mit `connect-app`-Prüfung (#419); gemeinsamer Helfer `createBearerClient` in `@nexarch/shl` (#417). Offen: Ende-zu-Ende-Test mit Anmeldung auf 204; CORS für `Authorization` an der Connect-API auf 131; `connect` in `NEXARCH_ACCOUNT_MODULE_AUDIENCES`; `NEXARCH_CONNECT_APP_JWKS_URL` und `_TENANT_SLUG` setzen; danach `NEXARCH_WORKFLOW_APP_ALLOW_HEADER_AUTH` und `NEXARCH_CONNECT_APP_ALLOW_HEADER_AUTH` entfernen.
 - D-06 Workflow-Demo auf 204 läuft (siehe `docs/BETRIEB-PORTAL.md`).
 - D-07 Issue #369 (RBAC in ai-search, workflow-tasks, connect-setup): gemergt (#418, #420). Rolle kommt als `X-User-Role` aus dem Token; `connect.setup.write` nur `tenant_admin`. Dienste starten ohne `NEXARCH_{AI,WORKFLOW,CONNECT}_APP_POLICY_URL` nicht (Übergang: `…_POLICY_DISABLED=1`). Offen: Migration 0029 auf allen Mandanten-DBs einspielen, bevor die Binaries ausgerollt werden; `statusapi` fragt weiter mit fester Rolle `user`; `bearerauth` liegt doppelt (workflow, connect) und gehört nach `common/`; `datevapi` ist in `connect-app` nicht registriert.
+- D-08 Login und Portal (#422, #423): nach der Anmeldung direkt ins Portal (`NEXT_PUBLIC_PORTAL_URL`, ohne Rücksprung-URL wegen Open-Redirect); Betriebszustand an den Kacheln, nur für `core.tenant.admin` sichtbar, braucht `PORTAL_STATUS_API_URL`. Offen: Statusdienst-Demo auf 204.
+- D-09 Archive-Jobs auf 131 (2026-10-29): `backup-full` scheiterte mit falschem Passwort der Rolle `nexarch_backup`, `backup-incremental` als Folge; `reconcile` und `scrub` zeigten auf die Test-DB `dms_tenant_test` und liefen auf `file_revisions`-Fehler. Behoben: Passwort abgeglichen, DSN und Storage-Pfad auf die DB von `dms-app` (`tenant_rollout_test`), `scrub_state` angelegt. Offen: eigene Leserolle statt `dms_app`; klären, ob `tenant_rollout_test` die endgültige Mandanten-DB ist; Dauer des Backup-Ausfalls unbekannt (Fehlstarts seit mindestens 22.10.).

workflow/cmd/workflow-app/main.go

@@ -16,6 +16,7 @@ import (
 
 	"github.com/jackc/pgx/v5/pgxpool"
 
+	"gitea.perlbach24.de/scripte/nexarch/common/bearerauth"
 	"gitea.perlbach24.de/scripte/nexarch/common/moduleauth"
 	"gitea.perlbach24.de/scripte/nexarch/common/policyclient"
 	"gitea.perlbach24.de/scripte/nexarch/common/tenantregistryclient"
@@ -23,7 +24,6 @@ import (
 	"gitea.perlbach24.de/scripte/nexarch/workflow/internal/approvalapi"
 	"gitea.perlbach24.de/scripte/nexarch/workflow/internal/backchannel"
 	"gitea.perlbach24.de/scripte/nexarch/workflow/internal/backchannelapi"
-	"gitea.perlbach24.de/scripte/nexarch/workflow/internal/bearerauth"
 	"gitea.perlbach24.de/scripte/nexarch/workflow/internal/caseapi"
 	"gitea.perlbach24.de/scripte/nexarch/workflow/internal/caseobj"
 	"gitea.perlbach24.de/scripte/nexarch/workflow/internal/caseoverview"

workflow/docs/TESTSTRATEGIE.md

@@ -64,8 +64,9 @@ aendert — **jede geaenderte `.go`-Datei muss von einer geaenderten oder neuen
 - **Auth-nahe Logik:** `workflow/internal/svcauth/` (Service-Token-Vergleich in
   konstanter Zeit), `workflow/internal/moduleadapter/` (prueft `X-Service-Token`
   gegen `svcauth.Equal` — der tatsaechliche Durchsetzungspunkt),
-  `workflow/internal/bearerauth/` (prueft das Bearer-Token der Frontends gegen
-  die Core-JWKS; `X-User-Id` nur noch ueber den Uebergangsschalter)
+  `common/bearerauth/` (prueft das Bearer-Token der Frontends gegen die
+  Core-JWKS; `X-User-Id` nur noch ueber den Uebergangsschalter; Gate im
+  common-Modul)
 - **Tenant-Scoping:** `workflow/internal/tenantregistryclient/` (fragt Core TEN-01,
   muss bei Fehler fail-closed bleiben), `workflow/internal/backchannel/` und
   `workflow/internal/backchannelapi/` (extern erreichbarer Eingang, der den

workflow/go.mod

@@ -3,7 +3,7 @@ module gitea.perlbach24.de/scripte/nexarch/workflow
 go 1.25.0
 
 require (
-	gitea.perlbach24.de/scripte/nexarch/common v0.2.1
+	gitea.perlbach24.de/scripte/nexarch/common v0.2.2
 	github.com/jackc/pgx/v5 v5.9.2
 )
 

workflow/go.sum

@@ -1,5 +1,5 @@
-gitea.perlbach24.de/scripte/nexarch/common v0.2.1 h1:vIreSocK/F4+uid+lZ7u0CSNlPFvA1N7A77k+RhNeAc=
-gitea.perlbach24.de/scripte/nexarch/common v0.2.1/go.mod h1:CiEImG++QMt1xZqSMeDJhPiB7sfWTLZOwjS6OY/Iguc=
+gitea.perlbach24.de/scripte/nexarch/common v0.2.2 h1:PupmTMm3xysOP8J+zgqRAgwro1XlaQn0njsuUgbqN14=
+gitea.perlbach24.de/scripte/nexarch/common v0.2.2/go.mod h1:CiEImG++QMt1xZqSMeDJhPiB7sfWTLZOwjS6OY/Iguc=
 github.com/davecgh/go-spew v1.1.0/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
 github.com/davecgh/go-spew v1.1.1 h1:vj9j/u1bqnvCEfJOwUhtlOARqs3+rkHYY13jYWTU97c=
 github.com/davecgh/go-spew v1.1.1/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=

workflow/internal/bearerauth/bearerauth.go

@@ -1,71 +0,0 @@
-// Package bearerauth setzt die Identitaet der Workflow-APIs aus einem
-// verifizierten Core-Modul-Token. Die Handler lesen weiter X-User-Id und
-// X-Tenant-Slug; die Middleware ueberschreibt beide aus den Claims, sodass ein
-// Client sie nicht frei setzen kann. X-User-Role kommt nur aus dem Token.
-package bearerauth
-
-import (
-	"encoding/json"
-	"errors"
-	"net/http"
-	"strings"
-
-	"gitea.perlbach24.de/scripte/nexarch/common/moduleauth"
-)
-
-const (
-	headerUser   = "X-User-Id"
-	headerTenant = "X-Tenant-Slug"
-	headerRole   = "X-User-Role"
-)
-
-// Middleware verlangt fuer Anfragen mit Authorization: Bearer ein gueltiges
-// Token. Ohne Bearer werden X-User-Id und X-Tenant-Slug entfernt, ausser
-// allowHeaderAuth ist gesetzt (Uebergang, bis alle Clients Bearer senden).
-func Middleware(v *moduleauth.Verifier, allowHeaderAuth bool, next http.Handler) http.Handler {
-	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
-		r.Header.Del(headerRole)
-		token, ok := bearer(r)
-		if !ok {
-			if !allowHeaderAuth {
-				r.Header.Del(headerUser)
-				r.Header.Del(headerTenant)
-			}
-			next.ServeHTTP(w, r)
-			return
-		}
-		if v == nil {
-			writeError(w, http.StatusUnauthorized, "nicht angemeldet")
-			return
-		}
-		claims, err := v.Verify(r.Context(), token)
-		if err != nil {
-			if errors.Is(err, moduleauth.ErrInvalidToken) {
-				writeError(w, http.StatusUnauthorized, "nicht angemeldet")
-			} else {
-				writeError(w, http.StatusServiceUnavailable, "identitaetsdienst nicht erreichbar")
-			}
-			return
-		}
-		r.Header.Set(headerUser, claims.Subject)
-		r.Header.Set(headerTenant, claims.Tenant)
-		if claims.Role != "" {
-			r.Header.Set(headerRole, claims.Role)
-		}
-		next.ServeHTTP(w, r)
-	})
-}
-
-func bearer(r *http.Request) (string, bool) {
-	h := r.Header.Get("Authorization")
-	if len(h) > 7 && strings.EqualFold(h[:7], "bearer ") {
-		return strings.TrimSpace(h[7:]), true
-	}
-	return "", false
-}
-
-func writeError(w http.ResponseWriter, status int, message string) {
-	w.Header().Set("Content-Type", "application/json")
-	w.WriteHeader(status)
-	_ = json.NewEncoder(w).Encode(map[string]string{"error": message})
-}

workflow/internal/bearerauth/bearerauth_test.go

@@ -1,75 +0,0 @@
-package bearerauth
-
-import (
-	"net/http"
-	"net/http/httptest"
-	"testing"
-
-	"gitea.perlbach24.de/scripte/nexarch/common/moduleauth"
-)
-
-func echo() http.Handler {
-	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
-		_, _ = w.Write([]byte(r.Header.Get("X-User-Id") + "|" + r.Header.Get("X-Tenant-Slug") + "|" + r.Header.Get("X-User-Role")))
-	})
-}
-
-func do(h http.Handler, hdr map[string]string) *httptest.ResponseRecorder {
-	req := httptest.NewRequest(http.MethodGet, "/x", nil)
-	for k, v := range hdr {
-		req.Header.Set(k, v)
-	}
-	rec := httptest.NewRecorder()
-	h.ServeHTTP(rec, req)
-	return rec
-}
-
-func TestBearerOverridesClientSuppliedHeaders(t *testing.T) {
-	v, iss := moduleauth.NewTestVerifierAndIssuer()
-	h := Middleware(v, false, echo())
-	rec := do(h, map[string]string{
-		"Authorization": "Bearer " + iss.Token("u1", "acme", "user", "", ""),
-		"X-User-Id":     "fremd", "X-Tenant-Slug": "fremd",
-	})
-	if rec.Code != 200 || rec.Body.String() != "u1|acme|user" {
-		t.Fatalf("code=%d body=%q", rec.Code, rec.Body.String())
-	}
-}
-
-func TestInvalidBearerIs401(t *testing.T) {
-	v, _ := moduleauth.NewTestVerifierAndIssuer()
-	_, other := moduleauth.NewTestVerifierAndIssuer()
-	h := Middleware(v, true, echo())
-	if rec := do(h, map[string]string{"Authorization": "Bearer " + other.Token("u1", "acme", "user", "", ""), "X-User-Id": "evil"}); rec.Code != 401 {
-		t.Fatalf("code=%d", rec.Code)
-	}
-	if rec := do(Middleware(nil, true, echo()), map[string]string{"Authorization": "Bearer x.y.z"}); rec.Code != 401 {
-		t.Fatalf("ohne Verifier code=%d", rec.Code)
-	}
-}
-
-func TestWithoutBearerHeadersStrippedUnlessAllowed(t *testing.T) {
-	v, _ := moduleauth.NewTestVerifierAndIssuer()
-	hdr := map[string]string{"X-User-Id": "u9", "X-Tenant-Slug": "t9"}
-	if rec := do(Middleware(v, false, echo()), hdr); rec.Body.String() != "||" {
-		t.Fatalf("Header muessen entfernt werden, bekam %q", rec.Body.String())
-	}
-	if rec := do(Middleware(v, true, echo()), hdr); rec.Body.String() != "u9|t9|" {
-		t.Fatalf("Uebergangsmodus muss Header durchlassen, bekam %q", rec.Body.String())
-	}
-}
-
-func TestRoleOnlyFromToken(t *testing.T) {
-	v, iss := moduleauth.NewTestVerifierAndIssuer()
-	h := Middleware(v, true, echo())
-	rec := do(h, map[string]string{
-		"Authorization": "Bearer " + iss.Token("u1", "acme", "tenant_admin", "", ""),
-		"X-User-Role":   "tenant_admin_fremd",
-	})
-	if rec.Body.String() != "u1|acme|tenant_admin" {
-		t.Fatalf("Rolle muss aus dem Token kommen, bekam %q", rec.Body.String())
-	}
-	if rec := do(h, map[string]string{"X-User-Role": "tenant_admin"}); rec.Body.String() != "||" {
-		t.Fatalf("Rolle ohne Token muss entfernt werden, bekam %q", rec.Body.String())
-	}
-}

workflow/internal/pflichttestgate/gate.go

@@ -18,7 +18,6 @@ import (
 // workflow/docs/TESTSTRATEGIE.md Abschnitt 4.
 var sensitivePathPatterns = []*regexp.Regexp{
 	regexp.MustCompile(`(^|/)workflow/internal/moduleadapter/`),
-	regexp.MustCompile(`(^|/)workflow/internal/bearerauth/`),
 	regexp.MustCompile(`(^|/)workflow/internal/backchannel/`),
 	regexp.MustCompile(`(^|/)workflow/internal/backchannelapi/`),
 	regexp.MustCompile(`(^|/)workflow/internal/dualcheck/`),

workflow/internal/pflichttestgate/gate_test.go

@@ -35,7 +35,6 @@ func TestCheckDiff_IgnoresNonSensitivePaths(t *testing.T) {
 func TestCheckDiff_CoversAllSensitivePackages(t *testing.T) {
 	files := []string{
 		"workflow/internal/moduleadapter/x.go",
-		"workflow/internal/bearerauth/x.go",
 		"workflow/internal/backchannel/x.go",
 		"workflow/internal/backchannelapi/x.go",
 		"workflow/internal/dualcheck/x.go",
@@ -46,10 +45,3 @@ func TestCheckDiff_CoversAllSensitivePackages(t *testing.T) {
 		t.Fatalf("erwartet %d verstoesse (je package einer), habe %d: %+v", len(files), len(violations), violations)
 	}
 }
-
-func TestCheckDiff_FlagsBearerAuthChangeWithoutTest(t *testing.T) {
-	violations := CheckDiff([]string{"workflow/internal/bearerauth/bearerauth.go"})
-	if len(violations) != 1 || violations[0].Package != "workflow/internal/bearerauth" {
-		t.Fatalf("erwartet 1 verstoss fuer bearerauth, habe: %+v", violations)
-	}
-}