docs: Funktionsvergleich Alfresco gegen NEXARCH mit Kartenvorschlaegen

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

connect/cmd/connect-app/main.go

@@ -18,9 +18,12 @@ import (
 	"gitea.perlbach24.de/scripte/nexarch/common/bearerauth"
 	"gitea.perlbach24.de/scripte/nexarch/common/moduleauth"
 	"gitea.perlbach24.de/scripte/nexarch/common/policyclient"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/archiveclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/connectorsetupapi"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/credential"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/crypto"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/datevapi"
+	"gitea.perlbach24.de/scripte/nexarch/connect/internal/datevexport"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/dms2import"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/dms2importapi"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/fieldmapping"
@@ -56,6 +59,25 @@ func buildPolicyClient() *policyclient.Client {
 	return policyclient.New(policyURL, token)
 }
 
+// buildDatevExports liefert nil ohne NEXARCH_CONNECT_APP_ARCHIVE_URL; dann ist
+// /datev/exports nicht registriert. Die DATEV-Uebertragung ist hier nicht verdrahtet.
+func buildDatevExports(pool *pgxpool.Pool) *datevexport.Store {
+	archiveURL := os.Getenv("NEXARCH_CONNECT_APP_ARCHIVE_URL")
+	if archiveURL == "" {
+		log.Print("connect-app: NEXARCH_CONNECT_APP_ARCHIVE_URL fehlt, /datev/exports nicht registriert")
+		return nil
+	}
+	token := os.Getenv("NEXARCH_CONNECT_APP_ARCHIVE_SERVICE_TOKEN")
+	if token == "" {
+		log.Fatal("connect-app: NEXARCH_CONNECT_APP_ARCHIVE_SERVICE_TOKEN ist erforderlich, wenn NEXARCH_CONNECT_APP_ARCHIVE_URL gesetzt ist")
+	}
+	return &datevexport.Store{
+		Pool:        pool,
+		Archive:     archiveclient.New(archiveURL, token),
+		CallbackURL: os.Getenv("NEXARCH_CONNECT_APP_DATEV_CALLBACK_URL"),
+	}
+}
+
 func main() {
 	if !killswitch.Enabled() {
 		log.Printf("connect-app: deaktiviert (%s=false), kein Start", killswitch.EnvEnabled)
@@ -98,6 +120,9 @@ func main() {
 	statusapi.NewServer(syncjob.NewStore(pool)).WithPolicy(policy).RegisterRoutes(mux)
 	dms2importapi.NewServer(mappings, dms2import.NewStore(pool)).RegisterRoutes(mux)
 	connectorsetupapi.NewServer(credentials, mappings).WithPolicy(policy).RegisterRoutes(mux)
+	if exports := buildDatevExports(pool); exports != nil {
+		datevapi.NewServer(exports, nil).WithPolicy(policy).RegisterRoutes(mux)
+	}
 
 	srv := &http.Server{
 		Addr:              addr,

connect/internal/datevapi/datevapi.go

@@ -9,6 +9,7 @@ import (
 	"net/http"
 	"time"
 
+	"gitea.perlbach24.de/scripte/nexarch/common/policyclient"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/datevexport"
 	"gitea.perlbach24.de/scripte/nexarch/connect/internal/datevtransfer"
 )
@@ -16,6 +17,12 @@ import (
 type Server struct {
 	Exports   *datevexport.Store
 	Transfers *datevtransfer.Store
+	policy    *policyclient.Client
+}
+
+func (s *Server) WithPolicy(client *policyclient.Client) *Server {
+	s.policy = client
+	return s
 }
 
 func NewServer(exports *datevexport.Store, transfers *datevtransfer.Store) *Server {
@@ -23,8 +30,32 @@ func NewServer(exports *datevexport.Store, transfers *datevtransfer.Store) *Serv
 }
 
 func (s *Server) RegisterRoutes(mux *http.ServeMux) {
-	mux.HandleFunc("POST /datev/exports", s.requireIdentity(s.handleTrigger))
-	mux.HandleFunc("GET /datev/exports", s.requireIdentity(s.handleList))
+	mux.HandleFunc("POST /datev/exports", s.requireIdentity(s.requirePermission("connect.datev.write", s.handleTrigger)))
+	mux.HandleFunc("GET /datev/exports", s.requireIdentity(s.requirePermission("connect.datev.read", s.handleList)))
+}
+
+func (s *Server) requirePermission(permission string, next func(w http.ResponseWriter, r *http.Request, tenantSlug string)) func(w http.ResponseWriter, r *http.Request, tenantSlug string) {
+	return func(w http.ResponseWriter, r *http.Request, tenantSlug string) {
+		if s.policy != nil {
+			allowed, err := s.policy.Allowed(r.Context(), tenantSlug, roleOf(r), permission)
+			if err != nil {
+				writeError(w, http.StatusServiceUnavailable, "berechtigungsdienst nicht erreichbar")
+				return
+			}
+			if !allowed {
+				writeError(w, http.StatusForbidden, "keine berechtigung")
+				return
+			}
+		}
+		next(w, r, tenantSlug)
+	}
+}
+
+func roleOf(r *http.Request) string {
+	if role := r.Header.Get("X-User-Role"); role != "" {
+		return role
+	}
+	return "user"
 }
 
 func (s *Server) requireIdentity(next func(w http.ResponseWriter, r *http.Request, tenantSlug string)) http.HandlerFunc {

connect/internal/datevapi/datevapi_policy_test.go

@@ -0,0 +1,46 @@
+package datevapi
+
+import (
+	"encoding/json"
+	"net/http"
+	"net/http/httptest"
+	"strings"
+	"testing"
+
+	"gitea.perlbach24.de/scripte/nexarch/common/policyclient"
+)
+
+func TestPolicy_PermissionAndRoleReachCore(t *testing.T) {
+	type ask struct{ role, permission string }
+	var got []ask
+	policyAPI := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		var body struct {
+			Role       string `json:"role"`
+			Permission string `json:"permission"`
+		}
+		_ = json.NewDecoder(r.Body).Decode(&body)
+		got = append(got, ask{body.Role, body.Permission})
+		_ = json.NewEncoder(w).Encode(map[string]bool{"allowed": false})
+	}))
+	defer policyAPI.Close()
+	mux := http.NewServeMux()
+	(&Server{}).WithPolicy(policyclient.New(policyAPI.URL, "tok")).RegisterRoutes(mux)
+
+	for _, c := range []struct{ method, role string }{{"GET", "tenant_admin"}, {"POST", ""}} {
+		req := httptest.NewRequest(c.method, "/datev/exports", strings.NewReader("{}"))
+		req.Header.Set("X-User-Id", "u1")
+		req.Header.Set("X-Tenant-Slug", "acme")
+		if c.role != "" {
+			req.Header.Set("X-User-Role", c.role)
+		}
+		rec := httptest.NewRecorder()
+		mux.ServeHTTP(rec, req)
+		if rec.Code != http.StatusForbidden {
+			t.Fatalf("%s: erwartet 403, bekam %d", c.method, rec.Code)
+		}
+	}
+	want := []ask{{"tenant_admin", "connect.datev.read"}, {"user", "connect.datev.write"}}
+	if len(got) != 2 || got[0] != want[0] || got[1] != want[1] {
+		t.Fatalf("erwartet %v, bekam %v", want, got)
+	}
+}

connect/internal/statusapi/statusapi.go

@@ -22,8 +22,7 @@ type Server struct {
 
 // WithPolicy aktiviert RBAC-12: echte Rechtepruefung gegen Core (POST
 // /authorize), zusaetzlich zur bestehenden X-User-Id/X-Tenant-Slug-Pruefung.
-// Rolle ist mangels eigenem Rollenkonzept in Connect fest "user" (Uebergang,
-// wie beim restlichen Header-basierten Identitaetsmodell dieses Pakets).
+// Die Rolle kommt aus X-User-Role (setzt bearerauth aus dem Token), sonst "user".
 func (s *Server) WithPolicy(client *policyclient.Client) *Server {
 	s.policy = client
 	return s
@@ -40,7 +39,7 @@ func (s *Server) RegisterRoutes(mux *http.ServeMux) {
 func (s *Server) requirePermission(permission string, next func(w http.ResponseWriter, r *http.Request, tenantSlug string)) func(w http.ResponseWriter, r *http.Request, tenantSlug string) {
 	return func(w http.ResponseWriter, r *http.Request, tenantSlug string) {
 		if s.policy != nil {
-			allowed, err := s.policy.Allowed(r.Context(), tenantSlug, "user", permission)
+			allowed, err := s.policy.Allowed(r.Context(), tenantSlug, roleOf(r), permission)
 			if err != nil {
 				writeError(w, http.StatusServiceUnavailable, "berechtigungsdienst nicht erreichbar")
 				return
@@ -54,6 +53,13 @@ func (s *Server) requirePermission(permission string, next func(w http.ResponseW
 	}
 }
 
+func roleOf(r *http.Request) string {
+	if role := r.Header.Get("X-User-Role"); role != "" {
+		return role
+	}
+	return "user"
+}
+
 func (s *Server) requireIdentity(next func(w http.ResponseWriter, r *http.Request, tenantSlug string)) http.HandlerFunc {
 	return func(w http.ResponseWriter, r *http.Request) {
 		if r.Header.Get("X-User-Id") == "" {

connect/internal/statusapi/statusapi_policy_test.go

@@ -60,3 +60,32 @@ func TestHandleList_PolicyAllows_Passes(t *testing.T) {
 		t.Fatalf("erwartet 200 mit berechtigung, bekam %d: %s", rec.Code, rec.Body.String())
 	}
 }
+
+func TestHandleList_RoleFromHeaderReachesPolicy(t *testing.T) {
+	var got []string
+	policyAPI := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		var body struct {
+			Role string `json:"role"`
+		}
+		_ = json.NewDecoder(r.Body).Decode(&body)
+		got = append(got, body.Role)
+		_ = json.NewEncoder(w).Encode(map[string]bool{"allowed": true})
+	}))
+	defer policyAPI.Close()
+	s := newTestServer(t).WithPolicy(policyclient.New(policyAPI.URL, "test-token"))
+	mux := http.NewServeMux()
+	s.RegisterRoutes(mux)
+
+	for _, role := range []string{"tenant_admin", ""} {
+		req := httptest.NewRequest("GET", "/connectors/status", nil)
+		req.Header.Set("X-User-Id", "u1")
+		req.Header.Set("X-Tenant-Slug", "acme")
+		if role != "" {
+			req.Header.Set("X-User-Role", role)
+		}
+		mux.ServeHTTP(httptest.NewRecorder(), req)
+	}
+	if len(got) != 2 || got[0] != "tenant_admin" || got[1] != "user" {
+		t.Fatalf("erwartet [tenant_admin user], bekam %v", got)
+	}
+}

docs/ALFRESCO-VERGLEICH.md

@@ -0,0 +1,43 @@
+# Alfresco gegen NEXARCH (Stand 2026-11-03)
+
+Zweck: Funktionsumfang von Alfresco Content Services mit dem NEXARCH-Stand abgleichen und Lücken als Karten festhalten. Entscheidung des Users: kein Fork, kein Code von Alfresco. Nachgebaut wird in Go (Rust später, falls es messbar etwas bringt). Grundlage sind offene Standards (CMIS 1.1) und Alfrescos dokumentiertes Verhalten.
+
+Grenzen dieser Fassung:
+- Die Spalte „Alfresco“ stammt aus allgemeinem Wissen über Content Services; die Hyland-Doku ließ sich nicht automatisch auswerten.
+- Die Spalte „NEXARCH“ stammt aus den Paketnamen unter `dms/internal`, `archive/internal`, `workflow/internal`. Ob ein Paket den Umfang wirklich abdeckt, ist nicht geprüft. „Vorhanden“ heißt nur: Paket existiert.
+
+| Bereich | Alfresco | NEXARCH (Paket) | Einschätzung |
+|---|---|---|---|
+| Ordnerbaum, Dokumente | Knoten in Ordnern, Verknüpfungen | `folder`, `documentapi` | vorhanden |
+| Content-Modell | Typen, Aspekte, Eigenschaften, Constraints, Vererbung, per Modell-XML erweiterbar | `documenttype`, `metadatafield`, `metadataapi` | teilweise: Aspekte und Typ-Vererbung prüfen |
+| Versionierung | Haupt-/Nebenversion, Revert, Check-out/-in | `versioning`, `versioningapi` | vorhanden; Check-out/Sperren prüfen |
+| Rechte | ACL je Knoten, Vererbung, Gruppen | Core-RBAC, `authz` | teilweise: Rechte zentral im Core, ACL je Dokument prüfen |
+| Suche | Volltext (Solr/Search Services), Facetten | `searchindex`, `searchapi`, `searchsync`, `savedsearch` (Manticore) | vorhanden; Facetten prüfen |
+| Vorschau, Transformation | Renditions, Thumbnails, Konverter | `thumbnail`, `pdfconvert`, `pdfa`, `ocr` | vorhanden |
+| Regeln, Aktionen | Ordnerregeln, Trigger | `autorule`, `trigger`, `watchfolder` | vorhanden |
+| Workflow | Activiti/Process Services | Modul `workflow` (`approval`, `processdef`, `routingengine`) | vorhanden, eigenes Modell |
+| Records Management | Aufbewahrung, Disposition, Legal Hold, Dateiplan | Modul `archive` (`retention*`, `legalhold`, `wormstore`, `ediscovery`) | vorhanden, in Teilen weiter (WORM, GoBD) |
+| CMIS / REST | CMIS 1.1 (Atom/Browser), REST v1 | `cmis`, `openapi` | vorhanden: Bindings und Konformität prüfen |
+| Audit | Audit Application, Pfad-Filter | `audittrail`, `auditapi`, Core-Audit | vorhanden |
+| Mandanten | nur Enterprise, eingeschränkt | Core-Mandanten, Schema je Mandant | NEXARCH stärker |
+| Teilen | Share-Links, Quick Share | `sharelink`, `sharelinkapi` | vorhanden |
+| Papierkorb, Tags, Massenänderung | ja | `trash`, `tag`, `bulkedit` | vorhanden |
+| E-Mail-Import | IMAP-Anbindung | `mailimport`, Modul `mail` | vorhanden |
+| E-Rechnung | nein | `einvoice`, `pdfa` | NEXARCH zusätzlich |
+| Office-Bearbeitung online | WOPI/Collabora/OnlyOffice, AOS | nicht gefunden | **Lücke** |
+| Dateisystem-Anbindung | WebDAV, CIFS, FTP | nicht gefunden | **Lücke** |
+| Clustering, HA | Mehrknoten | `Skalierungskonzept` | zu prüfen |
+| Web-UI | Share, ADF/ACA | Next.js-Module | vorhanden, anderes Konzept |
+| Föderation, Sync-Client | Desktop-Sync | nicht gefunden | Lücke, vermutlich nicht nötig |
+
+## Vorschlag für Karten
+
+1. **E-01 CMIS-Konformität prüfen:** CMIS-TCK (offene Testsuite) gegen `dms/internal/cmis` laufen lassen, Ergebnis dokumentieren. Zeigt, wie nah wir an „Alfresco-kompatibel“ sind.
+2. **E-02 Content-Modell:** Aspekte, Typ-Vererbung, Constraints gegen Alfresco-Modell abgleichen.
+3. **E-03 ACL je Dokument:** prüfen, ob Core-Rechte pro Knoten reichen oder ein Knoten-ACL im DMS nötig ist.
+4. **E-04 WebDAV:** Anbindung als Dateisystem; nützlich für Importe und Office.
+5. **E-05 Online-Bearbeitung:** WOPI-Host für Collabora/OnlyOffice (Datenschutz: nur selbst gehostet).
+6. **E-06 Check-out/Sperren** prüfen.
+7. **E-07 Facettensuche** prüfen.
+
+Rust: erst wenn Messwerte (Content-Store, Hashing, Tokenizer) einen Engpass zeigen. Auf 131 und 204 ist nur Go installiert; Rust dort zu installieren braucht die Freigabe des Users.