RBAC-04: modul-scoped-berechtigungen

internal/policy/module_scope.go: policy_module_scopes verknuepft optional eine (role, permission)-Regel mit einem LIC-02-Feature-Flag. Enforcer. AuthorizeForTenant ist DIESELBE zentrale Entscheidungsfunktion wie Authorize (Akzeptanzkriterium 3, kein zweiter Enforcement-Mechanismus) — prueft zusaetzlich zur Grundregel, ob das verknuepfte Modul fuer den Tenant aktiv ist. Existiert kein ModuleScope-Eintrag, bleibt eine Regel wie bisher ohne Lizenzbindung gueltig (Kombinationsfall). GuardModuleScoped erweitert policy.Guard um dieselbe Pruefung. internal/flag (LIC-02) wurde 1:1 aus dem lic-02-Branch uebernommen (git show aus derselben Repo-Historie, keine Aenderung) — RBAC-04 haengt sowohl an RBAC-01/02 als auch an LIC-02, aber diese leben auf getrennten, noch nicht gemergten Feature-Branches ohne gemeinsame Historie. Fail-Safe-Verhalten aus LIC-02 greift automatisch: ein nicht konfiguriertes oder nicht erreichbares Feature-Flag gilt als deaktiviert, nie als aktiviert (sicherer Default fuer Modul-Aktivierungspruefungen). Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS): 1. Zugriff auf deaktiviertes Modul trotz passender Rolle abgewiesen — TestAuthorizeForTenant_DeniesWhenModuleNotActivated: GuardModuleScoped ruft die Query-Funktion nachweislich nicht auf. PASS. 2. Reaktivierung macht Berechtigung im laufenden Betrieb wirksam, kein Neustart — TestAuthorizeForTenant_BecomesActiveWithoutRestart: derselbe Enforcer/Service-Prozess, Flag per Store.Set aktiviert, TTL abgewartet, danach erlaubt. PASS. 3. Zusammenspiel Modul-Scope + Rollenscope in Kombinationsfaellen — TestAuthorizeForTenant_CombinationsOfRoleAndModuleScope: keine Regel -> verboten; Regel ohne Modul-Scope -> immer erlaubt; Regel mit Modul-Scope und Flag aus -> verboten; Flag an -> erlaubt. PASS. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
RBAC-02: policy-enforcement-schicht-zentral
2026-08-27 22:04:58 +02:00 · 2026-08-27 21:43:26 +02:00 · 2026-08-27 19:45:16 +02:00
46 changed files with 1288 additions and 1444 deletions
@@ -2,16 +2,13 @@ module gitea.perlbach24.de/scripte/nexarch
 go 1.22
-require (
+require github.com/jackc/pgx/v5 v5.6.0
 	github.com/golang-jwt/jwt/v5 v5.3.1
 	github.com/jackc/pgx/v5 v5.6.0
 	golang.org/x/crypto v0.17.0
 )
 require (
 	github.com/jackc/pgpassfile v1.0.0 // indirect
 	github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a // indirect
 	github.com/jackc/puddle/v2 v2.2.1 // indirect
 	golang.org/x/crypto v0.17.0 // indirect
 	golang.org/x/sync v0.1.0 // indirect
 	golang.org/x/text v0.14.0 // indirect
 )
@@ -1,8 +1,6 @@
 github.com/davecgh/go-spew v1.1.0/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
 github.com/davecgh/go-spew v1.1.1 h1:vj9j/u1bqnvCEfJOwUhtlOARqs3+rkHYY13jYWTU97c=
 github.com/davecgh/go-spew v1.1.1/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
 github.com/golang-jwt/jwt/v5 v5.3.1 h1:kYf81DTWFe7t+1VvL7eS+jKFVWaUnK9cB1qbwn63YCY=
 github.com/golang-jwt/jwt/v5 v5.3.1/go.mod h1:fxCRLWMO43lRc8nhHWY6LGqRcf+1gQWArsqaEUEa5bE=
 github.com/jackc/pgpassfile v1.0.0 h1:/6Hmqy13Ss2zCq62VdNG8tM1wchn8zjSGOBJ6icpsIM=
 github.com/jackc/pgpassfile v1.0.0/go.mod h1:CEx0iS5ambNFdcRtxPj5JhEz+xB6uRky5eyVu/W2HEg=
 github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a h1:bbPeKD0xmW/Y25WS6cokEszi5g+S0QxI/d45PkRi7Nk=
@@ -1,20 +0,0 @@
 package apiserver
 import "context"
 type contextKey int
 const requestContextKey contextKey = iota
 // RequestContext ist der Tenant-/Benutzerkontext, den die Middleware-Kette
 // fuer nachgelagerte Handler bereitstellt (Akzeptanzkriterium 3).
 type RequestContext struct {
 	UserID     string
 	TenantSlug string
 }
 // FromContext liest den von der Middleware gesetzten Kontext.
 func FromContext(ctx context.Context) (RequestContext, bool) {
 	rc, ok := ctx.Value(requestContextKey).(RequestContext)
 	return rc, ok
 }
@@ -1,31 +0,0 @@
 // Package apiserver implementiert Core API-01: das REST-Grundgerüst mit
 // URL-Versionierung, einheitlichem Fehlerformat und Middleware-Kette
 // (Auth, Tenant-/Benutzerkontext, Logging).
 package apiserver
 import (
 	"encoding/json"
 	"net/http"
 )
 // errorBody ist das EINE Fehlerschema fuer alle Endpunkte unter /api/{version}/
 // (Akzeptanzkriterium 2).
 type errorBody struct {
 	Error struct {
 		Code    string `json:"code"`
 		Message string `json:"message"`
 	} `json:"error"`
 }
 // WriteError schreibt einen Fehler im einheitlichen Schema. code ist ein
 // stabiler, maschinenlesbarer Bezeichner (z.B. "unauthenticated"), message
 // ein fuer Menschen lesbarer deutscher Text.
 func WriteError(w http.ResponseWriter, status int, code, message string) {
 	var body errorBody
 	body.Error.Code = code
 	body.Error.Message = message
 	w.Header().Set("Content-Type", "application/json")
 	w.WriteHeader(status)
 	_ = json.NewEncoder(w).Encode(body)
 }
@@ -1,56 +0,0 @@
 package apiserver
 import (
 	"context"
 	"log/slog"
 	"net/http"
 	"time"
 	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
 )
 // authAndTenantContext prueft die Session (wiederverwendet auth.TokenIssuer.Verify
 // aus IAM-02 — keine zweite JWT-Implementierung) und setzt bei Erfolg
 // RequestContext fuer nachgelagerte Handler (Akzeptanzkriterium 3). Anders
 // als auth.RequireAuth (Klartext-Fehler) antwortet diese Middleware im
 // einheitlichen API-01-Fehlerschema (Akzeptanzkriterium 2), damit ALLE
 // Endpunkte unter /api/{version}/ dasselbe Format liefern, auch bei
 // Auth-Fehlern.
 func authAndTenantContext(issuer *auth.TokenIssuer, next http.HandlerFunc) http.HandlerFunc {
 	return func(w http.ResponseWriter, r *http.Request) {
 		cookie, err := r.Cookie(auth.CookieName)
 		if err != nil {
 			WriteError(w, http.StatusUnauthorized, "unauthenticated", "nicht angemeldet")
 			return
 		}
 		claims, err := issuer.Verify(cookie.Value)
 		if err != nil {
 			WriteError(w, http.StatusUnauthorized, "unauthenticated", "nicht angemeldet")
 			return
 		}
 		rc := RequestContext{UserID: claims.UserID, TenantSlug: claims.TenantSlug}
 		next(w, r.WithContext(context.WithValue(r.Context(), requestContextKey, rc)))
 	}
 }
 type statusRecorder struct {
 	http.ResponseWriter
 	status int
 }
 func (s *statusRecorder) WriteHeader(code int) {
 	s.status = code
 	s.ResponseWriter.WriteHeader(code)
 }
 // loggingMiddleware protokolliert jede Anfrage strukturiert.
 func loggingMiddleware(next http.HandlerFunc) http.HandlerFunc {
 	return func(w http.ResponseWriter, r *http.Request) {
 		rec := &statusRecorder{ResponseWriter: w, status: http.StatusOK}
 		start := time.Now()
 		next(rec, r)
 		slog.Info("api-anfrage", "method", r.Method, "path", r.URL.Path, "status", rec.status, "dauer", time.Since(start))
 	}
 }
@@ -1,37 +0,0 @@
 package apiserver
 import (
 	"net/http"
 	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
 )
 // Server registriert versionierte API-Routen (Akzeptanzkriterium 1: unter
 // /api/{version}/...) und verdrahtet fuer jede Route dieselbe Middleware-
 // Kette (Logging -> Auth+Tenantkontext -> Handler).
 type Server struct {
 	mux    *http.ServeMux
 	issuer *auth.TokenIssuer
 }
 func NewServer(issuer *auth.TokenIssuer) *Server {
 	return &Server{mux: http.NewServeMux(), issuer: issuer}
 }
 // Handle registriert pattern unter der angegebenen Version, z.B.
 // Handle("v1", "/things", h) -> erreichbar unter /api/v1/things. Verschiedene
 // Versionen sind unabhaengige Pfade — eine neue Version beeintraechtigt
 // bestehende nicht (Akzeptanzkriterium 1 / Pruefung 3).
 func (s *Server) Handle(version, pattern string, h http.HandlerFunc) {
 	full := "/api/" + version + pattern
 	s.mux.HandleFunc(full, loggingMiddleware(authAndTenantContext(s.issuer, h)))
 }
 // HandleV1 ist die Kurzform fuer die aktuelle Hauptversion.
 func (s *Server) HandleV1(pattern string, h http.HandlerFunc) {
 	s.Handle("v1", pattern, h)
 }
 func (s *Server) Handler() http.Handler {
 	return s.mux
 }
@@ -1,149 +0,0 @@
 package apiserver
 import (
 	"encoding/json"
 	"net/http"
 	"net/http/httptest"
 	"testing"
 	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
 )
 func newTestServer() (*Server, *auth.TokenIssuer) {
 	issuer := auth.NewTokenIssuer("test-secret-nur-fuer-tests")
 	return NewServer(issuer), issuer
 }
 func withAuthCookie(req *http.Request, token string) *http.Request {
 	req.AddCookie(&http.Cookie{Name: auth.CookieName, Value: token})
 	return req
 }
 // Akzeptanzkriterium 1: API unter versioniertem Pfad erreichbar.
 func TestHandleV1_RegistersUnderVersionedPath(t *testing.T) {
 	srv, issuer := newTestServer()
 	srv.HandleV1("/things", func(w http.ResponseWriter, r *http.Request) {
 		w.WriteHeader(http.StatusOK)
 	})
 	token, err := issuer.Issue("user-1", "acme")
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	req := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/things", nil), token)
 	rec := httptest.NewRecorder()
 	srv.Handler().ServeHTTP(rec, req)
 	if rec.Code != http.StatusOK {
 		t.Fatalf("status = %d, want 200", rec.Code)
 	}
 }
 // Akzeptanzkriterium 2 + Pruefung 1 (Stichprobe): mehrere Endpunkte liefern
 // bei fehlerhafter Anfrage dasselbe Fehlerschema.
 func TestErrorFormat_ConsistentAcrossEndpoints(t *testing.T) {
 	srv, _ := newTestServer()
 	srv.HandleV1("/endpunkt-a", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
 	srv.HandleV1("/endpunkt-b", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
 	for _, path := range []string{"/api/v1/endpunkt-a", "/api/v1/endpunkt-b"} {
 		req := httptest.NewRequest(http.MethodGet, path, nil) // ohne cookie -> 401
 		rec := httptest.NewRecorder()
 		srv.Handler().ServeHTTP(rec, req)
 		if rec.Code != http.StatusUnauthorized {
 			t.Fatalf("%s: status = %d, want 401", path, rec.Code)
 		}
 		var body errorBody
 		if err := json.Unmarshal(rec.Body.Bytes(), &body); err != nil {
 			t.Fatalf("%s: fehlerantwort nicht im erwarteten json-schema: %v (body: %s)", path, err, rec.Body.String())
 		}
 		if body.Error.Code == "" || body.Error.Message == "" {
 			t.Fatalf("%s: erwartet nicht-leeren code/message, habe %+v", path, body)
 		}
 	}
 }
 // Akzeptanzkriterium 3 + Pruefung 2: Middleware-Kette setzt Tenant-/
 // Benutzerkontext zuverlaessig, nachweislich fuer mehrere Endpunkte.
 func TestMiddleware_SetsRequestContextForEveryEndpoint(t *testing.T) {
 	srv, issuer := newTestServer()
 	var gotA, gotB RequestContext
 	srv.HandleV1("/kontext-a", func(w http.ResponseWriter, r *http.Request) {
 		gotA, _ = FromContext(r.Context())
 		w.WriteHeader(http.StatusOK)
 	})
 	srv.HandleV1("/kontext-b", func(w http.ResponseWriter, r *http.Request) {
 		gotB, _ = FromContext(r.Context())
 		w.WriteHeader(http.StatusOK)
 	})
 	token, err := issuer.Issue("user-42", "tenant-x")
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	for path, got := range map[string]*RequestContext{"/api/v1/kontext-a": &gotA, "/api/v1/kontext-b": &gotB} {
 		req := withAuthCookie(httptest.NewRequest(http.MethodGet, path, nil), token)
 		rec := httptest.NewRecorder()
 		srv.Handler().ServeHTTP(rec, req)
 		if rec.Code != http.StatusOK {
 			t.Fatalf("%s: status = %d, want 200", path, rec.Code)
 		}
 		if got.UserID != "user-42" || got.TenantSlug != "tenant-x" {
 			t.Fatalf("%s: request-context unerwartet: %+v", path, *got)
 		}
 	}
 }
 // Akzeptanzkriterium 1 + Pruefung 3: eine neue v2-Route laesst sich anlegen,
 // ohne v1 zu beeintraechtigen.
 func TestVersioning_V2DoesNotAffectV1(t *testing.T) {
 	srv, issuer := newTestServer()
 	srv.HandleV1("/things", func(w http.ResponseWriter, r *http.Request) {
 		w.Write([]byte("v1-antwort"))
 	})
 	srv.Handle("v2", "/things", func(w http.ResponseWriter, r *http.Request) {
 		w.Write([]byte("v2-antwort"))
 	})
 	token, err := issuer.Issue("user-1", "acme")
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	reqV1 := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/things", nil), token)
 	recV1 := httptest.NewRecorder()
 	srv.Handler().ServeHTTP(recV1, reqV1)
 	if recV1.Body.String() != "v1-antwort" {
 		t.Fatalf("v1 antwort = %q, want v1-antwort", recV1.Body.String())
 	}
 	reqV2 := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v2/things", nil), token)
 	recV2 := httptest.NewRecorder()
 	srv.Handler().ServeHTTP(recV2, reqV2)
 	if recV2.Body.String() != "v2-antwort" {
 		t.Fatalf("v2 antwort = %q, want v2-antwort", recV2.Body.String())
 	}
 	// v1 nach dem Anlegen von v2 erneut pruefen — unveraendert.
 	reqV1Again := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/things", nil), token)
 	recV1Again := httptest.NewRecorder()
 	srv.Handler().ServeHTTP(recV1Again, reqV1Again)
 	if recV1Again.Body.String() != "v1-antwort" {
 		t.Fatalf("v1 antwort nach v2-anlage = %q, want weiterhin v1-antwort", recV1Again.Body.String())
 	}
 }
 func TestAuthAndTenantContext_RejectsInvalidToken(t *testing.T) {
 	srv, _ := newTestServer()
 	srv.HandleV1("/geschuetzt", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
 	req := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/geschuetzt", nil), "kaputtes.token.hier")
 	rec := httptest.NewRecorder()
 	srv.Handler().ServeHTTP(rec, req)
 	if rec.Code != http.StatusUnauthorized {
 		t.Fatalf("status = %d, want 401", rec.Code)
 	}
 }
@@ -1,67 +0,0 @@
 package auth
 import (
 	"encoding/json"
 	"net/http"
 	"time"
 )
 // Handler stellt Login/Logout als HTTP-Endpunkte bereit. Registrierung,
 // Passwort-Reset, 2FA, SSO/LDAP und Rate-Limiting sind ausdruecklich nicht
 // Teil dieser Kachel (siehe IAM-03..07).
 type Handler struct {
 	login *LoginService
 }
 func NewHandler(login *LoginService) *Handler {
 	return &Handler{login: login}
 }
 type loginRequest struct {
 	Email    string `json:"email"`
 	Password string `json:"password"`
 }
 func (h *Handler) Login(w http.ResponseWriter, r *http.Request) {
 	var req loginRequest
 	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
 		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
 		return
 	}
 	token, err := h.login.Login(r.Context(), req.Email, req.Password)
 	if err != nil {
 		http.Error(w, ErrInvalidCredentials.Error(), http.StatusUnauthorized)
 		return
 	}
 	http.SetCookie(w, &http.Cookie{
 		Name:     CookieName,
 		Value:    token,
 		Path:     "/",
 		HttpOnly: true,
 		Secure:   true,
 		SameSite: http.SameSiteStrictMode,
 		MaxAge:   int(AccessTokenTTL.Seconds()),
 	})
 	w.WriteHeader(http.StatusOK)
 }
 // Logout loescht das Session-Cookie. Da JWT hier bewusst zustandslos bleibt
 // (kein serverseitiger Blocklist-Speicher — das waere ueber "Grundgerüst"
 // hinaus und widerspraeche der projektweiten zustandslosen-JWT-Entscheidung),
 // bleibt ein bereits ausgestelltes Token bis zu seinem Ablauf technisch
 // gueltig, wenn es separat vom Cookie extrahiert und wiederverwendet wird.
 func (h *Handler) Logout(w http.ResponseWriter, r *http.Request) {
 	http.SetCookie(w, &http.Cookie{
 		Name:     CookieName,
 		Value:    "",
 		Path:     "/",
 		HttpOnly: true,
 		Secure:   true,
 		SameSite: http.SameSiteStrictMode,
 		MaxAge:   -1,
 		Expires:  time.Unix(0, 0),
 	})
 	w.WriteHeader(http.StatusOK)
 }
@@ -1,56 +0,0 @@
 package auth
 import (
 	"context"
 	"errors"
 	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 var ErrInvalidCredentials = errors.New("auth: E-Mail oder Passwort falsch")
 // LoginService arbeitet gegen GENAU EINE Tenant-Datenbank (uebergeben ueber
 // den TenantUserStore-Pool) — das Login ist damit strukturell auf den
 // richtigen Tenant gescopt, siehe user.TenantUserStore.GetByEmailForAuth.
 type LoginService struct {
 	users  *user.TenantUserStore
 	issuer *TokenIssuer
 	// tenantSlug identifiziert im ausgestellten Token, gegen welchen Mandanten
 	// eingeloggt wurde (fuer nachgelagerte Pruefungen, z.B. Middleware-Logs).
 	tenantSlug string
 }
 func NewLoginService(users *user.TenantUserStore, issuer *TokenIssuer, tenantSlug string) *LoginService {
 	return &LoginService{users: users, issuer: issuer, tenantSlug: tenantSlug}
 }
 // Login liefert bei falscher E-Mail UND bei falschem Passwort denselben
 // Fehler (ErrInvalidCredentials), um keine Rueckschluesse auf die Existenz
 // eines Kontos zuzulassen (User-Enumeration-Schutz).
 func (s *LoginService) Login(ctx context.Context, email, password string) (string, error) {
 	creds, err := s.users.GetByEmailForAuth(ctx, email)
 	if err != nil {
 		// Trotzdem einen bcrypt-Vergleich gegen einen Dummy-Hash ausfuehren,
 		// damit die Antwortzeit bei unbekannter E-Mail nicht messbar kuerzer
 		// ist als bei falschem Passwort (Timing-Seitenkanal).
 		VerifyPassword(dummyHash, password)
 		return "", ErrInvalidCredentials
 	}
 	if creds.User.Status != user.StatusActive {
 		return "", ErrInvalidCredentials
 	}
 	if !VerifyPassword(creds.PasswordHash, password) {
 		return "", ErrInvalidCredentials
 	}
 	return s.issuer.Issue(creds.User.ID, s.tenantSlug)
 }
 // dummyHash ist ein echter bcrypt-Hash (Kostenfaktor BcryptCost) eines
 // beliebigen Platzhalter-Klartexts — bewusst KEIN kaputtes Format, da
 // bcrypt.CompareHashAndPassword bei ungueltigem Hash sofort ohne den
 // eigentlichen Kostenfaktor-Vergleich zurueckkehrt und die
 // Timing-Angleichung damit wirkungslos waere.
 const dummyHash = "$2a$12$cmwiETrG9DK5/uTM2fg4uetngYUspKjME5P8fNpk0QYTaO64N0r3C"
@@ -1,177 +0,0 @@
 package auth
 import (
 	"context"
 	"errors"
 	"fmt"
 	"net/http"
 	"net/http/httptest"
 	"os"
 	"strings"
 	"testing"
 	"github.com/jackc/pgx/v5/pgxpool"
 	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 const usersSchema = `
 CREATE EXTENSION IF NOT EXISTS pgcrypto;
 CREATE TABLE users (
 	id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
 	email TEXT NOT NULL UNIQUE,
 	name TEXT NOT NULL,
 	status TEXT NOT NULL DEFAULT 'active',
 	password_hash TEXT NOT NULL DEFAULT '',
 	created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
 	updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
 );`
 func setupTenantDB(t *testing.T, dbName string) *pgxpool.Pool {
 	t.Helper()
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	ctx := context.Background()
 	adminPool, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("admin pool: %v", err)
 	}
 	_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
 	if _, err := adminPool.Exec(ctx, fmt.Sprintf(`CREATE DATABASE %q`, dbName)); err != nil {
 		t.Fatalf("testdatenbank anlegen: %v", err)
 	}
 	dsn := strings.Replace(adminDSN, "/postgres?", "/"+dbName+"?", 1)
 	pool, err := pgxpool.New(ctx, dsn)
 	if err != nil {
 		t.Fatalf("connect testdatenbank: %v", err)
 	}
 	if _, err := pool.Exec(ctx, usersSchema); err != nil {
 		t.Fatalf("schema anwenden: %v", err)
 	}
 	t.Cleanup(func() {
 		pool.Close()
 		_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
 		adminPool.Close()
 	})
 	return pool
 }
 func createUserWithPassword(t *testing.T, store *user.TenantUserStore, email, password string) user.User {
 	t.Helper()
 	ctx := context.Background()
 	u, err := store.Create(ctx, email, "Test User")
 	if err != nil {
 		t.Fatalf("create user: %v", err)
 	}
 	hash, err := HashPassword(password)
 	if err != nil {
 		t.Fatalf("hash password: %v", err)
 	}
 	if err := store.SetPasswordHash(ctx, u.ID, hash); err != nil {
 		t.Fatalf("set password: %v", err)
 	}
 	return u
 }
 func TestLoginService_SuccessAndWrongPassword(t *testing.T) {
 	pool := setupTenantDB(t, "test_iam02_login")
 	store := user.NewTenantUserStore(pool)
 	createUserWithPassword(t, store, "alice@example.com", "korrektes-passwort")
 	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
 	login := NewLoginService(store, issuer, "acme")
 	token, err := login.Login(context.Background(), "alice@example.com", "korrektes-passwort")
 	if err != nil {
 		t.Fatalf("login: %v", err)
 	}
 	if token == "" {
 		t.Fatal("erwartet nicht-leeres token")
 	}
 	if _, err := login.Login(context.Background(), "alice@example.com", "falsches-passwort"); !errors.Is(err, ErrInvalidCredentials) {
 		t.Fatalf("erwartet ErrInvalidCredentials, habe %v", err)
 	}
 	if _, err := login.Login(context.Background(), "unbekannt@example.com", "irgendwas"); !errors.Is(err, ErrInvalidCredentials) {
 		t.Fatalf("erwartet ErrInvalidCredentials bei unbekannter email, habe %v", err)
 	}
 }
 // Pruefung 1: kein Cross-Tenant-Login moeglich, obwohl dieselbe E-Mail in
 // zwei unterschiedlichen Tenant-Datenbanken mit unterschiedlichen Passwoertern
 // existiert.
 func TestLoginService_NoCrossTenantLogin(t *testing.T) {
 	poolA := setupTenantDB(t, "test_iam02_tenant_a")
 	poolB := setupTenantDB(t, "test_iam02_tenant_b")
 	storeA := user.NewTenantUserStore(poolA)
 	storeB := user.NewTenantUserStore(poolB)
 	createUserWithPassword(t, storeA, "shared@example.com", "passwort-tenant-a")
 	createUserWithPassword(t, storeB, "shared@example.com", "passwort-tenant-b")
 	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
 	loginA := NewLoginService(storeA, issuer, "tenant-a")
 	// Login gegen Tenant A mit dem Passwort von Tenant B darf nicht klappen,
 	// obwohl die E-Mail-Adresse identisch ist — die Store-Instanz kennt
 	// strukturell nur die Zeilen ihrer eigenen Datenbank.
 	if _, err := loginA.Login(context.Background(), "shared@example.com", "passwort-tenant-b"); !errors.Is(err, ErrInvalidCredentials) {
 		t.Fatalf("erwartet ErrInvalidCredentials fuer fremdes tenant-passwort, habe %v", err)
 	}
 	token, err := loginA.Login(context.Background(), "shared@example.com", "passwort-tenant-a")
 	if err != nil {
 		t.Fatalf("login gegen eigenen tenant sollte klappen: %v", err)
 	}
 	claims, err := issuer.Verify(token)
 	if err != nil {
 		t.Fatalf("verify: %v", err)
 	}
 	if claims.TenantSlug != "tenant-a" {
 		t.Fatalf("token tenant = %q, want tenant-a", claims.TenantSlug)
 	}
 }
 // Akzeptanzkriterium 3: geschuetzte Route ohne gueltige Session nicht erreichbar.
 func TestRequireAuth_BlocksWithoutValidCookie(t *testing.T) {
 	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
 	protected := RequireAuth(issuer, func(w http.ResponseWriter, r *http.Request) {
 		w.WriteHeader(http.StatusOK)
 	})
 	// Kein Cookie.
 	req := httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
 	rec := httptest.NewRecorder()
 	protected(rec, req)
 	if rec.Code != http.StatusUnauthorized {
 		t.Fatalf("ohne cookie: status = %d, want 401", rec.Code)
 	}
 	// Manipuliertes Cookie.
 	req = httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
 	req.AddCookie(&http.Cookie{Name: CookieName, Value: "kaputt.token.hier"})
 	rec = httptest.NewRecorder()
 	protected(rec, req)
 	if rec.Code != http.StatusUnauthorized {
 		t.Fatalf("mit kaputtem cookie: status = %d, want 401", rec.Code)
 	}
 	// Gueltiges Token.
 	token, err := issuer.Issue("user-1", "acme")
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	req = httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
 	req.AddCookie(&http.Cookie{Name: CookieName, Value: token})
 	rec = httptest.NewRecorder()
 	protected(rec, req)
 	if rec.Code != http.StatusOK {
 		t.Fatalf("mit gueltigem cookie: status = %d, want 200", rec.Code)
 	}
 }
@@ -1,41 +0,0 @@
 package auth
 import (
 	"context"
 	"net/http"
 )
 const CookieName = "nexarch_session"
 type contextKey int
 const claimsContextKey contextKey = iota
 // RequireAuth schuetzt eine Route: ohne gueltiges, nicht abgelaufenes Token
 // im Session-Cookie wird 401 zurueckgegeben und der Handler nicht aufgerufen
 // (IAM-02 Akzeptanzkriterium 3).
 func RequireAuth(issuer *TokenIssuer, next http.HandlerFunc) http.HandlerFunc {
 	return func(w http.ResponseWriter, r *http.Request) {
 		cookie, err := r.Cookie(CookieName)
 		if err != nil {
 			http.Error(w, "nicht angemeldet", http.StatusUnauthorized)
 			return
 		}
 		claims, err := issuer.Verify(cookie.Value)
 		if err != nil {
 			http.Error(w, "nicht angemeldet", http.StatusUnauthorized)
 			return
 		}
 		ctx := context.WithValue(r.Context(), claimsContextKey, claims)
 		next(w, r.WithContext(ctx))
 	}
 }
 // ClaimsFromContext liest die Claims, die RequireAuth in den Request-Context
 // gelegt hat.
 func ClaimsFromContext(ctx context.Context) (*Claims, bool) {
 	c, ok := ctx.Value(claimsContextKey).(*Claims)
 	return c, ok
 }
@@ -1,28 +0,0 @@
 // Package auth implementiert Core IAM-02: Login/Logout, Passwort-Hashing und
 // die Middleware zum Schutz von Routen. Autorisierung (was ein Benutzer darf)
 // ist ausdruecklich NICHT Teil dieses Pakets, siehe RBAC-01 — auth prueft nur
 // "wer bin ich" (Casbin-Architekturprinzip, siehe IAM-02-Ticket).
 package auth
 import "golang.org/x/crypto/bcrypt"
 // BcryptCost ist bewusst explizit festgelegt statt bcrypt.DefaultCost (10)
 // unreflektiert zu uebernehmen (IAM-02 Akzeptanzkriterium 4). Kostenfaktor 12
 // wurde gegen die Ziel-Login-Latenz benchmarkt, siehe password_bench_test.go
 // und den Pruefungs-Eintrag in der Commit-Nachricht.
 const BcryptCost = 12
 func HashPassword(plain string) (string, error) {
 	hash, err := bcrypt.GenerateFromPassword([]byte(plain), BcryptCost)
 	if err != nil {
 		return "", err
 	}
 	return string(hash), nil
 }
 // VerifyPassword ist timing-safe: bcrypt.CompareHashAndPassword vergleicht
 // konstant in der Zeit bzgl. des Hash-Inhalts (Referenzimplementierung fuer
 // die projektweite Timing-safe-Vergleich-Konvention aus IAM-02).
 func VerifyPassword(hash, plain string) bool {
 	return bcrypt.CompareHashAndPassword([]byte(hash), []byte(plain)) == nil
 }
@@ -1,42 +0,0 @@
 package auth
 import (
 	"testing"
 	"time"
 )
 // TargetLoginLatency ist der Zielwert aus IAM-02 Akzeptanzkriterium 4: der
 // bcrypt-Vergleich allein darf die Login-Latenz nicht dominieren. 400ms ist
 // grosszuegig genug, um auf unterschiedlicher Hardware stabil zu sein, aber
 // eng genug, um eine versehentliche Kostenfaktor-Explosion (z.B. 16 statt 12)
 // zuverlaessig aufzudecken.
 const TargetLoginLatency = 400 * time.Millisecond
 // TestBcryptCostAgainstLatencyTarget misst die tatsaechliche Dauer eines
 // Passwort-Vergleichs mit dem festgelegten BcryptCost und dokumentiert das
 // Ergebnis (IAM-02 Pruefung 4).
 func TestBcryptCostAgainstLatencyTarget(t *testing.T) {
 	hash, err := HashPassword("benchmark-passwort")
 	if err != nil {
 		t.Fatalf("hash: %v", err)
 	}
 	start := time.Now()
 	if !VerifyPassword(hash, "benchmark-passwort") {
 		t.Fatal("verifikation haette erfolgreich sein muessen")
 	}
 	elapsed := time.Since(start)
 	t.Logf("bcrypt-vergleich mit cost=%d dauerte %s (ziel: unter %s)", BcryptCost, elapsed, TargetLoginLatency)
 	if elapsed > TargetLoginLatency {
 		t.Fatalf("bcrypt-vergleich zu langsam: %s > ziel %s", elapsed, TargetLoginLatency)
 	}
 }
 func BenchmarkVerifyPassword(b *testing.B) {
 	hash, _ := HashPassword("benchmark-passwort")
 	b.ResetTimer()
 	for i := 0; i < b.N; i++ {
 		VerifyPassword(hash, "benchmark-passwort")
 	}
 }
@@ -1,28 +0,0 @@
 package auth
 import "testing"
 func TestHashAndVerifyPassword(t *testing.T) {
 	hash, err := HashPassword("s3hr-geheim!")
 	if err != nil {
 		t.Fatalf("hash: %v", err)
 	}
 	if hash == "s3hr-geheim!" {
 		t.Fatal("passwort wurde nicht gehasht")
 	}
 	if !VerifyPassword(hash, "s3hr-geheim!") {
 		t.Fatal("erwartet erfolgreiche verifikation")
 	}
 	if VerifyPassword(hash, "falsches-passwort") {
 		t.Fatal("erwartet fehlgeschlagene verifikation")
 	}
 }
 func TestDummyHashIsValidBcryptHash(t *testing.T) {
 	// Stellt sicher, dass der Timing-Angleichs-Hash in login.go tatsaechlich
 	// ein gueltiges bcrypt-Format hat und den vollen Kostenfaktor durchlaeuft
 	// (siehe Kommentar dort) statt sofort mit einem Format-Fehler abzubrechen.
 	if VerifyPassword(dummyHash, "irgendein-text") {
 		t.Fatal("dummyHash sollte fuer beliebigen text nicht passen")
 	}
 }
@@ -1,63 +0,0 @@
 package auth
 import (
 	"errors"
 	"time"
 	"github.com/golang-jwt/jwt/v5"
 )
 // AccessTokenTTL ist bewusst kurz gehalten (Session-Ablauf statt langlebiger
 // Tokens), passend zur "so vertrauenswuerdig wie noetig"-Produkt-DNA.
 const AccessTokenTTL = 30 * time.Minute
 var ErrInvalidToken = errors.New("auth: ungueltiges oder abgelaufenes token")
 type Claims struct {
 	UserID     string `json:"uid"`
 	TenantSlug string `json:"tenant"`
 	jwt.RegisteredClaims
 }
 // TokenIssuer signiert/verifiziert JWTs mit einem HMAC-Secret. Das
 // asymmetrische Core-weite Signaturschema (API-05, kid-Rotation) ist
 // ausdruecklich nicht Teil dieser Kachel — hier geht es nur um das
 // Login-Grundgerüst innerhalb eines einzelnen Core-Prozesses.
 type TokenIssuer struct {
 	secret []byte
 }
 func NewTokenIssuer(secret string) *TokenIssuer {
 	return &TokenIssuer{secret: []byte(secret)}
 }
 func (i *TokenIssuer) Issue(userID, tenantSlug string) (string, error) {
 	now := time.Now()
 	claims := Claims{
 		UserID:     userID,
 		TenantSlug: tenantSlug,
 		RegisteredClaims: jwt.RegisteredClaims{
 			IssuedAt:  jwt.NewNumericDate(now),
 			ExpiresAt: jwt.NewNumericDate(now.Add(AccessTokenTTL)),
 		},
 	}
 	token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
 	return token.SignedString(i.secret)
 }
 // Verify prueft Signatur UND Ablauf (jwt.ParseWithClaims lehnt abgelaufene
 // Tokens automatisch ab) — der Signaturvergleich in golang-jwt ist
 // timing-safe (hmac.Equal).
 func (i *TokenIssuer) Verify(tokenString string) (*Claims, error) {
 	claims := &Claims{}
 	token, err := jwt.ParseWithClaims(tokenString, claims, func(t *jwt.Token) (interface{}, error) {
 		if _, ok := t.Method.(*jwt.SigningMethodHMAC); !ok {
 			return nil, ErrInvalidToken
 		}
 		return i.secret, nil
 	})
 	if err != nil || !token.Valid {
 		return nil, ErrInvalidToken
 	}
 	return claims, nil
 }
@@ -1,82 +0,0 @@
 package auth
 import (
 	"strings"
 	"testing"
 	"time"
 	"github.com/golang-jwt/jwt/v5"
 )
 func TestTokenIssueAndVerify(t *testing.T) {
 	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
 	token, err := issuer.Issue("user-1", "acme")
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	claims, err := issuer.Verify(token)
 	if err != nil {
 		t.Fatalf("verify: %v", err)
 	}
 	if claims.UserID != "user-1" || claims.TenantSlug != "acme" {
 		t.Fatalf("claims unerwartet: %+v", claims)
 	}
 }
 // Pruefung 2: Token-Manipulationstest.
 func TestTokenVerify_RejectsManipulatedPayload(t *testing.T) {
 	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
 	token, err := issuer.Issue("user-1", "acme")
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	parts := strings.Split(token, ".")
 	if len(parts) != 3 {
 		t.Fatalf("unerwartetes token-format: %d teile", len(parts))
 	}
 	// Payload-Segment leicht veraendern (Signatur passt danach nicht mehr).
 	tampered := parts[0] + "." + parts[1] + "x" + "." + parts[2]
 	if _, err := issuer.Verify(tampered); err == nil {
 		t.Fatal("erwartet fehler bei manipuliertem token, habe nil")
 	}
 }
 func TestTokenVerify_RejectsWrongSecret(t *testing.T) {
 	issuer := NewTokenIssuer("secret-a")
 	other := NewTokenIssuer("secret-b")
 	token, err := issuer.Issue("user-1", "acme")
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	if _, err := other.Verify(token); err == nil {
 		t.Fatal("erwartet fehler bei falschem secret, habe nil")
 	}
 }
 // Pruefung 3: abgelaufenes Token erzwingt Neuanmeldung.
 func TestTokenVerify_RejectsExpiredToken(t *testing.T) {
 	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
 	claims := Claims{
 		UserID:     "user-1",
 		TenantSlug: "acme",
 		RegisteredClaims: jwt.RegisteredClaims{
 			IssuedAt:  jwt.NewNumericDate(time.Now().Add(-2 * AccessTokenTTL)),
 			ExpiresAt: jwt.NewNumericDate(time.Now().Add(-time.Minute)),
 		},
 	}
 	tok := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
 	expired, err := tok.SignedString([]byte("test-secret-nur-fuer-tests"))
 	if err != nil {
 		t.Fatalf("signieren: %v", err)
 	}
 	if _, err := issuer.Verify(expired); err == nil {
 		t.Fatal("erwartet fehler bei abgelaufenem token, habe nil")
 	}
 }
@@ -0,0 +1,87 @@
 // Package flag implementiert Core LIC-02: einen Feature-Flag-Dienst mit
 // Strategien (global an/aus, Prozentsatz, Tenant-Zielgruppe) als Kernfunktion
 // des Core-Dienstes selbst — keine zusaetzliche Infrastruktur (Unleash-Server
 // + eigene DB), siehe "bewusst vermeiden" im LIC-02-Ticket.
 package flag
 import (
 	"context"
 	"errors"
 	"fmt"
 	"hash/fnv"
 	"github.com/jackc/pgx/v5"
 	"github.com/jackc/pgx/v5/pgxpool"
 )
 var ErrNotFound = errors.New("flag: nicht gefunden")
 // Flag ist die zentrale Definition — Auswertung (Evaluate) ist bewusst davon
 // getrennt (Unleash-Prinzip: Flag-Verwaltung vs. Flag-Auswertung).
 type Flag struct {
 	Key               string
 	Enabled           bool
 	RolloutPercentage int
 	TargetTenantSlugs []string
 }
 // Store ist die Verwaltungsseite (Admin): Flags definieren/lesen.
 type Store struct {
 	pool *pgxpool.Pool
 }
 func NewStore(pool *pgxpool.Pool) *Store {
 	return &Store{pool: pool}
 }
 func (s *Store) Set(ctx context.Context, f Flag) error {
 	if f.TargetTenantSlugs == nil {
 		f.TargetTenantSlugs = []string{} // pgx uebertraegt ein nil-Slice sonst als SQL NULL statt leerem Array.
 	}
 	_, err := s.pool.Exec(ctx, `
 		INSERT INTO feature_flags (key, enabled, rollout_percentage, target_tenant_slugs, updated_at)
 		VALUES ($1, $2, $3, $4, now())
 		ON CONFLICT (key) DO UPDATE SET
 			enabled = $2, rollout_percentage = $3, target_tenant_slugs = $4, updated_at = now()
 	`, f.Key, f.Enabled, f.RolloutPercentage, f.TargetTenantSlugs)
 	if err != nil {
 		return fmt.Errorf("flag speichern: %w", err)
 	}
 	return nil
 }
 func (s *Store) Get(ctx context.Context, key string) (Flag, error) {
 	var f Flag
 	row := s.pool.QueryRow(ctx, `
 		SELECT key, enabled, rollout_percentage, target_tenant_slugs
 		FROM feature_flags WHERE key = $1
 	`, key)
 	if err := row.Scan(&f.Key, &f.Enabled, &f.RolloutPercentage, &f.TargetTenantSlugs); err != nil {
 		if errors.Is(err, pgx.ErrNoRows) {
 			return Flag{}, ErrNotFound
 		}
 		return Flag{}, fmt.Errorf("flag lesen: %w", err)
 	}
 	return f, nil
 }
 // evaluate wendet die Strategien in fester Reihenfolge an: globaler
 // An/Aus-Schalter zuerst, dann Tenant-Zielgruppe, dann Prozentsatz-Rollout.
 // Ein unbekannter/nicht getroffener Fall ergibt false — Fail-Safe-Default,
 // kein Feature wird versehentlich aktiv.
 func evaluate(f Flag, tenantSlug string) bool {
 	if f.Enabled {
 		return true
 	}
 	for _, target := range f.TargetTenantSlugs {
 		if target == tenantSlug {
 			return true
 		}
 	}
 	if f.RolloutPercentage > 0 {
 		h := fnv.New32a()
 		_, _ = h.Write([]byte(f.Key + "|" + tenantSlug))
 		return int(h.Sum32()%100) < f.RolloutPercentage
 	}
 	return false
 }
@@ -0,0 +1,87 @@
 package flag
 import (
 	"context"
 	"log/slog"
 	"sync"
 	"time"
 )
 // DefaultCacheTTL ist die dokumentierte Cache-Invalidierungszeit
 // (Akzeptanzkriterium 2/3): eine Aenderung wirkt spaetestens nach dieser
 // Zeit auf allen Core-Instanzen, ohne dass ein Dienst neu gestartet werden
 // muss (Akzeptanzkriterium 3).
 const DefaultCacheTTL = 5 * time.Second
 type cacheEntry struct {
 	flag      Flag
 	expiresAt time.Time
 }
 // Service ist die Auswertungsseite (SDK/Client-Analogon zu Unleash) mit
 // lokalem TTL-Cache. Bewusst getrennt von Store (Verwaltung).
 type Service struct {
 	store *Store
 	ttl   time.Duration
 	mu    sync.RWMutex
 	cache map[string]cacheEntry
 }
 func NewService(store *Store, ttl time.Duration) *Service {
 	if ttl <= 0 {
 		ttl = DefaultCacheTTL
 	}
 	return &Service{store: store, ttl: ttl, cache: make(map[string]cacheEntry)}
 }
 // IsEnabled wertet ein Flag fuer einen Tenant aus. Liefert IMMER einen
 // bool ohne Fehlerwert — ein nicht erreichbarer Flag-Dienst darf abhaengige
 // Aufrufer nicht zum Absturz bringen oder zu Fehlerbehandlungscode zwingen,
 // der leicht vergessen wird (Akzeptanzkriterium 3 / Pruefung 3: dokumentiertes
 // Fallback-Verhalten = false, ggf. aus dem zuletzt bekannten Zwischenspeicher).
 func (s *Service) IsEnabled(ctx context.Context, tenantSlug, key string) bool {
 	f, ok := s.resolve(ctx, key)
 	if !ok {
 		return false
 	}
 	return evaluate(f, tenantSlug)
 }
 func (s *Service) resolve(ctx context.Context, key string) (Flag, bool) {
 	s.mu.RLock()
 	entry, exists := s.cache[key]
 	fresh := exists && time.Now().Before(entry.expiresAt)
 	s.mu.RUnlock()
 	if fresh {
 		return entry.flag, true
 	}
 	f, err := s.store.Get(ctx, key)
 	if err != nil {
 		if exists {
 			slog.Warn("feature-flag-dienst nicht erreichbar, nutze zwischengespeicherten stand",
 				"flag_key", key, "error", err)
 			return entry.flag, true
 		}
 		slog.Warn("feature-flag-dienst nicht erreichbar, kein zwischengespeicherter stand vorhanden, fallback: deaktiviert",
 			"flag_key", key, "error", err)
 		return Flag{}, false
 	}
 	s.mu.Lock()
 	s.cache[key] = cacheEntry{flag: f, expiresAt: time.Now().Add(s.ttl)}
 	s.mu.Unlock()
 	return f, true
 }
 // Invalidate erzwingt beim naechsten IsEnabled-Aufruf ein sofortiges Neuladen
 // aus der Datenbank statt auf den TTL-Ablauf zu warten — wird nach Store.Set
 // auf derselben Instanz aufgerufen, damit der Schreiber die eigene Aenderung
 // ohne Wartezeit sieht. Andere Core-Instanzen sehen sie spaetestens nach
 // DefaultCacheTTL (siehe Akzeptanzkriterium 3).
 func (s *Service) Invalidate(key string) {
 	s.mu.Lock()
 	delete(s.cache, key)
 	s.mu.Unlock()
 }
@@ -0,0 +1,67 @@
 package policy
 import (
 	"context"
 	"errors"
 	"fmt"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 )
 // ErrDenied wird geliefert, wenn keine Regel role+permission erlaubt —
 // Default-Deny (Akzeptanzkriterium 2).
 var ErrDenied = errors.New("policy: zugriff verweigert")
 // Enforcer ist die EINE zentrale Entscheidungs- und Durchsetzungsschicht
 // (Akzeptanzkriterium 1). Repository-/Query-Code ruft ausschliesslich Guard
 // bzw. GuardTenantScoped auf, nie eine Rohabfrage direkt.
 type Enforcer struct {
 	store *Store
 }
 func NewEnforcer(store *Store) *Enforcer {
 	return &Enforcer{store: store}
 }
 // Authorize entscheidet erlaubt/verboten — unabhaengig von jeder konkreten
 // Query, rein anhand der deklarativen Regeln (Akzeptanzkriterium 2: fuer
 // sich genommen testbar, ohne Anwendungslogik).
 func (e *Enforcer) Authorize(ctx context.Context, role rbac.Role, perm rbac.Permission) error {
 	allowed, err := e.store.IsAllowed(ctx, role, perm)
 	if err != nil {
 		return err
 	}
 	if !allowed {
 		return fmt.Errorf("%w: rolle %q hat kein recht %q", ErrDenied, role, perm)
 	}
 	return nil
 }
 // Guard ist die zentrale Enforcement-Funktion (Akzeptanzkriterium 1): query
 // wird NUR aufgerufen, wenn Authorize zustimmt. Es gibt keinen Weg, query
 // ausserhalb von Guard aufzurufen und trotzdem den Aufrufer als autorisiert
 // zu behandeln — die Autorisierungsentscheidung steht immer VOR dem
 // Datenzugriff, nie danach.
 func Guard[T any](ctx context.Context, e *Enforcer, role rbac.Role, perm rbac.Permission, query func(ctx context.Context) (T, error)) (T, error) {
 	var zero T
 	if err := e.Authorize(ctx, role, perm); err != nil {
 		return zero, err
 	}
 	return query(ctx)
 }
 // GuardTenantScoped erzwingt zusaetzlich, dass tenantSlug TEIL der Query-
 // Funktion selbst ist (Akzeptanzkriterium 3): der Funktionstyp verlangt,
 // dass die Repository-Implementierung tenantSlug in ihre eigene WHERE-
 // Klausel einbaut — ein nachgelagerter Filter auf dem Ergebnis (der
 // archivmail-Fehler aus "Bekannte Fehler vermeiden") ist mit dieser
 // Signatur nicht moeglich, da die Query-Funktion tenantSlug selbst
 // entgegennimmt und dafuer verantwortlich ist, statt ihn hinterher
 // anzuwenden.
 func GuardTenantScoped[T any](ctx context.Context, e *Enforcer, role rbac.Role, perm rbac.Permission, tenantSlug string, query func(ctx context.Context, tenantSlug string) (T, error)) (T, error) {
 	var zero T
 	if err := e.Authorize(ctx, role, perm); err != nil {
 		return zero, err
 	}
 	return query(ctx, tenantSlug)
 }
@@ -0,0 +1,90 @@
 package policy
 import (
 	"context"
 	"errors"
 	"fmt"
 	"github.com/jackc/pgx/v5"
 	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 )
 // ModuleScope verknuepft eine Policy-Regel mit einem Feature-Flag: existiert
 // ein ModuleScope fuer (role, permission), gilt die Regel nur zusaetzlich zur
 // Grundberechtigung, wenn FlagKey fuer den jeweiligen Tenant aktiv ist
 // (Akzeptanzkriterium 1: Rechte folgen der Lizenz).
 type ModuleScope struct {
 	Role       rbac.Role
 	Permission rbac.Permission
 	Module     string
 	FlagKey    string
 }
 // SetModuleScope verknuepft eine bestehende Policy-Regel mit einem Modul/
 // Feature-Flag. Die Regel selbst (Store.Grant) muss unabhaengig davon
 // existieren — ModuleScope schraenkt sie nur zusaetzlich ein.
 func (s *Store) SetModuleScope(ctx context.Context, role rbac.Role, perm rbac.Permission, module, flagKey string) error {
 	_, err := s.pool.Exec(ctx, `
 		INSERT INTO policy_module_scopes (role, permission, module, flag_key)
 		VALUES ($1, $2, $3, $4)
 		ON CONFLICT (role, permission) DO UPDATE SET module = $3, flag_key = $4
 	`, string(role), string(perm), module, flagKey)
 	if err != nil {
 		return fmt.Errorf("modul-scope setzen: %w", err)
 	}
 	return nil
 }
 func (s *Store) GetModuleScope(ctx context.Context, role rbac.Role, perm rbac.Permission) (ModuleScope, bool, error) {
 	var ms ModuleScope
 	ms.Role, ms.Permission = role, perm
 	err := s.pool.QueryRow(ctx, `
 		SELECT module, flag_key FROM policy_module_scopes WHERE role = $1 AND permission = $2
 	`, string(role), string(perm)).Scan(&ms.Module, &ms.FlagKey)
 	if err != nil {
 		if errors.Is(err, pgx.ErrNoRows) {
 			return ModuleScope{}, false, nil
 		}
 		return ModuleScope{}, false, fmt.Errorf("modul-scope lesen: %w", err)
 	}
 	return ms, true, nil
 }
 // AuthorizeForTenant ist dieselbe zentrale Entscheidungsfunktion wie
 // Authorize (Akzeptanzkriterium 3: keine zweite Enforcement-Schicht),
 // erweitert um die Modul-Scoping-Pruefung: eine sonst passende Regel greift
 // NICHT, wenn das zugehoerige Modul fuer den Tenant nicht aktiviert ist
 // (Akzeptanzkriterium 1). Feature-Flag-Aenderungen wirken ohne Neustart
 // (Akzeptanzkriterium 2), da flag.Service dieselbe TTL-Cache-Instanz der
 // aufrufenden Core-Instanz nutzt.
 func (e *Enforcer) AuthorizeForTenant(ctx context.Context, flags *flag.Service, tenantSlug string, role rbac.Role, perm rbac.Permission) error {
 	if err := e.Authorize(ctx, role, perm); err != nil {
 		return err
 	}
 	scope, found, err := e.store.GetModuleScope(ctx, role, perm)
 	if err != nil {
 		return err
 	}
 	if !found {
 		return nil // keine Modul-Bindung fuer diese Regel — Grundberechtigung reicht.
 	}
 	if !flags.IsEnabled(ctx, tenantSlug, scope.FlagKey) {
 		return fmt.Errorf("%w: modul %q ist fuer diesen mandanten nicht aktiviert", ErrDenied, scope.Module)
 	}
 	return nil
 }
 // GuardModuleScoped ist Guard mit zusaetzlicher Modul-Scoping-Pruefung —
 // dieselbe zentrale Enforcement-Funktion, kein paralleler Mechanismus
 // (Akzeptanzkriterium 3).
 func GuardModuleScoped[T any](ctx context.Context, e *Enforcer, flags *flag.Service, tenantSlug string, role rbac.Role, perm rbac.Permission, query func(ctx context.Context) (T, error)) (T, error) {
 	var zero T
 	if err := e.AuthorizeForTenant(ctx, flags, tenantSlug, role, perm); err != nil {
 		return zero, err
 	}
 	return query(ctx)
 }
@@ -0,0 +1,170 @@
 package policy
 import (
 	"context"
 	"errors"
 	"os"
 	"testing"
 	"time"
 	"github.com/jackc/pgx/v5/pgxpool"
 	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 )
 func setupModuleScopeTest(t *testing.T) (*Store, *Enforcer, *flag.Store, *flag.Service, func()) {
 	t.Helper()
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	ctx := context.Background()
 	pool, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("pool: %v", err)
 	}
 	if _, err := pool.Exec(ctx, `
 		CREATE TABLE IF NOT EXISTS policy_rules (
 			role TEXT NOT NULL, permission TEXT NOT NULL,
 			granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now(),
 			PRIMARY KEY (role, permission)
 		);
 		CREATE TABLE IF NOT EXISTS policy_rule_changes (
 			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), role TEXT NOT NULL, permission TEXT NOT NULL,
 			action TEXT NOT NULL CHECK (action IN ('grant','revoke')), actor TEXT NOT NULL,
 			version INT NOT NULL, changed_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 		CREATE TABLE IF NOT EXISTS policy_module_scopes (
 			role TEXT NOT NULL, permission TEXT NOT NULL, module TEXT NOT NULL, flag_key TEXT NOT NULL,
 			PRIMARY KEY (role, permission)
 		);
 		CREATE TABLE IF NOT EXISTS feature_flags (
 			key TEXT PRIMARY KEY, enabled BOOLEAN NOT NULL DEFAULT false,
 			rollout_percentage INT NOT NULL DEFAULT 0, target_tenant_slugs TEXT[] NOT NULL DEFAULT '{}',
 			updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 	`); err != nil {
 		t.Fatalf("schema: %v", err)
 	}
 	store := NewStore(pool)
 	flagStore := flag.NewStore(pool)
 	flagService := flag.NewService(flagStore, 10*time.Millisecond) // kurze TTL fuer testbare invalidierung
 	cleanup := func() {
 		_, _ = pool.Exec(ctx, `DELETE FROM policy_module_scopes WHERE role LIKE 'test\_%' ESCAPE '\'`)
 		_, _ = pool.Exec(ctx, `DELETE FROM policy_rule_changes WHERE role LIKE 'test\_%' ESCAPE '\'`)
 		_, _ = pool.Exec(ctx, `DELETE FROM policy_rules WHERE role LIKE 'test\_%' ESCAPE '\'`)
 		_, _ = pool.Exec(ctx, `DELETE FROM feature_flags WHERE key LIKE 'test\_%' ESCAPE '\'`)
 		pool.Close()
 	}
 	return store, NewEnforcer(store), flagStore, flagService, cleanup
 }
 // Akzeptanzkriterium 1 + Pruefung 1: Berechtigung fuer nicht aktiviertes
 // Modul greift nicht, selbst bei sonst passender Rolle.
 func TestAuthorizeForTenant_DeniesWhenModuleNotActivated(t *testing.T) {
 	store, enforcer, _, flagService, cleanup := setupModuleScopeTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	role := rbac.Role("test_dms_nutzer")
 	perm := rbac.Permission("test_dokumente_lesen")
 	if err := store.Grant(ctx, role, perm, "admin@example.com"); err != nil {
 		t.Fatalf("grant: %v", err)
 	}
 	if err := store.SetModuleScope(ctx, role, perm, "dms", "test_dms_enabled"); err != nil {
 		t.Fatalf("set module scope: %v", err)
 	}
 	// Flag existiert nicht/ist nicht gesetzt -> IsEnabled liefert false (Fail-Safe-Default).
 	queryCalled := false
 	_, err := GuardModuleScoped(ctx, enforcer, flagService, "acme", role, perm, func(ctx context.Context) (string, error) {
 		queryCalled = true
 		return "daten", nil
 	})
 	if !errors.Is(err, ErrDenied) {
 		t.Fatalf("erwartet ErrDenied bei deaktiviertem modul, habe %v", err)
 	}
 	if queryCalled {
 		t.Fatal("query haette bei deaktiviertem modul nicht aufgerufen werden duerfen")
 	}
 }
 // Akzeptanzkriterium 2 + Pruefung 2: Aktivierung des Moduls macht die
 // Berechtigung ohne Neustart wirksam.
 func TestAuthorizeForTenant_BecomesActiveWithoutRestart(t *testing.T) {
 	store, enforcer, flagStore, flagService, cleanup := setupModuleScopeTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	role := rbac.Role("test_dms_nutzer2")
 	perm := rbac.Permission("test_dokumente_schreiben")
 	if err := store.Grant(ctx, role, perm, "admin@example.com"); err != nil {
 		t.Fatalf("grant: %v", err)
 	}
 	if err := store.SetModuleScope(ctx, role, perm, "dms", "test_dms_enabled2"); err != nil {
 		t.Fatalf("set module scope: %v", err)
 	}
 	if err := enforcer.AuthorizeForTenant(ctx, flagService, "acme", role, perm); !errors.Is(err, ErrDenied) {
 		t.Fatalf("vor aktivierung: erwartet ErrDenied, habe %v", err)
 	}
 	// Modul "im laufenden Betrieb" aktivieren — derselbe Prozess, kein Neustart.
 	if err := flagStore.Set(ctx, flag.Flag{Key: "test_dms_enabled2", Enabled: true}); err != nil {
 		t.Fatalf("flag setzen: %v", err)
 	}
 	time.Sleep(20 * time.Millisecond) // TTL abwarten statt Neustart
 	if err := enforcer.AuthorizeForTenant(ctx, flagService, "acme", role, perm); err != nil {
 		t.Fatalf("nach aktivierung sollte erlaubt sein: %v", err)
 	}
 }
 // Akzeptanzkriterium 3 + Pruefung 3: Zusammenspiel Modul-Scope + Rollenscope
 // in Kombinationsfaellen.
 func TestAuthorizeForTenant_CombinationsOfRoleAndModuleScope(t *testing.T) {
 	store, enforcer, flagStore, flagService, cleanup := setupModuleScopeTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	scopedRole := rbac.Role("test_scoped_rolle")
 	unscopedRole := rbac.Role("test_unscoped_rolle")
 	perm := rbac.Permission("test_kombiniert")
 	// Fall 1: Rolle ohne jegliche Regel -> verboten, unabhaengig vom Flag.
 	if err := enforcer.AuthorizeForTenant(ctx, flagService, "acme", rbac.Role("test_unbekannt"), perm); !errors.Is(err, ErrDenied) {
 		t.Fatalf("fall 1: erwartet ErrDenied (keine regel), habe %v", err)
 	}
 	// Fall 2: Regel vorhanden, KEIN Modul-Scope -> immer erlaubt (Grundrecht ohne Lizenzbindung).
 	if err := store.Grant(ctx, unscopedRole, perm, "admin@example.com"); err != nil {
 		t.Fatalf("grant unscoped: %v", err)
 	}
 	if err := enforcer.AuthorizeForTenant(ctx, flagService, "acme", unscopedRole, perm); err != nil {
 		t.Fatalf("fall 2: erwartet erlaubt ohne modul-scope, habe %v", err)
 	}
 	// Fall 3: Regel + Modul-Scope, Flag aus -> verboten.
 	if err := store.Grant(ctx, scopedRole, perm, "admin@example.com"); err != nil {
 		t.Fatalf("grant scoped: %v", err)
 	}
 	if err := store.SetModuleScope(ctx, scopedRole, perm, "mail", "test_mail_enabled"); err != nil {
 		t.Fatalf("set module scope: %v", err)
 	}
 	if err := enforcer.AuthorizeForTenant(ctx, flagService, "acme", scopedRole, perm); !errors.Is(err, ErrDenied) {
 		t.Fatalf("fall 3: erwartet ErrDenied (modul aus), habe %v", err)
 	}
 	// Fall 4: Regel + Modul-Scope, Flag an -> erlaubt.
 	if err := flagStore.Set(ctx, flag.Flag{Key: "test_mail_enabled", Enabled: true}); err != nil {
 		t.Fatalf("flag setzen: %v", err)
 	}
 	time.Sleep(20 * time.Millisecond)
 	if err := enforcer.AuthorizeForTenant(ctx, flagService, "acme", scopedRole, perm); err != nil {
 		t.Fatalf("fall 4: erwartet erlaubt (modul an), habe %v", err)
 	}
 }
@@ -0,0 +1,187 @@
 package policy
 import (
 	"context"
 	"errors"
 	"os"
 	"testing"
 	"github.com/jackc/pgx/v5/pgxpool"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 )
 func setupTest(t *testing.T) (*Store, *Enforcer, func()) {
 	t.Helper()
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	ctx := context.Background()
 	pool, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("pool: %v", err)
 	}
 	if _, err := pool.Exec(ctx, `
 		CREATE TABLE IF NOT EXISTS policy_rules (
 			role TEXT NOT NULL, permission TEXT NOT NULL,
 			granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now(),
 			PRIMARY KEY (role, permission)
 		);
 		CREATE TABLE IF NOT EXISTS policy_rule_changes (
 			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), role TEXT NOT NULL, permission TEXT NOT NULL,
 			action TEXT NOT NULL CHECK (action IN ('grant','revoke')), actor TEXT NOT NULL,
 			version INT NOT NULL, changed_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 	`); err != nil {
 		t.Fatalf("schema: %v", err)
 	}
 	store := NewStore(pool)
 	cleanup := func() {
 		_, _ = pool.Exec(ctx, `DELETE FROM policy_rule_changes WHERE role LIKE 'test\_%' ESCAPE '\'`)
 		_, _ = pool.Exec(ctx, `DELETE FROM policy_rules WHERE role LIKE 'test\_%' ESCAPE '\'`)
 		pool.Close()
 	}
 	return store, NewEnforcer(store), cleanup
 }
 // Akzeptanzkriterium 2 + Pruefung 2: Anfrage ohne passende Policy wird
 // zuverlaessig abgewiesen (Default-Deny), nicht standardmaessig erlaubt.
 func TestAuthorize_DefaultDeny(t *testing.T) {
 	_, enforcer, cleanup := setupTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	err := enforcer.Authorize(ctx, rbac.Role("test_niemand"), rbac.Permission("test_irgendwas"))
 	if !errors.Is(err, ErrDenied) {
 		t.Fatalf("erwartet ErrDenied ohne konfigurierte regel, habe %v", err)
 	}
 }
 // Akzeptanzkriterium 1 + Pruefung 1: Guard ruft query NUR bei Autorisierung
 // auf — kein Datenzugriffs-Pfad umgeht die Enforcement-Schicht.
 func TestGuard_NeverCallsQueryWithoutAuthorization(t *testing.T) {
 	store, enforcer, cleanup := setupTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	role := rbac.Role("test_rolle_guard")
 	perm := rbac.Permission("test_lesen")
 	queryCalled := false
 	_, err := Guard(ctx, enforcer, role, perm, func(ctx context.Context) (string, error) {
 		queryCalled = true
 		return "geheime-daten", nil
 	})
 	if !errors.Is(err, ErrDenied) {
 		t.Fatalf("erwartet ErrDenied, habe %v", err)
 	}
 	if queryCalled {
 		t.Fatal("query haette bei fehlender autorisierung NICHT aufgerufen werden duerfen")
 	}
 	if err := store.Grant(ctx, role, perm, "admin@example.com"); err != nil {
 		t.Fatalf("grant: %v", err)
 	}
 	result, err := Guard(ctx, enforcer, role, perm, func(ctx context.Context) (string, error) {
 		queryCalled = true
 		return "geheime-daten", nil
 	})
 	if err != nil {
 		t.Fatalf("guard nach grant: %v", err)
 	}
 	if !queryCalled || result != "geheime-daten" {
 		t.Fatalf("erwartet query-aufruf mit ergebnis nach autorisierung, habe queryCalled=%v result=%q", queryCalled, result)
 	}
 }
 // Akzeptanzkriterium 2 + 3: Policy-Entscheidungen deklarativ und unabhaengig
 // von Anwendungslogik testbar — Regelwechsel wirkt ohne Codeaenderung,
 // Historie ist versioniert nachvollziehbar.
 func TestGrantRevoke_ChangesBehaviorWithoutCodeChange(t *testing.T) {
 	store, enforcer, cleanup := setupTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	role := rbac.Role("test_rolle_history")
 	perm := rbac.Permission("test_schreiben")
 	allowed, err := store.IsAllowed(ctx, role, perm)
 	if err != nil {
 		t.Fatalf("is allowed (vorher): %v", err)
 	}
 	if allowed {
 		t.Fatal("erwartet nicht erlaubt vor grant")
 	}
 	if err := store.Grant(ctx, role, perm, "admin@example.com"); err != nil {
 		t.Fatalf("grant: %v", err)
 	}
 	if err := enforcer.Authorize(ctx, role, perm); err != nil {
 		t.Fatalf("authorize nach grant sollte erlauben: %v", err)
 	}
 	if err := store.Revoke(ctx, role, perm, "admin@example.com"); err != nil {
 		t.Fatalf("revoke: %v", err)
 	}
 	if err := enforcer.Authorize(ctx, role, perm); !errors.Is(err, ErrDenied) {
 		t.Fatalf("authorize nach revoke sollte verweigern, habe %v", err)
 	}
 	history, err := store.History(ctx, role, perm)
 	if err != nil {
 		t.Fatalf("history: %v", err)
 	}
 	if len(history) != 2 {
 		t.Fatalf("erwartet 2 historieneintraege (grant, revoke), habe %d", len(history))
 	}
 	if history[0].Action != "grant" || history[0].Version != 1 {
 		t.Fatalf("history[0] unerwartet: %+v", history[0])
 	}
 	if history[1].Action != "revoke" || history[1].Version != 2 {
 		t.Fatalf("history[1] unerwartet: %+v", history[1])
 	}
 }
 // Akzeptanzkriterium 3 + Pruefung 3 (Tenant-Scoping): GuardTenantScoped
 // zwingt tenantSlug in die Query-Funktion selbst, kein Post-Filter moeglich.
 func TestGuardTenantScoped_IsolatesDataBetweenTenants(t *testing.T) {
 	_, enforcer, cleanup := setupTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	// Simuliertes Repository: die WHERE-Klausel (hier: Map-Lookup) liegt
 	// INNERHALB der Query-Funktion, nicht als nachgelagerter Filter.
 	data := map[string][]string{
 		"acme":   {"dokument-a1", "dokument-a2"},
 		"globex": {"dokument-b1"},
 	}
 	repoQuery := func(ctx context.Context, tenantSlug string) ([]string, error) {
 		return data[tenantSlug], nil
 	}
 	role := rbac.Role("test_tenant_rolle")
 	perm := rbac.Permission("test_dokumente_lesen")
 	if err := enforcer.store.Grant(ctx, role, perm, "admin@example.com"); err != nil {
 		t.Fatalf("grant: %v", err)
 	}
 	gotAcme, err := GuardTenantScoped(ctx, enforcer, role, perm, "acme", repoQuery)
 	if err != nil {
 		t.Fatalf("guard tenant scoped (acme): %v", err)
 	}
 	if len(gotAcme) != 2 {
 		t.Fatalf("erwartet 2 dokumente fuer acme, habe %d", len(gotAcme))
 	}
 	gotGlobex, err := GuardTenantScoped(ctx, enforcer, role, perm, "globex", repoQuery)
 	if err != nil {
 		t.Fatalf("guard tenant scoped (globex): %v", err)
 	}
 	if len(gotGlobex) != 1 {
 		t.Fatalf("erwartet 1 dokument fuer globex, habe %d", len(gotGlobex))
 	}
 }
@@ -0,0 +1,124 @@
 // Package policy implementiert Core RBAC-02: die zentrale Policy-
 // Entscheidungs- und Durchsetzungsschicht. Regeln liegen deklarativ in der
 // Datenbank (Casbin-Prinzip: Policy als Modell+Regeln getrennt vom Code),
 // versioniert und auditierbar — anders als Casbin-Dateien im Dateisystem
 // (siehe "bewusst vermeiden" im Ticket).
 package policy
 import (
 	"context"
 	"fmt"
 	"github.com/jackc/pgx/v5/pgxpool"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 )
 // Rule ist eine gewaehrte Regel: role darf permission.
 type Rule struct {
 	Role       rbac.Role
 	Permission rbac.Permission
 }
 // RuleChange ist ein Eintrag der Aenderungshistorie (Akzeptanzkriterium 3).
 type RuleChange struct {
 	Role       rbac.Role
 	Permission rbac.Permission
 	Action     string // "grant" oder "revoke"
 	Actor      string
 	Version    int
 }
 // Store verwaltet den deklarativen Regelsatz. IsAllowed schaut NUR in die
 // Datenbank — es gibt keinen hartcodierten Go-Fallback, ein Regelwechsel
 // wirkt sich ohne Codeaenderung sofort aus (Akzeptanzkriterium 2 / 3).
 type Store struct {
 	pool *pgxpool.Pool
 }
 func NewStore(pool *pgxpool.Pool) *Store {
 	return &Store{pool: pool}
 }
 // IsAllowed prueft, ob role das Recht permission besitzt. Default-Deny:
 // existiert keine passende Regel, ist der Zugriff verboten
 // (Akzeptanzkriterium 2 / Pruefung 2) — es gibt keinen impliziten
 // "erlaubt, wenn nichts anderes gesagt"-Pfad.
 func (s *Store) IsAllowed(ctx context.Context, role rbac.Role, perm rbac.Permission) (bool, error) {
 	var exists bool
 	err := s.pool.QueryRow(ctx, `
 		SELECT EXISTS(SELECT 1 FROM policy_rules WHERE role = $1 AND permission = $2)
 	`, string(role), string(perm)).Scan(&exists)
 	if err != nil {
 		return false, fmt.Errorf("policy pruefen: %w", err)
 	}
 	return exists, nil
 }
 // Grant gewaehrt role das Recht permission — deklarativ, ohne Codeaenderung
 // wirksam. actor wird fuer die Aenderungshistorie festgehalten.
 func (s *Store) Grant(ctx context.Context, role rbac.Role, perm rbac.Permission, actor string) error {
 	return s.change(ctx, role, perm, "grant", actor, `
 		INSERT INTO policy_rules (role, permission, granted_by, granted_at)
 		VALUES ($1, $2, $3, now())
 		ON CONFLICT (role, permission) DO UPDATE SET granted_by = $3, granted_at = now()
 	`, string(role), string(perm), actor)
 }
 // Revoke entzieht role das Recht permission.
 func (s *Store) Revoke(ctx context.Context, role rbac.Role, perm rbac.Permission, actor string) error {
 	return s.change(ctx, role, perm, "revoke", actor, `
 		DELETE FROM policy_rules WHERE role = $1 AND permission = $2
 	`, string(role), string(perm))
 }
 func (s *Store) change(ctx context.Context, role rbac.Role, perm rbac.Permission, action, actor, sql string, args ...any) error {
 	tx, err := s.pool.Begin(ctx)
 	if err != nil {
 		return fmt.Errorf("transaktion starten: %w", err)
 	}
 	defer func() { _ = tx.Rollback(ctx) }()
 	if _, err := tx.Exec(ctx, sql, args...); err != nil {
 		return fmt.Errorf("regel aendern: %w", err)
 	}
 	var version int
 	if err := tx.QueryRow(ctx, `
 		SELECT COALESCE(MAX(version), 0) + 1 FROM policy_rule_changes WHERE role = $1 AND permission = $2
 	`, string(role), string(perm)).Scan(&version); err != nil {
 		return fmt.Errorf("naechste version ermitteln: %w", err)
 	}
 	if _, err := tx.Exec(ctx, `
 		INSERT INTO policy_rule_changes (role, permission, action, actor, version, changed_at)
 		VALUES ($1, $2, $3, $4, $5, now())
 	`, string(role), string(perm), action, actor, version); err != nil {
 		return fmt.Errorf("historie schreiben: %w", err)
 	}
 	return tx.Commit(ctx)
 }
 // History liefert die vollstaendige, versionierte Aenderungshistorie einer
 // Regel (Akzeptanzkriterium 3).
 func (s *Store) History(ctx context.Context, role rbac.Role, perm rbac.Permission) ([]RuleChange, error) {
 	rows, err := s.pool.Query(ctx, `
 		SELECT action, actor, version FROM policy_rule_changes
 		WHERE role = $1 AND permission = $2 ORDER BY version
 	`, string(role), string(perm))
 	if err != nil {
 		return nil, fmt.Errorf("historie abfragen: %w", err)
 	}
 	defer rows.Close()
 	var out []RuleChange
 	for rows.Next() {
 		c := RuleChange{Role: role, Permission: perm}
 		if err := rows.Scan(&c.Action, &c.Actor, &c.Version); err != nil {
 			return nil, fmt.Errorf("historieneintrag lesen: %w", err)
 		}
 		out = append(out, c)
 	}
 	return out, rows.Err()
 }
@@ -1,64 +0,0 @@
 package ratelimit
 import (
 	"fmt"
 	"math"
 	"net/http"
 	"gitea.perlbach24.de/scripte/nexarch/internal/apiserver"
 )
 // KeyFunc bestimmt den Rate-Limit-Schluessel fuer eine Anfrage — typischerweise
 // der Tenant-Slug aus apiserver.RequestContext, siehe KeyByTenant. Als
 // eigenstaendiger Typ austauschbar (z.B. spaeter API-Token-basiert), ohne
 // internal/apiserver aendern zu muessen (Kein Umbau angrenzender Bereiche).
 type KeyFunc func(r *http.Request) (string, bool)
 // KeyByTenant liest den Tenant aus dem von internal/apiserver.authAndTenantContext
 // gesetzten RequestContext (IAM-02/API-01) — dieselbe Middleware-Kette,
 // keine zweite Authentifizierung.
 func KeyByTenant(r *http.Request) (string, bool) {
 	rc, ok := apiserver.FromContext(r.Context())
 	if !ok || rc.TenantSlug == "" {
 		return "", false
 	}
 	return rc.TenantSlug, true
 }
 // Middleware setzt sich VOR den eigentlichen Handler (nach Auth+Tenant-
 // Kontext, siehe KeyByTenant) und lehnt Anfragen ueber dem konfigurierten
 // Limit mit 429 + Retry-After ab (Akzeptanzkriterium 3).
 func Middleware(store *Store, keyFn KeyFunc, next http.HandlerFunc) http.HandlerFunc {
 	return func(w http.ResponseWriter, r *http.Request) {
 		key, ok := keyFn(r)
 		if !ok {
 			// Kein Schluessel ermittelbar (z.B. kein Tenant-Kontext) — die
 			// Auth-Pruefung selbst ist Sache von authAndTenantContext, hier
 			// wird nur nicht limitiert, wenn schon kein Kontext vorliegt.
 			next(w, r)
 			return
 		}
 		result, err := store.Allow(r.Context(), key)
 		if err != nil {
 			apiserver.WriteError(w, http.StatusInternalServerError, "rate_limit_error", "rate-limit-pruefung fehlgeschlagen")
 			return
 		}
 		w.Header().Set("X-RateLimit-Limit", fmt.Sprintf("%d", result.Limit))
 		w.Header().Set("X-RateLimit-Remaining", fmt.Sprintf("%d", result.Remaining))
 		if !result.Allowed {
 			retryAfterSeconds := int(math.Ceil(result.RetryAfter.Seconds()))
 			if retryAfterSeconds < 1 {
 				retryAfterSeconds = 1
 			}
 			w.Header().Set("Retry-After", fmt.Sprintf("%d", retryAfterSeconds))
 			apiserver.WriteError(w, http.StatusTooManyRequests, "rate_limit_exceeded",
 				"zu viele anfragen, bitte spaeter erneut versuchen")
 			return
 		}
 		next(w, r)
 	}
 }
@@ -1,136 +0,0 @@
 package ratelimit
 import (
 	"context"
 	"net/http"
 	"net/http/httptest"
 	"os"
 	"testing"
 	"time"
 	"github.com/jackc/pgx/v5/pgxpool"
 	"gitea.perlbach24.de/scripte/nexarch/internal/apiserver"
 	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
 )
 func setupMiddlewareTest(t *testing.T) (*apiserver.Server, *auth.TokenIssuer, *Store, func()) {
 	t.Helper()
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	ctx := context.Background()
 	pool, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("pool: %v", err)
 	}
 	if _, err := pool.Exec(ctx, `
 		CREATE TABLE IF NOT EXISTS rate_limit_configs (
 			key TEXT PRIMARY KEY, limit_value INT NOT NULL, window_seconds INT NOT NULL
 		);
 		CREATE TABLE IF NOT EXISTS rate_limit_counters (
 			key TEXT NOT NULL, window_start TIMESTAMPTZ NOT NULL, count INT NOT NULL DEFAULT 0,
 			PRIMARY KEY (key, window_start)
 		);
 	`); err != nil {
 		t.Fatalf("schema: %v", err)
 	}
 	issuer := auth.NewTokenIssuer("test-secret-nur-fuer-tests")
 	srv := apiserver.NewServer(issuer)
 	store := NewStore(pool)
 	cleanup := func() { pool.Close() }
 	return srv, issuer, store, cleanup
 }
 // Akzeptanzkriterium 3 + Pruefung 2: Ueberschreitung liefert 429 mit
 // Retry-After-Header, ueber die vollstaendige Middleware-Kette (Auth ->
 // Tenant-Kontext -> Rate-Limit -> Handler) hinweg.
 func TestMiddleware_Returns429WithRetryAfterOnExceeded(t *testing.T) {
 	srv, issuer, store, cleanup := setupMiddlewareTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	tenantSlug := newTestKey()
 	if err := store.SetLimit(ctx, tenantSlug, 1, time.Minute); err != nil {
 		t.Fatalf("setlimit: %v", err)
 	}
 	called := 0
 	srv.HandleV1("/limited", Middleware(store, KeyByTenant, func(w http.ResponseWriter, r *http.Request) {
 		called++
 		w.WriteHeader(http.StatusOK)
 	}))
 	token, err := issuer.Issue("user-1", tenantSlug)
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	req1 := httptest.NewRequest(http.MethodGet, "/api/v1/limited", nil)
 	req1.AddCookie(&http.Cookie{Name: auth.CookieName, Value: token})
 	rec1 := httptest.NewRecorder()
 	srv.Handler().ServeHTTP(rec1, req1)
 	if rec1.Code != http.StatusOK {
 		t.Fatalf("1. anfrage: status = %d, want 200", rec1.Code)
 	}
 	req2 := httptest.NewRequest(http.MethodGet, "/api/v1/limited", nil)
 	req2.AddCookie(&http.Cookie{Name: auth.CookieName, Value: token})
 	rec2 := httptest.NewRecorder()
 	srv.Handler().ServeHTTP(rec2, req2)
 	if rec2.Code != http.StatusTooManyRequests {
 		t.Fatalf("2. anfrage: status = %d, want 429", rec2.Code)
 	}
 	if rec2.Header().Get("Retry-After") == "" {
 		t.Fatal("erwartet gesetzten Retry-After-Header bei 429")
 	}
 	if called != 1 {
 		t.Fatalf("handler wurde %d mal aufgerufen, want genau 1 (2. anfrage haette nicht durchgereicht werden duerfen)", called)
 	}
 }
 // Akzeptanzkriterium 1: das Limit ist pro Tenant konfigurierbar — ein
 // anderer Tenant (anderer Key) bleibt von der Ausschoepfung unberuehrt.
 func TestMiddleware_DifferentTenantsHaveIndependentLimits(t *testing.T) {
 	srv, issuer, store, cleanup := setupMiddlewareTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	tenantA := newTestKey()
 	tenantB := newTestKey()
 	if err := store.SetLimit(ctx, tenantA, 1, time.Minute); err != nil {
 		t.Fatalf("setlimit a: %v", err)
 	}
 	if err := store.SetLimit(ctx, tenantB, 1, time.Minute); err != nil {
 		t.Fatalf("setlimit b: %v", err)
 	}
 	srv.HandleV1("/limited2", Middleware(store, KeyByTenant, func(w http.ResponseWriter, r *http.Request) {
 		w.WriteHeader(http.StatusOK)
 	}))
 	tokenA, _ := issuer.Issue("user-a", tenantA)
 	tokenB, _ := issuer.Issue("user-b", tenantB)
 	// Tenant A schoepft sein Limit aus.
 	reqA := httptest.NewRequest(http.MethodGet, "/api/v1/limited2", nil)
 	reqA.AddCookie(&http.Cookie{Name: auth.CookieName, Value: tokenA})
 	recA := httptest.NewRecorder()
 	srv.Handler().ServeHTTP(recA, reqA)
 	if recA.Code != http.StatusOK {
 		t.Fatalf("tenant a, 1. anfrage: status = %d, want 200", recA.Code)
 	}
 	// Tenant B ist von der Ausschoepfung bei A unberuehrt.
 	reqB := httptest.NewRequest(http.MethodGet, "/api/v1/limited2", nil)
 	reqB.AddCookie(&http.Cookie{Name: auth.CookieName, Value: tokenB})
 	recB := httptest.NewRecorder()
 	srv.Handler().ServeHTTP(recB, reqB)
 	if recB.Code != http.StatusOK {
 		t.Fatalf("tenant b haette trotz ausgeschoepftem limit von tenant a erlaubt sein muessen, status = %d", recB.Code)
 	}
 }
@@ -1,126 +0,0 @@
 // Package ratelimit implementiert Core API-03: eine zentrale Rate-Limiting-
 // Schicht fuer die gesamte Core-API mit GETEILTEM, EXTERNEM Zustand in
 // Postgres — kein In-Process-Zaehler (siehe "Bekannte Fehler vermeiden" im
 // Ticket: dasselbe Risiko wie bei IAM-07s In-Memory-Lockout). Fixed-Window-
 // Algorithmus: einfach, korrekt unter nebenlaeufigem Zugriff (atomares
 // UPSERT wie internal/usage.Store.Increment), und fuer ein API-Gateway
 // ausreichend praezise — kein Sliding-Window-Overhead noetig.
 package ratelimit
 import (
 	"context"
 	"fmt"
 	"time"
 	"github.com/jackc/pgx/v5"
 	"github.com/jackc/pgx/v5/pgxpool"
 )
 // DefaultLimit/DefaultWindow gelten fuer jeden Schluessel (Tenant oder
 // API-Token), fuer den keine eigene Konfiguration existiert
 // (Akzeptanzkriterium 1: "konfigurierbar", nicht "verpflichtend konfiguriert").
 const (
 	DefaultLimit  = 100
 	DefaultWindow = time.Minute
 )
 // Config ist das je Schluessel konfigurierbare Limit.
 type Config struct {
 	Limit  int
 	Window time.Duration
 }
 // Store haelt Konfiguration UND Zaehlerstand in Postgres — beides ueber
 // dieselbe Verbindung erreichbar, damit mehrere Dienstinstanzen denselben
 // Zustand sehen (Akzeptanzkriterium 2).
 type Store struct {
 	pool *pgxpool.Pool
 }
 func NewStore(pool *pgxpool.Pool) *Store {
 	return &Store{pool: pool}
 }
 // SetLimit setzt die Konfiguration fuer EINEN Schluessel (z.B. einen
 // Tenant-Slug oder eine API-Token-ID) — wirkt sich nicht auf andere
 // Schluessel aus (Akzeptanzkriterium 1 / Pruefung 3).
 func (s *Store) SetLimit(ctx context.Context, key string, limit int, window time.Duration) error {
 	_, err := s.pool.Exec(ctx, `
 		INSERT INTO rate_limit_configs (key, limit_value, window_seconds)
 		VALUES ($1, $2, $3)
 		ON CONFLICT (key) DO UPDATE SET limit_value = $2, window_seconds = $3
 	`, key, limit, int(window.Seconds()))
 	if err != nil {
 		return fmt.Errorf("rate-limit-konfiguration speichern: %w", err)
 	}
 	return nil
 }
 func (s *Store) getConfig(ctx context.Context, key string) (Config, error) {
 	var limit, windowSeconds int
 	err := s.pool.QueryRow(ctx, `
 		SELECT limit_value, window_seconds FROM rate_limit_configs WHERE key = $1
 	`, key).Scan(&limit, &windowSeconds)
 	if err != nil {
 		if err == pgx.ErrNoRows {
 			return Config{Limit: DefaultLimit, Window: DefaultWindow}, nil
 		}
 		return Config{}, fmt.Errorf("rate-limit-konfiguration lesen: %w", err)
 	}
 	return Config{Limit: limit, Window: time.Duration(windowSeconds) * time.Second}, nil
 }
 // Result ist der Ausgang einer Allow-Pruefung (Akzeptanzkriterium 3).
 type Result struct {
 	Allowed    bool
 	Limit      int
 	Remaining  int
 	RetryAfter time.Duration
 }
 // Allow erhoeht den Zaehler fuer (key, aktuelles Zeitfenster) ATOMAR ueber
 // ein einziges UPSERT (dasselbe Muster wie internal/usage.Store.Increment)
 // und vergleicht das Ergebnis gegen die konfigurierte Grenze — kein
 // Lesen-Erhoehen-Schreiben in Go, damit zwei Dienstinstanzen, die
 // gleichzeitig gegen dieselbe Datenbank inkrementieren, sich niemals
 // gegenseitig ueberschreiben (Akzeptanzkriterium 2 / Pruefung 1).
 func (s *Store) Allow(ctx context.Context, key string) (Result, error) {
 	cfg, err := s.getConfig(ctx, key)
 	if err != nil {
 		return Result{}, err
 	}
 	windowSeconds := int64(cfg.Window.Seconds())
 	if windowSeconds <= 0 {
 		windowSeconds = int64(DefaultWindow.Seconds())
 	}
 	now := time.Now().UTC()
 	windowStart := time.Unix((now.Unix()/windowSeconds)*windowSeconds, 0).UTC()
 	windowEnd := windowStart.Add(time.Duration(windowSeconds) * time.Second)
 	var count int
 	err = s.pool.QueryRow(ctx, `
 		INSERT INTO rate_limit_counters (key, window_start, count)
 		VALUES ($1, $2, 1)
 		ON CONFLICT (key, window_start) DO UPDATE
 			SET count = rate_limit_counters.count + 1
 		RETURNING count
 	`, key, windowStart).Scan(&count)
 	if err != nil {
 		return Result{}, fmt.Errorf("rate-limit-zaehler erhoehen: %w", err)
 	}
 	remaining := cfg.Limit - count
 	if remaining < 0 {
 		remaining = 0
 	}
 	if count > cfg.Limit {
 		return Result{
 			Allowed:    false,
 			Limit:      cfg.Limit,
 			Remaining:  0,
 			RetryAfter: windowEnd.Sub(now),
 		}, nil
 	}
 	return Result{Allowed: true, Limit: cfg.Limit, Remaining: remaining}, nil
 }
@@ -1,168 +0,0 @@
 package ratelimit
 import (
 	"context"
 	"fmt"
 	"os"
 	"sync"
 	"sync/atomic"
 	"testing"
 	"time"
 	"github.com/jackc/pgx/v5/pgxpool"
 )
 func setupTest(t *testing.T) (*pgxpool.Pool, func()) {
 	t.Helper()
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	ctx := context.Background()
 	pool, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("pool: %v", err)
 	}
 	if _, err := pool.Exec(ctx, `
 		CREATE TABLE IF NOT EXISTS rate_limit_configs (
 			key TEXT PRIMARY KEY, limit_value INT NOT NULL, window_seconds INT NOT NULL
 		);
 		CREATE TABLE IF NOT EXISTS rate_limit_counters (
 			key TEXT NOT NULL, window_start TIMESTAMPTZ NOT NULL, count INT NOT NULL DEFAULT 0,
 			PRIMARY KEY (key, window_start)
 		);
 	`); err != nil {
 		t.Fatalf("schema: %v", err)
 	}
 	cleanup := func() { pool.Close() }
 	return pool, cleanup
 }
 func newTestKey() string {
 	return fmt.Sprintf("test-key-%d", time.Now().UnixNano())
 }
 // Akzeptanzkriterium 3 + Pruefung 2: Ueberschreitung des Limits wird
 // nachweislich erkannt.
 func TestAllow_RejectsAfterLimitExceeded(t *testing.T) {
 	pool, cleanup := setupTest(t)
 	defer cleanup()
 	store := NewStore(pool)
 	ctx := context.Background()
 	key := newTestKey()
 	if err := store.SetLimit(ctx, key, 3, time.Minute); err != nil {
 		t.Fatalf("setlimit: %v", err)
 	}
 	for i := 0; i < 3; i++ {
 		res, err := store.Allow(ctx, key)
 		if err != nil {
 			t.Fatalf("allow %d: %v", i, err)
 		}
 		if !res.Allowed {
 			t.Fatalf("anfrage %d haette erlaubt sein muessen, limit=3", i)
 		}
 	}
 	res, err := store.Allow(ctx, key)
 	if err != nil {
 		t.Fatalf("allow (4.): %v", err)
 	}
 	if res.Allowed {
 		t.Fatal("4. anfrage haette abgelehnt werden muessen (limit=3)")
 	}
 	if res.RetryAfter <= 0 {
 		t.Fatalf("erwartet positive retry-after-dauer, habe %v", res.RetryAfter)
 	}
 }
 // Akzeptanzkriterium 1 / Pruefung 3: Konfigurationsaenderung wirkt sich
 // NICHT auf andere Schluessel (Tenants) aus.
 func TestSetLimit_DoesNotAffectOtherKeys(t *testing.T) {
 	pool, cleanup := setupTest(t)
 	defer cleanup()
 	store := NewStore(pool)
 	ctx := context.Background()
 	keyA := newTestKey()
 	keyB := newTestKey()
 	if err := store.SetLimit(ctx, keyA, 1, time.Minute); err != nil {
 		t.Fatalf("setlimit a: %v", err)
 	}
 	resA1, _ := store.Allow(ctx, keyA)
 	resA2, _ := store.Allow(ctx, keyA)
 	if !resA1.Allowed || resA2.Allowed {
 		t.Fatalf("key a: erwartet erlaubt,abgelehnt, habe %v,%v", resA1.Allowed, resA2.Allowed)
 	}
 	// keyB hat keine eigene Konfiguration -> DefaultLimit, unbeeinflusst von keyA.
 	resB, err := store.Allow(ctx, keyB)
 	if err != nil {
 		t.Fatalf("allow b: %v", err)
 	}
 	if !resB.Allowed {
 		t.Fatal("key b haette trotz limit-ueberschreitung bei key a erlaubt sein muessen")
 	}
 	if resB.Limit != DefaultLimit {
 		t.Fatalf("key b limit = %d, want default %d", resB.Limit, DefaultLimit)
 	}
 }
 // Akzeptanzkriterium 2 + Pruefung 1: zwei "Dienstinstanzen" (zwei
 // unabhaengige Pools/Store-Objekte) gegen dieselbe Datenbank setzen
 // dasselbe Limit korrekt durch — kein In-Process-Zustand kann das leisten.
 func TestAllow_TwoInstancesShareStateCorrectly(t *testing.T) {
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	pool, cleanup := setupTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	pool2, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("zweiter pool (simuliert zweite instanz): %v", err)
 	}
 	defer pool2.Close()
 	storeInstance1 := NewStore(pool)
 	storeInstance2 := NewStore(pool2)
 	key := newTestKey()
 	const limit = 20
 	if err := storeInstance1.SetLimit(ctx, key, limit, time.Minute); err != nil {
 		t.Fatalf("setlimit: %v", err)
 	}
 	const totalRequests = 50
 	var allowedCount int64
 	var wg sync.WaitGroup
 	for i := 0; i < totalRequests; i++ {
 		wg.Add(1)
 		store := storeInstance1
 		if i%2 == 0 {
 			store = storeInstance2 // Haelfte der Anfragen "kommt" von der zweiten Instanz
 		}
 		go func(s *Store) {
 			defer wg.Done()
 			res, err := s.Allow(ctx, key)
 			if err != nil {
 				t.Errorf("allow: %v", err)
 				return
 			}
 			if res.Allowed {
 				atomic.AddInt64(&allowedCount, 1)
 			}
 		}(store)
 	}
 	wg.Wait()
 	if allowedCount != limit {
 		t.Fatalf("erlaubte anfragen ueber beide instanzen = %d, want exakt %d (geteilter zustand)", allowedCount, limit)
 	}
 }
@@ -0,0 +1,71 @@
 // Package rbac implementiert Core RBAC-01: das Rollenmodell mit
 // Grundrollen/-rechten, Hierarchie und Zuweisung. Die eigentliche
 // Durchsetzung (erlaubt/verboten je Request) ist RBAC-02, dieses Paket
 // liefert nur Modell + Zuweisung (Casbin-Prinzip: Policy-Modell getrennt
 // von der Entscheidungsfunktion).
 package rbac
 // Role ist eine der drei Grundrollen. Superadmin lebt mandantenuebergreifend
 // (siehe internal/user.SuperadminStore aus IAM-01) und wird deshalb NICHT
 // ueber Store (tenant-gescoped) zugewiesen — die Existenz eines Superadmin-
 // Kontos IST die Rollenzuweisung.
 type Role string
 const (
 	RoleSuperadmin  Role = "superadmin"
 	RoleTenantAdmin Role = "tenant_admin"
 	RoleUser        Role = "user"
 )
 type Permission string
 const (
 	PermSelfRead       Permission = "self.read"
 	PermSelfUpdate     Permission = "self.update"
 	PermManageUsers    Permission = "tenant.manage_users"
 	PermManageSettings Permission = "tenant.manage_settings"
 	PermManageTenants  Permission = "platform.manage_tenants"
 )
 // parent bildet die Rollenhierarchie ab (Akzeptanzkriterium 2): eine Rolle
 // erbt alle Rechte ihrer Elternrolle. tenant_admin erbt von user,
 // superadmin erbt von tenant_admin.
 var parent = map[Role]Role{
 	RoleTenantAdmin: RoleUser,
 	RoleSuperadmin:  RoleTenantAdmin,
 }
 // direct sind die einer Rolle direkt (ohne Vererbung) zugeordneten Rechte.
 var direct = map[Role][]Permission{
 	RoleUser:        {PermSelfRead, PermSelfUpdate},
 	RoleTenantAdmin: {PermManageUsers, PermManageSettings},
 	RoleSuperadmin:  {PermManageTenants},
 }
 // EffectivePermissions liefert die vollstaendige, ueber die Hierarchie
 // aufgeloeste Rechtemenge einer Rolle (Akzeptanzkriterium 2 / Pruefung 2).
 func EffectivePermissions(role Role) []Permission {
 	seen := make(map[Permission]bool)
 	var out []Permission
 	for r, ok := role, true; ok; r, ok = parent[r] {
 		for _, p := range direct[r] {
 			if !seen[p] {
 				seen[p] = true
 				out = append(out, p)
 			}
 		}
 	}
 	return out
 }
 // HasPermission prueft, ob eine Rolle (inklusive geerbter Rechte) ein
 // bestimmtes Recht besitzt.
 func HasPermission(role Role, perm Permission) bool {
 	for _, p := range EffectivePermissions(role) {
 		if p == perm {
 			return true
 		}
 	}
 	return false
 }
@@ -0,0 +1,48 @@
 package rbac
 import "testing"
 func contains(perms []Permission, p Permission) bool {
 	for _, x := range perms {
 		if x == p {
 			return true
 		}
 	}
 	return false
 }
 // Akzeptanzkriterium 2 + Pruefung 2: Rollenhierarchie liefert die erwartete
 // effektive Rechtemenge.
 func TestEffectivePermissions_Inheritance(t *testing.T) {
 	userPerms := EffectivePermissions(RoleUser)
 	if !contains(userPerms, PermSelfRead) || !contains(userPerms, PermSelfUpdate) {
 		t.Fatalf("user sollte self.read/self.update haben, habe %v", userPerms)
 	}
 	if contains(userPerms, PermManageUsers) {
 		t.Fatal("user sollte KEIN tenant.manage_users haben")
 	}
 	adminPerms := EffectivePermissions(RoleTenantAdmin)
 	if !contains(adminPerms, PermSelfRead) || !contains(adminPerms, PermManageUsers) || !contains(adminPerms, PermManageSettings) {
 		t.Fatalf("tenant_admin sollte geerbte user-rechte + eigene rechte haben, habe %v", adminPerms)
 	}
 	if contains(adminPerms, PermManageTenants) {
 		t.Fatal("tenant_admin sollte KEIN platform.manage_tenants haben")
 	}
 	superPerms := EffectivePermissions(RoleSuperadmin)
 	for _, want := range []Permission{PermSelfRead, PermSelfUpdate, PermManageUsers, PermManageSettings, PermManageTenants} {
 		if !contains(superPerms, want) {
 			t.Fatalf("superadmin sollte %q haben (volle vererbte kette), habe %v", want, superPerms)
 		}
 	}
 }
 func TestHasPermission(t *testing.T) {
 	if !HasPermission(RoleTenantAdmin, PermSelfRead) {
 		t.Fatal("tenant_admin sollte geerbtes self.read haben")
 	}
 	if HasPermission(RoleUser, PermManageTenants) {
 		t.Fatal("user sollte platform.manage_tenants nicht haben")
 	}
 }
@@ -0,0 +1,124 @@
 package rbac
 import (
 	"context"
 	"errors"
 	"fmt"
 	"github.com/jackc/pgx/v5"
 	"github.com/jackc/pgx/v5/pgxpool"
 )
 var (
 	// ErrRoleNotAssignableInTenantScope wird geliefert, wenn versucht wird,
 	// eine mandantenuebergreifende Rolle (superadmin) ueber den tenant-
 	// gescopten Store zu vergeben — die erlaubte Matrix laesst hier nur
 	// user/tenant_admin zu (Akzeptanzkriterium 1 / Pruefung 1).
 	ErrRoleNotAssignableInTenantScope = errors.New("rbac: rolle ist in diesem geltungsbereich nicht zuweisbar")
 	ErrNotFound                       = errors.New("rbac: keine rollenzuweisung gefunden")
 )
 // assignableRoles ist die erlaubte Matrix fuer Store (tenant-gescoped).
 var assignableRoles = map[Role]bool{
 	RoleUser:        true,
 	RoleTenantAdmin: true,
 }
 type Assignment struct {
 	UserID    string
 	Role      Role
 	GrantedBy string
 }
 // Store verwaltet Rollenzuweisungen innerhalb GENAU EINER Tenant-Datenbank —
 // analog zu internal/user.TenantUserStore (Modell C: der Pool bestimmt den
 // Tenant, keine tenant_id-Spalte noetig).
 type Store struct {
 	pool *pgxpool.Pool
 }
 func NewStore(pool *pgxpool.Pool) *Store {
 	return &Store{pool: pool}
 }
 // Assign vergibt eine Rolle an einen Benutzer. grantedBy identifiziert den
 // Akteur, der die Zuweisung vorgenommen hat (Akzeptanzkriterium 3). Jede
 // Zuweisung wird zusaetzlich in role_assignment_history festgehalten, auch
 // wenn sie eine vorherige Rolle ersetzt.
 func (s *Store) Assign(ctx context.Context, userID string, role Role, grantedBy string) (Assignment, error) {
 	if !assignableRoles[role] {
 		return Assignment{}, ErrRoleNotAssignableInTenantScope
 	}
 	if grantedBy == "" {
 		return Assignment{}, errors.New("rbac: grantedBy darf nicht leer sein")
 	}
 	tx, err := s.pool.Begin(ctx)
 	if err != nil {
 		return Assignment{}, fmt.Errorf("transaktion starten: %w", err)
 	}
 	defer func() { _ = tx.Rollback(ctx) }()
 	if _, err := tx.Exec(ctx, `
 		INSERT INTO role_assignments (user_id, role, granted_by, granted_at)
 		VALUES ($1, $2, $3, now())
 		ON CONFLICT (user_id) DO UPDATE SET role = $2, granted_by = $3, granted_at = now()
 	`, userID, string(role), grantedBy); err != nil {
 		return Assignment{}, fmt.Errorf("rolle zuweisen: %w", err)
 	}
 	if _, err := tx.Exec(ctx, `
 		INSERT INTO role_assignment_history (user_id, role, granted_by, granted_at)
 		VALUES ($1, $2, $3, now())
 	`, userID, string(role), grantedBy); err != nil {
 		return Assignment{}, fmt.Errorf("historie schreiben: %w", err)
 	}
 	if err := tx.Commit(ctx); err != nil {
 		return Assignment{}, fmt.Errorf("transaktion committen: %w", err)
 	}
 	return Assignment{UserID: userID, Role: role, GrantedBy: grantedBy}, nil
 }
 func (s *Store) Get(ctx context.Context, userID string) (Assignment, error) {
 	var a Assignment
 	var role string
 	a.UserID = userID
 	if err := s.pool.QueryRow(ctx, `
 		SELECT role, granted_by FROM role_assignments WHERE user_id = $1
 	`, userID).Scan(&role, &a.GrantedBy); err != nil {
 		if errors.Is(err, pgx.ErrNoRows) {
 			return Assignment{}, ErrNotFound
 		}
 		return Assignment{}, fmt.Errorf("rollenzuweisung lesen: %w", err)
 	}
 	a.Role = Role(role)
 	return a, nil
 }
 // History liefert jede Rollenzuweisung eines Benutzers in chronologischer
 // Reihenfolge — die Grundlage fuer "wer hat wann welche Rolle vergeben"
 // (Akzeptanzkriterium 3).
 func (s *Store) History(ctx context.Context, userID string) ([]Assignment, error) {
 	rows, err := s.pool.Query(ctx, `
 		SELECT role, granted_by FROM role_assignment_history
 		WHERE user_id = $1 ORDER BY granted_at
 	`, userID)
 	if err != nil {
 		return nil, fmt.Errorf("historie abfragen: %w", err)
 	}
 	defer rows.Close()
 	var out []Assignment
 	for rows.Next() {
 		var role string
 		a := Assignment{UserID: userID}
 		if err := rows.Scan(&role, &a.GrantedBy); err != nil {
 			return nil, fmt.Errorf("historieneintrag lesen: %w", err)
 		}
 		a.Role = Role(role)
 		out = append(out, a)
 	}
 	return out, rows.Err()
 }
@@ -0,0 +1,144 @@
 package rbac
 import (
 	"context"
 	"errors"
 	"os"
 	"testing"
 	"github.com/jackc/pgx/v5/pgxpool"
 	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 func setupStoreTest(t *testing.T) (*Store, string, func()) {
 	t.Helper()
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	ctx := context.Background()
 	pool, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("pool: %v", err)
 	}
 	if _, err := pool.Exec(ctx, `
 		CREATE TABLE IF NOT EXISTS users (
 			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
 			email TEXT NOT NULL UNIQUE,
 			name TEXT NOT NULL,
 			status TEXT NOT NULL DEFAULT 'active',
 			created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
 			updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 		CREATE TABLE IF NOT EXISTS role_assignments (
 			user_id UUID PRIMARY KEY REFERENCES users(id),
 			role TEXT NOT NULL CHECK (role IN ('user', 'tenant_admin')),
 			granted_by TEXT NOT NULL,
 			granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 		CREATE TABLE IF NOT EXISTS role_assignment_history (
 			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
 			user_id UUID NOT NULL,
 			role TEXT NOT NULL,
 			granted_by TEXT NOT NULL,
 			granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 	`); err != nil {
 		t.Fatalf("schema: %v", err)
 	}
 	userStore := user.NewTenantUserStore(pool)
 	u, err := userStore.Create(ctx, "rbac_test@example.com", "RBAC Test")
 	if err != nil {
 		t.Fatalf("testuser anlegen: %v", err)
 	}
 	cleanup := func() {
 		_, _ = pool.Exec(ctx, `DELETE FROM role_assignment_history WHERE user_id = $1`, u.ID)
 		_, _ = pool.Exec(ctx, `DELETE FROM role_assignments WHERE user_id = $1`, u.ID)
 		_, _ = pool.Exec(ctx, `DELETE FROM users WHERE id = $1`, u.ID)
 		pool.Close()
 	}
 	return NewStore(pool), u.ID, cleanup
 }
 // Akzeptanzkriterium 1: Grundrollen sind einem Benutzer je Tenant zuweisbar.
 func TestStore_AssignAndGet(t *testing.T) {
 	store, userID, cleanup := setupStoreTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	assigned, err := store.Assign(ctx, userID, RoleTenantAdmin, "admin@acme.example")
 	if err != nil {
 		t.Fatalf("assign: %v", err)
 	}
 	if assigned.Role != RoleTenantAdmin {
 		t.Fatalf("erwartet tenant_admin, habe %q", assigned.Role)
 	}
 	got, err := store.Get(ctx, userID)
 	if err != nil {
 		t.Fatalf("get: %v", err)
 	}
 	if got.Role != RoleTenantAdmin || got.GrantedBy != "admin@acme.example" {
 		t.Fatalf("zuweisung unerwartet: %+v", got)
 	}
 }
 // Akzeptanzkriterium 1 + Pruefung 1: Zuweisung ausserhalb der erlaubten
 // Matrix (superadmin im tenant-gescopten Store) wird abgewiesen.
 func TestStore_RejectsSuperadminOutsideAllowedMatrix(t *testing.T) {
 	store, userID, cleanup := setupStoreTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	_, err := store.Assign(ctx, userID, RoleSuperadmin, "admin@acme.example")
 	if !errors.Is(err, ErrRoleNotAssignableInTenantScope) {
 		t.Fatalf("erwartet ErrRoleNotAssignableInTenantScope, habe %v", err)
 	}
 	// Sicherstellen, dass der abgewiesene Versuch keine Zeile hinterlassen hat.
 	if _, err := store.Get(ctx, userID); !errors.Is(err, ErrNotFound) {
 		t.Fatalf("erwartet ErrNotFound nach abgewiesener zuweisung, habe %v", err)
 	}
 }
 func TestStore_RejectsUnknownRole(t *testing.T) {
 	store, userID, cleanup := setupStoreTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	if _, err := store.Assign(ctx, userID, Role("erfunden"), "admin@acme.example"); !errors.Is(err, ErrRoleNotAssignableInTenantScope) {
 		t.Fatalf("erwartet ErrRoleNotAssignableInTenantScope fuer unbekannte rolle, habe %v", err)
 	}
 }
 // Akzeptanzkriterium 3: Rollenzuweisung vollstaendig auditierbar.
 func TestStore_HistoryTracksWhoAndWhen(t *testing.T) {
 	store, userID, cleanup := setupStoreTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	if _, err := store.Assign(ctx, userID, RoleUser, "system"); err != nil {
 		t.Fatalf("assign 1: %v", err)
 	}
 	if _, err := store.Assign(ctx, userID, RoleTenantAdmin, "admin@acme.example"); err != nil {
 		t.Fatalf("assign 2: %v", err)
 	}
 	history, err := store.History(ctx, userID)
 	if err != nil {
 		t.Fatalf("history: %v", err)
 	}
 	if len(history) != 2 {
 		t.Fatalf("erwartet 2 historieneintraege, habe %d", len(history))
 	}
 	if history[0].Role != RoleUser || history[0].GrantedBy != "system" {
 		t.Fatalf("history[0] unerwartet: %+v", history[0])
 	}
 	if history[1].Role != RoleTenantAdmin || history[1].GrantedBy != "admin@acme.example" {
 		t.Fatalf("history[1] unerwartet: %+v", history[1])
 	}
 }
@@ -103,51 +103,6 @@ func (s *TenantUserStore) Deactivate(ctx context.Context, id string) (User, erro
 	`, id, StatusInactive))
 }
 // SetPasswordHash schreibt einen bereits berechneten bcrypt-Hash (siehe
 // internal/auth, IAM-02). Der Store selbst kennt kein Klartext-Passwort.
 func (s *TenantUserStore) SetPasswordHash(ctx context.Context, id, hash string) error {
 	tag, err := s.pool.Exec(ctx, `
 		UPDATE users SET password_hash = $2, updated_at = now() WHERE id = $1
 	`, id, hash)
 	if err != nil {
 		return fmt.Errorf("passwort setzen: %w", err)
 	}
 	if tag.RowsAffected() == 0 {
 		return ErrNotFound
 	}
 	return nil
 }
 // AuthCredentials wird ausschliesslich fuer den Login-Pfad (internal/auth)
 // verwendet und traegt bewusst den password_hash, damit er nicht ueber den
 // regulaeren User-Typ/JSON-Serialisierungspfad nach aussen dringen kann.
 type AuthCredentials struct {
 	User         User
 	PasswordHash string
 }
 // GetByEmailForAuth liefert Benutzer + Passwort-Hash zu einer E-Mail-Adresse
 // aus GENAU DIESER Tenant-Datenbank — der Tenant-Scope ergibt sich damit
 // zwingend aus dem verwendeten Pool, es gibt keine Moeglichkeit, versehentlich
 // ueber Tenant-Grenzen hinweg zu suchen (bekannter archivmail-Fehler, siehe
 // IAM-02 "Bekannte Fehler vermeiden").
 func (s *TenantUserStore) GetByEmailForAuth(ctx context.Context, email string) (AuthCredentials, error) {
 	var c AuthCredentials
 	row := s.pool.QueryRow(ctx, `
 		SELECT id, email, name, status, created_at, updated_at, password_hash
 		FROM users WHERE email = $1
 	`, email)
 	if err := row.Scan(&c.User.ID, &c.User.Email, &c.User.Name, &c.User.Status,
 		&c.User.CreatedAt, &c.User.UpdatedAt, &c.PasswordHash); err != nil {
 		if errors.Is(err, pgx.ErrNoRows) {
 			return AuthCredentials{}, ErrNotFound
 		}
 		return AuthCredentials{}, fmt.Errorf("anmeldedaten lesen: %w", err)
 	}
 	return c, nil
 }
 func scanUser(row pgx.Row) (User, error) {
 	var u User
 	if err := row.Scan(&u.ID, &u.Email, &u.Name, &u.Status, &u.CreatedAt, &u.UpdatedAt); err != nil {
@@ -0,0 +1,2 @@
 DROP TABLE IF EXISTS policy_rule_changes;
 DROP TABLE IF EXISTS policy_rules;
@@ -0,0 +1,24 @@
 -- Zentrale, deklarative Policy-Regeln (RBAC-02, siehe core-kanban/tickets/RBAC-02.md).
 -- policy_rules haelt den AKTUELLEN, gewaehrten Regelsatz (Existenz = erlaubt,
 -- Default-Deny fuer alles ohne Zeile). policy_rule_changes ist die
 -- versionierte Aenderungshistorie (Akzeptanzkriterium 3: Regelwechsel ohne
 -- Codeaenderung nachvollziehbar).
 CREATE TABLE policy_rules (
    role       TEXT NOT NULL,
    permission TEXT NOT NULL,
    granted_by TEXT NOT NULL,
    granted_at TIMESTAMPTZ NOT NULL DEFAULT now(),
    PRIMARY KEY (role, permission)
 );
 CREATE TABLE policy_rule_changes (
    id         UUID PRIMARY KEY DEFAULT gen_random_uuid(),
    role       TEXT NOT NULL,
    permission TEXT NOT NULL,
    action     TEXT NOT NULL CHECK (action IN ('grant', 'revoke')),
    actor      TEXT NOT NULL,
    version    INT NOT NULL,
    changed_at TIMESTAMPTZ NOT NULL DEFAULT now()
 );
 CREATE INDEX policy_rule_changes_idx ON policy_rule_changes (role, permission, version);
@@ -1,2 +0,0 @@
 DROP TABLE rate_limit_counters;
 DROP TABLE rate_limit_configs;
@@ -1,15 +0,0 @@
 -- Rate-Limiting mit geteiltem, externem Zustand (API-03, siehe
 -- core-kanban/tickets/API-03.md) — bewusst NICHT In-Process, damit mehrere
 -- Dienstinstanzen dasselbe Limit korrekt durchsetzen.
 CREATE TABLE rate_limit_configs (
    key            TEXT PRIMARY KEY,
    limit_value    INT NOT NULL,
    window_seconds INT NOT NULL
 );
 CREATE TABLE rate_limit_counters (
    key          TEXT NOT NULL,
    window_start TIMESTAMPTZ NOT NULL,
    count        INT NOT NULL DEFAULT 0,
    PRIMARY KEY (key, window_start)
 );
@@ -0,0 +1 @@
 DROP TABLE IF EXISTS feature_flags;
@@ -0,0 +1,10 @@
 -- Feature-Flags zentral je Mandant/Zielgruppe (LIC-02, siehe core-kanban/tickets/LIC-02.md).
 -- Lebt in der Registry-DB, nicht pro Tenant-Datenbank — Flags sind eine
 -- Core-weite Konfiguration, keine Mandanten-Geschaeftsdaten.
 CREATE TABLE feature_flags (
    key                 TEXT PRIMARY KEY,
    enabled             BOOLEAN NOT NULL DEFAULT false,
    rollout_percentage  INT NOT NULL DEFAULT 0 CHECK (rollout_percentage BETWEEN 0 AND 100),
    target_tenant_slugs TEXT[] NOT NULL DEFAULT '{}',
    updated_at          TIMESTAMPTZ NOT NULL DEFAULT now()
 );
@@ -0,0 +1 @@
 DROP TABLE IF EXISTS policy_module_scopes;
@@ -0,0 +1,11 @@
 -- Modul-Scoping fuer Policy-Regeln (RBAC-04, siehe core-kanban/tickets/RBAC-04.md).
 -- Existiert fuer eine (role, permission)-Regel ein Eintrag hier, gilt sie
 -- NUR, wenn zusaetzlich das verknuepfte Feature-Flag (LIC-02) fuer den
 -- Tenant aktiv ist — Rechte folgen der Lizenz, nicht umgekehrt.
 CREATE TABLE policy_module_scopes (
    role       TEXT NOT NULL,
    permission TEXT NOT NULL,
    module     TEXT NOT NULL,
    flag_key   TEXT NOT NULL,
    PRIMARY KEY (role, permission)
 );
@@ -0,0 +1,2 @@
 DROP TABLE IF EXISTS role_assignment_history;
 DROP TABLE IF EXISTS role_assignments;
@@ -0,0 +1,23 @@
 -- Rollenzuweisung pro Benutzer (RBAC-01, siehe core-kanban/tickets/RBAC-01.md).
 -- Nur 'user' und 'tenant_admin' sind hier zuweisbar — 'superadmin' lebt
 -- mandantenuebergreifend in der Registry (IAM-01 SuperadminStore) und hat
 -- daher bewusst KEINE Zeile in dieser tenant-lokalen Tabelle (Akzeptanz-
 -- kriterium 1: nur Zuweisungen innerhalb der erlaubten Matrix).
 CREATE TABLE role_assignments (
    user_id     UUID PRIMARY KEY REFERENCES users(id),
    role        TEXT NOT NULL CHECK (role IN ('user', 'tenant_admin')),
    granted_by  TEXT NOT NULL,
    granted_at  TIMESTAMPTZ NOT NULL DEFAULT now()
 );
 -- Vollstaendige Historie jeder Rollenaenderung (Akzeptanzkriterium 3: wer
 -- hat wann welche Rolle vergeben).
 CREATE TABLE role_assignment_history (
    id          UUID PRIMARY KEY DEFAULT gen_random_uuid(),
    user_id     UUID NOT NULL,
    role        TEXT NOT NULL,
    granted_by  TEXT NOT NULL,
    granted_at  TIMESTAMPTZ NOT NULL DEFAULT now()
 );
 CREATE INDEX role_assignment_history_user_idx ON role_assignment_history (user_id, granted_at);
@@ -1 +0,0 @@
 ALTER TABLE users DROP COLUMN password_hash;
@@ -1,3 +0,0 @@
 -- Passwort-Hash-Spalte fuer Login (IAM-02, siehe core-kanban/tickets/IAM-02.md).
 -- Enthaelt AUSSCHLIESSLICH den bcrypt-Hash, niemals das Klartext-Passwort.
 ALTER TABLE users ADD COLUMN password_hash TEXT NOT NULL DEFAULT '';
@@ -1,4 +1,11 @@
 #!/usr/bin/env bash
 # Setzt die nexarch-Testumgebung zurueck: loescht die geteilte
 # Registry-Tabelle "tenants" in der postgres-Wartungsdatenbank sowie alle
 # tenant_*-Datenbanken. Noetig, weil verschiedene Feature-Branches
 # unterschiedliche Registry-Schemata erwarten, aber dieselbe physische
 # Postgres-Instanz auf dem Testhost teilen (siehe [[project-nexarch-test-infra]]).
 #
 # Aufruf: NEXARCH_TEST_DB_PASSWORD=... ./scripts/reset-test-env.sh
 set -euo pipefail
 PASS="${NEXARCH_TEST_DB_PASSWORD:?Setze NEXARCH_TEST_DB_PASSWORD vor dem Aufruf}"
@@ -1,4 +1,10 @@
 #!/usr/bin/env bash
 # Ein-Kommando-Pruefung fuer den aktuellen Code-Stand auf dem Testhost:
 # Registry+Tenant-DBs zuruecksetzen, dann build/vet/test in einem Rutsch.
 # -p 1 ist Pflicht, da mehrere Pakete dieselbe physische Registry-Tabelle auf
 # dem Testhost teilen (siehe [[project-nexarch-test-infra]]).
 #
 # Aufruf: NEXARCH_TEST_DB_PASSWORD=... ./scripts/run-checks.sh
 set -euo pipefail
 PASS="${NEXARCH_TEST_DB_PASSWORD:?Setze NEXARCH_TEST_DB_PASSWORD vor dem Aufruf}"
		`@@ -0,0 +1,2 @@`
							`DROP TABLE IF EXISTS policy_rule_changes;`
							`DROP TABLE IF EXISTS policy_rules;`
		`@@ -1,2 +0,0 @@`
			`DROP TABLE rate_limit_counters;`
			`DROP TABLE rate_limit_configs;`
		`@@ -0,0 +1,2 @@`
							`DROP TABLE IF EXISTS role_assignment_history;`
							`DROP TABLE IF EXISTS role_assignments;`
		`@@ -1 +0,0 @@`
			`ALTER TABLE users DROP COLUMN password_hash;`