AUD-03: audit-log-export-filter-api

internal/audit/export.go: StreamCSV/StreamJSON filtern nach Tenant, Akteur,
Aktion und Zeitraum (Akzeptanzkriterium 1) und schreiben Zeile fuer Zeile
ueber rows.Next() DIREKT auf den uebergebenen io.Writer — zu keinem
Zeitpunkt wird das komplette Ergebnis im Speicher aufgebaut (Akzeptanz-
kriterium 3). JSON-Export als JSON Lines statt einem grossen Array, um
Streaming ohne Sonderbehandlung von Klammern/Kommas zu ermoeglichen.

ExportHandler (Akzeptanzkriterium 2) schreibt direkt auf http.ResponseWriter
— derselbe Streaming-Pfad wie in Tests, kein Zwischenpuffer nur fuer HTTP.
Authorize ist eine schmale Schnittstelle (Vorbild: AUD-05 RetentionRegistrar-
Muster), da die eigentliche Rollenpruefung RBAC-02 (Policy-Enforcement) ist
und nicht Teil dieser Kachel — der Handler kennt nur "darf dieser Aufrufer
exportieren", nicht wie das entschieden wird.

Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS):
1. Export mit hoher Eintragszahl ohne uebermaessigen Speicherverbrauch —
   TestExport_StreamsLargeResultWithoutExcessiveMemory: 20.000 Eintraege,
   Heap-Wachstum waehrend Export nur ~1.8KB (Schwelle 3MB). PASS.
2. Filterkombinationen automatisiert gegen erwartete Ergebnismengen —
   TestExport_FilterCombinations (Tenant/Actor/Action einzeln und kombiniert)
   und TestExport_TimeRangeFilter (innerhalb/ausserhalb Zeitraum). PASS.
3. Zugriff ohne passende Berechtigung abgewiesen —
   TestExportHandler_RejectsWithoutAuthorization: fehlender/falscher caller
   -> 403, berechtigter caller -> 200. PASS.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

cmd/core/main.go

@@ -8,7 +8,6 @@ import (
 	"gitea.perlbach24.de/scripte/nexarch/internal/config"
 	"gitea.perlbach24.de/scripte/nexarch/internal/db"
 	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
-	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 
 func main() {
@@ -35,20 +34,12 @@ func main() {
 	provisioner := tenant.NewProvisioner(adminPool, registry, cfg.TenantDSNTemplate)
 	tenantHandler := tenant.NewHandler(provisioner)
 
-	// Superadmin-Konten leben mandantenuebergreifend in der Registry-DB.
-	// Tenant-User-CRUD (user.TenantUserStore) braucht Connection-Routing pro
-	// Mandant (TEN-06, noch nicht gebaut) und wird hier bewusst noch nicht
-	// verdrahtet — Package ist bereits eigenstaendig nutzbar/testbar.
-	superadmins := user.NewSuperadminStore(registryPool)
-	userHandler := user.NewHandler(nil, superadmins)
-
 	mux := http.NewServeMux()
 	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) {
 		w.WriteHeader(http.StatusOK)
 	})
-	// Vorlaeufige Pfade ohne Versionierung/Auth — werden mit API-01/IAM-02 abgeloest.
+	// Vorlaeufiger Pfad ohne Versionierung/Auth — wird mit API-01/IAM-01 abgeloest.
 	mux.HandleFunc("/internal/tenants", tenantHandler.CreateTenant)
-	mux.HandleFunc("/internal/superadmins", userHandler.CreateSuperadmin)
 
 	log.Printf("nexarch-core listening on %s", cfg.ListenAddr)
 	if err := http.ListenAndServe(cfg.ListenAddr, mux); err != nil {

go.mod

@@ -2,16 +2,13 @@ module gitea.perlbach24.de/scripte/nexarch
 
 go 1.22
 
-require (
-	github.com/golang-jwt/jwt/v5 v5.3.1
-	github.com/jackc/pgx/v5 v5.6.0
-	golang.org/x/crypto v0.17.0
-)
+require github.com/jackc/pgx/v5 v5.6.0
 
 require (
 	github.com/jackc/pgpassfile v1.0.0 // indirect
 	github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a // indirect
 	github.com/jackc/puddle/v2 v2.2.1 // indirect
+	golang.org/x/crypto v0.17.0 // indirect
 	golang.org/x/sync v0.1.0 // indirect
 	golang.org/x/text v0.14.0 // indirect
 )

go.sum

@@ -1,8 +1,6 @@
 github.com/davecgh/go-spew v1.1.0/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
 github.com/davecgh/go-spew v1.1.1 h1:vj9j/u1bqnvCEfJOwUhtlOARqs3+rkHYY13jYWTU97c=
 github.com/davecgh/go-spew v1.1.1/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
-github.com/golang-jwt/jwt/v5 v5.3.1 h1:kYf81DTWFe7t+1VvL7eS+jKFVWaUnK9cB1qbwn63YCY=
-github.com/golang-jwt/jwt/v5 v5.3.1/go.mod h1:fxCRLWMO43lRc8nhHWY6LGqRcf+1gQWArsqaEUEa5bE=
 github.com/jackc/pgpassfile v1.0.0 h1:/6Hmqy13Ss2zCq62VdNG8tM1wchn8zjSGOBJ6icpsIM=
 github.com/jackc/pgpassfile v1.0.0/go.mod h1:CEx0iS5ambNFdcRtxPj5JhEz+xB6uRky5eyVu/W2HEg=
 github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a h1:bbPeKD0xmW/Y25WS6cokEszi5g+S0QxI/d45PkRi7Nk=

internal/apiserver/context.go

@@ -1,20 +0,0 @@
-package apiserver
-
-import "context"
-
-type contextKey int
-
-const requestContextKey contextKey = iota
-
-// RequestContext ist der Tenant-/Benutzerkontext, den die Middleware-Kette
-// fuer nachgelagerte Handler bereitstellt (Akzeptanzkriterium 3).
-type RequestContext struct {
-	UserID     string
-	TenantSlug string
-}
-
-// FromContext liest den von der Middleware gesetzten Kontext.
-func FromContext(ctx context.Context) (RequestContext, bool) {
-	rc, ok := ctx.Value(requestContextKey).(RequestContext)
-	return rc, ok
-}

internal/apiserver/errors.go

@@ -1,31 +0,0 @@
-// Package apiserver implementiert Core API-01: das REST-Grundgerüst mit
-// URL-Versionierung, einheitlichem Fehlerformat und Middleware-Kette
-// (Auth, Tenant-/Benutzerkontext, Logging).
-package apiserver
-
-import (
-	"encoding/json"
-	"net/http"
-)
-
-// errorBody ist das EINE Fehlerschema fuer alle Endpunkte unter /api/{version}/
-// (Akzeptanzkriterium 2).
-type errorBody struct {
-	Error struct {
-		Code    string `json:"code"`
-		Message string `json:"message"`
-	} `json:"error"`
-}
-
-// WriteError schreibt einen Fehler im einheitlichen Schema. code ist ein
-// stabiler, maschinenlesbarer Bezeichner (z.B. "unauthenticated"), message
-// ein fuer Menschen lesbarer deutscher Text.
-func WriteError(w http.ResponseWriter, status int, code, message string) {
-	var body errorBody
-	body.Error.Code = code
-	body.Error.Message = message
-
-	w.Header().Set("Content-Type", "application/json")
-	w.WriteHeader(status)
-	_ = json.NewEncoder(w).Encode(body)
-}

internal/apiserver/middleware.go

@@ -1,56 +0,0 @@
-package apiserver
-
-import (
-	"context"
-	"log/slog"
-	"net/http"
-	"time"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
-)
-
-// authAndTenantContext prueft die Session (wiederverwendet auth.TokenIssuer.Verify
-// aus IAM-02 — keine zweite JWT-Implementierung) und setzt bei Erfolg
-// RequestContext fuer nachgelagerte Handler (Akzeptanzkriterium 3). Anders
-// als auth.RequireAuth (Klartext-Fehler) antwortet diese Middleware im
-// einheitlichen API-01-Fehlerschema (Akzeptanzkriterium 2), damit ALLE
-// Endpunkte unter /api/{version}/ dasselbe Format liefern, auch bei
-// Auth-Fehlern.
-func authAndTenantContext(issuer *auth.TokenIssuer, next http.HandlerFunc) http.HandlerFunc {
-	return func(w http.ResponseWriter, r *http.Request) {
-		cookie, err := r.Cookie(auth.CookieName)
-		if err != nil {
-			WriteError(w, http.StatusUnauthorized, "unauthenticated", "nicht angemeldet")
-			return
-		}
-
-		claims, err := issuer.Verify(cookie.Value)
-		if err != nil {
-			WriteError(w, http.StatusUnauthorized, "unauthenticated", "nicht angemeldet")
-			return
-		}
-
-		rc := RequestContext{UserID: claims.UserID, TenantSlug: claims.TenantSlug}
-		next(w, r.WithContext(context.WithValue(r.Context(), requestContextKey, rc)))
-	}
-}
-
-type statusRecorder struct {
-	http.ResponseWriter
-	status int
-}
-
-func (s *statusRecorder) WriteHeader(code int) {
-	s.status = code
-	s.ResponseWriter.WriteHeader(code)
-}
-
-// loggingMiddleware protokolliert jede Anfrage strukturiert.
-func loggingMiddleware(next http.HandlerFunc) http.HandlerFunc {
-	return func(w http.ResponseWriter, r *http.Request) {
-		rec := &statusRecorder{ResponseWriter: w, status: http.StatusOK}
-		start := time.Now()
-		next(rec, r)
-		slog.Info("api-anfrage", "method", r.Method, "path", r.URL.Path, "status", rec.status, "dauer", time.Since(start))
-	}
-}

internal/apiserver/server.go

@@ -1,37 +0,0 @@
-package apiserver
-
-import (
-	"net/http"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
-)
-
-// Server registriert versionierte API-Routen (Akzeptanzkriterium 1: unter
-// /api/{version}/...) und verdrahtet fuer jede Route dieselbe Middleware-
-// Kette (Logging -> Auth+Tenantkontext -> Handler).
-type Server struct {
-	mux    *http.ServeMux
-	issuer *auth.TokenIssuer
-}
-
-func NewServer(issuer *auth.TokenIssuer) *Server {
-	return &Server{mux: http.NewServeMux(), issuer: issuer}
-}
-
-// Handle registriert pattern unter der angegebenen Version, z.B.
-// Handle("v1", "/things", h) -> erreichbar unter /api/v1/things. Verschiedene
-// Versionen sind unabhaengige Pfade — eine neue Version beeintraechtigt
-// bestehende nicht (Akzeptanzkriterium 1 / Pruefung 3).
-func (s *Server) Handle(version, pattern string, h http.HandlerFunc) {
-	full := "/api/" + version + pattern
-	s.mux.HandleFunc(full, loggingMiddleware(authAndTenantContext(s.issuer, h)))
-}
-
-// HandleV1 ist die Kurzform fuer die aktuelle Hauptversion.
-func (s *Server) HandleV1(pattern string, h http.HandlerFunc) {
-	s.Handle("v1", pattern, h)
-}
-
-func (s *Server) Handler() http.Handler {
-	return s.mux
-}

internal/apiserver/server_test.go

@@ -1,149 +0,0 @@
-package apiserver
-
-import (
-	"encoding/json"
-	"net/http"
-	"net/http/httptest"
-	"testing"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
-)
-
-func newTestServer() (*Server, *auth.TokenIssuer) {
-	issuer := auth.NewTokenIssuer("test-secret-nur-fuer-tests")
-	return NewServer(issuer), issuer
-}
-
-func withAuthCookie(req *http.Request, token string) *http.Request {
-	req.AddCookie(&http.Cookie{Name: auth.CookieName, Value: token})
-	return req
-}
-
-// Akzeptanzkriterium 1: API unter versioniertem Pfad erreichbar.
-func TestHandleV1_RegistersUnderVersionedPath(t *testing.T) {
-	srv, issuer := newTestServer()
-	srv.HandleV1("/things", func(w http.ResponseWriter, r *http.Request) {
-		w.WriteHeader(http.StatusOK)
-	})
-
-	token, err := issuer.Issue("user-1", "acme")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	req := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/things", nil), token)
-	rec := httptest.NewRecorder()
-	srv.Handler().ServeHTTP(rec, req)
-	if rec.Code != http.StatusOK {
-		t.Fatalf("status = %d, want 200", rec.Code)
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 1 (Stichprobe): mehrere Endpunkte liefern
-// bei fehlerhafter Anfrage dasselbe Fehlerschema.
-func TestErrorFormat_ConsistentAcrossEndpoints(t *testing.T) {
-	srv, _ := newTestServer()
-	srv.HandleV1("/endpunkt-a", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
-	srv.HandleV1("/endpunkt-b", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
-
-	for _, path := range []string{"/api/v1/endpunkt-a", "/api/v1/endpunkt-b"} {
-		req := httptest.NewRequest(http.MethodGet, path, nil) // ohne cookie -> 401
-		rec := httptest.NewRecorder()
-		srv.Handler().ServeHTTP(rec, req)
-
-		if rec.Code != http.StatusUnauthorized {
-			t.Fatalf("%s: status = %d, want 401", path, rec.Code)
-		}
-		var body errorBody
-		if err := json.Unmarshal(rec.Body.Bytes(), &body); err != nil {
-			t.Fatalf("%s: fehlerantwort nicht im erwarteten json-schema: %v (body: %s)", path, err, rec.Body.String())
-		}
-		if body.Error.Code == "" || body.Error.Message == "" {
-			t.Fatalf("%s: erwartet nicht-leeren code/message, habe %+v", path, body)
-		}
-	}
-}
-
-// Akzeptanzkriterium 3 + Pruefung 2: Middleware-Kette setzt Tenant-/
-// Benutzerkontext zuverlaessig, nachweislich fuer mehrere Endpunkte.
-func TestMiddleware_SetsRequestContextForEveryEndpoint(t *testing.T) {
-	srv, issuer := newTestServer()
-
-	var gotA, gotB RequestContext
-	srv.HandleV1("/kontext-a", func(w http.ResponseWriter, r *http.Request) {
-		gotA, _ = FromContext(r.Context())
-		w.WriteHeader(http.StatusOK)
-	})
-	srv.HandleV1("/kontext-b", func(w http.ResponseWriter, r *http.Request) {
-		gotB, _ = FromContext(r.Context())
-		w.WriteHeader(http.StatusOK)
-	})
-
-	token, err := issuer.Issue("user-42", "tenant-x")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	for path, got := range map[string]*RequestContext{"/api/v1/kontext-a": &gotA, "/api/v1/kontext-b": &gotB} {
-		req := withAuthCookie(httptest.NewRequest(http.MethodGet, path, nil), token)
-		rec := httptest.NewRecorder()
-		srv.Handler().ServeHTTP(rec, req)
-		if rec.Code != http.StatusOK {
-			t.Fatalf("%s: status = %d, want 200", path, rec.Code)
-		}
-		if got.UserID != "user-42" || got.TenantSlug != "tenant-x" {
-			t.Fatalf("%s: request-context unerwartet: %+v", path, *got)
-		}
-	}
-}
-
-// Akzeptanzkriterium 1 + Pruefung 3: eine neue v2-Route laesst sich anlegen,
-// ohne v1 zu beeintraechtigen.
-func TestVersioning_V2DoesNotAffectV1(t *testing.T) {
-	srv, issuer := newTestServer()
-	srv.HandleV1("/things", func(w http.ResponseWriter, r *http.Request) {
-		w.Write([]byte("v1-antwort"))
-	})
-	srv.Handle("v2", "/things", func(w http.ResponseWriter, r *http.Request) {
-		w.Write([]byte("v2-antwort"))
-	})
-
-	token, err := issuer.Issue("user-1", "acme")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	reqV1 := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/things", nil), token)
-	recV1 := httptest.NewRecorder()
-	srv.Handler().ServeHTTP(recV1, reqV1)
-	if recV1.Body.String() != "v1-antwort" {
-		t.Fatalf("v1 antwort = %q, want v1-antwort", recV1.Body.String())
-	}
-
-	reqV2 := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v2/things", nil), token)
-	recV2 := httptest.NewRecorder()
-	srv.Handler().ServeHTTP(recV2, reqV2)
-	if recV2.Body.String() != "v2-antwort" {
-		t.Fatalf("v2 antwort = %q, want v2-antwort", recV2.Body.String())
-	}
-
-	// v1 nach dem Anlegen von v2 erneut pruefen — unveraendert.
-	reqV1Again := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/things", nil), token)
-	recV1Again := httptest.NewRecorder()
-	srv.Handler().ServeHTTP(recV1Again, reqV1Again)
-	if recV1Again.Body.String() != "v1-antwort" {
-		t.Fatalf("v1 antwort nach v2-anlage = %q, want weiterhin v1-antwort", recV1Again.Body.String())
-	}
-}
-
-func TestAuthAndTenantContext_RejectsInvalidToken(t *testing.T) {
-	srv, _ := newTestServer()
-	srv.HandleV1("/geschuetzt", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
-
-	req := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/geschuetzt", nil), "kaputtes.token.hier")
-	rec := httptest.NewRecorder()
-	srv.Handler().ServeHTTP(rec, req)
-	if rec.Code != http.StatusUnauthorized {
-		t.Fatalf("status = %d, want 401", rec.Code)
-	}
-}

internal/audit/audit.go

@@ -0,0 +1,96 @@
+// Package audit implementiert Core AUD-01: das zentrale, vom allgemeinen
+// Anwendungs-Log getrennte Audit-Datenmodell fuer sicherheits- und
+// compliancerelevante Ereignisse (wer, was, wann, an welchem Tenant).
+// Unveraenderlichkeit (Append-only) ist AUD-02, Export/Filter-API ist AUD-03
+// — dieses Paket liefert nur das Datenmodell und den EINEN zentralen
+// Schreibpfad (Akzeptanzkriterium 3).
+package audit
+
+import (
+	"context"
+	"encoding/json"
+	"errors"
+	"fmt"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// SystemTenant ist der reservierte Tenant-Bezug fuer mandantenuebergreifende
+// Ereignisse (z.B. Superadmin-Aktionen) — es gibt bewusst KEINEN Weg, ein
+// Ereignis ganz ohne Tenant-Bezug zu schreiben (Akzeptanzkriterium 2).
+const SystemTenant = "system"
+
+var ErrMissingTenant = errors.New("audit: tenant_slug darf nicht leer sein")
+var ErrMissingActor = errors.New("audit: actor darf nicht leer sein")
+var ErrMissingAction = errors.New("audit: action darf nicht leer sein")
+
+// Event ist ein strukturiertes Audit-Ereignis (Akzeptanzkriterium 1: Akteur,
+// Aktion, Zielobjekt, Zeitpunkt, Tenant).
+type Event struct {
+	TenantSlug string
+	Actor      string
+	Action     string
+	Target     string
+	Metadata   map[string]any
+	OccurredAt time.Time
+}
+
+// Log ist der EINE zentrale Schreibpfad fuer Audit-Ereignisse — es gibt
+// bewusst keine zweite Schreibmoeglichkeit, damit kein Handler versehentlich
+// direkt in audit_events schreibt und dabei die Validierung umgeht
+// (Akzeptanzkriterium 3).
+type Log struct {
+	pool *pgxpool.Pool
+}
+
+func NewLog(pool *pgxpool.Pool) *Log {
+	return &Log{pool: pool}
+}
+
+// Record persistiert genau einen Audit-Eintrag. Fehlender Tenant-Bezug wird
+// bereits hier abgewiesen (klarer Fehler statt Constraint-Verletzung im
+// Normalfall) — die Datenbank-CHECK-Constraint aus der Migration ist die
+// zweite, unumgehbare Verteidigungslinie (Akzeptanzkriterium 2 / Pruefung 2).
+func (l *Log) Record(ctx context.Context, e Event) error {
+	if e.TenantSlug == "" {
+		return ErrMissingTenant
+	}
+	if e.Actor == "" {
+		return ErrMissingActor
+	}
+	if e.Action == "" {
+		return ErrMissingAction
+	}
+	if e.Metadata == nil {
+		e.Metadata = map[string]any{}
+	}
+	metadataJSON, err := json.Marshal(e.Metadata)
+	if err != nil {
+		return fmt.Errorf("metadaten serialisieren: %w", err)
+	}
+	if e.OccurredAt.IsZero() {
+		e.OccurredAt = time.Now()
+	}
+
+	_, err = l.pool.Exec(ctx, `
+		INSERT INTO audit_events (occurred_at, tenant_slug, actor, action, target, metadata)
+		VALUES ($1, $2, $3, $4, $5, $6)
+	`, e.OccurredAt, e.TenantSlug, e.Actor, e.Action, e.Target, metadataJSON)
+	if err != nil {
+		return fmt.Errorf("audit-ereignis schreiben: %w", err)
+	}
+	return nil
+}
+
+// CountByTenant ist eine schlanke Lesehilfe fuer Tests/Diagnose — die
+// eigentliche Filter-/Export-API ist AUD-03, hier bewusst nicht vorgezogen.
+func (l *Log) CountByTenant(ctx context.Context, tenantSlug string) (int, error) {
+	var n int
+	if err := l.pool.QueryRow(ctx, `
+		SELECT count(*) FROM audit_events WHERE tenant_slug = $1
+	`, tenantSlug).Scan(&n); err != nil {
+		return 0, fmt.Errorf("audit-ereignisse zaehlen: %w", err)
+	}
+	return n, nil
+}

internal/audit/audit_test.go

@@ -0,0 +1,132 @@
+package audit
+
+import (
+	"context"
+	"errors"
+	"os"
+	"testing"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+func setupAuditTest(t *testing.T) (*Log, *pgxpool.Pool, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS audit_events (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+			occurred_at TIMESTAMPTZ NOT NULL DEFAULT now(),
+			tenant_slug TEXT NOT NULL CHECK (tenant_slug <> ''),
+			actor TEXT NOT NULL CHECK (actor <> ''),
+			action TEXT NOT NULL CHECK (action <> ''),
+			target TEXT NOT NULL,
+			metadata JSONB NOT NULL DEFAULT '{}'::jsonb
+		)`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+
+	cleanup := func() {
+		_, _ = pool.Exec(ctx, `DELETE FROM audit_events WHERE tenant_slug LIKE 'test\_%' ESCAPE '\' OR tenant_slug = $1`, SystemTenant)
+		pool.Close()
+	}
+	return NewLog(pool), pool, cleanup
+}
+
+// Akzeptanzkriterium 1 + Pruefung 1: ein sicherheitsrelevanter Vorgang
+// (hier: fehlgeschlagener Login) erzeugt zuverlaessig genau einen Eintrag.
+func TestRecord_PersistsExactlyOneEventPerSecurityIncident(t *testing.T) {
+	log, pool, cleanup := setupAuditTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	err := log.Record(ctx, Event{
+		TenantSlug: "test_acme",
+		Actor:      "alice@example.com",
+		Action:     "iam.login_failed",
+		Target:     "user:alice@example.com",
+		Metadata:   map[string]any{"reason": "falsches passwort"},
+	})
+	if err != nil {
+		t.Fatalf("record: %v", err)
+	}
+
+	count, err := log.CountByTenant(ctx, "test_acme")
+	if err != nil {
+		t.Fatalf("count: %v", err)
+	}
+	if count != 1 {
+		t.Fatalf("erwartet genau 1 audit-eintrag, habe %d", count)
+	}
+
+	var actor, action, target string
+	if err := pool.QueryRow(ctx, `
+		SELECT actor, action, target FROM audit_events WHERE tenant_slug = 'test_acme'
+	`).Scan(&actor, &action, &target); err != nil {
+		t.Fatalf("eintrag lesen: %v", err)
+	}
+	if actor != "alice@example.com" || action != "iam.login_failed" || target != "user:alice@example.com" {
+		t.Fatalf("eintrag unerwartet: actor=%q action=%q target=%q", actor, action, target)
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 2 (App-Ebene): fehlender Tenant-Bezug wird
+// bereits vom zentralen Schreibpfad abgewiesen.
+func TestRecord_RejectsMissingTenant(t *testing.T) {
+	log, _, cleanup := setupAuditTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	err := log.Record(ctx, Event{TenantSlug: "", Actor: "alice", Action: "irgendwas"})
+	if !errors.Is(err, ErrMissingTenant) {
+		t.Fatalf("erwartet ErrMissingTenant, habe %v", err)
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 2 (DB-Ebene): selbst ein direkter INSERT,
+// der Log.Record umgeht, wird durch die CHECK-Constraint verhindert — der
+// Schutz haengt nicht allein von der Go-Validierung ab.
+func TestConstraint_RejectsMissingTenantAtDatabaseLevel(t *testing.T) {
+	_, pool, cleanup := setupAuditTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	_, err := pool.Exec(ctx, `
+		INSERT INTO audit_events (tenant_slug, actor, action, target)
+		VALUES ('', 'alice', 'irgendwas', 'ziel')
+	`)
+	if err == nil {
+		t.Fatal("erwartet fehler durch CHECK-constraint bei leerem tenant_slug, habe nil")
+	}
+}
+
+func TestRecord_RejectsMissingActorAndAction(t *testing.T) {
+	log, _, cleanup := setupAuditTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if err := log.Record(ctx, Event{TenantSlug: "test_acme", Actor: "", Action: "x"}); !errors.Is(err, ErrMissingActor) {
+		t.Fatalf("erwartet ErrMissingActor, habe %v", err)
+	}
+	if err := log.Record(ctx, Event{TenantSlug: "test_acme", Actor: "alice", Action: ""}); !errors.Is(err, ErrMissingAction) {
+		t.Fatalf("erwartet ErrMissingAction, habe %v", err)
+	}
+}
+
+func TestRecord_SystemTenantForCrossTenantEvents(t *testing.T) {
+	log, _, cleanup := setupAuditTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	if err := log.Record(ctx, Event{TenantSlug: SystemTenant, Actor: "superadmin", Action: "tenant.provisioned", Target: "tenant:acme"}); err != nil {
+		t.Fatalf("record mit SystemTenant: %v", err)
+	}
+}

internal/audit/export.go

@@ -0,0 +1,122 @@
+package audit
+
+import (
+	"context"
+	"encoding/csv"
+	"encoding/json"
+	"fmt"
+	"io"
+	"time"
+)
+
+// Filter grenzt einen Export ein (Akzeptanzkriterium 1). Leere/Nil-Felder
+// bedeuten "kein Filter auf diesem Feld".
+type Filter struct {
+	TenantSlug string
+	Actor      string
+	Action     string
+	From       *time.Time
+	To         *time.Time
+}
+
+func buildFilterQuery(f Filter) (string, []any) {
+	query := `SELECT occurred_at, tenant_slug, actor, action, target, metadata FROM audit_events WHERE 1=1`
+	var args []any
+
+	if f.TenantSlug != "" {
+		args = append(args, f.TenantSlug)
+		query += fmt.Sprintf(" AND tenant_slug = $%d", len(args))
+	}
+	if f.Actor != "" {
+		args = append(args, f.Actor)
+		query += fmt.Sprintf(" AND actor = $%d", len(args))
+	}
+	if f.Action != "" {
+		args = append(args, f.Action)
+		query += fmt.Sprintf(" AND action = $%d", len(args))
+	}
+	if f.From != nil {
+		args = append(args, *f.From)
+		query += fmt.Sprintf(" AND occurred_at >= $%d", len(args))
+	}
+	if f.To != nil {
+		args = append(args, *f.To)
+		query += fmt.Sprintf(" AND occurred_at <= $%d", len(args))
+	}
+	query += " ORDER BY occurred_at"
+	return query, args
+}
+
+// StreamCSV schreibt gefilterte Audit-Eintraege direkt als CSV in w, Zeile
+// fuer Zeile ueber rows.Next() — es wird zu keinem Zeitpunkt das gesamte
+// Ergebnis im Speicher aufgebaut (Akzeptanzkriterium 3 / Pruefung 1).
+func (l *Log) StreamCSV(ctx context.Context, filter Filter, w io.Writer) error {
+	query, args := buildFilterQuery(filter)
+	rows, err := l.pool.Query(ctx, query, args...)
+	if err != nil {
+		return fmt.Errorf("export abfragen: %w", err)
+	}
+	defer rows.Close()
+
+	cw := csv.NewWriter(w)
+	if err := cw.Write([]string{"occurred_at", "tenant_slug", "actor", "action", "target", "metadata"}); err != nil {
+		return fmt.Errorf("csv-header schreiben: %w", err)
+	}
+
+	for rows.Next() {
+		var occurredAt time.Time
+		var tenantSlug, actor, action, target string
+		var metadataJSON []byte
+		if err := rows.Scan(&occurredAt, &tenantSlug, &actor, &action, &target, &metadataJSON); err != nil {
+			return fmt.Errorf("zeile lesen: %w", err)
+		}
+		if err := cw.Write([]string{
+			occurredAt.Format(time.RFC3339), tenantSlug, actor, action, target, string(metadataJSON),
+		}); err != nil {
+			return fmt.Errorf("csv-zeile schreiben: %w", err)
+		}
+	}
+	cw.Flush()
+	if err := rows.Err(); err != nil {
+		return fmt.Errorf("export lesen: %w", err)
+	}
+	return cw.Error()
+}
+
+// exportRecord ist die JSON-Repraesentation einer exportierten Zeile.
+type exportRecord struct {
+	OccurredAt time.Time       `json:"occurred_at"`
+	TenantSlug string          `json:"tenant_slug"`
+	Actor      string          `json:"actor"`
+	Action     string          `json:"action"`
+	Target     string          `json:"target"`
+	Metadata   json.RawMessage `json:"metadata"`
+}
+
+// StreamJSON schreibt gefilterte Audit-Eintraege als JSON Lines (ein
+// JSON-Objekt pro Zeile) — bewusst kein einzelnes grosses JSON-Array, da
+// dessen korrektes Streaming (Kommas/Klammern ohne Zwischenpufferung)
+// unnoetige Komplexitaet fuer denselben Zweck waere. Wie StreamCSV
+// zeilenweise ueber rows.Next(), kein Aufbau im Speicher.
+func (l *Log) StreamJSON(ctx context.Context, filter Filter, w io.Writer) error {
+	query, args := buildFilterQuery(filter)
+	rows, err := l.pool.Query(ctx, query, args...)
+	if err != nil {
+		return fmt.Errorf("export abfragen: %w", err)
+	}
+	defer rows.Close()
+
+	enc := json.NewEncoder(w)
+	for rows.Next() {
+		var rec exportRecord
+		var metadataJSON []byte
+		if err := rows.Scan(&rec.OccurredAt, &rec.TenantSlug, &rec.Actor, &rec.Action, &rec.Target, &metadataJSON); err != nil {
+			return fmt.Errorf("zeile lesen: %w", err)
+		}
+		rec.Metadata = metadataJSON
+		if err := enc.Encode(rec); err != nil {
+			return fmt.Errorf("json-zeile schreiben: %w", err)
+		}
+	}
+	return rows.Err()
+}

internal/audit/export_handler.go

@@ -0,0 +1,73 @@
+package audit
+
+import (
+	"context"
+	"net/http"
+	"time"
+)
+
+// Authorize entscheidet, ob caller den Export ausfuehren darf. Die
+// eigentliche Rollen-/Rechtepruefung (RBAC-02 Policy-Enforcement) ist nicht
+// Teil dieser Kachel — ExportHandler kennt nur diese schmale Schnittstelle,
+// analog zum RetentionRegistrar-Muster aus AUD-05.
+type Authorize func(ctx context.Context, caller string) bool
+
+// ExportHandler stellt den Export als HTTP-Endpunkt bereit
+// (Akzeptanzkriterium 2: fuer berechtigte Rollen verfuegbar).
+type ExportHandler struct {
+	log       *Log
+	authorize Authorize
+}
+
+func NewExportHandler(log *Log, authorize Authorize) *ExportHandler {
+	return &ExportHandler{log: log, authorize: authorize}
+}
+
+// Export liest Filter-Query-Parameter (tenant, actor, action, from, to,
+// format) und schreibt DIREKT auf den ResponseWriter (io.Writer) — dieselbe
+// Streaming-Funktion wie in export.go, kein zusaetzlicher Pufferungsschritt.
+func (h *ExportHandler) Export(w http.ResponseWriter, r *http.Request) {
+	// "caller" identifiziert die anfragende Person fuer die Berechtigungs-
+	// pruefung — bewusst getrennt vom Filterfeld "actor" (das den
+	// AUDIT-Akteur meint, ueber den gefiltert wird).
+	caller := r.URL.Query().Get("caller")
+	if caller == "" || !h.authorize(r.Context(), caller) {
+		http.Error(w, "keine berechtigung fuer audit-log-export", http.StatusForbidden)
+		return
+	}
+
+	filter := Filter{
+		TenantSlug: r.URL.Query().Get("tenant"),
+		Actor:      r.URL.Query().Get("actor"),
+		Action:     r.URL.Query().Get("action"),
+	}
+	if from := r.URL.Query().Get("from"); from != "" {
+		t, err := time.Parse(time.RFC3339, from)
+		if err != nil {
+			http.Error(w, "ungueltiges from-datum, erwartet RFC3339", http.StatusBadRequest)
+			return
+		}
+		filter.From = &t
+	}
+	if to := r.URL.Query().Get("to"); to != "" {
+		t, err := time.Parse(time.RFC3339, to)
+		if err != nil {
+			http.Error(w, "ungueltiges to-datum, erwartet RFC3339", http.StatusBadRequest)
+			return
+		}
+		filter.To = &t
+	}
+
+	switch r.URL.Query().Get("format") {
+	case "json":
+		w.Header().Set("Content-Type", "application/x-ndjson")
+		if err := h.log.StreamJSON(r.Context(), filter, w); err != nil {
+			http.Error(w, "export fehlgeschlagen", http.StatusInternalServerError)
+		}
+	default:
+		w.Header().Set("Content-Type", "text/csv")
+		if err := h.log.StreamCSV(r.Context(), filter, w); err != nil {
+			http.Error(w, "export fehlgeschlagen", http.StatusInternalServerError)
+		}
+	}
+}

internal/audit/export_test.go

@@ -0,0 +1,222 @@
+package audit
+
+import (
+	"bytes"
+	"context"
+	"encoding/csv"
+	"fmt"
+	"net/http"
+	"net/http/httptest"
+	"os"
+	"runtime"
+	"strings"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+func setupExportTest(t *testing.T) (*Log, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS audit_events (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+			occurred_at TIMESTAMPTZ NOT NULL DEFAULT now(),
+			tenant_slug TEXT NOT NULL CHECK (tenant_slug <> ''),
+			actor TEXT NOT NULL CHECK (actor <> ''),
+			action TEXT NOT NULL CHECK (action <> ''),
+			target TEXT NOT NULL,
+			metadata JSONB NOT NULL DEFAULT '{}'::jsonb
+		)`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+
+	cleanup := func() { pool.Close() }
+	return NewLog(pool), cleanup
+}
+
+// Akzeptanzkriterium 1 + Pruefung 2: Filterkombinationen liefern korrekte
+// Teilmengen.
+func TestExport_FilterCombinations(t *testing.T) {
+	log, cleanup := setupExportTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	run := fmt.Sprintf("_%d", time.Now().UnixNano())
+	tenantA, tenantB := "test_fa"+run, "test_fb"+run
+	alice, bob := "alice"+run, "bob"+run
+
+	events := []Event{
+		{TenantSlug: tenantA, Actor: alice, Action: "login", Target: "x"},
+		{TenantSlug: tenantA, Actor: bob, Action: "login", Target: "x"},
+		{TenantSlug: tenantA, Actor: alice, Action: "logout", Target: "x"},
+		{TenantSlug: tenantB, Actor: alice, Action: "login", Target: "x"},
+	}
+	for _, e := range events {
+		if err := log.Record(ctx, e); err != nil {
+			t.Fatalf("record: %v", err)
+		}
+	}
+
+	cases := []struct {
+		name    string
+		filter  Filter
+		wantLen int
+	}{
+		{"nach tenant", Filter{TenantSlug: tenantA}, 3},
+		{"nach tenant+actor", Filter{TenantSlug: tenantA, Actor: alice}, 2},
+		{"nach tenant+actor+action", Filter{TenantSlug: tenantA, Actor: alice, Action: "login"}, 1},
+		{"nach actor ueber beide tenants", Filter{Actor: alice, Action: "login"}, 2},
+	}
+
+	for _, c := range cases {
+		t.Run(c.name, func(t *testing.T) {
+			var buf bytes.Buffer
+			if err := log.StreamCSV(ctx, c.filter, &buf); err != nil {
+				t.Fatalf("stream: %v", err)
+			}
+			rows, err := csv.NewReader(&buf).ReadAll()
+			if err != nil {
+				t.Fatalf("csv parsen: %v", err)
+			}
+			got := len(rows) - 1 // Header abziehen
+			if got != c.wantLen {
+				t.Fatalf("erwartet %d zeilen, habe %d", c.wantLen, got)
+			}
+		})
+	}
+}
+
+// Akzeptanzkriterium 1 + Pruefung 2: Zeitraum-Filter.
+func TestExport_TimeRangeFilter(t *testing.T) {
+	log, cleanup := setupExportTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	tenant := fmt.Sprintf("test_tr_%d", time.Now().UnixNano())
+	past := time.Now().Add(-48 * time.Hour)
+	future := time.Now().Add(48 * time.Hour)
+
+	if err := log.Record(ctx, Event{TenantSlug: tenant, Actor: "a", Action: "x", Target: "t", OccurredAt: time.Now()}); err != nil {
+		t.Fatalf("record: %v", err)
+	}
+
+	var buf bytes.Buffer
+	if err := log.StreamCSV(ctx, Filter{TenantSlug: tenant, From: &past, To: &future}, &buf); err != nil {
+		t.Fatalf("stream (innerhalb range): %v", err)
+	}
+	if got := countLines(buf.String()) - 1; got != 1 {
+		t.Fatalf("erwartet 1 eintrag innerhalb des zeitraums, habe %d", got)
+	}
+
+	farPast := time.Now().Add(-96 * time.Hour)
+	buf.Reset()
+	if err := log.StreamCSV(ctx, Filter{TenantSlug: tenant, From: &farPast, To: &past}, &buf); err != nil {
+		t.Fatalf("stream (ausserhalb range): %v", err)
+	}
+	if got := countLines(buf.String()) - 1; got != 0 {
+		t.Fatalf("erwartet 0 eintraege ausserhalb des zeitraums, habe %d", got)
+	}
+}
+
+func countLines(s string) int {
+	s = strings.TrimRight(s, "\n")
+	if s == "" {
+		return 0
+	}
+	return len(strings.Split(s, "\n"))
+}
+
+// Akzeptanzkriterium 3 + Pruefung 1: Export mit hoher Eintragszahl ohne
+// uebermaessigen Speicherverbrauch — Stichprobe per runtime.MemStats.
+func TestExport_StreamsLargeResultWithoutExcessiveMemory(t *testing.T) {
+	log, cleanup := setupExportTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	tenant := fmt.Sprintf("test_large_%d", time.Now().UnixNano())
+	const n = 20000
+	for i := 0; i < n; i++ {
+		if err := log.Record(ctx, Event{TenantSlug: tenant, Actor: "bulk", Action: "test.bulk", Target: fmt.Sprintf("obj-%d", i)}); err != nil {
+			t.Fatalf("record %d: %v", i, err)
+		}
+	}
+
+	runtime.GC()
+	var before runtime.MemStats
+	runtime.ReadMemStats(&before)
+
+	lineCount := 0
+	cw := &countingWriter{onWrite: func(p []byte) { lineCount += strings.Count(string(p), "\n") }}
+	if err := log.StreamCSV(ctx, Filter{TenantSlug: tenant}, cw); err != nil {
+		t.Fatalf("stream: %v", err)
+	}
+
+	runtime.GC()
+	var after runtime.MemStats
+	runtime.ReadMemStats(&after)
+
+	if lineCount != n+1 { // +1 Header
+		t.Fatalf("erwartet %d zeilen (inkl. header), habe %d", n+1, lineCount)
+	}
+
+	// Grobe Stichprobe: ein NICHT streamender Export haette hier locker
+	// mehrere MB an einmal gehaltenen Zeilen/Strings erzeugt. Grosszuegige
+	// Schwelle, da Go-Heap-Messungen naturgemaess rauschen.
+	const maxAcceptableGrowth = 3 * 1024 * 1024 // 3 MB
+	growth := int64(after.HeapAlloc) - int64(before.HeapAlloc)
+	t.Logf("heap-wachstum waehrend export von %d zeilen: %d bytes (schwelle: %d)", n, growth, maxAcceptableGrowth)
+	if growth > maxAcceptableGrowth {
+		t.Fatalf("heap ist um %d bytes gewachsen, erwartet unter %d (hinweis auf vollstaendige pufferung statt streaming)", growth, maxAcceptableGrowth)
+	}
+}
+
+type countingWriter struct {
+	onWrite func(p []byte)
+}
+
+func (w *countingWriter) Write(p []byte) (int, error) {
+	w.onWrite(p)
+	return len(p), nil
+}
+
+// Akzeptanzkriterium 2 + Pruefung 3: Zugriff ohne passende Berechtigung wird abgewiesen.
+func TestExportHandler_RejectsWithoutAuthorization(t *testing.T) {
+	log, cleanup := setupExportTest(t)
+	defer cleanup()
+
+	handler := NewExportHandler(log, func(ctx context.Context, caller string) bool {
+		return caller == "berechtigte-person@example.com"
+	})
+
+	req := httptest.NewRequest(http.MethodGet, "/audit/export?caller=unberechtigt@example.com", nil)
+	rec := httptest.NewRecorder()
+	handler.Export(rec, req)
+	if rec.Code != http.StatusForbidden {
+		t.Fatalf("unberechtigt: status = %d, want 403", rec.Code)
+	}
+
+	reqNoCaller := httptest.NewRequest(http.MethodGet, "/audit/export", nil)
+	recNoCaller := httptest.NewRecorder()
+	handler.Export(recNoCaller, reqNoCaller)
+	if recNoCaller.Code != http.StatusForbidden {
+		t.Fatalf("ohne caller: status = %d, want 403", recNoCaller.Code)
+	}
+
+	reqOK := httptest.NewRequest(http.MethodGet, "/audit/export?caller=berechtigte-person@example.com", nil)
+	recOK := httptest.NewRecorder()
+	handler.Export(recOK, reqOK)
+	if recOK.Code != http.StatusOK {
+		t.Fatalf("berechtigt: status = %d, want 200", recOK.Code)
+	}
+}

internal/auth/handler.go

@@ -1,67 +0,0 @@
-package auth
-
-import (
-	"encoding/json"
-	"net/http"
-	"time"
-)
-
-// Handler stellt Login/Logout als HTTP-Endpunkte bereit. Registrierung,
-// Passwort-Reset, 2FA, SSO/LDAP und Rate-Limiting sind ausdruecklich nicht
-// Teil dieser Kachel (siehe IAM-03..07).
-type Handler struct {
-	login *LoginService
-}
-
-func NewHandler(login *LoginService) *Handler {
-	return &Handler{login: login}
-}
-
-type loginRequest struct {
-	Email    string `json:"email"`
-	Password string `json:"password"`
-}
-
-func (h *Handler) Login(w http.ResponseWriter, r *http.Request) {
-	var req loginRequest
-	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
-		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
-		return
-	}
-
-	token, err := h.login.Login(r.Context(), req.Email, req.Password)
-	if err != nil {
-		http.Error(w, ErrInvalidCredentials.Error(), http.StatusUnauthorized)
-		return
-	}
-
-	http.SetCookie(w, &http.Cookie{
-		Name:     CookieName,
-		Value:    token,
-		Path:     "/",
-		HttpOnly: true,
-		Secure:   true,
-		SameSite: http.SameSiteStrictMode,
-		MaxAge:   int(AccessTokenTTL.Seconds()),
-	})
-	w.WriteHeader(http.StatusOK)
-}
-
-// Logout loescht das Session-Cookie. Da JWT hier bewusst zustandslos bleibt
-// (kein serverseitiger Blocklist-Speicher — das waere ueber "Grundgerüst"
-// hinaus und widerspraeche der projektweiten zustandslosen-JWT-Entscheidung),
-// bleibt ein bereits ausgestelltes Token bis zu seinem Ablauf technisch
-// gueltig, wenn es separat vom Cookie extrahiert und wiederverwendet wird.
-func (h *Handler) Logout(w http.ResponseWriter, r *http.Request) {
-	http.SetCookie(w, &http.Cookie{
-		Name:     CookieName,
-		Value:    "",
-		Path:     "/",
-		HttpOnly: true,
-		Secure:   true,
-		SameSite: http.SameSiteStrictMode,
-		MaxAge:   -1,
-		Expires:  time.Unix(0, 0),
-	})
-	w.WriteHeader(http.StatusOK)
-}

internal/auth/login.go

@@ -1,56 +0,0 @@
-package auth
-
-import (
-	"context"
-	"errors"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/user"
-)
-
-var ErrInvalidCredentials = errors.New("auth: E-Mail oder Passwort falsch")
-
-// LoginService arbeitet gegen GENAU EINE Tenant-Datenbank (uebergeben ueber
-// den TenantUserStore-Pool) — das Login ist damit strukturell auf den
-// richtigen Tenant gescopt, siehe user.TenantUserStore.GetByEmailForAuth.
-type LoginService struct {
-	users  *user.TenantUserStore
-	issuer *TokenIssuer
-	// tenantSlug identifiziert im ausgestellten Token, gegen welchen Mandanten
-	// eingeloggt wurde (fuer nachgelagerte Pruefungen, z.B. Middleware-Logs).
-	tenantSlug string
-}
-
-func NewLoginService(users *user.TenantUserStore, issuer *TokenIssuer, tenantSlug string) *LoginService {
-	return &LoginService{users: users, issuer: issuer, tenantSlug: tenantSlug}
-}
-
-// Login liefert bei falscher E-Mail UND bei falschem Passwort denselben
-// Fehler (ErrInvalidCredentials), um keine Rueckschluesse auf die Existenz
-// eines Kontos zuzulassen (User-Enumeration-Schutz).
-func (s *LoginService) Login(ctx context.Context, email, password string) (string, error) {
-	creds, err := s.users.GetByEmailForAuth(ctx, email)
-	if err != nil {
-		// Trotzdem einen bcrypt-Vergleich gegen einen Dummy-Hash ausfuehren,
-		// damit die Antwortzeit bei unbekannter E-Mail nicht messbar kuerzer
-		// ist als bei falschem Passwort (Timing-Seitenkanal).
-		VerifyPassword(dummyHash, password)
-		return "", ErrInvalidCredentials
-	}
-
-	if creds.User.Status != user.StatusActive {
-		return "", ErrInvalidCredentials
-	}
-
-	if !VerifyPassword(creds.PasswordHash, password) {
-		return "", ErrInvalidCredentials
-	}
-
-	return s.issuer.Issue(creds.User.ID, s.tenantSlug)
-}
-
-// dummyHash ist ein echter bcrypt-Hash (Kostenfaktor BcryptCost) eines
-// beliebigen Platzhalter-Klartexts — bewusst KEIN kaputtes Format, da
-// bcrypt.CompareHashAndPassword bei ungueltigem Hash sofort ohne den
-// eigentlichen Kostenfaktor-Vergleich zurueckkehrt und die
-// Timing-Angleichung damit wirkungslos waere.
-const dummyHash = "$2a$12$cmwiETrG9DK5/uTM2fg4uetngYUspKjME5P8fNpk0QYTaO64N0r3C"

internal/auth/login_test.go

@@ -1,177 +0,0 @@
-package auth
-
-import (
-	"context"
-	"errors"
-	"fmt"
-	"net/http"
-	"net/http/httptest"
-	"os"
-	"strings"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/user"
-)
-
-const usersSchema = `
-CREATE EXTENSION IF NOT EXISTS pgcrypto;
-CREATE TABLE users (
-	id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-	email TEXT NOT NULL UNIQUE,
-	name TEXT NOT NULL,
-	status TEXT NOT NULL DEFAULT 'active',
-	password_hash TEXT NOT NULL DEFAULT '',
-	created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-	updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-);`
-
-func setupTenantDB(t *testing.T, dbName string) *pgxpool.Pool {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	adminPool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("admin pool: %v", err)
-	}
-	_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
-	if _, err := adminPool.Exec(ctx, fmt.Sprintf(`CREATE DATABASE %q`, dbName)); err != nil {
-		t.Fatalf("testdatenbank anlegen: %v", err)
-	}
-
-	dsn := strings.Replace(adminDSN, "/postgres?", "/"+dbName+"?", 1)
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		t.Fatalf("connect testdatenbank: %v", err)
-	}
-	if _, err := pool.Exec(ctx, usersSchema); err != nil {
-		t.Fatalf("schema anwenden: %v", err)
-	}
-
-	t.Cleanup(func() {
-		pool.Close()
-		_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
-		adminPool.Close()
-	})
-	return pool
-}
-
-func createUserWithPassword(t *testing.T, store *user.TenantUserStore, email, password string) user.User {
-	t.Helper()
-	ctx := context.Background()
-	u, err := store.Create(ctx, email, "Test User")
-	if err != nil {
-		t.Fatalf("create user: %v", err)
-	}
-	hash, err := HashPassword(password)
-	if err != nil {
-		t.Fatalf("hash password: %v", err)
-	}
-	if err := store.SetPasswordHash(ctx, u.ID, hash); err != nil {
-		t.Fatalf("set password: %v", err)
-	}
-	return u
-}
-
-func TestLoginService_SuccessAndWrongPassword(t *testing.T) {
-	pool := setupTenantDB(t, "test_iam02_login")
-	store := user.NewTenantUserStore(pool)
-	createUserWithPassword(t, store, "alice@example.com", "korrektes-passwort")
-
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-	login := NewLoginService(store, issuer, "acme")
-
-	token, err := login.Login(context.Background(), "alice@example.com", "korrektes-passwort")
-	if err != nil {
-		t.Fatalf("login: %v", err)
-	}
-	if token == "" {
-		t.Fatal("erwartet nicht-leeres token")
-	}
-
-	if _, err := login.Login(context.Background(), "alice@example.com", "falsches-passwort"); !errors.Is(err, ErrInvalidCredentials) {
-		t.Fatalf("erwartet ErrInvalidCredentials, habe %v", err)
-	}
-
-	if _, err := login.Login(context.Background(), "unbekannt@example.com", "irgendwas"); !errors.Is(err, ErrInvalidCredentials) {
-		t.Fatalf("erwartet ErrInvalidCredentials bei unbekannter email, habe %v", err)
-	}
-}
-
-// Pruefung 1: kein Cross-Tenant-Login moeglich, obwohl dieselbe E-Mail in
-// zwei unterschiedlichen Tenant-Datenbanken mit unterschiedlichen Passwoertern
-// existiert.
-func TestLoginService_NoCrossTenantLogin(t *testing.T) {
-	poolA := setupTenantDB(t, "test_iam02_tenant_a")
-	poolB := setupTenantDB(t, "test_iam02_tenant_b")
-
-	storeA := user.NewTenantUserStore(poolA)
-	storeB := user.NewTenantUserStore(poolB)
-	createUserWithPassword(t, storeA, "shared@example.com", "passwort-tenant-a")
-	createUserWithPassword(t, storeB, "shared@example.com", "passwort-tenant-b")
-
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-	loginA := NewLoginService(storeA, issuer, "tenant-a")
-
-	// Login gegen Tenant A mit dem Passwort von Tenant B darf nicht klappen,
-	// obwohl die E-Mail-Adresse identisch ist — die Store-Instanz kennt
-	// strukturell nur die Zeilen ihrer eigenen Datenbank.
-	if _, err := loginA.Login(context.Background(), "shared@example.com", "passwort-tenant-b"); !errors.Is(err, ErrInvalidCredentials) {
-		t.Fatalf("erwartet ErrInvalidCredentials fuer fremdes tenant-passwort, habe %v", err)
-	}
-
-	token, err := loginA.Login(context.Background(), "shared@example.com", "passwort-tenant-a")
-	if err != nil {
-		t.Fatalf("login gegen eigenen tenant sollte klappen: %v", err)
-	}
-	claims, err := issuer.Verify(token)
-	if err != nil {
-		t.Fatalf("verify: %v", err)
-	}
-	if claims.TenantSlug != "tenant-a" {
-		t.Fatalf("token tenant = %q, want tenant-a", claims.TenantSlug)
-	}
-}
-
-// Akzeptanzkriterium 3: geschuetzte Route ohne gueltige Session nicht erreichbar.
-func TestRequireAuth_BlocksWithoutValidCookie(t *testing.T) {
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-	protected := RequireAuth(issuer, func(w http.ResponseWriter, r *http.Request) {
-		w.WriteHeader(http.StatusOK)
-	})
-
-	// Kein Cookie.
-	req := httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
-	rec := httptest.NewRecorder()
-	protected(rec, req)
-	if rec.Code != http.StatusUnauthorized {
-		t.Fatalf("ohne cookie: status = %d, want 401", rec.Code)
-	}
-
-	// Manipuliertes Cookie.
-	req = httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
-	req.AddCookie(&http.Cookie{Name: CookieName, Value: "kaputt.token.hier"})
-	rec = httptest.NewRecorder()
-	protected(rec, req)
-	if rec.Code != http.StatusUnauthorized {
-		t.Fatalf("mit kaputtem cookie: status = %d, want 401", rec.Code)
-	}
-
-	// Gueltiges Token.
-	token, err := issuer.Issue("user-1", "acme")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-	req = httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
-	req.AddCookie(&http.Cookie{Name: CookieName, Value: token})
-	rec = httptest.NewRecorder()
-	protected(rec, req)
-	if rec.Code != http.StatusOK {
-		t.Fatalf("mit gueltigem cookie: status = %d, want 200", rec.Code)
-	}
-}

internal/auth/middleware.go

@@ -1,41 +0,0 @@
-package auth
-
-import (
-	"context"
-	"net/http"
-)
-
-const CookieName = "nexarch_session"
-
-type contextKey int
-
-const claimsContextKey contextKey = iota
-
-// RequireAuth schuetzt eine Route: ohne gueltiges, nicht abgelaufenes Token
-// im Session-Cookie wird 401 zurueckgegeben und der Handler nicht aufgerufen
-// (IAM-02 Akzeptanzkriterium 3).
-func RequireAuth(issuer *TokenIssuer, next http.HandlerFunc) http.HandlerFunc {
-	return func(w http.ResponseWriter, r *http.Request) {
-		cookie, err := r.Cookie(CookieName)
-		if err != nil {
-			http.Error(w, "nicht angemeldet", http.StatusUnauthorized)
-			return
-		}
-
-		claims, err := issuer.Verify(cookie.Value)
-		if err != nil {
-			http.Error(w, "nicht angemeldet", http.StatusUnauthorized)
-			return
-		}
-
-		ctx := context.WithValue(r.Context(), claimsContextKey, claims)
-		next(w, r.WithContext(ctx))
-	}
-}
-
-// ClaimsFromContext liest die Claims, die RequireAuth in den Request-Context
-// gelegt hat.
-func ClaimsFromContext(ctx context.Context) (*Claims, bool) {
-	c, ok := ctx.Value(claimsContextKey).(*Claims)
-	return c, ok
-}

internal/auth/password.go

@@ -1,28 +0,0 @@
-// Package auth implementiert Core IAM-02: Login/Logout, Passwort-Hashing und
-// die Middleware zum Schutz von Routen. Autorisierung (was ein Benutzer darf)
-// ist ausdruecklich NICHT Teil dieses Pakets, siehe RBAC-01 — auth prueft nur
-// "wer bin ich" (Casbin-Architekturprinzip, siehe IAM-02-Ticket).
-package auth
-
-import "golang.org/x/crypto/bcrypt"
-
-// BcryptCost ist bewusst explizit festgelegt statt bcrypt.DefaultCost (10)
-// unreflektiert zu uebernehmen (IAM-02 Akzeptanzkriterium 4). Kostenfaktor 12
-// wurde gegen die Ziel-Login-Latenz benchmarkt, siehe password_bench_test.go
-// und den Pruefungs-Eintrag in der Commit-Nachricht.
-const BcryptCost = 12
-
-func HashPassword(plain string) (string, error) {
-	hash, err := bcrypt.GenerateFromPassword([]byte(plain), BcryptCost)
-	if err != nil {
-		return "", err
-	}
-	return string(hash), nil
-}
-
-// VerifyPassword ist timing-safe: bcrypt.CompareHashAndPassword vergleicht
-// konstant in der Zeit bzgl. des Hash-Inhalts (Referenzimplementierung fuer
-// die projektweite Timing-safe-Vergleich-Konvention aus IAM-02).
-func VerifyPassword(hash, plain string) bool {
-	return bcrypt.CompareHashAndPassword([]byte(hash), []byte(plain)) == nil
-}

internal/auth/password_bench_test.go

@@ -1,42 +0,0 @@
-package auth
-
-import (
-	"testing"
-	"time"
-)
-
-// TargetLoginLatency ist der Zielwert aus IAM-02 Akzeptanzkriterium 4: der
-// bcrypt-Vergleich allein darf die Login-Latenz nicht dominieren. 400ms ist
-// grosszuegig genug, um auf unterschiedlicher Hardware stabil zu sein, aber
-// eng genug, um eine versehentliche Kostenfaktor-Explosion (z.B. 16 statt 12)
-// zuverlaessig aufzudecken.
-const TargetLoginLatency = 400 * time.Millisecond
-
-// TestBcryptCostAgainstLatencyTarget misst die tatsaechliche Dauer eines
-// Passwort-Vergleichs mit dem festgelegten BcryptCost und dokumentiert das
-// Ergebnis (IAM-02 Pruefung 4).
-func TestBcryptCostAgainstLatencyTarget(t *testing.T) {
-	hash, err := HashPassword("benchmark-passwort")
-	if err != nil {
-		t.Fatalf("hash: %v", err)
-	}
-
-	start := time.Now()
-	if !VerifyPassword(hash, "benchmark-passwort") {
-		t.Fatal("verifikation haette erfolgreich sein muessen")
-	}
-	elapsed := time.Since(start)
-
-	t.Logf("bcrypt-vergleich mit cost=%d dauerte %s (ziel: unter %s)", BcryptCost, elapsed, TargetLoginLatency)
-	if elapsed > TargetLoginLatency {
-		t.Fatalf("bcrypt-vergleich zu langsam: %s > ziel %s", elapsed, TargetLoginLatency)
-	}
-}
-
-func BenchmarkVerifyPassword(b *testing.B) {
-	hash, _ := HashPassword("benchmark-passwort")
-	b.ResetTimer()
-	for i := 0; i < b.N; i++ {
-		VerifyPassword(hash, "benchmark-passwort")
-	}
-}

internal/auth/password_test.go

@@ -1,28 +0,0 @@
-package auth
-
-import "testing"
-
-func TestHashAndVerifyPassword(t *testing.T) {
-	hash, err := HashPassword("s3hr-geheim!")
-	if err != nil {
-		t.Fatalf("hash: %v", err)
-	}
-	if hash == "s3hr-geheim!" {
-		t.Fatal("passwort wurde nicht gehasht")
-	}
-	if !VerifyPassword(hash, "s3hr-geheim!") {
-		t.Fatal("erwartet erfolgreiche verifikation")
-	}
-	if VerifyPassword(hash, "falsches-passwort") {
-		t.Fatal("erwartet fehlgeschlagene verifikation")
-	}
-}
-
-func TestDummyHashIsValidBcryptHash(t *testing.T) {
-	// Stellt sicher, dass der Timing-Angleichs-Hash in login.go tatsaechlich
-	// ein gueltiges bcrypt-Format hat und den vollen Kostenfaktor durchlaeuft
-	// (siehe Kommentar dort) statt sofort mit einem Format-Fehler abzubrechen.
-	if VerifyPassword(dummyHash, "irgendein-text") {
-		t.Fatal("dummyHash sollte fuer beliebigen text nicht passen")
-	}
-}

internal/auth/token.go

@@ -1,63 +0,0 @@
-package auth
-
-import (
-	"errors"
-	"time"
-
-	"github.com/golang-jwt/jwt/v5"
-)
-
-// AccessTokenTTL ist bewusst kurz gehalten (Session-Ablauf statt langlebiger
-// Tokens), passend zur "so vertrauenswuerdig wie noetig"-Produkt-DNA.
-const AccessTokenTTL = 30 * time.Minute
-
-var ErrInvalidToken = errors.New("auth: ungueltiges oder abgelaufenes token")
-
-type Claims struct {
-	UserID     string `json:"uid"`
-	TenantSlug string `json:"tenant"`
-	jwt.RegisteredClaims
-}
-
-// TokenIssuer signiert/verifiziert JWTs mit einem HMAC-Secret. Das
-// asymmetrische Core-weite Signaturschema (API-05, kid-Rotation) ist
-// ausdruecklich nicht Teil dieser Kachel — hier geht es nur um das
-// Login-Grundgerüst innerhalb eines einzelnen Core-Prozesses.
-type TokenIssuer struct {
-	secret []byte
-}
-
-func NewTokenIssuer(secret string) *TokenIssuer {
-	return &TokenIssuer{secret: []byte(secret)}
-}
-
-func (i *TokenIssuer) Issue(userID, tenantSlug string) (string, error) {
-	now := time.Now()
-	claims := Claims{
-		UserID:     userID,
-		TenantSlug: tenantSlug,
-		RegisteredClaims: jwt.RegisteredClaims{
-			IssuedAt:  jwt.NewNumericDate(now),
-			ExpiresAt: jwt.NewNumericDate(now.Add(AccessTokenTTL)),
-		},
-	}
-	token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
-	return token.SignedString(i.secret)
-}
-
-// Verify prueft Signatur UND Ablauf (jwt.ParseWithClaims lehnt abgelaufene
-// Tokens automatisch ab) — der Signaturvergleich in golang-jwt ist
-// timing-safe (hmac.Equal).
-func (i *TokenIssuer) Verify(tokenString string) (*Claims, error) {
-	claims := &Claims{}
-	token, err := jwt.ParseWithClaims(tokenString, claims, func(t *jwt.Token) (interface{}, error) {
-		if _, ok := t.Method.(*jwt.SigningMethodHMAC); !ok {
-			return nil, ErrInvalidToken
-		}
-		return i.secret, nil
-	})
-	if err != nil || !token.Valid {
-		return nil, ErrInvalidToken
-	}
-	return claims, nil
-}

internal/auth/token_test.go

@@ -1,82 +0,0 @@
-package auth
-
-import (
-	"strings"
-	"testing"
-	"time"
-
-	"github.com/golang-jwt/jwt/v5"
-)
-
-func TestTokenIssueAndVerify(t *testing.T) {
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-
-	token, err := issuer.Issue("user-1", "acme")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	claims, err := issuer.Verify(token)
-	if err != nil {
-		t.Fatalf("verify: %v", err)
-	}
-	if claims.UserID != "user-1" || claims.TenantSlug != "acme" {
-		t.Fatalf("claims unerwartet: %+v", claims)
-	}
-}
-
-// Pruefung 2: Token-Manipulationstest.
-func TestTokenVerify_RejectsManipulatedPayload(t *testing.T) {
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-	token, err := issuer.Issue("user-1", "acme")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	parts := strings.Split(token, ".")
-	if len(parts) != 3 {
-		t.Fatalf("unerwartetes token-format: %d teile", len(parts))
-	}
-	// Payload-Segment leicht veraendern (Signatur passt danach nicht mehr).
-	tampered := parts[0] + "." + parts[1] + "x" + "." + parts[2]
-
-	if _, err := issuer.Verify(tampered); err == nil {
-		t.Fatal("erwartet fehler bei manipuliertem token, habe nil")
-	}
-}
-
-func TestTokenVerify_RejectsWrongSecret(t *testing.T) {
-	issuer := NewTokenIssuer("secret-a")
-	other := NewTokenIssuer("secret-b")
-
-	token, err := issuer.Issue("user-1", "acme")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-	if _, err := other.Verify(token); err == nil {
-		t.Fatal("erwartet fehler bei falschem secret, habe nil")
-	}
-}
-
-// Pruefung 3: abgelaufenes Token erzwingt Neuanmeldung.
-func TestTokenVerify_RejectsExpiredToken(t *testing.T) {
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-
-	claims := Claims{
-		UserID:     "user-1",
-		TenantSlug: "acme",
-		RegisteredClaims: jwt.RegisteredClaims{
-			IssuedAt:  jwt.NewNumericDate(time.Now().Add(-2 * AccessTokenTTL)),
-			ExpiresAt: jwt.NewNumericDate(time.Now().Add(-time.Minute)),
-		},
-	}
-	tok := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
-	expired, err := tok.SignedString([]byte("test-secret-nur-fuer-tests"))
-	if err != nil {
-		t.Fatalf("signieren: %v", err)
-	}
-
-	if _, err := issuer.Verify(expired); err == nil {
-		t.Fatal("erwartet fehler bei abgelaufenem token, habe nil")
-	}
-}

internal/user/handler.go

@@ -1,66 +0,0 @@
-package user
-
-import (
-	"encoding/json"
-	"errors"
-	"net/http"
-)
-
-// Handler stellt die CRUD-API fuer Benutzerkonten bereit (IAM-01-Auftrag).
-// Auth/Sessions (IAM-02) und Rollen (RBAC-01) sind ausdruecklich nicht Teil
-// dieser Kachel und daher hier noch nicht angebunden.
-type Handler struct {
-	users       *TenantUserStore
-	superadmins *SuperadminStore
-}
-
-func NewHandler(users *TenantUserStore, superadmins *SuperadminStore) *Handler {
-	return &Handler{users: users, superadmins: superadmins}
-}
-
-type createUserRequest struct {
-	Email string `json:"email"`
-	Name  string `json:"name"`
-}
-
-func (h *Handler) CreateUser(w http.ResponseWriter, r *http.Request) {
-	var req createUserRequest
-	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
-		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
-		return
-	}
-
-	u, err := h.users.Create(r.Context(), req.Email, req.Name)
-	writeUserResult(w, u, err)
-}
-
-// CreateSuperadmin legt ein mandantenuebergreifendes Superadmin-Konto an —
-// bewusst ein eigener Endpunkt statt eines Tenant-Parameters mit Null-Wert.
-func (h *Handler) CreateSuperadmin(w http.ResponseWriter, r *http.Request) {
-	var req createUserRequest
-	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
-		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
-		return
-	}
-
-	u, err := h.superadmins.Create(r.Context(), req.Email, req.Name)
-	writeUserResult(w, u, err)
-}
-
-func writeUserResult(w http.ResponseWriter, u User, err error) {
-	if err != nil {
-		switch {
-		case errors.Is(err, ErrInvalidEmail), errors.Is(err, ErrEmailTaken):
-			http.Error(w, err.Error(), http.StatusBadRequest)
-		case errors.Is(err, ErrNotFound):
-			http.Error(w, err.Error(), http.StatusNotFound)
-		default:
-			http.Error(w, "benutzer konnte nicht verarbeitet werden", http.StatusInternalServerError)
-		}
-		return
-	}
-
-	w.Header().Set("Content-Type", "application/json")
-	w.WriteHeader(http.StatusCreated)
-	_ = json.NewEncoder(w).Encode(u)
-}

internal/user/store_test.go

@@ -1,173 +0,0 @@
-package user
-
-import (
-	"context"
-	"errors"
-	"fmt"
-	"os"
-	"strings"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// setupTestDB legt eine frische, isolierte Testdatenbank an, wendet die
-// uebergebene Migration an und liefert einen verbundenen Pool. Wird ohne
-// TEST_ADMIN_DSN uebersprungen — siehe internal/tenant/provisioner_test.go
-// fuer dasselbe Muster.
-func setupTestDB(t *testing.T, dbName, schemaSQL string) *pgxpool.Pool {
-	t.Helper()
-
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	adminPool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("admin pool: %v", err)
-	}
-
-	_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
-	if _, err := adminPool.Exec(ctx, fmt.Sprintf(`CREATE DATABASE %q`, dbName)); err != nil {
-		t.Fatalf("testdatenbank anlegen: %v", err)
-	}
-
-	dsn := strings.Replace(adminDSN, "/postgres?", "/"+dbName+"?", 1)
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		t.Fatalf("connect testdatenbank: %v", err)
-	}
-
-	if _, err := pool.Exec(ctx, schemaSQL); err != nil {
-		t.Fatalf("schema anwenden: %v", err)
-	}
-
-	t.Cleanup(func() {
-		pool.Close()
-		_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
-		adminPool.Close()
-	})
-
-	return pool
-}
-
-const usersSchema = `
-CREATE EXTENSION IF NOT EXISTS pgcrypto;
-CREATE TABLE users (
-	id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-	email TEXT NOT NULL UNIQUE,
-	name TEXT NOT NULL,
-	status TEXT NOT NULL DEFAULT 'active',
-	created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-	updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-);`
-
-const superadminsSchema = `
-CREATE EXTENSION IF NOT EXISTS pgcrypto;
-CREATE TABLE superadmins (
-	id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-	email TEXT NOT NULL UNIQUE,
-	name TEXT NOT NULL,
-	status TEXT NOT NULL DEFAULT 'active',
-	created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-	updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-);`
-
-// Akzeptanzkriterium 1 + 3, Pruefung 1 (inkl. Negativfall doppelte E-Mail).
-func TestTenantUserStore_CRUD(t *testing.T) {
-	pool := setupTestDB(t, "test_iam01_users", usersSchema)
-	store := NewTenantUserStore(pool)
-	ctx := context.Background()
-
-	created, err := store.Create(ctx, "alice@example.com", "Alice")
-	if err != nil {
-		t.Fatalf("create: %v", err)
-	}
-	if created.Status != StatusActive {
-		t.Fatalf("erwartet status active, hat %q", created.Status)
-	}
-
-	got, err := store.Get(ctx, created.ID)
-	if err != nil {
-		t.Fatalf("get: %v", err)
-	}
-	if got.Email != "alice@example.com" {
-		t.Fatalf("get email = %q", got.Email)
-	}
-
-	updated, err := store.Update(ctx, created.ID, "", "Alice A.")
-	if err != nil {
-		t.Fatalf("update: %v", err)
-	}
-	if updated.Name != "Alice A." || updated.Email != "alice@example.com" {
-		t.Fatalf("update ergebnis unerwartet: %+v", updated)
-	}
-
-	list, err := store.List(ctx)
-	if err != nil {
-		t.Fatalf("list: %v", err)
-	}
-	if len(list) != 1 {
-		t.Fatalf("erwartet 1 benutzer, habe %d", len(list))
-	}
-
-	deactivated, err := store.Deactivate(ctx, created.ID)
-	if err != nil {
-		t.Fatalf("deactivate: %v", err)
-	}
-	if deactivated.Status != StatusInactive {
-		t.Fatalf("erwartet status inactive, hat %q", deactivated.Status)
-	}
-
-	// Negativfall: doppelte E-Mail-Adresse.
-	if _, err := store.Create(ctx, "second@example.com", "Bob"); err != nil {
-		t.Fatalf("create second: %v", err)
-	}
-	if _, err := store.Create(ctx, "second@example.com", "Bob Zwei"); !errors.Is(err, ErrEmailTaken) {
-		t.Fatalf("erwartet ErrEmailTaken, habe %v", err)
-	}
-
-	// Negativfall: fehlender Benutzer.
-	if _, err := store.Get(ctx, created.ID+"-nicht-vorhanden"); err == nil {
-		t.Fatalf("erwartet fehler bei unbekannter/ungueltiger id")
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 2: Superadmin-Anlage ohne Tenant-Kontext.
-// SuperadminStore.Create hat keinen Tenant-Parameter — es gibt syntaktisch
-// keine Moeglichkeit, hier versehentlich einen Tenant-Sonderfall zu vergessen.
-func TestSuperadminStore_CreateWithoutTenantContext(t *testing.T) {
-	pool := setupTestDB(t, "test_iam01_superadmins", superadminsSchema)
-	store := NewSuperadminStore(pool)
-	ctx := context.Background()
-
-	created, err := store.Create(ctx, "root@nexarch.internal", "Root")
-	if err != nil {
-		t.Fatalf("create superadmin: %v", err)
-	}
-	if created.Status != StatusActive {
-		t.Fatalf("erwartet status active, hat %q", created.Status)
-	}
-
-	got, err := store.Get(ctx, created.ID)
-	if err != nil {
-		t.Fatalf("get: %v", err)
-	}
-	if got.Email != "root@nexarch.internal" {
-		t.Fatalf("get email = %q", got.Email)
-	}
-
-	if _, err := store.Create(ctx, "root@nexarch.internal", "Root Zwei"); !errors.Is(err, ErrEmailTaken) {
-		t.Fatalf("erwartet ErrEmailTaken (globale eindeutigkeit), habe %v", err)
-	}
-
-	deactivated, err := store.Deactivate(ctx, created.ID)
-	if err != nil {
-		t.Fatalf("deactivate: %v", err)
-	}
-	if deactivated.Status != StatusInactive {
-		t.Fatalf("erwartet status inactive, hat %q", deactivated.Status)
-	}
-}

internal/user/superadmin_store.go

@@ -1,77 +0,0 @@
-package user
-
-import (
-	"context"
-	"fmt"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// SuperadminStore verwaltet mandantenuebergreifende Superadmin-Konten in der
-// Control-Plane-Registry (siehe internal/tenant.Registry). Superadmin-ohne-
-// Tenant ist dadurch ein eigener Typ statt eines Sonderfalls von User/
-// TenantUserStore — es gibt keinen Tenant-Parameter, den man weglassen
-// koennte (IAM-01, "ohne Sonderbehandlung im Code").
-type SuperadminStore struct {
-	pool *pgxpool.Pool
-}
-
-func NewSuperadminStore(pool *pgxpool.Pool) *SuperadminStore {
-	return &SuperadminStore{pool: pool}
-}
-
-func (s *SuperadminStore) Create(ctx context.Context, email, name string) (User, error) {
-	if err := ValidateEmail(email); err != nil {
-		return User{}, err
-	}
-
-	var u User
-	u.Email, u.Name, u.Status = email, name, StatusActive
-
-	row := s.pool.QueryRow(ctx, `
-		INSERT INTO superadmins (email, name, status)
-		VALUES ($1, $2, $3)
-		RETURNING id, created_at, updated_at
-	`, u.Email, u.Name, u.Status)
-
-	if err := row.Scan(&u.ID, &u.CreatedAt, &u.UpdatedAt); err != nil {
-		return User{}, mapWriteErr(err)
-	}
-	return u, nil
-}
-
-func (s *SuperadminStore) Get(ctx context.Context, id string) (User, error) {
-	return scanUser(s.pool.QueryRow(ctx, `
-		SELECT id, email, name, status, created_at, updated_at
-		FROM superadmins WHERE id = $1
-	`, id))
-}
-
-func (s *SuperadminStore) List(ctx context.Context) ([]User, error) {
-	rows, err := s.pool.Query(ctx, `
-		SELECT id, email, name, status, created_at, updated_at
-		FROM superadmins ORDER BY created_at
-	`)
-	if err != nil {
-		return nil, fmt.Errorf("superadmins auflisten: %w", err)
-	}
-	defer rows.Close()
-
-	var out []User
-	for rows.Next() {
-		var u User
-		if err := rows.Scan(&u.ID, &u.Email, &u.Name, &u.Status, &u.CreatedAt, &u.UpdatedAt); err != nil {
-			return nil, fmt.Errorf("superadmin lesen: %w", err)
-		}
-		out = append(out, u)
-	}
-	return out, rows.Err()
-}
-
-func (s *SuperadminStore) Deactivate(ctx context.Context, id string) (User, error) {
-	return scanUser(s.pool.QueryRow(ctx, `
-		UPDATE superadmins SET status = $2, updated_at = now()
-		WHERE id = $1
-		RETURNING id, email, name, status, created_at, updated_at
-	`, id, StatusInactive))
-}

internal/user/tenant_store.go

@@ -1,173 +0,0 @@
-package user
-
-import (
-	"context"
-	"errors"
-	"fmt"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgconn"
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// TenantUserStore verwaltet Benutzer innerhalb GENAU EINER Tenant-Datenbank.
-// Welcher Mandant gemeint ist, ergibt sich ausschliesslich aus dem
-// uebergebenen Pool — es gibt keine tenant_id-Spalte (siehe migrations/tenant/0001_users.up.sql).
-type TenantUserStore struct {
-	pool *pgxpool.Pool
-}
-
-func NewTenantUserStore(pool *pgxpool.Pool) *TenantUserStore {
-	return &TenantUserStore{pool: pool}
-}
-
-func (s *TenantUserStore) Create(ctx context.Context, email, name string) (User, error) {
-	if err := ValidateEmail(email); err != nil {
-		return User{}, err
-	}
-
-	var u User
-	u.Email, u.Name, u.Status = email, name, StatusActive
-
-	row := s.pool.QueryRow(ctx, `
-		INSERT INTO users (email, name, status)
-		VALUES ($1, $2, $3)
-		RETURNING id, created_at, updated_at
-	`, u.Email, u.Name, u.Status)
-
-	if err := row.Scan(&u.ID, &u.CreatedAt, &u.UpdatedAt); err != nil {
-		return User{}, mapWriteErr(err)
-	}
-	return u, nil
-}
-
-func (s *TenantUserStore) Get(ctx context.Context, id string) (User, error) {
-	return scanUser(s.pool.QueryRow(ctx, `
-		SELECT id, email, name, status, created_at, updated_at
-		FROM users WHERE id = $1
-	`, id))
-}
-
-func (s *TenantUserStore) List(ctx context.Context) ([]User, error) {
-	rows, err := s.pool.Query(ctx, `
-		SELECT id, email, name, status, created_at, updated_at
-		FROM users ORDER BY created_at
-	`)
-	if err != nil {
-		return nil, fmt.Errorf("benutzer auflisten: %w", err)
-	}
-	defer rows.Close()
-
-	var out []User
-	for rows.Next() {
-		var u User
-		if err := rows.Scan(&u.ID, &u.Email, &u.Name, &u.Status, &u.CreatedAt, &u.UpdatedAt); err != nil {
-			return nil, fmt.Errorf("benutzer lesen: %w", err)
-		}
-		out = append(out, u)
-	}
-	return out, rows.Err()
-}
-
-// Update aendert Name und E-Mail. Eine leere email/name laesst das jeweilige
-// Feld unveraendert.
-func (s *TenantUserStore) Update(ctx context.Context, id, email, name string) (User, error) {
-	if email != "" {
-		if err := ValidateEmail(email); err != nil {
-			return User{}, err
-		}
-	}
-
-	row := s.pool.QueryRow(ctx, `
-		UPDATE users
-		SET email = COALESCE(NULLIF($2, ''), email),
-		    name = COALESCE(NULLIF($3, ''), name),
-		    updated_at = now()
-		WHERE id = $1
-		RETURNING id, email, name, status, created_at, updated_at
-	`, id, email, name)
-
-	u, err := scanUser(row)
-	if err != nil {
-		return User{}, mapWriteErr(err)
-	}
-	return u, nil
-}
-
-// Deactivate setzt den Benutzer auf inaktiv statt ihn zu loeschen.
-func (s *TenantUserStore) Deactivate(ctx context.Context, id string) (User, error) {
-	return scanUser(s.pool.QueryRow(ctx, `
-		UPDATE users SET status = $2, updated_at = now()
-		WHERE id = $1
-		RETURNING id, email, name, status, created_at, updated_at
-	`, id, StatusInactive))
-}
-
-// SetPasswordHash schreibt einen bereits berechneten bcrypt-Hash (siehe
-// internal/auth, IAM-02). Der Store selbst kennt kein Klartext-Passwort.
-func (s *TenantUserStore) SetPasswordHash(ctx context.Context, id, hash string) error {
-	tag, err := s.pool.Exec(ctx, `
-		UPDATE users SET password_hash = $2, updated_at = now() WHERE id = $1
-	`, id, hash)
-	if err != nil {
-		return fmt.Errorf("passwort setzen: %w", err)
-	}
-	if tag.RowsAffected() == 0 {
-		return ErrNotFound
-	}
-	return nil
-}
-
-// AuthCredentials wird ausschliesslich fuer den Login-Pfad (internal/auth)
-// verwendet und traegt bewusst den password_hash, damit er nicht ueber den
-// regulaeren User-Typ/JSON-Serialisierungspfad nach aussen dringen kann.
-type AuthCredentials struct {
-	User         User
-	PasswordHash string
-}
-
-// GetByEmailForAuth liefert Benutzer + Passwort-Hash zu einer E-Mail-Adresse
-// aus GENAU DIESER Tenant-Datenbank — der Tenant-Scope ergibt sich damit
-// zwingend aus dem verwendeten Pool, es gibt keine Moeglichkeit, versehentlich
-// ueber Tenant-Grenzen hinweg zu suchen (bekannter archivmail-Fehler, siehe
-// IAM-02 "Bekannte Fehler vermeiden").
-func (s *TenantUserStore) GetByEmailForAuth(ctx context.Context, email string) (AuthCredentials, error) {
-	var c AuthCredentials
-	row := s.pool.QueryRow(ctx, `
-		SELECT id, email, name, status, created_at, updated_at, password_hash
-		FROM users WHERE email = $1
-	`, email)
-
-	if err := row.Scan(&c.User.ID, &c.User.Email, &c.User.Name, &c.User.Status,
-		&c.User.CreatedAt, &c.User.UpdatedAt, &c.PasswordHash); err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return AuthCredentials{}, ErrNotFound
-		}
-		return AuthCredentials{}, fmt.Errorf("anmeldedaten lesen: %w", err)
-	}
-	return c, nil
-}
-
-func scanUser(row pgx.Row) (User, error) {
-	var u User
-	if err := row.Scan(&u.ID, &u.Email, &u.Name, &u.Status, &u.CreatedAt, &u.UpdatedAt); err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return User{}, ErrNotFound
-		}
-		return User{}, fmt.Errorf("benutzer lesen: %w", err)
-	}
-	return u, nil
-}
-
-// mapWriteErr uebersetzt den Unique-Constraint-Verstoss der E-Mail-Spalte in
-// einen sprechenden Fehler statt der rohen Postgres-Fehlermeldung.
-func mapWriteErr(err error) error {
-	var pgErr *pgconn.PgError
-	if errors.As(err, &pgErr) && pgErr.Code == "23505" {
-		return ErrEmailTaken
-	}
-	if errors.Is(err, pgx.ErrNoRows) {
-		return ErrNotFound
-	}
-	return fmt.Errorf("benutzer schreiben: %w", err)
-}

internal/user/user.go

@@ -1,42 +0,0 @@
-// Package user implementiert Core IAM-01: das Benutzer-Datenmodell und die
-// CRUD-Operationen. Tenant-Zugehoerigkeit ist ueber die Zieldatenbank
-// gegeben (Modell C, siehe internal/tenant) — Superadmin-Konten leben
-// dagegen mandantenuebergreifend in der Registry und sind ueber
-// SuperadminStore als eigener, First-Class-Typ modelliert, nicht als
-// tenant_id-NULL-Sonderfall in User.
-package user
-
-import (
-	"errors"
-	"regexp"
-	"time"
-)
-
-type Status string
-
-const (
-	StatusActive   Status = "active"
-	StatusInactive Status = "inactive"
-)
-
-type User struct {
-	ID        string
-	Email     string
-	Name      string
-	Status    Status
-	CreatedAt time.Time
-	UpdatedAt time.Time
-}
-
-var emailPattern = regexp.MustCompile(`^[^\s@]+@[^\s@]+\.[^\s@]+$`)
-
-var ErrInvalidEmail = errors.New("user: ungueltige E-Mail-Adresse")
-var ErrEmailTaken = errors.New("user: E-Mail-Adresse bereits vergeben")
-var ErrNotFound = errors.New("user: nicht gefunden")
-
-func ValidateEmail(email string) error {
-	if !emailPattern.MatchString(email) {
-		return ErrInvalidEmail
-	}
-	return nil
-}

internal/user/user_test.go

@@ -1,24 +0,0 @@
-package user
-
-import "testing"
-
-func TestValidateEmail(t *testing.T) {
-	cases := []struct {
-		email   string
-		wantErr bool
-	}{
-		{"a@b.de", false},
-		{"a.b+c@sub.example.com", false},
-		{"", true},
-		{"keine-email", true},
-		{"a@b", true},
-		{"@b.de", true},
-	}
-
-	for _, c := range cases {
-		err := ValidateEmail(c.email)
-		if (err != nil) != c.wantErr {
-			t.Errorf("ValidateEmail(%q) error = %v, wantErr %v", c.email, err, c.wantErr)
-		}
-	}
-}

internal/webhook/dispatcher.go

@@ -1,177 +0,0 @@
-package webhook
-
-import (
-	"bytes"
-	"context"
-	"crypto/subtle"
-	"encoding/hex"
-	"fmt"
-	"net/http"
-	"time"
-
-	"github.com/jackc/pgx/v5"
-)
-
-// DefaultMaxAttempts ist die konfigurierbare Obergrenze, ab der eine
-// Zustellung endgueltig als fehlgeschlagen gilt (Akzeptanzkriterium 2).
-const DefaultMaxAttempts = 5
-
-// DefaultBaseBackoff ist die Basisdauer fuer exponentielles Backoff:
-// naechster Versuch nach BaseBackoff * 2^attempt (Akzeptanzkriterium 2).
-const DefaultBaseBackoff = 2 * time.Second
-
-// Dispatcher liefert faellige Zustellungen aus. Konfigurierbar in Tests
-// (kleine BaseBackoff, kleine MaxAttempts), damit Retry/Backoff/Obergrenze
-// ohne minutenlange Wartezeit real durchlaufen werden koennen.
-type Dispatcher struct {
-	pool        pgxIface
-	client      *http.Client
-	MaxAttempts int
-	BaseBackoff time.Duration
-}
-
-// pgxIface ist die schmale Teilmenge von *pgxpool.Pool, die der Dispatcher
-// braucht — als Interface, damit Tests keine echte Verbindung fuer reine
-// Signatur-/Backoff-Logik brauchen (wird hier aber durchgehend mit echten
-// Integrationstests gegen Postgres verwendet, siehe dispatcher_test.go).
-type pgxIface interface {
-	Begin(ctx context.Context) (pgx.Tx, error)
-}
-
-func NewDispatcher(pool pgxIface, client *http.Client) *Dispatcher {
-	if client == nil {
-		client = &http.Client{Timeout: 5 * time.Second}
-	}
-	return &Dispatcher{pool: pool, client: client, MaxAttempts: DefaultMaxAttempts, BaseBackoff: DefaultBaseBackoff}
-}
-
-// backoffFor berechnet die Wartezeit vor dem naechsten Versuch: exponentiell
-// wachsend mit der Anzahl bereits unternommener Versuche.
-func (d *Dispatcher) backoffFor(attempt int) time.Duration {
-	return d.BaseBackoff * time.Duration(1<<uint(attempt))
-}
-
-// ProcessDue liefert ALLE derzeit faelligen Zustellungen aus — dasselbe
-// SELECT ... FOR UPDATE SKIP LOCKED-Muster wie
-// internal/tenant.Lifecycle.ProcessDueDeletions, damit mehrere Dispatcher-
-// Instanzen dieselbe Zustellung nie doppelt bearbeiten.
-func (d *Dispatcher) ProcessDue(ctx context.Context) (int, error) {
-	tx, err := d.pool.Begin(ctx)
-	if err != nil {
-		return 0, fmt.Errorf("transaktion starten: %w", err)
-	}
-	defer func() { _ = tx.Rollback(ctx) }()
-
-	rows, err := tx.Query(ctx, `
-		SELECT wd.id, wd.payload, wd.attempt, ws.target_url, ws.secret
-		FROM webhook_deliveries wd
-		JOIN webhook_subscriptions ws ON ws.id = wd.subscription_id
-		WHERE wd.status = $1 AND wd.next_attempt_at <= now()
-		FOR UPDATE OF wd SKIP LOCKED
-	`, StatusPending)
-	if err != nil {
-		return 0, fmt.Errorf("faellige zustellungen abfragen: %w", err)
-	}
-
-	var deliveries []delivery
-	for rows.Next() {
-		var del delivery
-		if err := rows.Scan(&del.ID, &del.Payload, &del.Attempt, &del.TargetURL, &del.Secret); err != nil {
-			rows.Close()
-			return 0, fmt.Errorf("zustellung lesen: %w", err)
-		}
-		deliveries = append(deliveries, del)
-	}
-	rows.Close()
-	if err := rows.Err(); err != nil {
-		return 0, err
-	}
-
-	for _, del := range deliveries {
-		d.attemptOne(ctx, tx, del)
-	}
-
-	if err := tx.Commit(ctx); err != nil {
-		return 0, fmt.Errorf("transaktion committen: %w", err)
-	}
-	return len(deliveries), nil
-}
-
-// attemptOne fuehrt GENAU EINEN Zustellversuch aus und aktualisiert den
-// Zustellungsdatensatz entsprechend — Erfolg (Akzeptanzkriterium 1/Pruefung
-// 1), erneuter Fehlversuch mit Backoff, oder endgueltiges Scheitern nach
-// DefaultMaxAttempts (Akzeptanzkriterium 2/Pruefung 2). Ein Fehler bei
-// GENAU EINER Zustellung darf die anderen in diesem Batch nicht verhindern.
-func (d *Dispatcher) attemptOne(ctx context.Context, tx pgx.Tx, del delivery) {
-	signature := Sign(del.Secret, del.Payload)
-
-	req, err := http.NewRequestWithContext(ctx, http.MethodPost, del.TargetURL, bytes.NewReader(del.Payload))
-	deliveryErr := err
-	var statusCode int
-	if err == nil {
-		req.Header.Set("Content-Type", "application/json")
-		req.Header.Set(SignatureHeader, signature)
-		resp, err := d.client.Do(req)
-		if err != nil {
-			deliveryErr = err
-		} else {
-			statusCode = resp.StatusCode
-			resp.Body.Close()
-			if statusCode < 200 || statusCode >= 300 {
-				deliveryErr = fmt.Errorf("unerwarteter statuscode %d", statusCode)
-			}
-		}
-	}
-
-	if deliveryErr == nil {
-		_, _ = tx.Exec(ctx, `
-			UPDATE webhook_deliveries SET status = $2, delivered_at = now(), attempt = attempt + 1
-			WHERE id = $1
-		`, del.ID, StatusDelivered)
-		return
-	}
-
-	nextAttempt := del.Attempt + 1
-	if nextAttempt >= d.MaxAttempts {
-		_, _ = tx.Exec(ctx, `
-			UPDATE webhook_deliveries SET status = $2, attempt = $3, last_error = $4
-			WHERE id = $1
-		`, del.ID, StatusFailed, nextAttempt, deliveryErr.Error())
-		return
-	}
-
-	nextAttemptAt := time.Now().Add(d.backoffFor(nextAttempt))
-	_, _ = tx.Exec(ctx, `
-		UPDATE webhook_deliveries SET attempt = $2, next_attempt_at = $3, last_error = $4
-		WHERE id = $1
-	`, del.ID, nextAttempt, nextAttemptAt, deliveryErr.Error())
-}
-
-// Run ruft ProcessDue in festen Abstaenden auf, bis ctx beendet wird —
-// dieselbe Konvention wie internal/tenant.Lifecycle.RunSweeper.
-func (d *Dispatcher) Run(ctx context.Context, interval time.Duration) {
-	ticker := time.NewTicker(interval)
-	defer ticker.Stop()
-	for {
-		select {
-		case <-ctx.Done():
-			return
-		case <-ticker.C:
-			_, _ = d.ProcessDue(ctx)
-		}
-	}
-}
-
-// VerifySignature prueft empfaengerseitig, ob signature zu payload und
-// secret passt — timing-safe (dasselbe Muster wie internal/audit.timingsafe),
-// damit ein Empfaenger die Authentizitaet einer Zustellung pruefen kann
-// (Akzeptanzkriterium 3).
-func VerifySignature(secret string, payload []byte, signature string) bool {
-	expected := Sign(secret, payload)
-	expectedBytes, err1 := hex.DecodeString(expected)
-	gotBytes, err2 := hex.DecodeString(signature)
-	if err1 != nil || err2 != nil {
-		return false
-	}
-	return subtle.ConstantTimeCompare(expectedBytes, gotBytes) == 1
-}

internal/webhook/webhook.go

@@ -1,131 +0,0 @@
-// Package webhook implementiert Core API-07: eine zentrale Webhook-Registry
-// und Zustellungs-Engine fuer alle Fachmodule (DMS/Mail/Archive/Workflow/AI).
-// Module reichen Ereignisse EINMAL zur Zustellung ein und implementieren
-// selbst KEINE eigene Retry-/Signatur-Logik — das ist der zentrale Zweck
-// dieser Kachel ("Bewusst vermeiden: jedes Modul baut seine eigene
-// Webhook-Zustellungs-Engine"). Zustellung laeuft ueber dieselbe
-// Postgres-Jobqueue-Konvention (SELECT ... FOR UPDATE SKIP LOCKED) wie
-// internal/tenant.Lifecycle.ProcessDueDeletions (TEN-04) und
-// internal/notify.Dispatcher (CFG-02) — kein Redis/AMQP.
-package webhook
-
-import (
-	"context"
-	"crypto/hmac"
-	"crypto/sha256"
-	"encoding/hex"
-	"encoding/json"
-	"fmt"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-const (
-	StatusPending   = "pending"
-	StatusDelivered = "delivered"
-	StatusFailed    = "failed"
-)
-
-// Subscription ist EIN externer Abonnent fuer einen Ereignistyp
-// (Akzeptanzkriterium 1: Module registrieren Ereignistypen, externe
-// Abonnenten registrieren Ziel-URLs — dieses Paket modelliert die
-// Abonnenten-Seite; welche Ereignistypen ein Modul anbietet, ist bewusst
-// NICHT Teil dieser Kachel).
-type Subscription struct {
-	ID         string
-	EventType  string
-	TargetURL  string
-	Secret     string
-	CreatedAt  time.Time
-}
-
-// Store persistiert Abonnements und Zustellversuche.
-type Store struct {
-	pool *pgxpool.Pool
-}
-
-func NewStore(pool *pgxpool.Pool) *Store {
-	return &Store{pool: pool}
-}
-
-// Subscribe registriert einen Abonnenten fuer einen Ereignistyp. secret wird
-// spaeter zur HMAC-Signierung jeder Zustellung an diesen Abonnenten
-// verwendet (Akzeptanzkriterium 3).
-func (s *Store) Subscribe(ctx context.Context, eventType, targetURL, secret string) (Subscription, error) {
-	var sub Subscription
-	sub.EventType, sub.TargetURL, sub.Secret = eventType, targetURL, secret
-	row := s.pool.QueryRow(ctx, `
-		INSERT INTO webhook_subscriptions (event_type, target_url, secret)
-		VALUES ($1, $2, $3)
-		RETURNING id, created_at
-	`, eventType, targetURL, secret)
-	if err := row.Scan(&sub.ID, &sub.CreatedAt); err != nil {
-		return Subscription{}, fmt.Errorf("abonnement anlegen: %w", err)
-	}
-	return sub, nil
-}
-
-// Enqueue reicht EIN Ereignis zur Zustellung an ALLE Abonnenten des
-// angegebenen Ereignistyps ein — dies ist die EINZIGE Schnittstelle, die
-// ein Fachmodul braucht (Akzeptanzkriterium 1). Jeder Abonnent erhaelt
-// einen eigenen, unabhaengigen Zustellversuch-Datensatz.
-func (s *Store) Enqueue(ctx context.Context, eventType string, payload any) (int, error) {
-	payloadJSON, err := json.Marshal(payload)
-	if err != nil {
-		return 0, fmt.Errorf("payload serialisieren: %w", err)
-	}
-
-	rows, err := s.pool.Query(ctx, `
-		SELECT id FROM webhook_subscriptions WHERE event_type = $1
-	`, eventType)
-	if err != nil {
-		return 0, fmt.Errorf("abonnenten ermitteln: %w", err)
-	}
-	var subscriptionIDs []string
-	for rows.Next() {
-		var id string
-		if err := rows.Scan(&id); err != nil {
-			rows.Close()
-			return 0, fmt.Errorf("abonnent lesen: %w", err)
-		}
-		subscriptionIDs = append(subscriptionIDs, id)
-	}
-	rows.Close()
-	if err := rows.Err(); err != nil {
-		return 0, err
-	}
-
-	for _, subID := range subscriptionIDs {
-		if _, err := s.pool.Exec(ctx, `
-			INSERT INTO webhook_deliveries (subscription_id, event_type, payload, status, next_attempt_at)
-			VALUES ($1, $2, $3, $4, now())
-		`, subID, eventType, payloadJSON, StatusPending); err != nil {
-			return 0, fmt.Errorf("zustellung einreihen: %w", err)
-		}
-	}
-	return len(subscriptionIDs), nil
-}
-
-// delivery ist ein interner Datensatz fuer EINEN Zustellversuch, inklusive
-// der zugehoerigen Abonnentendaten (per JOIN geladen).
-type delivery struct {
-	ID        string
-	TargetURL string
-	Secret    string
-	Payload   []byte
-	Attempt   int
-}
-
-// Sign berechnet die HMAC-SHA256-Signatur des Payloads (Akzeptanzkriterium
-// 3) — hex-kodiert, damit sie problemlos als HTTP-Header uebertragen werden
-// kann.
-func Sign(secret string, payload []byte) string {
-	mac := hmac.New(sha256.New, []byte(secret))
-	mac.Write(payload)
-	return hex.EncodeToString(mac.Sum(nil))
-}
-
-// SignatureHeader ist der HTTP-Header, unter dem die Signatur uebertragen
-// wird — dokumentierter Vertrag fuer Empfaenger (Akzeptanzkriterium 3).
-const SignatureHeader = "X-Nexarch-Signature-256"

internal/webhook/webhook_test.go

@@ -1,205 +0,0 @@
-package webhook
-
-import (
-	"context"
-	"encoding/json"
-	"io"
-	"net/http"
-	"net/http/httptest"
-	"os"
-	"sync/atomic"
-	"testing"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-func setupTest(t *testing.T) (*Store, *pgxpool.Pool, func()) {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS webhook_subscriptions (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), event_type TEXT NOT NULL,
-			target_url TEXT NOT NULL, secret TEXT NOT NULL, created_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-		CREATE TABLE IF NOT EXISTS webhook_deliveries (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), subscription_id UUID NOT NULL REFERENCES webhook_subscriptions(id),
-			event_type TEXT NOT NULL, payload JSONB NOT NULL, status TEXT NOT NULL DEFAULT 'pending',
-			attempt INT NOT NULL DEFAULT 0, next_attempt_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-			last_error TEXT, created_at TIMESTAMPTZ NOT NULL DEFAULT now(), delivered_at TIMESTAMPTZ
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-
-	cleanup := func() { pool.Close() }
-	return NewStore(pool), pool, cleanup
-}
-
-func uniqueEventType(prefix string) string {
-	return prefix + "-" + time.Now().Format("150405.000000000")
-}
-
-// Akzeptanzkriterium 1 + Pruefung 1: ein Modul reicht ein Ereignis ein
-// (Enqueue) ohne eigene Zustellungslogik, der zentrale Dispatcher liefert
-// zuverlaessig aus.
-func TestEnqueueAndProcessDue_DeliversSuccessfully(t *testing.T) {
-	store, pool, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	var receivedBody []byte
-	var receivedSignature string
-	target := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
-		body, _ := io.ReadAll(r.Body)
-		receivedBody = body
-		receivedSignature = r.Header.Get(SignatureHeader)
-		w.WriteHeader(http.StatusOK)
-	}))
-	defer target.Close()
-
-	eventType := uniqueEventType("dms.file.created")
-	sub, err := store.Subscribe(ctx, eventType, target.URL, "geheimes-secret")
-	if err != nil {
-		t.Fatalf("subscribe: %v", err)
-	}
-
-	n, err := store.Enqueue(ctx, eventType, map[string]string{"file_id": "42"})
-	if err != nil {
-		t.Fatalf("enqueue: %v", err)
-	}
-	if n != 1 {
-		t.Fatalf("erwartet 1 eingereihte zustellung, habe %d", n)
-	}
-
-	dispatcher := NewDispatcher(pool, target.Client())
-	processed, err := dispatcher.ProcessDue(ctx)
-	if err != nil {
-		t.Fatalf("processdue: %v", err)
-	}
-	if processed != 1 {
-		t.Fatalf("erwartet 1 verarbeitete zustellung, habe %d", processed)
-	}
-
-	var status string
-	if err := pool.QueryRow(ctx, `SELECT status FROM webhook_deliveries WHERE subscription_id = $1`, sub.ID).Scan(&status); err != nil {
-		t.Fatalf("status lesen: %v", err)
-	}
-	if status != StatusDelivered {
-		t.Fatalf("status = %q, want %q", status, StatusDelivered)
-	}
-
-	// Postgres' JSONB-Spalte kann die Byte-Repraesentation des Payloads
-	// gegenueber dem urspruenglichen json.Marshal kanonisieren (z.B.
-	// Leerzeichen) — das ist unschaedlich, denn der Dispatcher signiert
-	// IMMER exakt die Bytes, die er auch sendet. Die Pruefung vergleicht
-	// deshalb Signatur gegen tatsaechlich empfangene Bytes (Selbstkonsistenz),
-	// nicht gegen eine unabhaengig neu marshalte Referenz.
-	if !VerifySignature("geheimes-secret", receivedBody, receivedSignature) {
-		t.Fatalf("empfangene signatur %q passt nicht zum empfangenen payload %q", receivedSignature, receivedBody)
-	}
-	var decoded map[string]string
-	if err := json.Unmarshal(receivedBody, &decoded); err != nil {
-		t.Fatalf("empfangener payload nicht als json lesbar: %v", err)
-	}
-	if decoded["file_id"] != "42" {
-		t.Fatalf("empfangener payload = %v, want file_id=42", decoded)
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 2: fehlschlagendes Ziel loest Retry mit
-// wachsendem Backoff aus und endet nach der konfigurierten Obergrenze in
-// "failed".
-func TestProcessDue_RetriesWithBackoffThenMarksFailed(t *testing.T) {
-	store, pool, cleanup := setupTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	var callCount int32
-	target := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
-		atomic.AddInt32(&callCount, 1)
-		w.WriteHeader(http.StatusInternalServerError)
-	}))
-	defer target.Close()
-
-	eventType := uniqueEventType("mail.send.failed")
-	sub, err := store.Subscribe(ctx, eventType, target.URL, "secret")
-	if err != nil {
-		t.Fatalf("subscribe: %v", err)
-	}
-	if _, err := store.Enqueue(ctx, eventType, map[string]string{"x": "y"}); err != nil {
-		t.Fatalf("enqueue: %v", err)
-	}
-
-	dispatcher := NewDispatcher(pool, target.Client())
-	dispatcher.MaxAttempts = 2
-	dispatcher.BaseBackoff = 30 * time.Millisecond
-
-	// 1. Versuch: schlaegt fehl, ist aber noch nicht die Obergrenze.
-	if _, err := dispatcher.ProcessDue(ctx); err != nil {
-		t.Fatalf("processdue 1: %v", err)
-	}
-	var status string
-	var attempt int
-	if err := pool.QueryRow(ctx, `SELECT status, attempt FROM webhook_deliveries WHERE subscription_id = $1`, sub.ID).Scan(&status, &attempt); err != nil {
-		t.Fatalf("status lesen 1: %v", err)
-	}
-	if status != StatusPending || attempt != 1 {
-		t.Fatalf("nach 1. fehlschlag: status=%q attempt=%d, want pending/1", status, attempt)
-	}
-
-	// Sofort erneut verarbeiten: Backoff ist noch nicht abgelaufen -> nichts faellig.
-	processedTooEarly, err := dispatcher.ProcessDue(ctx)
-	if err != nil {
-		t.Fatalf("processdue (zu frueh): %v", err)
-	}
-	if processedTooEarly != 0 {
-		t.Fatal("erwartet 0 verarbeitete zustellungen, solange backoff nicht abgelaufen ist")
-	}
-
-	time.Sleep(dispatcher.backoffFor(1) + 20*time.Millisecond)
-
-	// 2. Versuch: erreicht MaxAttempts=2 -> endgueltig fehlgeschlagen.
-	if _, err := dispatcher.ProcessDue(ctx); err != nil {
-		t.Fatalf("processdue 2: %v", err)
-	}
-	if err := pool.QueryRow(ctx, `SELECT status, attempt FROM webhook_deliveries WHERE subscription_id = $1`, sub.ID).Scan(&status, &attempt); err != nil {
-		t.Fatalf("status lesen 2: %v", err)
-	}
-	if status != StatusFailed || attempt != 2 {
-		t.Fatalf("nach 2. fehlschlag: status=%q attempt=%d, want failed/2", status, attempt)
-	}
-	if atomic.LoadInt32(&callCount) != 2 {
-		t.Fatalf("erwartet genau 2 tatsaechliche zustellversuche, habe %d", callCount)
-	}
-}
-
-// Akzeptanzkriterium 3 + Pruefung 3: Signaturpruefung erkennt eine
-// manipulierte Payload zuverlaessig.
-func TestVerifySignature_DetectsTamperedPayload(t *testing.T) {
-	secret := "geteiltes-geheimnis"
-	payload := []byte(`{"file_id":"42"}`)
-	signature := Sign(secret, payload)
-
-	if !VerifySignature(secret, payload, signature) {
-		t.Fatal("erwartet gueltige signatur fuer unveraenderte payload")
-	}
-
-	tampered := []byte(`{"file_id":"99"}`)
-	if VerifySignature(secret, tampered, signature) {
-		t.Fatal("erwartet ungueltige signatur fuer manipulierte payload")
-	}
-
-	if VerifySignature("falsches-secret", payload, signature) {
-		t.Fatal("erwartet ungueltige signatur bei falschem secret")
-	}
-}

migrations/0002_superadmins.down.sql

@@ -1 +0,0 @@
-DROP TABLE IF EXISTS superadmins;

migrations/0002_superadmins.up.sql

@@ -1,14 +0,0 @@
--- Superadmin-Konten arbeiten mandantenuebergreifend und leben deshalb in der
--- Control-Plane-Registry (siehe TEN-01), nicht in einer Tenant-Datenbank.
--- Das bildet "Superadmin ohne Tenant" strukturell als First-Class-Zustand ab,
--- statt ihn als Sonderfall in der Tenant-users-Tabelle zu behandeln
--- (IAM-01, siehe core-kanban/tickets/IAM-01.md — bekannte Fehler vermeiden).
--- E-Mail-Eindeutigkeit ist hier global, da die Registry-DB einmalig existiert.
-CREATE TABLE superadmins (
-    id           UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    email        TEXT NOT NULL UNIQUE,
-    name         TEXT NOT NULL,
-    status       TEXT NOT NULL DEFAULT 'active',
-    created_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
-    updated_at   TIMESTAMPTZ NOT NULL DEFAULT now()
-);

migrations/0003_webhooks.down.sql

@@ -1,2 +0,0 @@
-DROP TABLE webhook_deliveries;
-DROP TABLE webhook_subscriptions;

migrations/0003_webhooks.up.sql

@@ -1,27 +0,0 @@
--- Zentrale Webhook-Registry & Zustellung (API-07, siehe
--- core-kanban/tickets/API-07.md) — Postgres-basierte Jobqueue, kein
--- Redis/AMQP (Ticket-Vorgabe).
-CREATE TABLE webhook_subscriptions (
-    id          UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    event_type  TEXT NOT NULL,
-    target_url  TEXT NOT NULL,
-    secret      TEXT NOT NULL,
-    created_at  TIMESTAMPTZ NOT NULL DEFAULT now()
-);
-
-CREATE INDEX webhook_subscriptions_event_type_idx ON webhook_subscriptions (event_type);
-
-CREATE TABLE webhook_deliveries (
-    id               UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    subscription_id  UUID NOT NULL REFERENCES webhook_subscriptions(id),
-    event_type       TEXT NOT NULL,
-    payload          JSONB NOT NULL,
-    status           TEXT NOT NULL DEFAULT 'pending', -- pending|delivered|failed
-    attempt          INT NOT NULL DEFAULT 0,
-    next_attempt_at  TIMESTAMPTZ NOT NULL DEFAULT now(),
-    last_error       TEXT,
-    created_at       TIMESTAMPTZ NOT NULL DEFAULT now(),
-    delivered_at     TIMESTAMPTZ
-);
-
-CREATE INDEX webhook_deliveries_due_idx ON webhook_deliveries (status, next_attempt_at);

migrations/0004_audit_events.down.sql

@@ -0,0 +1 @@
+DROP TABLE IF EXISTS audit_events;

migrations/0004_audit_events.up.sql

@@ -0,0 +1,17 @@
+-- Zentrales Audit-Log-Modell (AUD-01, siehe core-kanban/tickets/AUD-01.md).
+-- Getrennt vom allgemeinen Anwendungs-Log (Akzeptanzkriterium 2): eigene
+-- Tabelle, eigenes Paket (internal/audit), kein Log-Framework.
+-- tenant_slug ist NOT NULL + darf nicht leer sein (Akzeptanzkriterium 2 /
+-- Pruefung 2) — mandantenuebergreifende Ereignisse nutzen den reservierten
+-- Wert 'system', niemals NULL oder leeren String.
+CREATE TABLE audit_events (
+    id           UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+    occurred_at  TIMESTAMPTZ NOT NULL DEFAULT now(),
+    tenant_slug  TEXT NOT NULL CHECK (tenant_slug <> ''),
+    actor        TEXT NOT NULL CHECK (actor <> ''),
+    action       TEXT NOT NULL CHECK (action <> ''),
+    target       TEXT NOT NULL,
+    metadata     JSONB NOT NULL DEFAULT '{}'::jsonb
+);
+
+CREATE INDEX audit_events_tenant_slug_idx ON audit_events (tenant_slug, occurred_at);

migrations/tenant/0001_users.down.sql

@@ -1 +0,0 @@
-DROP TABLE IF EXISTS users;

migrations/tenant/0001_users.up.sql

@@ -1,16 +0,0 @@
--- Benutzer-Datenmodell (IAM-01, siehe core-kanban/tickets/IAM-01.md).
--- Diese Migration laeuft in der DB EINES Mandanten (Modell C, siehe TEN-01) —
--- die Tenant-Zugehoerigkeit ist implizit durch die Datenbankverbindung
--- gegeben, es gibt daher bewusst KEINE tenant_id-Spalte.
--- E-Mail-Eindeutigkeit ist hier tenant-scoped: der UNIQUE-Constraint gilt
--- nur innerhalb dieser einen Tenant-Datenbank.
-CREATE EXTENSION IF NOT EXISTS pgcrypto;
-
-CREATE TABLE users (
-    id           UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    email        TEXT NOT NULL UNIQUE,
-    name         TEXT NOT NULL,
-    status       TEXT NOT NULL DEFAULT 'active',
-    created_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
-    updated_at   TIMESTAMPTZ NOT NULL DEFAULT now()
-);

migrations/tenant/0002_users_password.down.sql

@@ -1 +0,0 @@
-ALTER TABLE users DROP COLUMN password_hash;

migrations/tenant/0002_users_password.up.sql

@@ -1,3 +0,0 @@
--- Passwort-Hash-Spalte fuer Login (IAM-02, siehe core-kanban/tickets/IAM-02.md).
--- Enthaelt AUSSCHLIESSLICH den bcrypt-Hash, niemals das Klartext-Passwort.
-ALTER TABLE users ADD COLUMN password_hash TEXT NOT NULL DEFAULT '';

scripts/reset-test-env.sh

@@ -1,4 +1,11 @@
 #!/usr/bin/env bash
+# Setzt die nexarch-Testumgebung zurueck: loescht die geteilte
+# Registry-Tabelle "tenants" in der postgres-Wartungsdatenbank sowie alle
+# tenant_*-Datenbanken. Noetig, weil verschiedene Feature-Branches
+# unterschiedliche Registry-Schemata erwarten, aber dieselbe physische
+# Postgres-Instanz auf dem Testhost teilen (siehe [[project-nexarch-test-infra]]).
+#
+# Aufruf: NEXARCH_TEST_DB_PASSWORD=... ./scripts/reset-test-env.sh
 set -euo pipefail
 
 PASS="${NEXARCH_TEST_DB_PASSWORD:?Setze NEXARCH_TEST_DB_PASSWORD vor dem Aufruf}"
@@ -7,6 +14,7 @@ ROLE="nexarch_test"
 export PGPASSWORD="$PASS"
 
 psql -h localhost -U "$ROLE" -d postgres -v ON_ERROR_STOP=1 -c "DROP TABLE IF EXISTS tenants CASCADE;"
+psql -h localhost -U "$ROLE" -d postgres -v ON_ERROR_STOP=1 -c "DROP TABLE IF EXISTS audit_events CASCADE;"
 
 dbs=$(psql -h localhost -U "$ROLE" -d postgres -tAc "SELECT datname FROM pg_database WHERE datname LIKE 'tenant\_%' ESCAPE '\'")
 for db in $dbs; do

scripts/run-checks.sh

@@ -1,4 +1,10 @@
 #!/usr/bin/env bash
+# Ein-Kommando-Pruefung fuer den aktuellen Code-Stand auf dem Testhost:
+# Registry+Tenant-DBs zuruecksetzen, dann build/vet/test in einem Rutsch.
+# -p 1 ist Pflicht, da mehrere Pakete dieselbe physische Registry-Tabelle auf
+# dem Testhost teilen (siehe [[project-nexarch-test-infra]]).
+#
+# Aufruf: NEXARCH_TEST_DB_PASSWORD=... ./scripts/run-checks.sh
 set -euo pipefail
 
 PASS="${NEXARCH_TEST_DB_PASSWORD:?Setze NEXARCH_TEST_DB_PASSWORD vor dem Aufruf}"