API-05: verteilte-jwt-verifikation-rechte-feature-flag-cache-kontrakt

internal/moduletrust: asymmetrische JWT-Signatur (Ed25519) mit JWKS- Verteilung, wie im Entscheidungsverlauf "Vertrauensstellung Core<->Module" (nexarch-state.json) festgelegt. Getrennt von IAM-02s HS256-Session-Cookie (Browser-Login bleibt unangetastet) — dies ist der Modul-zu-Core- Vertrauensmechanismus. KeyManager haelt ALLE noch gueltigen Schluesselpaare (nicht nur das aktuell signierende); Rotate() erzeugt einen neuen Schluessel, alte bleiben in PublicKeySet() erhalten — bereits ausgestellte Tokens bleiben dadurch nach einer Rotation weiterhin verifizierbar (Akzeptanzkriterium 3, keine Ausfallzeit). ServeJWKS/ParseJWKS sind der Verteilungsmechanismus. StaleCache[T] ist der generische Rechte-/Feature-Flag-Cache-Kontrakt (Akzeptanzkriterium 2), mit zwei explizit benannten und begruendeten Verhalten: Get() ist FAIL-OPEN (nutzt bei Core-Ausfall einen vorhandenen, abgelaufenen Stand weiter — ein bereits authentifiziertes Modul soll nicht hart blockieren), RequireFresh() ist FAIL-CLOSED (nie zwischengespeichert, schlaegt bei Core-Ausfall klar fehl — fuer sicherheitskritische Aktionen wie einen neuen Login). LIC-02s internal/flag.Service implementiert bereits denselben Kontrakt fuer Feature-Flags; StaleCache verallgemeinert dasselbe Muster fuer JWT-Schluessel, damit beide Faelle derselben dokumentierten Policy folgen statt zwei unterschiedlichen Ad-hoc-Loesungen. Verifier.Verify ruft KeyFetchFunc nur bei abgelaufener TTL auf, nicht pro Aufruf (Akzeptanzkriterium 1) — Signaturpruefung selbst ist immer lokal. Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS): 1. Core simuliert abgeschaltet, andere Module bleiben fuer bereits authentifizierte Nutzer funktionsfaehig bis TTL/Fail-Open greift — TestVerify_FailsOpenWhenCoreUnreachableButStaleKeysExist: Verify() funktioniert weiter mit letztbekanntem Schluesselstand. PASS. 2. Neue sicherheitskritische Aktion schlaegt bei Core-Ausfall klar fehl, statt andere Funktionen mitzureissen — TestRequireFreshKeys_FailsClosedWhenCoreUnreachable: Fehler trotz vorhandenem (aelterem) Cache-Stand. PASS. 3. Schluesselrotation ohne Downtime in einem simulierten zweiten Modul — TestRotate_NoDowntimeForAlreadyIssuedTokens: vor UND nach Rotation ausgestellte Tokens beide weiterhin gueltig fuer Modul B. PASS. Zusaetzlich: TestVerify_DoesNotFetchPerCall belegt Akzeptanzkriterium 1 direkt (10 Verify-Aufrufe, genau 1 Fetch). PASS. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
2026-08-27 21:38:57 +02:00
33 changed files with 540 additions and 2002 deletions
@@ -1,27 +0,0 @@
 // Package ldapsync implementiert Core IAM-05: LDAP/Active-Directory-
 // Anbindung je Tenant fuer Benutzer-Synchronisation, Login-Delegation und
 // Rollenzuordnung aus Gruppen ueber eine explizite Erlaubnis-Matrix.
 //
 // WICHTIGER HINWEIS: In dieser Umgebung steht kein echter LDAP/AD-Server zur
 // Verfuegung (analog zur Archive-Engine bei AUD-05). Client ist deshalb eine
 // Schnittstelle — die Sync-/Rollenzuordnungs-Logik ist gegen einen Fake in
 // den Tests vollstaendig geprueft, eine echte Verbindungspruefung gegen
 // LDAP/AD steht noch aus.
 package ldapsync
 // Entry ist ein aus LDAP gelesener Benutzerdatensatz.
 type Entry struct {
 	Email    string
 	Name     string
 	Groups   []string
 	Disabled bool
 }
 // Client abstrahiert die eigentliche LDAP-Verbindung (Bind + Search).
 type Client interface {
 	// Search liefert alle Benutzer, die dem konfigurierten Filter
 	// entsprechen. Ein Fehler bedeutet "Quelle nicht erreichbar oder
 	// fehlerhaft" — Run() bricht dann komplett und folgenlos ab
 	// (Akzeptanzkriterium 2).
 	Search() ([]Entry, error)
 }
@@ -1,204 +0,0 @@
 package ldapsync
 import (
 	"context"
 	"errors"
 	"fmt"
 	"os"
 	"testing"
 	"time"
 	"github.com/jackc/pgx/v5/pgxpool"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 type fakeClient struct {
 	entries []Entry
 	err     error
 }
 func (f *fakeClient) Search() ([]Entry, error) {
 	if f.err != nil {
 		return nil, f.err
 	}
 	return f.entries, nil
 }
 func setupTest(t *testing.T) (*user.TenantUserStore, *rbac.Store, *RoleMappingStore, func()) {
 	t.Helper()
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	ctx := context.Background()
 	pool, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("pool: %v", err)
 	}
 	if _, err := pool.Exec(ctx, `
 		CREATE TABLE IF NOT EXISTS users (
 			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), email TEXT NOT NULL UNIQUE, name TEXT NOT NULL,
 			status TEXT NOT NULL DEFAULT 'active', password_hash TEXT NOT NULL DEFAULT '',
 			created_at TIMESTAMPTZ NOT NULL DEFAULT now(), updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 		CREATE TABLE IF NOT EXISTS role_assignments (
 			user_id UUID PRIMARY KEY REFERENCES users(id), role TEXT NOT NULL CHECK (role IN ('user','tenant_admin')),
 			granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 		CREATE TABLE IF NOT EXISTS role_assignment_history (
 			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), user_id UUID NOT NULL, role TEXT NOT NULL,
 			granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 		CREATE TABLE IF NOT EXISTS ldap_group_role_mapping (
 			ldap_group TEXT PRIMARY KEY, role TEXT NOT NULL CHECK (role IN ('user','tenant_admin'))
 		);
 	`); err != nil {
 		t.Fatalf("schema: %v", err)
 	}
 	cleanup := func() { pool.Close() }
 	return user.NewTenantUserStore(pool), rbac.NewStore(pool), NewRoleMappingStore(pool), cleanup
 }
 func uniqueEmail() string {
 	return fmt.Sprintf("ldap-test-%d@example.com", time.Now().UnixNano())
 }
 // Akzeptanzkriterium 3 + Pruefung 1: Rollen-Erlaubnis-Matrix mit Positiv- und
 // Negativfaellen — keine Privilege-Escalation ueber Gruppenmitgliedschaft.
 func TestRoleMapping_PositiveAndNegativeCases(t *testing.T) {
 	_, _, mappings, cleanup := setupTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	if err := mappings.SetMapping(ctx, "cn=IT-Admins,ou=groups,dc=example,dc=com", rbac.RoleTenantAdmin); err != nil {
 		t.Fatalf("set mapping: %v", err)
 	}
 	// Positivfall: gemappte Gruppe liefert die konfigurierte Rolle.
 	role, ok, err := mappings.HighestRoleFor(ctx, []string{"cn=IT-Admins,ou=groups,dc=example,dc=com"})
 	if err != nil {
 		t.Fatalf("highest role: %v", err)
 	}
 	if !ok || role != rbac.RoleTenantAdmin {
 		t.Fatalf("erwartet tenant_admin, habe ok=%v role=%q", ok, role)
 	}
 	// Negativfall 1: unbekannte Gruppe vergibt keine Rolle.
 	_, ok, err = mappings.HighestRoleFor(ctx, []string{"cn=Praktikanten,ou=groups,dc=example,dc=com"})
 	if err != nil {
 		t.Fatalf("highest role (unbekannt): %v", err)
 	}
 	if ok {
 		t.Fatal("erwartet KEINE rolle fuer nicht gemappte gruppe")
 	}
 	// Negativfall 2 (Privilege-Escalation-Versuch): eine Gruppe, die zufaellig
 	// wie eine interne Rolle heisst, aber NIE explizit gemappt wurde, darf
 	// keine Rolle vergeben.
 	_, ok, err = mappings.HighestRoleFor(ctx, []string{"tenant_admin", "superadmin"})
 	if err != nil {
 		t.Fatalf("highest role (namens-trick): %v", err)
 	}
 	if ok {
 		t.Fatal("erwartet KEINE privilege-escalation ueber gruppennamen, die wie rollen aussehen")
 	}
 }
 // Akzeptanzkriterium 1: Synchronisationslauf legt Benutzer an.
 func TestSyncer_CreatesUsers(t *testing.T) {
 	users, roles, mappings, cleanup := setupTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	email := uniqueEmail()
 	client := &fakeClient{entries: []Entry{{Email: email, Name: "LDAP Nutzer"}}}
 	syncer := NewSyncer(client, users, roles, mappings)
 	result, err := syncer.Run(ctx)
 	if err != nil {
 		t.Fatalf("run: %v", err)
 	}
 	if result.Created != 1 {
 		t.Fatalf("erwartet 1 angelegten benutzer, habe %d", result.Created)
 	}
 	if _, err := users.GetByEmailForAuth(ctx, email); err != nil {
 		t.Fatalf("benutzer sollte existieren: %v", err)
 	}
 }
 // Akzeptanzkriterium 2 + Pruefung 2: fehlerhafte/nicht erreichbare LDAP-
 // Quelle bricht kontrolliert ab, ohne bestehende Konten zu beschaedigen.
 func TestSyncer_AbortsCleanlyOnSourceError(t *testing.T) {
 	users, roles, mappings, cleanup := setupTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	// Ein bereits bestehendes Konto, das UNBERUEHRT bleiben muss.
 	existingEmail := uniqueEmail()
 	existing, err := users.Create(ctx, existingEmail, "Bestehender Nutzer")
 	if err != nil {
 		t.Fatalf("create existing: %v", err)
 	}
 	client := &fakeClient{err: errors.New("ldap-server nicht erreichbar (simuliert)")}
 	syncer := NewSyncer(client, users, roles, mappings)
 	if _, err := syncer.Run(ctx); err == nil {
 		t.Fatal("erwartet fehler bei nicht erreichbarer ldap-quelle")
 	}
 	// Bestehendes Konto unveraendert (noch aktiv, keine geloeschten/neuen Zeilen).
 	got, err := users.Get(ctx, existing.ID)
 	if err != nil {
 		t.Fatalf("bestehendes konto sollte weiterhin existieren: %v", err)
 	}
 	if got.Status != user.StatusActive {
 		t.Fatalf("bestehendes konto sollte unveraendert aktiv sein, ist %q", got.Status)
 	}
 }
 // Akzeptanzkriterium 3 + Pruefung 3: Deaktivierung in LDAP wird bei
 // naechster Synchronisation korrekt uebernommen.
 func TestSyncer_AppliesDeactivationOnNextRun(t *testing.T) {
 	users, roles, mappings, cleanup := setupTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	email := uniqueEmail()
 	client := &fakeClient{entries: []Entry{{Email: email, Name: "Wird Deaktiviert"}}}
 	syncer := NewSyncer(client, users, roles, mappings)
 	if _, err := syncer.Run(ctx); err != nil {
 		t.Fatalf("erster lauf: %v", err)
 	}
 	u, err := users.GetByEmailForAuth(ctx, email)
 	if err != nil {
 		t.Fatalf("benutzer nach erstem lauf: %v", err)
 	}
 	if u.User.Status != user.StatusActive {
 		t.Fatalf("erwartet aktiv nach erstem lauf, habe %q", u.User.Status)
 	}
 	// Zweiter Lauf: derselbe Benutzer ist jetzt in LDAP deaktiviert.
 	client.entries[0].Disabled = true
 	result, err := syncer.Run(ctx)
 	if err != nil {
 		t.Fatalf("zweiter lauf: %v", err)
 	}
 	if result.Deactivated != 1 {
 		t.Fatalf("erwartet 1 deaktivierung, habe %d", result.Deactivated)
 	}
 	u, err = users.GetByEmailForAuth(ctx, email)
 	if err != nil {
 		t.Fatalf("benutzer nach zweitem lauf: %v", err)
 	}
 	if u.User.Status != user.StatusInactive {
 		t.Fatalf("erwartet inaktiv nach deaktivierung in ldap, habe %q", u.User.Status)
 	}
 }
@@ -1,79 +0,0 @@
 package ldapsync
 import (
 	"context"
 	"errors"
 	"fmt"
 	"github.com/jackc/pgx/v5"
 	"github.com/jackc/pgx/v5/pgxpool"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 )
 // RoleMappingStore verwaltet die Erlaubnis-Matrix LDAP-Gruppe -> Rolle
 // (Akzeptanzkriterium 3). Nur explizit gemappte Gruppen vergeben eine Rolle
 // — der Schutz gegen Privilege-Escalation ist strukturell: es gibt keinen
 // Code-Pfad, der eine unbekannte Gruppe irgendeiner Rolle zuordnet.
 type RoleMappingStore struct {
 	pool *pgxpool.Pool
 }
 func NewRoleMappingStore(pool *pgxpool.Pool) *RoleMappingStore {
 	return &RoleMappingStore{pool: pool}
 }
 // SetMapping ordnet eine LDAP-Gruppe genau einer NEXARCH-Rolle zu. Nur
 // 'user'/'tenant_admin' sind zuweisbar (dieselbe Matrix wie RBAC-01/03) —
 // 'superadmin' bleibt mandantenuebergreifend und nie ueber LDAP erreichbar.
 func (s *RoleMappingStore) SetMapping(ctx context.Context, ldapGroup string, role rbac.Role) error {
 	if role != rbac.RoleUser && role != rbac.RoleTenantAdmin {
 		return fmt.Errorf("ldapsync: rolle %q ist ueber ldap nicht zuweisbar", role)
 	}
 	_, err := s.pool.Exec(ctx, `
 		INSERT INTO ldap_group_role_mapping (ldap_group, role) VALUES ($1, $2)
 		ON CONFLICT (ldap_group) DO UPDATE SET role = $2
 	`, ldapGroup, string(role))
 	if err != nil {
 		return fmt.Errorf("gruppenzuordnung speichern: %w", err)
 	}
 	return nil
 }
 // roleFor liefert die einer LDAP-Gruppe zugeordnete Rolle, sofern konfiguriert.
 func (s *RoleMappingStore) roleFor(ctx context.Context, ldapGroup string) (rbac.Role, bool, error) {
 	var role string
 	err := s.pool.QueryRow(ctx, `SELECT role FROM ldap_group_role_mapping WHERE ldap_group = $1`, ldapGroup).Scan(&role)
 	if err != nil {
 		if errors.Is(err, pgx.ErrNoRows) {
 			return "", false, nil
 		}
 		return "", false, fmt.Errorf("gruppenzuordnung lesen: %w", err)
 	}
 	return rbac.Role(role), true, nil
 }
 // HighestRoleFor bestimmt aus einer Liste von LDAP-Gruppen die hoechste
 // zugeordnete Rolle (tenant_admin > user). Gruppen ohne Eintrag in der
 // Matrix tragen NICHTS bei — auch nicht, wenn ihr Name zufaellig wie eine
 // interne Rolle aussieht (Akzeptanzkriterium 3 / Pruefung 1: keine
 // Privilege-Escalation ueber Gruppenmitgliedschaft).
 func (s *RoleMappingStore) HighestRoleFor(ctx context.Context, ldapGroups []string) (rbac.Role, bool, error) {
 	var best rbac.Role
 	found := false
 	for _, g := range ldapGroups {
 		role, ok, err := s.roleFor(ctx, g)
 		if err != nil {
 			return "", false, err
 		}
 		if !ok {
 			continue
 		}
 		if !found || role == rbac.RoleTenantAdmin {
 			best = role
 			found = true
 		}
 	}
 	return best, found, nil
 }
@@ -1,93 +0,0 @@
 package ldapsync
 import (
 	"context"
 	"errors"
 	"fmt"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 // SyncResult fasst das Ergebnis eines Synchronisationslaufs zusammen.
 type SyncResult struct {
 	Created     int
 	Updated     int
 	Deactivated int
 	Failed      []string // Email-Adressen, bei denen die Verarbeitung fehlschlug
 }
 // Syncer fuehrt die Benutzer-/Rollen-Synchronisation aus LDAP aus.
 type Syncer struct {
 	client   Client
 	users    *user.TenantUserStore
 	roles    *rbac.Store
 	mappings *RoleMappingStore
 }
 func NewSyncer(client Client, users *user.TenantUserStore, roles *rbac.Store, mappings *RoleMappingStore) *Syncer {
 	return &Syncer{client: client, users: users, roles: roles, mappings: mappings}
 }
 // Run synchronisiert Benutzer aus LDAP (Akzeptanzkriterium 1). Ist die
 // LDAP-Quelle nicht erreichbar/fehlerhaft, wird SOFORT und OHNE jede
 // Aenderung an bestehenden Konten abgebrochen (Akzeptanzkriterium 2 /
 // Pruefung 2) — Search() wird als allererstes aufgerufen, bevor irgendein
 // Schreibzugriff stattfindet.
 func (s *Syncer) Run(ctx context.Context) (SyncResult, error) {
 	entries, err := s.client.Search()
 	if err != nil {
 		return SyncResult{}, fmt.Errorf("ldap-quelle nicht erreichbar, synchronisation abgebrochen: %w", err)
 	}
 	var result SyncResult
 	for _, entry := range entries {
 		if err := s.syncOne(ctx, entry, &result); err != nil {
 			// Ein fehlerhafter Einzeleintrag isoliert sich selbst — er
 			// beschaedigt weder bereits verarbeitete noch nachfolgende
 			// Konten (Akzeptanzkriterium 2).
 			result.Failed = append(result.Failed, entry.Email)
 		}
 	}
 	return result, nil
 }
 func (s *Syncer) syncOne(ctx context.Context, entry Entry, result *SyncResult) error {
 	existing, err := s.users.GetByEmailForAuth(ctx, entry.Email)
 	isNew := errors.Is(err, user.ErrNotFound)
 	if err != nil && !isNew {
 		return err
 	}
 	var userID string
 	if isNew {
 		created, err := s.users.Create(ctx, entry.Email, entry.Name)
 		if err != nil {
 			return err
 		}
 		userID = created.ID
 		result.Created++
 	} else {
 		userID = existing.User.ID
 		result.Updated++
 	}
 	// Deaktivierung in LDAP wird uebernommen (Akzeptanzkriterium 3 / Pruefung 3).
 	if entry.Disabled {
 		if _, err := s.users.Deactivate(ctx, userID); err != nil {
 			return err
 		}
 		result.Deactivated++
 	}
 	role, ok, err := s.mappings.HighestRoleFor(ctx, entry.Groups)
 	if err != nil {
 		return err
 	}
 	if ok {
 		if _, err := s.roles.Assign(ctx, userID, role, "ldap-sync"); err != nil {
 			return err
 		}
 	}
 	return nil
 }
@@ -0,0 +1,86 @@
 package moduletrust
 import (
 	"context"
 	"fmt"
 	"sync"
 	"time"
 )
 // StaleCache ist der generische Rechte-/Feature-Flag-Cache-Kontrakt
 // (Akzeptanzkriterium 2): TTL-basiert, mit explizitem, benanntem Verhalten
 // bei abgelaufenem Cache waehrend Core nicht erreichbar ist.
 //
 //   - Get: FAIL-OPEN fuer Lesevorgaenge. Schlaegt der Refresh fehl, aber es
 //     gibt bereits einen (wenn auch abgelaufenen) Stand, wird dieser mit
 //     stale=true zurueckgegeben — Begruendung: ein bereits authentifiziertes
 //     Modul soll mit dem letztbekannten Stand weiterarbeiten koennen statt
 //     hart zu blockieren (siehe "Bekannte Fehler vermeiden" im Ticket).
 //     Existiert noch nie ein Stand, gibt es keinen sinnvollen Fallback —
 //     dann liefert auch Get einen Fehler.
 //   - RequireFresh: FAIL-CLOSED fuer sicherheitskritische Aktionen (z.B.
 //     ein komplett NEUER Login). Nutzt NIEMALS einen zwischengespeicherten
 //     Stand, ruft immer frisch ab — Begruendung: eine neue Vertrauens-
 //     entscheidung darf nicht auf veralteten Daten beruhen, auch wenn das
 //     bedeutet, dass die Aktion bei Core-Ausfall sichtbar fehlschlaegt statt
 //     unsicher "irgendwie" durchgelassen zu werden.
 //
 // LIC-02 (internal/flag.Service) implementiert bereits denselben Kontrakt
 // fuer Feature-Flags — StaleCache verallgemeinert dasselbe Muster fuer
 // JWT-Signaturschluessel, damit beide Faelle derselben dokumentierten
 // Policy folgen.
 type StaleCache[T any] struct {
 	mu        sync.RWMutex
 	value     T
 	hasValue  bool
 	fetchedAt time.Time
 	ttl       time.Duration
 	fetch     func(ctx context.Context) (T, error)
 }
 func NewStaleCache[T any](ttl time.Duration, fetch func(ctx context.Context) (T, error)) *StaleCache[T] {
 	return &StaleCache[T]{ttl: ttl, fetch: fetch}
 }
 // Get liefert den Cache-Wert. FAIL-OPEN: bei Refresh-Fehler wird ein
 // vorhandener, ggf. abgelaufener Stand zurueckgegeben (stale=true).
 func (c *StaleCache[T]) Get(ctx context.Context) (value T, stale bool, err error) {
 	c.mu.RLock()
 	fresh := c.hasValue && time.Since(c.fetchedAt) < c.ttl
 	if fresh {
 		v := c.value
 		c.mu.RUnlock()
 		return v, false, nil
 	}
 	c.mu.RUnlock()
 	newVal, fetchErr := c.fetch(ctx)
 	if fetchErr == nil {
 		c.mu.Lock()
 		c.value, c.hasValue, c.fetchedAt = newVal, true, time.Now()
 		c.mu.Unlock()
 		return newVal, false, nil
 	}
 	c.mu.RLock()
 	defer c.mu.RUnlock()
 	if c.hasValue {
 		return c.value, true, nil
 	}
 	var zero T
 	return zero, false, fmt.Errorf("cache leer und refresh fehlgeschlagen: %w", fetchErr)
 }
 // RequireFresh ruft IMMER frisch ab (FAIL-CLOSED) — fuer sicherheitskritische
 // Aktionen, die niemals auf einem zwischengespeicherten Stand basieren duerfen.
 func (c *StaleCache[T]) RequireFresh(ctx context.Context) (T, error) {
 	v, err := c.fetch(ctx)
 	if err != nil {
 		var zero T
 		return zero, fmt.Errorf("core nicht erreichbar, sicherheitskritische aktion abgelehnt: %w", err)
 	}
 	c.mu.Lock()
 	c.value, c.hasValue, c.fetchedAt = v, true, time.Now()
 	c.mu.Unlock()
 	return v, nil
 }
@@ -0,0 +1,79 @@
 package moduletrust
 import (
 	"encoding/base64"
 	"encoding/json"
 	"fmt"
 	"net/http"
 	"time"
 	"github.com/golang-jwt/jwt/v5"
 )
 type Claims struct {
 	Subject    string `json:"sub"`
 	TenantSlug string `json:"tenant"`
 	jwt.RegisteredClaims
 }
 // Issue signiert ein Token mit dem aktuellen Signierschluessel und traegt
 // dessen KID im JWT-Header ein — der Verifier auf Modulseite waehlt darueber
 // den passenden oeffentlichen Schluessel aus PublicKeySet() aus.
 func (m *KeyManager) Issue(subject, tenantSlug string, ttl time.Duration) (string, error) {
 	key, err := m.SigningKey()
 	if err != nil {
 		return "", err
 	}
 	now := time.Now()
 	claims := Claims{
 		Subject:    subject,
 		TenantSlug: tenantSlug,
 		RegisteredClaims: jwt.RegisteredClaims{
 			IssuedAt:  jwt.NewNumericDate(now),
 			ExpiresAt: jwt.NewNumericDate(now.Add(ttl)),
 		},
 	}
 	token := jwt.NewWithClaims(jwt.SigningMethodEdDSA, claims)
 	token.Header["kid"] = key.KID
 	return token.SignedString(key.Private)
 }
 type jwksResponse struct {
 	Keys []jwksKey `json:"keys"`
 }
 type jwksKey struct {
 	Kid       string `json:"kid"`
 	PublicKey string `json:"public_key"` // base64 (raw Ed25519, 32 Byte)
 }
 // ServeJWKS liefert alle bekannten oeffentlichen Schluessel als JSON —
 // Module fragen dies periodisch ab (nicht pro Request), siehe Verifier.
 func (m *KeyManager) ServeJWKS(w http.ResponseWriter, r *http.Request) {
 	set := m.PublicKeySet()
 	resp := jwksResponse{Keys: make([]jwksKey, 0, len(set))}
 	for kid, pub := range set {
 		resp.Keys = append(resp.Keys, jwksKey{Kid: kid, PublicKey: base64.StdEncoding.EncodeToString(pub)})
 	}
 	w.Header().Set("Content-Type", "application/json")
 	_ = json.NewEncoder(w).Encode(resp)
 }
 // ParseJWKS dekodiert die JSON-Antwort von ServeJWKS zurueck in kid->PublicKey
 // — Hilfsfunktion fuer Module, die JWKS per HTTP abrufen.
 func ParseJWKS(data []byte) (map[string][]byte, error) {
 	var resp jwksResponse
 	if err := json.Unmarshal(data, &resp); err != nil {
 		return nil, fmt.Errorf("jwks parsen: %w", err)
 	}
 	out := make(map[string][]byte, len(resp.Keys))
 	for _, k := range resp.Keys {
 		raw, err := base64.StdEncoding.DecodeString(k.PublicKey)
 		if err != nil {
 			return nil, fmt.Errorf("oeffentlichen schluessel %q dekodieren: %w", k.Kid, err)
 		}
 		out[k.Kid] = raw
 	}
 	return out, nil
 }
@@ -0,0 +1,83 @@
 // Package moduletrust implementiert Core API-05: asymmetrische JWT-Signatur
 // mit Schluesselverteilung (JWKS), damit DMS/Mail/Archive/Workflow JWTs
 // LOKAL verifizieren koennen, ohne pro Aufruf einen synchronen Request an
 // Core zu stellen — Core darf Fundament sein, ohne zum Flaschenhals zu
 // werden (siehe Entscheidungsverlauf "Vertrauensstellung Core<->Module" in
 // nexarch-state.json). IAM-02s HS256-Session-Cookie (Browser-Login) bleibt
 // unangetastet — dies ist ein zusaetzlicher, getrennter Vertrauensmechanismus
 // fuer Modul-zu-Modul/Modul-zu-Core-Aufrufe.
 package moduletrust
 import (
 	"crypto/ed25519"
 	"crypto/rand"
 	"encoding/hex"
 	"fmt"
 	"sync"
 )
 type KeyPair struct {
 	KID     string
 	Private ed25519.PrivateKey
 	Public  ed25519.PublicKey
 }
 // KeyManager haelt ALLE noch gueltigen Schluesselpaare — nicht nur das
 // aktuell signierende. Rotate erzeugt ein neues Paar und behaelt die alten
 // fuer die Verifikation bereits ausgestellter Tokens (Akzeptanzkriterium 3:
 // Rotation ohne Ausfallzeit fuer andere Module).
 type KeyManager struct {
 	mu   sync.RWMutex
 	keys []KeyPair // aeltestes zuerst, neuestes zuletzt
 }
 func NewKeyManager() (*KeyManager, error) {
 	m := &KeyManager{}
 	if _, err := m.Rotate(); err != nil {
 		return nil, err
 	}
 	return m, nil
 }
 // Rotate erzeugt ein neues Ed25519-Schluesselpaar mit eigener KID und macht
 // es zum aktuellen Signierschluessel. Aeltere Schluessel bleiben in
 // PublicKeySet() erhalten, damit bereits ausgestellte Tokens weiterhin
 // verifizierbar sind.
 func (m *KeyManager) Rotate() (KeyPair, error) {
 	pub, priv, err := ed25519.GenerateKey(nil)
 	if err != nil {
 		return KeyPair{}, fmt.Errorf("schluesselpaar erzeugen: %w", err)
 	}
 	kidBytes := make([]byte, 8)
 	if _, err := rand.Read(kidBytes); err != nil {
 		return KeyPair{}, fmt.Errorf("kid erzeugen: %w", err)
 	}
 	kp := KeyPair{KID: hex.EncodeToString(kidBytes), Private: priv, Public: pub}
 	m.mu.Lock()
 	m.keys = append(m.keys, kp)
 	m.mu.Unlock()
 	return kp, nil
 }
 // SigningKey liefert den aktuellen (neuesten) Schluessel zum Signieren neuer Tokens.
 func (m *KeyManager) SigningKey() (KeyPair, error) {
 	m.mu.RLock()
 	defer m.mu.RUnlock()
 	if len(m.keys) == 0 {
 		return KeyPair{}, fmt.Errorf("moduletrust: kein schluessel vorhanden")
 	}
 	return m.keys[len(m.keys)-1], nil
 }
 // PublicKeySet liefert ALLE bekannten oeffentlichen Schluessel (kid ->
 // public key) — die Grundlage fuer den JWKS-Endpunkt.
 func (m *KeyManager) PublicKeySet() map[string]ed25519.PublicKey {
 	m.mu.RLock()
 	defer m.mu.RUnlock()
 	out := make(map[string]ed25519.PublicKey, len(m.keys))
 	for _, k := range m.keys {
 		out[k.KID] = k.Public
 	}
 	return out
 }
@@ -0,0 +1,214 @@
 package moduletrust
 import (
 	"context"
 	"crypto/ed25519"
 	"errors"
 	"net/http"
 	"sync"
 	"testing"
 	"time"
 )
 func TestIssueAndVerify_RoundTrip(t *testing.T) {
 	km, err := NewKeyManager()
 	if err != nil {
 		t.Fatalf("new key manager: %v", err)
 	}
 	token, err := km.Issue("user-1", "acme", time.Hour)
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
 		return km.PublicKeySet(), nil
 	})
 	claims, err := v.Verify(context.Background(), token)
 	if err != nil {
 		t.Fatalf("verify: %v", err)
 	}
 	if claims.Subject != "user-1" || claims.TenantSlug != "acme" {
 		t.Fatalf("claims unerwartet: %+v", claims)
 	}
 }
 // Akzeptanzkriterium 1: Verifikation lokal, kein Request pro Aufruf.
 func TestVerify_DoesNotFetchPerCall(t *testing.T) {
 	km, err := NewKeyManager()
 	if err != nil {
 		t.Fatalf("new key manager: %v", err)
 	}
 	token, err := km.Issue("user-1", "acme", time.Hour)
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	var mu sync.Mutex
 	fetchCalls := 0
 	v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
 		mu.Lock()
 		fetchCalls++
 		mu.Unlock()
 		return km.PublicKeySet(), nil
 	})
 	for i := 0; i < 10; i++ {
 		if _, err := v.Verify(context.Background(), token); err != nil {
 			t.Fatalf("verify %d: %v", i, err)
 		}
 	}
 	mu.Lock()
 	defer mu.Unlock()
 	if fetchCalls != 1 {
 		t.Fatalf("erwartet genau 1 fetch fuer 10 Verify-Aufrufe innerhalb der TTL, habe %d", fetchCalls)
 	}
 }
 // Akzeptanzkriterium 2 + Pruefung 1: Core simuliert nicht erreichbar,
 // bereits authentifizierte Nutzer bleiben funktionsfaehig (Fail-Open mit
 // letztbekanntem Schluesselstand).
 func TestVerify_FailsOpenWhenCoreUnreachableButStaleKeysExist(t *testing.T) {
 	km, err := NewKeyManager()
 	if err != nil {
 		t.Fatalf("new key manager: %v", err)
 	}
 	token, err := km.Issue("user-1", "acme", time.Hour)
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	coreDown := false
 	v := NewVerifier(30*time.Millisecond, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
 		if coreDown {
 			return nil, errors.New("core nicht erreichbar (simuliert)")
 		}
 		return km.PublicKeySet(), nil
 	})
 	// Cache vorwaermen, waehrend Core noch erreichbar ist.
 	if _, err := v.Verify(context.Background(), token); err != nil {
 		t.Fatalf("verify (warm): %v", err)
 	}
 	// "Core abschalten" und TTL ablaufen lassen.
 	coreDown = true
 	time.Sleep(50 * time.Millisecond)
 	if _, err := v.Verify(context.Background(), token); err != nil {
 		t.Fatalf("verify sollte trotz core-ausfall mit letztbekanntem stand funktionieren: %v", err)
 	}
 }
 // Akzeptanzkriterium 2 + Pruefung 2: neue sicherheitskritische Aktionen
 // (z.B. neuer Login) schlagen bei Core-Ausfall klar fehl statt unsicher
 // durchgelassen zu werden — auch wenn ein (aelterer) Cache-Stand existiert.
 func TestRequireFreshKeys_FailsClosedWhenCoreUnreachable(t *testing.T) {
 	km, err := NewKeyManager()
 	if err != nil {
 		t.Fatalf("new key manager: %v", err)
 	}
 	coreDown := false
 	v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
 		if coreDown {
 			return nil, errors.New("core nicht erreichbar (simuliert)")
 		}
 		return km.PublicKeySet(), nil
 	})
 	// Cache vorwaermen (existiert jetzt ein "veralteter" gueltiger Stand).
 	if _, _, err := v.cache.Get(context.Background()); err != nil {
 		t.Fatalf("warm cache: %v", err)
 	}
 	coreDown = true
 	if err := v.RequireFreshKeys(context.Background()); err == nil {
 		t.Fatal("erwartet fehler (fail-closed) bei core-ausfall, habe nil")
 	}
 }
 // Akzeptanzkriterium 3 + Pruefung 3: Schluesselrotation ohne Ausfallzeit —
 // ein bereits ausgestelltes Token bleibt nach Rotation weiterhin
 // verifizierbar, ein zweites (simuliertes) Modul bekommt beide Schluessel.
 func TestRotate_NoDowntimeForAlreadyIssuedTokens(t *testing.T) {
 	km, err := NewKeyManager()
 	if err != nil {
 		t.Fatalf("new key manager: %v", err)
 	}
 	oldToken, err := km.Issue("user-1", "acme", time.Hour)
 	if err != nil {
 		t.Fatalf("issue (alt): %v", err)
 	}
 	if _, err := km.Rotate(); err != nil {
 		t.Fatalf("rotate: %v", err)
 	}
 	newToken, err := km.Issue("user-2", "acme", time.Hour)
 	if err != nil {
 		t.Fatalf("issue (neu): %v", err)
 	}
 	// Simuliertes zweites Modul: fragt den vollstaendigen Schluesselsatz ab.
 	moduleB := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
 		return km.PublicKeySet(), nil
 	})
 	if _, err := moduleB.Verify(context.Background(), oldToken); err != nil {
 		t.Fatalf("altes token sollte nach rotation weiterhin gueltig sein: %v", err)
 	}
 	if _, err := moduleB.Verify(context.Background(), newToken); err != nil {
 		t.Fatalf("neues token sollte gueltig sein: %v", err)
 	}
 }
 func TestVerify_RejectsUnknownKid(t *testing.T) {
 	km1, _ := NewKeyManager()
 	km2, _ := NewKeyManager() // komplett anderer, unbekannter schluessel
 	token, err := km1.Issue("user-1", "acme", time.Hour)
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
 		return km2.PublicKeySet(), nil // kennt km1s schluessel nicht
 	})
 	if _, err := v.Verify(context.Background(), token); !errors.Is(err, ErrInvalidToken) {
 		t.Fatalf("erwartet ErrInvalidToken, habe %v", err)
 	}
 }
 func TestJWKSRoundTrip(t *testing.T) {
 	km, _ := NewKeyManager()
 	km.Rotate()
 	var buf []byte
 	rec := &captureWriter{}
 	km.ServeJWKS(rec, nil)
 	buf = rec.body
 	parsed, err := ParseJWKS(buf)
 	if err != nil {
 		t.Fatalf("parse jwks: %v", err)
 	}
 	if len(parsed) != len(km.PublicKeySet()) {
 		t.Fatalf("erwartet %d schluessel, habe %d", len(km.PublicKeySet()), len(parsed))
 	}
 }
 type captureWriter struct {
 	body   []byte
 	header http.Header
 }
 func (w *captureWriter) Header() http.Header {
 	if w.header == nil {
 		w.header = http.Header{}
 	}
 	return w.header
 }
 func (w *captureWriter) Write(p []byte) (int, error) { w.body = append(w.body, p...); return len(p), nil }
 func (w *captureWriter) WriteHeader(statusCode int)  {}
@@ -0,0 +1,67 @@
 package moduletrust
 import (
 	"context"
 	"crypto/ed25519"
 	"errors"
 	"time"
 	"github.com/golang-jwt/jwt/v5"
 )
 var ErrInvalidToken = errors.New("moduletrust: ungueltiges token")
 // KeyFetchFunc holt den aktuellen Schluesselsatz von Core (z.B. per HTTP-GET
 // auf ServeJWKS + ParseJWKS). Wird vom Verifier nur bei abgelaufener TTL
 // aufgerufen — NICHT bei jeder Verify()-Anfrage (Akzeptanzkriterium 1).
 type KeyFetchFunc func(ctx context.Context) (map[string]ed25519.PublicKey, error)
 // Verifier ist die Modulseite von API-05: verifiziert JWTs LOKAL gegen einen
 // per StaleCache zwischengespeicherten Schluesselsatz, ohne pro Aufruf einen
 // synchronen Request an Core zu stellen.
 type Verifier struct {
 	cache *StaleCache[map[string]ed25519.PublicKey]
 }
 func NewVerifier(ttl time.Duration, fetch KeyFetchFunc) *Verifier {
 	return &Verifier{cache: NewStaleCache(ttl, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
 		return fetch(ctx)
 	})}
 }
 // Verify prueft die Signatur LOKAL gegen den (ggf. abgelaufenen, aber
 // vorhandenen) Schluesselsatz — FAIL-OPEN fuer bereits ausgestellte Tokens
 // (Akzeptanzkriterium 2): ist Core nicht erreichbar, aber ein alter
 // Schluesselsatz bekannt, wird damit weiter verifiziert.
 func (v *Verifier) Verify(ctx context.Context, tokenString string) (*Claims, error) {
 	keys, _, err := v.cache.Get(ctx)
 	if err != nil {
 		return nil, err
 	}
 	claims := &Claims{}
 	token, err := jwt.ParseWithClaims(tokenString, claims, func(t *jwt.Token) (interface{}, error) {
 		if _, ok := t.Method.(*jwt.SigningMethodEd25519); !ok {
 			return nil, ErrInvalidToken
 		}
 		kid, _ := t.Header["kid"].(string)
 		pub, ok := keys[kid]
 		if !ok {
 			return nil, ErrInvalidToken
 		}
 		return pub, nil
 	})
 	if err != nil || !token.Valid {
 		return nil, ErrInvalidToken
 	}
 	return claims, nil
 }
 // RequireFreshKeys ruft IMMER frisch von Core ab (FAIL-CLOSED) — fuer
 // sicherheitskritische Aktionen wie einen komplett neuen Login
 // (Akzeptanzkriterium 2): schlaegt klar fehl, wenn Core nicht erreichbar
 // ist, statt auf einem veralteten Schluesselsatz zu vertrauen.
 func (v *Verifier) RequireFreshKeys(ctx context.Context) error {
 	_, err := v.cache.RequireFresh(ctx)
 	return err
 }
@@ -1,78 +0,0 @@
 // Package oidc implementiert Core IAM-06: SSO-Anmeldung ueber OpenID
 // Connect gegen externe Identity-Provider.
 //
 // WICHTIGER HINWEIS: In dieser Umgebung ist kein registrierter externer
 // OIDC-Provider (Client-ID/Secret bei Google/Okta/Azure AD o.ae.) verfuegbar,
 // gegen den ein echter Authorization-Code-Redirect-Flow end-to-end
 // durchgefuehrt werden koennte (analog AUD-05/Archive, IAM-05/LDAP). ANDERS
 // als bei LDAP/Archive ist die eigentliche Token-VALIDIERUNG (JWKS-
 // Signaturpruefung, Ablauf, Claims, Nonce/State) aber ein rein
 // kryptographischer Vorgang ohne Netzwerkabhaengigkeit zur Testzeit — die
 // Tests unten erzeugen ein eigenes RSA-Schluesselpaar, signieren ein
 // ID-Token selbst und pruefen es exakt so, wie es ein echter Provider
 // liefern wuerde. Nur der Redirect zu einem echten externen Provider bleibt
 // ungeprueft.
 package oidc
 import (
 	"crypto/rsa"
 	"encoding/base64"
 	"encoding/binary"
 	"encoding/json"
 	"errors"
 	"fmt"
 	"math/big"
 )
 type jwk struct {
 	Kid string `json:"kid"`
 	Kty string `json:"kty"`
 	N   string `json:"n"`
 	E   string `json:"e"`
 }
 type jwkSet struct {
 	Keys []jwk `json:"keys"`
 }
 var ErrUnsupportedKeyType = errors.New("oidc: nicht unterstuetzter jwk-schluesseltyp")
 // ParseJWKS dekodiert eine JWKS-Antwort (RFC 7517) in kid -> RSA-Public-Key.
 // Nur RSA-Schluessel (kty=RSA, Standard bei allen gaengigen OIDC-Providern
 // fuer ID-Tokens) werden unterstuetzt.
 func ParseJWKS(data []byte) (map[string]*rsa.PublicKey, error) {
 	var set jwkSet
 	if err := json.Unmarshal(data, &set); err != nil {
 		return nil, fmt.Errorf("jwks parsen: %w", err)
 	}
 	out := make(map[string]*rsa.PublicKey, len(set.Keys))
 	for _, k := range set.Keys {
 		if k.Kty != "RSA" {
 			continue
 		}
 		pub, err := decodeRSAKey(k)
 		if err != nil {
 			return nil, fmt.Errorf("schluessel %q dekodieren: %w", k.Kid, err)
 		}
 		out[k.Kid] = pub
 	}
 	return out, nil
 }
 func decodeRSAKey(k jwk) (*rsa.PublicKey, error) {
 	nBytes, err := base64.RawURLEncoding.DecodeString(k.N)
 	if err != nil {
 		return nil, fmt.Errorf("modulus dekodieren: %w", err)
 	}
 	eBytes, err := base64.RawURLEncoding.DecodeString(k.E)
 	if err != nil {
 		return nil, fmt.Errorf("exponent dekodieren: %w", err)
 	}
 	eBuf := make([]byte, 8)
 	copy(eBuf[8-len(eBytes):], eBytes)
 	e := int(binary.BigEndian.Uint64(eBuf))
 	return &rsa.PublicKey{N: new(big.Int).SetBytes(nBytes), E: e}, nil
 }
@@ -1,69 +0,0 @@
 package oidc
 import (
 	"context"
 	"errors"
 	"fmt"
 	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
 	"gitea.perlbach24.de/scripte/nexarch/internal/ldapsync"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 // CompleteOIDCLogin verifiziert das ID-Token (Signatur, Ablauf, Aussteller,
 // Nonce — Akzeptanzkriterium 3), loest den State einmalig ein
 // (Akzeptanzkriterium/Pruefung 3), legt bei Bedarf einen lokalen Benutzer an
 // und mapped Rollen aus den OIDC-Claims ueber DIESELBE Erlaubnis-Matrix wie
 // IAM-05/LDAP (ldapsync.RoleMappingStore — kein zweiter, paralleler
 // Mapping-Mechanismus, Akzeptanzkriterium 2). Bei Erfolg wird ein normales
 // IAM-02-Sitzungs-Token ausgestellt.
 func CompleteOIDCLogin(
 	ctx context.Context,
 	verifier *Verifier,
 	states *StateStore,
 	users *user.TenantUserStore,
 	roles *rbac.Store,
 	roleMapping *ldapsync.RoleMappingStore,
 	issuer *auth.TokenIssuer,
 	tenantSlug, state, idToken string,
 ) (token string, err error) {
 	nonce, err := states.Consume(ctx, state)
 	if err != nil {
 		return "", err
 	}
 	claims, err := verifier.VerifyWithNonce(idToken, nonce)
 	if err != nil {
 		return "", err
 	}
 	if claims.Email == "" {
 		return "", fmt.Errorf("%w: id-token ohne e-mail-claim", ErrInvalidToken)
 	}
 	u, err := findOrCreateUser(ctx, users, claims.Email)
 	if err != nil {
 		return "", err
 	}
 	if role, ok, err := roleMapping.HighestRoleFor(ctx, claims.Roles); err != nil {
 		return "", err
 	} else if ok {
 		if _, err := roles.Assign(ctx, u.ID, role, "oidc-sso"); err != nil {
 			return "", err
 		}
 	}
 	return issuer.Issue(u.ID, tenantSlug)
 }
 func findOrCreateUser(ctx context.Context, users *user.TenantUserStore, email string) (user.User, error) {
 	creds, err := users.GetByEmailForAuth(ctx, email)
 	if err == nil {
 		return creds.User, nil
 	}
 	if !errors.Is(err, user.ErrNotFound) {
 		return user.User{}, err
 	}
 	return users.Create(ctx, email, email)
 }
@@ -1,172 +0,0 @@
 package oidc
 import (
 	"context"
 	"crypto/rsa"
 	"fmt"
 	"os"
 	"testing"
 	"time"
 	"github.com/jackc/pgx/v5/pgxpool"
 	"github.com/golang-jwt/jwt/v5"
 	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
 	"gitea.perlbach24.de/scripte/nexarch/internal/ldapsync"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 func setupLoginTest(t *testing.T) (*pgxpool.Pool, func()) {
 	t.Helper()
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	ctx := context.Background()
 	pool, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("pool: %v", err)
 	}
 	if _, err := pool.Exec(ctx, `
 		CREATE TABLE IF NOT EXISTS users (
 			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), email TEXT NOT NULL UNIQUE, name TEXT NOT NULL,
 			status TEXT NOT NULL DEFAULT 'active', password_hash TEXT NOT NULL DEFAULT '',
 			created_at TIMESTAMPTZ NOT NULL DEFAULT now(), updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 		CREATE TABLE IF NOT EXISTS role_assignments (
 			user_id UUID PRIMARY KEY REFERENCES users(id), role TEXT NOT NULL CHECK (role IN ('user','tenant_admin')),
 			granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 		CREATE TABLE IF NOT EXISTS role_assignment_history (
 			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), user_id UUID NOT NULL, role TEXT NOT NULL,
 			granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 		CREATE TABLE IF NOT EXISTS ldap_group_role_mapping (
 			ldap_group TEXT PRIMARY KEY, role TEXT NOT NULL CHECK (role IN ('user','tenant_admin'))
 		);
 		CREATE TABLE IF NOT EXISTS oidc_states (
 			state TEXT PRIMARY KEY, nonce TEXT NOT NULL, expires_at TIMESTAMPTZ NOT NULL,
 			used_at TIMESTAMPTZ, created_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 	`); err != nil {
 		t.Fatalf("schema: %v", err)
 	}
 	cleanup := func() { pool.Close() }
 	return pool, cleanup
 }
 // Akzeptanzkriterium 1 + 3: End-to-End-Login gegen ein (selbst signiertes,
 // aber protokollkorrektes) ID-Token — Signatur, Nonce, State, Rollen-Mapping,
 // Sitzungs-Token-Ausstellung.
 func TestCompleteOIDCLogin_EndToEnd(t *testing.T) {
 	pool, cleanup := setupLoginTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	key := generateTestKey(t)
 	verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &key.PublicKey}, "https://idp.example.com")
 	states := NewStateStore(pool)
 	users := user.NewTenantUserStore(pool)
 	roles := rbac.NewStore(pool)
 	roleMapping := ldapsync.NewRoleMappingStore(pool)
 	issuer := auth.NewTokenIssuer("test-secret-nur-fuer-tests")
 	if err := roleMapping.SetMapping(ctx, "sso-admins", rbac.RoleTenantAdmin); err != nil {
 		t.Fatalf("set mapping: %v", err)
 	}
 	state, nonce, err := states.Generate(ctx)
 	if err != nil {
 		t.Fatalf("generate state: %v", err)
 	}
 	email := fmt.Sprintf("oidc-test-%d@example.com", time.Now().UnixNano())
 	claims := Claims{
 		Subject: "idp-subject-123",
 		Email:   email,
 		Nonce:   nonce,
 		Roles:   []string{"sso-admins"},
 		RegisteredClaims: jwt.RegisteredClaims{
 			Issuer:    "https://idp.example.com",
 			ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
 		},
 	}
 	idToken := signTestToken(t, key, "kid-1", claims)
 	token, err := CompleteOIDCLogin(ctx, verifier, states, users, roles, roleMapping, issuer, "acme", state, idToken)
 	if err != nil {
 		t.Fatalf("complete oidc login: %v", err)
 	}
 	if token == "" {
 		t.Fatal("erwartet nicht-leeres sitzungs-token")
 	}
 	assignment, err := roles.Get(ctx, mustGetUserID(t, ctx, users, email))
 	if err != nil {
 		t.Fatalf("rollenzuweisung lesen: %v", err)
 	}
 	if assignment.Role != rbac.RoleTenantAdmin {
 		t.Fatalf("erwartet tenant_admin aus sso-admins-mapping, habe %q", assignment.Role)
 	}
 	// Replay desselben state schlaegt fehl.
 	if _, err := CompleteOIDCLogin(ctx, verifier, states, users, roles, roleMapping, issuer, "acme", state, idToken); err == nil {
 		t.Fatal("erwartet fehler bei wiederverwendetem state (replay)")
 	}
 }
 // Akzeptanzkriterium 2 + Pruefung 1: keine Privilege-Escalation ueber
 // manipulierte/unbekannte Rollen-Claims.
 func TestCompleteOIDCLogin_UnmappedRoleGrantsNothing(t *testing.T) {
 	pool, cleanup := setupLoginTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	key := generateTestKey(t)
 	verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &key.PublicKey}, "https://idp.example.com")
 	states := NewStateStore(pool)
 	users := user.NewTenantUserStore(pool)
 	roles := rbac.NewStore(pool)
 	roleMapping := ldapsync.NewRoleMappingStore(pool)
 	issuer := auth.NewTokenIssuer("test-secret-nur-fuer-tests")
 	state, nonce, err := states.Generate(ctx)
 	if err != nil {
 		t.Fatalf("generate state: %v", err)
 	}
 	email := fmt.Sprintf("oidc-test-%d@example.com", time.Now().UnixNano())
 	claims := Claims{
 		Email: email,
 		Nonce: nonce,
 		// Versuch, sich ueber einen manipulierten Rollen-Claim
 		// hochzustufen — diese Gruppen wurden NIE gemappt.
 		Roles: []string{"tenant_admin", "superadmin"},
 		RegisteredClaims: jwt.RegisteredClaims{
 			Issuer:    "https://idp.example.com",
 			ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
 		},
 	}
 	idToken := signTestToken(t, key, "kid-1", claims)
 	if _, err := CompleteOIDCLogin(ctx, verifier, states, users, roles, roleMapping, issuer, "acme", state, idToken); err != nil {
 		t.Fatalf("complete oidc login: %v", err)
 	}
 	userID := mustGetUserID(t, ctx, users, email)
 	if _, err := roles.Get(ctx, userID); err == nil {
 		t.Fatal("erwartet KEINE rollenzuweisung fuer nicht gemappte claims (privilege-escalation-versuch)")
 	}
 }
 func mustGetUserID(t *testing.T, ctx context.Context, users *user.TenantUserStore, email string) string {
 	t.Helper()
 	creds, err := users.GetByEmailForAuth(ctx, email)
 	if err != nil {
 		t.Fatalf("get user by email: %v", err)
 	}
 	return creds.User.ID
 }
@@ -1,76 +0,0 @@
 package oidc
 import (
 	"context"
 	"crypto/rand"
 	"encoding/hex"
 	"errors"
 	"fmt"
 	"time"
 	"github.com/jackc/pgx/v5"
 	"github.com/jackc/pgx/v5/pgxpool"
 )
 var ErrStateInvalid = errors.New("oidc: state ungueltig, bereits verwendet oder abgelaufen")
 // DefaultStateTTL begrenzt, wie lange ein ausgestellter State/Nonce fuer den
 // Redirect-Umweg zum Identity-Provider gueltig bleibt.
 const DefaultStateTTL = 10 * time.Minute
 type StateStore struct {
 	pool *pgxpool.Pool
 }
 func NewStateStore(pool *pgxpool.Pool) *StateStore {
 	return &StateStore{pool: pool}
 }
 // Generate stellt state+nonce fuer einen neuen Login-Redirect aus. state
 // wird als OAuth2-"state"-Parameter mitgeschickt (CSRF-Schutz), nonce
 // erscheint spaeter im ID-Token und muss exakt uebereinstimmen (Replay-Schutz).
 func (s *StateStore) Generate(ctx context.Context) (state, nonce string, err error) {
 	state, err = randomValue()
 	if err != nil {
 		return "", "", err
 	}
 	nonce, err = randomValue()
 	if err != nil {
 		return "", "", err
 	}
 	_, err = s.pool.Exec(ctx, `
 		INSERT INTO oidc_states (state, nonce, expires_at) VALUES ($1, $2, $3)
 	`, state, nonce, time.Now().Add(DefaultStateTTL))
 	if err != nil {
 		return "", "", fmt.Errorf("state speichern: %w", err)
 	}
 	return state, nonce, nil
 }
 // Consume loest einen State EINMALIG ein (Akzeptanzkriterium/Pruefung 3:
 // Replay-Schutz) — atomar ueber WHERE used_at IS NULL, analog IAM-03/IAM-09.
 // Ein zweiter Callback mit demselben state (z.B. durch einen Angreifer, der
 // die Redirect-URL abgefangen hat) schlaegt fehl.
 func (s *StateStore) Consume(ctx context.Context, state string) (nonce string, err error) {
 	err = s.pool.QueryRow(ctx, `
 		UPDATE oidc_states SET used_at = now()
 		WHERE state = $1 AND used_at IS NULL AND expires_at > now()
 		RETURNING nonce
 	`, state).Scan(&nonce)
 	if err != nil {
 		if errors.Is(err, pgx.ErrNoRows) {
 			return "", ErrStateInvalid
 		}
 		return "", fmt.Errorf("state einloesen: %w", err)
 	}
 	return nonce, nil
 }
 func randomValue() (string, error) {
 	buf := make([]byte, 32)
 	if _, err := rand.Read(buf); err != nil {
 		return "", err
 	}
 	return hex.EncodeToString(buf), nil
 }
@@ -1,68 +0,0 @@
 package oidc
 import (
 	"context"
 	"errors"
 	"os"
 	"testing"
 	"github.com/jackc/pgx/v5/pgxpool"
 )
 func setupStateTest(t *testing.T) (*StateStore, func()) {
 	t.Helper()
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	ctx := context.Background()
 	pool, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("pool: %v", err)
 	}
 	if _, err := pool.Exec(ctx, `
 		CREATE TABLE IF NOT EXISTS oidc_states (
 			state TEXT PRIMARY KEY, nonce TEXT NOT NULL, expires_at TIMESTAMPTZ NOT NULL,
 			used_at TIMESTAMPTZ, created_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		)`); err != nil {
 		t.Fatalf("schema: %v", err)
 	}
 	cleanup := func() { pool.Close() }
 	return NewStateStore(pool), cleanup
 }
 // Akzeptanzkriterium/Pruefung 3: State/Nonce-Handling gegen CSRF und Replay.
 func TestStateStore_ConsumeIsSingleUse(t *testing.T) {
 	store, cleanup := setupStateTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	state, nonce, err := store.Generate(ctx)
 	if err != nil {
 		t.Fatalf("generate: %v", err)
 	}
 	gotNonce, err := store.Consume(ctx, state)
 	if err != nil {
 		t.Fatalf("consume (erste einloesung): %v", err)
 	}
 	if gotNonce != nonce {
 		t.Fatalf("nonce = %q, want %q", gotNonce, nonce)
 	}
 	if _, err := store.Consume(ctx, state); !errors.Is(err, ErrStateInvalid) {
 		t.Fatalf("erwartet ErrStateInvalid bei erneutem einloesen (replay), habe %v", err)
 	}
 }
 func TestStateStore_RejectsUnknownState(t *testing.T) {
 	store, cleanup := setupStateTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	if _, err := store.Consume(ctx, "niemals-ausgestellter-state"); !errors.Is(err, ErrStateInvalid) {
 		t.Fatalf("erwartet ErrStateInvalid, habe %v", err)
 	}
 }
@@ -1,70 +0,0 @@
 package oidc
 import (
 	"crypto/rsa"
 	"errors"
 	"fmt"
 	"github.com/golang-jwt/jwt/v5"
 )
 var ErrInvalidToken = errors.New("oidc: id-token ungueltig, abgelaufen oder falscher aussteller")
 // Claims sind die fuer NEXARCH relevanten OIDC-ID-Token-Claims.
 type Claims struct {
 	Subject string   `json:"sub"`
 	Email   string   `json:"email"`
 	Nonce   string   `json:"nonce"`
 	Roles   []string `json:"roles"` // providerabhaengiger Claim-Name, hier vereinfacht fest "roles"
 	jwt.RegisteredClaims
 }
 // Verifier prueft ID-Tokens gegen den JWKS-Schluesselsatz eines konfigurierten
 // Providers (Akzeptanzkriterium 3: fehlerhafte/abgelaufene Tokens werden
 // abgewiesen).
 type Verifier struct {
 	keys   map[string]*rsa.PublicKey
 	issuer string
 }
 func NewVerifier(keys map[string]*rsa.PublicKey, issuer string) *Verifier {
 	return &Verifier{keys: keys, issuer: issuer}
 }
 // Verify prueft Signatur (gegen JWKS), Ablauf (jwt-Bibliothek lehnt
 // abgelaufene Tokens automatisch ab) und Aussteller.
 func (v *Verifier) Verify(idToken string) (*Claims, error) {
 	claims := &Claims{}
 	token, err := jwt.ParseWithClaims(idToken, claims, func(t *jwt.Token) (interface{}, error) {
 		if _, ok := t.Method.(*jwt.SigningMethodRSA); !ok {
 			return nil, ErrInvalidToken
 		}
 		kid, _ := t.Header["kid"].(string)
 		key, ok := v.keys[kid]
 		if !ok {
 			return nil, ErrInvalidToken
 		}
 		return key, nil
 	})
 	if err != nil || !token.Valid {
 		return nil, ErrInvalidToken
 	}
 	if claims.Issuer != v.issuer {
 		return nil, fmt.Errorf("%w: unerwarteter aussteller %q", ErrInvalidToken, claims.Issuer)
 	}
 	return claims, nil
 }
 // VerifyWithNonce prueft zusaetzlich, dass der nonce-Claim im Token exakt
 // dem bei der Anfrage ausgestellten Nonce entspricht — verhindert Replay
 // eines fremden, gueltigen ID-Tokens (Akzeptanzkriterium/Pruefung 3).
 func (v *Verifier) VerifyWithNonce(idToken, expectedNonce string) (*Claims, error) {
 	claims, err := v.Verify(idToken)
 	if err != nil {
 		return nil, err
 	}
 	if claims.Nonce == "" || claims.Nonce != expectedNonce {
 		return nil, fmt.Errorf("%w: nonce stimmt nicht ueberein", ErrInvalidToken)
 	}
 	return claims, nil
 }
@@ -1,184 +0,0 @@
 package oidc
 import (
 	"crypto/rand"
 	"crypto/rsa"
 	"encoding/base64"
 	"encoding/binary"
 	"encoding/json"
 	"testing"
 	"time"
 	"github.com/golang-jwt/jwt/v5"
 )
 func generateTestKey(t *testing.T) *rsa.PrivateKey {
 	t.Helper()
 	key, err := rsa.GenerateKey(rand.Reader, 2048)
 	if err != nil {
 		t.Fatalf("generate rsa key: %v", err)
 	}
 	return key
 }
 func signTestToken(t *testing.T, key *rsa.PrivateKey, kid string, claims Claims) string {
 	t.Helper()
 	token := jwt.NewWithClaims(jwt.SigningMethodRS256, claims)
 	token.Header["kid"] = kid
 	s, err := token.SignedString(key)
 	if err != nil {
 		t.Fatalf("sign token: %v", err)
 	}
 	return s
 }
 func TestVerify_AcceptsValidToken(t *testing.T) {
 	key := generateTestKey(t)
 	verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &key.PublicKey}, "https://idp.example.com")
 	claims := Claims{
 		Subject: "user-123",
 		Email:   "person@example.com",
 		Nonce:   "erwarteter-nonce",
 		RegisteredClaims: jwt.RegisteredClaims{
 			Issuer:    "https://idp.example.com",
 			ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
 		},
 	}
 	tok := signTestToken(t, key, "kid-1", claims)
 	got, err := verifier.Verify(tok)
 	if err != nil {
 		t.Fatalf("verify: %v", err)
 	}
 	if got.Email != "person@example.com" {
 		t.Fatalf("email = %q", got.Email)
 	}
 }
 // Akzeptanzkriterium 3 + Pruefung 2: Token-Signatur- und Ablaufpruefung.
 func TestVerify_RejectsExpiredToken(t *testing.T) {
 	key := generateTestKey(t)
 	verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &key.PublicKey}, "https://idp.example.com")
 	claims := Claims{
 		Subject: "user-123",
 		RegisteredClaims: jwt.RegisteredClaims{
 			Issuer:    "https://idp.example.com",
 			ExpiresAt: jwt.NewNumericDate(time.Now().Add(-time.Hour)), // abgelaufen
 		},
 	}
 	tok := signTestToken(t, key, "kid-1", claims)
 	if _, err := verifier.Verify(tok); err == nil {
 		t.Fatal("erwartet fehler bei abgelaufenem token")
 	}
 }
 func TestVerify_RejectsWrongSigningKey(t *testing.T) {
 	realKey := generateTestKey(t)
 	attackerKey := generateTestKey(t)
 	// Verifier kennt NUR den echten oeffentlichen Schluessel.
 	verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &realKey.PublicKey}, "https://idp.example.com")
 	claims := Claims{
 		Subject: "user-123",
 		RegisteredClaims: jwt.RegisteredClaims{
 			Issuer:    "https://idp.example.com",
 			ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
 		},
 	}
 	// Mit dem Angreifer-Schluessel signiert, aber unter demselben kid wie der echte.
 	tok := signTestToken(t, attackerKey, "kid-1", claims)
 	if _, err := verifier.Verify(tok); err == nil {
 		t.Fatal("erwartet fehler bei fremd signiertem token")
 	}
 }
 func TestVerify_RejectsWrongIssuer(t *testing.T) {
 	key := generateTestKey(t)
 	verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &key.PublicKey}, "https://idp.example.com")
 	claims := Claims{
 		Subject: "user-123",
 		RegisteredClaims: jwt.RegisteredClaims{
 			Issuer:    "https://ganz-anderer-idp.example.com",
 			ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
 		},
 	}
 	tok := signTestToken(t, key, "kid-1", claims)
 	if _, err := verifier.Verify(tok); err == nil {
 		t.Fatal("erwartet fehler bei unerwartetem aussteller")
 	}
 }
 // Akzeptanzkriterium/Pruefung 3: Nonce-Handling gegen Replay.
 func TestVerifyWithNonce_RejectsMismatch(t *testing.T) {
 	key := generateTestKey(t)
 	verifier := NewVerifier(map[string]*rsa.PublicKey{"kid-1": &key.PublicKey}, "https://idp.example.com")
 	claims := Claims{
 		Subject: "user-123",
 		Nonce:   "nonce-a",
 		RegisteredClaims: jwt.RegisteredClaims{
 			Issuer:    "https://idp.example.com",
 			ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
 		},
 	}
 	tok := signTestToken(t, key, "kid-1", claims)
 	if _, err := verifier.VerifyWithNonce(tok, "nonce-b"); err == nil {
 		t.Fatal("erwartet fehler bei nonce-mismatch (moeglicher replay eines fremden tokens)")
 	}
 	if _, err := verifier.VerifyWithNonce(tok, "nonce-a"); err != nil {
 		t.Fatalf("erwartet erfolg bei passendem nonce: %v", err)
 	}
 }
 func TestParseJWKS_RoundTrip(t *testing.T) {
 	key := generateTestKey(t)
 	nBytes := key.PublicKey.N.Bytes()
 	eBuf := make([]byte, 8)
 	binary.BigEndian.PutUint64(eBuf, uint64(key.PublicKey.E))
 	// Fuehrende Nullbytes des Exponenten abschneiden (ueblich bei JWK-Kodierung).
 	eStart := 0
 	for eStart < len(eBuf)-1 && eBuf[eStart] == 0 {
 		eStart++
 	}
 	set := jwkSet{Keys: []jwk{{
 		Kid: "kid-1",
 		Kty: "RSA",
 		N:   base64.RawURLEncoding.EncodeToString(nBytes),
 		E:   base64.RawURLEncoding.EncodeToString(eBuf[eStart:]),
 	}}}
 	data, err := json.Marshal(set)
 	if err != nil {
 		t.Fatalf("marshal: %v", err)
 	}
 	parsed, err := ParseJWKS(data)
 	if err != nil {
 		t.Fatalf("parse jwks: %v", err)
 	}
 	got, ok := parsed["kid-1"]
 	if !ok {
 		t.Fatal("erwartet kid-1 im ergebnis")
 	}
 	if got.E != key.PublicKey.E || got.N.Cmp(key.PublicKey.N) != 0 {
 		t.Fatalf("erwartet identischen oeffentlichen schluessel nach roundtrip")
 	}
 	// Der wiederhergestellte Schluessel muss ein damit signiertes Token auch tatsaechlich verifizieren.
 	verifier := NewVerifier(parsed, "https://idp.example.com")
 	claims := Claims{Subject: "x", RegisteredClaims: jwt.RegisteredClaims{
 		Issuer: "https://idp.example.com", ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
 	}}
 	tok := signTestToken(t, key, "kid-1", claims)
 	if _, err := verifier.Verify(tok); err != nil {
 		t.Fatalf("verify mit aus jwks wiederhergestelltem schluessel: %v", err)
 	}
 }
@@ -1,71 +0,0 @@
 // Package rbac implementiert Core RBAC-01: das Rollenmodell mit
 // Grundrollen/-rechten, Hierarchie und Zuweisung. Die eigentliche
 // Durchsetzung (erlaubt/verboten je Request) ist RBAC-02, dieses Paket
 // liefert nur Modell + Zuweisung (Casbin-Prinzip: Policy-Modell getrennt
 // von der Entscheidungsfunktion).
 package rbac
 // Role ist eine der drei Grundrollen. Superadmin lebt mandantenuebergreifend
 // (siehe internal/user.SuperadminStore aus IAM-01) und wird deshalb NICHT
 // ueber Store (tenant-gescoped) zugewiesen — die Existenz eines Superadmin-
 // Kontos IST die Rollenzuweisung.
 type Role string
 const (
 	RoleSuperadmin  Role = "superadmin"
 	RoleTenantAdmin Role = "tenant_admin"
 	RoleUser        Role = "user"
 )
 type Permission string
 const (
 	PermSelfRead       Permission = "self.read"
 	PermSelfUpdate     Permission = "self.update"
 	PermManageUsers    Permission = "tenant.manage_users"
 	PermManageSettings Permission = "tenant.manage_settings"
 	PermManageTenants  Permission = "platform.manage_tenants"
 )
 // parent bildet die Rollenhierarchie ab (Akzeptanzkriterium 2): eine Rolle
 // erbt alle Rechte ihrer Elternrolle. tenant_admin erbt von user,
 // superadmin erbt von tenant_admin.
 var parent = map[Role]Role{
 	RoleTenantAdmin: RoleUser,
 	RoleSuperadmin:  RoleTenantAdmin,
 }
 // direct sind die einer Rolle direkt (ohne Vererbung) zugeordneten Rechte.
 var direct = map[Role][]Permission{
 	RoleUser:        {PermSelfRead, PermSelfUpdate},
 	RoleTenantAdmin: {PermManageUsers, PermManageSettings},
 	RoleSuperadmin:  {PermManageTenants},
 }
 // EffectivePermissions liefert die vollstaendige, ueber die Hierarchie
 // aufgeloeste Rechtemenge einer Rolle (Akzeptanzkriterium 2 / Pruefung 2).
 func EffectivePermissions(role Role) []Permission {
 	seen := make(map[Permission]bool)
 	var out []Permission
 	for r, ok := role, true; ok; r, ok = parent[r] {
 		for _, p := range direct[r] {
 			if !seen[p] {
 				seen[p] = true
 				out = append(out, p)
 			}
 		}
 	}
 	return out
 }
 // HasPermission prueft, ob eine Rolle (inklusive geerbter Rechte) ein
 // bestimmtes Recht besitzt.
 func HasPermission(role Role, perm Permission) bool {
 	for _, p := range EffectivePermissions(role) {
 		if p == perm {
 			return true
 		}
 	}
 	return false
 }
@@ -1,124 +0,0 @@
 package rbac
 import (
 	"context"
 	"errors"
 	"fmt"
 	"github.com/jackc/pgx/v5"
 	"github.com/jackc/pgx/v5/pgxpool"
 )
 var (
 	// ErrRoleNotAssignableInTenantScope wird geliefert, wenn versucht wird,
 	// eine mandantenuebergreifende Rolle (superadmin) ueber den tenant-
 	// gescopten Store zu vergeben — die erlaubte Matrix laesst hier nur
 	// user/tenant_admin zu (Akzeptanzkriterium 1 / Pruefung 1).
 	ErrRoleNotAssignableInTenantScope = errors.New("rbac: rolle ist in diesem geltungsbereich nicht zuweisbar")
 	ErrNotFound                       = errors.New("rbac: keine rollenzuweisung gefunden")
 )
 // assignableRoles ist die erlaubte Matrix fuer Store (tenant-gescoped).
 var assignableRoles = map[Role]bool{
 	RoleUser:        true,
 	RoleTenantAdmin: true,
 }
 type Assignment struct {
 	UserID    string
 	Role      Role
 	GrantedBy string
 }
 // Store verwaltet Rollenzuweisungen innerhalb GENAU EINER Tenant-Datenbank —
 // analog zu internal/user.TenantUserStore (Modell C: der Pool bestimmt den
 // Tenant, keine tenant_id-Spalte noetig).
 type Store struct {
 	pool *pgxpool.Pool
 }
 func NewStore(pool *pgxpool.Pool) *Store {
 	return &Store{pool: pool}
 }
 // Assign vergibt eine Rolle an einen Benutzer. grantedBy identifiziert den
 // Akteur, der die Zuweisung vorgenommen hat (Akzeptanzkriterium 3). Jede
 // Zuweisung wird zusaetzlich in role_assignment_history festgehalten, auch
 // wenn sie eine vorherige Rolle ersetzt.
 func (s *Store) Assign(ctx context.Context, userID string, role Role, grantedBy string) (Assignment, error) {
 	if !assignableRoles[role] {
 		return Assignment{}, ErrRoleNotAssignableInTenantScope
 	}
 	if grantedBy == "" {
 		return Assignment{}, errors.New("rbac: grantedBy darf nicht leer sein")
 	}
 	tx, err := s.pool.Begin(ctx)
 	if err != nil {
 		return Assignment{}, fmt.Errorf("transaktion starten: %w", err)
 	}
 	defer func() { _ = tx.Rollback(ctx) }()
 	if _, err := tx.Exec(ctx, `
 		INSERT INTO role_assignments (user_id, role, granted_by, granted_at)
 		VALUES ($1, $2, $3, now())
 		ON CONFLICT (user_id) DO UPDATE SET role = $2, granted_by = $3, granted_at = now()
 	`, userID, string(role), grantedBy); err != nil {
 		return Assignment{}, fmt.Errorf("rolle zuweisen: %w", err)
 	}
 	if _, err := tx.Exec(ctx, `
 		INSERT INTO role_assignment_history (user_id, role, granted_by, granted_at)
 		VALUES ($1, $2, $3, now())
 	`, userID, string(role), grantedBy); err != nil {
 		return Assignment{}, fmt.Errorf("historie schreiben: %w", err)
 	}
 	if err := tx.Commit(ctx); err != nil {
 		return Assignment{}, fmt.Errorf("transaktion committen: %w", err)
 	}
 	return Assignment{UserID: userID, Role: role, GrantedBy: grantedBy}, nil
 }
 func (s *Store) Get(ctx context.Context, userID string) (Assignment, error) {
 	var a Assignment
 	var role string
 	a.UserID = userID
 	if err := s.pool.QueryRow(ctx, `
 		SELECT role, granted_by FROM role_assignments WHERE user_id = $1
 	`, userID).Scan(&role, &a.GrantedBy); err != nil {
 		if errors.Is(err, pgx.ErrNoRows) {
 			return Assignment{}, ErrNotFound
 		}
 		return Assignment{}, fmt.Errorf("rollenzuweisung lesen: %w", err)
 	}
 	a.Role = Role(role)
 	return a, nil
 }
 // History liefert jede Rollenzuweisung eines Benutzers in chronologischer
 // Reihenfolge — die Grundlage fuer "wer hat wann welche Rolle vergeben"
 // (Akzeptanzkriterium 3).
 func (s *Store) History(ctx context.Context, userID string) ([]Assignment, error) {
 	rows, err := s.pool.Query(ctx, `
 		SELECT role, granted_by FROM role_assignment_history
 		WHERE user_id = $1 ORDER BY granted_at
 	`, userID)
 	if err != nil {
 		return nil, fmt.Errorf("historie abfragen: %w", err)
 	}
 	defer rows.Close()
 	var out []Assignment
 	for rows.Next() {
 		var role string
 		a := Assignment{UserID: userID}
 		if err := rows.Scan(&role, &a.GrantedBy); err != nil {
 			return nil, fmt.Errorf("historieneintrag lesen: %w", err)
 		}
 		a.Role = Role(role)
 		out = append(out, a)
 	}
 	return out, rows.Err()
 }
@@ -1,90 +0,0 @@
 // Package saml implementiert Core IAM-11: SAML 2.0 als zusaetzlicher
 // Anmeldeweg neben OIDC (IAM-06).
 //
 // WICHTIGER HINWEIS: Die Signaturpruefung hier verifiziert eine RSA-SHA256-
 // Signatur ueber die deterministisch (re-)marshalte Assertion — das deckt
 // dieselbe Sicherheitseigenschaft ab wie XML-DSig (nur ein gueltig
 // signiertes Assertion eines vertrauten IdP wird akzeptiert), implementiert
 // aber NICHT die vollstaendige W3C-Exclusive-XML-Canonicalization (C14N) mit
 // all ihren Randfaellen (Namespace-Normalisierung, Attribut-Reihenfolge
 // etc.), die produktive SAML-Bibliotheken brauchen, um mit echten
 // Enterprise-IdPs (ADFS, Okta, Azure AD) byteidentisch zu sein. Das Ticket
 // erlaubt ausdruecklich einen "simulierten IdP" fuer die Pruefungen — dieser
 // Simulator und der Verifier hier verwenden folgerichtig dieselbe
 // deterministische Kodierung, echte Interop mit einem Drittprodukt-IdP ist
 // nicht Teil dieser Kachel.
 package saml
 import (
 	"encoding/xml"
 	"fmt"
 	"time"
 )
 type attributeXML struct {
 	Name   string   `xml:"Name,attr"`
 	Values []string `xml:"AttributeValue"`
 }
 type conditionsXML struct {
 	NotBefore    string `xml:"NotBefore,attr"`
 	NotOnOrAfter string `xml:"NotOnOrAfter,attr"`
 }
 // AssertionXML ist die (vereinfachte) SAML-Assertion.
 type AssertionXML struct {
 	XMLName    xml.Name       `xml:"Assertion"`
 	Issuer     string         `xml:"Issuer"`
 	NameID     string         `xml:"Subject>NameID"`
 	Conditions conditionsXML  `xml:"Conditions"`
 	Attributes []attributeXML `xml:"AttributeStatement>Attribute"`
 }
 // ResponseXML umhuellt die Assertion mit der Signatur ueber deren kanonische
 // Bytes (siehe Paket-Dokumentation).
 type ResponseXML struct {
 	XMLName        xml.Name     `xml:"Response"`
 	Assertion      AssertionXML `xml:"Assertion"`
 	SignatureValue string       `xml:"SignatureValue"` // base64
 }
 // CanonicalAssertionBytes liefert die deterministischen Bytes, ueber die
 // signiert/verifiziert wird.
 func CanonicalAssertionBytes(a AssertionXML) ([]byte, error) {
 	b, err := xml.Marshal(a)
 	if err != nil {
 		return nil, fmt.Errorf("assertion serialisieren: %w", err)
 	}
 	return b, nil
 }
 // Attribute liefert die Werte eines benannten SAML-Attributs (z.B. "roles"),
 // oder nil wenn nicht vorhanden.
 func (a AssertionXML) Attribute(name string) []string {
 	for _, attr := range a.Attributes {
 		if attr.Name == name {
 			return attr.Values
 		}
 	}
 	return nil
 }
 // WithinValidity prueft die Conditions/NotBefore/NotOnOrAfter der Assertion
 // gegen die aktuelle Zeit.
 func (a AssertionXML) WithinValidity(now time.Time) error {
 	notBefore, err := time.Parse(time.RFC3339, a.Conditions.NotBefore)
 	if err != nil {
 		return fmt.Errorf("notbefore parsen: %w", err)
 	}
 	notOnOrAfter, err := time.Parse(time.RFC3339, a.Conditions.NotOnOrAfter)
 	if err != nil {
 		return fmt.Errorf("notonorafter parsen: %w", err)
 	}
 	if now.Before(notBefore) {
 		return ErrNotYetValid
 	}
 	if !now.Before(notOnOrAfter) {
 		return ErrExpired
 	}
 	return nil
 }
@@ -1,66 +0,0 @@
 package saml
 import (
 	"context"
 	"errors"
 	"fmt"
 	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
 	"gitea.perlbach24.de/scripte/nexarch/internal/ldapsync"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 // CompleteSAMLLogin verifiziert die SAML-Response, bildet die Assertion auf
 // das bestehende Benutzer-/Rollenmodell ab (Akzeptanzkriterium 3) und
 // stellt bei Erfolg ein IAM-02-Sitzungs-Token aus. Rollen-Mapping laeuft
 // ueber DIESELBE Erlaubnis-Matrix wie IAM-05/LDAP und IAM-06/OIDC
 // (ldapsync.RoleMappingStore) — kein dritter paralleler Mapping-Mechanismus.
 func CompleteSAMLLogin(
 	ctx context.Context,
 	verifier *Verifier,
 	users *user.TenantUserStore,
 	roles *rbac.Store,
 	roleMapping *ldapsync.RoleMappingStore,
 	issuer *auth.TokenIssuer,
 	tenantSlug, rawSAMLResponse string,
 ) (token string, err error) {
 	resp, err := Parse(rawSAMLResponse)
 	if err != nil {
 		return "", err
 	}
 	assertion, err := verifier.Verify(resp)
 	if err != nil {
 		return "", err
 	}
 	if assertion.NameID == "" {
 		return "", fmt.Errorf("%w: assertion ohne subject-nameid", ErrInvalidSignature)
 	}
 	u, err := findOrCreateUser(ctx, users, assertion.NameID)
 	if err != nil {
 		return "", err
 	}
 	roleAttrs := assertion.Attribute("roles")
 	if role, ok, err := roleMapping.HighestRoleFor(ctx, roleAttrs); err != nil {
 		return "", err
 	} else if ok {
 		if _, err := roles.Assign(ctx, u.ID, role, "saml-sso"); err != nil {
 			return "", err
 		}
 	}
 	return issuer.Issue(u.ID, tenantSlug)
 }
 func findOrCreateUser(ctx context.Context, users *user.TenantUserStore, email string) (user.User, error) {
 	creds, err := users.GetByEmailForAuth(ctx, email)
 	if err == nil {
 		return creds.User, nil
 	}
 	if !errors.Is(err, user.ErrNotFound) {
 		return user.User{}, err
 	}
 	return users.Create(ctx, email, email)
 }
@@ -1,227 +0,0 @@
 package saml
 import (
 	"context"
 	"crypto/rsa"
 	"fmt"
 	"os"
 	"testing"
 	"time"
 	"github.com/golang-jwt/jwt/v5"
 	"github.com/jackc/pgx/v5/pgxpool"
 	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
 	"gitea.perlbach24.de/scripte/nexarch/internal/ldapsync"
 	"gitea.perlbach24.de/scripte/nexarch/internal/oidc"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 const schema = `
 CREATE TABLE IF NOT EXISTS users (
 	id UUID PRIMARY KEY DEFAULT gen_random_uuid(), email TEXT NOT NULL UNIQUE, name TEXT NOT NULL,
 	status TEXT NOT NULL DEFAULT 'active', password_hash TEXT NOT NULL DEFAULT '',
 	created_at TIMESTAMPTZ NOT NULL DEFAULT now(), updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
 );
 CREATE TABLE IF NOT EXISTS role_assignments (
 	user_id UUID PRIMARY KEY REFERENCES users(id), role TEXT NOT NULL CHECK (role IN ('user','tenant_admin')),
 	granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
 );
 CREATE TABLE IF NOT EXISTS role_assignment_history (
 	id UUID PRIMARY KEY DEFAULT gen_random_uuid(), user_id UUID NOT NULL, role TEXT NOT NULL,
 	granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
 );
 CREATE TABLE IF NOT EXISTS ldap_group_role_mapping (
 	ldap_group TEXT PRIMARY KEY, role TEXT NOT NULL CHECK (role IN ('user','tenant_admin'))
 );`
 func setupTest(t *testing.T) (*pgxpool.Pool, func()) {
 	t.Helper()
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	ctx := context.Background()
 	pool, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("pool: %v", err)
 	}
 	if _, err := pool.Exec(ctx, schema); err != nil {
 		t.Fatalf("schema: %v", err)
 	}
 	cleanup := func() { pool.Close() }
 	return pool, cleanup
 }
 // Akzeptanzkriterium 1 + Pruefung 1: End-to-End-Test gegen simulierten SAML-IdP.
 // Akzeptanzkriterium 3 + Pruefung 3: Rollenzuordnung aus SAML-Attributen korrekt.
 func TestCompleteSAMLLogin_EndToEnd(t *testing.T) {
 	pool, cleanup := setupTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	idpKey := generateTestIdPKey(t)
 	verifier := NewVerifier(&idpKey.PublicKey, "https://test-idp.example.com")
 	users := user.NewTenantUserStore(pool)
 	roles := rbac.NewStore(pool)
 	roleMapping := ldapsync.NewRoleMappingStore(pool)
 	issuer := auth.NewTokenIssuer("test-secret-nur-fuer-tests")
 	if err := roleMapping.SetMapping(ctx, "saml-admins", rbac.RoleTenantAdmin); err != nil {
 		t.Fatalf("set mapping: %v", err)
 	}
 	email := fmt.Sprintf("saml-test-%d@example.com", time.Now().UnixNano())
 	rawResp, err := BuildResponse(idpKey, testAssertion("https://test-idp.example.com", email, []string{"saml-admins"}))
 	if err != nil {
 		t.Fatalf("build response (simulierter idp): %v", err)
 	}
 	token, err := CompleteSAMLLogin(ctx, verifier, users, roles, roleMapping, issuer, "acme", rawResp)
 	if err != nil {
 		t.Fatalf("complete saml login: %v", err)
 	}
 	if token == "" {
 		t.Fatal("erwartet nicht-leeres sitzungs-token")
 	}
 	creds, err := users.GetByEmailForAuth(ctx, email)
 	if err != nil {
 		t.Fatalf("user nach login: %v", err)
 	}
 	assignment, err := roles.Get(ctx, creds.User.ID)
 	if err != nil {
 		t.Fatalf("rollenzuweisung lesen: %v", err)
 	}
 	if assignment.Role != rbac.RoleTenantAdmin {
 		t.Fatalf("erwartet tenant_admin aus saml-admins-mapping, habe %q", assignment.Role)
 	}
 }
 // Akzeptanzkriterium 3 + Pruefung 3 (Negativfall): keine Privilege-
 // Escalation ueber unbekannte/manipulierte Rollen-Attribute.
 func TestCompleteSAMLLogin_UnmappedRoleGrantsNothing(t *testing.T) {
 	pool, cleanup := setupTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	idpKey := generateTestIdPKey(t)
 	verifier := NewVerifier(&idpKey.PublicKey, "https://test-idp.example.com")
 	users := user.NewTenantUserStore(pool)
 	roles := rbac.NewStore(pool)
 	roleMapping := ldapsync.NewRoleMappingStore(pool)
 	issuer := auth.NewTokenIssuer("test-secret-nur-fuer-tests")
 	email := fmt.Sprintf("saml-test-%d@example.com", time.Now().UnixNano())
 	rawResp, err := BuildResponse(idpKey, testAssertion("https://test-idp.example.com", email, []string{"tenant_admin", "superadmin"}))
 	if err != nil {
 		t.Fatalf("build response: %v", err)
 	}
 	if _, err := CompleteSAMLLogin(ctx, verifier, users, roles, roleMapping, issuer, "acme", rawResp); err != nil {
 		t.Fatalf("complete saml login: %v", err)
 	}
 	creds, err := users.GetByEmailForAuth(ctx, email)
 	if err != nil {
 		t.Fatalf("user nach login: %v", err)
 	}
 	if _, err := roles.Get(ctx, creds.User.ID); err == nil {
 		t.Fatal("erwartet KEINE rollenzuweisung fuer nicht gemappte rollen-attribute")
 	}
 }
 // Akzeptanzkriterium 2 + Pruefung 2: SAML- und OIDC-Anmeldung koennen
 // nebeneinander fuer unterschiedliche Tenants konfiguriert sein — hier durch
 // zwei physisch getrennte Tenant-Datenbanken demonstriert (Modell C).
 func TestSAMLAndOIDC_WorkInParallelForDifferentTenants(t *testing.T) {
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	ctx := context.Background()
 	poolSAML, cleanupSAML := setupTest(t)
 	defer cleanupSAML()
 	poolOIDC, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("pool oidc: %v", err)
 	}
 	defer poolOIDC.Close()
 	if _, err := poolOIDC.Exec(ctx, schema+`
 		CREATE TABLE IF NOT EXISTS oidc_states (
 			state TEXT PRIMARY KEY, nonce TEXT NOT NULL, expires_at TIMESTAMPTZ NOT NULL,
 			used_at TIMESTAMPTZ, created_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		)`); err != nil {
 		t.Fatalf("schema oidc: %v", err)
 	}
 	// Tenant "saml-tenant": SAML konfiguriert.
 	idpKey := generateTestIdPKey(t)
 	samlVerifier := NewVerifier(&idpKey.PublicKey, "https://test-idp.example.com")
 	samlUsers := user.NewTenantUserStore(poolSAML)
 	samlRoles := rbac.NewStore(poolSAML)
 	samlMapping := ldapsync.NewRoleMappingStore(poolSAML)
 	issuer := auth.NewTokenIssuer("test-secret-nur-fuer-tests")
 	samlEmail := fmt.Sprintf("saml-parallel-%d@example.com", time.Now().UnixNano())
 	samlResp, err := BuildResponse(idpKey, testAssertion("https://test-idp.example.com", samlEmail, nil))
 	if err != nil {
 		t.Fatalf("build saml response: %v", err)
 	}
 	samlToken, err := CompleteSAMLLogin(ctx, samlVerifier, samlUsers, samlRoles, samlMapping, issuer, "saml-tenant", samlResp)
 	if err != nil {
 		t.Fatalf("saml-tenant login: %v", err)
 	}
 	if samlToken == "" {
 		t.Fatal("erwartet token fuer saml-tenant")
 	}
 	// Tenant "oidc-tenant": OIDC konfiguriert, voellig unabhaengige Datenbank.
 	oidcKey := generateTestIdPKey(t)
 	oidcVerifier := oidc.NewVerifier(map[string]*rsa.PublicKey{"kid-1": &oidcKey.PublicKey}, "https://oidc-idp.example.com")
 	oidcStates := oidc.NewStateStore(poolOIDC)
 	oidcUsers := user.NewTenantUserStore(poolOIDC)
 	oidcRoles := rbac.NewStore(poolOIDC)
 	oidcMapping := ldapsync.NewRoleMappingStore(poolOIDC)
 	state, nonce, err := oidcStates.Generate(ctx)
 	if err != nil {
 		t.Fatalf("oidc generate state: %v", err)
 	}
 	oidcEmail := fmt.Sprintf("oidc-parallel-%d@example.com", time.Now().UnixNano())
 	claims := oidc.Claims{
 		Email: oidcEmail,
 		Nonce: nonce,
 		RegisteredClaims: jwt.RegisteredClaims{
 			Issuer: "https://oidc-idp.example.com", ExpiresAt: jwt.NewNumericDate(time.Now().Add(time.Hour)),
 		},
 	}
 	idToken := signOIDCTestToken(t, oidcKey, claims)
 	oidcToken, err := oidc.CompleteOIDCLogin(ctx, oidcVerifier, oidcStates, oidcUsers, oidcRoles, oidcMapping, issuer, "oidc-tenant", state, idToken)
 	if err != nil {
 		t.Fatalf("oidc-tenant login: %v", err)
 	}
 	if oidcToken == "" {
 		t.Fatal("erwartet token fuer oidc-tenant")
 	}
 	if samlToken == oidcToken {
 		t.Fatal("tokens sollten unterschiedlich sein")
 	}
 }
 func signOIDCTestToken(t *testing.T, key *rsa.PrivateKey, claims oidc.Claims) string {
 	t.Helper()
 	token := jwt.NewWithClaims(jwt.SigningMethodRS256, claims)
 	token.Header["kid"] = "kid-1"
 	s, err := token.SignedString(key)
 	if err != nil {
 		t.Fatalf("sign oidc test token: %v", err)
 	}
 	return s
 }
@@ -1,107 +0,0 @@
 package saml
 import (
 	"crypto"
 	"crypto/rand"
 	"crypto/rsa"
 	"crypto/sha256"
 	"encoding/base64"
 	"encoding/xml"
 	"errors"
 	"fmt"
 	"time"
 )
 var (
 	ErrInvalidSignature = errors.New("saml: assertion-signatur ungueltig")
 	ErrNotYetValid      = errors.New("saml: assertion noch nicht gueltig")
 	ErrExpired          = errors.New("saml: assertion abgelaufen")
 	ErrWrongIssuer      = errors.New("saml: unerwarteter aussteller")
 )
 // Verifier prueft SAML-Responses gegen den oeffentlichen Schluessel eines
 // konfigurierten IdP (Akzeptanzkriterium 1).
 type Verifier struct {
 	idpPublicKey *rsa.PublicKey
 	idpIssuer    string
 }
 func NewVerifier(idpPublicKey *rsa.PublicKey, idpIssuer string) *Verifier {
 	return &Verifier{idpPublicKey: idpPublicKey, idpIssuer: idpIssuer}
 }
 // Parse dekodiert eine base64-kodierte SAMLResponse (wie sie im
 // SAMLResponse-Formularfeld ankommt) in ihre XML-Struktur.
 func Parse(rawBase64 string) (ResponseXML, error) {
 	data, err := base64.StdEncoding.DecodeString(rawBase64)
 	if err != nil {
 		return ResponseXML{}, fmt.Errorf("base64 dekodieren: %w", err)
 	}
 	var resp ResponseXML
 	if err := xml.Unmarshal(data, &resp); err != nil {
 		return ResponseXML{}, fmt.Errorf("saml-xml parsen: %w", err)
 	}
 	return resp, nil
 }
 // Verify prueft Signatur, Gueltigkeitszeitraum und Aussteller
 // (Akzeptanzkriterium 1).
 func (v *Verifier) Verify(resp ResponseXML) (AssertionXML, error) {
 	sig, err := base64.StdEncoding.DecodeString(resp.SignatureValue)
 	if err != nil {
 		return AssertionXML{}, fmt.Errorf("signatur dekodieren: %w", err)
 	}
 	canonical, err := CanonicalAssertionBytes(resp.Assertion)
 	if err != nil {
 		return AssertionXML{}, err
 	}
 	hash := sha256.Sum256(canonical)
 	if err := rsa.VerifyPKCS1v15(v.idpPublicKey, crypto.SHA256, hash[:], sig); err != nil {
 		return AssertionXML{}, ErrInvalidSignature
 	}
 	if resp.Assertion.Issuer != v.idpIssuer {
 		return AssertionXML{}, fmt.Errorf("%w: %q", ErrWrongIssuer, resp.Assertion.Issuer)
 	}
 	if err := resp.Assertion.WithinValidity(time.Now()); err != nil {
 		return AssertionXML{}, err
 	}
 	return resp.Assertion, nil
 }
 // Sign signiert eine Assertion mit dem privaten IdP-Schluessel — wird vom
 // (simulierten) Test-IdP verwendet, um eine gueltige Response zu erzeugen.
 // Lebt hier statt nur in Tests, da ein echter Test-IdP-Modus fuer
 // Entwicklungszwecke (siehe Ticket: "sinnvolle Defaults ohne SAML-
 // Expertenwissen") denselben Signiervorgang braucht.
 func Sign(priv *rsa.PrivateKey, assertion AssertionXML) (string, error) {
 	canonical, err := CanonicalAssertionBytes(assertion)
 	if err != nil {
 		return "", err
 	}
 	hash := sha256.Sum256(canonical)
 	sig, err := rsa.SignPKCS1v15(rand.Reader, priv, crypto.SHA256, hash[:])
 	if err != nil {
 		return "", fmt.Errorf("assertion signieren: %w", err)
 	}
 	return base64.StdEncoding.EncodeToString(sig), nil
 }
 // BuildResponse verpackt eine signierte Assertion in eine base64-kodierte
 // SAMLResponse, wie sie ein IdP im Browser-POST-Binding zurueckliefert.
 func BuildResponse(priv *rsa.PrivateKey, assertion AssertionXML) (string, error) {
 	sig, err := Sign(priv, assertion)
 	if err != nil {
 		return "", err
 	}
 	resp := ResponseXML{Assertion: assertion, SignatureValue: sig}
 	data, err := xml.Marshal(resp)
 	if err != nil {
 		return "", fmt.Errorf("response serialisieren: %w", err)
 	}
 	return base64.StdEncoding.EncodeToString(data), nil
 }
@@ -1,123 +0,0 @@
 package saml
 import (
 	"crypto/rand"
 	"crypto/rsa"
 	"testing"
 	"time"
 )
 func generateTestIdPKey(t *testing.T) *rsa.PrivateKey {
 	t.Helper()
 	key, err := rsa.GenerateKey(rand.Reader, 2048)
 	if err != nil {
 		t.Fatalf("generate rsa key: %v", err)
 	}
 	return key
 }
 func testAssertion(issuer, nameID string, roles []string) AssertionXML {
 	now := time.Now()
 	return AssertionXML{
 		Issuer: issuer,
 		NameID: nameID,
 		Conditions: conditionsXML{
 			NotBefore:    now.Add(-time.Minute).Format(time.RFC3339),
 			NotOnOrAfter: now.Add(time.Hour).Format(time.RFC3339),
 		},
 		Attributes: []attributeXML{
 			{Name: "roles", Values: roles},
 		},
 	}
 }
 func TestVerify_AcceptsValidSignedAssertion(t *testing.T) {
 	key := generateTestIdPKey(t)
 	verifier := NewVerifier(&key.PublicKey, "https://idp.example.com")
 	rawResp, err := BuildResponse(key, testAssertion("https://idp.example.com", "person@example.com", []string{"sso-admins"}))
 	if err != nil {
 		t.Fatalf("build response: %v", err)
 	}
 	resp, err := Parse(rawResp)
 	if err != nil {
 		t.Fatalf("parse: %v", err)
 	}
 	assertion, err := verifier.Verify(resp)
 	if err != nil {
 		t.Fatalf("verify: %v", err)
 	}
 	if assertion.NameID != "person@example.com" {
 		t.Fatalf("nameid = %q", assertion.NameID)
 	}
 }
 func TestVerify_RejectsTamperedAssertion(t *testing.T) {
 	key := generateTestIdPKey(t)
 	verifier := NewVerifier(&key.PublicKey, "https://idp.example.com")
 	rawResp, err := BuildResponse(key, testAssertion("https://idp.example.com", "person@example.com", nil))
 	if err != nil {
 		t.Fatalf("build response: %v", err)
 	}
 	resp, err := Parse(rawResp)
 	if err != nil {
 		t.Fatalf("parse: %v", err)
 	}
 	// Manipulation NACH dem Signieren: NameID aendern (Signatur bleibt die alte).
 	resp.Assertion.NameID = "angreifer@example.com"
 	if _, err := verifier.Verify(resp); err != ErrInvalidSignature {
 		t.Fatalf("erwartet ErrInvalidSignature, habe %v", err)
 	}
 }
 func TestVerify_RejectsWrongIdPKey(t *testing.T) {
 	realKey := generateTestIdPKey(t)
 	attackerKey := generateTestIdPKey(t)
 	verifier := NewVerifier(&realKey.PublicKey, "https://idp.example.com")
 	rawResp, err := BuildResponse(attackerKey, testAssertion("https://idp.example.com", "person@example.com", nil))
 	if err != nil {
 		t.Fatalf("build response: %v", err)
 	}
 	resp, _ := Parse(rawResp)
 	if _, err := verifier.Verify(resp); err != ErrInvalidSignature {
 		t.Fatalf("erwartet ErrInvalidSignature bei fremd signierter assertion, habe %v", err)
 	}
 }
 func TestVerify_RejectsExpiredAssertion(t *testing.T) {
 	key := generateTestIdPKey(t)
 	verifier := NewVerifier(&key.PublicKey, "https://idp.example.com")
 	expired := testAssertion("https://idp.example.com", "person@example.com", nil)
 	expired.Conditions.NotOnOrAfter = time.Now().Add(-time.Hour).Format(time.RFC3339)
 	rawResp, err := BuildResponse(key, expired)
 	if err != nil {
 		t.Fatalf("build response: %v", err)
 	}
 	resp, _ := Parse(rawResp)
 	if _, err := verifier.Verify(resp); err != ErrExpired {
 		t.Fatalf("erwartet ErrExpired, habe %v", err)
 	}
 }
 func TestVerify_RejectsWrongIssuer(t *testing.T) {
 	key := generateTestIdPKey(t)
 	verifier := NewVerifier(&key.PublicKey, "https://idp.example.com")
 	rawResp, err := BuildResponse(key, testAssertion("https://anderer-idp.example.com", "person@example.com", nil))
 	if err != nil {
 		t.Fatalf("build response: %v", err)
 	}
 	resp, _ := Parse(rawResp)
 	if _, err := verifier.Verify(resp); err == nil {
 		t.Fatal("erwartet fehler bei unerwartetem aussteller")
 	}
 }
@@ -1,2 +0,0 @@
 DROP TABLE IF EXISTS role_assignment_history;
 DROP TABLE IF EXISTS role_assignments;
@@ -1,23 +0,0 @@
 -- Rollenzuweisung pro Benutzer (RBAC-01, siehe core-kanban/tickets/RBAC-01.md).
 -- Nur 'user' und 'tenant_admin' sind hier zuweisbar — 'superadmin' lebt
 -- mandantenuebergreifend in der Registry (IAM-01 SuperadminStore) und hat
 -- daher bewusst KEINE Zeile in dieser tenant-lokalen Tabelle (Akzeptanz-
 -- kriterium 1: nur Zuweisungen innerhalb der erlaubten Matrix).
 CREATE TABLE role_assignments (
    user_id     UUID PRIMARY KEY REFERENCES users(id),
    role        TEXT NOT NULL CHECK (role IN ('user', 'tenant_admin')),
    granted_by  TEXT NOT NULL,
    granted_at  TIMESTAMPTZ NOT NULL DEFAULT now()
 );
 -- Vollstaendige Historie jeder Rollenaenderung (Akzeptanzkriterium 3: wer
 -- hat wann welche Rolle vergeben).
 CREATE TABLE role_assignment_history (
    id          UUID PRIMARY KEY DEFAULT gen_random_uuid(),
    user_id     UUID NOT NULL,
    role        TEXT NOT NULL,
    granted_by  TEXT NOT NULL,
    granted_at  TIMESTAMPTZ NOT NULL DEFAULT now()
 );
 CREATE INDEX role_assignment_history_user_idx ON role_assignment_history (user_id, granted_at);
@@ -1,2 +0,0 @@
 DROP TABLE IF EXISTS ldap_group_role_mapping;
 DROP TABLE IF EXISTS ldap_config;
@@ -1,22 +0,0 @@
 -- LDAP/Active-Directory-Anbindung (IAM-05, siehe core-kanban/tickets/IAM-05.md).
 -- Bind-Credentials liegen NIE in dieser Tabelle im Klartext — bind_password_env
 -- nennt nur den Namen einer Umgebungsvariable, aus der das Passwort zur
 -- Laufzeit gelesen wird (Projekt-Konvention: Secrets nur ueber Env-Vars).
 CREATE TABLE ldap_config (
    id                 BOOLEAN PRIMARY KEY DEFAULT true CHECK (id),
    url                TEXT NOT NULL,
    bind_dn            TEXT NOT NULL,
    bind_password_env  TEXT NOT NULL,
    base_dn            TEXT NOT NULL,
    user_filter        TEXT NOT NULL DEFAULT '(objectClass=person)',
    updated_at         TIMESTAMPTZ NOT NULL DEFAULT now()
 );
 -- Erlaubnis-Matrix LDAP-Gruppe -> NEXARCH-Rolle (Akzeptanzkriterium 3).
 -- Eine LDAP-Gruppe OHNE Eintrag hier vergibt KEINE Rolle — kein impliziter
 -- Zugriff durch Gruppennamen-Zufall (Privilege-Escalation-Schutz, siehe
 -- "Bekannte Fehler vermeiden" im Ticket).
 CREATE TABLE ldap_group_role_mapping (
    ldap_group TEXT PRIMARY KEY,
    role       TEXT NOT NULL CHECK (role IN ('user', 'tenant_admin'))
 );
@@ -1 +0,0 @@
 DROP TABLE IF EXISTS oidc_states;
@@ -1,10 +0,0 @@
 -- CSRF-/Replay-Schutz fuer OIDC-Login (IAM-06, siehe
 -- core-kanban/tickets/IAM-06.md). Einmal-Verwendung erzwungen ueber
 -- used_at IS NULL in der Consume-Abfrage, analog IAM-03/IAM-09.
 CREATE TABLE oidc_states (
    state      TEXT PRIMARY KEY,
    nonce      TEXT NOT NULL,
    expires_at TIMESTAMPTZ NOT NULL,
    used_at    TIMESTAMPTZ,
    created_at TIMESTAMPTZ NOT NULL DEFAULT now()
 );
@@ -1 +0,0 @@
 DROP TABLE IF EXISTS saml_config;
@@ -1,13 +0,0 @@
 -- SAML 2.0-Anbindung (IAM-11, siehe core-kanban/tickets/IAM-11.md).
 -- Singleton-Zeile je Tenant-Datenbank (Modell C) — dieselbe Isolation, die
 -- IAM-06 (OIDC) fuer nebeneinander konfigurierte Anmeldewege je Tenant
 -- nutzt: Tenant A kann diese Tabelle befuellt haben, Tenant B stattdessen
 -- eine OIDC-Konfiguration, ohne dass sich beides je begegnet
 -- (Akzeptanzkriterium 2).
 CREATE TABLE saml_config (
    id                BOOLEAN PRIMARY KEY DEFAULT true CHECK (id),
    idp_issuer        TEXT NOT NULL,
    idp_certificate   TEXT NOT NULL, -- PEM-kodiertes oeffentliches Zertifikat des IdP
    sp_entity_id      TEXT NOT NULL,
    updated_at        TIMESTAMPTZ NOT NULL DEFAULT now()
 );
@@ -1,11 +1,16 @@
 #!/usr/bin/env bash
 set -euo pipefail
 PASS="${NEXARCH_TEST_DB_PASSWORD:?Setze NEXARCH_TEST_DB_PASSWORD vor dem Aufruf}"
 ROLE="nexarch_test"
 export PGPASSWORD="$PASS"
 psql -h localhost -U "$ROLE" -d postgres -v ON_ERROR_STOP=1 -c "DROP TABLE IF EXISTS tenants CASCADE;"
 dbs=$(psql -h localhost -U "$ROLE" -d postgres -tAc "SELECT datname FROM pg_database WHERE datname LIKE 'tenant\_%' ESCAPE '\'")
 for db in $dbs; do
 	psql -h localhost -U "$ROLE" -d postgres -v ON_ERROR_STOP=1 -c "DROP DATABASE IF EXISTS \"${db}\";"
 done
 echo "Testumgebung zurueckgesetzt: registry-tabelle + $(echo "$dbs" | grep -c . || true) tenant-datenbank(en) entfernt."
@@ -1,12 +1,18 @@
 #!/usr/bin/env bash
 set -euo pipefail
 PASS="${NEXARCH_TEST_DB_PASSWORD:?Setze NEXARCH_TEST_DB_PASSWORD vor dem Aufruf}"
 cd "$(dirname "$0")/.."
 NEXARCH_TEST_DB_PASSWORD="$PASS" bash scripts/reset-test-env.sh
 export TEST_ADMIN_DSN="postgresql://nexarch_test:${PASS}@localhost:5432/postgres?sslmode=disable"
 echo "== go build =="
 go build ./...
 echo "== go vet =="
 go vet ./...
 echo "== go test (-p 1) =="
 go test ./... -p 1 -count=1
		`@@ -1,2 +0,0 @@`
			`DROP TABLE IF EXISTS role_assignment_history;`
			`DROP TABLE IF EXISTS role_assignments;`
		`@@ -1,2 +0,0 @@`
			`DROP TABLE IF EXISTS ldap_group_role_mapping;`
			`DROP TABLE IF EXISTS ldap_config;`