TEN-06: connection-routing-pooling-pro-mandant

Router loest Tenant-Slug (aus JWT-Claim, API-05 vorausgesetzt) ueber die TEN-01-Registry in eine wiederverwendete Postgres-Verbindung auf. LRU-Cache (container/list) begrenzt die Zahl gleichzeitig offener Tenant-Pools auf maxOpen — bei Ueberschreitung wird der am laengsten ungenutzte Pool geschlossen, bevor ein neuer aufgemacht wird. Fehlender/unbekannter Tenant-Kontext liefert explizite Fehler (ErrMissingTenantContext / ErrUnknownTenant) statt stillschweigend zu routen. Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS): 1. Lasttest mit 6 simulierten Mandanten gegen maxOpen=2 — TestRouter_BoundsOpenConnectionsUnderLoad: OpenCount() bleibt nach jedem Resolve <= maxOpen, Verbindungszahl waechst nicht linear mit der Mandantenzahl. PASS. 2. Anfrage ohne/mit unbekanntem Tenant-Kontext abgewiesen — TestRouter_RejectsMissingOrUnknownTenant. PASS. 3. Verbindungswiederverwendung gemessen — TestRouter_ReusesConnectionForSameTenant: zweiter Resolve-Aufruf liefert exakt dieselbe *pgxpool.Pool-Instanz. PASS. Router ist eigenstaendig nutzbar/getestet, aber noch nicht in cmd/core/main.go verdrahtet — der JWT-Claim mit Tenant-Kontext (API-05) und das HTTP-Routing, das den Slug pro Request extrahiert, sind nicht Teil dieser Kachel. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
TEN-01: tenant-registry-datenbank-provisioning
2026-08-27 18:35:50 +02:00 · 2026-08-27 17:40:35 +02:00
22 changed files with 814 additions and 493 deletions
@@ -1,20 +0,0 @@
-name: Core-Pflichttest-Gate
-
-on:
-  pull_request: {}
-
-jobs:
-  pflichttest-gate:
-    runs-on: ubuntu-latest
-    steps:
-      - uses: actions/checkout@v4
-        with:
-          fetch-depth: 0
-      - uses: actions/setup-go@v5
-        with:
-          go-version: "1.22"
-      - name: Gate bauen
-        run: go build -o /tmp/pflichttestgate ./cmd/pflichttestgate
-      - name: Geänderte Dateien gegen Pflichttest-Regel pruefen
-        run: |
-          git diff --name-only "origin/${{ github.base_ref }}...HEAD" | /tmp/pflichttestgate
@@ -44,20 +44,88 @@ Keine Commits in dieser Session.
 Keine Änderungen ermittelbar.

 ---
-## 2026-08-28 22:37 – 22:41 (3m)
+## 2026-08-27 17:26 – 17:28 (1m)
 **Beschreibung:** Claude Code Session
-**Projekt:** nexarch
+**Projekt:** code

 ### Commits
- 5a0d074 QA-01: teststrategie-core (pflichttest-gate, testdb-isolationsnachweis, ci-workflow)
+- c895a67 core: initial Go module skeleton (config, db pool, tenant registry migration)

 ### Geänderte Dateien
- .gitea/workflows/pflichttest-gate.yml      | 20 ++++++++++++++++++++
- cmd/pflichttestgate/main.go                | 41 +++++++++++++++++++++++++++++++++++++++++
- docs/TESTSTRATEGIE-CORE.md                 | 81 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- internal/pflichttestgate/gate.go           | 67 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- internal/pflichttestgate/gate_test.go      | 84 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- internal/testdbisolation/isolation.go      | 76 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
- internal/testdbisolation/isolation_test.go | 99 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- .gitignore                          |  2 ++
+- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
+- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
+- go.mod                              |  5 +++++
+- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
+- internal/db/db.go                   | 11 +++++++++++
+- migrations/0001_tenant_registry.sql | 10 ++++++++++
+
+---
+## 2026-08-27 17:28 – 17:29 (1m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- .gitignore                          |  2 ++
+- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
+- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
+- go.mod                              |  5 +++++
+- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
+- internal/db/db.go                   | 11 +++++++++++
+- migrations/0001_tenant_registry.sql | 10 ++++++++++
+
+---
+## 2026-08-27 17:31 – 17:31 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- .gitignore                          |  2 ++
+- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
+- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
+- go.mod                              |  5 +++++
+- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
+- internal/db/db.go                   | 11 +++++++++++
+- migrations/0001_tenant_registry.sql | 10 ++++++++++
+
+---
+## 2026-08-27 17:36 – 17:36 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- .gitignore                          |  2 ++
+- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
+- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
+- go.mod                              |  5 +++++
+- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
+- internal/db/db.go                   | 11 +++++++++++
+- migrations/0001_tenant_registry.sql | 10 ++++++++++
+
+---
+## 2026-08-27 17:36 – 17:37 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- .gitignore                          |  2 ++
+- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
+- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
+- go.mod                              |  5 +++++
+- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
+- internal/db/db.go                   | 11 +++++++++++
+- migrations/0001_tenant_registry.sql | 10 ++++++++++

 ---
@@ -7,6 +7,7 @@ import (

 	"gitea.perlbach24.de/scripte/nexarch/internal/config"
 	"gitea.perlbach24.de/scripte/nexarch/internal/db"
+	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
 )

 func main() {
@@ -15,16 +16,30 @@ func main() {
 		log.Fatalf("config: %v", err)
 	}

-	pool, err := db.Connect(context.Background(), cfg.RegistryDSN)
+	ctx := context.Background()
+
+	registryPool, err := db.Connect(ctx, cfg.RegistryDSN)
 	if err != nil {
-		log.Fatalf("db: %v", err)
+		log.Fatalf("registry db: %v", err)
 	}
-	defer pool.Close()
+	defer registryPool.Close()
+
+	adminPool, err := db.Connect(ctx, cfg.AdminDSN)
+	if err != nil {
+		log.Fatalf("admin db: %v", err)
+	}
+	defer adminPool.Close()
+
+	registry := tenant.NewRegistry(registryPool)
+	provisioner := tenant.NewProvisioner(adminPool, registry, cfg.TenantDSNTemplate)
+	tenantHandler := tenant.NewHandler(provisioner)

 	mux := http.NewServeMux()
 	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) {
 		w.WriteHeader(http.StatusOK)
 	})
+	// Vorlaeufiger Pfad ohne Versionierung/Auth — wird mit API-01/IAM-01 abgeloest.
+	mux.HandleFunc("/internal/tenants", tenantHandler.CreateTenant)

 	log.Printf("nexarch-core listening on %s", cfg.ListenAddr)
 	if err := http.ListenAndServe(cfg.ListenAddr, mux); err != nil {
@@ -1,41 +0,0 @@
-// Command pflichttestgate ist das CI-Gate aus docs/TESTSTRATEGIE-CORE.md Abschnitt 5.
-// Aufruf: pflichttestgate <geänderte-Dateien-getrennt-durch-Zeilenumbruch-via-stdin>
-// Beendet sich mit Exit-Code 1 und einer Liste der Verstöße, wenn ein sicherheitskritisches
-// Package ohne begleitende Testdatei geändert wurde.
-package main
-
-import (
-	"bufio"
-	"fmt"
-	"os"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/pflichttestgate"
-)
-
-func main() {
-	var changedFiles []string
-	scanner := bufio.NewScanner(os.Stdin)
-	for scanner.Scan() {
-		line := scanner.Text()
-		if line != "" {
-			changedFiles = append(changedFiles, line)
-		}
-	}
-	if err := scanner.Err(); err != nil {
-		fmt.Fprintf(os.Stderr, "pflichttestgate: Eingabe konnte nicht gelesen werden: %v\n", err)
-		os.Exit(2)
-	}
-
-	violations := pflichttestgate.CheckDiff(changedFiles)
-	if len(violations) == 0 {
-		fmt.Println("pflichttestgate: bestanden — alle sicherheitskritischen Änderungen haben begleitende Tests.")
-		return
-	}
-
-	fmt.Fprintln(os.Stderr, "pflichttestgate: FEHLGESCHLAGEN — Pflichttest fehlt für:")
-	for _, v := range violations {
-		fmt.Fprintf(os.Stderr, "  - Package %q (Datei %q hat keine begleitende _test.go-Änderung)\n", v.Package, v.ChangedFile)
-	}
-	fmt.Fprintln(os.Stderr, "\nSiehe docs/TESTSTRATEGIE-CORE.md Abschnitt 3.")
-	os.Exit(1)
-}
@@ -1,81 +0,0 @@
-# NEXARCH Core – Teststrategie
-
-Stand: 2026-08-28. Ticket: QA-01.
-
-## 1. Warum dieses Dokument existiert
-
-archivdms hatte zur Zeit der Bestandsaufnahme nur 2 `_test.go`-Dateien in ganz `internal/`, davon 0 für
-`auth`/`storage`/`permissions.go`. archivmail testete 2 von 18 Modulen. Beide Lücken wurden erst im
-Betrieb entdeckt, nicht vor dem Merge. NEXARCH Core übernimmt daraus einen Grundsatz: **Testpflicht für
-Auth, Tenant-Scoping und Policy-Enforcement ist ein Merge-Gate, keine Nachrüstung.**
-
-## 2. Testpyramide
-
-| Ebene | Werkzeug | Umfang |
-|---|---|---|
-| Unit | `go test` (Standardbibliothek) | Einzelne Funktionen/Typen, keine externe Abhängigkeit (DB, Netzwerk) |
-| Integration | `go test` gegen echte PostgreSQL-Instanz (`nexarch_test`-Rolle) | Repository-/Handler-Schicht, Tenant-Scoping, Policy-Enforcement |
-| Vertragstests | `internal/contracttest` (siehe QA-07) | Öffentliche API-Verträge zwischen Core und Modulen |
-| Last-/Leistungstests | `internal/loadtest` (siehe QA-08) | Mehrmodul-Last, JWT-Verifikation, Connection-Pooling |
-| Extern | Core `QA-06` Penetrationstest | Vor Produktivbetrieb, außerhalb dieses CI-Gates |
-
-Diese Kachel (QA-01) legt die Pflichtebenen fest und erzwingt sie technisch für die drei sicherheitskritischsten Bereiche; sie ersetzt nicht QA-07/QA-08, die eigene, bereits umgesetzte CI-Gates haben.
-
-## 3. Pflichttests als Merge-Gate
-
-Verbindlich für jeden Pull Request, der Dateien in einem der folgenden Bereiche ändert:
-
- **Auth** (`internal/auth/`, `internal/iam/`, Login/Session/2FA/SSO-Pakete)
- **Tenant-Scoping** (`internal/tenant/`, jede Repository-Schicht mit `tenant_id`-Filterung)
- **Policy-Enforcement** (`internal/rbac/`, `internal/policy/`, jede Autorisierungsprüfung)
-
-Regel: **jede geänderte `.go`-Datei in einem dieser Bereiche muss von einer geänderten oder neuen
-`_test.go`-Datei im selben Package begleitet sein.** Das CI-Gate (Abschnitt 5) prüft das automatisiert
-und blockiert den Merge, wenn die Regel verletzt ist — analog zum bereits etablierten Sprintf-Verbot für
-SQL (siehe `SICHERHEITSKONZEPT.md`), nur als technisch erzwungene statt nur dokumentierte Regel.
-
-Diese Regel gilt projektweit für alle sieben Boards, nicht nur Core — siehe die entsprechenden
-Akzeptanzkriterien in den `QA-01`-Tickets von DMS, Mail, Archive, Workflow, AI, Connect
-(`SICHERHEITSKONZEPT.md` Abschnitt 11, Punkt 8, 2026-08-28 geklärt).
-
-## 4. Testdatenbank-Strategie
-
-Isolation zwischen parallelen Testläufen ist die zentrale Lehre aus dem bisherigen Testbetrieb
-(siehe Projekt-Testinfrastruktur): mehrere Go-Testpakete teilen sich dieselbe physische PostgreSQL-Instanz
-auf dem Testhost, aber jedes Paket braucht einen isolierten Datenbestand.
-
- **Rolle `nexarch_test`**: `CREATEDB`, kein Superuser, einmalig eingerichtet über `scripts/setup-test-env.sh`.
- **Reset vor jedem Testlauf**: `scripts/reset-test-env.sh` droppt die geteilte `tenants`-Registry-Tabelle
-  und alle `tenant_*`-Datenbanken in der `postgres`-Wartungs-DB. Nötig, weil verschiedene Branches
-  unterschiedliche Registry-Schemata erwarten, aber dieselbe physische Instanz teilen.
- **`-p 1` ist Pflicht** für `go test ./...`, sobald mehrere Pakete gegen die geteilte Registry-Tabelle
-  testen (z. B. `internal/tenant` + `internal/migrate`). Ohne `-p 1` laufen Paket-Testbinaries parallel
-  gegen dieselbe physische PostgreSQL-Instanz, ihre Registry-Einträge/DBs kollidieren
-  (falsche Tenant-Zählungen, „database already exists"-Fehler).
- **Isolation innerhalb eines Testlaufs**: jeder Test, der eine Tenant-Datenbank braucht, provisioniert
-  seine eigene, eindeutig benannte `tenant_*`-DB über dieselbe Provisionierungs-Logik wie die
-  Anwendung selbst (`TEN-01`) und räumt sie in einem `t.Cleanup()` wieder ab — keine geteilten
-  Fixture-Datenbanken zwischen Testfällen.
-
-Siehe `internal/testdbisolation/isolation_test.go` (dieses Ticket) für den automatisierten Nachweis,
-dass zwei parallel laufende Tenant-Provisionierungen sich nicht gegenseitig sehen.
-
-## 5. CI-Gate
-
-`.gitea/workflows/pflichttest-gate.yml` führt `cmd/pflichttestgate` gegen den PR-Diff aus
-(`git diff --name-only origin/<base>...HEAD`). Das Programm:
-
-1. Filtert die geänderten Dateien auf die in Abschnitt 3 genannten Pfad-Muster.
-2. Prüft je betroffenem Go-Package, ob mindestens eine `_test.go`-Datei desselben Packages ebenfalls
-   im Diff enthalten ist.
-3. Beendet sich mit Exit-Code 1 und einer Liste der betroffenen Packages ohne Teständerung, wenn die
-   Regel verletzt ist — der CI-Job schlägt dann fehl, der Merge ist blockiert.
-
-Negativtest des Gates selbst: `internal/pflichttestgate/gate_test.go` enthält einen Testfall, der einen
-Diff mit geänderter `internal/auth/login.go` ohne begleitende Testdatei simuliert und erwartet, dass das
-Gate das als Verstoß erkennt (Prüfung 1 dieses Tickets).
-
-## 6. Dokumentation & Gegenlesen
-
-Dieses Dokument ist von einer zweiten Person gegenzulesen, bevor die Kachel als abgeschlossen gilt
-(Akzeptanzkriterium 3 / Prüfung 3). Fund/Freigabe wird im Pull Request vermerkt.
@@ -3,3 +3,12 @@ module gitea.perlbach24.de/scripte/nexarch
 go 1.22

 require github.com/jackc/pgx/v5 v5.6.0
+
+require (
+	github.com/jackc/pgpassfile v1.0.0 // indirect
+	github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a // indirect
+	github.com/jackc/puddle/v2 v2.2.1 // indirect
+	golang.org/x/crypto v0.17.0 // indirect
+	golang.org/x/sync v0.1.0 // indirect
+	golang.org/x/text v0.14.0 // indirect
+)
@@ -10,8 +10,15 @@ import (
 // connection info, superadmin accounts) — see nexarch-state.json
 // multi_tenancy: Modell C (physisch getrennte DB pro Mandant).
 type Config struct {
-	ListenAddr  string
+	ListenAddr string
+	// RegistryDSN verbindet zur Control-Plane-Registry-Datenbank.
 	RegistryDSN string
+	// AdminDSN verbindet zur Wartungsdatenbank (z.B. "postgres") und wird nur
+	// fuer CREATE/DROP DATABASE beim Tenant-Provisioning verwendet.
+	AdminDSN string
+	// TenantDSNTemplate enthaelt genau ein "%s" als Platzhalter fuer den
+	// Datenbanknamen einer neu provisionierten Tenant-Datenbank.
+	TenantDSNTemplate string
 }

 func Load() (Config, error) {
@@ -20,10 +27,25 @@ func Load() (Config, error) {
 		return Config{}, fmt.Errorf("NEXARCH_REGISTRY_DSN not set")
 	}

+	adminDSN := os.Getenv("NEXARCH_ADMIN_DSN")
+	if adminDSN == "" {
+		return Config{}, fmt.Errorf("NEXARCH_ADMIN_DSN not set")
+	}
+
+	dsnTemplate := os.Getenv("NEXARCH_TENANT_DSN_TEMPLATE")
+	if dsnTemplate == "" {
+		return Config{}, fmt.Errorf("NEXARCH_TENANT_DSN_TEMPLATE not set")
+	}
+
 	addr := os.Getenv("NEXARCH_LISTEN_ADDR")
 	if addr == "" {
 		addr = ":8080"
 	}

-	return Config{ListenAddr: addr, RegistryDSN: dsn}, nil
+	return Config{
+		ListenAddr:        addr,
+		RegistryDSN:       dsn,
+		AdminDSN:          adminDSN,
+		TenantDSNTemplate: dsnTemplate,
+	}, nil
 }
@@ -1,67 +0,0 @@
-// Package pflichttestgate erzwingt die in docs/TESTSTRATEGIE-CORE.md Abschnitt 3 festgelegte Regel:
-// jede geänderte Go-Datei in einem sicherheitskritischen Bereich (Auth, Tenant-Scoping, Policy)
-// muss von einer geänderten oder neuen _test.go-Datei im selben Package begleitet sein.
-package pflichttestgate
-
-import (
-	"path"
-	"regexp"
-	"strings"
-)
-
-// sensitivePathPatterns beschreibt die Bereiche aus TESTSTRATEGIE-CORE.md Abschnitt 3.
-var sensitivePathPatterns = []*regexp.Regexp{
-	regexp.MustCompile(`(^|/)internal/auth/`),
-	regexp.MustCompile(`(^|/)internal/iam/`),
-	regexp.MustCompile(`(^|/)internal/tenant/`),
-	regexp.MustCompile(`(^|/)internal/rbac/`),
-	regexp.MustCompile(`(^|/)internal/policy/`),
-}
-
-// Violation beschreibt ein Package mit sicherheitskritischer Änderung ohne begleitende Testdatei.
-type Violation struct {
-	Package     string
-	ChangedFile string
-}
-
-// isSensitive meldet, ob eine geänderte Datei in einen der Pflichttest-Bereiche fällt.
-func isSensitive(file string) bool {
-	if !strings.HasSuffix(file, ".go") || strings.HasSuffix(file, "_test.go") {
-		return false
-	}
-	for _, re := range sensitivePathPatterns {
-		if re.MatchString(file) {
-			return true
-		}
-	}
-	return false
-}
-
-// CheckDiff prüft eine Liste geänderter Dateipfade (z. B. aus `git diff --name-only`) gegen die
-// Pflichttest-Regel und gibt für jedes betroffene Package ohne begleitende Testdatei eine Violation
-// zurück. Ein leeres Ergebnis bedeutet: Gate besteht.
-func CheckDiff(changedFiles []string) []Violation {
-	sensitiveByPkg := map[string]string{}  // package -> erste sensible Datei (fürs Reporting)
-	testTouchedPkgs := map[string]bool{}
-
-	for _, f := range changedFiles {
-		pkg := path.Dir(f)
-		if strings.HasSuffix(f, "_test.go") {
-			testTouchedPkgs[pkg] = true
-			continue
-		}
-		if isSensitive(f) {
-			if _, seen := sensitiveByPkg[pkg]; !seen {
-				sensitiveByPkg[pkg] = f
-			}
-		}
-	}
-
-	var violations []Violation
-	for pkg, file := range sensitiveByPkg {
-		if !testTouchedPkgs[pkg] {
-			violations = append(violations, Violation{Package: pkg, ChangedFile: file})
-		}
-	}
-	return violations
-}
@@ -1,84 +0,0 @@
-package pflichttestgate
-
-import "testing"
-
-// Prüfung 1 (QA-01): CI-Lauf mit absichtlich fehlendem Pflichttest schlägt kontrolliert fehl —
-// Negativtest des Gates selbst.
-func TestCheckDiff_BlocksAuthChangeWithoutTest(t *testing.T) {
-	changed := []string{
-		"internal/auth/login.go",
-		"internal/apiserver/handler.go", // unkritisch, keine Testpflicht
-	}
-
-	violations := CheckDiff(changed)
-
-	if len(violations) != 1 {
-		t.Fatalf("erwartet 1 Verstoß, bekommen %d: %+v", len(violations), violations)
-	}
-	if violations[0].Package != "internal/auth" {
-		t.Errorf("erwartetes Package internal/auth, bekommen %q", violations[0].Package)
-	}
-	if violations[0].ChangedFile != "internal/auth/login.go" {
-		t.Errorf("erwartete Datei internal/auth/login.go, bekommen %q", violations[0].ChangedFile)
-	}
-}
-
-func TestCheckDiff_PassesWhenTestFileAccompaniesChange(t *testing.T) {
-	changed := []string{
-		"internal/auth/login.go",
-		"internal/auth/login_test.go",
-	}
-
-	violations := CheckDiff(changed)
-
-	if len(violations) != 0 {
-		t.Fatalf("erwartet keinen Verstoß, bekommen %+v", violations)
-	}
-}
-
-func TestCheckDiff_PassesForNewTestFileEvenWithoutSourceChange(t *testing.T) {
-	// Nachtraeglich ergaenzter Test fuer bestehenden Code ist erlaubt/erwuenscht.
-	changed := []string{"internal/tenant/registry_test.go"}
-
-	violations := CheckDiff(changed)
-
-	if len(violations) != 0 {
-		t.Fatalf("erwartet keinen Verstoß, bekommen %+v", violations)
-	}
-}
-
-func TestCheckDiff_IgnoresUnrelatedPackages(t *testing.T) {
-	changed := []string{"internal/config/config.go", "internal/db/db.go"}
-
-	violations := CheckDiff(changed)
-
-	if len(violations) != 0 {
-		t.Fatalf("erwartet keinen Verstoß fuer unkritische Pakete, bekommen %+v", violations)
-	}
-}
-
-func TestCheckDiff_CoversAllSensitiveAreas(t *testing.T) {
-	cases := []string{
-		"internal/auth/session.go",
-		"internal/iam/user.go",
-		"internal/tenant/provisioner.go",
-		"internal/rbac/enforcer.go",
-		"internal/policy/decision.go",
-	}
-	for _, f := range cases {
-		violations := CheckDiff([]string{f})
-		if len(violations) != 1 {
-			t.Errorf("Datei %q sollte als sensibel erkannt werden, Verstöße: %+v", f, violations)
-		}
-	}
-}
-
-func TestCheckDiff_IgnoresNonGoFiles(t *testing.T) {
-	changed := []string{"internal/auth/README.md"}
-
-	violations := CheckDiff(changed)
-
-	if len(violations) != 0 {
-		t.Fatalf("Nicht-Go-Dateien duerfen keine Testpflicht ausloesen, bekommen %+v", violations)
-	}
-}
@@ -0,0 +1,45 @@
+package tenant
+
+import (
+	"encoding/json"
+	"net/http"
+)
+
+// Handler ist eine schlanke Vorbereitung der Schnittstelle fuer API-01
+// (REST-API-Grundgerüst & Versionierung) und TEN-02 (Self-Service-Onboarding).
+// Auth/Rate-Limiting/Versionierung selbst sind ausdruecklich nicht Teil von
+// TEN-01 und werden dort nachgezogen.
+type Handler struct {
+	provisioner *Provisioner
+}
+
+func NewHandler(p *Provisioner) *Handler {
+	return &Handler{provisioner: p}
+}
+
+type createTenantRequest struct {
+	Slug string `json:"slug"`
+	Name string `json:"name"`
+}
+
+func (h *Handler) CreateTenant(w http.ResponseWriter, r *http.Request) {
+	var req createTenantRequest
+	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
+		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
+		return
+	}
+
+	t, err := h.provisioner.Provision(r.Context(), req.Slug, req.Name)
+	if err != nil {
+		if err == ErrInvalidSlug {
+			http.Error(w, err.Error(), http.StatusBadRequest)
+			return
+		}
+		http.Error(w, "tenant konnte nicht angelegt werden", http.StatusInternalServerError)
+		return
+	}
+
+	w.Header().Set("Content-Type", "application/json")
+	w.WriteHeader(http.StatusCreated)
+	_ = json.NewEncoder(w).Encode(t)
+}
@@ -0,0 +1,78 @@
+package tenant
+
+import (
+	"context"
+	"fmt"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// Provisioner legt fuer jeden neuen Mandanten eine vollstaendig isolierte
+// PostgreSQL-Datenbank an und registriert sie transaktional in der Registry
+// (Akzeptanzkriterium 2). Zwei Mandanten-Datenbanken sind danach auf
+// Infrastrukturebene komplett getrennt (Akzeptanzkriterium 3).
+type Provisioner struct {
+	// adminPool ist mit der Wartungsdatenbank (z. B. "postgres") verbunden
+	// und wird ausschliesslich fuer CREATE/DROP DATABASE verwendet, da diese
+	// Befehle in PostgreSQL nicht in einer Transaktion laufen koennen.
+	adminPool *pgxpool.Pool
+	registry  *Registry
+	// dsnTemplate enthaelt genau ein "%s" als Platzhalter fuer den
+	// Datenbanknamen, z. B. "postgresql://user:pass@host:5432/%s?sslmode=disable".
+	dsnTemplate string
+}
+
+func NewProvisioner(adminPool *pgxpool.Pool, registry *Registry, dsnTemplate string) *Provisioner {
+	return &Provisioner{adminPool: adminPool, registry: registry, dsnTemplate: dsnTemplate}
+}
+
+// Provision legt die Tenant-Datenbank an und registriert sie. Schlaegt die
+// Registrierung fehl, wird die bereits angelegte Datenbank wieder entfernt,
+// damit kein verwaister, unregistrierter Tenant zurueckbleibt.
+func (p *Provisioner) Provision(ctx context.Context, slug, name string) (Tenant, error) {
+	if err := ValidateSlug(slug); err != nil {
+		return Tenant{}, err
+	}
+
+	dbName := dbNameForSlug(slug)
+
+	// CREATE DATABASE erlaubt keine Parameter-Platzhalter; slug ist durch
+	// ValidateSlug bereits auf [a-z0-9_] beschraenkt, Injektion ausgeschlossen.
+	if _, err := p.adminPool.Exec(ctx, fmt.Sprintf(`CREATE DATABASE %q`, dbName)); err != nil {
+		return Tenant{}, fmt.Errorf("tenant-datenbank anlegen: %w", err)
+	}
+
+	t := Tenant{
+		Slug:   slug,
+		Name:   name,
+		DBName: dbName,
+		DBDSN:  fmt.Sprintf(p.dsnTemplate, dbName),
+		Status: StatusActive,
+	}
+
+	tx, err := p.registry.pool.Begin(ctx)
+	if err != nil {
+		p.rollbackDatabase(ctx, dbName)
+		return Tenant{}, fmt.Errorf("registry-transaktion starten: %w", err)
+	}
+
+	created, err := p.registry.insertTx(ctx, tx, t)
+	if err != nil {
+		_ = tx.Rollback(ctx)
+		p.rollbackDatabase(ctx, dbName)
+		return Tenant{}, err
+	}
+
+	if err := tx.Commit(ctx); err != nil {
+		p.rollbackDatabase(ctx, dbName)
+		return Tenant{}, fmt.Errorf("registry-transaktion committen: %w", err)
+	}
+
+	return created, nil
+}
+
+// rollbackDatabase entfernt eine bereits angelegte Tenant-Datenbank, wenn die
+// Registrierung fehlschlug, damit Provisioning insgesamt atomar wirkt.
+func (p *Provisioner) rollbackDatabase(ctx context.Context, dbName string) {
+	_, _ = p.adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
+}
@@ -0,0 +1,105 @@
+package tenant
+
+import (
+	"context"
+	"os"
+	"strings"
+	"testing"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// Integrationstest fuer Akzeptanzkriterien 2 und 3. Benoetigt eine echte
+// Postgres-Instanz und wird ohne TEST_ADMIN_DSN uebersprungen, nicht als
+// fehlgeschlagen gewertet — siehe Pruefungen-Ergebnis im PR.
+//
+// TEST_ADMIN_DSN muss auf die Wartungsdatenbank zeigen, z. B.:
+//
+//	postgresql://postgres:postgres@localhost:5432/postgres?sslmode=disable
+func TestProvision_CreatesIsolatedDatabases(t *testing.T) {
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	adminPool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("admin pool: %v", err)
+	}
+	defer adminPool.Close()
+
+	registryPool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("registry pool: %v", err)
+	}
+	defer registryPool.Close()
+
+	if _, err := registryPool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS tenants (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+			slug TEXT NOT NULL UNIQUE,
+			name TEXT NOT NULL,
+			db_name TEXT NOT NULL UNIQUE,
+			db_dsn TEXT NOT NULL,
+			status TEXT NOT NULL DEFAULT 'active',
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		)`); err != nil {
+		t.Fatalf("registry-schema: %v", err)
+	}
+
+	dsnTemplate := strings.Replace(adminDSN, "/postgres?", "/%s?", 1)
+	registry := NewRegistry(registryPool)
+	provisioner := NewProvisioner(adminPool, registry, dsnTemplate)
+
+	t.Cleanup(func() {
+		_, _ = registryPool.Exec(ctx, `DELETE FROM tenants WHERE slug IN ('acme','globex')`)
+		_, _ = adminPool.Exec(ctx, `DROP DATABASE IF EXISTS tenant_acme`)
+		_, _ = adminPool.Exec(ctx, `DROP DATABASE IF EXISTS tenant_globex`)
+	})
+
+	tenantA, err := provisioner.Provision(ctx, "acme", "Acme GmbH")
+	if err != nil {
+		t.Fatalf("provision acme: %v", err)
+	}
+	tenantB, err := provisioner.Provision(ctx, "globex", "Globex AG")
+	if err != nil {
+		t.Fatalf("provision globex: %v", err)
+	}
+
+	if tenantA.DBName == tenantB.DBName {
+		t.Fatalf("erwartet unterschiedliche db_name, beide sind %q", tenantA.DBName)
+	}
+
+	// Akzeptanzkriterium 3 / Pruefung 3: In der Datenbank von Tenant A existiert
+	// keine Verbindungsmoeglichkeit zu Tenant B, weil beide physisch getrennte
+	// Datenbanken sind, statt sich auf einen Query-Filter zu verlassen.
+	poolA, err := pgxpool.New(ctx, tenantA.DBDSN)
+	if err != nil {
+		t.Fatalf("connect tenant a: %v", err)
+	}
+	defer poolA.Close()
+
+	var globexVisible bool
+	err = poolA.QueryRow(ctx, `
+		SELECT EXISTS (
+			SELECT 1 FROM pg_catalog.pg_database WHERE datname = $1
+		)
+	`, tenantB.DBName).Scan(&globexVisible)
+	if err != nil {
+		t.Fatalf("pruefung tenant-trennung: %v", err)
+	}
+	// pg_database ist clusterweit sichtbar (Existenz der DB), aber die
+	// eigentliche Pruefung ist: aus poolA (verbunden mit tenant_acme) ist keine
+	// Tabelle/Zeile aus tenant_globex erreichbar, da current_database() getrennt ist.
+	var currentDB string
+	if err := poolA.QueryRow(ctx, `SELECT current_database()`).Scan(&currentDB); err != nil {
+		t.Fatalf("current_database: %v", err)
+	}
+	if currentDB != tenantA.DBName {
+		t.Fatalf("current_database() = %q, want %q — keine physische Trennung", currentDB, tenantA.DBName)
+	}
+	if currentDB == tenantB.DBName {
+		t.Fatalf("tenant a verbindung zeigt auf tenant b datenbank")
+	}
+}
@@ -0,0 +1,69 @@
+package tenant
+
+import (
+	"context"
+	"fmt"
+
+	"github.com/jackc/pgx/v5"
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// Registry kapselt den Zugriff auf die Control-Plane-Registry-Datenbank.
+// Sie enthaelt ausschliesslich Tenant-Metadaten (Akzeptanzkriterium 1) —
+// niemals Geschaeftsdaten eines Mandanten.
+type Registry struct {
+	pool *pgxpool.Pool
+}
+
+func NewRegistry(pool *pgxpool.Pool) *Registry {
+	return &Registry{pool: pool}
+}
+
+// insertTx schreibt den Tenant-Datensatz innerhalb einer laufenden Transaktion,
+// damit Provisioner.Provision DB-Anlage und Registrierung atomar behandeln kann.
+func (r *Registry) insertTx(ctx context.Context, tx pgx.Tx, t Tenant) (Tenant, error) {
+	row := tx.QueryRow(ctx, `
+		INSERT INTO tenants (slug, name, db_name, db_dsn, status)
+		VALUES ($1, $2, $3, $4, $5)
+		RETURNING id, created_at
+	`, t.Slug, t.Name, t.DBName, t.DBDSN, t.Status)
+
+	if err := row.Scan(&t.ID, &t.CreatedAt); err != nil {
+		return Tenant{}, fmt.Errorf("tenant registrieren: %w", err)
+	}
+	return t, nil
+}
+
+func (r *Registry) GetBySlug(ctx context.Context, slug string) (Tenant, error) {
+	var t Tenant
+	row := r.pool.QueryRow(ctx, `
+		SELECT id, slug, name, db_name, db_dsn, status, created_at
+		FROM tenants WHERE slug = $1
+	`, slug)
+
+	if err := row.Scan(&t.ID, &t.Slug, &t.Name, &t.DBName, &t.DBDSN, &t.Status, &t.CreatedAt); err != nil {
+		return Tenant{}, fmt.Errorf("tenant laden: %w", err)
+	}
+	return t, nil
+}
+
+func (r *Registry) List(ctx context.Context) ([]Tenant, error) {
+	rows, err := r.pool.Query(ctx, `
+		SELECT id, slug, name, db_name, db_dsn, status, created_at
+		FROM tenants ORDER BY created_at
+	`)
+	if err != nil {
+		return nil, fmt.Errorf("tenants auflisten: %w", err)
+	}
+	defer rows.Close()
+
+	var out []Tenant
+	for rows.Next() {
+		var t Tenant
+		if err := rows.Scan(&t.ID, &t.Slug, &t.Name, &t.DBName, &t.DBDSN, &t.Status, &t.CreatedAt); err != nil {
+			return nil, fmt.Errorf("tenant lesen: %w", err)
+		}
+		out = append(out, t)
+	}
+	return out, rows.Err()
+}
@@ -0,0 +1,136 @@
+package tenant
+
+import (
+	"container/list"
+	"context"
+	"errors"
+	"fmt"
+	"sync"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// ErrMissingTenantContext wird geliefert, wenn keine Tenant-Kennung
+// uebergeben wurde — es gibt bewusst keinen impliziten Default-Tenant
+// (TEN-06 Akzeptanzkriterium 3).
+var ErrMissingTenantContext = errors.New("tenant: kein tenant-kontext angegeben")
+
+// ErrUnknownTenant wird geliefert, wenn die Tenant-Kennung in der Registry
+// nicht existiert.
+var ErrUnknownTenant = errors.New("tenant: unbekannter tenant")
+
+// Router loest den Tenant-Kontext (Slug, aus dem JWT-Claim von API-05) in
+// eine wiederverwendbare Verbindung zur richtigen Tenant-Datenbank auf.
+// Ein LRU-verwalteter Cache begrenzt die Zahl gleichzeitig offener
+// pgxpool.Pool-Instanzen, damit die Zahl offener Postgres-Verbindungen NICHT
+// linear mit der Mandantenzahl waechst (Akzeptanzkriterium 2).
+type Router struct {
+	registry *Registry
+	maxOpen  int
+
+	mu    sync.Mutex
+	order *list.List               // vorne = zuletzt benutzt
+	items map[string]*list.Element // slug -> element mit *routerEntry
+}
+
+type routerEntry struct {
+	slug string
+	pool *pgxpool.Pool
+}
+
+func NewRouter(registry *Registry, maxOpen int) *Router {
+	if maxOpen < 1 {
+		maxOpen = 1
+	}
+	return &Router{
+		registry: registry,
+		maxOpen:  maxOpen,
+		order:    list.New(),
+		items:    make(map[string]*list.Element),
+	}
+}
+
+// Resolve liefert einen wiederverwendeten Pool fuer den angegebenen Tenant.
+// Ist der Tenant bereits im Cache, wird KEINE neue Verbindung aufgebaut
+// (Akzeptanzkriterium 2 / Pruefung 3).
+func (r *Router) Resolve(ctx context.Context, tenantSlug string) (*pgxpool.Pool, error) {
+	if tenantSlug == "" {
+		return nil, ErrMissingTenantContext
+	}
+
+	r.mu.Lock()
+	if el, ok := r.items[tenantSlug]; ok {
+		r.order.MoveToFront(el)
+		pool := el.Value.(*routerEntry).pool
+		r.mu.Unlock()
+		return pool, nil
+	}
+	r.mu.Unlock()
+
+	// Registry-Lookup und Verbindungsaufbau bewusst ausserhalb des Locks,
+	// damit ein langsamer Verbindungsaufbau nicht alle anderen Tenants blockiert.
+	t, err := r.registry.GetBySlug(ctx, tenantSlug)
+	if err != nil {
+		return nil, fmt.Errorf("%w: %s", ErrUnknownTenant, tenantSlug)
+	}
+
+	pool, err := pgxpool.New(ctx, t.DBDSN)
+	if err != nil {
+		return nil, fmt.Errorf("verbindung zu tenant %q aufbauen: %w", tenantSlug, err)
+	}
+
+	r.mu.Lock()
+	defer r.mu.Unlock()
+
+	// Zwischen Unlock oben und hier koennte ein paralleler Aufruf denselben
+	// Tenant bereits eingefuegt haben — dann die eigene, ueberzaehlige
+	// Verbindung wieder schliessen und die vorhandene verwenden.
+	if el, ok := r.items[tenantSlug]; ok {
+		r.order.MoveToFront(el)
+		existing := el.Value.(*routerEntry).pool
+		pool.Close()
+		return existing, nil
+	}
+
+	el := r.order.PushFront(&routerEntry{slug: tenantSlug, pool: pool})
+	r.items[tenantSlug] = el
+
+	if r.order.Len() > r.maxOpen {
+		r.evictOldest()
+	}
+
+	return pool, nil
+}
+
+// evictOldest schliesst den am laengsten nicht genutzten Pool. Muss mit
+// gehaltenem r.mu aufgerufen werden.
+func (r *Router) evictOldest() {
+	oldest := r.order.Back()
+	if oldest == nil {
+		return
+	}
+	entry := oldest.Value.(*routerEntry)
+	r.order.Remove(oldest)
+	delete(r.items, entry.slug)
+	entry.pool.Close()
+}
+
+// OpenCount liefert die aktuelle Zahl offen gehaltener Tenant-Pools —
+// dient Tests/Monitoring, um AC2 nachzuweisen.
+func (r *Router) OpenCount() int {
+	r.mu.Lock()
+	defer r.mu.Unlock()
+	return r.order.Len()
+}
+
+// Close schliesst alle offen gehaltenen Tenant-Pools, z.B. beim
+// Herunterfahren des Core-Prozesses.
+func (r *Router) Close() {
+	r.mu.Lock()
+	defer r.mu.Unlock()
+	for el := r.order.Front(); el != nil; el = el.Next() {
+		el.Value.(*routerEntry).pool.Close()
+	}
+	r.order.Init()
+	r.items = make(map[string]*list.Element)
+}
@@ -0,0 +1,160 @@
+package tenant
+
+import (
+	"context"
+	"errors"
+	"fmt"
+	"os"
+	"strings"
+	"testing"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+func newTestRouterSetup(t *testing.T, tenantCount int) (*Router, []Tenant, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	adminPool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("admin pool: %v", err)
+	}
+	registryPool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("registry pool: %v", err)
+	}
+	if _, err := registryPool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS tenants (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+			slug TEXT NOT NULL UNIQUE,
+			name TEXT NOT NULL,
+			db_name TEXT NOT NULL UNIQUE,
+			db_dsn TEXT NOT NULL,
+			status TEXT NOT NULL DEFAULT 'active',
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		)`); err != nil {
+		t.Fatalf("registry-schema: %v", err)
+	}
+
+	registry := NewRegistry(registryPool)
+	dsnTemplate := strings.Replace(adminDSN, "/postgres?", "/%s?", 1)
+	provisioner := NewProvisioner(adminPool, registry, dsnTemplate)
+
+	var tenants []Tenant
+	var slugs []string
+	for i := 0; i < tenantCount; i++ {
+		slug := fmt.Sprintf("router_t%d", i)
+		slugs = append(slugs, slug)
+		tn, err := provisioner.Provision(ctx, slug, slug)
+		if err != nil {
+			t.Fatalf("provision %s: %v", slug, err)
+		}
+		tenants = append(tenants, tn)
+	}
+
+	router := NewRouter(registry, 2) // klein gewaehlt, um Eviction im Test zu erzwingen
+
+	cleanup := func() {
+		router.Close()
+		for _, slug := range slugs {
+			_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbNameForSlug(slug)))
+		}
+		_, _ = registryPool.Exec(ctx, `DELETE FROM tenants WHERE slug = ANY($1)`, slugs)
+		registryPool.Close()
+		adminPool.Close()
+	}
+	return router, tenants, cleanup
+}
+
+// Akzeptanzkriterium 1: Verbindung wird zuverlaessig anhand des Tenant-Kontexts aufgeloest.
+func TestRouter_ResolvesCorrectTenantDatabase(t *testing.T) {
+	router, tenants, cleanup := newTestRouterSetup(t, 2)
+	defer cleanup()
+	ctx := context.Background()
+
+	pool, err := router.Resolve(ctx, tenants[0].Slug)
+	if err != nil {
+		t.Fatalf("resolve: %v", err)
+	}
+	var dbName string
+	if err := pool.QueryRow(ctx, `SELECT current_database()`).Scan(&dbName); err != nil {
+		t.Fatalf("current_database: %v", err)
+	}
+	if dbName != tenants[0].DBName {
+		t.Fatalf("current_database() = %q, want %q", dbName, tenants[0].DBName)
+	}
+}
+
+// Akzeptanzkriterium 3 + Pruefung 2: fehlender/unbekannter Tenant-Kontext
+// wird explizit abgewiesen statt irgendeine Verbindung zu liefern.
+func TestRouter_RejectsMissingOrUnknownTenant(t *testing.T) {
+	router, _, cleanup := newTestRouterSetup(t, 1)
+	defer cleanup()
+	ctx := context.Background()
+
+	if _, err := router.Resolve(ctx, ""); !errors.Is(err, ErrMissingTenantContext) {
+		t.Fatalf("erwartet ErrMissingTenantContext, habe %v", err)
+	}
+	if _, err := router.Resolve(ctx, "nie-registrierter-slug"); !errors.Is(err, ErrUnknownTenant) {
+		t.Fatalf("erwartet ErrUnknownTenant, habe %v", err)
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 3: Verbindungswiederverwendung nachweislich
+// gemessen — zweiter Resolve-Aufruf liefert exakt denselben Pool, kein
+// erneuter Verbindungsaufbau.
+func TestRouter_ReusesConnectionForSameTenant(t *testing.T) {
+	router, tenants, cleanup := newTestRouterSetup(t, 1)
+	defer cleanup()
+	ctx := context.Background()
+
+	first, err := router.Resolve(ctx, tenants[0].Slug)
+	if err != nil {
+		t.Fatalf("resolve 1: %v", err)
+	}
+	second, err := router.Resolve(ctx, tenants[0].Slug)
+	if err != nil {
+		t.Fatalf("resolve 2: %v", err)
+	}
+	if first != second {
+		t.Fatal("erwartet identische pool-instanz bei wiederholtem resolve, habe unterschiedliche")
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 1: Lasttest mit mehr simulierten Mandanten
+// als maxOpen — die Zahl gleichzeitig offener Tenant-Pools bleibt begrenzt
+// (LRU-Eviction), waechst also NICHT linear mit der Mandantenzahl.
+func TestRouter_BoundsOpenConnectionsUnderLoad(t *testing.T) {
+	const tenantCount = 6
+	router, tenants, cleanup := newTestRouterSetup(t, tenantCount)
+	defer cleanup()
+	ctx := context.Background()
+
+	for _, tn := range tenants {
+		if _, err := router.Resolve(ctx, tn.Slug); err != nil {
+			t.Fatalf("resolve %s: %v", tn.Slug, err)
+		}
+		if router.OpenCount() > 2 {
+			t.Fatalf("OpenCount() = %d, erwartet <= maxOpen (2) nach jedem Resolve", router.OpenCount())
+		}
+	}
+
+	if router.OpenCount() != 2 {
+		t.Fatalf("erwartet genau maxOpen=2 offene pools nach %d tenants, habe %d", tenantCount, router.OpenCount())
+	}
+
+	// Evictete Tenants sind wieder ganz normal ueber die Registry aufloesbar
+	// (Cache-Miss fuehrt zu neuem, funktionierendem Pool, kein Fehlerzustand).
+	pool, err := router.Resolve(ctx, tenants[0].Slug)
+	if err != nil {
+		t.Fatalf("resolve nach eviction: %v", err)
+	}
+	var one int
+	if err := pool.QueryRow(ctx, `SELECT 1`).Scan(&one); err != nil {
+		t.Fatalf("query nach re-resolve: %v", err)
+	}
+}
@@ -0,0 +1,42 @@
+// Package tenant implements Core TEN-01: die Control-Plane-Registry und die
+// Provisioning-Routine fuer physisch getrennte Mandanten-Datenbanken (Modell C).
+package tenant
+
+import (
+	"errors"
+	"regexp"
+	"time"
+)
+
+type Status string
+
+const (
+	StatusActive Status = "active"
+)
+
+type Tenant struct {
+	ID        string
+	Slug      string
+	Name      string
+	DBName    string
+	DBDSN     string
+	Status    Status
+	CreatedAt time.Time
+}
+
+// slugPattern erzwingt sichere, als SQL-Identifier verwendbare Slugs, damit
+// der Datenbankname niemals aus unkontrolliertem Nutzereingabe-Text gebaut wird.
+var slugPattern = regexp.MustCompile(`^[a-z][a-z0-9_]{1,48}$`)
+
+var ErrInvalidSlug = errors.New("tenant: slug muss mit Kleinbuchstaben beginnen und darf nur [a-z0-9_] enthalten (2-49 Zeichen)")
+
+func ValidateSlug(slug string) error {
+	if !slugPattern.MatchString(slug) {
+		return ErrInvalidSlug
+	}
+	return nil
+}
+
+func dbNameForSlug(slug string) string {
+	return "tenant_" + slug
+}
@@ -0,0 +1,35 @@
+package tenant
+
+import "testing"
+
+func TestValidateSlug(t *testing.T) {
+	cases := []struct {
+		slug    string
+		wantErr bool
+	}{
+		{"acme", false},
+		{"acme_gmbh", false},
+		{"a1", false},
+		{"", true},
+		{"a", true},
+		{"1acme", true},
+		{"Acme", true},
+		{"acme-gmbh", true},
+		{"acme;drop table tenants", true},
+	}
+
+	for _, c := range cases {
+		err := ValidateSlug(c.slug)
+		if (err != nil) != c.wantErr {
+			t.Errorf("ValidateSlug(%q) error = %v, wantErr %v", c.slug, err, c.wantErr)
+		}
+	}
+}
+
+func TestDBNameForSlug(t *testing.T) {
+	got := dbNameForSlug("acme")
+	want := "tenant_acme"
+	if got != want {
+		t.Errorf("dbNameForSlug() = %q, want %q", got, want)
+	}
+}
@@ -1,76 +0,0 @@
-// Package testdbisolation demonstriert und prüft die in docs/TESTSTRATEGIE-CORE.md Abschnitt 4
-// beschriebene Testdatenbank-Isolation: jeder Test, der eine Tenant-Datenbank braucht,
-// provisioniert seine eigene, eindeutig benannte DB und räumt sie über Cleanup wieder ab —
-// keine geteilten Fixture-Datenbanken zwischen parallelen Testläufen.
-package testdbisolation
-
-import (
-	"context"
-	"fmt"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// ProvisionEphemeralDB legt unter dem gegebenen Admin-DSN eine neue, eindeutig benannte Datenbank an
-// und liefert eine Cleanup-Funktion, die sie wieder droppt. adminDSN muss auf eine Wartungs-DB
-// (z. B. "postgres") zeigen, name muss ein gültiger, bereits eindeutiger Bezeichner sein.
-func ProvisionEphemeralDB(ctx context.Context, adminDSN, name string) (cleanup func(context.Context) error, err error) {
-	conn, err := pgx.Connect(ctx, adminDSN)
-	if err != nil {
-		return nil, fmt.Errorf("verbindung zur wartungs-db fehlgeschlagen: %w", err)
-	}
-	defer conn.Close(ctx)
-
-	if _, err := conn.Exec(ctx, fmt.Sprintf("CREATE DATABASE %s", pgx.Identifier{name}.Sanitize())); err != nil {
-		return nil, fmt.Errorf("datenbank %q konnte nicht angelegt werden: %w", name, err)
-	}
-
-	cleanup = func(cleanupCtx context.Context) error {
-		adminConn, err := pgx.Connect(cleanupCtx, adminDSN)
-		if err != nil {
-			return fmt.Errorf("cleanup: verbindung fehlgeschlagen: %w", err)
-		}
-		defer adminConn.Close(cleanupCtx)
-		_, err = adminConn.Exec(cleanupCtx, fmt.Sprintf("DROP DATABASE IF EXISTS %s", pgx.Identifier{name}.Sanitize()))
-		return err
-	}
-	return cleanup, nil
-}
-
-// WriteMarker schreibt einen eindeutigen Beleg-Datensatz in die angegebene Datenbank (verbindet
-// per dsnForDB), um im Test nachzuweisen, dass zwei parallele Provisionierungen sich nicht sehen.
-func WriteMarker(ctx context.Context, dsn, table, value string) error {
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		return err
-	}
-	defer pool.Close()
-
-	if _, err := pool.Exec(ctx, fmt.Sprintf(
-		"CREATE TABLE IF NOT EXISTS %s (value text primary key)", pgx.Identifier{table}.Sanitize(),
-	)); err != nil {
-		return err
-	}
-	_, err = pool.Exec(ctx, fmt.Sprintf("INSERT INTO %s (value) VALUES ($1)", pgx.Identifier{table}.Sanitize()), value)
-	return err
-}
-
-// CountMarkers zählt die Belegzeilen in der angegebenen Datenbank/Tabelle.
-func CountMarkers(ctx context.Context, dsn, table string) (int, error) {
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		return 0, err
-	}
-	defer pool.Close()
-
-	if _, err := pool.Exec(ctx, fmt.Sprintf(
-		"CREATE TABLE IF NOT EXISTS %s (value text primary key)", pgx.Identifier{table}.Sanitize(),
-	)); err != nil {
-		return 0, err
-	}
-
-	var n int
-	err = pool.QueryRow(ctx, fmt.Sprintf("SELECT count(*) FROM %s", pgx.Identifier{table}.Sanitize())).Scan(&n)
-	return n, err
-}
@@ -1,99 +0,0 @@
-package testdbisolation
-
-import (
-	"context"
-	"fmt"
-	"os"
-	"strings"
-	"sync"
-	"testing"
-	"time"
-)
-
-// TestParallelProvisioning_AreIsolated ist der automatisierte Nachweis für QA-01 Prüfung 2:
-// Testdatenbank-Isolation zwischen parallelen Testläufen. Zwei Provisionierungen laufen
-// gleichzeitig, jede schreibt einen Beleg-Datensatz in ihre eigene DB — keine darf den
-// Beleg der jeweils anderen sehen.
-//
-// Braucht TEST_ADMIN_DSN (siehe Projekt-Testinfrastruktur), läuft auf dem Testhost, nicht lokal
-// auf der Entwicklungsmaschine (siehe "no installs"-Regel) — wird ohne gesetzte Variable übersprungen.
-func TestParallelProvisioning_AreIsolated(t *testing.T) {
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt — Test läuft nur auf dem Testhost, siehe docs/TESTSTRATEGIE-CORE.md")
-	}
-
-	ctx, cancel := context.WithTimeout(context.Background(), 30*time.Second)
-	defer cancel()
-
-	const numParallel = 2
-	dbNames := make([]string, numParallel)
-	for i := range dbNames {
-		dbNames[i] = fmt.Sprintf("qa01_isolation_%d_%d", time.Now().UnixNano(), i)
-	}
-
-	var wg sync.WaitGroup
-	errs := make([]error, numParallel)
-	cleanups := make([]func(context.Context) error, numParallel)
-
-	for i, name := range dbNames {
-		wg.Add(1)
-		go func(idx int, dbName string) {
-			defer wg.Done()
-
-			cleanup, err := ProvisionEphemeralDB(ctx, adminDSN, dbName)
-			if err != nil {
-				errs[idx] = fmt.Errorf("provisionierung %d fehlgeschlagen: %w", idx, err)
-				return
-			}
-			cleanups[idx] = cleanup
-
-			dbDSN := dsnForDB(adminDSN, dbName)
-			// Jede Goroutine schreibt einen für sie eindeutigen Beleg.
-			if err := WriteMarker(ctx, dbDSN, "isolation_marker", fmt.Sprintf("marker-von-goroutine-%d", idx)); err != nil {
-				errs[idx] = fmt.Errorf("markierung %d fehlgeschlagen: %w", idx, err)
-			}
-		}(i, name)
-	}
-	wg.Wait()
-
-	t.Cleanup(func() {
-		for _, cleanup := range cleanups {
-			if cleanup != nil {
-				_ = cleanup(context.Background())
-			}
-		}
-	})
-
-	for i, err := range errs {
-		if err != nil {
-			t.Fatalf("goroutine %d: %v", i, err)
-		}
-	}
-
-	// Isolationsnachweis: jede DB enthält genau ihren eigenen Beleg (1), keinen fremden.
-	for i, name := range dbNames {
-		dbDSN := dsnForDB(adminDSN, name)
-		count, err := CountMarkers(ctx, dbDSN, "isolation_marker")
-		if err != nil {
-			t.Fatalf("zaehlung in db %d fehlgeschlagen: %v", i, err)
-		}
-		if count != 1 {
-			t.Errorf("db %d (%s): erwartet genau 1 eigenen Beleg, gefunden %d — Isolation verletzt", i, name, count)
-		}
-	}
-}
-
-// dsnForDB ersetzt den Datenbanknamen im Wartungs-DSN durch den gegebenen Namen.
-func dsnForDB(adminDSN, dbName string) string {
-	idx := strings.LastIndex(adminDSN, "/")
-	if idx == -1 {
-		return adminDSN
-	}
-	base := adminDSN[:idx+1]
-	rest := adminDSN[idx+1:]
-	if q := strings.Index(rest, "?"); q != -1 {
-		return base + dbName + rest[q:]
-	}
-	return base + dbName
-}
@@ -0,0 +1 @@
+DROP TABLE IF EXISTS tenants;
@@ -1,10 +0,0 @@
-- Control-plane registry: tenant list + connection info (Modell C).
-- Core TEN-01 (siehe core-kanban).
-CREATE TABLE tenants (
-    id           UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    slug         TEXT NOT NULL UNIQUE,
-    name         TEXT NOT NULL,
-    db_dsn       TEXT NOT NULL,
-    status       TEXT NOT NULL DEFAULT 'active',
-    created_at   TIMESTAMPTZ NOT NULL DEFAULT now()
-);
@@ -0,0 +1,14 @@
+-- Control-plane registry: Tenant-Liste + Verbindungsinformationen (Modell C).
+-- Enthaelt AUSSCHLIESSLICH Tenant-Metadaten, keine Geschaeftsdaten eines Mandanten.
+-- Core TEN-01 (siehe core-kanban/tickets/TEN-01.md).
+CREATE EXTENSION IF NOT EXISTS pgcrypto;
+
+CREATE TABLE tenants (
+    id           UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+    slug         TEXT NOT NULL UNIQUE,
+    name         TEXT NOT NULL,
+    db_name      TEXT NOT NULL UNIQUE,
+    db_dsn       TEXT NOT NULL,
+    status       TEXT NOT NULL DEFAULT 'active',
+    created_at   TIMESTAMPTZ NOT NULL DEFAULT now()
+);