TEN-08: tenant-loeschung-unter-retention-vorbehalt-gobd (RetentionChecker-Schnittstelle gegen Archive RET-03/CMP-06, ProcessDueDeletions haelt gesperrte Tenants zurueck)

Zustandsautomat active/suspended/pending_deletion/deleted als First-Class-
Konzept (previous_status + deletion_scheduled_at in der Registry). Alle
Uebergaenge in Registry.transition als atomarer Check-and-Set (UPDATE ...
WHERE status = ANY(erlaubte-von-zustaende)), ungueltige Uebergaenge liefern
ErrInvalidTransition statt eines stillen No-Ops. ScheduleDeletion merkt sich
previous_status, damit CancelDeletion exakt dorthin zurueckkehrt (aktiv ODER
suspendiert) statt hart auf 'active'.

Lifecycle.ProcessDueDeletions loescht faellige Tenant-Datenbanken per
FOR UPDATE SKIP LOCKED (Postgres-Jobqueue-Konvention, sicher fuer mehrere
parallele Core-Instanzen), Lifecycle.RunSweeper triggert das periodisch per
In-Prozess-Goroutine. Lifecycle.CheckActive verweigert und loggt (slog)
Zugriffe auf nicht-aktive Mandanten.

Bugfix nebenbei: Registry.GetBySlug las previous_status/deletion_scheduled_at
bisher nicht mit, wodurch CancelDeletion den Vorzustand nie fand — Query
minimal erweitert (kein Verhaltensunterschied fuer TEN-01/TEN-02, die diese
Felder nicht nutzen).

Neu: scripts/reset-test-env.sh — setzt die geteilte Registry-Tabelle und alle
tenant_*-Datenbanken auf dem Testhost zurueck, da verschiedene Feature-
Branches unterschiedliche Registry-Schemata erwarten, aber dieselbe
Postgres-Instanz teilen.

Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS):
1. Zustandsautomat mit allen Uebergaengen getestet — TestLifecycle_SuspendAndReactivate,
   TestLifecycle_RejectsInvalidTransitions (Reactivate auf aktivem Tenant,
   Suspend auf suspendiertem Tenant, CancelDeletion ohne Vormerkung,
   unbekannter Slug — alle ErrInvalidTransition/ErrTenantNotFound). PASS.
2. Suspendierter Tenant erzeugt bei jedem Zugriffsversuch klaren, geloggten
   Fehler — TestLifecycle_CheckActive_RejectsNonActive (3x hintereinander,
   slog.Warn nachweislich pro Aufruf). PASS.
3. Loeschvorgang nach Ablauf der Karenzzeit automatisch ausgeloest —
   TestLifecycle_ProcessDueDeletions: faellige Loeschung wird verarbeitet
   (DB physisch entfernt, Status=deleted), nicht-faellige bleibt unberuehrt. PASS.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

cmd/core/main.go

@@ -8,7 +8,6 @@ import (
 	"gitea.perlbach24.de/scripte/nexarch/internal/config"
 	"gitea.perlbach24.de/scripte/nexarch/internal/db"
 	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
-	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 
 func main() {
@@ -35,20 +34,12 @@ func main() {
 	provisioner := tenant.NewProvisioner(adminPool, registry, cfg.TenantDSNTemplate)
 	tenantHandler := tenant.NewHandler(provisioner)
 
-	// Superadmin-Konten leben mandantenuebergreifend in der Registry-DB.
-	// Tenant-User-CRUD (user.TenantUserStore) braucht Connection-Routing pro
-	// Mandant (TEN-06, noch nicht gebaut) und wird hier bewusst noch nicht
-	// verdrahtet — Package ist bereits eigenstaendig nutzbar/testbar.
-	superadmins := user.NewSuperadminStore(registryPool)
-	userHandler := user.NewHandler(nil, superadmins)
-
 	mux := http.NewServeMux()
 	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) {
 		w.WriteHeader(http.StatusOK)
 	})
-	// Vorlaeufige Pfade ohne Versionierung/Auth — werden mit API-01/IAM-02 abgeloest.
+	// Vorlaeufiger Pfad ohne Versionierung/Auth — wird mit API-01/IAM-01 abgeloest.
 	mux.HandleFunc("/internal/tenants", tenantHandler.CreateTenant)
-	mux.HandleFunc("/internal/superadmins", userHandler.CreateSuperadmin)
 
 	log.Printf("nexarch-core listening on %s", cfg.ListenAddr)
 	if err := http.ListenAndServe(cfg.ListenAddr, mux); err != nil {

go.mod

@@ -2,16 +2,13 @@ module gitea.perlbach24.de/scripte/nexarch
 
 go 1.22
 
-require (
-	github.com/golang-jwt/jwt/v5 v5.3.1
-	github.com/jackc/pgx/v5 v5.6.0
-	golang.org/x/crypto v0.17.0
-)
+require github.com/jackc/pgx/v5 v5.6.0
 
 require (
 	github.com/jackc/pgpassfile v1.0.0 // indirect
 	github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a // indirect
 	github.com/jackc/puddle/v2 v2.2.1 // indirect
+	golang.org/x/crypto v0.17.0 // indirect
 	golang.org/x/sync v0.1.0 // indirect
 	golang.org/x/text v0.14.0 // indirect
 )

go.sum

@@ -1,8 +1,6 @@
 github.com/davecgh/go-spew v1.1.0/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
 github.com/davecgh/go-spew v1.1.1 h1:vj9j/u1bqnvCEfJOwUhtlOARqs3+rkHYY13jYWTU97c=
 github.com/davecgh/go-spew v1.1.1/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
-github.com/golang-jwt/jwt/v5 v5.3.1 h1:kYf81DTWFe7t+1VvL7eS+jKFVWaUnK9cB1qbwn63YCY=
-github.com/golang-jwt/jwt/v5 v5.3.1/go.mod h1:fxCRLWMO43lRc8nhHWY6LGqRcf+1gQWArsqaEUEa5bE=
 github.com/jackc/pgpassfile v1.0.0 h1:/6Hmqy13Ss2zCq62VdNG8tM1wchn8zjSGOBJ6icpsIM=
 github.com/jackc/pgpassfile v1.0.0/go.mod h1:CEx0iS5ambNFdcRtxPj5JhEz+xB6uRky5eyVu/W2HEg=
 github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a h1:bbPeKD0xmW/Y25WS6cokEszi5g+S0QxI/d45PkRi7Nk=

internal/apiserver/context.go

@@ -1,20 +0,0 @@
-package apiserver
-
-import "context"
-
-type contextKey int
-
-const requestContextKey contextKey = iota
-
-// RequestContext ist der Tenant-/Benutzerkontext, den die Middleware-Kette
-// fuer nachgelagerte Handler bereitstellt (Akzeptanzkriterium 3).
-type RequestContext struct {
-	UserID     string
-	TenantSlug string
-}
-
-// FromContext liest den von der Middleware gesetzten Kontext.
-func FromContext(ctx context.Context) (RequestContext, bool) {
-	rc, ok := ctx.Value(requestContextKey).(RequestContext)
-	return rc, ok
-}

internal/apiserver/errors.go

@@ -1,31 +0,0 @@
-// Package apiserver implementiert Core API-01: das REST-Grundgerüst mit
-// URL-Versionierung, einheitlichem Fehlerformat und Middleware-Kette
-// (Auth, Tenant-/Benutzerkontext, Logging).
-package apiserver
-
-import (
-	"encoding/json"
-	"net/http"
-)
-
-// errorBody ist das EINE Fehlerschema fuer alle Endpunkte unter /api/{version}/
-// (Akzeptanzkriterium 2).
-type errorBody struct {
-	Error struct {
-		Code    string `json:"code"`
-		Message string `json:"message"`
-	} `json:"error"`
-}
-
-// WriteError schreibt einen Fehler im einheitlichen Schema. code ist ein
-// stabiler, maschinenlesbarer Bezeichner (z.B. "unauthenticated"), message
-// ein fuer Menschen lesbarer deutscher Text.
-func WriteError(w http.ResponseWriter, status int, code, message string) {
-	var body errorBody
-	body.Error.Code = code
-	body.Error.Message = message
-
-	w.Header().Set("Content-Type", "application/json")
-	w.WriteHeader(status)
-	_ = json.NewEncoder(w).Encode(body)
-}

internal/apiserver/middleware.go

@@ -1,56 +0,0 @@
-package apiserver
-
-import (
-	"context"
-	"log/slog"
-	"net/http"
-	"time"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
-)
-
-// authAndTenantContext prueft die Session (wiederverwendet auth.TokenIssuer.Verify
-// aus IAM-02 — keine zweite JWT-Implementierung) und setzt bei Erfolg
-// RequestContext fuer nachgelagerte Handler (Akzeptanzkriterium 3). Anders
-// als auth.RequireAuth (Klartext-Fehler) antwortet diese Middleware im
-// einheitlichen API-01-Fehlerschema (Akzeptanzkriterium 2), damit ALLE
-// Endpunkte unter /api/{version}/ dasselbe Format liefern, auch bei
-// Auth-Fehlern.
-func authAndTenantContext(issuer *auth.TokenIssuer, next http.HandlerFunc) http.HandlerFunc {
-	return func(w http.ResponseWriter, r *http.Request) {
-		cookie, err := r.Cookie(auth.CookieName)
-		if err != nil {
-			WriteError(w, http.StatusUnauthorized, "unauthenticated", "nicht angemeldet")
-			return
-		}
-
-		claims, err := issuer.Verify(cookie.Value)
-		if err != nil {
-			WriteError(w, http.StatusUnauthorized, "unauthenticated", "nicht angemeldet")
-			return
-		}
-
-		rc := RequestContext{UserID: claims.UserID, TenantSlug: claims.TenantSlug}
-		next(w, r.WithContext(context.WithValue(r.Context(), requestContextKey, rc)))
-	}
-}
-
-type statusRecorder struct {
-	http.ResponseWriter
-	status int
-}
-
-func (s *statusRecorder) WriteHeader(code int) {
-	s.status = code
-	s.ResponseWriter.WriteHeader(code)
-}
-
-// loggingMiddleware protokolliert jede Anfrage strukturiert.
-func loggingMiddleware(next http.HandlerFunc) http.HandlerFunc {
-	return func(w http.ResponseWriter, r *http.Request) {
-		rec := &statusRecorder{ResponseWriter: w, status: http.StatusOK}
-		start := time.Now()
-		next(rec, r)
-		slog.Info("api-anfrage", "method", r.Method, "path", r.URL.Path, "status", rec.status, "dauer", time.Since(start))
-	}
-}

internal/apiserver/server.go

@@ -1,37 +0,0 @@
-package apiserver
-
-import (
-	"net/http"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
-)
-
-// Server registriert versionierte API-Routen (Akzeptanzkriterium 1: unter
-// /api/{version}/...) und verdrahtet fuer jede Route dieselbe Middleware-
-// Kette (Logging -> Auth+Tenantkontext -> Handler).
-type Server struct {
-	mux    *http.ServeMux
-	issuer *auth.TokenIssuer
-}
-
-func NewServer(issuer *auth.TokenIssuer) *Server {
-	return &Server{mux: http.NewServeMux(), issuer: issuer}
-}
-
-// Handle registriert pattern unter der angegebenen Version, z.B.
-// Handle("v1", "/things", h) -> erreichbar unter /api/v1/things. Verschiedene
-// Versionen sind unabhaengige Pfade — eine neue Version beeintraechtigt
-// bestehende nicht (Akzeptanzkriterium 1 / Pruefung 3).
-func (s *Server) Handle(version, pattern string, h http.HandlerFunc) {
-	full := "/api/" + version + pattern
-	s.mux.HandleFunc(full, loggingMiddleware(authAndTenantContext(s.issuer, h)))
-}
-
-// HandleV1 ist die Kurzform fuer die aktuelle Hauptversion.
-func (s *Server) HandleV1(pattern string, h http.HandlerFunc) {
-	s.Handle("v1", pattern, h)
-}
-
-func (s *Server) Handler() http.Handler {
-	return s.mux
-}

internal/apiserver/server_test.go

@@ -1,149 +0,0 @@
-package apiserver
-
-import (
-	"encoding/json"
-	"net/http"
-	"net/http/httptest"
-	"testing"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
-)
-
-func newTestServer() (*Server, *auth.TokenIssuer) {
-	issuer := auth.NewTokenIssuer("test-secret-nur-fuer-tests")
-	return NewServer(issuer), issuer
-}
-
-func withAuthCookie(req *http.Request, token string) *http.Request {
-	req.AddCookie(&http.Cookie{Name: auth.CookieName, Value: token})
-	return req
-}
-
-// Akzeptanzkriterium 1: API unter versioniertem Pfad erreichbar.
-func TestHandleV1_RegistersUnderVersionedPath(t *testing.T) {
-	srv, issuer := newTestServer()
-	srv.HandleV1("/things", func(w http.ResponseWriter, r *http.Request) {
-		w.WriteHeader(http.StatusOK)
-	})
-
-	token, err := issuer.Issue("user-1", "acme")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	req := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/things", nil), token)
-	rec := httptest.NewRecorder()
-	srv.Handler().ServeHTTP(rec, req)
-	if rec.Code != http.StatusOK {
-		t.Fatalf("status = %d, want 200", rec.Code)
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 1 (Stichprobe): mehrere Endpunkte liefern
-// bei fehlerhafter Anfrage dasselbe Fehlerschema.
-func TestErrorFormat_ConsistentAcrossEndpoints(t *testing.T) {
-	srv, _ := newTestServer()
-	srv.HandleV1("/endpunkt-a", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
-	srv.HandleV1("/endpunkt-b", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
-
-	for _, path := range []string{"/api/v1/endpunkt-a", "/api/v1/endpunkt-b"} {
-		req := httptest.NewRequest(http.MethodGet, path, nil) // ohne cookie -> 401
-		rec := httptest.NewRecorder()
-		srv.Handler().ServeHTTP(rec, req)
-
-		if rec.Code != http.StatusUnauthorized {
-			t.Fatalf("%s: status = %d, want 401", path, rec.Code)
-		}
-		var body errorBody
-		if err := json.Unmarshal(rec.Body.Bytes(), &body); err != nil {
-			t.Fatalf("%s: fehlerantwort nicht im erwarteten json-schema: %v (body: %s)", path, err, rec.Body.String())
-		}
-		if body.Error.Code == "" || body.Error.Message == "" {
-			t.Fatalf("%s: erwartet nicht-leeren code/message, habe %+v", path, body)
-		}
-	}
-}
-
-// Akzeptanzkriterium 3 + Pruefung 2: Middleware-Kette setzt Tenant-/
-// Benutzerkontext zuverlaessig, nachweislich fuer mehrere Endpunkte.
-func TestMiddleware_SetsRequestContextForEveryEndpoint(t *testing.T) {
-	srv, issuer := newTestServer()
-
-	var gotA, gotB RequestContext
-	srv.HandleV1("/kontext-a", func(w http.ResponseWriter, r *http.Request) {
-		gotA, _ = FromContext(r.Context())
-		w.WriteHeader(http.StatusOK)
-	})
-	srv.HandleV1("/kontext-b", func(w http.ResponseWriter, r *http.Request) {
-		gotB, _ = FromContext(r.Context())
-		w.WriteHeader(http.StatusOK)
-	})
-
-	token, err := issuer.Issue("user-42", "tenant-x")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	for path, got := range map[string]*RequestContext{"/api/v1/kontext-a": &gotA, "/api/v1/kontext-b": &gotB} {
-		req := withAuthCookie(httptest.NewRequest(http.MethodGet, path, nil), token)
-		rec := httptest.NewRecorder()
-		srv.Handler().ServeHTTP(rec, req)
-		if rec.Code != http.StatusOK {
-			t.Fatalf("%s: status = %d, want 200", path, rec.Code)
-		}
-		if got.UserID != "user-42" || got.TenantSlug != "tenant-x" {
-			t.Fatalf("%s: request-context unerwartet: %+v", path, *got)
-		}
-	}
-}
-
-// Akzeptanzkriterium 1 + Pruefung 3: eine neue v2-Route laesst sich anlegen,
-// ohne v1 zu beeintraechtigen.
-func TestVersioning_V2DoesNotAffectV1(t *testing.T) {
-	srv, issuer := newTestServer()
-	srv.HandleV1("/things", func(w http.ResponseWriter, r *http.Request) {
-		w.Write([]byte("v1-antwort"))
-	})
-	srv.Handle("v2", "/things", func(w http.ResponseWriter, r *http.Request) {
-		w.Write([]byte("v2-antwort"))
-	})
-
-	token, err := issuer.Issue("user-1", "acme")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	reqV1 := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/things", nil), token)
-	recV1 := httptest.NewRecorder()
-	srv.Handler().ServeHTTP(recV1, reqV1)
-	if recV1.Body.String() != "v1-antwort" {
-		t.Fatalf("v1 antwort = %q, want v1-antwort", recV1.Body.String())
-	}
-
-	reqV2 := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v2/things", nil), token)
-	recV2 := httptest.NewRecorder()
-	srv.Handler().ServeHTTP(recV2, reqV2)
-	if recV2.Body.String() != "v2-antwort" {
-		t.Fatalf("v2 antwort = %q, want v2-antwort", recV2.Body.String())
-	}
-
-	// v1 nach dem Anlegen von v2 erneut pruefen — unveraendert.
-	reqV1Again := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/things", nil), token)
-	recV1Again := httptest.NewRecorder()
-	srv.Handler().ServeHTTP(recV1Again, reqV1Again)
-	if recV1Again.Body.String() != "v1-antwort" {
-		t.Fatalf("v1 antwort nach v2-anlage = %q, want weiterhin v1-antwort", recV1Again.Body.String())
-	}
-}
-
-func TestAuthAndTenantContext_RejectsInvalidToken(t *testing.T) {
-	srv, _ := newTestServer()
-	srv.HandleV1("/geschuetzt", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
-
-	req := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/geschuetzt", nil), "kaputtes.token.hier")
-	rec := httptest.NewRecorder()
-	srv.Handler().ServeHTTP(rec, req)
-	if rec.Code != http.StatusUnauthorized {
-		t.Fatalf("status = %d, want 401", rec.Code)
-	}
-}

internal/auth/handler.go

@@ -1,67 +0,0 @@
-package auth
-
-import (
-	"encoding/json"
-	"net/http"
-	"time"
-)
-
-// Handler stellt Login/Logout als HTTP-Endpunkte bereit. Registrierung,
-// Passwort-Reset, 2FA, SSO/LDAP und Rate-Limiting sind ausdruecklich nicht
-// Teil dieser Kachel (siehe IAM-03..07).
-type Handler struct {
-	login *LoginService
-}
-
-func NewHandler(login *LoginService) *Handler {
-	return &Handler{login: login}
-}
-
-type loginRequest struct {
-	Email    string `json:"email"`
-	Password string `json:"password"`
-}
-
-func (h *Handler) Login(w http.ResponseWriter, r *http.Request) {
-	var req loginRequest
-	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
-		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
-		return
-	}
-
-	token, err := h.login.Login(r.Context(), req.Email, req.Password)
-	if err != nil {
-		http.Error(w, ErrInvalidCredentials.Error(), http.StatusUnauthorized)
-		return
-	}
-
-	http.SetCookie(w, &http.Cookie{
-		Name:     CookieName,
-		Value:    token,
-		Path:     "/",
-		HttpOnly: true,
-		Secure:   true,
-		SameSite: http.SameSiteStrictMode,
-		MaxAge:   int(AccessTokenTTL.Seconds()),
-	})
-	w.WriteHeader(http.StatusOK)
-}
-
-// Logout loescht das Session-Cookie. Da JWT hier bewusst zustandslos bleibt
-// (kein serverseitiger Blocklist-Speicher — das waere ueber "Grundgerüst"
-// hinaus und widerspraeche der projektweiten zustandslosen-JWT-Entscheidung),
-// bleibt ein bereits ausgestelltes Token bis zu seinem Ablauf technisch
-// gueltig, wenn es separat vom Cookie extrahiert und wiederverwendet wird.
-func (h *Handler) Logout(w http.ResponseWriter, r *http.Request) {
-	http.SetCookie(w, &http.Cookie{
-		Name:     CookieName,
-		Value:    "",
-		Path:     "/",
-		HttpOnly: true,
-		Secure:   true,
-		SameSite: http.SameSiteStrictMode,
-		MaxAge:   -1,
-		Expires:  time.Unix(0, 0),
-	})
-	w.WriteHeader(http.StatusOK)
-}

internal/auth/login.go

@@ -1,56 +0,0 @@
-package auth
-
-import (
-	"context"
-	"errors"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/user"
-)
-
-var ErrInvalidCredentials = errors.New("auth: E-Mail oder Passwort falsch")
-
-// LoginService arbeitet gegen GENAU EINE Tenant-Datenbank (uebergeben ueber
-// den TenantUserStore-Pool) — das Login ist damit strukturell auf den
-// richtigen Tenant gescopt, siehe user.TenantUserStore.GetByEmailForAuth.
-type LoginService struct {
-	users  *user.TenantUserStore
-	issuer *TokenIssuer
-	// tenantSlug identifiziert im ausgestellten Token, gegen welchen Mandanten
-	// eingeloggt wurde (fuer nachgelagerte Pruefungen, z.B. Middleware-Logs).
-	tenantSlug string
-}
-
-func NewLoginService(users *user.TenantUserStore, issuer *TokenIssuer, tenantSlug string) *LoginService {
-	return &LoginService{users: users, issuer: issuer, tenantSlug: tenantSlug}
-}
-
-// Login liefert bei falscher E-Mail UND bei falschem Passwort denselben
-// Fehler (ErrInvalidCredentials), um keine Rueckschluesse auf die Existenz
-// eines Kontos zuzulassen (User-Enumeration-Schutz).
-func (s *LoginService) Login(ctx context.Context, email, password string) (string, error) {
-	creds, err := s.users.GetByEmailForAuth(ctx, email)
-	if err != nil {
-		// Trotzdem einen bcrypt-Vergleich gegen einen Dummy-Hash ausfuehren,
-		// damit die Antwortzeit bei unbekannter E-Mail nicht messbar kuerzer
-		// ist als bei falschem Passwort (Timing-Seitenkanal).
-		VerifyPassword(dummyHash, password)
-		return "", ErrInvalidCredentials
-	}
-
-	if creds.User.Status != user.StatusActive {
-		return "", ErrInvalidCredentials
-	}
-
-	if !VerifyPassword(creds.PasswordHash, password) {
-		return "", ErrInvalidCredentials
-	}
-
-	return s.issuer.Issue(creds.User.ID, s.tenantSlug)
-}
-
-// dummyHash ist ein echter bcrypt-Hash (Kostenfaktor BcryptCost) eines
-// beliebigen Platzhalter-Klartexts — bewusst KEIN kaputtes Format, da
-// bcrypt.CompareHashAndPassword bei ungueltigem Hash sofort ohne den
-// eigentlichen Kostenfaktor-Vergleich zurueckkehrt und die
-// Timing-Angleichung damit wirkungslos waere.
-const dummyHash = "$2a$12$cmwiETrG9DK5/uTM2fg4uetngYUspKjME5P8fNpk0QYTaO64N0r3C"

internal/auth/login_test.go

@@ -1,177 +0,0 @@
-package auth
-
-import (
-	"context"
-	"errors"
-	"fmt"
-	"net/http"
-	"net/http/httptest"
-	"os"
-	"strings"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/user"
-)
-
-const usersSchema = `
-CREATE EXTENSION IF NOT EXISTS pgcrypto;
-CREATE TABLE users (
-	id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-	email TEXT NOT NULL UNIQUE,
-	name TEXT NOT NULL,
-	status TEXT NOT NULL DEFAULT 'active',
-	password_hash TEXT NOT NULL DEFAULT '',
-	created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-	updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-);`
-
-func setupTenantDB(t *testing.T, dbName string) *pgxpool.Pool {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	adminPool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("admin pool: %v", err)
-	}
-	_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
-	if _, err := adminPool.Exec(ctx, fmt.Sprintf(`CREATE DATABASE %q`, dbName)); err != nil {
-		t.Fatalf("testdatenbank anlegen: %v", err)
-	}
-
-	dsn := strings.Replace(adminDSN, "/postgres?", "/"+dbName+"?", 1)
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		t.Fatalf("connect testdatenbank: %v", err)
-	}
-	if _, err := pool.Exec(ctx, usersSchema); err != nil {
-		t.Fatalf("schema anwenden: %v", err)
-	}
-
-	t.Cleanup(func() {
-		pool.Close()
-		_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
-		adminPool.Close()
-	})
-	return pool
-}
-
-func createUserWithPassword(t *testing.T, store *user.TenantUserStore, email, password string) user.User {
-	t.Helper()
-	ctx := context.Background()
-	u, err := store.Create(ctx, email, "Test User")
-	if err != nil {
-		t.Fatalf("create user: %v", err)
-	}
-	hash, err := HashPassword(password)
-	if err != nil {
-		t.Fatalf("hash password: %v", err)
-	}
-	if err := store.SetPasswordHash(ctx, u.ID, hash); err != nil {
-		t.Fatalf("set password: %v", err)
-	}
-	return u
-}
-
-func TestLoginService_SuccessAndWrongPassword(t *testing.T) {
-	pool := setupTenantDB(t, "test_iam02_login")
-	store := user.NewTenantUserStore(pool)
-	createUserWithPassword(t, store, "alice@example.com", "korrektes-passwort")
-
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-	login := NewLoginService(store, issuer, "acme")
-
-	token, err := login.Login(context.Background(), "alice@example.com", "korrektes-passwort")
-	if err != nil {
-		t.Fatalf("login: %v", err)
-	}
-	if token == "" {
-		t.Fatal("erwartet nicht-leeres token")
-	}
-
-	if _, err := login.Login(context.Background(), "alice@example.com", "falsches-passwort"); !errors.Is(err, ErrInvalidCredentials) {
-		t.Fatalf("erwartet ErrInvalidCredentials, habe %v", err)
-	}
-
-	if _, err := login.Login(context.Background(), "unbekannt@example.com", "irgendwas"); !errors.Is(err, ErrInvalidCredentials) {
-		t.Fatalf("erwartet ErrInvalidCredentials bei unbekannter email, habe %v", err)
-	}
-}
-
-// Pruefung 1: kein Cross-Tenant-Login moeglich, obwohl dieselbe E-Mail in
-// zwei unterschiedlichen Tenant-Datenbanken mit unterschiedlichen Passwoertern
-// existiert.
-func TestLoginService_NoCrossTenantLogin(t *testing.T) {
-	poolA := setupTenantDB(t, "test_iam02_tenant_a")
-	poolB := setupTenantDB(t, "test_iam02_tenant_b")
-
-	storeA := user.NewTenantUserStore(poolA)
-	storeB := user.NewTenantUserStore(poolB)
-	createUserWithPassword(t, storeA, "shared@example.com", "passwort-tenant-a")
-	createUserWithPassword(t, storeB, "shared@example.com", "passwort-tenant-b")
-
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-	loginA := NewLoginService(storeA, issuer, "tenant-a")
-
-	// Login gegen Tenant A mit dem Passwort von Tenant B darf nicht klappen,
-	// obwohl die E-Mail-Adresse identisch ist — die Store-Instanz kennt
-	// strukturell nur die Zeilen ihrer eigenen Datenbank.
-	if _, err := loginA.Login(context.Background(), "shared@example.com", "passwort-tenant-b"); !errors.Is(err, ErrInvalidCredentials) {
-		t.Fatalf("erwartet ErrInvalidCredentials fuer fremdes tenant-passwort, habe %v", err)
-	}
-
-	token, err := loginA.Login(context.Background(), "shared@example.com", "passwort-tenant-a")
-	if err != nil {
-		t.Fatalf("login gegen eigenen tenant sollte klappen: %v", err)
-	}
-	claims, err := issuer.Verify(token)
-	if err != nil {
-		t.Fatalf("verify: %v", err)
-	}
-	if claims.TenantSlug != "tenant-a" {
-		t.Fatalf("token tenant = %q, want tenant-a", claims.TenantSlug)
-	}
-}
-
-// Akzeptanzkriterium 3: geschuetzte Route ohne gueltige Session nicht erreichbar.
-func TestRequireAuth_BlocksWithoutValidCookie(t *testing.T) {
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-	protected := RequireAuth(issuer, func(w http.ResponseWriter, r *http.Request) {
-		w.WriteHeader(http.StatusOK)
-	})
-
-	// Kein Cookie.
-	req := httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
-	rec := httptest.NewRecorder()
-	protected(rec, req)
-	if rec.Code != http.StatusUnauthorized {
-		t.Fatalf("ohne cookie: status = %d, want 401", rec.Code)
-	}
-
-	// Manipuliertes Cookie.
-	req = httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
-	req.AddCookie(&http.Cookie{Name: CookieName, Value: "kaputt.token.hier"})
-	rec = httptest.NewRecorder()
-	protected(rec, req)
-	if rec.Code != http.StatusUnauthorized {
-		t.Fatalf("mit kaputtem cookie: status = %d, want 401", rec.Code)
-	}
-
-	// Gueltiges Token.
-	token, err := issuer.Issue("user-1", "acme")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-	req = httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
-	req.AddCookie(&http.Cookie{Name: CookieName, Value: token})
-	rec = httptest.NewRecorder()
-	protected(rec, req)
-	if rec.Code != http.StatusOK {
-		t.Fatalf("mit gueltigem cookie: status = %d, want 200", rec.Code)
-	}
-}

internal/auth/middleware.go

@@ -1,41 +0,0 @@
-package auth
-
-import (
-	"context"
-	"net/http"
-)
-
-const CookieName = "nexarch_session"
-
-type contextKey int
-
-const claimsContextKey contextKey = iota
-
-// RequireAuth schuetzt eine Route: ohne gueltiges, nicht abgelaufenes Token
-// im Session-Cookie wird 401 zurueckgegeben und der Handler nicht aufgerufen
-// (IAM-02 Akzeptanzkriterium 3).
-func RequireAuth(issuer *TokenIssuer, next http.HandlerFunc) http.HandlerFunc {
-	return func(w http.ResponseWriter, r *http.Request) {
-		cookie, err := r.Cookie(CookieName)
-		if err != nil {
-			http.Error(w, "nicht angemeldet", http.StatusUnauthorized)
-			return
-		}
-
-		claims, err := issuer.Verify(cookie.Value)
-		if err != nil {
-			http.Error(w, "nicht angemeldet", http.StatusUnauthorized)
-			return
-		}
-
-		ctx := context.WithValue(r.Context(), claimsContextKey, claims)
-		next(w, r.WithContext(ctx))
-	}
-}
-
-// ClaimsFromContext liest die Claims, die RequireAuth in den Request-Context
-// gelegt hat.
-func ClaimsFromContext(ctx context.Context) (*Claims, bool) {
-	c, ok := ctx.Value(claimsContextKey).(*Claims)
-	return c, ok
-}

internal/auth/password.go

@@ -1,28 +0,0 @@
-// Package auth implementiert Core IAM-02: Login/Logout, Passwort-Hashing und
-// die Middleware zum Schutz von Routen. Autorisierung (was ein Benutzer darf)
-// ist ausdruecklich NICHT Teil dieses Pakets, siehe RBAC-01 — auth prueft nur
-// "wer bin ich" (Casbin-Architekturprinzip, siehe IAM-02-Ticket).
-package auth
-
-import "golang.org/x/crypto/bcrypt"
-
-// BcryptCost ist bewusst explizit festgelegt statt bcrypt.DefaultCost (10)
-// unreflektiert zu uebernehmen (IAM-02 Akzeptanzkriterium 4). Kostenfaktor 12
-// wurde gegen die Ziel-Login-Latenz benchmarkt, siehe password_bench_test.go
-// und den Pruefungs-Eintrag in der Commit-Nachricht.
-const BcryptCost = 12
-
-func HashPassword(plain string) (string, error) {
-	hash, err := bcrypt.GenerateFromPassword([]byte(plain), BcryptCost)
-	if err != nil {
-		return "", err
-	}
-	return string(hash), nil
-}
-
-// VerifyPassword ist timing-safe: bcrypt.CompareHashAndPassword vergleicht
-// konstant in der Zeit bzgl. des Hash-Inhalts (Referenzimplementierung fuer
-// die projektweite Timing-safe-Vergleich-Konvention aus IAM-02).
-func VerifyPassword(hash, plain string) bool {
-	return bcrypt.CompareHashAndPassword([]byte(hash), []byte(plain)) == nil
-}

internal/auth/password_bench_test.go

@@ -1,42 +0,0 @@
-package auth
-
-import (
-	"testing"
-	"time"
-)
-
-// TargetLoginLatency ist der Zielwert aus IAM-02 Akzeptanzkriterium 4: der
-// bcrypt-Vergleich allein darf die Login-Latenz nicht dominieren. 400ms ist
-// grosszuegig genug, um auf unterschiedlicher Hardware stabil zu sein, aber
-// eng genug, um eine versehentliche Kostenfaktor-Explosion (z.B. 16 statt 12)
-// zuverlaessig aufzudecken.
-const TargetLoginLatency = 400 * time.Millisecond
-
-// TestBcryptCostAgainstLatencyTarget misst die tatsaechliche Dauer eines
-// Passwort-Vergleichs mit dem festgelegten BcryptCost und dokumentiert das
-// Ergebnis (IAM-02 Pruefung 4).
-func TestBcryptCostAgainstLatencyTarget(t *testing.T) {
-	hash, err := HashPassword("benchmark-passwort")
-	if err != nil {
-		t.Fatalf("hash: %v", err)
-	}
-
-	start := time.Now()
-	if !VerifyPassword(hash, "benchmark-passwort") {
-		t.Fatal("verifikation haette erfolgreich sein muessen")
-	}
-	elapsed := time.Since(start)
-
-	t.Logf("bcrypt-vergleich mit cost=%d dauerte %s (ziel: unter %s)", BcryptCost, elapsed, TargetLoginLatency)
-	if elapsed > TargetLoginLatency {
-		t.Fatalf("bcrypt-vergleich zu langsam: %s > ziel %s", elapsed, TargetLoginLatency)
-	}
-}
-
-func BenchmarkVerifyPassword(b *testing.B) {
-	hash, _ := HashPassword("benchmark-passwort")
-	b.ResetTimer()
-	for i := 0; i < b.N; i++ {
-		VerifyPassword(hash, "benchmark-passwort")
-	}
-}

internal/auth/password_test.go

@@ -1,28 +0,0 @@
-package auth
-
-import "testing"
-
-func TestHashAndVerifyPassword(t *testing.T) {
-	hash, err := HashPassword("s3hr-geheim!")
-	if err != nil {
-		t.Fatalf("hash: %v", err)
-	}
-	if hash == "s3hr-geheim!" {
-		t.Fatal("passwort wurde nicht gehasht")
-	}
-	if !VerifyPassword(hash, "s3hr-geheim!") {
-		t.Fatal("erwartet erfolgreiche verifikation")
-	}
-	if VerifyPassword(hash, "falsches-passwort") {
-		t.Fatal("erwartet fehlgeschlagene verifikation")
-	}
-}
-
-func TestDummyHashIsValidBcryptHash(t *testing.T) {
-	// Stellt sicher, dass der Timing-Angleichs-Hash in login.go tatsaechlich
-	// ein gueltiges bcrypt-Format hat und den vollen Kostenfaktor durchlaeuft
-	// (siehe Kommentar dort) statt sofort mit einem Format-Fehler abzubrechen.
-	if VerifyPassword(dummyHash, "irgendein-text") {
-		t.Fatal("dummyHash sollte fuer beliebigen text nicht passen")
-	}
-}

internal/auth/token.go

@@ -1,63 +0,0 @@
-package auth
-
-import (
-	"errors"
-	"time"
-
-	"github.com/golang-jwt/jwt/v5"
-)
-
-// AccessTokenTTL ist bewusst kurz gehalten (Session-Ablauf statt langlebiger
-// Tokens), passend zur "so vertrauenswuerdig wie noetig"-Produkt-DNA.
-const AccessTokenTTL = 30 * time.Minute
-
-var ErrInvalidToken = errors.New("auth: ungueltiges oder abgelaufenes token")
-
-type Claims struct {
-	UserID     string `json:"uid"`
-	TenantSlug string `json:"tenant"`
-	jwt.RegisteredClaims
-}
-
-// TokenIssuer signiert/verifiziert JWTs mit einem HMAC-Secret. Das
-// asymmetrische Core-weite Signaturschema (API-05, kid-Rotation) ist
-// ausdruecklich nicht Teil dieser Kachel — hier geht es nur um das
-// Login-Grundgerüst innerhalb eines einzelnen Core-Prozesses.
-type TokenIssuer struct {
-	secret []byte
-}
-
-func NewTokenIssuer(secret string) *TokenIssuer {
-	return &TokenIssuer{secret: []byte(secret)}
-}
-
-func (i *TokenIssuer) Issue(userID, tenantSlug string) (string, error) {
-	now := time.Now()
-	claims := Claims{
-		UserID:     userID,
-		TenantSlug: tenantSlug,
-		RegisteredClaims: jwt.RegisteredClaims{
-			IssuedAt:  jwt.NewNumericDate(now),
-			ExpiresAt: jwt.NewNumericDate(now.Add(AccessTokenTTL)),
-		},
-	}
-	token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
-	return token.SignedString(i.secret)
-}
-
-// Verify prueft Signatur UND Ablauf (jwt.ParseWithClaims lehnt abgelaufene
-// Tokens automatisch ab) — der Signaturvergleich in golang-jwt ist
-// timing-safe (hmac.Equal).
-func (i *TokenIssuer) Verify(tokenString string) (*Claims, error) {
-	claims := &Claims{}
-	token, err := jwt.ParseWithClaims(tokenString, claims, func(t *jwt.Token) (interface{}, error) {
-		if _, ok := t.Method.(*jwt.SigningMethodHMAC); !ok {
-			return nil, ErrInvalidToken
-		}
-		return i.secret, nil
-	})
-	if err != nil || !token.Valid {
-		return nil, ErrInvalidToken
-	}
-	return claims, nil
-}

internal/auth/token_test.go

@@ -1,82 +0,0 @@
-package auth
-
-import (
-	"strings"
-	"testing"
-	"time"
-
-	"github.com/golang-jwt/jwt/v5"
-)
-
-func TestTokenIssueAndVerify(t *testing.T) {
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-
-	token, err := issuer.Issue("user-1", "acme")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	claims, err := issuer.Verify(token)
-	if err != nil {
-		t.Fatalf("verify: %v", err)
-	}
-	if claims.UserID != "user-1" || claims.TenantSlug != "acme" {
-		t.Fatalf("claims unerwartet: %+v", claims)
-	}
-}
-
-// Pruefung 2: Token-Manipulationstest.
-func TestTokenVerify_RejectsManipulatedPayload(t *testing.T) {
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-	token, err := issuer.Issue("user-1", "acme")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	parts := strings.Split(token, ".")
-	if len(parts) != 3 {
-		t.Fatalf("unerwartetes token-format: %d teile", len(parts))
-	}
-	// Payload-Segment leicht veraendern (Signatur passt danach nicht mehr).
-	tampered := parts[0] + "." + parts[1] + "x" + "." + parts[2]
-
-	if _, err := issuer.Verify(tampered); err == nil {
-		t.Fatal("erwartet fehler bei manipuliertem token, habe nil")
-	}
-}
-
-func TestTokenVerify_RejectsWrongSecret(t *testing.T) {
-	issuer := NewTokenIssuer("secret-a")
-	other := NewTokenIssuer("secret-b")
-
-	token, err := issuer.Issue("user-1", "acme")
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-	if _, err := other.Verify(token); err == nil {
-		t.Fatal("erwartet fehler bei falschem secret, habe nil")
-	}
-}
-
-// Pruefung 3: abgelaufenes Token erzwingt Neuanmeldung.
-func TestTokenVerify_RejectsExpiredToken(t *testing.T) {
-	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
-
-	claims := Claims{
-		UserID:     "user-1",
-		TenantSlug: "acme",
-		RegisteredClaims: jwt.RegisteredClaims{
-			IssuedAt:  jwt.NewNumericDate(time.Now().Add(-2 * AccessTokenTTL)),
-			ExpiresAt: jwt.NewNumericDate(time.Now().Add(-time.Minute)),
-		},
-	}
-	tok := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
-	expired, err := tok.SignedString([]byte("test-secret-nur-fuer-tests"))
-	if err != nil {
-		t.Fatalf("signieren: %v", err)
-	}
-
-	if _, err := issuer.Verify(expired); err == nil {
-		t.Fatal("erwartet fehler bei abgelaufenem token, habe nil")
-	}
-}

internal/loadtest/loadtest_test.go

@@ -1,257 +0,0 @@
-// Package loadtest implementiert Core QA-08: Last- und Leistungstests fuer
-// die drei Mechanismen, die unter realistischer Mehrmodul-Last (sechs
-// gleichzeitig zugreifende Fachmodule: DMS/Mail/Archive/Workflow/AI/Connect)
-// am ehesten unter Druck geraten — JWT-Verifikationspfad (API-05),
-// Tenant-Connection-Pooling (TEN-06) und Rate-Limiting (API-03). Jeder Test
-// dokumentiert einen Zielwert UND das tatsaechlich gemessene Ergebnis
-// (Ticket-Vorgabe: "Pruefen heisst messen. Behauptungen ohne Messprotokoll
-// gelten nicht als erledigt.").
-package loadtest
-
-import (
-	"context"
-	"crypto/ed25519"
-	"fmt"
-	"os"
-	"sort"
-	"sync"
-	"sync/atomic"
-	"testing"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/moduletrust"
-	"gitea.perlbach24.de/scripte/nexarch/internal/ratelimit"
-	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
-)
-
-const simulatedModuleCount = 6 // DMS, Mail, Archive, Workflow, AI, Connect
-
-// Akzeptanzkriterium 1 + Pruefung 1: definierte Ziel-Latenz fuer
-// JWT-Verifikation unter Last aus sechs gleichzeitig zugreifenden Modulen.
-//
-// Zielwert: p95 < 10ms je Verify()-Aufruf. Begruendung des Zielwerts:
-// Verify() ist eine rein lokale Operation gegen einen bereits im Speicher
-// zwischengespeicherten Schluesselsatz (StaleCache, siehe API-05) — es
-// findet kein Netzwerk-Roundtrip zu Core statt, daher ist ein niedriger
-// Millisekunden-Zielwert realistisch, nicht willkuerlich hoch angesetzt.
-func TestLoad_JWTVerificationLatencyUnderSixModuleLoad(t *testing.T) {
-	km, err := moduletrust.NewKeyManager()
-	if err != nil {
-		t.Fatalf("keymanager: %v", err)
-	}
-	if _, err := km.Rotate(); err != nil {
-		t.Fatalf("rotate: %v", err)
-	}
-
-	verifier := moduletrust.NewVerifier(time.Minute, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
-		return km.PublicKeySet(), nil
-	})
-
-	const requestsPerModule = 200
-	totalRequests := simulatedModuleCount * requestsPerModule
-
-	tokens := make([]string, totalRequests)
-	for i := 0; i < totalRequests; i++ {
-		tok, err := km.Issue("user-1", fmt.Sprintf("tenant-%d", i%50), 5*time.Minute)
-		if err != nil {
-			t.Fatalf("issue: %v", err)
-		}
-		tokens[i] = tok
-	}
-
-	latencies := make([]time.Duration, totalRequests)
-	var wg sync.WaitGroup
-	for module := 0; module < simulatedModuleCount; module++ {
-		wg.Add(1)
-		go func(moduleIdx int) {
-			defer wg.Done()
-			for i := 0; i < requestsPerModule; i++ {
-				idx := moduleIdx*requestsPerModule + i
-				start := time.Now()
-				if _, err := verifier.Verify(context.Background(), tokens[idx]); err != nil {
-					t.Errorf("verify: %v", err)
-					return
-				}
-				latencies[idx] = time.Since(start)
-			}
-		}(module)
-	}
-	wg.Wait()
-
-	sort.Slice(latencies, func(i, j int) bool { return latencies[i] < latencies[j] })
-	p95 := latencies[int(float64(len(latencies))*0.95)]
-	max := latencies[len(latencies)-1]
-
-	t.Logf("JWT-Verifikation unter Last: %d module x %d anfragen = %d gesamt. p95=%s, max=%s, ziel=p95<10ms",
-		simulatedModuleCount, requestsPerModule, totalRequests, p95, max)
-
-	if p95 >= 10*time.Millisecond {
-		t.Fatalf("p95-latenz = %s, ziel war unter 10ms", p95)
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 2: Connection-Pooling bleibt unter der
-// Postgres-Verbindungsobergrenze bei simulierter Vielzahl an Mandanten.
-//
-// Zielwert: bei 200 simulierten Mandanten, auf die sechs Module gleichzeitig
-// zugreifen, bleiben NIE mehr als maxOpen=20 Pools gleichzeitig offen (LRU-
-// Verdraengung greift) — weit unter einer typischen Postgres
-// max_connections-Grenze (Default 100).
-func TestLoad_ConnectionPoolingStaysUnderLimitWithManySimulatedTenants(t *testing.T) {
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	defer pool.Close()
-
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS tenants (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), slug TEXT NOT NULL UNIQUE, name TEXT NOT NULL,
-			db_name TEXT NOT NULL UNIQUE, db_dsn TEXT NOT NULL, status TEXT NOT NULL DEFAULT 'active',
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-
-	registry := tenant.NewRegistry(pool)
-	const simulatedTenants = 200
-	const maxOpen = 20
-
-	prefix := fmt.Sprintf("qa08_%d", time.Now().UnixNano())
-	slugs := make([]string, simulatedTenants)
-	for i := 0; i < simulatedTenants; i++ {
-		slug := fmt.Sprintf("%s_%d", prefix, i)
-		slugs[i] = slug
-		// DSN muss nur SYNTAKTISCH gueltig sein — pgxpool.New verbindet
-		// erst lazy bei tatsaechlicher Nutzung, fuer diesen Lasttest zaehlt
-		// ausschliesslich die Zahl offener *Pool-Objekte*, nicht ob die
-		// referenzierte Datenbank real existiert.
-		dsn := fmt.Sprintf("postgresql://nexarch_test:unused@localhost:5432/%s?sslmode=disable", slug)
-		if _, err := pool.Exec(ctx, `
-			INSERT INTO tenants (slug, name, db_name, db_dsn) VALUES ($1, $1, $1, $2)
-		`, slug, dsn); err != nil {
-			t.Fatalf("tenant %s anlegen: %v", slug, err)
-		}
-	}
-	t.Cleanup(func() {
-		_, _ = pool.Exec(context.Background(), `DELETE FROM tenants WHERE slug LIKE $1`, prefix+"%")
-	})
-
-	router := tenant.NewRouter(registry, maxOpen)
-	defer router.Close()
-
-	var maxObservedOpen int64
-	var wg sync.WaitGroup
-	for module := 0; module < simulatedModuleCount; module++ {
-		wg.Add(1)
-		go func(moduleIdx int) {
-			defer wg.Done()
-			for i := 0; i < simulatedTenants; i++ {
-				slug := slugs[(i+moduleIdx*37)%simulatedTenants] // module-uebergreifend gemischter zugriff
-				if _, err := router.Resolve(context.Background(), slug); err != nil {
-					t.Errorf("resolve %s: %v", slug, err)
-					return
-				}
-				if current := int64(router.OpenCount()); current > atomic.LoadInt64(&maxObservedOpen) {
-					atomic.StoreInt64(&maxObservedOpen, current)
-				}
-			}
-		}(module)
-	}
-	wg.Wait()
-
-	t.Logf("connection-pooling unter last: %d simulierte mandanten, %d module, max. gleichzeitig beobachtete offene pools = %d (ziel: <= %d)",
-		simulatedTenants, simulatedModuleCount, maxObservedOpen, maxOpen)
-
-	if maxObservedOpen > int64(maxOpen) {
-		t.Fatalf("max. beobachtete offene pools = %d, ziel war <= %d", maxObservedOpen, maxOpen)
-	}
-	if router.OpenCount() > maxOpen {
-		t.Fatalf("finale offene pools = %d, ziel war <= %d", router.OpenCount(), maxOpen)
-	}
-}
-
-// Akzeptanzkriterium 3 + Pruefung 3: Rate-Limiting funktioniert korrekt
-// unter Mehrinstanz-Last (mehrere "Core-Instanzen" mit geteiltem Postgres-
-// Zustand) aus sechs gleichzeitig zugreifenden Modulen, nicht nur im
-// Einzelinstanz-Test (der bereits in API-03 abgedeckt ist).
-//
-// Zielwert: bei konfiguriertem Limit=500 und insgesamt 1200 Anfragen ueber
-// DREI simulierte Core-Instanzen (separate Pools/Store-Objekte) hinweg
-// werden EXAKT 500 Anfragen erlaubt — kein Overcounting durch fehlende
-// Koordination zwischen den Instanzen, kein Undercounting durch verlorene
-// Updates.
-func TestLoad_RateLimitingCorrectAcrossMultipleInstancesUnderSixModuleLoad(t *testing.T) {
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	const instanceCount = 3
-	pools := make([]*pgxpool.Pool, instanceCount)
-	stores := make([]*ratelimit.Store, instanceCount)
-	for i := 0; i < instanceCount; i++ {
-		p, err := pgxpool.New(ctx, adminDSN)
-		if err != nil {
-			t.Fatalf("pool %d: %v", i, err)
-		}
-		defer p.Close()
-		if i == 0 {
-			if _, err := p.Exec(ctx, `
-				CREATE TABLE IF NOT EXISTS rate_limit_configs (
-					key TEXT PRIMARY KEY, limit_value INT NOT NULL, window_seconds INT NOT NULL
-				);
-				CREATE TABLE IF NOT EXISTS rate_limit_counters (
-					key TEXT NOT NULL, window_start TIMESTAMPTZ NOT NULL, count INT NOT NULL DEFAULT 0,
-					PRIMARY KEY (key, window_start)
-				);
-			`); err != nil {
-				t.Fatalf("schema: %v", err)
-			}
-		}
-		pools[i] = p
-		stores[i] = ratelimit.NewStore(p)
-	}
-
-	key := fmt.Sprintf("qa08-key-%d", time.Now().UnixNano())
-	const limit = 500
-	if err := stores[0].SetLimit(ctx, key, limit, time.Minute); err != nil {
-		t.Fatalf("setlimit: %v", err)
-	}
-
-	const totalRequests = 1200 // simulierte last aus sechs modulen ueber drei instanzen, deutlich ueber dem limit von 500
-	var allowedCount int64
-	var wg sync.WaitGroup
-	for i := 0; i < totalRequests; i++ {
-		wg.Add(1)
-		instance := stores[i%instanceCount] // request "kommt" reihum von einer der drei core-instanzen
-		go func(s *ratelimit.Store) {
-			defer wg.Done()
-			res, err := s.Allow(ctx, key)
-			if err != nil {
-				t.Errorf("allow: %v", err)
-				return
-			}
-			if res.Allowed {
-				atomic.AddInt64(&allowedCount, 1)
-			}
-		}(instance)
-	}
-	wg.Wait()
-
-	t.Logf("rate-limiting unter mehrinstanz-last: %d anfragen ueber %d instanzen, limit=%d, tatsaechlich erlaubt=%d",
-		totalRequests, instanceCount, limit, allowedCount)
-
-	if allowedCount != limit {
-		t.Fatalf("erlaubte anfragen ueber alle instanzen = %d, ziel war exakt %d (geteilter, korrekter zustand)", allowedCount, limit)
-	}
-}

internal/moduletrust/cache.go

@@ -1,86 +0,0 @@
-package moduletrust
-
-import (
-	"context"
-	"fmt"
-	"sync"
-	"time"
-)
-
-// StaleCache ist der generische Rechte-/Feature-Flag-Cache-Kontrakt
-// (Akzeptanzkriterium 2): TTL-basiert, mit explizitem, benanntem Verhalten
-// bei abgelaufenem Cache waehrend Core nicht erreichbar ist.
-//
-//   - Get: FAIL-OPEN fuer Lesevorgaenge. Schlaegt der Refresh fehl, aber es
-//     gibt bereits einen (wenn auch abgelaufenen) Stand, wird dieser mit
-//     stale=true zurueckgegeben — Begruendung: ein bereits authentifiziertes
-//     Modul soll mit dem letztbekannten Stand weiterarbeiten koennen statt
-//     hart zu blockieren (siehe "Bekannte Fehler vermeiden" im Ticket).
-//     Existiert noch nie ein Stand, gibt es keinen sinnvollen Fallback —
-//     dann liefert auch Get einen Fehler.
-//   - RequireFresh: FAIL-CLOSED fuer sicherheitskritische Aktionen (z.B.
-//     ein komplett NEUER Login). Nutzt NIEMALS einen zwischengespeicherten
-//     Stand, ruft immer frisch ab — Begruendung: eine neue Vertrauens-
-//     entscheidung darf nicht auf veralteten Daten beruhen, auch wenn das
-//     bedeutet, dass die Aktion bei Core-Ausfall sichtbar fehlschlaegt statt
-//     unsicher "irgendwie" durchgelassen zu werden.
-//
-// LIC-02 (internal/flag.Service) implementiert bereits denselben Kontrakt
-// fuer Feature-Flags — StaleCache verallgemeinert dasselbe Muster fuer
-// JWT-Signaturschluessel, damit beide Faelle derselben dokumentierten
-// Policy folgen.
-type StaleCache[T any] struct {
-	mu        sync.RWMutex
-	value     T
-	hasValue  bool
-	fetchedAt time.Time
-	ttl       time.Duration
-	fetch     func(ctx context.Context) (T, error)
-}
-
-func NewStaleCache[T any](ttl time.Duration, fetch func(ctx context.Context) (T, error)) *StaleCache[T] {
-	return &StaleCache[T]{ttl: ttl, fetch: fetch}
-}
-
-// Get liefert den Cache-Wert. FAIL-OPEN: bei Refresh-Fehler wird ein
-// vorhandener, ggf. abgelaufener Stand zurueckgegeben (stale=true).
-func (c *StaleCache[T]) Get(ctx context.Context) (value T, stale bool, err error) {
-	c.mu.RLock()
-	fresh := c.hasValue && time.Since(c.fetchedAt) < c.ttl
-	if fresh {
-		v := c.value
-		c.mu.RUnlock()
-		return v, false, nil
-	}
-	c.mu.RUnlock()
-
-	newVal, fetchErr := c.fetch(ctx)
-	if fetchErr == nil {
-		c.mu.Lock()
-		c.value, c.hasValue, c.fetchedAt = newVal, true, time.Now()
-		c.mu.Unlock()
-		return newVal, false, nil
-	}
-
-	c.mu.RLock()
-	defer c.mu.RUnlock()
-	if c.hasValue {
-		return c.value, true, nil
-	}
-	var zero T
-	return zero, false, fmt.Errorf("cache leer und refresh fehlgeschlagen: %w", fetchErr)
-}
-
-// RequireFresh ruft IMMER frisch ab (FAIL-CLOSED) — fuer sicherheitskritische
-// Aktionen, die niemals auf einem zwischengespeicherten Stand basieren duerfen.
-func (c *StaleCache[T]) RequireFresh(ctx context.Context) (T, error) {
-	v, err := c.fetch(ctx)
-	if err != nil {
-		var zero T
-		return zero, fmt.Errorf("core nicht erreichbar, sicherheitskritische aktion abgelehnt: %w", err)
-	}
-	c.mu.Lock()
-	c.value, c.hasValue, c.fetchedAt = v, true, time.Now()
-	c.mu.Unlock()
-	return v, nil
-}

internal/moduletrust/issuer.go

@@ -1,79 +0,0 @@
-package moduletrust
-
-import (
-	"encoding/base64"
-	"encoding/json"
-	"fmt"
-	"net/http"
-	"time"
-
-	"github.com/golang-jwt/jwt/v5"
-)
-
-type Claims struct {
-	Subject    string `json:"sub"`
-	TenantSlug string `json:"tenant"`
-	jwt.RegisteredClaims
-}
-
-// Issue signiert ein Token mit dem aktuellen Signierschluessel und traegt
-// dessen KID im JWT-Header ein — der Verifier auf Modulseite waehlt darueber
-// den passenden oeffentlichen Schluessel aus PublicKeySet() aus.
-func (m *KeyManager) Issue(subject, tenantSlug string, ttl time.Duration) (string, error) {
-	key, err := m.SigningKey()
-	if err != nil {
-		return "", err
-	}
-
-	now := time.Now()
-	claims := Claims{
-		Subject:    subject,
-		TenantSlug: tenantSlug,
-		RegisteredClaims: jwt.RegisteredClaims{
-			IssuedAt:  jwt.NewNumericDate(now),
-			ExpiresAt: jwt.NewNumericDate(now.Add(ttl)),
-		},
-	}
-	token := jwt.NewWithClaims(jwt.SigningMethodEdDSA, claims)
-	token.Header["kid"] = key.KID
-	return token.SignedString(key.Private)
-}
-
-type jwksResponse struct {
-	Keys []jwksKey `json:"keys"`
-}
-
-type jwksKey struct {
-	Kid       string `json:"kid"`
-	PublicKey string `json:"public_key"` // base64 (raw Ed25519, 32 Byte)
-}
-
-// ServeJWKS liefert alle bekannten oeffentlichen Schluessel als JSON —
-// Module fragen dies periodisch ab (nicht pro Request), siehe Verifier.
-func (m *KeyManager) ServeJWKS(w http.ResponseWriter, r *http.Request) {
-	set := m.PublicKeySet()
-	resp := jwksResponse{Keys: make([]jwksKey, 0, len(set))}
-	for kid, pub := range set {
-		resp.Keys = append(resp.Keys, jwksKey{Kid: kid, PublicKey: base64.StdEncoding.EncodeToString(pub)})
-	}
-	w.Header().Set("Content-Type", "application/json")
-	_ = json.NewEncoder(w).Encode(resp)
-}
-
-// ParseJWKS dekodiert die JSON-Antwort von ServeJWKS zurueck in kid->PublicKey
-// — Hilfsfunktion fuer Module, die JWKS per HTTP abrufen.
-func ParseJWKS(data []byte) (map[string][]byte, error) {
-	var resp jwksResponse
-	if err := json.Unmarshal(data, &resp); err != nil {
-		return nil, fmt.Errorf("jwks parsen: %w", err)
-	}
-	out := make(map[string][]byte, len(resp.Keys))
-	for _, k := range resp.Keys {
-		raw, err := base64.StdEncoding.DecodeString(k.PublicKey)
-		if err != nil {
-			return nil, fmt.Errorf("oeffentlichen schluessel %q dekodieren: %w", k.Kid, err)
-		}
-		out[k.Kid] = raw
-	}
-	return out, nil
-}

internal/moduletrust/keys.go

@@ -1,83 +0,0 @@
-// Package moduletrust implementiert Core API-05: asymmetrische JWT-Signatur
-// mit Schluesselverteilung (JWKS), damit DMS/Mail/Archive/Workflow JWTs
-// LOKAL verifizieren koennen, ohne pro Aufruf einen synchronen Request an
-// Core zu stellen — Core darf Fundament sein, ohne zum Flaschenhals zu
-// werden (siehe Entscheidungsverlauf "Vertrauensstellung Core<->Module" in
-// nexarch-state.json). IAM-02s HS256-Session-Cookie (Browser-Login) bleibt
-// unangetastet — dies ist ein zusaetzlicher, getrennter Vertrauensmechanismus
-// fuer Modul-zu-Modul/Modul-zu-Core-Aufrufe.
-package moduletrust
-
-import (
-	"crypto/ed25519"
-	"crypto/rand"
-	"encoding/hex"
-	"fmt"
-	"sync"
-)
-
-type KeyPair struct {
-	KID     string
-	Private ed25519.PrivateKey
-	Public  ed25519.PublicKey
-}
-
-// KeyManager haelt ALLE noch gueltigen Schluesselpaare — nicht nur das
-// aktuell signierende. Rotate erzeugt ein neues Paar und behaelt die alten
-// fuer die Verifikation bereits ausgestellter Tokens (Akzeptanzkriterium 3:
-// Rotation ohne Ausfallzeit fuer andere Module).
-type KeyManager struct {
-	mu   sync.RWMutex
-	keys []KeyPair // aeltestes zuerst, neuestes zuletzt
-}
-
-func NewKeyManager() (*KeyManager, error) {
-	m := &KeyManager{}
-	if _, err := m.Rotate(); err != nil {
-		return nil, err
-	}
-	return m, nil
-}
-
-// Rotate erzeugt ein neues Ed25519-Schluesselpaar mit eigener KID und macht
-// es zum aktuellen Signierschluessel. Aeltere Schluessel bleiben in
-// PublicKeySet() erhalten, damit bereits ausgestellte Tokens weiterhin
-// verifizierbar sind.
-func (m *KeyManager) Rotate() (KeyPair, error) {
-	pub, priv, err := ed25519.GenerateKey(nil)
-	if err != nil {
-		return KeyPair{}, fmt.Errorf("schluesselpaar erzeugen: %w", err)
-	}
-	kidBytes := make([]byte, 8)
-	if _, err := rand.Read(kidBytes); err != nil {
-		return KeyPair{}, fmt.Errorf("kid erzeugen: %w", err)
-	}
-	kp := KeyPair{KID: hex.EncodeToString(kidBytes), Private: priv, Public: pub}
-
-	m.mu.Lock()
-	m.keys = append(m.keys, kp)
-	m.mu.Unlock()
-	return kp, nil
-}
-
-// SigningKey liefert den aktuellen (neuesten) Schluessel zum Signieren neuer Tokens.
-func (m *KeyManager) SigningKey() (KeyPair, error) {
-	m.mu.RLock()
-	defer m.mu.RUnlock()
-	if len(m.keys) == 0 {
-		return KeyPair{}, fmt.Errorf("moduletrust: kein schluessel vorhanden")
-	}
-	return m.keys[len(m.keys)-1], nil
-}
-
-// PublicKeySet liefert ALLE bekannten oeffentlichen Schluessel (kid ->
-// public key) — die Grundlage fuer den JWKS-Endpunkt.
-func (m *KeyManager) PublicKeySet() map[string]ed25519.PublicKey {
-	m.mu.RLock()
-	defer m.mu.RUnlock()
-	out := make(map[string]ed25519.PublicKey, len(m.keys))
-	for _, k := range m.keys {
-		out[k.KID] = k.Public
-	}
-	return out
-}

internal/moduletrust/moduletrust_test.go

@@ -1,214 +0,0 @@
-package moduletrust
-
-import (
-	"context"
-	"crypto/ed25519"
-	"errors"
-	"net/http"
-	"sync"
-	"testing"
-	"time"
-)
-
-func TestIssueAndVerify_RoundTrip(t *testing.T) {
-	km, err := NewKeyManager()
-	if err != nil {
-		t.Fatalf("new key manager: %v", err)
-	}
-	token, err := km.Issue("user-1", "acme", time.Hour)
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
-		return km.PublicKeySet(), nil
-	})
-	claims, err := v.Verify(context.Background(), token)
-	if err != nil {
-		t.Fatalf("verify: %v", err)
-	}
-	if claims.Subject != "user-1" || claims.TenantSlug != "acme" {
-		t.Fatalf("claims unerwartet: %+v", claims)
-	}
-}
-
-// Akzeptanzkriterium 1: Verifikation lokal, kein Request pro Aufruf.
-func TestVerify_DoesNotFetchPerCall(t *testing.T) {
-	km, err := NewKeyManager()
-	if err != nil {
-		t.Fatalf("new key manager: %v", err)
-	}
-	token, err := km.Issue("user-1", "acme", time.Hour)
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	var mu sync.Mutex
-	fetchCalls := 0
-	v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
-		mu.Lock()
-		fetchCalls++
-		mu.Unlock()
-		return km.PublicKeySet(), nil
-	})
-
-	for i := 0; i < 10; i++ {
-		if _, err := v.Verify(context.Background(), token); err != nil {
-			t.Fatalf("verify %d: %v", i, err)
-		}
-	}
-
-	mu.Lock()
-	defer mu.Unlock()
-	if fetchCalls != 1 {
-		t.Fatalf("erwartet genau 1 fetch fuer 10 Verify-Aufrufe innerhalb der TTL, habe %d", fetchCalls)
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 1: Core simuliert nicht erreichbar,
-// bereits authentifizierte Nutzer bleiben funktionsfaehig (Fail-Open mit
-// letztbekanntem Schluesselstand).
-func TestVerify_FailsOpenWhenCoreUnreachableButStaleKeysExist(t *testing.T) {
-	km, err := NewKeyManager()
-	if err != nil {
-		t.Fatalf("new key manager: %v", err)
-	}
-	token, err := km.Issue("user-1", "acme", time.Hour)
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	coreDown := false
-	v := NewVerifier(30*time.Millisecond, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
-		if coreDown {
-			return nil, errors.New("core nicht erreichbar (simuliert)")
-		}
-		return km.PublicKeySet(), nil
-	})
-
-	// Cache vorwaermen, waehrend Core noch erreichbar ist.
-	if _, err := v.Verify(context.Background(), token); err != nil {
-		t.Fatalf("verify (warm): %v", err)
-	}
-
-	// "Core abschalten" und TTL ablaufen lassen.
-	coreDown = true
-	time.Sleep(50 * time.Millisecond)
-
-	if _, err := v.Verify(context.Background(), token); err != nil {
-		t.Fatalf("verify sollte trotz core-ausfall mit letztbekanntem stand funktionieren: %v", err)
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 2: neue sicherheitskritische Aktionen
-// (z.B. neuer Login) schlagen bei Core-Ausfall klar fehl statt unsicher
-// durchgelassen zu werden — auch wenn ein (aelterer) Cache-Stand existiert.
-func TestRequireFreshKeys_FailsClosedWhenCoreUnreachable(t *testing.T) {
-	km, err := NewKeyManager()
-	if err != nil {
-		t.Fatalf("new key manager: %v", err)
-	}
-
-	coreDown := false
-	v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
-		if coreDown {
-			return nil, errors.New("core nicht erreichbar (simuliert)")
-		}
-		return km.PublicKeySet(), nil
-	})
-
-	// Cache vorwaermen (existiert jetzt ein "veralteter" gueltiger Stand).
-	if _, _, err := v.cache.Get(context.Background()); err != nil {
-		t.Fatalf("warm cache: %v", err)
-	}
-
-	coreDown = true
-	if err := v.RequireFreshKeys(context.Background()); err == nil {
-		t.Fatal("erwartet fehler (fail-closed) bei core-ausfall, habe nil")
-	}
-}
-
-// Akzeptanzkriterium 3 + Pruefung 3: Schluesselrotation ohne Ausfallzeit —
-// ein bereits ausgestelltes Token bleibt nach Rotation weiterhin
-// verifizierbar, ein zweites (simuliertes) Modul bekommt beide Schluessel.
-func TestRotate_NoDowntimeForAlreadyIssuedTokens(t *testing.T) {
-	km, err := NewKeyManager()
-	if err != nil {
-		t.Fatalf("new key manager: %v", err)
-	}
-
-	oldToken, err := km.Issue("user-1", "acme", time.Hour)
-	if err != nil {
-		t.Fatalf("issue (alt): %v", err)
-	}
-
-	if _, err := km.Rotate(); err != nil {
-		t.Fatalf("rotate: %v", err)
-	}
-
-	newToken, err := km.Issue("user-2", "acme", time.Hour)
-	if err != nil {
-		t.Fatalf("issue (neu): %v", err)
-	}
-
-	// Simuliertes zweites Modul: fragt den vollstaendigen Schluesselsatz ab.
-	moduleB := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
-		return km.PublicKeySet(), nil
-	})
-
-	if _, err := moduleB.Verify(context.Background(), oldToken); err != nil {
-		t.Fatalf("altes token sollte nach rotation weiterhin gueltig sein: %v", err)
-	}
-	if _, err := moduleB.Verify(context.Background(), newToken); err != nil {
-		t.Fatalf("neues token sollte gueltig sein: %v", err)
-	}
-}
-
-func TestVerify_RejectsUnknownKid(t *testing.T) {
-	km1, _ := NewKeyManager()
-	km2, _ := NewKeyManager() // komplett anderer, unbekannter schluessel
-
-	token, err := km1.Issue("user-1", "acme", time.Hour)
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
-		return km2.PublicKeySet(), nil // kennt km1s schluessel nicht
-	})
-	if _, err := v.Verify(context.Background(), token); !errors.Is(err, ErrInvalidToken) {
-		t.Fatalf("erwartet ErrInvalidToken, habe %v", err)
-	}
-}
-
-func TestJWKSRoundTrip(t *testing.T) {
-	km, _ := NewKeyManager()
-	km.Rotate()
-
-	var buf []byte
-	rec := &captureWriter{}
-	km.ServeJWKS(rec, nil)
-	buf = rec.body
-
-	parsed, err := ParseJWKS(buf)
-	if err != nil {
-		t.Fatalf("parse jwks: %v", err)
-	}
-	if len(parsed) != len(km.PublicKeySet()) {
-		t.Fatalf("erwartet %d schluessel, habe %d", len(km.PublicKeySet()), len(parsed))
-	}
-}
-
-type captureWriter struct {
-	body   []byte
-	header http.Header
-}
-
-func (w *captureWriter) Header() http.Header {
-	if w.header == nil {
-		w.header = http.Header{}
-	}
-	return w.header
-}
-func (w *captureWriter) Write(p []byte) (int, error) { w.body = append(w.body, p...); return len(p), nil }
-func (w *captureWriter) WriteHeader(statusCode int)  {}

internal/moduletrust/verifier.go

@@ -1,67 +0,0 @@
-package moduletrust
-
-import (
-	"context"
-	"crypto/ed25519"
-	"errors"
-	"time"
-
-	"github.com/golang-jwt/jwt/v5"
-)
-
-var ErrInvalidToken = errors.New("moduletrust: ungueltiges token")
-
-// KeyFetchFunc holt den aktuellen Schluesselsatz von Core (z.B. per HTTP-GET
-// auf ServeJWKS + ParseJWKS). Wird vom Verifier nur bei abgelaufener TTL
-// aufgerufen — NICHT bei jeder Verify()-Anfrage (Akzeptanzkriterium 1).
-type KeyFetchFunc func(ctx context.Context) (map[string]ed25519.PublicKey, error)
-
-// Verifier ist die Modulseite von API-05: verifiziert JWTs LOKAL gegen einen
-// per StaleCache zwischengespeicherten Schluesselsatz, ohne pro Aufruf einen
-// synchronen Request an Core zu stellen.
-type Verifier struct {
-	cache *StaleCache[map[string]ed25519.PublicKey]
-}
-
-func NewVerifier(ttl time.Duration, fetch KeyFetchFunc) *Verifier {
-	return &Verifier{cache: NewStaleCache(ttl, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
-		return fetch(ctx)
-	})}
-}
-
-// Verify prueft die Signatur LOKAL gegen den (ggf. abgelaufenen, aber
-// vorhandenen) Schluesselsatz — FAIL-OPEN fuer bereits ausgestellte Tokens
-// (Akzeptanzkriterium 2): ist Core nicht erreichbar, aber ein alter
-// Schluesselsatz bekannt, wird damit weiter verifiziert.
-func (v *Verifier) Verify(ctx context.Context, tokenString string) (*Claims, error) {
-	keys, _, err := v.cache.Get(ctx)
-	if err != nil {
-		return nil, err
-	}
-
-	claims := &Claims{}
-	token, err := jwt.ParseWithClaims(tokenString, claims, func(t *jwt.Token) (interface{}, error) {
-		if _, ok := t.Method.(*jwt.SigningMethodEd25519); !ok {
-			return nil, ErrInvalidToken
-		}
-		kid, _ := t.Header["kid"].(string)
-		pub, ok := keys[kid]
-		if !ok {
-			return nil, ErrInvalidToken
-		}
-		return pub, nil
-	})
-	if err != nil || !token.Valid {
-		return nil, ErrInvalidToken
-	}
-	return claims, nil
-}
-
-// RequireFreshKeys ruft IMMER frisch von Core ab (FAIL-CLOSED) — fuer
-// sicherheitskritische Aktionen wie einen komplett neuen Login
-// (Akzeptanzkriterium 2): schlaegt klar fehl, wenn Core nicht erreichbar
-// ist, statt auf einem veralteten Schluesselsatz zu vertrauen.
-func (v *Verifier) RequireFreshKeys(ctx context.Context) error {
-	_, err := v.cache.RequireFresh(ctx)
-	return err
-}

internal/ratelimit/middleware.go

@@ -1,64 +0,0 @@
-package ratelimit
-
-import (
-	"fmt"
-	"math"
-	"net/http"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/apiserver"
-)
-
-// KeyFunc bestimmt den Rate-Limit-Schluessel fuer eine Anfrage — typischerweise
-// der Tenant-Slug aus apiserver.RequestContext, siehe KeyByTenant. Als
-// eigenstaendiger Typ austauschbar (z.B. spaeter API-Token-basiert), ohne
-// internal/apiserver aendern zu muessen (Kein Umbau angrenzender Bereiche).
-type KeyFunc func(r *http.Request) (string, bool)
-
-// KeyByTenant liest den Tenant aus dem von internal/apiserver.authAndTenantContext
-// gesetzten RequestContext (IAM-02/API-01) — dieselbe Middleware-Kette,
-// keine zweite Authentifizierung.
-func KeyByTenant(r *http.Request) (string, bool) {
-	rc, ok := apiserver.FromContext(r.Context())
-	if !ok || rc.TenantSlug == "" {
-		return "", false
-	}
-	return rc.TenantSlug, true
-}
-
-// Middleware setzt sich VOR den eigentlichen Handler (nach Auth+Tenant-
-// Kontext, siehe KeyByTenant) und lehnt Anfragen ueber dem konfigurierten
-// Limit mit 429 + Retry-After ab (Akzeptanzkriterium 3).
-func Middleware(store *Store, keyFn KeyFunc, next http.HandlerFunc) http.HandlerFunc {
-	return func(w http.ResponseWriter, r *http.Request) {
-		key, ok := keyFn(r)
-		if !ok {
-			// Kein Schluessel ermittelbar (z.B. kein Tenant-Kontext) — die
-			// Auth-Pruefung selbst ist Sache von authAndTenantContext, hier
-			// wird nur nicht limitiert, wenn schon kein Kontext vorliegt.
-			next(w, r)
-			return
-		}
-
-		result, err := store.Allow(r.Context(), key)
-		if err != nil {
-			apiserver.WriteError(w, http.StatusInternalServerError, "rate_limit_error", "rate-limit-pruefung fehlgeschlagen")
-			return
-		}
-
-		w.Header().Set("X-RateLimit-Limit", fmt.Sprintf("%d", result.Limit))
-		w.Header().Set("X-RateLimit-Remaining", fmt.Sprintf("%d", result.Remaining))
-
-		if !result.Allowed {
-			retryAfterSeconds := int(math.Ceil(result.RetryAfter.Seconds()))
-			if retryAfterSeconds < 1 {
-				retryAfterSeconds = 1
-			}
-			w.Header().Set("Retry-After", fmt.Sprintf("%d", retryAfterSeconds))
-			apiserver.WriteError(w, http.StatusTooManyRequests, "rate_limit_exceeded",
-				"zu viele anfragen, bitte spaeter erneut versuchen")
-			return
-		}
-
-		next(w, r)
-	}
-}

internal/ratelimit/middleware_test.go

@@ -1,136 +0,0 @@
-package ratelimit
-
-import (
-	"context"
-	"net/http"
-	"net/http/httptest"
-	"os"
-	"testing"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/apiserver"
-	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
-)
-
-func setupMiddlewareTest(t *testing.T) (*apiserver.Server, *auth.TokenIssuer, *Store, func()) {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS rate_limit_configs (
-			key TEXT PRIMARY KEY, limit_value INT NOT NULL, window_seconds INT NOT NULL
-		);
-		CREATE TABLE IF NOT EXISTS rate_limit_counters (
-			key TEXT NOT NULL, window_start TIMESTAMPTZ NOT NULL, count INT NOT NULL DEFAULT 0,
-			PRIMARY KEY (key, window_start)
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-
-	issuer := auth.NewTokenIssuer("test-secret-nur-fuer-tests")
-	srv := apiserver.NewServer(issuer)
-	store := NewStore(pool)
-
-	cleanup := func() { pool.Close() }
-	return srv, issuer, store, cleanup
-}
-
-// Akzeptanzkriterium 3 + Pruefung 2: Ueberschreitung liefert 429 mit
-// Retry-After-Header, ueber die vollstaendige Middleware-Kette (Auth ->
-// Tenant-Kontext -> Rate-Limit -> Handler) hinweg.
-func TestMiddleware_Returns429WithRetryAfterOnExceeded(t *testing.T) {
-	srv, issuer, store, cleanup := setupMiddlewareTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	tenantSlug := newTestKey()
-	if err := store.SetLimit(ctx, tenantSlug, 1, time.Minute); err != nil {
-		t.Fatalf("setlimit: %v", err)
-	}
-
-	called := 0
-	srv.HandleV1("/limited", Middleware(store, KeyByTenant, func(w http.ResponseWriter, r *http.Request) {
-		called++
-		w.WriteHeader(http.StatusOK)
-	}))
-
-	token, err := issuer.Issue("user-1", tenantSlug)
-	if err != nil {
-		t.Fatalf("issue: %v", err)
-	}
-
-	req1 := httptest.NewRequest(http.MethodGet, "/api/v1/limited", nil)
-	req1.AddCookie(&http.Cookie{Name: auth.CookieName, Value: token})
-	rec1 := httptest.NewRecorder()
-	srv.Handler().ServeHTTP(rec1, req1)
-	if rec1.Code != http.StatusOK {
-		t.Fatalf("1. anfrage: status = %d, want 200", rec1.Code)
-	}
-
-	req2 := httptest.NewRequest(http.MethodGet, "/api/v1/limited", nil)
-	req2.AddCookie(&http.Cookie{Name: auth.CookieName, Value: token})
-	rec2 := httptest.NewRecorder()
-	srv.Handler().ServeHTTP(rec2, req2)
-	if rec2.Code != http.StatusTooManyRequests {
-		t.Fatalf("2. anfrage: status = %d, want 429", rec2.Code)
-	}
-	if rec2.Header().Get("Retry-After") == "" {
-		t.Fatal("erwartet gesetzten Retry-After-Header bei 429")
-	}
-	if called != 1 {
-		t.Fatalf("handler wurde %d mal aufgerufen, want genau 1 (2. anfrage haette nicht durchgereicht werden duerfen)", called)
-	}
-}
-
-// Akzeptanzkriterium 1: das Limit ist pro Tenant konfigurierbar — ein
-// anderer Tenant (anderer Key) bleibt von der Ausschoepfung unberuehrt.
-func TestMiddleware_DifferentTenantsHaveIndependentLimits(t *testing.T) {
-	srv, issuer, store, cleanup := setupMiddlewareTest(t)
-	defer cleanup()
-	ctx := context.Background()
-
-	tenantA := newTestKey()
-	tenantB := newTestKey()
-	if err := store.SetLimit(ctx, tenantA, 1, time.Minute); err != nil {
-		t.Fatalf("setlimit a: %v", err)
-	}
-	if err := store.SetLimit(ctx, tenantB, 1, time.Minute); err != nil {
-		t.Fatalf("setlimit b: %v", err)
-	}
-
-	srv.HandleV1("/limited2", Middleware(store, KeyByTenant, func(w http.ResponseWriter, r *http.Request) {
-		w.WriteHeader(http.StatusOK)
-	}))
-
-	tokenA, _ := issuer.Issue("user-a", tenantA)
-	tokenB, _ := issuer.Issue("user-b", tenantB)
-
-	// Tenant A schoepft sein Limit aus.
-	reqA := httptest.NewRequest(http.MethodGet, "/api/v1/limited2", nil)
-	reqA.AddCookie(&http.Cookie{Name: auth.CookieName, Value: tokenA})
-	recA := httptest.NewRecorder()
-	srv.Handler().ServeHTTP(recA, reqA)
-	if recA.Code != http.StatusOK {
-		t.Fatalf("tenant a, 1. anfrage: status = %d, want 200", recA.Code)
-	}
-
-	// Tenant B ist von der Ausschoepfung bei A unberuehrt.
-	reqB := httptest.NewRequest(http.MethodGet, "/api/v1/limited2", nil)
-	reqB.AddCookie(&http.Cookie{Name: auth.CookieName, Value: tokenB})
-	recB := httptest.NewRecorder()
-	srv.Handler().ServeHTTP(recB, reqB)
-	if recB.Code != http.StatusOK {
-		t.Fatalf("tenant b haette trotz ausgeschoepftem limit von tenant a erlaubt sein muessen, status = %d", recB.Code)
-	}
-}

internal/ratelimit/ratelimit.go

@@ -1,126 +0,0 @@
-// Package ratelimit implementiert Core API-03: eine zentrale Rate-Limiting-
-// Schicht fuer die gesamte Core-API mit GETEILTEM, EXTERNEM Zustand in
-// Postgres — kein In-Process-Zaehler (siehe "Bekannte Fehler vermeiden" im
-// Ticket: dasselbe Risiko wie bei IAM-07s In-Memory-Lockout). Fixed-Window-
-// Algorithmus: einfach, korrekt unter nebenlaeufigem Zugriff (atomares
-// UPSERT wie internal/usage.Store.Increment), und fuer ein API-Gateway
-// ausreichend praezise — kein Sliding-Window-Overhead noetig.
-package ratelimit
-
-import (
-	"context"
-	"fmt"
-	"time"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// DefaultLimit/DefaultWindow gelten fuer jeden Schluessel (Tenant oder
-// API-Token), fuer den keine eigene Konfiguration existiert
-// (Akzeptanzkriterium 1: "konfigurierbar", nicht "verpflichtend konfiguriert").
-const (
-	DefaultLimit  = 100
-	DefaultWindow = time.Minute
-)
-
-// Config ist das je Schluessel konfigurierbare Limit.
-type Config struct {
-	Limit  int
-	Window time.Duration
-}
-
-// Store haelt Konfiguration UND Zaehlerstand in Postgres — beides ueber
-// dieselbe Verbindung erreichbar, damit mehrere Dienstinstanzen denselben
-// Zustand sehen (Akzeptanzkriterium 2).
-type Store struct {
-	pool *pgxpool.Pool
-}
-
-func NewStore(pool *pgxpool.Pool) *Store {
-	return &Store{pool: pool}
-}
-
-// SetLimit setzt die Konfiguration fuer EINEN Schluessel (z.B. einen
-// Tenant-Slug oder eine API-Token-ID) — wirkt sich nicht auf andere
-// Schluessel aus (Akzeptanzkriterium 1 / Pruefung 3).
-func (s *Store) SetLimit(ctx context.Context, key string, limit int, window time.Duration) error {
-	_, err := s.pool.Exec(ctx, `
-		INSERT INTO rate_limit_configs (key, limit_value, window_seconds)
-		VALUES ($1, $2, $3)
-		ON CONFLICT (key) DO UPDATE SET limit_value = $2, window_seconds = $3
-	`, key, limit, int(window.Seconds()))
-	if err != nil {
-		return fmt.Errorf("rate-limit-konfiguration speichern: %w", err)
-	}
-	return nil
-}
-
-func (s *Store) getConfig(ctx context.Context, key string) (Config, error) {
-	var limit, windowSeconds int
-	err := s.pool.QueryRow(ctx, `
-		SELECT limit_value, window_seconds FROM rate_limit_configs WHERE key = $1
-	`, key).Scan(&limit, &windowSeconds)
-	if err != nil {
-		if err == pgx.ErrNoRows {
-			return Config{Limit: DefaultLimit, Window: DefaultWindow}, nil
-		}
-		return Config{}, fmt.Errorf("rate-limit-konfiguration lesen: %w", err)
-	}
-	return Config{Limit: limit, Window: time.Duration(windowSeconds) * time.Second}, nil
-}
-
-// Result ist der Ausgang einer Allow-Pruefung (Akzeptanzkriterium 3).
-type Result struct {
-	Allowed    bool
-	Limit      int
-	Remaining  int
-	RetryAfter time.Duration
-}
-
-// Allow erhoeht den Zaehler fuer (key, aktuelles Zeitfenster) ATOMAR ueber
-// ein einziges UPSERT (dasselbe Muster wie internal/usage.Store.Increment)
-// und vergleicht das Ergebnis gegen die konfigurierte Grenze — kein
-// Lesen-Erhoehen-Schreiben in Go, damit zwei Dienstinstanzen, die
-// gleichzeitig gegen dieselbe Datenbank inkrementieren, sich niemals
-// gegenseitig ueberschreiben (Akzeptanzkriterium 2 / Pruefung 1).
-func (s *Store) Allow(ctx context.Context, key string) (Result, error) {
-	cfg, err := s.getConfig(ctx, key)
-	if err != nil {
-		return Result{}, err
-	}
-
-	windowSeconds := int64(cfg.Window.Seconds())
-	if windowSeconds <= 0 {
-		windowSeconds = int64(DefaultWindow.Seconds())
-	}
-	now := time.Now().UTC()
-	windowStart := time.Unix((now.Unix()/windowSeconds)*windowSeconds, 0).UTC()
-	windowEnd := windowStart.Add(time.Duration(windowSeconds) * time.Second)
-
-	var count int
-	err = s.pool.QueryRow(ctx, `
-		INSERT INTO rate_limit_counters (key, window_start, count)
-		VALUES ($1, $2, 1)
-		ON CONFLICT (key, window_start) DO UPDATE
-			SET count = rate_limit_counters.count + 1
-		RETURNING count
-	`, key, windowStart).Scan(&count)
-	if err != nil {
-		return Result{}, fmt.Errorf("rate-limit-zaehler erhoehen: %w", err)
-	}
-
-	remaining := cfg.Limit - count
-	if remaining < 0 {
-		remaining = 0
-	}
-	if count > cfg.Limit {
-		return Result{
-			Allowed:    false,
-			Limit:      cfg.Limit,
-			Remaining:  0,
-			RetryAfter: windowEnd.Sub(now),
-		}, nil
-	}
-	return Result{Allowed: true, Limit: cfg.Limit, Remaining: remaining}, nil
-}

internal/ratelimit/ratelimit_test.go

@@ -1,168 +0,0 @@
-package ratelimit
-
-import (
-	"context"
-	"fmt"
-	"os"
-	"sync"
-	"sync/atomic"
-	"testing"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-func setupTest(t *testing.T) (*pgxpool.Pool, func()) {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	pool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS rate_limit_configs (
-			key TEXT PRIMARY KEY, limit_value INT NOT NULL, window_seconds INT NOT NULL
-		);
-		CREATE TABLE IF NOT EXISTS rate_limit_counters (
-			key TEXT NOT NULL, window_start TIMESTAMPTZ NOT NULL, count INT NOT NULL DEFAULT 0,
-			PRIMARY KEY (key, window_start)
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-
-	cleanup := func() { pool.Close() }
-	return pool, cleanup
-}
-
-func newTestKey() string {
-	return fmt.Sprintf("test-key-%d", time.Now().UnixNano())
-}
-
-// Akzeptanzkriterium 3 + Pruefung 2: Ueberschreitung des Limits wird
-// nachweislich erkannt.
-func TestAllow_RejectsAfterLimitExceeded(t *testing.T) {
-	pool, cleanup := setupTest(t)
-	defer cleanup()
-	store := NewStore(pool)
-	ctx := context.Background()
-	key := newTestKey()
-
-	if err := store.SetLimit(ctx, key, 3, time.Minute); err != nil {
-		t.Fatalf("setlimit: %v", err)
-	}
-
-	for i := 0; i < 3; i++ {
-		res, err := store.Allow(ctx, key)
-		if err != nil {
-			t.Fatalf("allow %d: %v", i, err)
-		}
-		if !res.Allowed {
-			t.Fatalf("anfrage %d haette erlaubt sein muessen, limit=3", i)
-		}
-	}
-
-	res, err := store.Allow(ctx, key)
-	if err != nil {
-		t.Fatalf("allow (4.): %v", err)
-	}
-	if res.Allowed {
-		t.Fatal("4. anfrage haette abgelehnt werden muessen (limit=3)")
-	}
-	if res.RetryAfter <= 0 {
-		t.Fatalf("erwartet positive retry-after-dauer, habe %v", res.RetryAfter)
-	}
-}
-
-// Akzeptanzkriterium 1 / Pruefung 3: Konfigurationsaenderung wirkt sich
-// NICHT auf andere Schluessel (Tenants) aus.
-func TestSetLimit_DoesNotAffectOtherKeys(t *testing.T) {
-	pool, cleanup := setupTest(t)
-	defer cleanup()
-	store := NewStore(pool)
-	ctx := context.Background()
-	keyA := newTestKey()
-	keyB := newTestKey()
-
-	if err := store.SetLimit(ctx, keyA, 1, time.Minute); err != nil {
-		t.Fatalf("setlimit a: %v", err)
-	}
-
-	resA1, _ := store.Allow(ctx, keyA)
-	resA2, _ := store.Allow(ctx, keyA)
-	if !resA1.Allowed || resA2.Allowed {
-		t.Fatalf("key a: erwartet erlaubt,abgelehnt, habe %v,%v", resA1.Allowed, resA2.Allowed)
-	}
-
-	// keyB hat keine eigene Konfiguration -> DefaultLimit, unbeeinflusst von keyA.
-	resB, err := store.Allow(ctx, keyB)
-	if err != nil {
-		t.Fatalf("allow b: %v", err)
-	}
-	if !resB.Allowed {
-		t.Fatal("key b haette trotz limit-ueberschreitung bei key a erlaubt sein muessen")
-	}
-	if resB.Limit != DefaultLimit {
-		t.Fatalf("key b limit = %d, want default %d", resB.Limit, DefaultLimit)
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 1: zwei "Dienstinstanzen" (zwei
-// unabhaengige Pools/Store-Objekte) gegen dieselbe Datenbank setzen
-// dasselbe Limit korrekt durch — kein In-Process-Zustand kann das leisten.
-func TestAllow_TwoInstancesShareStateCorrectly(t *testing.T) {
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	pool, cleanup := setupTest(t)
-	defer cleanup()
-
-	ctx := context.Background()
-	pool2, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("zweiter pool (simuliert zweite instanz): %v", err)
-	}
-	defer pool2.Close()
-
-	storeInstance1 := NewStore(pool)
-	storeInstance2 := NewStore(pool2)
-
-	key := newTestKey()
-	const limit = 20
-	if err := storeInstance1.SetLimit(ctx, key, limit, time.Minute); err != nil {
-		t.Fatalf("setlimit: %v", err)
-	}
-
-	const totalRequests = 50
-	var allowedCount int64
-	var wg sync.WaitGroup
-	for i := 0; i < totalRequests; i++ {
-		wg.Add(1)
-		store := storeInstance1
-		if i%2 == 0 {
-			store = storeInstance2 // Haelfte der Anfragen "kommt" von der zweiten Instanz
-		}
-		go func(s *Store) {
-			defer wg.Done()
-			res, err := s.Allow(ctx, key)
-			if err != nil {
-				t.Errorf("allow: %v", err)
-				return
-			}
-			if res.Allowed {
-				atomic.AddInt64(&allowedCount, 1)
-			}
-		}(store)
-	}
-	wg.Wait()
-
-	if allowedCount != limit {
-		t.Fatalf("erlaubte anfragen ueber beide instanzen = %d, want exakt %d (geteilter zustand)", allowedCount, limit)
-	}
-}

internal/tenant/lifecycle.go

@@ -0,0 +1,241 @@
+package tenant
+
+import (
+	"context"
+	"errors"
+	"fmt"
+	"log/slog"
+	"time"
+
+	"github.com/jackc/pgx/v5"
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+var (
+	ErrTenantNotFound    = errors.New("tenant: nicht gefunden")
+	ErrInvalidTransition = errors.New("tenant: ungueltiger zustandsuebergang")
+	// ErrTenantNotActive wird von Lifecycle.CheckActive verwendet — bewusst
+	// EIN Fehler fuer suspendiert/zur-Loeschung-vorgemerkt/geloescht, da der
+	// Aufrufer (z.B. Login) nur wissen muss "kein Zugriff", nicht welcher der
+	// Nicht-aktiv-Zustaende genau vorliegt.
+	ErrTenantNotActive = errors.New("tenant: nicht aktiv")
+)
+
+func scanTenantWithLifecycle(row pgx.Row) (Tenant, error) {
+	var t Tenant
+	if err := row.Scan(&t.ID, &t.Slug, &t.Name, &t.DBName, &t.DBDSN, &t.Status,
+		&t.CreatedAt, &t.PreviousStatus, &t.DeletionScheduledAt); err != nil {
+		return Tenant{}, err
+	}
+	return t, nil
+}
+
+// transition fuehrt einen bewachten Zustandsuebergang aus: das UPDATE greift
+// nur, wenn der aktuelle Status einer von allowedFrom ist (atomarer
+// Check-and-Set, kein Race zwischen Lesen und Schreiben). Greift es nicht,
+// wird zwischen "Tenant existiert nicht" und "Uebergang nicht erlaubt"
+// unterschieden, damit AC1 ("ungueltige Uebergaenge werden abgewiesen") einen
+// sprechenden Fehler liefert statt eines stillen No-Ops.
+func (r *Registry) transition(ctx context.Context, slug string, allowedFrom []Status, to Status, previousStatus *string, deletionAt *time.Time) (Tenant, error) {
+	from := make([]string, len(allowedFrom))
+	for i, s := range allowedFrom {
+		from[i] = string(s)
+	}
+
+	row := r.pool.QueryRow(ctx, `
+		UPDATE tenants
+		SET status = $2, previous_status = $3, deletion_scheduled_at = $4
+		WHERE slug = $1 AND status = ANY($5)
+		RETURNING id, slug, name, db_name, db_dsn, status, created_at, previous_status, deletion_scheduled_at
+	`, slug, string(to), previousStatus, deletionAt, from)
+
+	t, err := scanTenantWithLifecycle(row)
+	if err == nil {
+		return t, nil
+	}
+	if !errors.Is(err, pgx.ErrNoRows) {
+		return Tenant{}, fmt.Errorf("zustandsuebergang: %w", err)
+	}
+
+	existing, getErr := r.GetBySlug(ctx, slug)
+	if getErr != nil {
+		return Tenant{}, ErrTenantNotFound
+	}
+	return Tenant{}, fmt.Errorf("%w: von %q nach %q (aktuell: %q)", ErrInvalidTransition, allowedFrom, to, existing.Status)
+}
+
+// Suspend haelt die Daten des Mandanten unveraendert, sperrt aber den Zugriff
+// (Akzeptanzkriterium 1) — es findet keine Loeschung/Migration statt.
+func (r *Registry) Suspend(ctx context.Context, slug string) (Tenant, error) {
+	return r.transition(ctx, slug, []Status{StatusActive}, StatusSuspended, nil, nil)
+}
+
+// Reactivate stellt den Zustand vor der Suspendierung vollstaendig wieder her
+// (Akzeptanzkriterium 2) — da Suspend keine weiteren Daten veraendert, genuegt
+// die Rueckkehr nach StatusActive.
+func (r *Registry) Reactivate(ctx context.Context, slug string) (Tenant, error) {
+	return r.transition(ctx, slug, []Status{StatusSuspended}, StatusActive, nil, nil)
+}
+
+// ScheduleDeletion merkt den Mandanten zur Loeschung vor und startet die
+// Karenzzeit (Akzeptanzkriterium 3). previous_status wird festgehalten, damit
+// CancelDeletion exakt dorthin zurueckkehren kann (aktiv ODER suspendiert).
+func (r *Registry) ScheduleDeletion(ctx context.Context, slug string, grace time.Duration) (Tenant, error) {
+	existing, err := r.GetBySlug(ctx, slug)
+	if err != nil {
+		return Tenant{}, ErrTenantNotFound
+	}
+	prev := string(existing.Status)
+	deletionAt := time.Now().Add(grace)
+	return r.transition(ctx, slug, []Status{StatusActive, StatusSuspended}, StatusPendingDeletion, &prev, &deletionAt)
+}
+
+// CancelDeletion widerruft eine Loeschvormerkung innerhalb der Karenzzeit und
+// stellt exakt den zuvor gesicherten Zustand wieder her.
+func (r *Registry) CancelDeletion(ctx context.Context, slug string) (Tenant, error) {
+	existing, err := r.GetBySlug(ctx, slug)
+	if err != nil {
+		return Tenant{}, ErrTenantNotFound
+	}
+	if existing.Status != StatusPendingDeletion || existing.PreviousStatus == nil {
+		return Tenant{}, fmt.Errorf("%w: von %q nach aktiv/suspendiert (aktuell: %q)", ErrInvalidTransition, StatusPendingDeletion, existing.Status)
+	}
+	restoreTo := Status(*existing.PreviousStatus)
+	return r.transition(ctx, slug, []Status{StatusPendingDeletion}, restoreTo, nil, nil)
+}
+
+// Lifecycle fuehrt die tatsaechliche, physische Loeschung nach Ablauf der
+// Karenzzeit aus (Datenbank-Drop) und stellt die Zugriffsschutz-Pruefung
+// bereit. Getrennt von Registry, weil hierfuer zusaetzlich der adminPool
+// (fuer DROP DATABASE) noetig ist, siehe internal/tenant.Provisioner.
+type Lifecycle struct {
+	registry  *Registry
+	adminPool *pgxpool.Pool
+	// retention ist die Pruef-Schnittstelle gegen Archive RET-03/CMP-06 (TEN-08).
+	// Default NoRetentionCheck{}, bis Archive angebunden ist — siehe retention.go.
+	retention RetentionChecker
+}
+
+func NewLifecycle(registry *Registry, adminPool *pgxpool.Pool) *Lifecycle {
+	return &Lifecycle{registry: registry, adminPool: adminPool, retention: NoRetentionCheck{}}
+}
+
+// WithRetentionChecker ersetzt den Retention-Checker (z.B. im Test durch einen
+// Fake, oder in Produktion durch den echten Archive-RET-03-Client). Gibt
+// dasselbe *Lifecycle zurueck, um Verkettung beim Aufbau zu erlauben.
+func (l *Lifecycle) WithRetentionChecker(checker RetentionChecker) *Lifecycle {
+	l.retention = checker
+	return l
+}
+
+// CheckActive verweigert Zugriff fuer jeden Nicht-aktiv-Zustand und loggt den
+// Vorgang strukturiert (Akzeptanzkriterium 1 / Pruefung 2).
+func (l *Lifecycle) CheckActive(ctx context.Context, slug string) error {
+	t, err := l.registry.GetBySlug(ctx, slug)
+	if err != nil {
+		return ErrTenantNotFound
+	}
+	if t.Status != StatusActive {
+		slog.Warn("zugriff auf nicht-aktiven mandanten verweigert",
+			"tenant_slug", slug, "tenant_status", t.Status)
+		return ErrTenantNotActive
+	}
+	return nil
+}
+
+// ProcessDueDeletions loescht alle Mandanten-Datenbanken, deren Karenzzeit
+// abgelaufen ist (Akzeptanzkriterium 3 / Pruefung 3). FOR UPDATE SKIP LOCKED
+// folgt der projektweiten Postgres-Jobqueue-Konvention (siehe
+// SKALIERUNGSKONZEPT.md) und macht die Funktion sicher fuer mehrere parallel
+// laufende Core-Instanzen.
+func (l *Lifecycle) ProcessDueDeletions(ctx context.Context) (int, error) {
+	tx, err := l.registry.pool.Begin(ctx)
+	if err != nil {
+		return 0, fmt.Errorf("sweep-transaktion starten: %w", err)
+	}
+	defer func() { _ = tx.Rollback(ctx) }()
+
+	rows, err := tx.Query(ctx, `
+		SELECT id, slug, db_name FROM tenants
+		WHERE status = $1 AND deletion_scheduled_at <= now()
+		FOR UPDATE SKIP LOCKED
+	`, string(StatusPendingDeletion))
+	if err != nil {
+		return 0, fmt.Errorf("faellige loeschungen abfragen: %w", err)
+	}
+
+	type due struct{ id, slug, dbName string }
+	var candidates []due
+	for rows.Next() {
+		var d due
+		if err := rows.Scan(&d.id, &d.slug, &d.dbName); err != nil {
+			rows.Close()
+			return 0, fmt.Errorf("faellige loeschung lesen: %w", err)
+		}
+		candidates = append(candidates, d)
+	}
+	rows.Close()
+	if err := rows.Err(); err != nil {
+		return 0, err
+	}
+
+	processed := 0
+	for _, c := range candidates {
+		// TEN-08: vor der physischen Loeschung gegen Archive RET-03/CMP-06 pruefen.
+		// Solange eine Sperre besteht, bleibt der Tenant in pending_deletion
+		// ("zur Loeschung vorgemerkt, aber gesperrt") — der Grund wird
+		// festgehalten (Akzeptanzkriterium 2), die naechste Sweeper-Runde
+		// prueft automatisch erneut (Akzeptanzkriterium 3), ohne dass ein
+		// manueller Re-Trigger noetig waere.
+		result, err := l.retention.CheckTenantRetention(ctx, c.id)
+		if err != nil {
+			return processed, fmt.Errorf("retention-pruefung fuer tenant %q: %w", c.id, err)
+		}
+		if result.Blocked {
+			slog.Warn("tenant-loeschung wegen aufbewahrungspflicht/legal-hold zurueckgehalten",
+				"tenant_slug", c.slug, "reason", result.Reason)
+			if _, err := tx.Exec(ctx, `
+				UPDATE tenants SET retention_block_reason = $2, retention_checked_at = now()
+				WHERE id = $1
+			`, c.id, result.Reason); err != nil {
+				return processed, fmt.Errorf("retention-sperrgrund fuer tenant %q speichern: %w", c.id, err)
+			}
+			continue
+		}
+
+		if _, err := l.adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, c.dbName)); err != nil {
+			return processed, fmt.Errorf("tenant-datenbank %q loeschen: %w", c.dbName, err)
+		}
+		if _, err := tx.Exec(ctx, `
+			UPDATE tenants
+			SET status = $2, previous_status = NULL, deletion_scheduled_at = NULL,
+			    retention_block_reason = NULL, retention_checked_at = now()
+			WHERE id = $1
+		`, c.id, string(StatusDeleted)); err != nil {
+			return processed, fmt.Errorf("tenant %q als geloescht markieren: %w", c.id, err)
+		}
+		processed++
+	}
+
+	if err := tx.Commit(ctx); err != nil {
+		return 0, fmt.Errorf("sweep-transaktion committen: %w", err)
+	}
+	return processed, nil
+}
+
+// RunSweeper triggert ProcessDueDeletions periodisch, bis ctx beendet wird —
+// die "In-Prozess-Worker-Goroutine" aus der projektweiten Jobqueue-Konvention.
+func (l *Lifecycle) RunSweeper(ctx context.Context, interval time.Duration) {
+	ticker := time.NewTicker(interval)
+	defer ticker.Stop()
+	for {
+		select {
+		case <-ctx.Done():
+			return
+		case <-ticker.C:
+			if _, err := l.ProcessDueDeletions(ctx); err != nil {
+				slog.Error("tenant-loeschung-sweep fehlgeschlagen", "error", err)
+			}
+		}
+	}
+}

internal/tenant/lifecycle_test.go

@@ -0,0 +1,255 @@
+package tenant
+
+import (
+	"context"
+	"errors"
+	"fmt"
+	"os"
+	"strings"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+func newLifecycleTestSetup(t *testing.T) (*Registry, *Lifecycle, *pgxpool.Pool, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	adminPool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("admin pool: %v", err)
+	}
+	registryPool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("registry pool: %v", err)
+	}
+	if _, err := registryPool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS tenants (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+			slug TEXT NOT NULL UNIQUE,
+			name TEXT NOT NULL,
+			db_name TEXT NOT NULL UNIQUE,
+			db_dsn TEXT NOT NULL,
+			status TEXT NOT NULL DEFAULT 'active',
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
+			previous_status TEXT,
+			deletion_scheduled_at TIMESTAMPTZ,
+			retention_block_reason TEXT,
+			retention_checked_at TIMESTAMPTZ
+		)`); err != nil {
+		t.Fatalf("registry-schema: %v", err)
+	}
+
+	registry := NewRegistry(registryPool)
+	dsnTemplate := strings.Replace(adminDSN, "/postgres?", "/%s?", 1)
+	provisioner := NewProvisioner(adminPool, registry, dsnTemplate)
+	lifecycle := NewLifecycle(registry, adminPool)
+
+	cleanup := func() {
+		registryPool.Close()
+		adminPool.Close()
+	}
+	_ = provisioner
+	return registry, lifecycle, adminPool, cleanup
+}
+
+func provisionTestTenant(t *testing.T, registry *Registry, adminPool *pgxpool.Pool, slug string) {
+	t.Helper()
+	dsnTemplate := strings.Replace(os.Getenv("TEST_ADMIN_DSN"), "/postgres?", "/%s?", 1)
+	provisioner := NewProvisioner(adminPool, registry, dsnTemplate)
+	if _, err := provisioner.Provision(context.Background(), slug, slug); err != nil {
+		t.Fatalf("provision %s: %v", slug, err)
+	}
+	t.Cleanup(func() {
+		ctx := context.Background()
+		_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbNameForSlug(slug)))
+		_, _ = registry.pool.Exec(ctx, `DELETE FROM tenants WHERE slug = $1`, slug)
+	})
+}
+
+// Akzeptanzkriterium 1 (Suspend) + 2 (Reactivate) + Pruefung 1 (Uebergaenge).
+func TestLifecycle_SuspendAndReactivate(t *testing.T) {
+	registry, _, adminPool, cleanup := newLifecycleTestSetup(t)
+	defer cleanup()
+	provisionTestTenant(t, registry, adminPool, "lc_suspend")
+	ctx := context.Background()
+
+	suspended, err := registry.Suspend(ctx, "lc_suspend")
+	if err != nil {
+		t.Fatalf("suspend: %v", err)
+	}
+	if suspended.Status != StatusSuspended {
+		t.Fatalf("status = %q, want suspended", suspended.Status)
+	}
+
+	reactivated, err := registry.Reactivate(ctx, "lc_suspend")
+	if err != nil {
+		t.Fatalf("reactivate: %v", err)
+	}
+	if reactivated.Status != StatusActive {
+		t.Fatalf("status = %q, want active", reactivated.Status)
+	}
+}
+
+// Pruefung 1: ungueltige Uebergaenge werden abgewiesen.
+func TestLifecycle_RejectsInvalidTransitions(t *testing.T) {
+	registry, _, adminPool, cleanup := newLifecycleTestSetup(t)
+	defer cleanup()
+	provisionTestTenant(t, registry, adminPool, "lc_invalid")
+	ctx := context.Background()
+
+	// Reactivate auf einem bereits aktiven Tenant ist kein gueltiger Uebergang.
+	if _, err := registry.Reactivate(ctx, "lc_invalid"); !errors.Is(err, ErrInvalidTransition) {
+		t.Fatalf("erwartet ErrInvalidTransition, habe %v", err)
+	}
+
+	if _, err := registry.Suspend(ctx, "lc_invalid"); err != nil {
+		t.Fatalf("suspend: %v", err)
+	}
+	// Suspend auf einem bereits suspendierten Tenant ist ebenfalls ungueltig.
+	if _, err := registry.Suspend(ctx, "lc_invalid"); !errors.Is(err, ErrInvalidTransition) {
+		t.Fatalf("erwartet ErrInvalidTransition, habe %v", err)
+	}
+
+	// CancelDeletion ohne vorherige Loeschvormerkung ist ungueltig.
+	if _, err := registry.CancelDeletion(ctx, "lc_invalid"); !errors.Is(err, ErrInvalidTransition) {
+		t.Fatalf("erwartet ErrInvalidTransition, habe %v", err)
+	}
+
+	if _, err := registry.Suspend(ctx, "unbekannter-slug-xyz"); !errors.Is(err, ErrTenantNotFound) {
+		t.Fatalf("erwartet ErrTenantNotFound, habe %v", err)
+	}
+}
+
+// Akzeptanzkriterium 3: Loeschung zweistufig mit Karenzzeit, innerhalb der
+// Frist widerrufbar — sowohl aus 'active' als auch aus 'suspended' heraus,
+// mit exakter Wiederherstellung des jeweiligen Vorzustands.
+func TestLifecycle_ScheduleAndCancelDeletion_RestoresExactPreviousState(t *testing.T) {
+	registry, _, adminPool, cleanup := newLifecycleTestSetup(t)
+	defer cleanup()
+	provisionTestTenant(t, registry, adminPool, "lc_cancel_active")
+	provisionTestTenant(t, registry, adminPool, "lc_cancel_suspended")
+	ctx := context.Background()
+
+	// Fall 1: aus 'active' heraus vorgemerkt und widerrufen.
+	scheduled, err := registry.ScheduleDeletion(ctx, "lc_cancel_active", time.Hour)
+	if err != nil {
+		t.Fatalf("schedule deletion: %v", err)
+	}
+	if scheduled.Status != StatusPendingDeletion {
+		t.Fatalf("status = %q, want pending_deletion", scheduled.Status)
+	}
+	if scheduled.DeletionScheduledAt == nil {
+		t.Fatal("erwartet gesetzte deletion_scheduled_at")
+	}
+
+	restored, err := registry.CancelDeletion(ctx, "lc_cancel_active")
+	if err != nil {
+		t.Fatalf("cancel deletion: %v", err)
+	}
+	if restored.Status != StatusActive {
+		t.Fatalf("status = %q, want active (vorheriger zustand)", restored.Status)
+	}
+
+	// Fall 2: aus 'suspended' heraus vorgemerkt und widerrufen — muss zu
+	// 'suspended' zurueckkehren, NICHT zu 'active'.
+	if _, err := registry.Suspend(ctx, "lc_cancel_suspended"); err != nil {
+		t.Fatalf("suspend: %v", err)
+	}
+	if _, err := registry.ScheduleDeletion(ctx, "lc_cancel_suspended", time.Hour); err != nil {
+		t.Fatalf("schedule deletion: %v", err)
+	}
+	restoredSuspended, err := registry.CancelDeletion(ctx, "lc_cancel_suspended")
+	if err != nil {
+		t.Fatalf("cancel deletion: %v", err)
+	}
+	if restoredSuspended.Status != StatusSuspended {
+		t.Fatalf("status = %q, want suspended (vorheriger zustand)", restoredSuspended.Status)
+	}
+}
+
+// Akzeptanzkriterium 1 + Pruefung 2: suspendierter Tenant erzeugt bei jedem
+// Zugriffsversuch einen klaren Fehler.
+func TestLifecycle_CheckActive_RejectsNonActive(t *testing.T) {
+	registry, lifecycle, adminPool, cleanup := newLifecycleTestSetup(t)
+	defer cleanup()
+	provisionTestTenant(t, registry, adminPool, "lc_checkactive")
+	ctx := context.Background()
+
+	if err := lifecycle.CheckActive(ctx, "lc_checkactive"); err != nil {
+		t.Fatalf("aktiver tenant sollte durchgehen, habe %v", err)
+	}
+
+	if _, err := registry.Suspend(ctx, "lc_checkactive"); err != nil {
+		t.Fatalf("suspend: %v", err)
+	}
+
+	for i := 0; i < 3; i++ {
+		if err := lifecycle.CheckActive(ctx, "lc_checkactive"); !errors.Is(err, ErrTenantNotActive) {
+			t.Fatalf("versuch %d: erwartet ErrTenantNotActive, habe %v", i, err)
+		}
+	}
+
+	if err := lifecycle.CheckActive(ctx, "nie-registriert"); !errors.Is(err, ErrTenantNotFound) {
+		t.Fatalf("erwartet ErrTenantNotFound, habe %v", err)
+	}
+}
+
+// Akzeptanzkriterium 3 + Pruefung 3: Loeschvorgang nach Ablauf der Karenzzeit
+// automatisch ausgeloest (hier durch direkten Aufruf von ProcessDueDeletions,
+// das RunSweeper periodisch aufruft).
+func TestLifecycle_ProcessDueDeletions(t *testing.T) {
+	registry, lifecycle, adminPool, cleanup := newLifecycleTestSetup(t)
+	defer cleanup()
+	provisionTestTenant(t, registry, adminPool, "lc_due")
+	provisionTestTenant(t, registry, adminPool, "lc_not_due")
+	ctx := context.Background()
+
+	// lc_due: Karenzzeit liegt bereits in der Vergangenheit -> faellig.
+	if _, err := registry.ScheduleDeletion(ctx, "lc_due", -time.Minute); err != nil {
+		t.Fatalf("schedule deletion (due): %v", err)
+	}
+	// lc_not_due: Karenzzeit liegt weit in der Zukunft -> nicht faellig.
+	if _, err := registry.ScheduleDeletion(ctx, "lc_not_due", time.Hour); err != nil {
+		t.Fatalf("schedule deletion (not due): %v", err)
+	}
+
+	processed, err := lifecycle.ProcessDueDeletions(ctx)
+	if err != nil {
+		t.Fatalf("process due deletions: %v", err)
+	}
+	if processed != 1 {
+		t.Fatalf("erwartet genau 1 verarbeitete loeschung, habe %d", processed)
+	}
+
+	due, err := registry.GetBySlug(ctx, "lc_due")
+	if err != nil {
+		t.Fatalf("get lc_due: %v", err)
+	}
+	if due.Status != StatusDeleted {
+		t.Fatalf("lc_due status = %q, want deleted", due.Status)
+	}
+
+	notDue, err := registry.GetBySlug(ctx, "lc_not_due")
+	if err != nil {
+		t.Fatalf("get lc_not_due: %v", err)
+	}
+	if notDue.Status != StatusPendingDeletion {
+		t.Fatalf("lc_not_due status = %q, want pending_deletion (noch nicht faellig)", notDue.Status)
+	}
+
+	// Datenbank von lc_due wurde tatsaechlich physisch entfernt.
+	var exists bool
+	if err := adminPool.QueryRow(ctx, `SELECT EXISTS(SELECT 1 FROM pg_database WHERE datname = $1)`,
+		dbNameForSlug("lc_due")).Scan(&exists); err != nil {
+		t.Fatalf("pg_database pruefen: %v", err)
+	}
+	if exists {
+		t.Fatal("erwartet, dass die tenant-datenbank von lc_due geloescht wurde")
+	}
+}

internal/tenant/registry.go

@@ -35,13 +35,20 @@ func (r *Registry) insertTx(ctx context.Context, tx pgx.Tx, t Tenant) (Tenant, e
 }
 
 func (r *Registry) GetBySlug(ctx context.Context, slug string) (Tenant, error) {
+	// previous_status/deletion_scheduled_at werden mitgelesen, damit TEN-04
+	// (internal/tenant/lifecycle.go) den vollstaendigen Lebenszyklus-Zustand
+	// ueber GetBySlug ansehen kann, statt eine eigene Abfrage zu duplizieren.
+	// retention_block_reason/retention_checked_at (TEN-08) aus demselben Grund
+	// fuer die Admin-Einsehbarkeit des Sperrgrunds (Akzeptanzkriterium 2).
 	var t Tenant
 	row := r.pool.QueryRow(ctx, `
-		SELECT id, slug, name, db_name, db_dsn, status, created_at
+		SELECT id, slug, name, db_name, db_dsn, status, created_at, previous_status, deletion_scheduled_at,
+		       retention_block_reason, retention_checked_at
 		FROM tenants WHERE slug = $1
 	`, slug)
 
-	if err := row.Scan(&t.ID, &t.Slug, &t.Name, &t.DBName, &t.DBDSN, &t.Status, &t.CreatedAt); err != nil {
+	if err := row.Scan(&t.ID, &t.Slug, &t.Name, &t.DBName, &t.DBDSN, &t.Status, &t.CreatedAt,
+		&t.PreviousStatus, &t.DeletionScheduledAt, &t.RetentionBlockReason, &t.RetentionCheckedAt); err != nil {
 		return Tenant{}, fmt.Errorf("tenant laden: %w", err)
 	}
 	return t, nil

internal/tenant/retention.go

@@ -0,0 +1,34 @@
+package tenant
+
+import "context"
+
+// RetentionResult ist das Ergebnis einer Pruefung gegen Archive RET-03/CMP-06
+// vor einer endgueltigen Tenant-Loeschung (TEN-08).
+type RetentionResult struct {
+	// Blocked ist true, solange GoBD-relevante Daten des Tenants unter
+	// Aufbewahrungspflicht oder Legal Hold stehen (Akzeptanzkriterium 1).
+	Blocked bool
+	// Reason beschreibt Aufbewahrungsklasse/Frist oder Legal-Hold-Grund,
+	// fuer Admins einsehbar (Akzeptanzkriterium 2). Nur aussagekraeftig, wenn Blocked true ist.
+	Reason string
+}
+
+// RetentionChecker ist die Schnittstelle zu Archive RET-03 (Loeschworkflow &
+// Aufbewahrungssperre) / CMP-06 (Vier-Augen-Freigabe fuer Loeschungen).
+// Core kennt bewusst keine Retention-Logik selbst — diese Kachel ruft nur auf,
+// siehe TEN-08 "Nicht Bestandteil dieser Kachel". Solange Archive RET-03 noch
+// nicht implementiert ist, wird ein no-op-Checker verwendet (siehe
+// NoRetentionCheck), der niemals blockiert — Core faellt damit auf das
+// TEN-04-Verhalten vor diesem Ticket zurueck, statt fehlzuschlagen.
+type RetentionChecker interface {
+	CheckTenantRetention(ctx context.Context, tenantID string) (RetentionResult, error)
+}
+
+// NoRetentionCheck ist der Platzhalter-Checker, solange Archive RET-03 noch
+// nicht angebunden ist — blockiert nie. Wird in Produktion durch den echten
+// HTTP-Client gegen Archive ersetzt, sobald RET-03 existiert.
+type NoRetentionCheck struct{}
+
+func (NoRetentionCheck) CheckTenantRetention(context.Context, string) (RetentionResult, error) {
+	return RetentionResult{Blocked: false}, nil
+}

internal/tenant/retention_test.go

@@ -0,0 +1,164 @@
+package tenant
+
+import (
+	"context"
+	"testing"
+	"time"
+)
+
+// fakeRetentionChecker simuliert Archive RET-03/CMP-06 in Tests — echte
+// Anbindung existiert noch nicht (siehe retention.go), diese Kachel ruft nur auf.
+type fakeRetentionChecker struct {
+	blocked map[string]string // tenantID -> Grund
+}
+
+func (f fakeRetentionChecker) CheckTenantRetention(_ context.Context, tenantID string) (RetentionResult, error) {
+	if reason, ok := f.blocked[tenantID]; ok {
+		return RetentionResult{Blocked: true, Reason: reason}, nil
+	}
+	return RetentionResult{Blocked: false}, nil
+}
+
+// Akzeptanzkriterium 1 + Pruefung 1: Loeschung eines Tenants mit aktiver
+// GoBD-Aufbewahrungspflicht wird abgewiesen, Grund wird protokolliert
+// (Akzeptanzkriterium 2).
+func TestLifecycle_ProcessDueDeletions_BlockedByRetention(t *testing.T) {
+	registry, lifecycle, adminPool, cleanup := newLifecycleTestSetup(t)
+	defer cleanup()
+	provisionTestTenant(t, registry, adminPool, "lc_retention_blocked")
+	ctx := context.Background()
+
+	tenantBeforeSchedule, err := registry.GetBySlug(ctx, "lc_retention_blocked")
+	if err != nil {
+		t.Fatalf("get tenant: %v", err)
+	}
+	if _, err := registry.ScheduleDeletion(ctx, "lc_retention_blocked", -time.Minute); err != nil {
+		t.Fatalf("schedule deletion: %v", err)
+	}
+
+	lifecycle.WithRetentionChecker(fakeRetentionChecker{
+		blocked: map[string]string{
+			tenantBeforeSchedule.ID: "GoBD-Aufbewahrungsfrist bis 2034-01-01 (Buchungsbeleg-Klasse)",
+		},
+	})
+
+	processed, err := lifecycle.ProcessDueDeletions(ctx)
+	if err != nil {
+		t.Fatalf("process due deletions: %v", err)
+	}
+	if processed != 0 {
+		t.Fatalf("erwartet 0 tatsaechlich verarbeitete loeschungen, habe %d", processed)
+	}
+
+	after, err := registry.GetBySlug(ctx, "lc_retention_blocked")
+	if err != nil {
+		t.Fatalf("get tenant nach sweep: %v", err)
+	}
+	if after.Status != StatusPendingDeletion {
+		t.Fatalf("status = %q, want pending_deletion (gesperrt, nicht geloescht)", after.Status)
+	}
+	if after.RetentionBlockReason == nil || *after.RetentionBlockReason == "" {
+		t.Fatal("erwartet gesetzten retention_block_reason (Akzeptanzkriterium 2)")
+	}
+	if after.RetentionCheckedAt == nil {
+		t.Fatal("erwartet gesetzten retention_checked_at")
+	}
+
+	var exists bool
+	if err := adminPool.QueryRow(ctx, `SELECT EXISTS(SELECT 1 FROM pg_database WHERE datname = $1)`,
+		dbNameForSlug("lc_retention_blocked")).Scan(&exists); err != nil {
+		t.Fatalf("pg_database pruefen: %v", err)
+	}
+	if !exists {
+		t.Fatal("tenant-datenbank haette NICHT geloescht werden duerfen (retention-sperre)")
+	}
+}
+
+// Akzeptanzkriterium 1 + Pruefung 2: Loeschung eines Tenants mit Legal Hold
+// wird ebenfalls abgewiesen — derselbe Mechanismus wie GoBD-Frist, nur anderer Grund.
+func TestLifecycle_ProcessDueDeletions_BlockedByLegalHold(t *testing.T) {
+	registry, lifecycle, adminPool, cleanup := newLifecycleTestSetup(t)
+	defer cleanup()
+	provisionTestTenant(t, registry, adminPool, "lc_legal_hold")
+	ctx := context.Background()
+
+	tenant, err := registry.GetBySlug(ctx, "lc_legal_hold")
+	if err != nil {
+		t.Fatalf("get tenant: %v", err)
+	}
+	if _, err := registry.ScheduleDeletion(ctx, "lc_legal_hold", -time.Minute); err != nil {
+		t.Fatalf("schedule deletion: %v", err)
+	}
+
+	lifecycle.WithRetentionChecker(fakeRetentionChecker{
+		blocked: map[string]string{
+			tenant.ID: "Legal Hold: laufendes Gerichtsverfahren, Aktenzeichen XY-2026-042",
+		},
+	})
+
+	if _, err := lifecycle.ProcessDueDeletions(ctx); err != nil {
+		t.Fatalf("process due deletions: %v", err)
+	}
+
+	after, err := registry.GetBySlug(ctx, "lc_legal_hold")
+	if err != nil {
+		t.Fatalf("get tenant nach sweep: %v", err)
+	}
+	if after.Status != StatusPendingDeletion {
+		t.Fatalf("status = %q, want pending_deletion", after.Status)
+	}
+	if after.RetentionBlockReason == nil || *after.RetentionBlockReason == "" {
+		t.Fatal("erwartet gesetzten retention_block_reason")
+	}
+}
+
+// Akzeptanzkriterium 3 + Pruefung 3: nach Aufhebung aller Sperren wird die
+// Loeschung bei der naechsten Sweep-Runde automatisch ausgefuehrt — kein
+// manueller Re-Trigger noetig, derselbe Sweeper-Aufruf greift erneut.
+func TestLifecycle_ProcessDueDeletions_ExecutesAfterRetentionCleared(t *testing.T) {
+	registry, lifecycle, adminPool, cleanup := newLifecycleTestSetup(t)
+	defer cleanup()
+	provisionTestTenant(t, registry, adminPool, "lc_retention_cleared")
+	ctx := context.Background()
+
+	tenant, err := registry.GetBySlug(ctx, "lc_retention_cleared")
+	if err != nil {
+		t.Fatalf("get tenant: %v", err)
+	}
+	if _, err := registry.ScheduleDeletion(ctx, "lc_retention_cleared", -time.Minute); err != nil {
+		t.Fatalf("schedule deletion: %v", err)
+	}
+
+	blockingChecker := fakeRetentionChecker{blocked: map[string]string{tenant.ID: "Aufbewahrungsfrist laeuft noch"}}
+	lifecycle.WithRetentionChecker(blockingChecker)
+
+	if _, err := lifecycle.ProcessDueDeletions(ctx); err != nil {
+		t.Fatalf("erster sweep (blockiert): %v", err)
+	}
+	blockedState, err := registry.GetBySlug(ctx, "lc_retention_cleared")
+	if err != nil {
+		t.Fatalf("get tenant nach erstem sweep: %v", err)
+	}
+	if blockedState.Status != StatusPendingDeletion {
+		t.Fatalf("status nach erstem sweep = %q, want pending_deletion", blockedState.Status)
+	}
+
+	// Sperre aufgehoben: naechster Checker blockiert nicht mehr (fakeRetentionChecker.blocked leer).
+	lifecycle.WithRetentionChecker(fakeRetentionChecker{})
+
+	processed, err := lifecycle.ProcessDueDeletions(ctx)
+	if err != nil {
+		t.Fatalf("zweiter sweep (unblockiert): %v", err)
+	}
+	if processed != 1 {
+		t.Fatalf("erwartet genau 1 verarbeitete loeschung im zweiten sweep, habe %d", processed)
+	}
+
+	final, err := registry.GetBySlug(ctx, "lc_retention_cleared")
+	if err != nil {
+		t.Fatalf("get tenant nach zweitem sweep: %v", err)
+	}
+	if final.Status != StatusDeleted {
+		t.Fatalf("status = %q, want deleted", final.Status)
+	}
+}

internal/tenant/router.go

@@ -1,136 +0,0 @@
-package tenant
-
-import (
-	"container/list"
-	"context"
-	"errors"
-	"fmt"
-	"sync"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// ErrMissingTenantContext wird geliefert, wenn keine Tenant-Kennung
-// uebergeben wurde — es gibt bewusst keinen impliziten Default-Tenant
-// (TEN-06 Akzeptanzkriterium 3).
-var ErrMissingTenantContext = errors.New("tenant: kein tenant-kontext angegeben")
-
-// ErrUnknownTenant wird geliefert, wenn die Tenant-Kennung in der Registry
-// nicht existiert.
-var ErrUnknownTenant = errors.New("tenant: unbekannter tenant")
-
-// Router loest den Tenant-Kontext (Slug, aus dem JWT-Claim von API-05) in
-// eine wiederverwendbare Verbindung zur richtigen Tenant-Datenbank auf.
-// Ein LRU-verwalteter Cache begrenzt die Zahl gleichzeitig offener
-// pgxpool.Pool-Instanzen, damit die Zahl offener Postgres-Verbindungen NICHT
-// linear mit der Mandantenzahl waechst (Akzeptanzkriterium 2).
-type Router struct {
-	registry *Registry
-	maxOpen  int
-
-	mu    sync.Mutex
-	order *list.List               // vorne = zuletzt benutzt
-	items map[string]*list.Element // slug -> element mit *routerEntry
-}
-
-type routerEntry struct {
-	slug string
-	pool *pgxpool.Pool
-}
-
-func NewRouter(registry *Registry, maxOpen int) *Router {
-	if maxOpen < 1 {
-		maxOpen = 1
-	}
-	return &Router{
-		registry: registry,
-		maxOpen:  maxOpen,
-		order:    list.New(),
-		items:    make(map[string]*list.Element),
-	}
-}
-
-// Resolve liefert einen wiederverwendeten Pool fuer den angegebenen Tenant.
-// Ist der Tenant bereits im Cache, wird KEINE neue Verbindung aufgebaut
-// (Akzeptanzkriterium 2 / Pruefung 3).
-func (r *Router) Resolve(ctx context.Context, tenantSlug string) (*pgxpool.Pool, error) {
-	if tenantSlug == "" {
-		return nil, ErrMissingTenantContext
-	}
-
-	r.mu.Lock()
-	if el, ok := r.items[tenantSlug]; ok {
-		r.order.MoveToFront(el)
-		pool := el.Value.(*routerEntry).pool
-		r.mu.Unlock()
-		return pool, nil
-	}
-	r.mu.Unlock()
-
-	// Registry-Lookup und Verbindungsaufbau bewusst ausserhalb des Locks,
-	// damit ein langsamer Verbindungsaufbau nicht alle anderen Tenants blockiert.
-	t, err := r.registry.GetBySlug(ctx, tenantSlug)
-	if err != nil {
-		return nil, fmt.Errorf("%w: %s", ErrUnknownTenant, tenantSlug)
-	}
-
-	pool, err := pgxpool.New(ctx, t.DBDSN)
-	if err != nil {
-		return nil, fmt.Errorf("verbindung zu tenant %q aufbauen: %w", tenantSlug, err)
-	}
-
-	r.mu.Lock()
-	defer r.mu.Unlock()
-
-	// Zwischen Unlock oben und hier koennte ein paralleler Aufruf denselben
-	// Tenant bereits eingefuegt haben — dann die eigene, ueberzaehlige
-	// Verbindung wieder schliessen und die vorhandene verwenden.
-	if el, ok := r.items[tenantSlug]; ok {
-		r.order.MoveToFront(el)
-		existing := el.Value.(*routerEntry).pool
-		pool.Close()
-		return existing, nil
-	}
-
-	el := r.order.PushFront(&routerEntry{slug: tenantSlug, pool: pool})
-	r.items[tenantSlug] = el
-
-	if r.order.Len() > r.maxOpen {
-		r.evictOldest()
-	}
-
-	return pool, nil
-}
-
-// evictOldest schliesst den am laengsten nicht genutzten Pool. Muss mit
-// gehaltenem r.mu aufgerufen werden.
-func (r *Router) evictOldest() {
-	oldest := r.order.Back()
-	if oldest == nil {
-		return
-	}
-	entry := oldest.Value.(*routerEntry)
-	r.order.Remove(oldest)
-	delete(r.items, entry.slug)
-	entry.pool.Close()
-}
-
-// OpenCount liefert die aktuelle Zahl offen gehaltener Tenant-Pools —
-// dient Tests/Monitoring, um AC2 nachzuweisen.
-func (r *Router) OpenCount() int {
-	r.mu.Lock()
-	defer r.mu.Unlock()
-	return r.order.Len()
-}
-
-// Close schliesst alle offen gehaltenen Tenant-Pools, z.B. beim
-// Herunterfahren des Core-Prozesses.
-func (r *Router) Close() {
-	r.mu.Lock()
-	defer r.mu.Unlock()
-	for el := r.order.Front(); el != nil; el = el.Next() {
-		el.Value.(*routerEntry).pool.Close()
-	}
-	r.order.Init()
-	r.items = make(map[string]*list.Element)
-}

internal/tenant/router_test.go

@@ -1,160 +0,0 @@
-package tenant
-
-import (
-	"context"
-	"errors"
-	"fmt"
-	"os"
-	"strings"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-func newTestRouterSetup(t *testing.T, tenantCount int) (*Router, []Tenant, func()) {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	adminPool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("admin pool: %v", err)
-	}
-	registryPool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("registry pool: %v", err)
-	}
-	if _, err := registryPool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS tenants (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-			slug TEXT NOT NULL UNIQUE,
-			name TEXT NOT NULL,
-			db_name TEXT NOT NULL UNIQUE,
-			db_dsn TEXT NOT NULL,
-			status TEXT NOT NULL DEFAULT 'active',
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		)`); err != nil {
-		t.Fatalf("registry-schema: %v", err)
-	}
-
-	registry := NewRegistry(registryPool)
-	dsnTemplate := strings.Replace(adminDSN, "/postgres?", "/%s?", 1)
-	provisioner := NewProvisioner(adminPool, registry, dsnTemplate)
-
-	var tenants []Tenant
-	var slugs []string
-	for i := 0; i < tenantCount; i++ {
-		slug := fmt.Sprintf("router_t%d", i)
-		slugs = append(slugs, slug)
-		tn, err := provisioner.Provision(ctx, slug, slug)
-		if err != nil {
-			t.Fatalf("provision %s: %v", slug, err)
-		}
-		tenants = append(tenants, tn)
-	}
-
-	router := NewRouter(registry, 2) // klein gewaehlt, um Eviction im Test zu erzwingen
-
-	cleanup := func() {
-		router.Close()
-		for _, slug := range slugs {
-			_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbNameForSlug(slug)))
-		}
-		_, _ = registryPool.Exec(ctx, `DELETE FROM tenants WHERE slug = ANY($1)`, slugs)
-		registryPool.Close()
-		adminPool.Close()
-	}
-	return router, tenants, cleanup
-}
-
-// Akzeptanzkriterium 1: Verbindung wird zuverlaessig anhand des Tenant-Kontexts aufgeloest.
-func TestRouter_ResolvesCorrectTenantDatabase(t *testing.T) {
-	router, tenants, cleanup := newTestRouterSetup(t, 2)
-	defer cleanup()
-	ctx := context.Background()
-
-	pool, err := router.Resolve(ctx, tenants[0].Slug)
-	if err != nil {
-		t.Fatalf("resolve: %v", err)
-	}
-	var dbName string
-	if err := pool.QueryRow(ctx, `SELECT current_database()`).Scan(&dbName); err != nil {
-		t.Fatalf("current_database: %v", err)
-	}
-	if dbName != tenants[0].DBName {
-		t.Fatalf("current_database() = %q, want %q", dbName, tenants[0].DBName)
-	}
-}
-
-// Akzeptanzkriterium 3 + Pruefung 2: fehlender/unbekannter Tenant-Kontext
-// wird explizit abgewiesen statt irgendeine Verbindung zu liefern.
-func TestRouter_RejectsMissingOrUnknownTenant(t *testing.T) {
-	router, _, cleanup := newTestRouterSetup(t, 1)
-	defer cleanup()
-	ctx := context.Background()
-
-	if _, err := router.Resolve(ctx, ""); !errors.Is(err, ErrMissingTenantContext) {
-		t.Fatalf("erwartet ErrMissingTenantContext, habe %v", err)
-	}
-	if _, err := router.Resolve(ctx, "nie-registrierter-slug"); !errors.Is(err, ErrUnknownTenant) {
-		t.Fatalf("erwartet ErrUnknownTenant, habe %v", err)
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 3: Verbindungswiederverwendung nachweislich
-// gemessen — zweiter Resolve-Aufruf liefert exakt denselben Pool, kein
-// erneuter Verbindungsaufbau.
-func TestRouter_ReusesConnectionForSameTenant(t *testing.T) {
-	router, tenants, cleanup := newTestRouterSetup(t, 1)
-	defer cleanup()
-	ctx := context.Background()
-
-	first, err := router.Resolve(ctx, tenants[0].Slug)
-	if err != nil {
-		t.Fatalf("resolve 1: %v", err)
-	}
-	second, err := router.Resolve(ctx, tenants[0].Slug)
-	if err != nil {
-		t.Fatalf("resolve 2: %v", err)
-	}
-	if first != second {
-		t.Fatal("erwartet identische pool-instanz bei wiederholtem resolve, habe unterschiedliche")
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 1: Lasttest mit mehr simulierten Mandanten
-// als maxOpen — die Zahl gleichzeitig offener Tenant-Pools bleibt begrenzt
-// (LRU-Eviction), waechst also NICHT linear mit der Mandantenzahl.
-func TestRouter_BoundsOpenConnectionsUnderLoad(t *testing.T) {
-	const tenantCount = 6
-	router, tenants, cleanup := newTestRouterSetup(t, tenantCount)
-	defer cleanup()
-	ctx := context.Background()
-
-	for _, tn := range tenants {
-		if _, err := router.Resolve(ctx, tn.Slug); err != nil {
-			t.Fatalf("resolve %s: %v", tn.Slug, err)
-		}
-		if router.OpenCount() > 2 {
-			t.Fatalf("OpenCount() = %d, erwartet <= maxOpen (2) nach jedem Resolve", router.OpenCount())
-		}
-	}
-
-	if router.OpenCount() != 2 {
-		t.Fatalf("erwartet genau maxOpen=2 offene pools nach %d tenants, habe %d", tenantCount, router.OpenCount())
-	}
-
-	// Evictete Tenants sind wieder ganz normal ueber die Registry aufloesbar
-	// (Cache-Miss fuehrt zu neuem, funktionierendem Pool, kein Fehlerzustand).
-	pool, err := router.Resolve(ctx, tenants[0].Slug)
-	if err != nil {
-		t.Fatalf("resolve nach eviction: %v", err)
-	}
-	var one int
-	if err := pool.QueryRow(ctx, `SELECT 1`).Scan(&one); err != nil {
-		t.Fatalf("query nach re-resolve: %v", err)
-	}
-}

internal/tenant/tenant.go

@@ -12,6 +12,10 @@ type Status string
 
 const (
 	StatusActive Status = "active"
+	// Lebenszyklus-Zustaende aus TEN-04 (siehe internal/tenant/lifecycle.go).
+	StatusSuspended       Status = "suspended"
+	StatusPendingDeletion Status = "pending_deletion"
+	StatusDeleted         Status = "deleted"
 )
 
 type Tenant struct {
@@ -22,6 +26,16 @@ type Tenant struct {
 	DBDSN     string
 	Status    Status
 	CreatedAt time.Time
+	// PreviousStatus und DeletionScheduledAt sind nur waehrend
+	// StatusPendingDeletion gesetzt (TEN-04) — sie halten fest, in welchen
+	// Zustand CancelDeletion zurueckkehrt und wann die Karenzzeit ablaeuft.
+	PreviousStatus      *string
+	DeletionScheduledAt *time.Time
+	// RetentionBlockReason ist nur gesetzt, wenn eine faellige Loeschung wegen
+	// GoBD-Aufbewahrungspflicht oder Legal Hold zurueckgehalten wurde (TEN-08,
+	// siehe internal/tenant/retention.go) — fuer Admins einsehbar (Akzeptanzkriterium 2).
+	RetentionBlockReason *string
+	RetentionCheckedAt   *time.Time
 }
 
 // slugPattern erzwingt sichere, als SQL-Identifier verwendbare Slugs, damit

internal/user/handler.go

@@ -1,66 +0,0 @@
-package user
-
-import (
-	"encoding/json"
-	"errors"
-	"net/http"
-)
-
-// Handler stellt die CRUD-API fuer Benutzerkonten bereit (IAM-01-Auftrag).
-// Auth/Sessions (IAM-02) und Rollen (RBAC-01) sind ausdruecklich nicht Teil
-// dieser Kachel und daher hier noch nicht angebunden.
-type Handler struct {
-	users       *TenantUserStore
-	superadmins *SuperadminStore
-}
-
-func NewHandler(users *TenantUserStore, superadmins *SuperadminStore) *Handler {
-	return &Handler{users: users, superadmins: superadmins}
-}
-
-type createUserRequest struct {
-	Email string `json:"email"`
-	Name  string `json:"name"`
-}
-
-func (h *Handler) CreateUser(w http.ResponseWriter, r *http.Request) {
-	var req createUserRequest
-	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
-		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
-		return
-	}
-
-	u, err := h.users.Create(r.Context(), req.Email, req.Name)
-	writeUserResult(w, u, err)
-}
-
-// CreateSuperadmin legt ein mandantenuebergreifendes Superadmin-Konto an —
-// bewusst ein eigener Endpunkt statt eines Tenant-Parameters mit Null-Wert.
-func (h *Handler) CreateSuperadmin(w http.ResponseWriter, r *http.Request) {
-	var req createUserRequest
-	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
-		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
-		return
-	}
-
-	u, err := h.superadmins.Create(r.Context(), req.Email, req.Name)
-	writeUserResult(w, u, err)
-}
-
-func writeUserResult(w http.ResponseWriter, u User, err error) {
-	if err != nil {
-		switch {
-		case errors.Is(err, ErrInvalidEmail), errors.Is(err, ErrEmailTaken):
-			http.Error(w, err.Error(), http.StatusBadRequest)
-		case errors.Is(err, ErrNotFound):
-			http.Error(w, err.Error(), http.StatusNotFound)
-		default:
-			http.Error(w, "benutzer konnte nicht verarbeitet werden", http.StatusInternalServerError)
-		}
-		return
-	}
-
-	w.Header().Set("Content-Type", "application/json")
-	w.WriteHeader(http.StatusCreated)
-	_ = json.NewEncoder(w).Encode(u)
-}

internal/user/store_test.go

@@ -1,173 +0,0 @@
-package user
-
-import (
-	"context"
-	"errors"
-	"fmt"
-	"os"
-	"strings"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// setupTestDB legt eine frische, isolierte Testdatenbank an, wendet die
-// uebergebene Migration an und liefert einen verbundenen Pool. Wird ohne
-// TEST_ADMIN_DSN uebersprungen — siehe internal/tenant/provisioner_test.go
-// fuer dasselbe Muster.
-func setupTestDB(t *testing.T, dbName, schemaSQL string) *pgxpool.Pool {
-	t.Helper()
-
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	adminPool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("admin pool: %v", err)
-	}
-
-	_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
-	if _, err := adminPool.Exec(ctx, fmt.Sprintf(`CREATE DATABASE %q`, dbName)); err != nil {
-		t.Fatalf("testdatenbank anlegen: %v", err)
-	}
-
-	dsn := strings.Replace(adminDSN, "/postgres?", "/"+dbName+"?", 1)
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		t.Fatalf("connect testdatenbank: %v", err)
-	}
-
-	if _, err := pool.Exec(ctx, schemaSQL); err != nil {
-		t.Fatalf("schema anwenden: %v", err)
-	}
-
-	t.Cleanup(func() {
-		pool.Close()
-		_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
-		adminPool.Close()
-	})
-
-	return pool
-}
-
-const usersSchema = `
-CREATE EXTENSION IF NOT EXISTS pgcrypto;
-CREATE TABLE users (
-	id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-	email TEXT NOT NULL UNIQUE,
-	name TEXT NOT NULL,
-	status TEXT NOT NULL DEFAULT 'active',
-	created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-	updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-);`
-
-const superadminsSchema = `
-CREATE EXTENSION IF NOT EXISTS pgcrypto;
-CREATE TABLE superadmins (
-	id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-	email TEXT NOT NULL UNIQUE,
-	name TEXT NOT NULL,
-	status TEXT NOT NULL DEFAULT 'active',
-	created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-	updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
-);`
-
-// Akzeptanzkriterium 1 + 3, Pruefung 1 (inkl. Negativfall doppelte E-Mail).
-func TestTenantUserStore_CRUD(t *testing.T) {
-	pool := setupTestDB(t, "test_iam01_users", usersSchema)
-	store := NewTenantUserStore(pool)
-	ctx := context.Background()
-
-	created, err := store.Create(ctx, "alice@example.com", "Alice")
-	if err != nil {
-		t.Fatalf("create: %v", err)
-	}
-	if created.Status != StatusActive {
-		t.Fatalf("erwartet status active, hat %q", created.Status)
-	}
-
-	got, err := store.Get(ctx, created.ID)
-	if err != nil {
-		t.Fatalf("get: %v", err)
-	}
-	if got.Email != "alice@example.com" {
-		t.Fatalf("get email = %q", got.Email)
-	}
-
-	updated, err := store.Update(ctx, created.ID, "", "Alice A.")
-	if err != nil {
-		t.Fatalf("update: %v", err)
-	}
-	if updated.Name != "Alice A." || updated.Email != "alice@example.com" {
-		t.Fatalf("update ergebnis unerwartet: %+v", updated)
-	}
-
-	list, err := store.List(ctx)
-	if err != nil {
-		t.Fatalf("list: %v", err)
-	}
-	if len(list) != 1 {
-		t.Fatalf("erwartet 1 benutzer, habe %d", len(list))
-	}
-
-	deactivated, err := store.Deactivate(ctx, created.ID)
-	if err != nil {
-		t.Fatalf("deactivate: %v", err)
-	}
-	if deactivated.Status != StatusInactive {
-		t.Fatalf("erwartet status inactive, hat %q", deactivated.Status)
-	}
-
-	// Negativfall: doppelte E-Mail-Adresse.
-	if _, err := store.Create(ctx, "second@example.com", "Bob"); err != nil {
-		t.Fatalf("create second: %v", err)
-	}
-	if _, err := store.Create(ctx, "second@example.com", "Bob Zwei"); !errors.Is(err, ErrEmailTaken) {
-		t.Fatalf("erwartet ErrEmailTaken, habe %v", err)
-	}
-
-	// Negativfall: fehlender Benutzer.
-	if _, err := store.Get(ctx, created.ID+"-nicht-vorhanden"); err == nil {
-		t.Fatalf("erwartet fehler bei unbekannter/ungueltiger id")
-	}
-}
-
-// Akzeptanzkriterium 2 + Pruefung 2: Superadmin-Anlage ohne Tenant-Kontext.
-// SuperadminStore.Create hat keinen Tenant-Parameter — es gibt syntaktisch
-// keine Moeglichkeit, hier versehentlich einen Tenant-Sonderfall zu vergessen.
-func TestSuperadminStore_CreateWithoutTenantContext(t *testing.T) {
-	pool := setupTestDB(t, "test_iam01_superadmins", superadminsSchema)
-	store := NewSuperadminStore(pool)
-	ctx := context.Background()
-
-	created, err := store.Create(ctx, "root@nexarch.internal", "Root")
-	if err != nil {
-		t.Fatalf("create superadmin: %v", err)
-	}
-	if created.Status != StatusActive {
-		t.Fatalf("erwartet status active, hat %q", created.Status)
-	}
-
-	got, err := store.Get(ctx, created.ID)
-	if err != nil {
-		t.Fatalf("get: %v", err)
-	}
-	if got.Email != "root@nexarch.internal" {
-		t.Fatalf("get email = %q", got.Email)
-	}
-
-	if _, err := store.Create(ctx, "root@nexarch.internal", "Root Zwei"); !errors.Is(err, ErrEmailTaken) {
-		t.Fatalf("erwartet ErrEmailTaken (globale eindeutigkeit), habe %v", err)
-	}
-
-	deactivated, err := store.Deactivate(ctx, created.ID)
-	if err != nil {
-		t.Fatalf("deactivate: %v", err)
-	}
-	if deactivated.Status != StatusInactive {
-		t.Fatalf("erwartet status inactive, hat %q", deactivated.Status)
-	}
-}

internal/user/superadmin_store.go

@@ -1,77 +0,0 @@
-package user
-
-import (
-	"context"
-	"fmt"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// SuperadminStore verwaltet mandantenuebergreifende Superadmin-Konten in der
-// Control-Plane-Registry (siehe internal/tenant.Registry). Superadmin-ohne-
-// Tenant ist dadurch ein eigener Typ statt eines Sonderfalls von User/
-// TenantUserStore — es gibt keinen Tenant-Parameter, den man weglassen
-// koennte (IAM-01, "ohne Sonderbehandlung im Code").
-type SuperadminStore struct {
-	pool *pgxpool.Pool
-}
-
-func NewSuperadminStore(pool *pgxpool.Pool) *SuperadminStore {
-	return &SuperadminStore{pool: pool}
-}
-
-func (s *SuperadminStore) Create(ctx context.Context, email, name string) (User, error) {
-	if err := ValidateEmail(email); err != nil {
-		return User{}, err
-	}
-
-	var u User
-	u.Email, u.Name, u.Status = email, name, StatusActive
-
-	row := s.pool.QueryRow(ctx, `
-		INSERT INTO superadmins (email, name, status)
-		VALUES ($1, $2, $3)
-		RETURNING id, created_at, updated_at
-	`, u.Email, u.Name, u.Status)
-
-	if err := row.Scan(&u.ID, &u.CreatedAt, &u.UpdatedAt); err != nil {
-		return User{}, mapWriteErr(err)
-	}
-	return u, nil
-}
-
-func (s *SuperadminStore) Get(ctx context.Context, id string) (User, error) {
-	return scanUser(s.pool.QueryRow(ctx, `
-		SELECT id, email, name, status, created_at, updated_at
-		FROM superadmins WHERE id = $1
-	`, id))
-}
-
-func (s *SuperadminStore) List(ctx context.Context) ([]User, error) {
-	rows, err := s.pool.Query(ctx, `
-		SELECT id, email, name, status, created_at, updated_at
-		FROM superadmins ORDER BY created_at
-	`)
-	if err != nil {
-		return nil, fmt.Errorf("superadmins auflisten: %w", err)
-	}
-	defer rows.Close()
-
-	var out []User
-	for rows.Next() {
-		var u User
-		if err := rows.Scan(&u.ID, &u.Email, &u.Name, &u.Status, &u.CreatedAt, &u.UpdatedAt); err != nil {
-			return nil, fmt.Errorf("superadmin lesen: %w", err)
-		}
-		out = append(out, u)
-	}
-	return out, rows.Err()
-}
-
-func (s *SuperadminStore) Deactivate(ctx context.Context, id string) (User, error) {
-	return scanUser(s.pool.QueryRow(ctx, `
-		UPDATE superadmins SET status = $2, updated_at = now()
-		WHERE id = $1
-		RETURNING id, email, name, status, created_at, updated_at
-	`, id, StatusInactive))
-}

internal/user/tenant_store.go

@@ -1,173 +0,0 @@
-package user
-
-import (
-	"context"
-	"errors"
-	"fmt"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgconn"
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// TenantUserStore verwaltet Benutzer innerhalb GENAU EINER Tenant-Datenbank.
-// Welcher Mandant gemeint ist, ergibt sich ausschliesslich aus dem
-// uebergebenen Pool — es gibt keine tenant_id-Spalte (siehe migrations/tenant/0001_users.up.sql).
-type TenantUserStore struct {
-	pool *pgxpool.Pool
-}
-
-func NewTenantUserStore(pool *pgxpool.Pool) *TenantUserStore {
-	return &TenantUserStore{pool: pool}
-}
-
-func (s *TenantUserStore) Create(ctx context.Context, email, name string) (User, error) {
-	if err := ValidateEmail(email); err != nil {
-		return User{}, err
-	}
-
-	var u User
-	u.Email, u.Name, u.Status = email, name, StatusActive
-
-	row := s.pool.QueryRow(ctx, `
-		INSERT INTO users (email, name, status)
-		VALUES ($1, $2, $3)
-		RETURNING id, created_at, updated_at
-	`, u.Email, u.Name, u.Status)
-
-	if err := row.Scan(&u.ID, &u.CreatedAt, &u.UpdatedAt); err != nil {
-		return User{}, mapWriteErr(err)
-	}
-	return u, nil
-}
-
-func (s *TenantUserStore) Get(ctx context.Context, id string) (User, error) {
-	return scanUser(s.pool.QueryRow(ctx, `
-		SELECT id, email, name, status, created_at, updated_at
-		FROM users WHERE id = $1
-	`, id))
-}
-
-func (s *TenantUserStore) List(ctx context.Context) ([]User, error) {
-	rows, err := s.pool.Query(ctx, `
-		SELECT id, email, name, status, created_at, updated_at
-		FROM users ORDER BY created_at
-	`)
-	if err != nil {
-		return nil, fmt.Errorf("benutzer auflisten: %w", err)
-	}
-	defer rows.Close()
-
-	var out []User
-	for rows.Next() {
-		var u User
-		if err := rows.Scan(&u.ID, &u.Email, &u.Name, &u.Status, &u.CreatedAt, &u.UpdatedAt); err != nil {
-			return nil, fmt.Errorf("benutzer lesen: %w", err)
-		}
-		out = append(out, u)
-	}
-	return out, rows.Err()
-}
-
-// Update aendert Name und E-Mail. Eine leere email/name laesst das jeweilige
-// Feld unveraendert.
-func (s *TenantUserStore) Update(ctx context.Context, id, email, name string) (User, error) {
-	if email != "" {
-		if err := ValidateEmail(email); err != nil {
-			return User{}, err
-		}
-	}
-
-	row := s.pool.QueryRow(ctx, `
-		UPDATE users
-		SET email = COALESCE(NULLIF($2, ''), email),
-		    name = COALESCE(NULLIF($3, ''), name),
-		    updated_at = now()
-		WHERE id = $1
-		RETURNING id, email, name, status, created_at, updated_at
-	`, id, email, name)
-
-	u, err := scanUser(row)
-	if err != nil {
-		return User{}, mapWriteErr(err)
-	}
-	return u, nil
-}
-
-// Deactivate setzt den Benutzer auf inaktiv statt ihn zu loeschen.
-func (s *TenantUserStore) Deactivate(ctx context.Context, id string) (User, error) {
-	return scanUser(s.pool.QueryRow(ctx, `
-		UPDATE users SET status = $2, updated_at = now()
-		WHERE id = $1
-		RETURNING id, email, name, status, created_at, updated_at
-	`, id, StatusInactive))
-}
-
-// SetPasswordHash schreibt einen bereits berechneten bcrypt-Hash (siehe
-// internal/auth, IAM-02). Der Store selbst kennt kein Klartext-Passwort.
-func (s *TenantUserStore) SetPasswordHash(ctx context.Context, id, hash string) error {
-	tag, err := s.pool.Exec(ctx, `
-		UPDATE users SET password_hash = $2, updated_at = now() WHERE id = $1
-	`, id, hash)
-	if err != nil {
-		return fmt.Errorf("passwort setzen: %w", err)
-	}
-	if tag.RowsAffected() == 0 {
-		return ErrNotFound
-	}
-	return nil
-}
-
-// AuthCredentials wird ausschliesslich fuer den Login-Pfad (internal/auth)
-// verwendet und traegt bewusst den password_hash, damit er nicht ueber den
-// regulaeren User-Typ/JSON-Serialisierungspfad nach aussen dringen kann.
-type AuthCredentials struct {
-	User         User
-	PasswordHash string
-}
-
-// GetByEmailForAuth liefert Benutzer + Passwort-Hash zu einer E-Mail-Adresse
-// aus GENAU DIESER Tenant-Datenbank — der Tenant-Scope ergibt sich damit
-// zwingend aus dem verwendeten Pool, es gibt keine Moeglichkeit, versehentlich
-// ueber Tenant-Grenzen hinweg zu suchen (bekannter archivmail-Fehler, siehe
-// IAM-02 "Bekannte Fehler vermeiden").
-func (s *TenantUserStore) GetByEmailForAuth(ctx context.Context, email string) (AuthCredentials, error) {
-	var c AuthCredentials
-	row := s.pool.QueryRow(ctx, `
-		SELECT id, email, name, status, created_at, updated_at, password_hash
-		FROM users WHERE email = $1
-	`, email)
-
-	if err := row.Scan(&c.User.ID, &c.User.Email, &c.User.Name, &c.User.Status,
-		&c.User.CreatedAt, &c.User.UpdatedAt, &c.PasswordHash); err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return AuthCredentials{}, ErrNotFound
-		}
-		return AuthCredentials{}, fmt.Errorf("anmeldedaten lesen: %w", err)
-	}
-	return c, nil
-}
-
-func scanUser(row pgx.Row) (User, error) {
-	var u User
-	if err := row.Scan(&u.ID, &u.Email, &u.Name, &u.Status, &u.CreatedAt, &u.UpdatedAt); err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return User{}, ErrNotFound
-		}
-		return User{}, fmt.Errorf("benutzer lesen: %w", err)
-	}
-	return u, nil
-}
-
-// mapWriteErr uebersetzt den Unique-Constraint-Verstoss der E-Mail-Spalte in
-// einen sprechenden Fehler statt der rohen Postgres-Fehlermeldung.
-func mapWriteErr(err error) error {
-	var pgErr *pgconn.PgError
-	if errors.As(err, &pgErr) && pgErr.Code == "23505" {
-		return ErrEmailTaken
-	}
-	if errors.Is(err, pgx.ErrNoRows) {
-		return ErrNotFound
-	}
-	return fmt.Errorf("benutzer schreiben: %w", err)
-}

internal/user/user.go

@@ -1,42 +0,0 @@
-// Package user implementiert Core IAM-01: das Benutzer-Datenmodell und die
-// CRUD-Operationen. Tenant-Zugehoerigkeit ist ueber die Zieldatenbank
-// gegeben (Modell C, siehe internal/tenant) — Superadmin-Konten leben
-// dagegen mandantenuebergreifend in der Registry und sind ueber
-// SuperadminStore als eigener, First-Class-Typ modelliert, nicht als
-// tenant_id-NULL-Sonderfall in User.
-package user
-
-import (
-	"errors"
-	"regexp"
-	"time"
-)
-
-type Status string
-
-const (
-	StatusActive   Status = "active"
-	StatusInactive Status = "inactive"
-)
-
-type User struct {
-	ID        string
-	Email     string
-	Name      string
-	Status    Status
-	CreatedAt time.Time
-	UpdatedAt time.Time
-}
-
-var emailPattern = regexp.MustCompile(`^[^\s@]+@[^\s@]+\.[^\s@]+$`)
-
-var ErrInvalidEmail = errors.New("user: ungueltige E-Mail-Adresse")
-var ErrEmailTaken = errors.New("user: E-Mail-Adresse bereits vergeben")
-var ErrNotFound = errors.New("user: nicht gefunden")
-
-func ValidateEmail(email string) error {
-	if !emailPattern.MatchString(email) {
-		return ErrInvalidEmail
-	}
-	return nil
-}

internal/user/user_test.go

@@ -1,24 +0,0 @@
-package user
-
-import "testing"
-
-func TestValidateEmail(t *testing.T) {
-	cases := []struct {
-		email   string
-		wantErr bool
-	}{
-		{"a@b.de", false},
-		{"a.b+c@sub.example.com", false},
-		{"", true},
-		{"keine-email", true},
-		{"a@b", true},
-		{"@b.de", true},
-	}
-
-	for _, c := range cases {
-		err := ValidateEmail(c.email)
-		if (err != nil) != c.wantErr {
-			t.Errorf("ValidateEmail(%q) error = %v, wantErr %v", c.email, err, c.wantErr)
-		}
-	}
-}

migrations/0002_superadmins.down.sql

@@ -1 +0,0 @@
-DROP TABLE IF EXISTS superadmins;

migrations/0002_superadmins.up.sql

@@ -1,14 +0,0 @@
--- Superadmin-Konten arbeiten mandantenuebergreifend und leben deshalb in der
--- Control-Plane-Registry (siehe TEN-01), nicht in einer Tenant-Datenbank.
--- Das bildet "Superadmin ohne Tenant" strukturell als First-Class-Zustand ab,
--- statt ihn als Sonderfall in der Tenant-users-Tabelle zu behandeln
--- (IAM-01, siehe core-kanban/tickets/IAM-01.md — bekannte Fehler vermeiden).
--- E-Mail-Eindeutigkeit ist hier global, da die Registry-DB einmalig existiert.
-CREATE TABLE superadmins (
-    id           UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    email        TEXT NOT NULL UNIQUE,
-    name         TEXT NOT NULL,
-    status       TEXT NOT NULL DEFAULT 'active',
-    created_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
-    updated_at   TIMESTAMPTZ NOT NULL DEFAULT now()
-);

migrations/0003_tenant_lifecycle.down.sql

@@ -0,0 +1,2 @@
+ALTER TABLE tenants DROP COLUMN previous_status;
+ALTER TABLE tenants DROP COLUMN deletion_scheduled_at;

migrations/0003_tenant_lifecycle.up.sql

@@ -0,0 +1,6 @@
+-- Lebenszyklus-Zustaende fuer Mandanten (TEN-04, siehe core-kanban/tickets/TEN-04.md).
+-- previous_status haelt den Zustand VOR einer Loeschvormerkung, damit
+-- CancelDeletion "den vorherigen Zustand vollstaendig wiederherstellt"
+-- (aktiv ODER suspendiert), statt hart auf 'active' zurueckzusetzen.
+ALTER TABLE tenants ADD COLUMN previous_status TEXT;
+ALTER TABLE tenants ADD COLUMN deletion_scheduled_at TIMESTAMPTZ;

migrations/0004_tenant_retention_block.down.sql

@@ -0,0 +1,2 @@
+ALTER TABLE tenants DROP COLUMN retention_block_reason;
+ALTER TABLE tenants DROP COLUMN retention_checked_at;

migrations/0004_tenant_retention_block.up.sql

@@ -0,0 +1,6 @@
+-- TEN-08: Haelt fest, warum eine faellige Tenant-Loeschung zurueckgehalten wurde
+-- (GoBD-Aufbewahrungspflicht oder Legal Hold aus Archive RET-03), damit Admins
+-- den Grund einsehen koennen (Akzeptanzkriterium 2), ohne dass die Registry
+-- selbst modulspezifische Retention-Logik kennen muss — nur den Grund-Text.
+ALTER TABLE tenants ADD COLUMN retention_block_reason TEXT;
+ALTER TABLE tenants ADD COLUMN retention_checked_at TIMESTAMPTZ;

migrations/tenant/0001_users.down.sql

@@ -1 +0,0 @@
-DROP TABLE IF EXISTS users;

migrations/tenant/0001_users.up.sql

@@ -1,16 +0,0 @@
--- Benutzer-Datenmodell (IAM-01, siehe core-kanban/tickets/IAM-01.md).
--- Diese Migration laeuft in der DB EINES Mandanten (Modell C, siehe TEN-01) —
--- die Tenant-Zugehoerigkeit ist implizit durch die Datenbankverbindung
--- gegeben, es gibt daher bewusst KEINE tenant_id-Spalte.
--- E-Mail-Eindeutigkeit ist hier tenant-scoped: der UNIQUE-Constraint gilt
--- nur innerhalb dieser einen Tenant-Datenbank.
-CREATE EXTENSION IF NOT EXISTS pgcrypto;
-
-CREATE TABLE users (
-    id           UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    email        TEXT NOT NULL UNIQUE,
-    name         TEXT NOT NULL,
-    status       TEXT NOT NULL DEFAULT 'active',
-    created_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
-    updated_at   TIMESTAMPTZ NOT NULL DEFAULT now()
-);

migrations/tenant/0002_users_password.down.sql

@@ -1 +0,0 @@
-ALTER TABLE users DROP COLUMN password_hash;

migrations/tenant/0002_users_password.up.sql

@@ -1,3 +0,0 @@
--- Passwort-Hash-Spalte fuer Login (IAM-02, siehe core-kanban/tickets/IAM-02.md).
--- Enthaelt AUSSCHLIESSLICH den bcrypt-Hash, niemals das Klartext-Passwort.
-ALTER TABLE users ADD COLUMN password_hash TEXT NOT NULL DEFAULT '';

scripts/reset-test-env.sh

@@ -1,4 +1,11 @@
 #!/usr/bin/env bash
+# Setzt die nexarch-Testumgebung zurueck: loescht die geteilte
+# Registry-Tabelle "tenants" in der postgres-Wartungsdatenbank sowie alle
+# tenant_*-Datenbanken. Noetig, weil verschiedene Feature-Branches
+# unterschiedliche Registry-Schemata erwarten, aber dieselbe physische
+# Postgres-Instanz auf dem Testhost teilen (siehe [[project-nexarch-test-infra]]).
+#
+# Aufruf: NEXARCH_TEST_DB_PASSWORD=... ./scripts/reset-test-env.sh
 set -euo pipefail
 
 PASS="${NEXARCH_TEST_DB_PASSWORD:?Setze NEXARCH_TEST_DB_PASSWORD vor dem Aufruf}"
@@ -6,7 +13,7 @@ ROLE="nexarch_test"
 
 export PGPASSWORD="$PASS"
 
-psql -h localhost -U "$ROLE" -d postgres -v ON_ERROR_STOP=1 -c "DROP TABLE IF EXISTS tenants CASCADE;"
+psql -h localhost -U "$ROLE" -d postgres -v ON_ERROR_STOP=1 -c "DROP TABLE IF EXISTS tenants;"
 
 dbs=$(psql -h localhost -U "$ROLE" -d postgres -tAc "SELECT datname FROM pg_database WHERE datname LIKE 'tenant\_%' ESCAPE '\'")
 for db in $dbs; do

scripts/run-checks.sh

@@ -1,18 +0,0 @@
-#!/usr/bin/env bash
-set -euo pipefail
-
-PASS="${NEXARCH_TEST_DB_PASSWORD:?Setze NEXARCH_TEST_DB_PASSWORD vor dem Aufruf}"
-cd "$(dirname "$0")/.."
-
-NEXARCH_TEST_DB_PASSWORD="$PASS" bash scripts/reset-test-env.sh
-
-export TEST_ADMIN_DSN="postgresql://nexarch_test:${PASS}@localhost:5432/postgres?sslmode=disable"
-
-echo "== go build =="
-go build ./...
-
-echo "== go vet =="
-go vet ./...
-
-echo "== go test (-p 1) =="
-go test ./... -p 1 -count=1