API-08: SetHeaders-helfer fuer redirect-freie umgebungen + devserver fuer csp-live-verifikation

API-08: security-header-baseline-fuer-alle-frontends (gemeinsame middleware, csp/hsts/coverage-scan)
API-01: rest-api-grundgeruest-versionierung
2026-08-28 09:16:20 +02:00 · 2026-08-28 09:11:33 +02:00 · 2026-08-27 21:32:27 +02:00 · 2026-08-27 18:26:00 +02:00
30 changed files with 1212 additions and 427 deletions
@@ -0,0 +1,40 @@
 // secheaders-devserver dient der manuellen/e2e-Verifikation von API-08
 // (Pruefung 2: CSP blockiert Inline-Script) mit einem echten Browser.
 // Zwei Pfade: /protected (mit Middleware) und /unprotected (ohne) — beide
 // liefern dieselbe Seite mit einem Inline-Script, das ein DOM-Element
 // aendert. Ein echter Browser zeigt den Unterschied.
 package main
 import (
 	"log"
 	"net/http"
 	"gitea.perlbach24.de/scripte/nexarch/internal/secheaders"
 )
 const page = `<!doctype html>
 <html><body>
 <div id="marker">BLOCKED</div>
 <script>document.getElementById('marker').textContent = 'INLINE_RAN';</script>
 </body></html>`
 func servePage(w http.ResponseWriter, r *http.Request) {
 	w.Header().Set("Content-Type", "text/html; charset=utf-8")
 	_, _ = w.Write([]byte(page))
 }
 func main() {
 	cfg := secheaders.DefaultConfig()
 	mux := http.NewServeMux()
 	// SetHeaders statt Middleware: dieser lokale Demo-Server laeuft ohne
 	// TLS-Terminierung, der HTTPS-Redirect-Teil von Middleware wuerde hier
 	// in eine Endlosschleife fuehren (siehe secheaders.go-Dokumentation).
 	mux.HandleFunc("/protected", func(w http.ResponseWriter, r *http.Request) {
 		secheaders.SetHeaders(cfg, w)
 		servePage(w, r)
 	})
 	mux.HandleFunc("/unprotected", servePage)
 	log.Println("secheaders-devserver listening on :8086")
 	log.Fatal(http.ListenAndServe(":8086", mux))
 }
@@ -2,13 +2,16 @@ module gitea.perlbach24.de/scripte/nexarch
 go 1.22
-require github.com/jackc/pgx/v5 v5.6.0
+require (
 	github.com/golang-jwt/jwt/v5 v5.3.1
 	github.com/jackc/pgx/v5 v5.6.0
 	golang.org/x/crypto v0.17.0
 )
 require (
 	github.com/jackc/pgpassfile v1.0.0 // indirect
 	github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a // indirect
 	github.com/jackc/puddle/v2 v2.2.1 // indirect
 	golang.org/x/crypto v0.17.0 // indirect
 	golang.org/x/sync v0.1.0 // indirect
 	golang.org/x/text v0.14.0 // indirect
 )
@@ -1,6 +1,8 @@
 github.com/davecgh/go-spew v1.1.0/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
 github.com/davecgh/go-spew v1.1.1 h1:vj9j/u1bqnvCEfJOwUhtlOARqs3+rkHYY13jYWTU97c=
 github.com/davecgh/go-spew v1.1.1/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
 github.com/golang-jwt/jwt/v5 v5.3.1 h1:kYf81DTWFe7t+1VvL7eS+jKFVWaUnK9cB1qbwn63YCY=
 github.com/golang-jwt/jwt/v5 v5.3.1/go.mod h1:fxCRLWMO43lRc8nhHWY6LGqRcf+1gQWArsqaEUEa5bE=
 github.com/jackc/pgpassfile v1.0.0 h1:/6Hmqy13Ss2zCq62VdNG8tM1wchn8zjSGOBJ6icpsIM=
 github.com/jackc/pgpassfile v1.0.0/go.mod h1:CEx0iS5ambNFdcRtxPj5JhEz+xB6uRky5eyVu/W2HEg=
 github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a h1:bbPeKD0xmW/Y25WS6cokEszi5g+S0QxI/d45PkRi7Nk=
@@ -0,0 +1,20 @@
 package apiserver
 import "context"
 type contextKey int
 const requestContextKey contextKey = iota
 // RequestContext ist der Tenant-/Benutzerkontext, den die Middleware-Kette
 // fuer nachgelagerte Handler bereitstellt (Akzeptanzkriterium 3).
 type RequestContext struct {
 	UserID     string
 	TenantSlug string
 }
 // FromContext liest den von der Middleware gesetzten Kontext.
 func FromContext(ctx context.Context) (RequestContext, bool) {
 	rc, ok := ctx.Value(requestContextKey).(RequestContext)
 	return rc, ok
 }
@@ -0,0 +1,31 @@
 // Package apiserver implementiert Core API-01: das REST-Grundgerüst mit
 // URL-Versionierung, einheitlichem Fehlerformat und Middleware-Kette
 // (Auth, Tenant-/Benutzerkontext, Logging).
 package apiserver
 import (
 	"encoding/json"
 	"net/http"
 )
 // errorBody ist das EINE Fehlerschema fuer alle Endpunkte unter /api/{version}/
 // (Akzeptanzkriterium 2).
 type errorBody struct {
 	Error struct {
 		Code    string `json:"code"`
 		Message string `json:"message"`
 	} `json:"error"`
 }
 // WriteError schreibt einen Fehler im einheitlichen Schema. code ist ein
 // stabiler, maschinenlesbarer Bezeichner (z.B. "unauthenticated"), message
 // ein fuer Menschen lesbarer deutscher Text.
 func WriteError(w http.ResponseWriter, status int, code, message string) {
 	var body errorBody
 	body.Error.Code = code
 	body.Error.Message = message
 	w.Header().Set("Content-Type", "application/json")
 	w.WriteHeader(status)
 	_ = json.NewEncoder(w).Encode(body)
 }
@@ -0,0 +1,56 @@
 package apiserver
 import (
 	"context"
 	"log/slog"
 	"net/http"
 	"time"
 	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
 )
 // authAndTenantContext prueft die Session (wiederverwendet auth.TokenIssuer.Verify
 // aus IAM-02 — keine zweite JWT-Implementierung) und setzt bei Erfolg
 // RequestContext fuer nachgelagerte Handler (Akzeptanzkriterium 3). Anders
 // als auth.RequireAuth (Klartext-Fehler) antwortet diese Middleware im
 // einheitlichen API-01-Fehlerschema (Akzeptanzkriterium 2), damit ALLE
 // Endpunkte unter /api/{version}/ dasselbe Format liefern, auch bei
 // Auth-Fehlern.
 func authAndTenantContext(issuer *auth.TokenIssuer, next http.HandlerFunc) http.HandlerFunc {
 	return func(w http.ResponseWriter, r *http.Request) {
 		cookie, err := r.Cookie(auth.CookieName)
 		if err != nil {
 			WriteError(w, http.StatusUnauthorized, "unauthenticated", "nicht angemeldet")
 			return
 		}
 		claims, err := issuer.Verify(cookie.Value)
 		if err != nil {
 			WriteError(w, http.StatusUnauthorized, "unauthenticated", "nicht angemeldet")
 			return
 		}
 		rc := RequestContext{UserID: claims.UserID, TenantSlug: claims.TenantSlug}
 		next(w, r.WithContext(context.WithValue(r.Context(), requestContextKey, rc)))
 	}
 }
 type statusRecorder struct {
 	http.ResponseWriter
 	status int
 }
 func (s *statusRecorder) WriteHeader(code int) {
 	s.status = code
 	s.ResponseWriter.WriteHeader(code)
 }
 // loggingMiddleware protokolliert jede Anfrage strukturiert.
 func loggingMiddleware(next http.HandlerFunc) http.HandlerFunc {
 	return func(w http.ResponseWriter, r *http.Request) {
 		rec := &statusRecorder{ResponseWriter: w, status: http.StatusOK}
 		start := time.Now()
 		next(rec, r)
 		slog.Info("api-anfrage", "method", r.Method, "path", r.URL.Path, "status", rec.status, "dauer", time.Since(start))
 	}
 }
@@ -0,0 +1,37 @@
 package apiserver
 import (
 	"net/http"
 	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
 )
 // Server registriert versionierte API-Routen (Akzeptanzkriterium 1: unter
 // /api/{version}/...) und verdrahtet fuer jede Route dieselbe Middleware-
 // Kette (Logging -> Auth+Tenantkontext -> Handler).
 type Server struct {
 	mux    *http.ServeMux
 	issuer *auth.TokenIssuer
 }
 func NewServer(issuer *auth.TokenIssuer) *Server {
 	return &Server{mux: http.NewServeMux(), issuer: issuer}
 }
 // Handle registriert pattern unter der angegebenen Version, z.B.
 // Handle("v1", "/things", h) -> erreichbar unter /api/v1/things. Verschiedene
 // Versionen sind unabhaengige Pfade — eine neue Version beeintraechtigt
 // bestehende nicht (Akzeptanzkriterium 1 / Pruefung 3).
 func (s *Server) Handle(version, pattern string, h http.HandlerFunc) {
 	full := "/api/" + version + pattern
 	s.mux.HandleFunc(full, loggingMiddleware(authAndTenantContext(s.issuer, h)))
 }
 // HandleV1 ist die Kurzform fuer die aktuelle Hauptversion.
 func (s *Server) HandleV1(pattern string, h http.HandlerFunc) {
 	s.Handle("v1", pattern, h)
 }
 func (s *Server) Handler() http.Handler {
 	return s.mux
 }
@@ -0,0 +1,149 @@
 package apiserver
 import (
 	"encoding/json"
 	"net/http"
 	"net/http/httptest"
 	"testing"
 	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
 )
 func newTestServer() (*Server, *auth.TokenIssuer) {
 	issuer := auth.NewTokenIssuer("test-secret-nur-fuer-tests")
 	return NewServer(issuer), issuer
 }
 func withAuthCookie(req *http.Request, token string) *http.Request {
 	req.AddCookie(&http.Cookie{Name: auth.CookieName, Value: token})
 	return req
 }
 // Akzeptanzkriterium 1: API unter versioniertem Pfad erreichbar.
 func TestHandleV1_RegistersUnderVersionedPath(t *testing.T) {
 	srv, issuer := newTestServer()
 	srv.HandleV1("/things", func(w http.ResponseWriter, r *http.Request) {
 		w.WriteHeader(http.StatusOK)
 	})
 	token, err := issuer.Issue("user-1", "acme")
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	req := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/things", nil), token)
 	rec := httptest.NewRecorder()
 	srv.Handler().ServeHTTP(rec, req)
 	if rec.Code != http.StatusOK {
 		t.Fatalf("status = %d, want 200", rec.Code)
 	}
 }
 // Akzeptanzkriterium 2 + Pruefung 1 (Stichprobe): mehrere Endpunkte liefern
 // bei fehlerhafter Anfrage dasselbe Fehlerschema.
 func TestErrorFormat_ConsistentAcrossEndpoints(t *testing.T) {
 	srv, _ := newTestServer()
 	srv.HandleV1("/endpunkt-a", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
 	srv.HandleV1("/endpunkt-b", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
 	for _, path := range []string{"/api/v1/endpunkt-a", "/api/v1/endpunkt-b"} {
 		req := httptest.NewRequest(http.MethodGet, path, nil) // ohne cookie -> 401
 		rec := httptest.NewRecorder()
 		srv.Handler().ServeHTTP(rec, req)
 		if rec.Code != http.StatusUnauthorized {
 			t.Fatalf("%s: status = %d, want 401", path, rec.Code)
 		}
 		var body errorBody
 		if err := json.Unmarshal(rec.Body.Bytes(), &body); err != nil {
 			t.Fatalf("%s: fehlerantwort nicht im erwarteten json-schema: %v (body: %s)", path, err, rec.Body.String())
 		}
 		if body.Error.Code == "" || body.Error.Message == "" {
 			t.Fatalf("%s: erwartet nicht-leeren code/message, habe %+v", path, body)
 		}
 	}
 }
 // Akzeptanzkriterium 3 + Pruefung 2: Middleware-Kette setzt Tenant-/
 // Benutzerkontext zuverlaessig, nachweislich fuer mehrere Endpunkte.
 func TestMiddleware_SetsRequestContextForEveryEndpoint(t *testing.T) {
 	srv, issuer := newTestServer()
 	var gotA, gotB RequestContext
 	srv.HandleV1("/kontext-a", func(w http.ResponseWriter, r *http.Request) {
 		gotA, _ = FromContext(r.Context())
 		w.WriteHeader(http.StatusOK)
 	})
 	srv.HandleV1("/kontext-b", func(w http.ResponseWriter, r *http.Request) {
 		gotB, _ = FromContext(r.Context())
 		w.WriteHeader(http.StatusOK)
 	})
 	token, err := issuer.Issue("user-42", "tenant-x")
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	for path, got := range map[string]*RequestContext{"/api/v1/kontext-a": &gotA, "/api/v1/kontext-b": &gotB} {
 		req := withAuthCookie(httptest.NewRequest(http.MethodGet, path, nil), token)
 		rec := httptest.NewRecorder()
 		srv.Handler().ServeHTTP(rec, req)
 		if rec.Code != http.StatusOK {
 			t.Fatalf("%s: status = %d, want 200", path, rec.Code)
 		}
 		if got.UserID != "user-42" || got.TenantSlug != "tenant-x" {
 			t.Fatalf("%s: request-context unerwartet: %+v", path, *got)
 		}
 	}
 }
 // Akzeptanzkriterium 1 + Pruefung 3: eine neue v2-Route laesst sich anlegen,
 // ohne v1 zu beeintraechtigen.
 func TestVersioning_V2DoesNotAffectV1(t *testing.T) {
 	srv, issuer := newTestServer()
 	srv.HandleV1("/things", func(w http.ResponseWriter, r *http.Request) {
 		w.Write([]byte("v1-antwort"))
 	})
 	srv.Handle("v2", "/things", func(w http.ResponseWriter, r *http.Request) {
 		w.Write([]byte("v2-antwort"))
 	})
 	token, err := issuer.Issue("user-1", "acme")
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	reqV1 := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/things", nil), token)
 	recV1 := httptest.NewRecorder()
 	srv.Handler().ServeHTTP(recV1, reqV1)
 	if recV1.Body.String() != "v1-antwort" {
 		t.Fatalf("v1 antwort = %q, want v1-antwort", recV1.Body.String())
 	}
 	reqV2 := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v2/things", nil), token)
 	recV2 := httptest.NewRecorder()
 	srv.Handler().ServeHTTP(recV2, reqV2)
 	if recV2.Body.String() != "v2-antwort" {
 		t.Fatalf("v2 antwort = %q, want v2-antwort", recV2.Body.String())
 	}
 	// v1 nach dem Anlegen von v2 erneut pruefen — unveraendert.
 	reqV1Again := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/things", nil), token)
 	recV1Again := httptest.NewRecorder()
 	srv.Handler().ServeHTTP(recV1Again, reqV1Again)
 	if recV1Again.Body.String() != "v1-antwort" {
 		t.Fatalf("v1 antwort nach v2-anlage = %q, want weiterhin v1-antwort", recV1Again.Body.String())
 	}
 }
 func TestAuthAndTenantContext_RejectsInvalidToken(t *testing.T) {
 	srv, _ := newTestServer()
 	srv.HandleV1("/geschuetzt", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
 	req := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/geschuetzt", nil), "kaputtes.token.hier")
 	rec := httptest.NewRecorder()
 	srv.Handler().ServeHTTP(rec, req)
 	if rec.Code != http.StatusUnauthorized {
 		t.Fatalf("status = %d, want 401", rec.Code)
 	}
 }
@@ -0,0 +1,67 @@
 package auth
 import (
 	"encoding/json"
 	"net/http"
 	"time"
 )
 // Handler stellt Login/Logout als HTTP-Endpunkte bereit. Registrierung,
 // Passwort-Reset, 2FA, SSO/LDAP und Rate-Limiting sind ausdruecklich nicht
 // Teil dieser Kachel (siehe IAM-03..07).
 type Handler struct {
 	login *LoginService
 }
 func NewHandler(login *LoginService) *Handler {
 	return &Handler{login: login}
 }
 type loginRequest struct {
 	Email    string `json:"email"`
 	Password string `json:"password"`
 }
 func (h *Handler) Login(w http.ResponseWriter, r *http.Request) {
 	var req loginRequest
 	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
 		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
 		return
 	}
 	token, err := h.login.Login(r.Context(), req.Email, req.Password)
 	if err != nil {
 		http.Error(w, ErrInvalidCredentials.Error(), http.StatusUnauthorized)
 		return
 	}
 	http.SetCookie(w, &http.Cookie{
 		Name:     CookieName,
 		Value:    token,
 		Path:     "/",
 		HttpOnly: true,
 		Secure:   true,
 		SameSite: http.SameSiteStrictMode,
 		MaxAge:   int(AccessTokenTTL.Seconds()),
 	})
 	w.WriteHeader(http.StatusOK)
 }
 // Logout loescht das Session-Cookie. Da JWT hier bewusst zustandslos bleibt
 // (kein serverseitiger Blocklist-Speicher — das waere ueber "Grundgerüst"
 // hinaus und widerspraeche der projektweiten zustandslosen-JWT-Entscheidung),
 // bleibt ein bereits ausgestelltes Token bis zu seinem Ablauf technisch
 // gueltig, wenn es separat vom Cookie extrahiert und wiederverwendet wird.
 func (h *Handler) Logout(w http.ResponseWriter, r *http.Request) {
 	http.SetCookie(w, &http.Cookie{
 		Name:     CookieName,
 		Value:    "",
 		Path:     "/",
 		HttpOnly: true,
 		Secure:   true,
 		SameSite: http.SameSiteStrictMode,
 		MaxAge:   -1,
 		Expires:  time.Unix(0, 0),
 	})
 	w.WriteHeader(http.StatusOK)
 }
@@ -0,0 +1,56 @@
 package auth
 import (
 	"context"
 	"errors"
 	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 var ErrInvalidCredentials = errors.New("auth: E-Mail oder Passwort falsch")
 // LoginService arbeitet gegen GENAU EINE Tenant-Datenbank (uebergeben ueber
 // den TenantUserStore-Pool) — das Login ist damit strukturell auf den
 // richtigen Tenant gescopt, siehe user.TenantUserStore.GetByEmailForAuth.
 type LoginService struct {
 	users  *user.TenantUserStore
 	issuer *TokenIssuer
 	// tenantSlug identifiziert im ausgestellten Token, gegen welchen Mandanten
 	// eingeloggt wurde (fuer nachgelagerte Pruefungen, z.B. Middleware-Logs).
 	tenantSlug string
 }
 func NewLoginService(users *user.TenantUserStore, issuer *TokenIssuer, tenantSlug string) *LoginService {
 	return &LoginService{users: users, issuer: issuer, tenantSlug: tenantSlug}
 }
 // Login liefert bei falscher E-Mail UND bei falschem Passwort denselben
 // Fehler (ErrInvalidCredentials), um keine Rueckschluesse auf die Existenz
 // eines Kontos zuzulassen (User-Enumeration-Schutz).
 func (s *LoginService) Login(ctx context.Context, email, password string) (string, error) {
 	creds, err := s.users.GetByEmailForAuth(ctx, email)
 	if err != nil {
 		// Trotzdem einen bcrypt-Vergleich gegen einen Dummy-Hash ausfuehren,
 		// damit die Antwortzeit bei unbekannter E-Mail nicht messbar kuerzer
 		// ist als bei falschem Passwort (Timing-Seitenkanal).
 		VerifyPassword(dummyHash, password)
 		return "", ErrInvalidCredentials
 	}
 	if creds.User.Status != user.StatusActive {
 		return "", ErrInvalidCredentials
 	}
 	if !VerifyPassword(creds.PasswordHash, password) {
 		return "", ErrInvalidCredentials
 	}
 	return s.issuer.Issue(creds.User.ID, s.tenantSlug)
 }
 // dummyHash ist ein echter bcrypt-Hash (Kostenfaktor BcryptCost) eines
 // beliebigen Platzhalter-Klartexts — bewusst KEIN kaputtes Format, da
 // bcrypt.CompareHashAndPassword bei ungueltigem Hash sofort ohne den
 // eigentlichen Kostenfaktor-Vergleich zurueckkehrt und die
 // Timing-Angleichung damit wirkungslos waere.
 const dummyHash = "$2a$12$cmwiETrG9DK5/uTM2fg4uetngYUspKjME5P8fNpk0QYTaO64N0r3C"
@@ -0,0 +1,177 @@
 package auth
 import (
 	"context"
 	"errors"
 	"fmt"
 	"net/http"
 	"net/http/httptest"
 	"os"
 	"strings"
 	"testing"
 	"github.com/jackc/pgx/v5/pgxpool"
 	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 const usersSchema = `
 CREATE EXTENSION IF NOT EXISTS pgcrypto;
 CREATE TABLE users (
 	id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
 	email TEXT NOT NULL UNIQUE,
 	name TEXT NOT NULL,
 	status TEXT NOT NULL DEFAULT 'active',
 	password_hash TEXT NOT NULL DEFAULT '',
 	created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
 	updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
 );`
 func setupTenantDB(t *testing.T, dbName string) *pgxpool.Pool {
 	t.Helper()
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	ctx := context.Background()
 	adminPool, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("admin pool: %v", err)
 	}
 	_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
 	if _, err := adminPool.Exec(ctx, fmt.Sprintf(`CREATE DATABASE %q`, dbName)); err != nil {
 		t.Fatalf("testdatenbank anlegen: %v", err)
 	}
 	dsn := strings.Replace(adminDSN, "/postgres?", "/"+dbName+"?", 1)
 	pool, err := pgxpool.New(ctx, dsn)
 	if err != nil {
 		t.Fatalf("connect testdatenbank: %v", err)
 	}
 	if _, err := pool.Exec(ctx, usersSchema); err != nil {
 		t.Fatalf("schema anwenden: %v", err)
 	}
 	t.Cleanup(func() {
 		pool.Close()
 		_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
 		adminPool.Close()
 	})
 	return pool
 }
 func createUserWithPassword(t *testing.T, store *user.TenantUserStore, email, password string) user.User {
 	t.Helper()
 	ctx := context.Background()
 	u, err := store.Create(ctx, email, "Test User")
 	if err != nil {
 		t.Fatalf("create user: %v", err)
 	}
 	hash, err := HashPassword(password)
 	if err != nil {
 		t.Fatalf("hash password: %v", err)
 	}
 	if err := store.SetPasswordHash(ctx, u.ID, hash); err != nil {
 		t.Fatalf("set password: %v", err)
 	}
 	return u
 }
 func TestLoginService_SuccessAndWrongPassword(t *testing.T) {
 	pool := setupTenantDB(t, "test_iam02_login")
 	store := user.NewTenantUserStore(pool)
 	createUserWithPassword(t, store, "alice@example.com", "korrektes-passwort")
 	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
 	login := NewLoginService(store, issuer, "acme")
 	token, err := login.Login(context.Background(), "alice@example.com", "korrektes-passwort")
 	if err != nil {
 		t.Fatalf("login: %v", err)
 	}
 	if token == "" {
 		t.Fatal("erwartet nicht-leeres token")
 	}
 	if _, err := login.Login(context.Background(), "alice@example.com", "falsches-passwort"); !errors.Is(err, ErrInvalidCredentials) {
 		t.Fatalf("erwartet ErrInvalidCredentials, habe %v", err)
 	}
 	if _, err := login.Login(context.Background(), "unbekannt@example.com", "irgendwas"); !errors.Is(err, ErrInvalidCredentials) {
 		t.Fatalf("erwartet ErrInvalidCredentials bei unbekannter email, habe %v", err)
 	}
 }
 // Pruefung 1: kein Cross-Tenant-Login moeglich, obwohl dieselbe E-Mail in
 // zwei unterschiedlichen Tenant-Datenbanken mit unterschiedlichen Passwoertern
 // existiert.
 func TestLoginService_NoCrossTenantLogin(t *testing.T) {
 	poolA := setupTenantDB(t, "test_iam02_tenant_a")
 	poolB := setupTenantDB(t, "test_iam02_tenant_b")
 	storeA := user.NewTenantUserStore(poolA)
 	storeB := user.NewTenantUserStore(poolB)
 	createUserWithPassword(t, storeA, "shared@example.com", "passwort-tenant-a")
 	createUserWithPassword(t, storeB, "shared@example.com", "passwort-tenant-b")
 	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
 	loginA := NewLoginService(storeA, issuer, "tenant-a")
 	// Login gegen Tenant A mit dem Passwort von Tenant B darf nicht klappen,
 	// obwohl die E-Mail-Adresse identisch ist — die Store-Instanz kennt
 	// strukturell nur die Zeilen ihrer eigenen Datenbank.
 	if _, err := loginA.Login(context.Background(), "shared@example.com", "passwort-tenant-b"); !errors.Is(err, ErrInvalidCredentials) {
 		t.Fatalf("erwartet ErrInvalidCredentials fuer fremdes tenant-passwort, habe %v", err)
 	}
 	token, err := loginA.Login(context.Background(), "shared@example.com", "passwort-tenant-a")
 	if err != nil {
 		t.Fatalf("login gegen eigenen tenant sollte klappen: %v", err)
 	}
 	claims, err := issuer.Verify(token)
 	if err != nil {
 		t.Fatalf("verify: %v", err)
 	}
 	if claims.TenantSlug != "tenant-a" {
 		t.Fatalf("token tenant = %q, want tenant-a", claims.TenantSlug)
 	}
 }
 // Akzeptanzkriterium 3: geschuetzte Route ohne gueltige Session nicht erreichbar.
 func TestRequireAuth_BlocksWithoutValidCookie(t *testing.T) {
 	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
 	protected := RequireAuth(issuer, func(w http.ResponseWriter, r *http.Request) {
 		w.WriteHeader(http.StatusOK)
 	})
 	// Kein Cookie.
 	req := httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
 	rec := httptest.NewRecorder()
 	protected(rec, req)
 	if rec.Code != http.StatusUnauthorized {
 		t.Fatalf("ohne cookie: status = %d, want 401", rec.Code)
 	}
 	// Manipuliertes Cookie.
 	req = httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
 	req.AddCookie(&http.Cookie{Name: CookieName, Value: "kaputt.token.hier"})
 	rec = httptest.NewRecorder()
 	protected(rec, req)
 	if rec.Code != http.StatusUnauthorized {
 		t.Fatalf("mit kaputtem cookie: status = %d, want 401", rec.Code)
 	}
 	// Gueltiges Token.
 	token, err := issuer.Issue("user-1", "acme")
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	req = httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
 	req.AddCookie(&http.Cookie{Name: CookieName, Value: token})
 	rec = httptest.NewRecorder()
 	protected(rec, req)
 	if rec.Code != http.StatusOK {
 		t.Fatalf("mit gueltigem cookie: status = %d, want 200", rec.Code)
 	}
 }
@@ -0,0 +1,41 @@
 package auth
 import (
 	"context"
 	"net/http"
 )
 const CookieName = "nexarch_session"
 type contextKey int
 const claimsContextKey contextKey = iota
 // RequireAuth schuetzt eine Route: ohne gueltiges, nicht abgelaufenes Token
 // im Session-Cookie wird 401 zurueckgegeben und der Handler nicht aufgerufen
 // (IAM-02 Akzeptanzkriterium 3).
 func RequireAuth(issuer *TokenIssuer, next http.HandlerFunc) http.HandlerFunc {
 	return func(w http.ResponseWriter, r *http.Request) {
 		cookie, err := r.Cookie(CookieName)
 		if err != nil {
 			http.Error(w, "nicht angemeldet", http.StatusUnauthorized)
 			return
 		}
 		claims, err := issuer.Verify(cookie.Value)
 		if err != nil {
 			http.Error(w, "nicht angemeldet", http.StatusUnauthorized)
 			return
 		}
 		ctx := context.WithValue(r.Context(), claimsContextKey, claims)
 		next(w, r.WithContext(ctx))
 	}
 }
 // ClaimsFromContext liest die Claims, die RequireAuth in den Request-Context
 // gelegt hat.
 func ClaimsFromContext(ctx context.Context) (*Claims, bool) {
 	c, ok := ctx.Value(claimsContextKey).(*Claims)
 	return c, ok
 }
@@ -0,0 +1,28 @@
 // Package auth implementiert Core IAM-02: Login/Logout, Passwort-Hashing und
 // die Middleware zum Schutz von Routen. Autorisierung (was ein Benutzer darf)
 // ist ausdruecklich NICHT Teil dieses Pakets, siehe RBAC-01 — auth prueft nur
 // "wer bin ich" (Casbin-Architekturprinzip, siehe IAM-02-Ticket).
 package auth
 import "golang.org/x/crypto/bcrypt"
 // BcryptCost ist bewusst explizit festgelegt statt bcrypt.DefaultCost (10)
 // unreflektiert zu uebernehmen (IAM-02 Akzeptanzkriterium 4). Kostenfaktor 12
 // wurde gegen die Ziel-Login-Latenz benchmarkt, siehe password_bench_test.go
 // und den Pruefungs-Eintrag in der Commit-Nachricht.
 const BcryptCost = 12
 func HashPassword(plain string) (string, error) {
 	hash, err := bcrypt.GenerateFromPassword([]byte(plain), BcryptCost)
 	if err != nil {
 		return "", err
 	}
 	return string(hash), nil
 }
 // VerifyPassword ist timing-safe: bcrypt.CompareHashAndPassword vergleicht
 // konstant in der Zeit bzgl. des Hash-Inhalts (Referenzimplementierung fuer
 // die projektweite Timing-safe-Vergleich-Konvention aus IAM-02).
 func VerifyPassword(hash, plain string) bool {
 	return bcrypt.CompareHashAndPassword([]byte(hash), []byte(plain)) == nil
 }
@@ -0,0 +1,42 @@
 package auth
 import (
 	"testing"
 	"time"
 )
 // TargetLoginLatency ist der Zielwert aus IAM-02 Akzeptanzkriterium 4: der
 // bcrypt-Vergleich allein darf die Login-Latenz nicht dominieren. 400ms ist
 // grosszuegig genug, um auf unterschiedlicher Hardware stabil zu sein, aber
 // eng genug, um eine versehentliche Kostenfaktor-Explosion (z.B. 16 statt 12)
 // zuverlaessig aufzudecken.
 const TargetLoginLatency = 400 * time.Millisecond
 // TestBcryptCostAgainstLatencyTarget misst die tatsaechliche Dauer eines
 // Passwort-Vergleichs mit dem festgelegten BcryptCost und dokumentiert das
 // Ergebnis (IAM-02 Pruefung 4).
 func TestBcryptCostAgainstLatencyTarget(t *testing.T) {
 	hash, err := HashPassword("benchmark-passwort")
 	if err != nil {
 		t.Fatalf("hash: %v", err)
 	}
 	start := time.Now()
 	if !VerifyPassword(hash, "benchmark-passwort") {
 		t.Fatal("verifikation haette erfolgreich sein muessen")
 	}
 	elapsed := time.Since(start)
 	t.Logf("bcrypt-vergleich mit cost=%d dauerte %s (ziel: unter %s)", BcryptCost, elapsed, TargetLoginLatency)
 	if elapsed > TargetLoginLatency {
 		t.Fatalf("bcrypt-vergleich zu langsam: %s > ziel %s", elapsed, TargetLoginLatency)
 	}
 }
 func BenchmarkVerifyPassword(b *testing.B) {
 	hash, _ := HashPassword("benchmark-passwort")
 	b.ResetTimer()
 	for i := 0; i < b.N; i++ {
 		VerifyPassword(hash, "benchmark-passwort")
 	}
 }
@@ -0,0 +1,28 @@
 package auth
 import "testing"
 func TestHashAndVerifyPassword(t *testing.T) {
 	hash, err := HashPassword("s3hr-geheim!")
 	if err != nil {
 		t.Fatalf("hash: %v", err)
 	}
 	if hash == "s3hr-geheim!" {
 		t.Fatal("passwort wurde nicht gehasht")
 	}
 	if !VerifyPassword(hash, "s3hr-geheim!") {
 		t.Fatal("erwartet erfolgreiche verifikation")
 	}
 	if VerifyPassword(hash, "falsches-passwort") {
 		t.Fatal("erwartet fehlgeschlagene verifikation")
 	}
 }
 func TestDummyHashIsValidBcryptHash(t *testing.T) {
 	// Stellt sicher, dass der Timing-Angleichs-Hash in login.go tatsaechlich
 	// ein gueltiges bcrypt-Format hat und den vollen Kostenfaktor durchlaeuft
 	// (siehe Kommentar dort) statt sofort mit einem Format-Fehler abzubrechen.
 	if VerifyPassword(dummyHash, "irgendein-text") {
 		t.Fatal("dummyHash sollte fuer beliebigen text nicht passen")
 	}
 }
@@ -0,0 +1,63 @@
 package auth
 import (
 	"errors"
 	"time"
 	"github.com/golang-jwt/jwt/v5"
 )
 // AccessTokenTTL ist bewusst kurz gehalten (Session-Ablauf statt langlebiger
 // Tokens), passend zur "so vertrauenswuerdig wie noetig"-Produkt-DNA.
 const AccessTokenTTL = 30 * time.Minute
 var ErrInvalidToken = errors.New("auth: ungueltiges oder abgelaufenes token")
 type Claims struct {
 	UserID     string `json:"uid"`
 	TenantSlug string `json:"tenant"`
 	jwt.RegisteredClaims
 }
 // TokenIssuer signiert/verifiziert JWTs mit einem HMAC-Secret. Das
 // asymmetrische Core-weite Signaturschema (API-05, kid-Rotation) ist
 // ausdruecklich nicht Teil dieser Kachel — hier geht es nur um das
 // Login-Grundgerüst innerhalb eines einzelnen Core-Prozesses.
 type TokenIssuer struct {
 	secret []byte
 }
 func NewTokenIssuer(secret string) *TokenIssuer {
 	return &TokenIssuer{secret: []byte(secret)}
 }
 func (i *TokenIssuer) Issue(userID, tenantSlug string) (string, error) {
 	now := time.Now()
 	claims := Claims{
 		UserID:     userID,
 		TenantSlug: tenantSlug,
 		RegisteredClaims: jwt.RegisteredClaims{
 			IssuedAt:  jwt.NewNumericDate(now),
 			ExpiresAt: jwt.NewNumericDate(now.Add(AccessTokenTTL)),
 		},
 	}
 	token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
 	return token.SignedString(i.secret)
 }
 // Verify prueft Signatur UND Ablauf (jwt.ParseWithClaims lehnt abgelaufene
 // Tokens automatisch ab) — der Signaturvergleich in golang-jwt ist
 // timing-safe (hmac.Equal).
 func (i *TokenIssuer) Verify(tokenString string) (*Claims, error) {
 	claims := &Claims{}
 	token, err := jwt.ParseWithClaims(tokenString, claims, func(t *jwt.Token) (interface{}, error) {
 		if _, ok := t.Method.(*jwt.SigningMethodHMAC); !ok {
 			return nil, ErrInvalidToken
 		}
 		return i.secret, nil
 	})
 	if err != nil || !token.Valid {
 		return nil, ErrInvalidToken
 	}
 	return claims, nil
 }
@@ -0,0 +1,82 @@
 package auth
 import (
 	"strings"
 	"testing"
 	"time"
 	"github.com/golang-jwt/jwt/v5"
 )
 func TestTokenIssueAndVerify(t *testing.T) {
 	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
 	token, err := issuer.Issue("user-1", "acme")
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	claims, err := issuer.Verify(token)
 	if err != nil {
 		t.Fatalf("verify: %v", err)
 	}
 	if claims.UserID != "user-1" || claims.TenantSlug != "acme" {
 		t.Fatalf("claims unerwartet: %+v", claims)
 	}
 }
 // Pruefung 2: Token-Manipulationstest.
 func TestTokenVerify_RejectsManipulatedPayload(t *testing.T) {
 	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
 	token, err := issuer.Issue("user-1", "acme")
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	parts := strings.Split(token, ".")
 	if len(parts) != 3 {
 		t.Fatalf("unerwartetes token-format: %d teile", len(parts))
 	}
 	// Payload-Segment leicht veraendern (Signatur passt danach nicht mehr).
 	tampered := parts[0] + "." + parts[1] + "x" + "." + parts[2]
 	if _, err := issuer.Verify(tampered); err == nil {
 		t.Fatal("erwartet fehler bei manipuliertem token, habe nil")
 	}
 }
 func TestTokenVerify_RejectsWrongSecret(t *testing.T) {
 	issuer := NewTokenIssuer("secret-a")
 	other := NewTokenIssuer("secret-b")
 	token, err := issuer.Issue("user-1", "acme")
 	if err != nil {
 		t.Fatalf("issue: %v", err)
 	}
 	if _, err := other.Verify(token); err == nil {
 		t.Fatal("erwartet fehler bei falschem secret, habe nil")
 	}
 }
 // Pruefung 3: abgelaufenes Token erzwingt Neuanmeldung.
 func TestTokenVerify_RejectsExpiredToken(t *testing.T) {
 	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
 	claims := Claims{
 		UserID:     "user-1",
 		TenantSlug: "acme",
 		RegisteredClaims: jwt.RegisteredClaims{
 			IssuedAt:  jwt.NewNumericDate(time.Now().Add(-2 * AccessTokenTTL)),
 			ExpiresAt: jwt.NewNumericDate(time.Now().Add(-time.Minute)),
 		},
 	}
 	tok := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
 	expired, err := tok.SignedString([]byte("test-secret-nur-fuer-tests"))
 	if err != nil {
 		t.Fatalf("signieren: %v", err)
 	}
 	if _, err := issuer.Verify(expired); err == nil {
 		t.Fatal("erwartet fehler bei abgelaufenem token, habe nil")
 	}
 }
@@ -1,71 +0,0 @@
 // Package rbac implementiert Core RBAC-01: das Rollenmodell mit
 // Grundrollen/-rechten, Hierarchie und Zuweisung. Die eigentliche
 // Durchsetzung (erlaubt/verboten je Request) ist RBAC-02, dieses Paket
 // liefert nur Modell + Zuweisung (Casbin-Prinzip: Policy-Modell getrennt
 // von der Entscheidungsfunktion).
 package rbac
 // Role ist eine der drei Grundrollen. Superadmin lebt mandantenuebergreifend
 // (siehe internal/user.SuperadminStore aus IAM-01) und wird deshalb NICHT
 // ueber Store (tenant-gescoped) zugewiesen — die Existenz eines Superadmin-
 // Kontos IST die Rollenzuweisung.
 type Role string
 const (
 	RoleSuperadmin  Role = "superadmin"
 	RoleTenantAdmin Role = "tenant_admin"
 	RoleUser        Role = "user"
 )
 type Permission string
 const (
 	PermSelfRead       Permission = "self.read"
 	PermSelfUpdate     Permission = "self.update"
 	PermManageUsers    Permission = "tenant.manage_users"
 	PermManageSettings Permission = "tenant.manage_settings"
 	PermManageTenants  Permission = "platform.manage_tenants"
 )
 // parent bildet die Rollenhierarchie ab (Akzeptanzkriterium 2): eine Rolle
 // erbt alle Rechte ihrer Elternrolle. tenant_admin erbt von user,
 // superadmin erbt von tenant_admin.
 var parent = map[Role]Role{
 	RoleTenantAdmin: RoleUser,
 	RoleSuperadmin:  RoleTenantAdmin,
 }
 // direct sind die einer Rolle direkt (ohne Vererbung) zugeordneten Rechte.
 var direct = map[Role][]Permission{
 	RoleUser:        {PermSelfRead, PermSelfUpdate},
 	RoleTenantAdmin: {PermManageUsers, PermManageSettings},
 	RoleSuperadmin:  {PermManageTenants},
 }
 // EffectivePermissions liefert die vollstaendige, ueber die Hierarchie
 // aufgeloeste Rechtemenge einer Rolle (Akzeptanzkriterium 2 / Pruefung 2).
 func EffectivePermissions(role Role) []Permission {
 	seen := make(map[Permission]bool)
 	var out []Permission
 	for r, ok := role, true; ok; r, ok = parent[r] {
 		for _, p := range direct[r] {
 			if !seen[p] {
 				seen[p] = true
 				out = append(out, p)
 			}
 		}
 	}
 	return out
 }
 // HasPermission prueft, ob eine Rolle (inklusive geerbter Rechte) ein
 // bestimmtes Recht besitzt.
 func HasPermission(role Role, perm Permission) bool {
 	for _, p := range EffectivePermissions(role) {
 		if p == perm {
 			return true
 		}
 	}
 	return false
 }
@@ -1,48 +0,0 @@
 package rbac
 import "testing"
 func contains(perms []Permission, p Permission) bool {
 	for _, x := range perms {
 		if x == p {
 			return true
 		}
 	}
 	return false
 }
 // Akzeptanzkriterium 2 + Pruefung 2: Rollenhierarchie liefert die erwartete
 // effektive Rechtemenge.
 func TestEffectivePermissions_Inheritance(t *testing.T) {
 	userPerms := EffectivePermissions(RoleUser)
 	if !contains(userPerms, PermSelfRead) || !contains(userPerms, PermSelfUpdate) {
 		t.Fatalf("user sollte self.read/self.update haben, habe %v", userPerms)
 	}
 	if contains(userPerms, PermManageUsers) {
 		t.Fatal("user sollte KEIN tenant.manage_users haben")
 	}
 	adminPerms := EffectivePermissions(RoleTenantAdmin)
 	if !contains(adminPerms, PermSelfRead) || !contains(adminPerms, PermManageUsers) || !contains(adminPerms, PermManageSettings) {
 		t.Fatalf("tenant_admin sollte geerbte user-rechte + eigene rechte haben, habe %v", adminPerms)
 	}
 	if contains(adminPerms, PermManageTenants) {
 		t.Fatal("tenant_admin sollte KEIN platform.manage_tenants haben")
 	}
 	superPerms := EffectivePermissions(RoleSuperadmin)
 	for _, want := range []Permission{PermSelfRead, PermSelfUpdate, PermManageUsers, PermManageSettings, PermManageTenants} {
 		if !contains(superPerms, want) {
 			t.Fatalf("superadmin sollte %q haben (volle vererbte kette), habe %v", want, superPerms)
 		}
 	}
 }
 func TestHasPermission(t *testing.T) {
 	if !HasPermission(RoleTenantAdmin, PermSelfRead) {
 		t.Fatal("tenant_admin sollte geerbtes self.read haben")
 	}
 	if HasPermission(RoleUser, PermManageTenants) {
 		t.Fatal("user sollte platform.manage_tenants nicht haben")
 	}
 }
@@ -1,124 +0,0 @@
 package rbac
 import (
 	"context"
 	"errors"
 	"fmt"
 	"github.com/jackc/pgx/v5"
 	"github.com/jackc/pgx/v5/pgxpool"
 )
 var (
 	// ErrRoleNotAssignableInTenantScope wird geliefert, wenn versucht wird,
 	// eine mandantenuebergreifende Rolle (superadmin) ueber den tenant-
 	// gescopten Store zu vergeben — die erlaubte Matrix laesst hier nur
 	// user/tenant_admin zu (Akzeptanzkriterium 1 / Pruefung 1).
 	ErrRoleNotAssignableInTenantScope = errors.New("rbac: rolle ist in diesem geltungsbereich nicht zuweisbar")
 	ErrNotFound                       = errors.New("rbac: keine rollenzuweisung gefunden")
 )
 // assignableRoles ist die erlaubte Matrix fuer Store (tenant-gescoped).
 var assignableRoles = map[Role]bool{
 	RoleUser:        true,
 	RoleTenantAdmin: true,
 }
 type Assignment struct {
 	UserID    string
 	Role      Role
 	GrantedBy string
 }
 // Store verwaltet Rollenzuweisungen innerhalb GENAU EINER Tenant-Datenbank —
 // analog zu internal/user.TenantUserStore (Modell C: der Pool bestimmt den
 // Tenant, keine tenant_id-Spalte noetig).
 type Store struct {
 	pool *pgxpool.Pool
 }
 func NewStore(pool *pgxpool.Pool) *Store {
 	return &Store{pool: pool}
 }
 // Assign vergibt eine Rolle an einen Benutzer. grantedBy identifiziert den
 // Akteur, der die Zuweisung vorgenommen hat (Akzeptanzkriterium 3). Jede
 // Zuweisung wird zusaetzlich in role_assignment_history festgehalten, auch
 // wenn sie eine vorherige Rolle ersetzt.
 func (s *Store) Assign(ctx context.Context, userID string, role Role, grantedBy string) (Assignment, error) {
 	if !assignableRoles[role] {
 		return Assignment{}, ErrRoleNotAssignableInTenantScope
 	}
 	if grantedBy == "" {
 		return Assignment{}, errors.New("rbac: grantedBy darf nicht leer sein")
 	}
 	tx, err := s.pool.Begin(ctx)
 	if err != nil {
 		return Assignment{}, fmt.Errorf("transaktion starten: %w", err)
 	}
 	defer func() { _ = tx.Rollback(ctx) }()
 	if _, err := tx.Exec(ctx, `
 		INSERT INTO role_assignments (user_id, role, granted_by, granted_at)
 		VALUES ($1, $2, $3, now())
 		ON CONFLICT (user_id) DO UPDATE SET role = $2, granted_by = $3, granted_at = now()
 	`, userID, string(role), grantedBy); err != nil {
 		return Assignment{}, fmt.Errorf("rolle zuweisen: %w", err)
 	}
 	if _, err := tx.Exec(ctx, `
 		INSERT INTO role_assignment_history (user_id, role, granted_by, granted_at)
 		VALUES ($1, $2, $3, now())
 	`, userID, string(role), grantedBy); err != nil {
 		return Assignment{}, fmt.Errorf("historie schreiben: %w", err)
 	}
 	if err := tx.Commit(ctx); err != nil {
 		return Assignment{}, fmt.Errorf("transaktion committen: %w", err)
 	}
 	return Assignment{UserID: userID, Role: role, GrantedBy: grantedBy}, nil
 }
 func (s *Store) Get(ctx context.Context, userID string) (Assignment, error) {
 	var a Assignment
 	var role string
 	a.UserID = userID
 	if err := s.pool.QueryRow(ctx, `
 		SELECT role, granted_by FROM role_assignments WHERE user_id = $1
 	`, userID).Scan(&role, &a.GrantedBy); err != nil {
 		if errors.Is(err, pgx.ErrNoRows) {
 			return Assignment{}, ErrNotFound
 		}
 		return Assignment{}, fmt.Errorf("rollenzuweisung lesen: %w", err)
 	}
 	a.Role = Role(role)
 	return a, nil
 }
 // History liefert jede Rollenzuweisung eines Benutzers in chronologischer
 // Reihenfolge — die Grundlage fuer "wer hat wann welche Rolle vergeben"
 // (Akzeptanzkriterium 3).
 func (s *Store) History(ctx context.Context, userID string) ([]Assignment, error) {
 	rows, err := s.pool.Query(ctx, `
 		SELECT role, granted_by FROM role_assignment_history
 		WHERE user_id = $1 ORDER BY granted_at
 	`, userID)
 	if err != nil {
 		return nil, fmt.Errorf("historie abfragen: %w", err)
 	}
 	defer rows.Close()
 	var out []Assignment
 	for rows.Next() {
 		var role string
 		a := Assignment{UserID: userID}
 		if err := rows.Scan(&role, &a.GrantedBy); err != nil {
 			return nil, fmt.Errorf("historieneintrag lesen: %w", err)
 		}
 		a.Role = Role(role)
 		out = append(out, a)
 	}
 	return out, rows.Err()
 }
@@ -1,144 +0,0 @@
 package rbac
 import (
 	"context"
 	"errors"
 	"os"
 	"testing"
 	"github.com/jackc/pgx/v5/pgxpool"
 	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 func setupStoreTest(t *testing.T) (*Store, string, func()) {
 	t.Helper()
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	ctx := context.Background()
 	pool, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("pool: %v", err)
 	}
 	if _, err := pool.Exec(ctx, `
 		CREATE TABLE IF NOT EXISTS users (
 			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
 			email TEXT NOT NULL UNIQUE,
 			name TEXT NOT NULL,
 			status TEXT NOT NULL DEFAULT 'active',
 			created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
 			updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 		CREATE TABLE IF NOT EXISTS role_assignments (
 			user_id UUID PRIMARY KEY REFERENCES users(id),
 			role TEXT NOT NULL CHECK (role IN ('user', 'tenant_admin')),
 			granted_by TEXT NOT NULL,
 			granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 		CREATE TABLE IF NOT EXISTS role_assignment_history (
 			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
 			user_id UUID NOT NULL,
 			role TEXT NOT NULL,
 			granted_by TEXT NOT NULL,
 			granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 	`); err != nil {
 		t.Fatalf("schema: %v", err)
 	}
 	userStore := user.NewTenantUserStore(pool)
 	u, err := userStore.Create(ctx, "rbac_test@example.com", "RBAC Test")
 	if err != nil {
 		t.Fatalf("testuser anlegen: %v", err)
 	}
 	cleanup := func() {
 		_, _ = pool.Exec(ctx, `DELETE FROM role_assignment_history WHERE user_id = $1`, u.ID)
 		_, _ = pool.Exec(ctx, `DELETE FROM role_assignments WHERE user_id = $1`, u.ID)
 		_, _ = pool.Exec(ctx, `DELETE FROM users WHERE id = $1`, u.ID)
 		pool.Close()
 	}
 	return NewStore(pool), u.ID, cleanup
 }
 // Akzeptanzkriterium 1: Grundrollen sind einem Benutzer je Tenant zuweisbar.
 func TestStore_AssignAndGet(t *testing.T) {
 	store, userID, cleanup := setupStoreTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	assigned, err := store.Assign(ctx, userID, RoleTenantAdmin, "admin@acme.example")
 	if err != nil {
 		t.Fatalf("assign: %v", err)
 	}
 	if assigned.Role != RoleTenantAdmin {
 		t.Fatalf("erwartet tenant_admin, habe %q", assigned.Role)
 	}
 	got, err := store.Get(ctx, userID)
 	if err != nil {
 		t.Fatalf("get: %v", err)
 	}
 	if got.Role != RoleTenantAdmin || got.GrantedBy != "admin@acme.example" {
 		t.Fatalf("zuweisung unerwartet: %+v", got)
 	}
 }
 // Akzeptanzkriterium 1 + Pruefung 1: Zuweisung ausserhalb der erlaubten
 // Matrix (superadmin im tenant-gescopten Store) wird abgewiesen.
 func TestStore_RejectsSuperadminOutsideAllowedMatrix(t *testing.T) {
 	store, userID, cleanup := setupStoreTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	_, err := store.Assign(ctx, userID, RoleSuperadmin, "admin@acme.example")
 	if !errors.Is(err, ErrRoleNotAssignableInTenantScope) {
 		t.Fatalf("erwartet ErrRoleNotAssignableInTenantScope, habe %v", err)
 	}
 	// Sicherstellen, dass der abgewiesene Versuch keine Zeile hinterlassen hat.
 	if _, err := store.Get(ctx, userID); !errors.Is(err, ErrNotFound) {
 		t.Fatalf("erwartet ErrNotFound nach abgewiesener zuweisung, habe %v", err)
 	}
 }
 func TestStore_RejectsUnknownRole(t *testing.T) {
 	store, userID, cleanup := setupStoreTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	if _, err := store.Assign(ctx, userID, Role("erfunden"), "admin@acme.example"); !errors.Is(err, ErrRoleNotAssignableInTenantScope) {
 		t.Fatalf("erwartet ErrRoleNotAssignableInTenantScope fuer unbekannte rolle, habe %v", err)
 	}
 }
 // Akzeptanzkriterium 3: Rollenzuweisung vollstaendig auditierbar.
 func TestStore_HistoryTracksWhoAndWhen(t *testing.T) {
 	store, userID, cleanup := setupStoreTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	if _, err := store.Assign(ctx, userID, RoleUser, "system"); err != nil {
 		t.Fatalf("assign 1: %v", err)
 	}
 	if _, err := store.Assign(ctx, userID, RoleTenantAdmin, "admin@acme.example"); err != nil {
 		t.Fatalf("assign 2: %v", err)
 	}
 	history, err := store.History(ctx, userID)
 	if err != nil {
 		t.Fatalf("history: %v", err)
 	}
 	if len(history) != 2 {
 		t.Fatalf("erwartet 2 historieneintraege, habe %d", len(history))
 	}
 	if history[0].Role != RoleUser || history[0].GrantedBy != "system" {
 		t.Fatalf("history[0] unerwartet: %+v", history[0])
 	}
 	if history[1].Role != RoleTenantAdmin || history[1].GrantedBy != "admin@acme.example" {
 		t.Fatalf("history[1] unerwartet: %+v", history[1])
 	}
 }
@@ -0,0 +1,126 @@
 // Package secheaders implementiert Core API-08: eine gemeinsame
 // Security-Header-Middleware/Bibliothek, die jedes Modul-Frontend (DMS,
 // Mail, Workflow, AI, Connect) einbindet, statt Header pro Modul erneut zu
 // definieren (Akzeptanzkriterium 3) — dieselbe Konsolidierungslogik wie
 // beim zentralen Rate-Limiting (API-03). Die tatsaechliche EINBINDUNG in
 // jedes einzelne Modul-Frontend ist ausdruecklich NICHT Teil dieser Kachel
 // (siehe Ticket "Nicht Bestandteil").
 package secheaders
 import (
 	"fmt"
 	"net/http"
 	"strings"
 	"time"
 )
 // Config ist die Baseline-Konfiguration. DefaultConfig() liefert einen
 // Ausgangspunkt OHNE 'unsafe-inline'/'unsafe-eval' (Akzeptanzkriterium 1)
 // und mit angemessener HSTS-Laufzeit (Akzeptanzkriterium 2).
 type Config struct {
 	// ContentSecurityPolicy wird unveraendert als Header-Wert gesendet.
 	ContentSecurityPolicy string
 	// HSTSMaxAge bestimmt die Gueltigkeitsdauer, die Browser sich merken.
 	HSTSMaxAge          time.Duration
 	HSTSIncludeSubdomains bool
 	FrameOptions        string
 	ReferrerPolicy      string
 	ContentTypeNoSniff  bool
 }
 // DefaultConfig liefert die dokumentierte Baseline: restriktive CSP ohne
 // unsichere Direktiven, HSTS mit 180 Tagen (empfohlener Mindestwert fuer
 // HSTS-Preloading-Listen liegt bei 1 Jahr — 180 Tage ist ein bewusst
 // konservativer, aber bereits "angemessener" Ausgangswert, siehe
 // Akzeptanzkriterium 2), Clickjacking- und MIME-Sniffing-Schutz.
 func DefaultConfig() Config {
 	return Config{
 		ContentSecurityPolicy: strings.Join([]string{
 			"default-src 'self'",
 			"script-src 'self'",
 			"style-src 'self'",
 			"img-src 'self' data:",
 			"object-src 'none'",
 			"base-uri 'self'",
 			"frame-ancestors 'none'",
 		}, "; "),
 		HSTSMaxAge:            180 * 24 * time.Hour,
 		HSTSIncludeSubdomains: true,
 		FrameOptions:          "DENY",
 		ReferrerPolicy:        "strict-origin-when-cross-origin",
 		ContentTypeNoSniff:    true,
 	}
 }
 // RequiredHeaders sind die von dieser Baseline gesetzten Header-Namen — die
 // Referenzliste fuer CheckCoverage (Akzeptanzkriterium/Pruefung 1).
 var RequiredHeaders = []string{
 	"Content-Security-Policy",
 	"Strict-Transport-Security",
 	"X-Frame-Options",
 	"Referrer-Policy",
 	"X-Content-Type-Options",
 }
 func (c Config) hstsValue() string {
 	v := fmt.Sprintf("max-age=%d", int(c.HSTSMaxAge.Seconds()))
 	if c.HSTSIncludeSubdomains {
 		v += "; includeSubDomains"
 	}
 	return v
 }
 // Middleware setzt die Baseline-Header auf JEDER Antwort und erzwingt einen
 // HTTP->HTTPS-Redirect, WENN die Anfrage nicht bereits ueber TLS ankam
 // (Akzeptanzkriterium 2 / Pruefung 3) — serverseitig durchgesetzt, nicht nur
 // dem Browser-HSTS-Cache ueberlassen (der erst nach dem ERSTEN sicheren
 // Aufruf greift).
 func Middleware(cfg Config, next http.HandlerFunc) http.HandlerFunc {
 	return func(w http.ResponseWriter, r *http.Request) {
 		if !isSecure(r) {
 			target := "https://" + r.Host + r.URL.RequestURI()
 			http.Redirect(w, r, target, http.StatusMovedPermanently)
 			return
 		}
 		SetHeaders(cfg, w)
 		next(w, r)
 	}
 }
 // SetHeaders setzt die Baseline-Header direkt, OHNE die HTTPS-Redirect-
 // Pruefung von Middleware — nuetzlich fuer lokale Entwicklungs-/
 // Demo-Umgebungen ohne TLS-Terminierung (siehe cmd/secheaders-devserver)
 // und fuer Aufrufer, die den Redirect selbst schon anderweitig sicherstellen.
 func SetHeaders(cfg Config, w http.ResponseWriter) {
 	w.Header().Set("Content-Security-Policy", cfg.ContentSecurityPolicy)
 	w.Header().Set("Strict-Transport-Security", cfg.hstsValue())
 	w.Header().Set("X-Frame-Options", cfg.FrameOptions)
 	w.Header().Set("Referrer-Policy", cfg.ReferrerPolicy)
 	if cfg.ContentTypeNoSniff {
 		w.Header().Set("X-Content-Type-Options", "nosniff")
 	}
 }
 // isSecure erkennt TLS direkt ODER ueber den ueblichen Reverse-Proxy-Header
 // (X-Forwarded-Proto) — der Core-Dienst laeuft in der Praxis hinter einem
 // TLS-terminierenden Proxy, sieht r.TLS also nie direkt gesetzt.
 func isSecure(r *http.Request) bool {
 	if r.TLS != nil {
 		return true
 	}
 	return strings.EqualFold(r.Header.Get("X-Forwarded-Proto"), "https")
 }
 // CheckCoverage vergleicht die tatsaechlich gesetzten Header einer Antwort
 // gegen RequiredHeaders und liefert die fehlenden — der "automatisierte
 // Header-Scan" aus Pruefung 1, anwendbar auf jede Antwort eines beliebigen
 // Modul-Frontends.
 func CheckCoverage(headers http.Header) (missing []string) {
 	for _, name := range RequiredHeaders {
 		if headers.Get(name) == "" {
 			missing = append(missing, name)
 		}
 	}
 	return missing
 }
@@ -0,0 +1,113 @@
 package secheaders
 import (
 	"net/http"
 	"net/http/httptest"
 	"strings"
 	"testing"
 )
 func secureRequest(method, target string) *http.Request {
 	req := httptest.NewRequest(method, target, nil)
 	req.Header.Set("X-Forwarded-Proto", "https")
 	return req
 }
 // Akzeptanzkriterium 1: CSP definiert ohne unsafe-inline/unsafe-eval.
 func TestDefaultConfig_CSPHasNoUnsafeDirectives(t *testing.T) {
 	cfg := DefaultConfig()
 	if strings.Contains(cfg.ContentSecurityPolicy, "unsafe-inline") {
 		t.Fatal("csp enthaelt 'unsafe-inline', erwartet keine unsicheren direktiven")
 	}
 	if strings.Contains(cfg.ContentSecurityPolicy, "unsafe-eval") {
 		t.Fatal("csp enthaelt 'unsafe-eval', erwartet keine unsicheren direktiven")
 	}
 	if !strings.Contains(cfg.ContentSecurityPolicy, "default-src 'self'") {
 		t.Fatal("erwartet restriktive default-src 'self' als ausgangspunkt")
 	}
 }
 // Akzeptanzkriterium 2: HSTS mit angemessener max-age gesetzt.
 func TestMiddleware_SetsHSTSWithSufficientMaxAge(t *testing.T) {
 	cfg := DefaultConfig()
 	handler := Middleware(cfg, func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
 	rec := httptest.NewRecorder()
 	handler(rec, secureRequest(http.MethodGet, "https://example.test/"))
 	hsts := rec.Header().Get("Strict-Transport-Security")
 	if !strings.Contains(hsts, "max-age=") {
 		t.Fatalf("hsts-header fehlt max-age: %q", hsts)
 	}
 	// "Angemessen" heisst hier: mindestens 30 Tage (2592000s) — deutlich
 	// ueber dem bekannten Anti-Pattern kurzer/fehlender max-age-Werte.
 	if cfg.HSTSMaxAge.Seconds() < 2592000 {
 		t.Fatalf("konfigurierte hsts-max-age = %v, erwartet mindestens 30 tage", cfg.HSTSMaxAge)
 	}
 	if !strings.Contains(hsts, "includeSubDomains") {
 		t.Fatalf("erwartet includeSubDomains im hsts-header: %q", hsts)
 	}
 }
 // Akzeptanzkriterium 3 + Pruefung 1: EINE gemeinsame Middleware setzt ALLE
 // Baseline-Header vollstaendig — automatisiert ueberprueft mit CheckCoverage.
 func TestMiddleware_ProducesFullHeaderCoverage(t *testing.T) {
 	cfg := DefaultConfig()
 	handler := Middleware(cfg, func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
 	rec := httptest.NewRecorder()
 	handler(rec, secureRequest(http.MethodGet, "https://example.test/"))
 	if missing := CheckCoverage(rec.Header()); len(missing) != 0 {
 		t.Fatalf("erwartet vollstaendige header-abdeckung, fehlen: %v", missing)
 	}
 }
 // Pruefung 1 (Kehrseite): CheckCoverage erkennt fehlende Header
 // zuverlaessig — Voraussetzung dafuer, dass ein automatisierter Scan
 // gegen ein Modul-Frontend OHNE eingebundene Middleware ueberhaupt etwas
 // meldet.
 func TestCheckCoverage_DetectsMissingHeadersOnBareHandler(t *testing.T) {
 	bareHandler := func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) }
 	rec := httptest.NewRecorder()
 	bareHandler(rec, httptest.NewRequest(http.MethodGet, "/", nil))
 	missing := CheckCoverage(rec.Header())
 	if len(missing) != len(RequiredHeaders) {
 		t.Fatalf("erwartet %d fehlende header bei unbehandeltem handler, habe %d: %v",
 			len(RequiredHeaders), len(missing), missing)
 	}
 }
 // Akzeptanzkriterium 2 + Pruefung 3: ein Aufruf ueber (simuliertes) HTTP
 // wird server-seitig auf HTTPS umgeleitet, statt sich allein auf den
 // HSTS-Browser-Cache zu verlassen (der erst nach dem ersten sicheren
 // Aufruf greift).
 func TestMiddleware_RedirectsInsecureRequestToHTTPS(t *testing.T) {
 	cfg := DefaultConfig()
 	called := false
 	handler := Middleware(cfg, func(w http.ResponseWriter, r *http.Request) {
 		called = true
 		w.WriteHeader(http.StatusOK)
 	})
 	req := httptest.NewRequest(http.MethodGet, "http://example.test/pfad?x=1", nil)
 	// Kein X-Forwarded-Proto, kein r.TLS -> unsicherer Aufruf.
 	rec := httptest.NewRecorder()
 	handler(rec, req)
 	if rec.Code != http.StatusMovedPermanently {
 		t.Fatalf("status = %d, want 301 (redirect auf https)", rec.Code)
 	}
 	location := rec.Header().Get("Location")
 	if !strings.HasPrefix(location, "https://") {
 		t.Fatalf("location = %q, want https://-praefix", location)
 	}
 	if !strings.Contains(location, "/pfad?x=1") {
 		t.Fatalf("location = %q, erwartet erhaltenen pfad+query", location)
 	}
 	if called {
 		t.Fatal("eigentlicher handler haette bei unsicherem aufruf nicht erreicht werden duerfen")
 	}
 }
@@ -103,6 +103,51 @@ func (s *TenantUserStore) Deactivate(ctx context.Context, id string) (User, erro
 	`, id, StatusInactive))
 }
 // SetPasswordHash schreibt einen bereits berechneten bcrypt-Hash (siehe
 // internal/auth, IAM-02). Der Store selbst kennt kein Klartext-Passwort.
 func (s *TenantUserStore) SetPasswordHash(ctx context.Context, id, hash string) error {
 	tag, err := s.pool.Exec(ctx, `
 		UPDATE users SET password_hash = $2, updated_at = now() WHERE id = $1
 	`, id, hash)
 	if err != nil {
 		return fmt.Errorf("passwort setzen: %w", err)
 	}
 	if tag.RowsAffected() == 0 {
 		return ErrNotFound
 	}
 	return nil
 }
 // AuthCredentials wird ausschliesslich fuer den Login-Pfad (internal/auth)
 // verwendet und traegt bewusst den password_hash, damit er nicht ueber den
 // regulaeren User-Typ/JSON-Serialisierungspfad nach aussen dringen kann.
 type AuthCredentials struct {
 	User         User
 	PasswordHash string
 }
 // GetByEmailForAuth liefert Benutzer + Passwort-Hash zu einer E-Mail-Adresse
 // aus GENAU DIESER Tenant-Datenbank — der Tenant-Scope ergibt sich damit
 // zwingend aus dem verwendeten Pool, es gibt keine Moeglichkeit, versehentlich
 // ueber Tenant-Grenzen hinweg zu suchen (bekannter archivmail-Fehler, siehe
 // IAM-02 "Bekannte Fehler vermeiden").
 func (s *TenantUserStore) GetByEmailForAuth(ctx context.Context, email string) (AuthCredentials, error) {
 	var c AuthCredentials
 	row := s.pool.QueryRow(ctx, `
 		SELECT id, email, name, status, created_at, updated_at, password_hash
 		FROM users WHERE email = $1
 	`, email)
 	if err := row.Scan(&c.User.ID, &c.User.Email, &c.User.Name, &c.User.Status,
 		&c.User.CreatedAt, &c.User.UpdatedAt, &c.PasswordHash); err != nil {
 		if errors.Is(err, pgx.ErrNoRows) {
 			return AuthCredentials{}, ErrNotFound
 		}
 		return AuthCredentials{}, fmt.Errorf("anmeldedaten lesen: %w", err)
 	}
 	return c, nil
 }
 func scanUser(row pgx.Row) (User, error) {
 	var u User
 	if err := row.Scan(&u.ID, &u.Email, &u.Name, &u.Status, &u.CreatedAt, &u.UpdatedAt); err != nil {
@@ -1,2 +0,0 @@
 DROP TABLE IF EXISTS role_assignment_history;
 DROP TABLE IF EXISTS role_assignments;
@@ -1,23 +0,0 @@
 -- Rollenzuweisung pro Benutzer (RBAC-01, siehe core-kanban/tickets/RBAC-01.md).
 -- Nur 'user' und 'tenant_admin' sind hier zuweisbar — 'superadmin' lebt
 -- mandantenuebergreifend in der Registry (IAM-01 SuperadminStore) und hat
 -- daher bewusst KEINE Zeile in dieser tenant-lokalen Tabelle (Akzeptanz-
 -- kriterium 1: nur Zuweisungen innerhalb der erlaubten Matrix).
 CREATE TABLE role_assignments (
    user_id     UUID PRIMARY KEY REFERENCES users(id),
    role        TEXT NOT NULL CHECK (role IN ('user', 'tenant_admin')),
    granted_by  TEXT NOT NULL,
    granted_at  TIMESTAMPTZ NOT NULL DEFAULT now()
 );
 -- Vollstaendige Historie jeder Rollenaenderung (Akzeptanzkriterium 3: wer
 -- hat wann welche Rolle vergeben).
 CREATE TABLE role_assignment_history (
    id          UUID PRIMARY KEY DEFAULT gen_random_uuid(),
    user_id     UUID NOT NULL,
    role        TEXT NOT NULL,
    granted_by  TEXT NOT NULL,
    granted_at  TIMESTAMPTZ NOT NULL DEFAULT now()
 );
 CREATE INDEX role_assignment_history_user_idx ON role_assignment_history (user_id, granted_at);
@@ -0,0 +1 @@
 ALTER TABLE users DROP COLUMN password_hash;
@@ -0,0 +1,3 @@
 -- Passwort-Hash-Spalte fuer Login (IAM-02, siehe core-kanban/tickets/IAM-02.md).
 -- Enthaelt AUSSCHLIESSLICH den bcrypt-Hash, niemals das Klartext-Passwort.
 ALTER TABLE users ADD COLUMN password_hash TEXT NOT NULL DEFAULT '';
@@ -1,11 +1,4 @@
 #!/usr/bin/env bash
 # Setzt die nexarch-Testumgebung zurueck: loescht die geteilte
 # Registry-Tabelle "tenants" in der postgres-Wartungsdatenbank sowie alle
 # tenant_*-Datenbanken. Noetig, weil verschiedene Feature-Branches
 # unterschiedliche Registry-Schemata erwarten, aber dieselbe physische
 # Postgres-Instanz auf dem Testhost teilen (siehe [[project-nexarch-test-infra]]).
 #
 # Aufruf: NEXARCH_TEST_DB_PASSWORD=... ./scripts/reset-test-env.sh
 set -euo pipefail
 PASS="${NEXARCH_TEST_DB_PASSWORD:?Setze NEXARCH_TEST_DB_PASSWORD vor dem Aufruf}"
@@ -1,10 +1,4 @@
 #!/usr/bin/env bash
 # Ein-Kommando-Pruefung fuer den aktuellen Code-Stand auf dem Testhost:
 # Registry+Tenant-DBs zuruecksetzen, dann build/vet/test in einem Rutsch.
 # -p 1 ist Pflicht, da mehrere Pakete dieselbe physische Registry-Tabelle auf
 # dem Testhost teilen (siehe [[project-nexarch-test-infra]]).
 #
 # Aufruf: NEXARCH_TEST_DB_PASSWORD=... ./scripts/run-checks.sh
 set -euo pipefail
 PASS="${NEXARCH_TEST_DB_PASSWORD:?Setze NEXARCH_TEST_DB_PASSWORD vor dem Aufruf}"
Author	SHA1	Message	Date
sysops	43dca005f2	API-08: SetHeaders-helfer fuer redirect-freie umgebungen + devserver fuer csp-live-verifikation	2026-08-28 09:16:20 +02:00
sysops	24a522e10c	API-08: security-header-baseline-fuer-alle-frontends (gemeinsame middleware, csp/hsts/coverage-scan)	2026-08-28 09:11:33 +02:00
sysopsandClaude Sonnet 5	27f9866264	API-01: rest-api-grundgeruest-versionierung internal/apiserver: Server.Handle(version, pattern, h) registriert Routen unter /api/{version}/... (Akzeptanzkriterium 1) — verschiedene Versionen sind unabhaengige Pfade im ServeMux, eine neue Version beeintraechtigt bestehende nicht. HandleV1 ist die Kurzform fuer die aktuelle Hauptversion. Einheitliches Fehlerschema {"error":{"code","message"}} ueber WriteError (Akzeptanzkriterium 2) — bewusst NICHT auth.RequireAuth aus IAM-02 wiederverwendet, da dessen Klartext-Fehlerantworten nicht zum einheitlichen JSON-Schema passen wuerden; stattdessen authAndTenantContext nutzt auth.TokenIssuer.Verify direkt (dieselbe Kryptographie, keine Duplikation) und antwortet im API-01-Schema, auch bei 401. authAndTenantContext ist die Middleware, die JEDEM ueber Handle registrierten Endpunkt Tenant-/Benutzerkontext bereitstellt (Akzeptanzkriterium 3, ueber apiserver.FromContext abrufbar) — kein Handler prueft Auth selbst. loggingMiddleware protokolliert jede Anfrage strukturiert. Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS): 1. Fehlerhafte Anfrage liefert ueber mehrere Endpunkte hinweg dasselbe Fehlerschema (Stichprobe) — TestErrorFormat_ConsistentAcrossEndpoints: zwei unabhaengige Endpunkte, beide liefern 401 im identischen {"error":{"code","message"}}-Schema. PASS. 2. Middleware-Kette nachweislich von jedem Endpunkt durchlaufen — TestMiddleware_SetsRequestContextForEveryEndpoint: zwei Endpunkte lesen RequestContext, beide erhalten korrekten UserID/TenantSlug aus dem Token. PASS. 3. Versionswechsel (fiktive v2-Route) ohne v1 zu beeintraechtigen — TestVersioning_V2DoesNotAffectV1: v1 vor und nach Anlage von v2 liefert unveraendert dieselbe Antwort. PASS. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-08-27 21:32:27 +02:00
sysopsandClaude Sonnet 5	3d20d86a4f	IAM-02: login-session-jwt-grundgeruest internal/auth: Login/Logout ueber httpOnly/Secure/SameSite=Strict-Cookie mit HS256-JWT (30min TTL), bcrypt-Passwort-Hashing (Cost 12, explizit begruendet und benchmarkt statt DefaultCost uebernommen), RequireAuth-Middleware fuer geschuetzte Routen. LoginService ist strukturell auf einen Tenant gescopt (nutzt user.TenantUserStore, dessen Pool = eine Tenant-DB — derselbe Mechanismus wie in TEN-01/TEN-02), liefert bei falscher E-Mail und falschem Passwort denselben Fehler (User-Enumeration-Schutz) inkl. Dummy-bcrypt- Vergleich gegen Timing-Seitenkanal bei unbekannter E-Mail. user.TenantUserStore erweitert um SetPasswordHash/GetByEmailForAuth (password_hash bleibt ausserhalb des regulaeren User-Typs/JSON-Pfads). Migration 0002 fuegt password_hash-Spalte hinzu (Default '', da IAM-01 User ohne Passwort anlegt). Login-Handler ist wie IAM-01/TEN-02 aus denselben Gruenden (Tenant- Connection-Routing = TEN-06, noch nicht gebaut) nicht in cmd/core/main.go verdrahtet — Package ist eigenstaendig nutzbar/getestet. Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS): 1. Login-Query tenant-gescopt — TestLoginService_NoCrossTenantLogin: gleiche E-Mail in zwei Tenant-DBs mit unterschiedlichem Passwort, Login gegen Tenant A mit Tenant-B-Passwort schlaegt fehl. PASS. 2. Session-Fixation/Token-Manipulation — TestTokenVerify_RejectsManipulatedPayload und TestTokenVerify_RejectsWrongSecret: manipuliertes/falsch signiertes Token wird abgelehnt. PASS. 3. Abgelaufenes Token erzwingt Neuanmeldung — TestTokenVerify_RejectsExpiredToken und TestRequireAuth_BlocksWithoutValidCookie. PASS. 4. Login-Latenz mit Kostenfaktor 12 gemessen: 294ms (Ziel < 400ms) — TestBcryptCostAgainstLatencyTarget. PASS. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>	2026-08-27 18:26:00 +02:00
		`@@ -1,2 +0,0 @@`
			`DROP TABLE IF EXISTS role_assignment_history;`
			`DROP TABLE IF EXISTS role_assignments;`
		`@@ -0,0 +1 @@`
							`ALTER TABLE users DROP COLUMN password_hash;`