RBAC-03: gruppen-abteilungen

internal/rbac/group.go: GroupStore verwaltet Gruppen innerhalb GENAU EINER Tenant-Datenbank (Modell C, analog Store/TenantUserStore) — Tenant-Isolation ist damit strukturell erfuellt, keine zusaetzliche Filterlogik noetig (Akzeptanzkriterium 3). Nur 'user'/'tenant_admin' sind auf Gruppenebene zuweisbar (dieselbe assignableRoles-Matrix wie bei direkter Zuweisung) — superadmin bleibt mandantenuebergreifend und ausserhalb jeder Gruppenlogik. EffectivePermissionsForUser vereinigt die direkte Rollenzuweisung (RBAC-01 Store) mit allen Rechten aus Gruppenrollen, live berechnet bei jedem Aufruf statt zwischengespeichert — RemoveMember/DeleteGroup wirken dadurch sofort (Akzeptanzkriterium 3). ON DELETE CASCADE auf group_members entzieht beim Loeschen einer Gruppe die Mitgliedschaften automatisch, Benutzerkonten selbst bleiben unberuehrt. Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS): 1. Gruppenrolle wirkt korrekt auf ALLE aktuellen Mitglieder — TestGroup_RoleAffectsAllCurrentMembers: zwei Mitglieder, beide erhalten die Gruppenrolle-Rechte. PASS. 2. Entfernen eines Benutzers aus der Gruppe entzieht Rechte sofort — TestGroup_RemoveMemberRevokesRightsImmediately. PASS. 3. Gruppen sauber tenant-isoliert (Stichprobe ueber zwei Tenants) — TestGroup_TenantIsolation: Gruppe in Tenant A taucht in Tenant B nicht auf. PASS. Zusaetzlich: TestGroup_DeleteGroupRevokesRightsWithoutDeletingUser belegt Akzeptanzkriterium 3 (Loeschung ohne Benutzerkonto-Verlust) konkret. PASS. Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>
2026-08-27 22:00:48 +02:00
17 changed files with 391 additions and 861 deletions
@@ -1,87 +0,0 @@
 // Package flag implementiert Core LIC-02: einen Feature-Flag-Dienst mit
 // Strategien (global an/aus, Prozentsatz, Tenant-Zielgruppe) als Kernfunktion
 // des Core-Dienstes selbst — keine zusaetzliche Infrastruktur (Unleash-Server
 // + eigene DB), siehe "bewusst vermeiden" im LIC-02-Ticket.
 package flag
 import (
 	"context"
 	"errors"
 	"fmt"
 	"hash/fnv"
 	"github.com/jackc/pgx/v5"
 	"github.com/jackc/pgx/v5/pgxpool"
 )
 var ErrNotFound = errors.New("flag: nicht gefunden")
 // Flag ist die zentrale Definition — Auswertung (Evaluate) ist bewusst davon
 // getrennt (Unleash-Prinzip: Flag-Verwaltung vs. Flag-Auswertung).
 type Flag struct {
 	Key               string
 	Enabled           bool
 	RolloutPercentage int
 	TargetTenantSlugs []string
 }
 // Store ist die Verwaltungsseite (Admin): Flags definieren/lesen.
 type Store struct {
 	pool *pgxpool.Pool
 }
 func NewStore(pool *pgxpool.Pool) *Store {
 	return &Store{pool: pool}
 }
 func (s *Store) Set(ctx context.Context, f Flag) error {
 	if f.TargetTenantSlugs == nil {
 		f.TargetTenantSlugs = []string{} // pgx uebertraegt ein nil-Slice sonst als SQL NULL statt leerem Array.
 	}
 	_, err := s.pool.Exec(ctx, `
 		INSERT INTO feature_flags (key, enabled, rollout_percentage, target_tenant_slugs, updated_at)
 		VALUES ($1, $2, $3, $4, now())
 		ON CONFLICT (key) DO UPDATE SET
 			enabled = $2, rollout_percentage = $3, target_tenant_slugs = $4, updated_at = now()
 	`, f.Key, f.Enabled, f.RolloutPercentage, f.TargetTenantSlugs)
 	if err != nil {
 		return fmt.Errorf("flag speichern: %w", err)
 	}
 	return nil
 }
 func (s *Store) Get(ctx context.Context, key string) (Flag, error) {
 	var f Flag
 	row := s.pool.QueryRow(ctx, `
 		SELECT key, enabled, rollout_percentage, target_tenant_slugs
 		FROM feature_flags WHERE key = $1
 	`, key)
 	if err := row.Scan(&f.Key, &f.Enabled, &f.RolloutPercentage, &f.TargetTenantSlugs); err != nil {
 		if errors.Is(err, pgx.ErrNoRows) {
 			return Flag{}, ErrNotFound
 		}
 		return Flag{}, fmt.Errorf("flag lesen: %w", err)
 	}
 	return f, nil
 }
 // evaluate wendet die Strategien in fester Reihenfolge an: globaler
 // An/Aus-Schalter zuerst, dann Tenant-Zielgruppe, dann Prozentsatz-Rollout.
 // Ein unbekannter/nicht getroffener Fall ergibt false — Fail-Safe-Default,
 // kein Feature wird versehentlich aktiv.
 func evaluate(f Flag, tenantSlug string) bool {
 	if f.Enabled {
 		return true
 	}
 	for _, target := range f.TargetTenantSlugs {
 		if target == tenantSlug {
 			return true
 		}
 	}
 	if f.RolloutPercentage > 0 {
 		h := fnv.New32a()
 		_, _ = h.Write([]byte(f.Key + "|" + tenantSlug))
 		return int(h.Sum32()%100) < f.RolloutPercentage
 	}
 	return false
 }
@@ -1,87 +0,0 @@
 package flag
 import (
 	"context"
 	"log/slog"
 	"sync"
 	"time"
 )
 // DefaultCacheTTL ist die dokumentierte Cache-Invalidierungszeit
 // (Akzeptanzkriterium 2/3): eine Aenderung wirkt spaetestens nach dieser
 // Zeit auf allen Core-Instanzen, ohne dass ein Dienst neu gestartet werden
 // muss (Akzeptanzkriterium 3).
 const DefaultCacheTTL = 5 * time.Second
 type cacheEntry struct {
 	flag      Flag
 	expiresAt time.Time
 }
 // Service ist die Auswertungsseite (SDK/Client-Analogon zu Unleash) mit
 // lokalem TTL-Cache. Bewusst getrennt von Store (Verwaltung).
 type Service struct {
 	store *Store
 	ttl   time.Duration
 	mu    sync.RWMutex
 	cache map[string]cacheEntry
 }
 func NewService(store *Store, ttl time.Duration) *Service {
 	if ttl <= 0 {
 		ttl = DefaultCacheTTL
 	}
 	return &Service{store: store, ttl: ttl, cache: make(map[string]cacheEntry)}
 }
 // IsEnabled wertet ein Flag fuer einen Tenant aus. Liefert IMMER einen
 // bool ohne Fehlerwert — ein nicht erreichbarer Flag-Dienst darf abhaengige
 // Aufrufer nicht zum Absturz bringen oder zu Fehlerbehandlungscode zwingen,
 // der leicht vergessen wird (Akzeptanzkriterium 3 / Pruefung 3: dokumentiertes
 // Fallback-Verhalten = false, ggf. aus dem zuletzt bekannten Zwischenspeicher).
 func (s *Service) IsEnabled(ctx context.Context, tenantSlug, key string) bool {
 	f, ok := s.resolve(ctx, key)
 	if !ok {
 		return false
 	}
 	return evaluate(f, tenantSlug)
 }
 func (s *Service) resolve(ctx context.Context, key string) (Flag, bool) {
 	s.mu.RLock()
 	entry, exists := s.cache[key]
 	fresh := exists && time.Now().Before(entry.expiresAt)
 	s.mu.RUnlock()
 	if fresh {
 		return entry.flag, true
 	}
 	f, err := s.store.Get(ctx, key)
 	if err != nil {
 		if exists {
 			slog.Warn("feature-flag-dienst nicht erreichbar, nutze zwischengespeicherten stand",
 				"flag_key", key, "error", err)
 			return entry.flag, true
 		}
 		slog.Warn("feature-flag-dienst nicht erreichbar, kein zwischengespeicherter stand vorhanden, fallback: deaktiviert",
 			"flag_key", key, "error", err)
 		return Flag{}, false
 	}
 	s.mu.Lock()
 	s.cache[key] = cacheEntry{flag: f, expiresAt: time.Now().Add(s.ttl)}
 	s.mu.Unlock()
 	return f, true
 }
 // Invalidate erzwingt beim naechsten IsEnabled-Aufruf ein sofortiges Neuladen
 // aus der Datenbank statt auf den TTL-Ablauf zu warten — wird nach Store.Set
 // auf derselben Instanz aufgerufen, damit der Schreiber die eigene Aenderung
 // ohne Wartezeit sieht. Andere Core-Instanzen sehen sie spaetestens nach
 // DefaultCacheTTL (siehe Akzeptanzkriterium 3).
 func (s *Service) Invalidate(key string) {
 	s.mu.Lock()
 	delete(s.cache, key)
 	s.mu.Unlock()
 }
@@ -1,67 +0,0 @@
 package policy
 import (
 	"context"
 	"errors"
 	"fmt"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 )
 // ErrDenied wird geliefert, wenn keine Regel role+permission erlaubt —
 // Default-Deny (Akzeptanzkriterium 2).
 var ErrDenied = errors.New("policy: zugriff verweigert")
 // Enforcer ist die EINE zentrale Entscheidungs- und Durchsetzungsschicht
 // (Akzeptanzkriterium 1). Repository-/Query-Code ruft ausschliesslich Guard
 // bzw. GuardTenantScoped auf, nie eine Rohabfrage direkt.
 type Enforcer struct {
 	store *Store
 }
 func NewEnforcer(store *Store) *Enforcer {
 	return &Enforcer{store: store}
 }
 // Authorize entscheidet erlaubt/verboten — unabhaengig von jeder konkreten
 // Query, rein anhand der deklarativen Regeln (Akzeptanzkriterium 2: fuer
 // sich genommen testbar, ohne Anwendungslogik).
 func (e *Enforcer) Authorize(ctx context.Context, role rbac.Role, perm rbac.Permission) error {
 	allowed, err := e.store.IsAllowed(ctx, role, perm)
 	if err != nil {
 		return err
 	}
 	if !allowed {
 		return fmt.Errorf("%w: rolle %q hat kein recht %q", ErrDenied, role, perm)
 	}
 	return nil
 }
 // Guard ist die zentrale Enforcement-Funktion (Akzeptanzkriterium 1): query
 // wird NUR aufgerufen, wenn Authorize zustimmt. Es gibt keinen Weg, query
 // ausserhalb von Guard aufzurufen und trotzdem den Aufrufer als autorisiert
 // zu behandeln — die Autorisierungsentscheidung steht immer VOR dem
 // Datenzugriff, nie danach.
 func Guard[T any](ctx context.Context, e *Enforcer, role rbac.Role, perm rbac.Permission, query func(ctx context.Context) (T, error)) (T, error) {
 	var zero T
 	if err := e.Authorize(ctx, role, perm); err != nil {
 		return zero, err
 	}
 	return query(ctx)
 }
 // GuardTenantScoped erzwingt zusaetzlich, dass tenantSlug TEIL der Query-
 // Funktion selbst ist (Akzeptanzkriterium 3): der Funktionstyp verlangt,
 // dass die Repository-Implementierung tenantSlug in ihre eigene WHERE-
 // Klausel einbaut — ein nachgelagerter Filter auf dem Ergebnis (der
 // archivmail-Fehler aus "Bekannte Fehler vermeiden") ist mit dieser
 // Signatur nicht moeglich, da die Query-Funktion tenantSlug selbst
 // entgegennimmt und dafuer verantwortlich ist, statt ihn hinterher
 // anzuwenden.
 func GuardTenantScoped[T any](ctx context.Context, e *Enforcer, role rbac.Role, perm rbac.Permission, tenantSlug string, query func(ctx context.Context, tenantSlug string) (T, error)) (T, error) {
 	var zero T
 	if err := e.Authorize(ctx, role, perm); err != nil {
 		return zero, err
 	}
 	return query(ctx, tenantSlug)
 }
@@ -1,90 +0,0 @@
 package policy
 import (
 	"context"
 	"errors"
 	"fmt"
 	"github.com/jackc/pgx/v5"
 	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 )
 // ModuleScope verknuepft eine Policy-Regel mit einem Feature-Flag: existiert
 // ein ModuleScope fuer (role, permission), gilt die Regel nur zusaetzlich zur
 // Grundberechtigung, wenn FlagKey fuer den jeweiligen Tenant aktiv ist
 // (Akzeptanzkriterium 1: Rechte folgen der Lizenz).
 type ModuleScope struct {
 	Role       rbac.Role
 	Permission rbac.Permission
 	Module     string
 	FlagKey    string
 }
 // SetModuleScope verknuepft eine bestehende Policy-Regel mit einem Modul/
 // Feature-Flag. Die Regel selbst (Store.Grant) muss unabhaengig davon
 // existieren — ModuleScope schraenkt sie nur zusaetzlich ein.
 func (s *Store) SetModuleScope(ctx context.Context, role rbac.Role, perm rbac.Permission, module, flagKey string) error {
 	_, err := s.pool.Exec(ctx, `
 		INSERT INTO policy_module_scopes (role, permission, module, flag_key)
 		VALUES ($1, $2, $3, $4)
 		ON CONFLICT (role, permission) DO UPDATE SET module = $3, flag_key = $4
 	`, string(role), string(perm), module, flagKey)
 	if err != nil {
 		return fmt.Errorf("modul-scope setzen: %w", err)
 	}
 	return nil
 }
 func (s *Store) GetModuleScope(ctx context.Context, role rbac.Role, perm rbac.Permission) (ModuleScope, bool, error) {
 	var ms ModuleScope
 	ms.Role, ms.Permission = role, perm
 	err := s.pool.QueryRow(ctx, `
 		SELECT module, flag_key FROM policy_module_scopes WHERE role = $1 AND permission = $2
 	`, string(role), string(perm)).Scan(&ms.Module, &ms.FlagKey)
 	if err != nil {
 		if errors.Is(err, pgx.ErrNoRows) {
 			return ModuleScope{}, false, nil
 		}
 		return ModuleScope{}, false, fmt.Errorf("modul-scope lesen: %w", err)
 	}
 	return ms, true, nil
 }
 // AuthorizeForTenant ist dieselbe zentrale Entscheidungsfunktion wie
 // Authorize (Akzeptanzkriterium 3: keine zweite Enforcement-Schicht),
 // erweitert um die Modul-Scoping-Pruefung: eine sonst passende Regel greift
 // NICHT, wenn das zugehoerige Modul fuer den Tenant nicht aktiviert ist
 // (Akzeptanzkriterium 1). Feature-Flag-Aenderungen wirken ohne Neustart
 // (Akzeptanzkriterium 2), da flag.Service dieselbe TTL-Cache-Instanz der
 // aufrufenden Core-Instanz nutzt.
 func (e *Enforcer) AuthorizeForTenant(ctx context.Context, flags *flag.Service, tenantSlug string, role rbac.Role, perm rbac.Permission) error {
 	if err := e.Authorize(ctx, role, perm); err != nil {
 		return err
 	}
 	scope, found, err := e.store.GetModuleScope(ctx, role, perm)
 	if err != nil {
 		return err
 	}
 	if !found {
 		return nil // keine Modul-Bindung fuer diese Regel — Grundberechtigung reicht.
 	}
 	if !flags.IsEnabled(ctx, tenantSlug, scope.FlagKey) {
 		return fmt.Errorf("%w: modul %q ist fuer diesen mandanten nicht aktiviert", ErrDenied, scope.Module)
 	}
 	return nil
 }
 // GuardModuleScoped ist Guard mit zusaetzlicher Modul-Scoping-Pruefung —
 // dieselbe zentrale Enforcement-Funktion, kein paralleler Mechanismus
 // (Akzeptanzkriterium 3).
 func GuardModuleScoped[T any](ctx context.Context, e *Enforcer, flags *flag.Service, tenantSlug string, role rbac.Role, perm rbac.Permission, query func(ctx context.Context) (T, error)) (T, error) {
 	var zero T
 	if err := e.AuthorizeForTenant(ctx, flags, tenantSlug, role, perm); err != nil {
 		return zero, err
 	}
 	return query(ctx)
 }
@@ -1,170 +0,0 @@
 package policy
 import (
 	"context"
 	"errors"
 	"os"
 	"testing"
 	"time"
 	"github.com/jackc/pgx/v5/pgxpool"
 	"gitea.perlbach24.de/scripte/nexarch/internal/flag"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 )
 func setupModuleScopeTest(t *testing.T) (*Store, *Enforcer, *flag.Store, *flag.Service, func()) {
 	t.Helper()
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	ctx := context.Background()
 	pool, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("pool: %v", err)
 	}
 	if _, err := pool.Exec(ctx, `
 		CREATE TABLE IF NOT EXISTS policy_rules (
 			role TEXT NOT NULL, permission TEXT NOT NULL,
 			granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now(),
 			PRIMARY KEY (role, permission)
 		);
 		CREATE TABLE IF NOT EXISTS policy_rule_changes (
 			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), role TEXT NOT NULL, permission TEXT NOT NULL,
 			action TEXT NOT NULL CHECK (action IN ('grant','revoke')), actor TEXT NOT NULL,
 			version INT NOT NULL, changed_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 		CREATE TABLE IF NOT EXISTS policy_module_scopes (
 			role TEXT NOT NULL, permission TEXT NOT NULL, module TEXT NOT NULL, flag_key TEXT NOT NULL,
 			PRIMARY KEY (role, permission)
 		);
 		CREATE TABLE IF NOT EXISTS feature_flags (
 			key TEXT PRIMARY KEY, enabled BOOLEAN NOT NULL DEFAULT false,
 			rollout_percentage INT NOT NULL DEFAULT 0, target_tenant_slugs TEXT[] NOT NULL DEFAULT '{}',
 			updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 	`); err != nil {
 		t.Fatalf("schema: %v", err)
 	}
 	store := NewStore(pool)
 	flagStore := flag.NewStore(pool)
 	flagService := flag.NewService(flagStore, 10*time.Millisecond) // kurze TTL fuer testbare invalidierung
 	cleanup := func() {
 		_, _ = pool.Exec(ctx, `DELETE FROM policy_module_scopes WHERE role LIKE 'test\_%' ESCAPE '\'`)
 		_, _ = pool.Exec(ctx, `DELETE FROM policy_rule_changes WHERE role LIKE 'test\_%' ESCAPE '\'`)
 		_, _ = pool.Exec(ctx, `DELETE FROM policy_rules WHERE role LIKE 'test\_%' ESCAPE '\'`)
 		_, _ = pool.Exec(ctx, `DELETE FROM feature_flags WHERE key LIKE 'test\_%' ESCAPE '\'`)
 		pool.Close()
 	}
 	return store, NewEnforcer(store), flagStore, flagService, cleanup
 }
 // Akzeptanzkriterium 1 + Pruefung 1: Berechtigung fuer nicht aktiviertes
 // Modul greift nicht, selbst bei sonst passender Rolle.
 func TestAuthorizeForTenant_DeniesWhenModuleNotActivated(t *testing.T) {
 	store, enforcer, _, flagService, cleanup := setupModuleScopeTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	role := rbac.Role("test_dms_nutzer")
 	perm := rbac.Permission("test_dokumente_lesen")
 	if err := store.Grant(ctx, role, perm, "admin@example.com"); err != nil {
 		t.Fatalf("grant: %v", err)
 	}
 	if err := store.SetModuleScope(ctx, role, perm, "dms", "test_dms_enabled"); err != nil {
 		t.Fatalf("set module scope: %v", err)
 	}
 	// Flag existiert nicht/ist nicht gesetzt -> IsEnabled liefert false (Fail-Safe-Default).
 	queryCalled := false
 	_, err := GuardModuleScoped(ctx, enforcer, flagService, "acme", role, perm, func(ctx context.Context) (string, error) {
 		queryCalled = true
 		return "daten", nil
 	})
 	if !errors.Is(err, ErrDenied) {
 		t.Fatalf("erwartet ErrDenied bei deaktiviertem modul, habe %v", err)
 	}
 	if queryCalled {
 		t.Fatal("query haette bei deaktiviertem modul nicht aufgerufen werden duerfen")
 	}
 }
 // Akzeptanzkriterium 2 + Pruefung 2: Aktivierung des Moduls macht die
 // Berechtigung ohne Neustart wirksam.
 func TestAuthorizeForTenant_BecomesActiveWithoutRestart(t *testing.T) {
 	store, enforcer, flagStore, flagService, cleanup := setupModuleScopeTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	role := rbac.Role("test_dms_nutzer2")
 	perm := rbac.Permission("test_dokumente_schreiben")
 	if err := store.Grant(ctx, role, perm, "admin@example.com"); err != nil {
 		t.Fatalf("grant: %v", err)
 	}
 	if err := store.SetModuleScope(ctx, role, perm, "dms", "test_dms_enabled2"); err != nil {
 		t.Fatalf("set module scope: %v", err)
 	}
 	if err := enforcer.AuthorizeForTenant(ctx, flagService, "acme", role, perm); !errors.Is(err, ErrDenied) {
 		t.Fatalf("vor aktivierung: erwartet ErrDenied, habe %v", err)
 	}
 	// Modul "im laufenden Betrieb" aktivieren — derselbe Prozess, kein Neustart.
 	if err := flagStore.Set(ctx, flag.Flag{Key: "test_dms_enabled2", Enabled: true}); err != nil {
 		t.Fatalf("flag setzen: %v", err)
 	}
 	time.Sleep(20 * time.Millisecond) // TTL abwarten statt Neustart
 	if err := enforcer.AuthorizeForTenant(ctx, flagService, "acme", role, perm); err != nil {
 		t.Fatalf("nach aktivierung sollte erlaubt sein: %v", err)
 	}
 }
 // Akzeptanzkriterium 3 + Pruefung 3: Zusammenspiel Modul-Scope + Rollenscope
 // in Kombinationsfaellen.
 func TestAuthorizeForTenant_CombinationsOfRoleAndModuleScope(t *testing.T) {
 	store, enforcer, flagStore, flagService, cleanup := setupModuleScopeTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	scopedRole := rbac.Role("test_scoped_rolle")
 	unscopedRole := rbac.Role("test_unscoped_rolle")
 	perm := rbac.Permission("test_kombiniert")
 	// Fall 1: Rolle ohne jegliche Regel -> verboten, unabhaengig vom Flag.
 	if err := enforcer.AuthorizeForTenant(ctx, flagService, "acme", rbac.Role("test_unbekannt"), perm); !errors.Is(err, ErrDenied) {
 		t.Fatalf("fall 1: erwartet ErrDenied (keine regel), habe %v", err)
 	}
 	// Fall 2: Regel vorhanden, KEIN Modul-Scope -> immer erlaubt (Grundrecht ohne Lizenzbindung).
 	if err := store.Grant(ctx, unscopedRole, perm, "admin@example.com"); err != nil {
 		t.Fatalf("grant unscoped: %v", err)
 	}
 	if err := enforcer.AuthorizeForTenant(ctx, flagService, "acme", unscopedRole, perm); err != nil {
 		t.Fatalf("fall 2: erwartet erlaubt ohne modul-scope, habe %v", err)
 	}
 	// Fall 3: Regel + Modul-Scope, Flag aus -> verboten.
 	if err := store.Grant(ctx, scopedRole, perm, "admin@example.com"); err != nil {
 		t.Fatalf("grant scoped: %v", err)
 	}
 	if err := store.SetModuleScope(ctx, scopedRole, perm, "mail", "test_mail_enabled"); err != nil {
 		t.Fatalf("set module scope: %v", err)
 	}
 	if err := enforcer.AuthorizeForTenant(ctx, flagService, "acme", scopedRole, perm); !errors.Is(err, ErrDenied) {
 		t.Fatalf("fall 3: erwartet ErrDenied (modul aus), habe %v", err)
 	}
 	// Fall 4: Regel + Modul-Scope, Flag an -> erlaubt.
 	if err := flagStore.Set(ctx, flag.Flag{Key: "test_mail_enabled", Enabled: true}); err != nil {
 		t.Fatalf("flag setzen: %v", err)
 	}
 	time.Sleep(20 * time.Millisecond)
 	if err := enforcer.AuthorizeForTenant(ctx, flagService, "acme", scopedRole, perm); err != nil {
 		t.Fatalf("fall 4: erwartet erlaubt (modul an), habe %v", err)
 	}
 }
@@ -1,187 +0,0 @@
 package policy
 import (
 	"context"
 	"errors"
 	"os"
 	"testing"
 	"github.com/jackc/pgx/v5/pgxpool"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 )
 func setupTest(t *testing.T) (*Store, *Enforcer, func()) {
 	t.Helper()
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	ctx := context.Background()
 	pool, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("pool: %v", err)
 	}
 	if _, err := pool.Exec(ctx, `
 		CREATE TABLE IF NOT EXISTS policy_rules (
 			role TEXT NOT NULL, permission TEXT NOT NULL,
 			granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now(),
 			PRIMARY KEY (role, permission)
 		);
 		CREATE TABLE IF NOT EXISTS policy_rule_changes (
 			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), role TEXT NOT NULL, permission TEXT NOT NULL,
 			action TEXT NOT NULL CHECK (action IN ('grant','revoke')), actor TEXT NOT NULL,
 			version INT NOT NULL, changed_at TIMESTAMPTZ NOT NULL DEFAULT now()
 		);
 	`); err != nil {
 		t.Fatalf("schema: %v", err)
 	}
 	store := NewStore(pool)
 	cleanup := func() {
 		_, _ = pool.Exec(ctx, `DELETE FROM policy_rule_changes WHERE role LIKE 'test\_%' ESCAPE '\'`)
 		_, _ = pool.Exec(ctx, `DELETE FROM policy_rules WHERE role LIKE 'test\_%' ESCAPE '\'`)
 		pool.Close()
 	}
 	return store, NewEnforcer(store), cleanup
 }
 // Akzeptanzkriterium 2 + Pruefung 2: Anfrage ohne passende Policy wird
 // zuverlaessig abgewiesen (Default-Deny), nicht standardmaessig erlaubt.
 func TestAuthorize_DefaultDeny(t *testing.T) {
 	_, enforcer, cleanup := setupTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	err := enforcer.Authorize(ctx, rbac.Role("test_niemand"), rbac.Permission("test_irgendwas"))
 	if !errors.Is(err, ErrDenied) {
 		t.Fatalf("erwartet ErrDenied ohne konfigurierte regel, habe %v", err)
 	}
 }
 // Akzeptanzkriterium 1 + Pruefung 1: Guard ruft query NUR bei Autorisierung
 // auf — kein Datenzugriffs-Pfad umgeht die Enforcement-Schicht.
 func TestGuard_NeverCallsQueryWithoutAuthorization(t *testing.T) {
 	store, enforcer, cleanup := setupTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	role := rbac.Role("test_rolle_guard")
 	perm := rbac.Permission("test_lesen")
 	queryCalled := false
 	_, err := Guard(ctx, enforcer, role, perm, func(ctx context.Context) (string, error) {
 		queryCalled = true
 		return "geheime-daten", nil
 	})
 	if !errors.Is(err, ErrDenied) {
 		t.Fatalf("erwartet ErrDenied, habe %v", err)
 	}
 	if queryCalled {
 		t.Fatal("query haette bei fehlender autorisierung NICHT aufgerufen werden duerfen")
 	}
 	if err := store.Grant(ctx, role, perm, "admin@example.com"); err != nil {
 		t.Fatalf("grant: %v", err)
 	}
 	result, err := Guard(ctx, enforcer, role, perm, func(ctx context.Context) (string, error) {
 		queryCalled = true
 		return "geheime-daten", nil
 	})
 	if err != nil {
 		t.Fatalf("guard nach grant: %v", err)
 	}
 	if !queryCalled || result != "geheime-daten" {
 		t.Fatalf("erwartet query-aufruf mit ergebnis nach autorisierung, habe queryCalled=%v result=%q", queryCalled, result)
 	}
 }
 // Akzeptanzkriterium 2 + 3: Policy-Entscheidungen deklarativ und unabhaengig
 // von Anwendungslogik testbar — Regelwechsel wirkt ohne Codeaenderung,
 // Historie ist versioniert nachvollziehbar.
 func TestGrantRevoke_ChangesBehaviorWithoutCodeChange(t *testing.T) {
 	store, enforcer, cleanup := setupTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	role := rbac.Role("test_rolle_history")
 	perm := rbac.Permission("test_schreiben")
 	allowed, err := store.IsAllowed(ctx, role, perm)
 	if err != nil {
 		t.Fatalf("is allowed (vorher): %v", err)
 	}
 	if allowed {
 		t.Fatal("erwartet nicht erlaubt vor grant")
 	}
 	if err := store.Grant(ctx, role, perm, "admin@example.com"); err != nil {
 		t.Fatalf("grant: %v", err)
 	}
 	if err := enforcer.Authorize(ctx, role, perm); err != nil {
 		t.Fatalf("authorize nach grant sollte erlauben: %v", err)
 	}
 	if err := store.Revoke(ctx, role, perm, "admin@example.com"); err != nil {
 		t.Fatalf("revoke: %v", err)
 	}
 	if err := enforcer.Authorize(ctx, role, perm); !errors.Is(err, ErrDenied) {
 		t.Fatalf("authorize nach revoke sollte verweigern, habe %v", err)
 	}
 	history, err := store.History(ctx, role, perm)
 	if err != nil {
 		t.Fatalf("history: %v", err)
 	}
 	if len(history) != 2 {
 		t.Fatalf("erwartet 2 historieneintraege (grant, revoke), habe %d", len(history))
 	}
 	if history[0].Action != "grant" || history[0].Version != 1 {
 		t.Fatalf("history[0] unerwartet: %+v", history[0])
 	}
 	if history[1].Action != "revoke" || history[1].Version != 2 {
 		t.Fatalf("history[1] unerwartet: %+v", history[1])
 	}
 }
 // Akzeptanzkriterium 3 + Pruefung 3 (Tenant-Scoping): GuardTenantScoped
 // zwingt tenantSlug in die Query-Funktion selbst, kein Post-Filter moeglich.
 func TestGuardTenantScoped_IsolatesDataBetweenTenants(t *testing.T) {
 	_, enforcer, cleanup := setupTest(t)
 	defer cleanup()
 	ctx := context.Background()
 	// Simuliertes Repository: die WHERE-Klausel (hier: Map-Lookup) liegt
 	// INNERHALB der Query-Funktion, nicht als nachgelagerter Filter.
 	data := map[string][]string{
 		"acme":   {"dokument-a1", "dokument-a2"},
 		"globex": {"dokument-b1"},
 	}
 	repoQuery := func(ctx context.Context, tenantSlug string) ([]string, error) {
 		return data[tenantSlug], nil
 	}
 	role := rbac.Role("test_tenant_rolle")
 	perm := rbac.Permission("test_dokumente_lesen")
 	if err := enforcer.store.Grant(ctx, role, perm, "admin@example.com"); err != nil {
 		t.Fatalf("grant: %v", err)
 	}
 	gotAcme, err := GuardTenantScoped(ctx, enforcer, role, perm, "acme", repoQuery)
 	if err != nil {
 		t.Fatalf("guard tenant scoped (acme): %v", err)
 	}
 	if len(gotAcme) != 2 {
 		t.Fatalf("erwartet 2 dokumente fuer acme, habe %d", len(gotAcme))
 	}
 	gotGlobex, err := GuardTenantScoped(ctx, enforcer, role, perm, "globex", repoQuery)
 	if err != nil {
 		t.Fatalf("guard tenant scoped (globex): %v", err)
 	}
 	if len(gotGlobex) != 1 {
 		t.Fatalf("erwartet 1 dokument fuer globex, habe %d", len(gotGlobex))
 	}
 }
@@ -1,124 +0,0 @@
 // Package policy implementiert Core RBAC-02: die zentrale Policy-
 // Entscheidungs- und Durchsetzungsschicht. Regeln liegen deklarativ in der
 // Datenbank (Casbin-Prinzip: Policy als Modell+Regeln getrennt vom Code),
 // versioniert und auditierbar — anders als Casbin-Dateien im Dateisystem
 // (siehe "bewusst vermeiden" im Ticket).
 package policy
 import (
 	"context"
 	"fmt"
 	"github.com/jackc/pgx/v5/pgxpool"
 	"gitea.perlbach24.de/scripte/nexarch/internal/rbac"
 )
 // Rule ist eine gewaehrte Regel: role darf permission.
 type Rule struct {
 	Role       rbac.Role
 	Permission rbac.Permission
 }
 // RuleChange ist ein Eintrag der Aenderungshistorie (Akzeptanzkriterium 3).
 type RuleChange struct {
 	Role       rbac.Role
 	Permission rbac.Permission
 	Action     string // "grant" oder "revoke"
 	Actor      string
 	Version    int
 }
 // Store verwaltet den deklarativen Regelsatz. IsAllowed schaut NUR in die
 // Datenbank — es gibt keinen hartcodierten Go-Fallback, ein Regelwechsel
 // wirkt sich ohne Codeaenderung sofort aus (Akzeptanzkriterium 2 / 3).
 type Store struct {
 	pool *pgxpool.Pool
 }
 func NewStore(pool *pgxpool.Pool) *Store {
 	return &Store{pool: pool}
 }
 // IsAllowed prueft, ob role das Recht permission besitzt. Default-Deny:
 // existiert keine passende Regel, ist der Zugriff verboten
 // (Akzeptanzkriterium 2 / Pruefung 2) — es gibt keinen impliziten
 // "erlaubt, wenn nichts anderes gesagt"-Pfad.
 func (s *Store) IsAllowed(ctx context.Context, role rbac.Role, perm rbac.Permission) (bool, error) {
 	var exists bool
 	err := s.pool.QueryRow(ctx, `
 		SELECT EXISTS(SELECT 1 FROM policy_rules WHERE role = $1 AND permission = $2)
 	`, string(role), string(perm)).Scan(&exists)
 	if err != nil {
 		return false, fmt.Errorf("policy pruefen: %w", err)
 	}
 	return exists, nil
 }
 // Grant gewaehrt role das Recht permission — deklarativ, ohne Codeaenderung
 // wirksam. actor wird fuer die Aenderungshistorie festgehalten.
 func (s *Store) Grant(ctx context.Context, role rbac.Role, perm rbac.Permission, actor string) error {
 	return s.change(ctx, role, perm, "grant", actor, `
 		INSERT INTO policy_rules (role, permission, granted_by, granted_at)
 		VALUES ($1, $2, $3, now())
 		ON CONFLICT (role, permission) DO UPDATE SET granted_by = $3, granted_at = now()
 	`, string(role), string(perm), actor)
 }
 // Revoke entzieht role das Recht permission.
 func (s *Store) Revoke(ctx context.Context, role rbac.Role, perm rbac.Permission, actor string) error {
 	return s.change(ctx, role, perm, "revoke", actor, `
 		DELETE FROM policy_rules WHERE role = $1 AND permission = $2
 	`, string(role), string(perm))
 }
 func (s *Store) change(ctx context.Context, role rbac.Role, perm rbac.Permission, action, actor, sql string, args ...any) error {
 	tx, err := s.pool.Begin(ctx)
 	if err != nil {
 		return fmt.Errorf("transaktion starten: %w", err)
 	}
 	defer func() { _ = tx.Rollback(ctx) }()
 	if _, err := tx.Exec(ctx, sql, args...); err != nil {
 		return fmt.Errorf("regel aendern: %w", err)
 	}
 	var version int
 	if err := tx.QueryRow(ctx, `
 		SELECT COALESCE(MAX(version), 0) + 1 FROM policy_rule_changes WHERE role = $1 AND permission = $2
 	`, string(role), string(perm)).Scan(&version); err != nil {
 		return fmt.Errorf("naechste version ermitteln: %w", err)
 	}
 	if _, err := tx.Exec(ctx, `
 		INSERT INTO policy_rule_changes (role, permission, action, actor, version, changed_at)
 		VALUES ($1, $2, $3, $4, $5, now())
 	`, string(role), string(perm), action, actor, version); err != nil {
 		return fmt.Errorf("historie schreiben: %w", err)
 	}
 	return tx.Commit(ctx)
 }
 // History liefert die vollstaendige, versionierte Aenderungshistorie einer
 // Regel (Akzeptanzkriterium 3).
 func (s *Store) History(ctx context.Context, role rbac.Role, perm rbac.Permission) ([]RuleChange, error) {
 	rows, err := s.pool.Query(ctx, `
 		SELECT action, actor, version FROM policy_rule_changes
 		WHERE role = $1 AND permission = $2 ORDER BY version
 	`, string(role), string(perm))
 	if err != nil {
 		return nil, fmt.Errorf("historie abfragen: %w", err)
 	}
 	defer rows.Close()
 	var out []RuleChange
 	for rows.Next() {
 		c := RuleChange{Role: role, Permission: perm}
 		if err := rows.Scan(&c.Action, &c.Actor, &c.Version); err != nil {
 			return nil, fmt.Errorf("historieneintrag lesen: %w", err)
 		}
 		out = append(out, c)
 	}
 	return out, rows.Err()
 }
@@ -0,0 +1,159 @@
 package rbac
 import (
 	"context"
 	"errors"
 	"fmt"
 	"github.com/jackc/pgx/v5/pgxpool"
 )
 var ErrGroupNotFound = errors.New("rbac: gruppe nicht gefunden")
 type Group struct {
 	ID   string
 	Name string
 	Role Role // leer, wenn der Gruppe noch keine Rolle zugewiesen wurde
 }
 // GroupStore verwaltet Gruppen/Abteilungen innerhalb GENAU EINER Tenant-
 // Datenbank (Modell C, wie Store fuer direkte Rollenzuweisungen) —
 // Akzeptanzkriterium 3 (tenant-isoliert) ist damit strukturell erfuellt.
 type GroupStore struct {
 	pool *pgxpool.Pool
 }
 func NewGroupStore(pool *pgxpool.Pool) *GroupStore {
 	return &GroupStore{pool: pool}
 }
 // CreateGroup legt eine neue, noch rollenlose Gruppe an (Akzeptanzkriterium 1).
 func (s *GroupStore) CreateGroup(ctx context.Context, name string) (Group, error) {
 	if name == "" {
 		return Group{}, errors.New("rbac: gruppenname darf nicht leer sein")
 	}
 	var g Group
 	g.Name = name
 	if err := s.pool.QueryRow(ctx, `
 		INSERT INTO groups (name) VALUES ($1) RETURNING id
 	`, name).Scan(&g.ID); err != nil {
 		return Group{}, fmt.Errorf("gruppe anlegen: %w", err)
 	}
 	return g, nil
 }
 // SetGroupRole weist der Gruppe eine Rolle zu (Akzeptanzkriterium 2) — nur
 // 'user'/'tenant_admin' sind auf Gruppenebene zuweisbar, dieselbe erlaubte
 // Matrix wie in Store.Assign (superadmin bleibt mandantenuebergreifend und
 // ausserhalb jeder Gruppenlogik).
 func (s *GroupStore) SetGroupRole(ctx context.Context, groupID string, role Role) error {
 	if !assignableRoles[role] {
 		return ErrRoleNotAssignableInTenantScope
 	}
 	tag, err := s.pool.Exec(ctx, `UPDATE groups SET role = $2 WHERE id = $1`, groupID, string(role))
 	if err != nil {
 		return fmt.Errorf("gruppenrolle setzen: %w", err)
 	}
 	if tag.RowsAffected() == 0 {
 		return ErrGroupNotFound
 	}
 	return nil
 }
 // AddMember nimmt einen Benutzer in die Gruppe auf.
 func (s *GroupStore) AddMember(ctx context.Context, groupID, userID string) error {
 	_, err := s.pool.Exec(ctx, `
 		INSERT INTO group_members (group_id, user_id) VALUES ($1, $2)
 		ON CONFLICT (group_id, user_id) DO NOTHING
 	`, groupID, userID)
 	if err != nil {
 		return fmt.Errorf("mitglied hinzufuegen: %w", err)
 	}
 	return nil
 }
 // RemoveMember entfernt einen Benutzer aus der Gruppe — die gruppenbasierten
 // Rechte entfallen fuer ihn sofort (Akzeptanzkriterium 3 / Pruefung 2), da
 // EffectivePermissionsForUser bei jedem Aufruf neu berechnet wird, nicht
 // zwischengespeichert.
 func (s *GroupStore) RemoveMember(ctx context.Context, groupID, userID string) error {
 	_, err := s.pool.Exec(ctx, `DELETE FROM group_members WHERE group_id = $1 AND user_id = $2`, groupID, userID)
 	if err != nil {
 		return fmt.Errorf("mitglied entfernen: %w", err)
 	}
 	return nil
 }
 // DeleteGroup loescht die Gruppe — ON DELETE CASCADE entfernt die
 // Mitgliedschaften mit, Benutzerkonten selbst bleiben unberuehrt
 // (Akzeptanzkriterium 3).
 func (s *GroupStore) DeleteGroup(ctx context.Context, groupID string) error {
 	_, err := s.pool.Exec(ctx, `DELETE FROM groups WHERE id = $1`, groupID)
 	if err != nil {
 		return fmt.Errorf("gruppe loeschen: %w", err)
 	}
 	return nil
 }
 // RolesForUser liefert alle Rollen, die einem Benutzer ueber seine
 // Gruppenmitgliedschaften zufallen (Akzeptanzkriterium 2: wirkt auf alle
 // Mitglieder). Eine Gruppe ohne zugewiesene Rolle traegt nichts bei.
 func (s *GroupStore) RolesForUser(ctx context.Context, userID string) ([]Role, error) {
 	rows, err := s.pool.Query(ctx, `
 		SELECT g.role FROM groups g
 		JOIN group_members gm ON gm.group_id = g.id
 		WHERE gm.user_id = $1 AND g.role IS NOT NULL
 	`, userID)
 	if err != nil {
 		return nil, fmt.Errorf("gruppenrollen abfragen: %w", err)
 	}
 	defer rows.Close()
 	var out []Role
 	for rows.Next() {
 		var r string
 		if err := rows.Scan(&r); err != nil {
 			return nil, fmt.Errorf("gruppenrolle lesen: %w", err)
 		}
 		out = append(out, Role(r))
 	}
 	return out, rows.Err()
 }
 // EffectivePermissionsForUser vereinigt die Rechte aus der direkten
 // Rollenzuweisung (Store, RBAC-01) mit allen Rechten aus Gruppenrollen —
 // jede einzelne Rolle wird ueber die bestehende Hierarchie (EffectivePermissions)
 // aufgeloest, das Ergebnis dedupliziert.
 func (s *GroupStore) EffectivePermissionsForUser(ctx context.Context, directStore *Store, userID string) ([]Permission, error) {
 	seen := make(map[Permission]bool)
 	var out []Permission
 	add := func(role Role) {
 		for _, p := range EffectivePermissions(role) {
 			if !seen[p] {
 				seen[p] = true
 				out = append(out, p)
 			}
 		}
 	}
 	if directStore != nil {
 		assignment, err := directStore.Get(ctx, userID)
 		if err != nil && !errors.Is(err, ErrNotFound) {
 			return nil, err
 		}
 		if err == nil {
 			add(assignment.Role)
 		}
 	}
 	groupRoles, err := s.RolesForUser(ctx, userID)
 	if err != nil {
 		return nil, err
 	}
 	for _, r := range groupRoles {
 		add(r)
 	}
 	return out, nil
 }
@@ -0,0 +1,209 @@
 package rbac
 import (
 	"context"
 	"fmt"
 	"os"
 	"strings"
 	"testing"
 	"github.com/jackc/pgx/v5/pgxpool"
 	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 const groupSchema = `
 CREATE TABLE IF NOT EXISTS users (
 	id UUID PRIMARY KEY DEFAULT gen_random_uuid(), email TEXT NOT NULL UNIQUE, name TEXT NOT NULL,
 	status TEXT NOT NULL DEFAULT 'active', created_at TIMESTAMPTZ NOT NULL DEFAULT now(), updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
 );
 CREATE TABLE IF NOT EXISTS role_assignments (
 	user_id UUID PRIMARY KEY REFERENCES users(id), role TEXT NOT NULL CHECK (role IN ('user','tenant_admin')),
 	granted_by TEXT NOT NULL, granted_at TIMESTAMPTZ NOT NULL DEFAULT now()
 );
 CREATE TABLE IF NOT EXISTS groups (
 	id UUID PRIMARY KEY DEFAULT gen_random_uuid(), name TEXT NOT NULL, role TEXT CHECK (role IN ('user','tenant_admin')),
 	created_at TIMESTAMPTZ NOT NULL DEFAULT now()
 );
 CREATE TABLE IF NOT EXISTS group_members (
 	group_id UUID NOT NULL REFERENCES groups(id) ON DELETE CASCADE, user_id UUID NOT NULL REFERENCES users(id),
 	added_at TIMESTAMPTZ NOT NULL DEFAULT now(), PRIMARY KEY (group_id, user_id)
 );`
 func setupGroupTestDB(t *testing.T, dbName string) *pgxpool.Pool {
 	t.Helper()
 	adminDSN := os.Getenv("TEST_ADMIN_DSN")
 	if adminDSN == "" {
 		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
 	}
 	ctx := context.Background()
 	adminPool, err := pgxpool.New(ctx, adminDSN)
 	if err != nil {
 		t.Fatalf("admin pool: %v", err)
 	}
 	_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
 	if _, err := adminPool.Exec(ctx, fmt.Sprintf(`CREATE DATABASE %q`, dbName)); err != nil {
 		t.Fatalf("testdatenbank anlegen: %v", err)
 	}
 	dsn := strings.Replace(adminDSN, "/postgres?", "/"+dbName+"?", 1)
 	pool, err := pgxpool.New(ctx, dsn)
 	if err != nil {
 		t.Fatalf("connect testdatenbank: %v", err)
 	}
 	if _, err := pool.Exec(ctx, groupSchema); err != nil {
 		t.Fatalf("schema anwenden: %v", err)
 	}
 	t.Cleanup(func() {
 		pool.Close()
 		_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
 		adminPool.Close()
 	})
 	return pool
 }
 func createTestUser(t *testing.T, pool *pgxpool.Pool, email string) string {
 	t.Helper()
 	u, err := user.NewTenantUserStore(pool).Create(context.Background(), email, "Test")
 	if err != nil {
 		t.Fatalf("testuser anlegen: %v", err)
 	}
 	return u.ID
 }
 // Akzeptanzkriterium 1: Gruppen anlegen und Benutzer zuordnen.
 func TestGroup_CreateAndAddMember(t *testing.T) {
 	pool := setupGroupTestDB(t, "test_rbac03_create")
 	gs := NewGroupStore(pool)
 	ctx := context.Background()
 	g, err := gs.CreateGroup(ctx, "Buchhaltung")
 	if err != nil {
 		t.Fatalf("create group: %v", err)
 	}
 	userID := createTestUser(t, pool, "alice@example.com")
 	if err := gs.AddMember(ctx, g.ID, userID); err != nil {
 		t.Fatalf("add member: %v", err)
 	}
 }
 // Akzeptanzkriterium 2 + Pruefung 1: Gruppenrolle wirkt auf ALLE aktuellen
 // Mitglieder.
 func TestGroup_RoleAffectsAllCurrentMembers(t *testing.T) {
 	pool := setupGroupTestDB(t, "test_rbac03_roleall")
 	gs := NewGroupStore(pool)
 	ctx := context.Background()
 	g, err := gs.CreateGroup(ctx, "Admins")
 	if err != nil {
 		t.Fatalf("create group: %v", err)
 	}
 	if err := gs.SetGroupRole(ctx, g.ID, RoleTenantAdmin); err != nil {
 		t.Fatalf("set group role: %v", err)
 	}
 	alice := createTestUser(t, pool, "alice@example.com")
 	bob := createTestUser(t, pool, "bob@example.com")
 	if err := gs.AddMember(ctx, g.ID, alice); err != nil {
 		t.Fatalf("add alice: %v", err)
 	}
 	if err := gs.AddMember(ctx, g.ID, bob); err != nil {
 		t.Fatalf("add bob: %v", err)
 	}
 	for _, uid := range []string{alice, bob} {
 		perms, err := gs.EffectivePermissionsForUser(ctx, nil, uid)
 		if err != nil {
 			t.Fatalf("effective permissions fuer %s: %v", uid, err)
 		}
 		if !contains(perms, PermManageUsers) {
 			t.Fatalf("mitglied %s sollte tenant_admin-rechte ueber die gruppe haben, habe %v", uid, perms)
 		}
 	}
 }
 // Akzeptanzkriterium 3 + Pruefung 2: Entfernen aus der Gruppe entzieht die
 // gruppenbasierten Rechte sofort.
 func TestGroup_RemoveMemberRevokesRightsImmediately(t *testing.T) {
 	pool := setupGroupTestDB(t, "test_rbac03_remove")
 	gs := NewGroupStore(pool)
 	ctx := context.Background()
 	g, _ := gs.CreateGroup(ctx, "Admins")
 	_ = gs.SetGroupRole(ctx, g.ID, RoleTenantAdmin)
 	userID := createTestUser(t, pool, "alice@example.com")
 	_ = gs.AddMember(ctx, g.ID, userID)
 	perms, err := gs.EffectivePermissionsForUser(ctx, nil, userID)
 	if err != nil {
 		t.Fatalf("effective permissions (mitglied): %v", err)
 	}
 	if !contains(perms, PermManageUsers) {
 		t.Fatal("erwartet tenant_admin-rechte als mitglied")
 	}
 	if err := gs.RemoveMember(ctx, g.ID, userID); err != nil {
 		t.Fatalf("remove member: %v", err)
 	}
 	perms, err = gs.EffectivePermissionsForUser(ctx, nil, userID)
 	if err != nil {
 		t.Fatalf("effective permissions (entfernt): %v", err)
 	}
 	if contains(perms, PermManageUsers) {
 		t.Fatal("erwartet KEINE tenant_admin-rechte nach entfernen aus der gruppe")
 	}
 }
 // Akzeptanzkriterium 3: Loeschen einer Gruppe entzieht Rechte sauber, ohne
 // das Benutzerkonto zu loeschen.
 func TestGroup_DeleteGroupRevokesRightsWithoutDeletingUser(t *testing.T) {
 	pool := setupGroupTestDB(t, "test_rbac03_delete")
 	gs := NewGroupStore(pool)
 	us := user.NewTenantUserStore(pool)
 	ctx := context.Background()
 	g, _ := gs.CreateGroup(ctx, "Temp")
 	_ = gs.SetGroupRole(ctx, g.ID, RoleTenantAdmin)
 	userID := createTestUser(t, pool, "alice@example.com")
 	_ = gs.AddMember(ctx, g.ID, userID)
 	if err := gs.DeleteGroup(ctx, g.ID); err != nil {
 		t.Fatalf("delete group: %v", err)
 	}
 	perms, err := gs.EffectivePermissionsForUser(ctx, nil, userID)
 	if err != nil {
 		t.Fatalf("effective permissions: %v", err)
 	}
 	if contains(perms, PermManageUsers) {
 		t.Fatal("erwartet keine rechte mehr nach loeschen der gruppe")
 	}
 	if _, err := us.Get(ctx, userID); err != nil {
 		t.Fatalf("benutzerkonto haette erhalten bleiben muessen: %v", err)
 	}
 }
 // Akzeptanzkriterium 3 + Pruefung 3: Gruppen sind sauber tenant-isoliert.
 func TestGroup_TenantIsolation(t *testing.T) {
 	poolA := setupGroupTestDB(t, "test_rbac03_tenanta")
 	poolB := setupGroupTestDB(t, "test_rbac03_tenantb")
 	gsA := NewGroupStore(poolA)
 	ctx := context.Background()
 	if _, err := gsA.CreateGroup(ctx, "Nur-Tenant-A"); err != nil {
 		t.Fatalf("create group a: %v", err)
 	}
 	var countB int
 	if err := poolB.QueryRow(ctx, `SELECT count(*) FROM groups`).Scan(&countB); err != nil {
 		t.Fatalf("count tenant b: %v", err)
 	}
 	if countB != 0 {
 		t.Fatalf("tenant b sollte keine gruppen aus tenant a sehen, habe %d", countB)
 	}
 }
@@ -1,2 +0,0 @@
 DROP TABLE IF EXISTS policy_rule_changes;
 DROP TABLE IF EXISTS policy_rules;
@@ -1,24 +0,0 @@
 -- Zentrale, deklarative Policy-Regeln (RBAC-02, siehe core-kanban/tickets/RBAC-02.md).
 -- policy_rules haelt den AKTUELLEN, gewaehrten Regelsatz (Existenz = erlaubt,
 -- Default-Deny fuer alles ohne Zeile). policy_rule_changes ist die
 -- versionierte Aenderungshistorie (Akzeptanzkriterium 3: Regelwechsel ohne
 -- Codeaenderung nachvollziehbar).
 CREATE TABLE policy_rules (
    role       TEXT NOT NULL,
    permission TEXT NOT NULL,
    granted_by TEXT NOT NULL,
    granted_at TIMESTAMPTZ NOT NULL DEFAULT now(),
    PRIMARY KEY (role, permission)
 );
 CREATE TABLE policy_rule_changes (
    id         UUID PRIMARY KEY DEFAULT gen_random_uuid(),
    role       TEXT NOT NULL,
    permission TEXT NOT NULL,
    action     TEXT NOT NULL CHECK (action IN ('grant', 'revoke')),
    actor      TEXT NOT NULL,
    version    INT NOT NULL,
    changed_at TIMESTAMPTZ NOT NULL DEFAULT now()
 );
 CREATE INDEX policy_rule_changes_idx ON policy_rule_changes (role, permission, version);
@@ -1 +0,0 @@
 DROP TABLE IF EXISTS feature_flags;
@@ -1,10 +0,0 @@
 -- Feature-Flags zentral je Mandant/Zielgruppe (LIC-02, siehe core-kanban/tickets/LIC-02.md).
 -- Lebt in der Registry-DB, nicht pro Tenant-Datenbank — Flags sind eine
 -- Core-weite Konfiguration, keine Mandanten-Geschaeftsdaten.
 CREATE TABLE feature_flags (
    key                 TEXT PRIMARY KEY,
    enabled             BOOLEAN NOT NULL DEFAULT false,
    rollout_percentage  INT NOT NULL DEFAULT 0 CHECK (rollout_percentage BETWEEN 0 AND 100),
    target_tenant_slugs TEXT[] NOT NULL DEFAULT '{}',
    updated_at          TIMESTAMPTZ NOT NULL DEFAULT now()
 );
@@ -1 +0,0 @@
 DROP TABLE IF EXISTS policy_module_scopes;
@@ -1,11 +0,0 @@
 -- Modul-Scoping fuer Policy-Regeln (RBAC-04, siehe core-kanban/tickets/RBAC-04.md).
 -- Existiert fuer eine (role, permission)-Regel ein Eintrag hier, gilt sie
 -- NUR, wenn zusaetzlich das verknuepfte Feature-Flag (LIC-02) fuer den
 -- Tenant aktiv ist — Rechte folgen der Lizenz, nicht umgekehrt.
 CREATE TABLE policy_module_scopes (
    role       TEXT NOT NULL,
    permission TEXT NOT NULL,
    module     TEXT NOT NULL,
    flag_key   TEXT NOT NULL,
    PRIMARY KEY (role, permission)
 );
@@ -0,0 +1,2 @@
 DROP TABLE IF EXISTS group_members;
 DROP TABLE IF EXISTS groups;
@@ -0,0 +1,21 @@
 -- Gruppen/Abteilungen mit Rollenzuweisung auf Gruppenebene (RBAC-03, siehe
 -- core-kanban/tickets/RBAC-03.md). Lebt in der Tenant-Datenbank (Modell C) —
 -- Gruppen sind implizit tenant-isoliert, da jede Tenant-DB ihre eigenen hat.
 CREATE TABLE groups (
    id         UUID PRIMARY KEY DEFAULT gen_random_uuid(),
    name       TEXT NOT NULL,
    role       TEXT CHECK (role IN ('user', 'tenant_admin')),
    created_at TIMESTAMPTZ NOT NULL DEFAULT now()
 );
 -- ON DELETE CASCADE: Loeschen einer Gruppe entzieht die gruppenbasierten
 -- Rechte automatisch, ohne Benutzerkonten selbst zu beruehren
 -- (Akzeptanzkriterium 3).
 CREATE TABLE group_members (
    group_id UUID NOT NULL REFERENCES groups(id) ON DELETE CASCADE,
    user_id  UUID NOT NULL REFERENCES users(id),
    added_at TIMESTAMPTZ NOT NULL DEFAULT now(),
    PRIMARY KEY (group_id, user_id)
 );
 CREATE INDEX group_members_user_idx ON group_members (user_id);
		`@@ -1,2 +0,0 @@`
			`DROP TABLE IF EXISTS policy_rule_changes;`
			`DROP TABLE IF EXISTS policy_rules;`
		`@@ -0,0 +1,2 @@`
							`DROP TABLE IF EXISTS group_members;`
							`DROP TABLE IF EXISTS groups;`