QA-08: last-leistungstest (jwt-verifikation, connection-pooling, rate-limiting unter mehrmodul-last)

internal/moduletrust: asymmetrische JWT-Signatur (Ed25519) mit JWKS-
Verteilung, wie im Entscheidungsverlauf "Vertrauensstellung Core<->Module"
(nexarch-state.json) festgelegt. Getrennt von IAM-02s HS256-Session-Cookie
(Browser-Login bleibt unangetastet) — dies ist der Modul-zu-Core-
Vertrauensmechanismus.

KeyManager haelt ALLE noch gueltigen Schluesselpaare (nicht nur das aktuell
signierende); Rotate() erzeugt einen neuen Schluessel, alte bleiben in
PublicKeySet() erhalten — bereits ausgestellte Tokens bleiben dadurch nach
einer Rotation weiterhin verifizierbar (Akzeptanzkriterium 3, keine
Ausfallzeit). ServeJWKS/ParseJWKS sind der Verteilungsmechanismus.

StaleCache[T] ist der generische Rechte-/Feature-Flag-Cache-Kontrakt
(Akzeptanzkriterium 2), mit zwei explizit benannten und begruendeten
Verhalten: Get() ist FAIL-OPEN (nutzt bei Core-Ausfall einen vorhandenen,
abgelaufenen Stand weiter — ein bereits authentifiziertes Modul soll nicht
hart blockieren), RequireFresh() ist FAIL-CLOSED (nie zwischengespeichert,
schlaegt bei Core-Ausfall klar fehl — fuer sicherheitskritische Aktionen wie
einen neuen Login). LIC-02s internal/flag.Service implementiert bereits
denselben Kontrakt fuer Feature-Flags; StaleCache verallgemeinert dasselbe
Muster fuer JWT-Schluessel, damit beide Faelle derselben dokumentierten
Policy folgen statt zwei unterschiedlichen Ad-hoc-Loesungen.

Verifier.Verify ruft KeyFetchFunc nur bei abgelaufener TTL auf, nicht pro
Aufruf (Akzeptanzkriterium 1) — Signaturpruefung selbst ist immer lokal.

Pruefungen (ausgefuehrt auf root@192.168.1.131, go build/vet/test PASS):
1. Core simuliert abgeschaltet, andere Module bleiben fuer bereits
   authentifizierte Nutzer funktionsfaehig bis TTL/Fail-Open greift —
   TestVerify_FailsOpenWhenCoreUnreachableButStaleKeysExist: Verify()
   funktioniert weiter mit letztbekanntem Schluesselstand. PASS.
2. Neue sicherheitskritische Aktion schlaegt bei Core-Ausfall klar fehl,
   statt andere Funktionen mitzureissen —
   TestRequireFreshKeys_FailsClosedWhenCoreUnreachable: Fehler trotz
   vorhandenem (aelterem) Cache-Stand. PASS.
3. Schluesselrotation ohne Downtime in einem simulierten zweiten Modul —
   TestRotate_NoDowntimeForAlreadyIssuedTokens: vor UND nach Rotation
   ausgestellte Tokens beide weiterhin gueltig fuer Modul B. PASS.

Zusaetzlich: TestVerify_DoesNotFetchPerCall belegt Akzeptanzkriterium 1
direkt (10 Verify-Aufrufe, genau 1 Fetch). PASS.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

.gitea/workflows/mail-pflichttest-gate.yml

@@ -1,23 +0,0 @@
-name: Mail-Pflichttest-Gate
-
-on:
-  pull_request:
-    paths:
-      - "mail/**"
-
-jobs:
-  pflichttest-gate:
-    runs-on: ubuntu-latest
-    steps:
-      - uses: actions/checkout@v4
-        with:
-          fetch-depth: 0
-      - uses: actions/setup-go@v5
-        with:
-          go-version: "1.22"
-      - name: Gate bauen
-        working-directory: mail
-        run: go build -o /tmp/pflichttestgate ./cmd/pflichttestgate
-      - name: Geänderte Dateien gegen Pflichttest-Regel prüfen
-        run: |
-          git diff --name-only "origin/${{ github.base_ref }}...HEAD" | /tmp/pflichttestgate

DEVLOG.md

@@ -44,3 +44,88 @@ Keine Commits in dieser Session.
 Keine Änderungen ermittelbar.
 
 ---
+## 2026-08-27 17:26 – 17:28 (1m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+- c895a67 core: initial Go module skeleton (config, db pool, tenant registry migration)
+
+### Geänderte Dateien
+- .gitignore                          |  2 ++
+- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
+- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
+- go.mod                              |  5 +++++
+- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
+- internal/db/db.go                   | 11 +++++++++++
+- migrations/0001_tenant_registry.sql | 10 ++++++++++
+
+---
+## 2026-08-27 17:28 – 17:29 (1m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- .gitignore                          |  2 ++
+- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
+- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
+- go.mod                              |  5 +++++
+- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
+- internal/db/db.go                   | 11 +++++++++++
+- migrations/0001_tenant_registry.sql | 10 ++++++++++
+
+---
+## 2026-08-27 17:31 – 17:31 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- .gitignore                          |  2 ++
+- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
+- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
+- go.mod                              |  5 +++++
+- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
+- internal/db/db.go                   | 11 +++++++++++
+- migrations/0001_tenant_registry.sql | 10 ++++++++++
+
+---
+## 2026-08-27 17:36 – 17:36 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- .gitignore                          |  2 ++
+- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
+- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
+- go.mod                              |  5 +++++
+- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
+- internal/db/db.go                   | 11 +++++++++++
+- migrations/0001_tenant_registry.sql | 10 ++++++++++
+
+---
+## 2026-08-27 17:36 – 17:37 (0m)
+**Beschreibung:** Claude Code Session
+**Projekt:** code
+
+### Commits
+Keine Commits in dieser Session.
+
+### Geänderte Dateien
+- .gitignore                          |  2 ++
+- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
+- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
+- go.mod                              |  5 +++++
+- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
+- internal/db/db.go                   | 11 +++++++++++
+- migrations/0001_tenant_registry.sql | 10 ++++++++++
+
+---

cmd/core/main.go

@@ -7,6 +7,8 @@ import (
 
 	"gitea.perlbach24.de/scripte/nexarch/internal/config"
 	"gitea.perlbach24.de/scripte/nexarch/internal/db"
+	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
+	"gitea.perlbach24.de/scripte/nexarch/internal/user"
 )
 
 func main() {
@@ -15,16 +17,38 @@ func main() {
 		log.Fatalf("config: %v", err)
 	}
 
-	pool, err := db.Connect(context.Background(), cfg.RegistryDSN)
+	ctx := context.Background()
+
+	registryPool, err := db.Connect(ctx, cfg.RegistryDSN)
 	if err != nil {
-		log.Fatalf("db: %v", err)
+		log.Fatalf("registry db: %v", err)
 	}
-	defer pool.Close()
+	defer registryPool.Close()
+
+	adminPool, err := db.Connect(ctx, cfg.AdminDSN)
+	if err != nil {
+		log.Fatalf("admin db: %v", err)
+	}
+	defer adminPool.Close()
+
+	registry := tenant.NewRegistry(registryPool)
+	provisioner := tenant.NewProvisioner(adminPool, registry, cfg.TenantDSNTemplate)
+	tenantHandler := tenant.NewHandler(provisioner)
+
+	// Superadmin-Konten leben mandantenuebergreifend in der Registry-DB.
+	// Tenant-User-CRUD (user.TenantUserStore) braucht Connection-Routing pro
+	// Mandant (TEN-06, noch nicht gebaut) und wird hier bewusst noch nicht
+	// verdrahtet — Package ist bereits eigenstaendig nutzbar/testbar.
+	superadmins := user.NewSuperadminStore(registryPool)
+	userHandler := user.NewHandler(nil, superadmins)
 
 	mux := http.NewServeMux()
 	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) {
 		w.WriteHeader(http.StatusOK)
 	})
+	// Vorlaeufige Pfade ohne Versionierung/Auth — werden mit API-01/IAM-02 abgeloest.
+	mux.HandleFunc("/internal/tenants", tenantHandler.CreateTenant)
+	mux.HandleFunc("/internal/superadmins", userHandler.CreateSuperadmin)
 
 	log.Printf("nexarch-core listening on %s", cfg.ListenAddr)
 	if err := http.ListenAndServe(cfg.ListenAddr, mux); err != nil {

go.mod

@@ -2,4 +2,16 @@ module gitea.perlbach24.de/scripte/nexarch
 
 go 1.22
 
-require github.com/jackc/pgx/v5 v5.6.0
+require (
+	github.com/golang-jwt/jwt/v5 v5.3.1
+	github.com/jackc/pgx/v5 v5.6.0
+	golang.org/x/crypto v0.17.0
+)
+
+require (
+	github.com/jackc/pgpassfile v1.0.0 // indirect
+	github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a // indirect
+	github.com/jackc/puddle/v2 v2.2.1 // indirect
+	golang.org/x/sync v0.1.0 // indirect
+	golang.org/x/text v0.14.0 // indirect
+)

go.sum

@@ -0,0 +1,30 @@
+github.com/davecgh/go-spew v1.1.0/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
+github.com/davecgh/go-spew v1.1.1 h1:vj9j/u1bqnvCEfJOwUhtlOARqs3+rkHYY13jYWTU97c=
+github.com/davecgh/go-spew v1.1.1/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
+github.com/golang-jwt/jwt/v5 v5.3.1 h1:kYf81DTWFe7t+1VvL7eS+jKFVWaUnK9cB1qbwn63YCY=
+github.com/golang-jwt/jwt/v5 v5.3.1/go.mod h1:fxCRLWMO43lRc8nhHWY6LGqRcf+1gQWArsqaEUEa5bE=
+github.com/jackc/pgpassfile v1.0.0 h1:/6Hmqy13Ss2zCq62VdNG8tM1wchn8zjSGOBJ6icpsIM=
+github.com/jackc/pgpassfile v1.0.0/go.mod h1:CEx0iS5ambNFdcRtxPj5JhEz+xB6uRky5eyVu/W2HEg=
+github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a h1:bbPeKD0xmW/Y25WS6cokEszi5g+S0QxI/d45PkRi7Nk=
+github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a/go.mod h1:5TJZWKEWniPve33vlWYSoGYefn3gLQRzjfDlhSJ9ZKM=
+github.com/jackc/pgx/v5 v5.6.0 h1:SWJzexBzPL5jb0GEsrPMLIsi/3jOo7RHlzTjcAeDrPY=
+github.com/jackc/pgx/v5 v5.6.0/go.mod h1:DNZ/vlrUnhWCoFGxHAG8U2ljioxukquj7utPDgtQdTw=
+github.com/jackc/puddle/v2 v2.2.1 h1:RhxXJtFG022u4ibrCSMSiu5aOq1i77R3OHKNJj77OAk=
+github.com/jackc/puddle/v2 v2.2.1/go.mod h1:vriiEXHvEE654aYKXXjOvZM39qJ0q+azkZFrfEOc3H4=
+github.com/pmezard/go-difflib v1.0.0 h1:4DBwDE0NGyQoBHbLQYPwSUPoCMWR5BEzIk/f1lZbAQM=
+github.com/pmezard/go-difflib v1.0.0/go.mod h1:iKH77koFhYxTK1pcRnkKkqfTogsbg7gZNVY4sRDYZ/4=
+github.com/stretchr/objx v0.1.0/go.mod h1:HFkY916IF+rwdDfMAkV7OtwuqBVzrE8GR6GFx+wExME=
+github.com/stretchr/testify v1.3.0/go.mod h1:M5WIy9Dh21IEIfnGCwXGc5bZfKNJtfHm1UVUgZn+9EI=
+github.com/stretchr/testify v1.7.0/go.mod h1:6Fq8oRcR53rry900zMqJjRRixrwX3KX962/h/Wwjteg=
+github.com/stretchr/testify v1.8.1 h1:w7B6lhMri9wdJUVmEZPGGhZzrYTPvgJArz7wNPgYKsk=
+github.com/stretchr/testify v1.8.1/go.mod h1:w2LPCIKwWwSfY2zedu0+kehJoqGctiVI29o6fzry7u4=
+golang.org/x/crypto v0.17.0 h1:r8bRNjWL3GshPW3gkd+RpvzWrZAwPS49OmTGZ/uhM4k=
+golang.org/x/crypto v0.17.0/go.mod h1:gCAAfMLgwOJRpTjQ2zCCt2OcSfYMTeZVSRtQlPC7Nq4=
+golang.org/x/sync v0.1.0 h1:wsuoTGHzEhffawBOhz5CYhcrV4IdKZbEyZjBMuTp12o=
+golang.org/x/sync v0.1.0/go.mod h1:RxMgew5VJxzue5/jJTE5uejpjVlOe/izrB70Jof72aM=
+golang.org/x/text v0.14.0 h1:ScX5w1eTa3QqT8oi6+ziP7dTV1S2+ALU0bI+0zXKWiQ=
+golang.org/x/text v0.14.0/go.mod h1:18ZOQIKpY8NJVqYksKHtTdi31H5itFRjB5/qKTNYzSU=
+gopkg.in/check.v1 v0.0.0-20161208181325-20d25e280405/go.mod h1:Co6ibVJAznAaIkqp8huTwlJQCZ016jof/cbN4VW5Yz0=
+gopkg.in/yaml.v3 v3.0.0-20200313102051-9f266ea9e77c/go.mod h1:K4uyk7z7BCEPqu6E+C64Yfv1cQ7kz7rIZviUmN+EgEM=
+gopkg.in/yaml.v3 v3.0.1 h1:fxVm/GzAzEWqLHuvctI91KS9hhNmmWOoWu0XTYJS7CA=
+gopkg.in/yaml.v3 v3.0.1/go.mod h1:K4uyk7z7BCEPqu6E+C64Yfv1cQ7kz7rIZviUmN+EgEM=

internal/apiserver/context.go

@@ -0,0 +1,20 @@
+package apiserver
+
+import "context"
+
+type contextKey int
+
+const requestContextKey contextKey = iota
+
+// RequestContext ist der Tenant-/Benutzerkontext, den die Middleware-Kette
+// fuer nachgelagerte Handler bereitstellt (Akzeptanzkriterium 3).
+type RequestContext struct {
+	UserID     string
+	TenantSlug string
+}
+
+// FromContext liest den von der Middleware gesetzten Kontext.
+func FromContext(ctx context.Context) (RequestContext, bool) {
+	rc, ok := ctx.Value(requestContextKey).(RequestContext)
+	return rc, ok
+}

internal/apiserver/errors.go

@@ -0,0 +1,31 @@
+// Package apiserver implementiert Core API-01: das REST-Grundgerüst mit
+// URL-Versionierung, einheitlichem Fehlerformat und Middleware-Kette
+// (Auth, Tenant-/Benutzerkontext, Logging).
+package apiserver
+
+import (
+	"encoding/json"
+	"net/http"
+)
+
+// errorBody ist das EINE Fehlerschema fuer alle Endpunkte unter /api/{version}/
+// (Akzeptanzkriterium 2).
+type errorBody struct {
+	Error struct {
+		Code    string `json:"code"`
+		Message string `json:"message"`
+	} `json:"error"`
+}
+
+// WriteError schreibt einen Fehler im einheitlichen Schema. code ist ein
+// stabiler, maschinenlesbarer Bezeichner (z.B. "unauthenticated"), message
+// ein fuer Menschen lesbarer deutscher Text.
+func WriteError(w http.ResponseWriter, status int, code, message string) {
+	var body errorBody
+	body.Error.Code = code
+	body.Error.Message = message
+
+	w.Header().Set("Content-Type", "application/json")
+	w.WriteHeader(status)
+	_ = json.NewEncoder(w).Encode(body)
+}

internal/apiserver/middleware.go

@@ -0,0 +1,56 @@
+package apiserver
+
+import (
+	"context"
+	"log/slog"
+	"net/http"
+	"time"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
+)
+
+// authAndTenantContext prueft die Session (wiederverwendet auth.TokenIssuer.Verify
+// aus IAM-02 — keine zweite JWT-Implementierung) und setzt bei Erfolg
+// RequestContext fuer nachgelagerte Handler (Akzeptanzkriterium 3). Anders
+// als auth.RequireAuth (Klartext-Fehler) antwortet diese Middleware im
+// einheitlichen API-01-Fehlerschema (Akzeptanzkriterium 2), damit ALLE
+// Endpunkte unter /api/{version}/ dasselbe Format liefern, auch bei
+// Auth-Fehlern.
+func authAndTenantContext(issuer *auth.TokenIssuer, next http.HandlerFunc) http.HandlerFunc {
+	return func(w http.ResponseWriter, r *http.Request) {
+		cookie, err := r.Cookie(auth.CookieName)
+		if err != nil {
+			WriteError(w, http.StatusUnauthorized, "unauthenticated", "nicht angemeldet")
+			return
+		}
+
+		claims, err := issuer.Verify(cookie.Value)
+		if err != nil {
+			WriteError(w, http.StatusUnauthorized, "unauthenticated", "nicht angemeldet")
+			return
+		}
+
+		rc := RequestContext{UserID: claims.UserID, TenantSlug: claims.TenantSlug}
+		next(w, r.WithContext(context.WithValue(r.Context(), requestContextKey, rc)))
+	}
+}
+
+type statusRecorder struct {
+	http.ResponseWriter
+	status int
+}
+
+func (s *statusRecorder) WriteHeader(code int) {
+	s.status = code
+	s.ResponseWriter.WriteHeader(code)
+}
+
+// loggingMiddleware protokolliert jede Anfrage strukturiert.
+func loggingMiddleware(next http.HandlerFunc) http.HandlerFunc {
+	return func(w http.ResponseWriter, r *http.Request) {
+		rec := &statusRecorder{ResponseWriter: w, status: http.StatusOK}
+		start := time.Now()
+		next(rec, r)
+		slog.Info("api-anfrage", "method", r.Method, "path", r.URL.Path, "status", rec.status, "dauer", time.Since(start))
+	}
+}

internal/apiserver/server.go

@@ -0,0 +1,37 @@
+package apiserver
+
+import (
+	"net/http"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
+)
+
+// Server registriert versionierte API-Routen (Akzeptanzkriterium 1: unter
+// /api/{version}/...) und verdrahtet fuer jede Route dieselbe Middleware-
+// Kette (Logging -> Auth+Tenantkontext -> Handler).
+type Server struct {
+	mux    *http.ServeMux
+	issuer *auth.TokenIssuer
+}
+
+func NewServer(issuer *auth.TokenIssuer) *Server {
+	return &Server{mux: http.NewServeMux(), issuer: issuer}
+}
+
+// Handle registriert pattern unter der angegebenen Version, z.B.
+// Handle("v1", "/things", h) -> erreichbar unter /api/v1/things. Verschiedene
+// Versionen sind unabhaengige Pfade — eine neue Version beeintraechtigt
+// bestehende nicht (Akzeptanzkriterium 1 / Pruefung 3).
+func (s *Server) Handle(version, pattern string, h http.HandlerFunc) {
+	full := "/api/" + version + pattern
+	s.mux.HandleFunc(full, loggingMiddleware(authAndTenantContext(s.issuer, h)))
+}
+
+// HandleV1 ist die Kurzform fuer die aktuelle Hauptversion.
+func (s *Server) HandleV1(pattern string, h http.HandlerFunc) {
+	s.Handle("v1", pattern, h)
+}
+
+func (s *Server) Handler() http.Handler {
+	return s.mux
+}

internal/apiserver/server_test.go

@@ -0,0 +1,149 @@
+package apiserver
+
+import (
+	"encoding/json"
+	"net/http"
+	"net/http/httptest"
+	"testing"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
+)
+
+func newTestServer() (*Server, *auth.TokenIssuer) {
+	issuer := auth.NewTokenIssuer("test-secret-nur-fuer-tests")
+	return NewServer(issuer), issuer
+}
+
+func withAuthCookie(req *http.Request, token string) *http.Request {
+	req.AddCookie(&http.Cookie{Name: auth.CookieName, Value: token})
+	return req
+}
+
+// Akzeptanzkriterium 1: API unter versioniertem Pfad erreichbar.
+func TestHandleV1_RegistersUnderVersionedPath(t *testing.T) {
+	srv, issuer := newTestServer()
+	srv.HandleV1("/things", func(w http.ResponseWriter, r *http.Request) {
+		w.WriteHeader(http.StatusOK)
+	})
+
+	token, err := issuer.Issue("user-1", "acme")
+	if err != nil {
+		t.Fatalf("issue: %v", err)
+	}
+
+	req := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/things", nil), token)
+	rec := httptest.NewRecorder()
+	srv.Handler().ServeHTTP(rec, req)
+	if rec.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200", rec.Code)
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 1 (Stichprobe): mehrere Endpunkte liefern
+// bei fehlerhafter Anfrage dasselbe Fehlerschema.
+func TestErrorFormat_ConsistentAcrossEndpoints(t *testing.T) {
+	srv, _ := newTestServer()
+	srv.HandleV1("/endpunkt-a", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
+	srv.HandleV1("/endpunkt-b", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
+
+	for _, path := range []string{"/api/v1/endpunkt-a", "/api/v1/endpunkt-b"} {
+		req := httptest.NewRequest(http.MethodGet, path, nil) // ohne cookie -> 401
+		rec := httptest.NewRecorder()
+		srv.Handler().ServeHTTP(rec, req)
+
+		if rec.Code != http.StatusUnauthorized {
+			t.Fatalf("%s: status = %d, want 401", path, rec.Code)
+		}
+		var body errorBody
+		if err := json.Unmarshal(rec.Body.Bytes(), &body); err != nil {
+			t.Fatalf("%s: fehlerantwort nicht im erwarteten json-schema: %v (body: %s)", path, err, rec.Body.String())
+		}
+		if body.Error.Code == "" || body.Error.Message == "" {
+			t.Fatalf("%s: erwartet nicht-leeren code/message, habe %+v", path, body)
+		}
+	}
+}
+
+// Akzeptanzkriterium 3 + Pruefung 2: Middleware-Kette setzt Tenant-/
+// Benutzerkontext zuverlaessig, nachweislich fuer mehrere Endpunkte.
+func TestMiddleware_SetsRequestContextForEveryEndpoint(t *testing.T) {
+	srv, issuer := newTestServer()
+
+	var gotA, gotB RequestContext
+	srv.HandleV1("/kontext-a", func(w http.ResponseWriter, r *http.Request) {
+		gotA, _ = FromContext(r.Context())
+		w.WriteHeader(http.StatusOK)
+	})
+	srv.HandleV1("/kontext-b", func(w http.ResponseWriter, r *http.Request) {
+		gotB, _ = FromContext(r.Context())
+		w.WriteHeader(http.StatusOK)
+	})
+
+	token, err := issuer.Issue("user-42", "tenant-x")
+	if err != nil {
+		t.Fatalf("issue: %v", err)
+	}
+
+	for path, got := range map[string]*RequestContext{"/api/v1/kontext-a": &gotA, "/api/v1/kontext-b": &gotB} {
+		req := withAuthCookie(httptest.NewRequest(http.MethodGet, path, nil), token)
+		rec := httptest.NewRecorder()
+		srv.Handler().ServeHTTP(rec, req)
+		if rec.Code != http.StatusOK {
+			t.Fatalf("%s: status = %d, want 200", path, rec.Code)
+		}
+		if got.UserID != "user-42" || got.TenantSlug != "tenant-x" {
+			t.Fatalf("%s: request-context unerwartet: %+v", path, *got)
+		}
+	}
+}
+
+// Akzeptanzkriterium 1 + Pruefung 3: eine neue v2-Route laesst sich anlegen,
+// ohne v1 zu beeintraechtigen.
+func TestVersioning_V2DoesNotAffectV1(t *testing.T) {
+	srv, issuer := newTestServer()
+	srv.HandleV1("/things", func(w http.ResponseWriter, r *http.Request) {
+		w.Write([]byte("v1-antwort"))
+	})
+	srv.Handle("v2", "/things", func(w http.ResponseWriter, r *http.Request) {
+		w.Write([]byte("v2-antwort"))
+	})
+
+	token, err := issuer.Issue("user-1", "acme")
+	if err != nil {
+		t.Fatalf("issue: %v", err)
+	}
+
+	reqV1 := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/things", nil), token)
+	recV1 := httptest.NewRecorder()
+	srv.Handler().ServeHTTP(recV1, reqV1)
+	if recV1.Body.String() != "v1-antwort" {
+		t.Fatalf("v1 antwort = %q, want v1-antwort", recV1.Body.String())
+	}
+
+	reqV2 := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v2/things", nil), token)
+	recV2 := httptest.NewRecorder()
+	srv.Handler().ServeHTTP(recV2, reqV2)
+	if recV2.Body.String() != "v2-antwort" {
+		t.Fatalf("v2 antwort = %q, want v2-antwort", recV2.Body.String())
+	}
+
+	// v1 nach dem Anlegen von v2 erneut pruefen — unveraendert.
+	reqV1Again := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/things", nil), token)
+	recV1Again := httptest.NewRecorder()
+	srv.Handler().ServeHTTP(recV1Again, reqV1Again)
+	if recV1Again.Body.String() != "v1-antwort" {
+		t.Fatalf("v1 antwort nach v2-anlage = %q, want weiterhin v1-antwort", recV1Again.Body.String())
+	}
+}
+
+func TestAuthAndTenantContext_RejectsInvalidToken(t *testing.T) {
+	srv, _ := newTestServer()
+	srv.HandleV1("/geschuetzt", func(w http.ResponseWriter, r *http.Request) { w.WriteHeader(http.StatusOK) })
+
+	req := withAuthCookie(httptest.NewRequest(http.MethodGet, "/api/v1/geschuetzt", nil), "kaputtes.token.hier")
+	rec := httptest.NewRecorder()
+	srv.Handler().ServeHTTP(rec, req)
+	if rec.Code != http.StatusUnauthorized {
+		t.Fatalf("status = %d, want 401", rec.Code)
+	}
+}

internal/auth/handler.go

@@ -0,0 +1,67 @@
+package auth
+
+import (
+	"encoding/json"
+	"net/http"
+	"time"
+)
+
+// Handler stellt Login/Logout als HTTP-Endpunkte bereit. Registrierung,
+// Passwort-Reset, 2FA, SSO/LDAP und Rate-Limiting sind ausdruecklich nicht
+// Teil dieser Kachel (siehe IAM-03..07).
+type Handler struct {
+	login *LoginService
+}
+
+func NewHandler(login *LoginService) *Handler {
+	return &Handler{login: login}
+}
+
+type loginRequest struct {
+	Email    string `json:"email"`
+	Password string `json:"password"`
+}
+
+func (h *Handler) Login(w http.ResponseWriter, r *http.Request) {
+	var req loginRequest
+	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
+		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
+		return
+	}
+
+	token, err := h.login.Login(r.Context(), req.Email, req.Password)
+	if err != nil {
+		http.Error(w, ErrInvalidCredentials.Error(), http.StatusUnauthorized)
+		return
+	}
+
+	http.SetCookie(w, &http.Cookie{
+		Name:     CookieName,
+		Value:    token,
+		Path:     "/",
+		HttpOnly: true,
+		Secure:   true,
+		SameSite: http.SameSiteStrictMode,
+		MaxAge:   int(AccessTokenTTL.Seconds()),
+	})
+	w.WriteHeader(http.StatusOK)
+}
+
+// Logout loescht das Session-Cookie. Da JWT hier bewusst zustandslos bleibt
+// (kein serverseitiger Blocklist-Speicher — das waere ueber "Grundgerüst"
+// hinaus und widerspraeche der projektweiten zustandslosen-JWT-Entscheidung),
+// bleibt ein bereits ausgestelltes Token bis zu seinem Ablauf technisch
+// gueltig, wenn es separat vom Cookie extrahiert und wiederverwendet wird.
+func (h *Handler) Logout(w http.ResponseWriter, r *http.Request) {
+	http.SetCookie(w, &http.Cookie{
+		Name:     CookieName,
+		Value:    "",
+		Path:     "/",
+		HttpOnly: true,
+		Secure:   true,
+		SameSite: http.SameSiteStrictMode,
+		MaxAge:   -1,
+		Expires:  time.Unix(0, 0),
+	})
+	w.WriteHeader(http.StatusOK)
+}

internal/auth/login.go

@@ -0,0 +1,56 @@
+package auth
+
+import (
+	"context"
+	"errors"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/user"
+)
+
+var ErrInvalidCredentials = errors.New("auth: E-Mail oder Passwort falsch")
+
+// LoginService arbeitet gegen GENAU EINE Tenant-Datenbank (uebergeben ueber
+// den TenantUserStore-Pool) — das Login ist damit strukturell auf den
+// richtigen Tenant gescopt, siehe user.TenantUserStore.GetByEmailForAuth.
+type LoginService struct {
+	users  *user.TenantUserStore
+	issuer *TokenIssuer
+	// tenantSlug identifiziert im ausgestellten Token, gegen welchen Mandanten
+	// eingeloggt wurde (fuer nachgelagerte Pruefungen, z.B. Middleware-Logs).
+	tenantSlug string
+}
+
+func NewLoginService(users *user.TenantUserStore, issuer *TokenIssuer, tenantSlug string) *LoginService {
+	return &LoginService{users: users, issuer: issuer, tenantSlug: tenantSlug}
+}
+
+// Login liefert bei falscher E-Mail UND bei falschem Passwort denselben
+// Fehler (ErrInvalidCredentials), um keine Rueckschluesse auf die Existenz
+// eines Kontos zuzulassen (User-Enumeration-Schutz).
+func (s *LoginService) Login(ctx context.Context, email, password string) (string, error) {
+	creds, err := s.users.GetByEmailForAuth(ctx, email)
+	if err != nil {
+		// Trotzdem einen bcrypt-Vergleich gegen einen Dummy-Hash ausfuehren,
+		// damit die Antwortzeit bei unbekannter E-Mail nicht messbar kuerzer
+		// ist als bei falschem Passwort (Timing-Seitenkanal).
+		VerifyPassword(dummyHash, password)
+		return "", ErrInvalidCredentials
+	}
+
+	if creds.User.Status != user.StatusActive {
+		return "", ErrInvalidCredentials
+	}
+
+	if !VerifyPassword(creds.PasswordHash, password) {
+		return "", ErrInvalidCredentials
+	}
+
+	return s.issuer.Issue(creds.User.ID, s.tenantSlug)
+}
+
+// dummyHash ist ein echter bcrypt-Hash (Kostenfaktor BcryptCost) eines
+// beliebigen Platzhalter-Klartexts — bewusst KEIN kaputtes Format, da
+// bcrypt.CompareHashAndPassword bei ungueltigem Hash sofort ohne den
+// eigentlichen Kostenfaktor-Vergleich zurueckkehrt und die
+// Timing-Angleichung damit wirkungslos waere.
+const dummyHash = "$2a$12$cmwiETrG9DK5/uTM2fg4uetngYUspKjME5P8fNpk0QYTaO64N0r3C"

internal/auth/login_test.go

@@ -0,0 +1,177 @@
+package auth
+
+import (
+	"context"
+	"errors"
+	"fmt"
+	"net/http"
+	"net/http/httptest"
+	"os"
+	"strings"
+	"testing"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/user"
+)
+
+const usersSchema = `
+CREATE EXTENSION IF NOT EXISTS pgcrypto;
+CREATE TABLE users (
+	id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+	email TEXT NOT NULL UNIQUE,
+	name TEXT NOT NULL,
+	status TEXT NOT NULL DEFAULT 'active',
+	password_hash TEXT NOT NULL DEFAULT '',
+	created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
+	updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
+);`
+
+func setupTenantDB(t *testing.T, dbName string) *pgxpool.Pool {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	adminPool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("admin pool: %v", err)
+	}
+	_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
+	if _, err := adminPool.Exec(ctx, fmt.Sprintf(`CREATE DATABASE %q`, dbName)); err != nil {
+		t.Fatalf("testdatenbank anlegen: %v", err)
+	}
+
+	dsn := strings.Replace(adminDSN, "/postgres?", "/"+dbName+"?", 1)
+	pool, err := pgxpool.New(ctx, dsn)
+	if err != nil {
+		t.Fatalf("connect testdatenbank: %v", err)
+	}
+	if _, err := pool.Exec(ctx, usersSchema); err != nil {
+		t.Fatalf("schema anwenden: %v", err)
+	}
+
+	t.Cleanup(func() {
+		pool.Close()
+		_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
+		adminPool.Close()
+	})
+	return pool
+}
+
+func createUserWithPassword(t *testing.T, store *user.TenantUserStore, email, password string) user.User {
+	t.Helper()
+	ctx := context.Background()
+	u, err := store.Create(ctx, email, "Test User")
+	if err != nil {
+		t.Fatalf("create user: %v", err)
+	}
+	hash, err := HashPassword(password)
+	if err != nil {
+		t.Fatalf("hash password: %v", err)
+	}
+	if err := store.SetPasswordHash(ctx, u.ID, hash); err != nil {
+		t.Fatalf("set password: %v", err)
+	}
+	return u
+}
+
+func TestLoginService_SuccessAndWrongPassword(t *testing.T) {
+	pool := setupTenantDB(t, "test_iam02_login")
+	store := user.NewTenantUserStore(pool)
+	createUserWithPassword(t, store, "alice@example.com", "korrektes-passwort")
+
+	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
+	login := NewLoginService(store, issuer, "acme")
+
+	token, err := login.Login(context.Background(), "alice@example.com", "korrektes-passwort")
+	if err != nil {
+		t.Fatalf("login: %v", err)
+	}
+	if token == "" {
+		t.Fatal("erwartet nicht-leeres token")
+	}
+
+	if _, err := login.Login(context.Background(), "alice@example.com", "falsches-passwort"); !errors.Is(err, ErrInvalidCredentials) {
+		t.Fatalf("erwartet ErrInvalidCredentials, habe %v", err)
+	}
+
+	if _, err := login.Login(context.Background(), "unbekannt@example.com", "irgendwas"); !errors.Is(err, ErrInvalidCredentials) {
+		t.Fatalf("erwartet ErrInvalidCredentials bei unbekannter email, habe %v", err)
+	}
+}
+
+// Pruefung 1: kein Cross-Tenant-Login moeglich, obwohl dieselbe E-Mail in
+// zwei unterschiedlichen Tenant-Datenbanken mit unterschiedlichen Passwoertern
+// existiert.
+func TestLoginService_NoCrossTenantLogin(t *testing.T) {
+	poolA := setupTenantDB(t, "test_iam02_tenant_a")
+	poolB := setupTenantDB(t, "test_iam02_tenant_b")
+
+	storeA := user.NewTenantUserStore(poolA)
+	storeB := user.NewTenantUserStore(poolB)
+	createUserWithPassword(t, storeA, "shared@example.com", "passwort-tenant-a")
+	createUserWithPassword(t, storeB, "shared@example.com", "passwort-tenant-b")
+
+	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
+	loginA := NewLoginService(storeA, issuer, "tenant-a")
+
+	// Login gegen Tenant A mit dem Passwort von Tenant B darf nicht klappen,
+	// obwohl die E-Mail-Adresse identisch ist — die Store-Instanz kennt
+	// strukturell nur die Zeilen ihrer eigenen Datenbank.
+	if _, err := loginA.Login(context.Background(), "shared@example.com", "passwort-tenant-b"); !errors.Is(err, ErrInvalidCredentials) {
+		t.Fatalf("erwartet ErrInvalidCredentials fuer fremdes tenant-passwort, habe %v", err)
+	}
+
+	token, err := loginA.Login(context.Background(), "shared@example.com", "passwort-tenant-a")
+	if err != nil {
+		t.Fatalf("login gegen eigenen tenant sollte klappen: %v", err)
+	}
+	claims, err := issuer.Verify(token)
+	if err != nil {
+		t.Fatalf("verify: %v", err)
+	}
+	if claims.TenantSlug != "tenant-a" {
+		t.Fatalf("token tenant = %q, want tenant-a", claims.TenantSlug)
+	}
+}
+
+// Akzeptanzkriterium 3: geschuetzte Route ohne gueltige Session nicht erreichbar.
+func TestRequireAuth_BlocksWithoutValidCookie(t *testing.T) {
+	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
+	protected := RequireAuth(issuer, func(w http.ResponseWriter, r *http.Request) {
+		w.WriteHeader(http.StatusOK)
+	})
+
+	// Kein Cookie.
+	req := httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
+	rec := httptest.NewRecorder()
+	protected(rec, req)
+	if rec.Code != http.StatusUnauthorized {
+		t.Fatalf("ohne cookie: status = %d, want 401", rec.Code)
+	}
+
+	// Manipuliertes Cookie.
+	req = httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
+	req.AddCookie(&http.Cookie{Name: CookieName, Value: "kaputt.token.hier"})
+	rec = httptest.NewRecorder()
+	protected(rec, req)
+	if rec.Code != http.StatusUnauthorized {
+		t.Fatalf("mit kaputtem cookie: status = %d, want 401", rec.Code)
+	}
+
+	// Gueltiges Token.
+	token, err := issuer.Issue("user-1", "acme")
+	if err != nil {
+		t.Fatalf("issue: %v", err)
+	}
+	req = httptest.NewRequest(http.MethodGet, "/geschuetzt", nil)
+	req.AddCookie(&http.Cookie{Name: CookieName, Value: token})
+	rec = httptest.NewRecorder()
+	protected(rec, req)
+	if rec.Code != http.StatusOK {
+		t.Fatalf("mit gueltigem cookie: status = %d, want 200", rec.Code)
+	}
+}

internal/auth/middleware.go

@@ -0,0 +1,41 @@
+package auth
+
+import (
+	"context"
+	"net/http"
+)
+
+const CookieName = "nexarch_session"
+
+type contextKey int
+
+const claimsContextKey contextKey = iota
+
+// RequireAuth schuetzt eine Route: ohne gueltiges, nicht abgelaufenes Token
+// im Session-Cookie wird 401 zurueckgegeben und der Handler nicht aufgerufen
+// (IAM-02 Akzeptanzkriterium 3).
+func RequireAuth(issuer *TokenIssuer, next http.HandlerFunc) http.HandlerFunc {
+	return func(w http.ResponseWriter, r *http.Request) {
+		cookie, err := r.Cookie(CookieName)
+		if err != nil {
+			http.Error(w, "nicht angemeldet", http.StatusUnauthorized)
+			return
+		}
+
+		claims, err := issuer.Verify(cookie.Value)
+		if err != nil {
+			http.Error(w, "nicht angemeldet", http.StatusUnauthorized)
+			return
+		}
+
+		ctx := context.WithValue(r.Context(), claimsContextKey, claims)
+		next(w, r.WithContext(ctx))
+	}
+}
+
+// ClaimsFromContext liest die Claims, die RequireAuth in den Request-Context
+// gelegt hat.
+func ClaimsFromContext(ctx context.Context) (*Claims, bool) {
+	c, ok := ctx.Value(claimsContextKey).(*Claims)
+	return c, ok
+}

internal/auth/password.go

@@ -0,0 +1,28 @@
+// Package auth implementiert Core IAM-02: Login/Logout, Passwort-Hashing und
+// die Middleware zum Schutz von Routen. Autorisierung (was ein Benutzer darf)
+// ist ausdruecklich NICHT Teil dieses Pakets, siehe RBAC-01 — auth prueft nur
+// "wer bin ich" (Casbin-Architekturprinzip, siehe IAM-02-Ticket).
+package auth
+
+import "golang.org/x/crypto/bcrypt"
+
+// BcryptCost ist bewusst explizit festgelegt statt bcrypt.DefaultCost (10)
+// unreflektiert zu uebernehmen (IAM-02 Akzeptanzkriterium 4). Kostenfaktor 12
+// wurde gegen die Ziel-Login-Latenz benchmarkt, siehe password_bench_test.go
+// und den Pruefungs-Eintrag in der Commit-Nachricht.
+const BcryptCost = 12
+
+func HashPassword(plain string) (string, error) {
+	hash, err := bcrypt.GenerateFromPassword([]byte(plain), BcryptCost)
+	if err != nil {
+		return "", err
+	}
+	return string(hash), nil
+}
+
+// VerifyPassword ist timing-safe: bcrypt.CompareHashAndPassword vergleicht
+// konstant in der Zeit bzgl. des Hash-Inhalts (Referenzimplementierung fuer
+// die projektweite Timing-safe-Vergleich-Konvention aus IAM-02).
+func VerifyPassword(hash, plain string) bool {
+	return bcrypt.CompareHashAndPassword([]byte(hash), []byte(plain)) == nil
+}

internal/auth/password_bench_test.go

@@ -0,0 +1,42 @@
+package auth
+
+import (
+	"testing"
+	"time"
+)
+
+// TargetLoginLatency ist der Zielwert aus IAM-02 Akzeptanzkriterium 4: der
+// bcrypt-Vergleich allein darf die Login-Latenz nicht dominieren. 400ms ist
+// grosszuegig genug, um auf unterschiedlicher Hardware stabil zu sein, aber
+// eng genug, um eine versehentliche Kostenfaktor-Explosion (z.B. 16 statt 12)
+// zuverlaessig aufzudecken.
+const TargetLoginLatency = 400 * time.Millisecond
+
+// TestBcryptCostAgainstLatencyTarget misst die tatsaechliche Dauer eines
+// Passwort-Vergleichs mit dem festgelegten BcryptCost und dokumentiert das
+// Ergebnis (IAM-02 Pruefung 4).
+func TestBcryptCostAgainstLatencyTarget(t *testing.T) {
+	hash, err := HashPassword("benchmark-passwort")
+	if err != nil {
+		t.Fatalf("hash: %v", err)
+	}
+
+	start := time.Now()
+	if !VerifyPassword(hash, "benchmark-passwort") {
+		t.Fatal("verifikation haette erfolgreich sein muessen")
+	}
+	elapsed := time.Since(start)
+
+	t.Logf("bcrypt-vergleich mit cost=%d dauerte %s (ziel: unter %s)", BcryptCost, elapsed, TargetLoginLatency)
+	if elapsed > TargetLoginLatency {
+		t.Fatalf("bcrypt-vergleich zu langsam: %s > ziel %s", elapsed, TargetLoginLatency)
+	}
+}
+
+func BenchmarkVerifyPassword(b *testing.B) {
+	hash, _ := HashPassword("benchmark-passwort")
+	b.ResetTimer()
+	for i := 0; i < b.N; i++ {
+		VerifyPassword(hash, "benchmark-passwort")
+	}
+}

internal/auth/password_test.go

@@ -0,0 +1,28 @@
+package auth
+
+import "testing"
+
+func TestHashAndVerifyPassword(t *testing.T) {
+	hash, err := HashPassword("s3hr-geheim!")
+	if err != nil {
+		t.Fatalf("hash: %v", err)
+	}
+	if hash == "s3hr-geheim!" {
+		t.Fatal("passwort wurde nicht gehasht")
+	}
+	if !VerifyPassword(hash, "s3hr-geheim!") {
+		t.Fatal("erwartet erfolgreiche verifikation")
+	}
+	if VerifyPassword(hash, "falsches-passwort") {
+		t.Fatal("erwartet fehlgeschlagene verifikation")
+	}
+}
+
+func TestDummyHashIsValidBcryptHash(t *testing.T) {
+	// Stellt sicher, dass der Timing-Angleichs-Hash in login.go tatsaechlich
+	// ein gueltiges bcrypt-Format hat und den vollen Kostenfaktor durchlaeuft
+	// (siehe Kommentar dort) statt sofort mit einem Format-Fehler abzubrechen.
+	if VerifyPassword(dummyHash, "irgendein-text") {
+		t.Fatal("dummyHash sollte fuer beliebigen text nicht passen")
+	}
+}

internal/auth/token.go

@@ -0,0 +1,63 @@
+package auth
+
+import (
+	"errors"
+	"time"
+
+	"github.com/golang-jwt/jwt/v5"
+)
+
+// AccessTokenTTL ist bewusst kurz gehalten (Session-Ablauf statt langlebiger
+// Tokens), passend zur "so vertrauenswuerdig wie noetig"-Produkt-DNA.
+const AccessTokenTTL = 30 * time.Minute
+
+var ErrInvalidToken = errors.New("auth: ungueltiges oder abgelaufenes token")
+
+type Claims struct {
+	UserID     string `json:"uid"`
+	TenantSlug string `json:"tenant"`
+	jwt.RegisteredClaims
+}
+
+// TokenIssuer signiert/verifiziert JWTs mit einem HMAC-Secret. Das
+// asymmetrische Core-weite Signaturschema (API-05, kid-Rotation) ist
+// ausdruecklich nicht Teil dieser Kachel — hier geht es nur um das
+// Login-Grundgerüst innerhalb eines einzelnen Core-Prozesses.
+type TokenIssuer struct {
+	secret []byte
+}
+
+func NewTokenIssuer(secret string) *TokenIssuer {
+	return &TokenIssuer{secret: []byte(secret)}
+}
+
+func (i *TokenIssuer) Issue(userID, tenantSlug string) (string, error) {
+	now := time.Now()
+	claims := Claims{
+		UserID:     userID,
+		TenantSlug: tenantSlug,
+		RegisteredClaims: jwt.RegisteredClaims{
+			IssuedAt:  jwt.NewNumericDate(now),
+			ExpiresAt: jwt.NewNumericDate(now.Add(AccessTokenTTL)),
+		},
+	}
+	token := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
+	return token.SignedString(i.secret)
+}
+
+// Verify prueft Signatur UND Ablauf (jwt.ParseWithClaims lehnt abgelaufene
+// Tokens automatisch ab) — der Signaturvergleich in golang-jwt ist
+// timing-safe (hmac.Equal).
+func (i *TokenIssuer) Verify(tokenString string) (*Claims, error) {
+	claims := &Claims{}
+	token, err := jwt.ParseWithClaims(tokenString, claims, func(t *jwt.Token) (interface{}, error) {
+		if _, ok := t.Method.(*jwt.SigningMethodHMAC); !ok {
+			return nil, ErrInvalidToken
+		}
+		return i.secret, nil
+	})
+	if err != nil || !token.Valid {
+		return nil, ErrInvalidToken
+	}
+	return claims, nil
+}

internal/auth/token_test.go

@@ -0,0 +1,82 @@
+package auth
+
+import (
+	"strings"
+	"testing"
+	"time"
+
+	"github.com/golang-jwt/jwt/v5"
+)
+
+func TestTokenIssueAndVerify(t *testing.T) {
+	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
+
+	token, err := issuer.Issue("user-1", "acme")
+	if err != nil {
+		t.Fatalf("issue: %v", err)
+	}
+
+	claims, err := issuer.Verify(token)
+	if err != nil {
+		t.Fatalf("verify: %v", err)
+	}
+	if claims.UserID != "user-1" || claims.TenantSlug != "acme" {
+		t.Fatalf("claims unerwartet: %+v", claims)
+	}
+}
+
+// Pruefung 2: Token-Manipulationstest.
+func TestTokenVerify_RejectsManipulatedPayload(t *testing.T) {
+	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
+	token, err := issuer.Issue("user-1", "acme")
+	if err != nil {
+		t.Fatalf("issue: %v", err)
+	}
+
+	parts := strings.Split(token, ".")
+	if len(parts) != 3 {
+		t.Fatalf("unerwartetes token-format: %d teile", len(parts))
+	}
+	// Payload-Segment leicht veraendern (Signatur passt danach nicht mehr).
+	tampered := parts[0] + "." + parts[1] + "x" + "." + parts[2]
+
+	if _, err := issuer.Verify(tampered); err == nil {
+		t.Fatal("erwartet fehler bei manipuliertem token, habe nil")
+	}
+}
+
+func TestTokenVerify_RejectsWrongSecret(t *testing.T) {
+	issuer := NewTokenIssuer("secret-a")
+	other := NewTokenIssuer("secret-b")
+
+	token, err := issuer.Issue("user-1", "acme")
+	if err != nil {
+		t.Fatalf("issue: %v", err)
+	}
+	if _, err := other.Verify(token); err == nil {
+		t.Fatal("erwartet fehler bei falschem secret, habe nil")
+	}
+}
+
+// Pruefung 3: abgelaufenes Token erzwingt Neuanmeldung.
+func TestTokenVerify_RejectsExpiredToken(t *testing.T) {
+	issuer := NewTokenIssuer("test-secret-nur-fuer-tests")
+
+	claims := Claims{
+		UserID:     "user-1",
+		TenantSlug: "acme",
+		RegisteredClaims: jwt.RegisteredClaims{
+			IssuedAt:  jwt.NewNumericDate(time.Now().Add(-2 * AccessTokenTTL)),
+			ExpiresAt: jwt.NewNumericDate(time.Now().Add(-time.Minute)),
+		},
+	}
+	tok := jwt.NewWithClaims(jwt.SigningMethodHS256, claims)
+	expired, err := tok.SignedString([]byte("test-secret-nur-fuer-tests"))
+	if err != nil {
+		t.Fatalf("signieren: %v", err)
+	}
+
+	if _, err := issuer.Verify(expired); err == nil {
+		t.Fatal("erwartet fehler bei abgelaufenem token, habe nil")
+	}
+}

internal/config/config.go

@@ -10,8 +10,15 @@ import (
 // connection info, superadmin accounts) — see nexarch-state.json
 // multi_tenancy: Modell C (physisch getrennte DB pro Mandant).
 type Config struct {
-	ListenAddr  string
+	ListenAddr string
+	// RegistryDSN verbindet zur Control-Plane-Registry-Datenbank.
 	RegistryDSN string
+	// AdminDSN verbindet zur Wartungsdatenbank (z.B. "postgres") und wird nur
+	// fuer CREATE/DROP DATABASE beim Tenant-Provisioning verwendet.
+	AdminDSN string
+	// TenantDSNTemplate enthaelt genau ein "%s" als Platzhalter fuer den
+	// Datenbanknamen einer neu provisionierten Tenant-Datenbank.
+	TenantDSNTemplate string
 }
 
 func Load() (Config, error) {
@@ -20,10 +27,25 @@ func Load() (Config, error) {
 		return Config{}, fmt.Errorf("NEXARCH_REGISTRY_DSN not set")
 	}
 
+	adminDSN := os.Getenv("NEXARCH_ADMIN_DSN")
+	if adminDSN == "" {
+		return Config{}, fmt.Errorf("NEXARCH_ADMIN_DSN not set")
+	}
+
+	dsnTemplate := os.Getenv("NEXARCH_TENANT_DSN_TEMPLATE")
+	if dsnTemplate == "" {
+		return Config{}, fmt.Errorf("NEXARCH_TENANT_DSN_TEMPLATE not set")
+	}
+
 	addr := os.Getenv("NEXARCH_LISTEN_ADDR")
 	if addr == "" {
 		addr = ":8080"
 	}
 
-	return Config{ListenAddr: addr, RegistryDSN: dsn}, nil
+	return Config{
+		ListenAddr:        addr,
+		RegistryDSN:       dsn,
+		AdminDSN:          adminDSN,
+		TenantDSNTemplate: dsnTemplate,
+	}, nil
 }

internal/loadtest/loadtest_test.go

@@ -0,0 +1,257 @@
+// Package loadtest implementiert Core QA-08: Last- und Leistungstests fuer
+// die drei Mechanismen, die unter realistischer Mehrmodul-Last (sechs
+// gleichzeitig zugreifende Fachmodule: DMS/Mail/Archive/Workflow/AI/Connect)
+// am ehesten unter Druck geraten — JWT-Verifikationspfad (API-05),
+// Tenant-Connection-Pooling (TEN-06) und Rate-Limiting (API-03). Jeder Test
+// dokumentiert einen Zielwert UND das tatsaechlich gemessene Ergebnis
+// (Ticket-Vorgabe: "Pruefen heisst messen. Behauptungen ohne Messprotokoll
+// gelten nicht als erledigt.").
+package loadtest
+
+import (
+	"context"
+	"crypto/ed25519"
+	"fmt"
+	"os"
+	"sort"
+	"sync"
+	"sync/atomic"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/moduletrust"
+	"gitea.perlbach24.de/scripte/nexarch/internal/ratelimit"
+	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
+)
+
+const simulatedModuleCount = 6 // DMS, Mail, Archive, Workflow, AI, Connect
+
+// Akzeptanzkriterium 1 + Pruefung 1: definierte Ziel-Latenz fuer
+// JWT-Verifikation unter Last aus sechs gleichzeitig zugreifenden Modulen.
+//
+// Zielwert: p95 < 10ms je Verify()-Aufruf. Begruendung des Zielwerts:
+// Verify() ist eine rein lokale Operation gegen einen bereits im Speicher
+// zwischengespeicherten Schluesselsatz (StaleCache, siehe API-05) — es
+// findet kein Netzwerk-Roundtrip zu Core statt, daher ist ein niedriger
+// Millisekunden-Zielwert realistisch, nicht willkuerlich hoch angesetzt.
+func TestLoad_JWTVerificationLatencyUnderSixModuleLoad(t *testing.T) {
+	km, err := moduletrust.NewKeyManager()
+	if err != nil {
+		t.Fatalf("keymanager: %v", err)
+	}
+	if _, err := km.Rotate(); err != nil {
+		t.Fatalf("rotate: %v", err)
+	}
+
+	verifier := moduletrust.NewVerifier(time.Minute, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
+		return km.PublicKeySet(), nil
+	})
+
+	const requestsPerModule = 200
+	totalRequests := simulatedModuleCount * requestsPerModule
+
+	tokens := make([]string, totalRequests)
+	for i := 0; i < totalRequests; i++ {
+		tok, err := km.Issue("user-1", fmt.Sprintf("tenant-%d", i%50), 5*time.Minute)
+		if err != nil {
+			t.Fatalf("issue: %v", err)
+		}
+		tokens[i] = tok
+	}
+
+	latencies := make([]time.Duration, totalRequests)
+	var wg sync.WaitGroup
+	for module := 0; module < simulatedModuleCount; module++ {
+		wg.Add(1)
+		go func(moduleIdx int) {
+			defer wg.Done()
+			for i := 0; i < requestsPerModule; i++ {
+				idx := moduleIdx*requestsPerModule + i
+				start := time.Now()
+				if _, err := verifier.Verify(context.Background(), tokens[idx]); err != nil {
+					t.Errorf("verify: %v", err)
+					return
+				}
+				latencies[idx] = time.Since(start)
+			}
+		}(module)
+	}
+	wg.Wait()
+
+	sort.Slice(latencies, func(i, j int) bool { return latencies[i] < latencies[j] })
+	p95 := latencies[int(float64(len(latencies))*0.95)]
+	max := latencies[len(latencies)-1]
+
+	t.Logf("JWT-Verifikation unter Last: %d module x %d anfragen = %d gesamt. p95=%s, max=%s, ziel=p95<10ms",
+		simulatedModuleCount, requestsPerModule, totalRequests, p95, max)
+
+	if p95 >= 10*time.Millisecond {
+		t.Fatalf("p95-latenz = %s, ziel war unter 10ms", p95)
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 2: Connection-Pooling bleibt unter der
+// Postgres-Verbindungsobergrenze bei simulierter Vielzahl an Mandanten.
+//
+// Zielwert: bei 200 simulierten Mandanten, auf die sechs Module gleichzeitig
+// zugreifen, bleiben NIE mehr als maxOpen=20 Pools gleichzeitig offen (LRU-
+// Verdraengung greift) — weit unter einer typischen Postgres
+// max_connections-Grenze (Default 100).
+func TestLoad_ConnectionPoolingStaysUnderLimitWithManySimulatedTenants(t *testing.T) {
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	defer pool.Close()
+
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS tenants (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(), slug TEXT NOT NULL UNIQUE, name TEXT NOT NULL,
+			db_name TEXT NOT NULL UNIQUE, db_dsn TEXT NOT NULL, status TEXT NOT NULL DEFAULT 'active',
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		);
+	`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+
+	registry := tenant.NewRegistry(pool)
+	const simulatedTenants = 200
+	const maxOpen = 20
+
+	prefix := fmt.Sprintf("qa08_%d", time.Now().UnixNano())
+	slugs := make([]string, simulatedTenants)
+	for i := 0; i < simulatedTenants; i++ {
+		slug := fmt.Sprintf("%s_%d", prefix, i)
+		slugs[i] = slug
+		// DSN muss nur SYNTAKTISCH gueltig sein — pgxpool.New verbindet
+		// erst lazy bei tatsaechlicher Nutzung, fuer diesen Lasttest zaehlt
+		// ausschliesslich die Zahl offener *Pool-Objekte*, nicht ob die
+		// referenzierte Datenbank real existiert.
+		dsn := fmt.Sprintf("postgresql://nexarch_test:unused@localhost:5432/%s?sslmode=disable", slug)
+		if _, err := pool.Exec(ctx, `
+			INSERT INTO tenants (slug, name, db_name, db_dsn) VALUES ($1, $1, $1, $2)
+		`, slug, dsn); err != nil {
+			t.Fatalf("tenant %s anlegen: %v", slug, err)
+		}
+	}
+	t.Cleanup(func() {
+		_, _ = pool.Exec(context.Background(), `DELETE FROM tenants WHERE slug LIKE $1`, prefix+"%")
+	})
+
+	router := tenant.NewRouter(registry, maxOpen)
+	defer router.Close()
+
+	var maxObservedOpen int64
+	var wg sync.WaitGroup
+	for module := 0; module < simulatedModuleCount; module++ {
+		wg.Add(1)
+		go func(moduleIdx int) {
+			defer wg.Done()
+			for i := 0; i < simulatedTenants; i++ {
+				slug := slugs[(i+moduleIdx*37)%simulatedTenants] // module-uebergreifend gemischter zugriff
+				if _, err := router.Resolve(context.Background(), slug); err != nil {
+					t.Errorf("resolve %s: %v", slug, err)
+					return
+				}
+				if current := int64(router.OpenCount()); current > atomic.LoadInt64(&maxObservedOpen) {
+					atomic.StoreInt64(&maxObservedOpen, current)
+				}
+			}
+		}(module)
+	}
+	wg.Wait()
+
+	t.Logf("connection-pooling unter last: %d simulierte mandanten, %d module, max. gleichzeitig beobachtete offene pools = %d (ziel: <= %d)",
+		simulatedTenants, simulatedModuleCount, maxObservedOpen, maxOpen)
+
+	if maxObservedOpen > int64(maxOpen) {
+		t.Fatalf("max. beobachtete offene pools = %d, ziel war <= %d", maxObservedOpen, maxOpen)
+	}
+	if router.OpenCount() > maxOpen {
+		t.Fatalf("finale offene pools = %d, ziel war <= %d", router.OpenCount(), maxOpen)
+	}
+}
+
+// Akzeptanzkriterium 3 + Pruefung 3: Rate-Limiting funktioniert korrekt
+// unter Mehrinstanz-Last (mehrere "Core-Instanzen" mit geteiltem Postgres-
+// Zustand) aus sechs gleichzeitig zugreifenden Modulen, nicht nur im
+// Einzelinstanz-Test (der bereits in API-03 abgedeckt ist).
+//
+// Zielwert: bei konfiguriertem Limit=500 und insgesamt 1200 Anfragen ueber
+// DREI simulierte Core-Instanzen (separate Pools/Store-Objekte) hinweg
+// werden EXAKT 500 Anfragen erlaubt — kein Overcounting durch fehlende
+// Koordination zwischen den Instanzen, kein Undercounting durch verlorene
+// Updates.
+func TestLoad_RateLimitingCorrectAcrossMultipleInstancesUnderSixModuleLoad(t *testing.T) {
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	const instanceCount = 3
+	pools := make([]*pgxpool.Pool, instanceCount)
+	stores := make([]*ratelimit.Store, instanceCount)
+	for i := 0; i < instanceCount; i++ {
+		p, err := pgxpool.New(ctx, adminDSN)
+		if err != nil {
+			t.Fatalf("pool %d: %v", i, err)
+		}
+		defer p.Close()
+		if i == 0 {
+			if _, err := p.Exec(ctx, `
+				CREATE TABLE IF NOT EXISTS rate_limit_configs (
+					key TEXT PRIMARY KEY, limit_value INT NOT NULL, window_seconds INT NOT NULL
+				);
+				CREATE TABLE IF NOT EXISTS rate_limit_counters (
+					key TEXT NOT NULL, window_start TIMESTAMPTZ NOT NULL, count INT NOT NULL DEFAULT 0,
+					PRIMARY KEY (key, window_start)
+				);
+			`); err != nil {
+				t.Fatalf("schema: %v", err)
+			}
+		}
+		pools[i] = p
+		stores[i] = ratelimit.NewStore(p)
+	}
+
+	key := fmt.Sprintf("qa08-key-%d", time.Now().UnixNano())
+	const limit = 500
+	if err := stores[0].SetLimit(ctx, key, limit, time.Minute); err != nil {
+		t.Fatalf("setlimit: %v", err)
+	}
+
+	const totalRequests = 1200 // simulierte last aus sechs modulen ueber drei instanzen, deutlich ueber dem limit von 500
+	var allowedCount int64
+	var wg sync.WaitGroup
+	for i := 0; i < totalRequests; i++ {
+		wg.Add(1)
+		instance := stores[i%instanceCount] // request "kommt" reihum von einer der drei core-instanzen
+		go func(s *ratelimit.Store) {
+			defer wg.Done()
+			res, err := s.Allow(ctx, key)
+			if err != nil {
+				t.Errorf("allow: %v", err)
+				return
+			}
+			if res.Allowed {
+				atomic.AddInt64(&allowedCount, 1)
+			}
+		}(instance)
+	}
+	wg.Wait()
+
+	t.Logf("rate-limiting unter mehrinstanz-last: %d anfragen ueber %d instanzen, limit=%d, tatsaechlich erlaubt=%d",
+		totalRequests, instanceCount, limit, allowedCount)
+
+	if allowedCount != limit {
+		t.Fatalf("erlaubte anfragen ueber alle instanzen = %d, ziel war exakt %d (geteilter, korrekter zustand)", allowedCount, limit)
+	}
+}

internal/moduletrust/cache.go

@@ -0,0 +1,86 @@
+package moduletrust
+
+import (
+	"context"
+	"fmt"
+	"sync"
+	"time"
+)
+
+// StaleCache ist der generische Rechte-/Feature-Flag-Cache-Kontrakt
+// (Akzeptanzkriterium 2): TTL-basiert, mit explizitem, benanntem Verhalten
+// bei abgelaufenem Cache waehrend Core nicht erreichbar ist.
+//
+//   - Get: FAIL-OPEN fuer Lesevorgaenge. Schlaegt der Refresh fehl, aber es
+//     gibt bereits einen (wenn auch abgelaufenen) Stand, wird dieser mit
+//     stale=true zurueckgegeben — Begruendung: ein bereits authentifiziertes
+//     Modul soll mit dem letztbekannten Stand weiterarbeiten koennen statt
+//     hart zu blockieren (siehe "Bekannte Fehler vermeiden" im Ticket).
+//     Existiert noch nie ein Stand, gibt es keinen sinnvollen Fallback —
+//     dann liefert auch Get einen Fehler.
+//   - RequireFresh: FAIL-CLOSED fuer sicherheitskritische Aktionen (z.B.
+//     ein komplett NEUER Login). Nutzt NIEMALS einen zwischengespeicherten
+//     Stand, ruft immer frisch ab — Begruendung: eine neue Vertrauens-
+//     entscheidung darf nicht auf veralteten Daten beruhen, auch wenn das
+//     bedeutet, dass die Aktion bei Core-Ausfall sichtbar fehlschlaegt statt
+//     unsicher "irgendwie" durchgelassen zu werden.
+//
+// LIC-02 (internal/flag.Service) implementiert bereits denselben Kontrakt
+// fuer Feature-Flags — StaleCache verallgemeinert dasselbe Muster fuer
+// JWT-Signaturschluessel, damit beide Faelle derselben dokumentierten
+// Policy folgen.
+type StaleCache[T any] struct {
+	mu        sync.RWMutex
+	value     T
+	hasValue  bool
+	fetchedAt time.Time
+	ttl       time.Duration
+	fetch     func(ctx context.Context) (T, error)
+}
+
+func NewStaleCache[T any](ttl time.Duration, fetch func(ctx context.Context) (T, error)) *StaleCache[T] {
+	return &StaleCache[T]{ttl: ttl, fetch: fetch}
+}
+
+// Get liefert den Cache-Wert. FAIL-OPEN: bei Refresh-Fehler wird ein
+// vorhandener, ggf. abgelaufener Stand zurueckgegeben (stale=true).
+func (c *StaleCache[T]) Get(ctx context.Context) (value T, stale bool, err error) {
+	c.mu.RLock()
+	fresh := c.hasValue && time.Since(c.fetchedAt) < c.ttl
+	if fresh {
+		v := c.value
+		c.mu.RUnlock()
+		return v, false, nil
+	}
+	c.mu.RUnlock()
+
+	newVal, fetchErr := c.fetch(ctx)
+	if fetchErr == nil {
+		c.mu.Lock()
+		c.value, c.hasValue, c.fetchedAt = newVal, true, time.Now()
+		c.mu.Unlock()
+		return newVal, false, nil
+	}
+
+	c.mu.RLock()
+	defer c.mu.RUnlock()
+	if c.hasValue {
+		return c.value, true, nil
+	}
+	var zero T
+	return zero, false, fmt.Errorf("cache leer und refresh fehlgeschlagen: %w", fetchErr)
+}
+
+// RequireFresh ruft IMMER frisch ab (FAIL-CLOSED) — fuer sicherheitskritische
+// Aktionen, die niemals auf einem zwischengespeicherten Stand basieren duerfen.
+func (c *StaleCache[T]) RequireFresh(ctx context.Context) (T, error) {
+	v, err := c.fetch(ctx)
+	if err != nil {
+		var zero T
+		return zero, fmt.Errorf("core nicht erreichbar, sicherheitskritische aktion abgelehnt: %w", err)
+	}
+	c.mu.Lock()
+	c.value, c.hasValue, c.fetchedAt = v, true, time.Now()
+	c.mu.Unlock()
+	return v, nil
+}

internal/moduletrust/issuer.go

@@ -0,0 +1,79 @@
+package moduletrust
+
+import (
+	"encoding/base64"
+	"encoding/json"
+	"fmt"
+	"net/http"
+	"time"
+
+	"github.com/golang-jwt/jwt/v5"
+)
+
+type Claims struct {
+	Subject    string `json:"sub"`
+	TenantSlug string `json:"tenant"`
+	jwt.RegisteredClaims
+}
+
+// Issue signiert ein Token mit dem aktuellen Signierschluessel und traegt
+// dessen KID im JWT-Header ein — der Verifier auf Modulseite waehlt darueber
+// den passenden oeffentlichen Schluessel aus PublicKeySet() aus.
+func (m *KeyManager) Issue(subject, tenantSlug string, ttl time.Duration) (string, error) {
+	key, err := m.SigningKey()
+	if err != nil {
+		return "", err
+	}
+
+	now := time.Now()
+	claims := Claims{
+		Subject:    subject,
+		TenantSlug: tenantSlug,
+		RegisteredClaims: jwt.RegisteredClaims{
+			IssuedAt:  jwt.NewNumericDate(now),
+			ExpiresAt: jwt.NewNumericDate(now.Add(ttl)),
+		},
+	}
+	token := jwt.NewWithClaims(jwt.SigningMethodEdDSA, claims)
+	token.Header["kid"] = key.KID
+	return token.SignedString(key.Private)
+}
+
+type jwksResponse struct {
+	Keys []jwksKey `json:"keys"`
+}
+
+type jwksKey struct {
+	Kid       string `json:"kid"`
+	PublicKey string `json:"public_key"` // base64 (raw Ed25519, 32 Byte)
+}
+
+// ServeJWKS liefert alle bekannten oeffentlichen Schluessel als JSON —
+// Module fragen dies periodisch ab (nicht pro Request), siehe Verifier.
+func (m *KeyManager) ServeJWKS(w http.ResponseWriter, r *http.Request) {
+	set := m.PublicKeySet()
+	resp := jwksResponse{Keys: make([]jwksKey, 0, len(set))}
+	for kid, pub := range set {
+		resp.Keys = append(resp.Keys, jwksKey{Kid: kid, PublicKey: base64.StdEncoding.EncodeToString(pub)})
+	}
+	w.Header().Set("Content-Type", "application/json")
+	_ = json.NewEncoder(w).Encode(resp)
+}
+
+// ParseJWKS dekodiert die JSON-Antwort von ServeJWKS zurueck in kid->PublicKey
+// — Hilfsfunktion fuer Module, die JWKS per HTTP abrufen.
+func ParseJWKS(data []byte) (map[string][]byte, error) {
+	var resp jwksResponse
+	if err := json.Unmarshal(data, &resp); err != nil {
+		return nil, fmt.Errorf("jwks parsen: %w", err)
+	}
+	out := make(map[string][]byte, len(resp.Keys))
+	for _, k := range resp.Keys {
+		raw, err := base64.StdEncoding.DecodeString(k.PublicKey)
+		if err != nil {
+			return nil, fmt.Errorf("oeffentlichen schluessel %q dekodieren: %w", k.Kid, err)
+		}
+		out[k.Kid] = raw
+	}
+	return out, nil
+}

internal/moduletrust/keys.go

@@ -0,0 +1,83 @@
+// Package moduletrust implementiert Core API-05: asymmetrische JWT-Signatur
+// mit Schluesselverteilung (JWKS), damit DMS/Mail/Archive/Workflow JWTs
+// LOKAL verifizieren koennen, ohne pro Aufruf einen synchronen Request an
+// Core zu stellen — Core darf Fundament sein, ohne zum Flaschenhals zu
+// werden (siehe Entscheidungsverlauf "Vertrauensstellung Core<->Module" in
+// nexarch-state.json). IAM-02s HS256-Session-Cookie (Browser-Login) bleibt
+// unangetastet — dies ist ein zusaetzlicher, getrennter Vertrauensmechanismus
+// fuer Modul-zu-Modul/Modul-zu-Core-Aufrufe.
+package moduletrust
+
+import (
+	"crypto/ed25519"
+	"crypto/rand"
+	"encoding/hex"
+	"fmt"
+	"sync"
+)
+
+type KeyPair struct {
+	KID     string
+	Private ed25519.PrivateKey
+	Public  ed25519.PublicKey
+}
+
+// KeyManager haelt ALLE noch gueltigen Schluesselpaare — nicht nur das
+// aktuell signierende. Rotate erzeugt ein neues Paar und behaelt die alten
+// fuer die Verifikation bereits ausgestellter Tokens (Akzeptanzkriterium 3:
+// Rotation ohne Ausfallzeit fuer andere Module).
+type KeyManager struct {
+	mu   sync.RWMutex
+	keys []KeyPair // aeltestes zuerst, neuestes zuletzt
+}
+
+func NewKeyManager() (*KeyManager, error) {
+	m := &KeyManager{}
+	if _, err := m.Rotate(); err != nil {
+		return nil, err
+	}
+	return m, nil
+}
+
+// Rotate erzeugt ein neues Ed25519-Schluesselpaar mit eigener KID und macht
+// es zum aktuellen Signierschluessel. Aeltere Schluessel bleiben in
+// PublicKeySet() erhalten, damit bereits ausgestellte Tokens weiterhin
+// verifizierbar sind.
+func (m *KeyManager) Rotate() (KeyPair, error) {
+	pub, priv, err := ed25519.GenerateKey(nil)
+	if err != nil {
+		return KeyPair{}, fmt.Errorf("schluesselpaar erzeugen: %w", err)
+	}
+	kidBytes := make([]byte, 8)
+	if _, err := rand.Read(kidBytes); err != nil {
+		return KeyPair{}, fmt.Errorf("kid erzeugen: %w", err)
+	}
+	kp := KeyPair{KID: hex.EncodeToString(kidBytes), Private: priv, Public: pub}
+
+	m.mu.Lock()
+	m.keys = append(m.keys, kp)
+	m.mu.Unlock()
+	return kp, nil
+}
+
+// SigningKey liefert den aktuellen (neuesten) Schluessel zum Signieren neuer Tokens.
+func (m *KeyManager) SigningKey() (KeyPair, error) {
+	m.mu.RLock()
+	defer m.mu.RUnlock()
+	if len(m.keys) == 0 {
+		return KeyPair{}, fmt.Errorf("moduletrust: kein schluessel vorhanden")
+	}
+	return m.keys[len(m.keys)-1], nil
+}
+
+// PublicKeySet liefert ALLE bekannten oeffentlichen Schluessel (kid ->
+// public key) — die Grundlage fuer den JWKS-Endpunkt.
+func (m *KeyManager) PublicKeySet() map[string]ed25519.PublicKey {
+	m.mu.RLock()
+	defer m.mu.RUnlock()
+	out := make(map[string]ed25519.PublicKey, len(m.keys))
+	for _, k := range m.keys {
+		out[k.KID] = k.Public
+	}
+	return out
+}

internal/moduletrust/moduletrust_test.go

@@ -0,0 +1,214 @@
+package moduletrust
+
+import (
+	"context"
+	"crypto/ed25519"
+	"errors"
+	"net/http"
+	"sync"
+	"testing"
+	"time"
+)
+
+func TestIssueAndVerify_RoundTrip(t *testing.T) {
+	km, err := NewKeyManager()
+	if err != nil {
+		t.Fatalf("new key manager: %v", err)
+	}
+	token, err := km.Issue("user-1", "acme", time.Hour)
+	if err != nil {
+		t.Fatalf("issue: %v", err)
+	}
+
+	v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
+		return km.PublicKeySet(), nil
+	})
+	claims, err := v.Verify(context.Background(), token)
+	if err != nil {
+		t.Fatalf("verify: %v", err)
+	}
+	if claims.Subject != "user-1" || claims.TenantSlug != "acme" {
+		t.Fatalf("claims unerwartet: %+v", claims)
+	}
+}
+
+// Akzeptanzkriterium 1: Verifikation lokal, kein Request pro Aufruf.
+func TestVerify_DoesNotFetchPerCall(t *testing.T) {
+	km, err := NewKeyManager()
+	if err != nil {
+		t.Fatalf("new key manager: %v", err)
+	}
+	token, err := km.Issue("user-1", "acme", time.Hour)
+	if err != nil {
+		t.Fatalf("issue: %v", err)
+	}
+
+	var mu sync.Mutex
+	fetchCalls := 0
+	v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
+		mu.Lock()
+		fetchCalls++
+		mu.Unlock()
+		return km.PublicKeySet(), nil
+	})
+
+	for i := 0; i < 10; i++ {
+		if _, err := v.Verify(context.Background(), token); err != nil {
+			t.Fatalf("verify %d: %v", i, err)
+		}
+	}
+
+	mu.Lock()
+	defer mu.Unlock()
+	if fetchCalls != 1 {
+		t.Fatalf("erwartet genau 1 fetch fuer 10 Verify-Aufrufe innerhalb der TTL, habe %d", fetchCalls)
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 1: Core simuliert nicht erreichbar,
+// bereits authentifizierte Nutzer bleiben funktionsfaehig (Fail-Open mit
+// letztbekanntem Schluesselstand).
+func TestVerify_FailsOpenWhenCoreUnreachableButStaleKeysExist(t *testing.T) {
+	km, err := NewKeyManager()
+	if err != nil {
+		t.Fatalf("new key manager: %v", err)
+	}
+	token, err := km.Issue("user-1", "acme", time.Hour)
+	if err != nil {
+		t.Fatalf("issue: %v", err)
+	}
+
+	coreDown := false
+	v := NewVerifier(30*time.Millisecond, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
+		if coreDown {
+			return nil, errors.New("core nicht erreichbar (simuliert)")
+		}
+		return km.PublicKeySet(), nil
+	})
+
+	// Cache vorwaermen, waehrend Core noch erreichbar ist.
+	if _, err := v.Verify(context.Background(), token); err != nil {
+		t.Fatalf("verify (warm): %v", err)
+	}
+
+	// "Core abschalten" und TTL ablaufen lassen.
+	coreDown = true
+	time.Sleep(50 * time.Millisecond)
+
+	if _, err := v.Verify(context.Background(), token); err != nil {
+		t.Fatalf("verify sollte trotz core-ausfall mit letztbekanntem stand funktionieren: %v", err)
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 2: neue sicherheitskritische Aktionen
+// (z.B. neuer Login) schlagen bei Core-Ausfall klar fehl statt unsicher
+// durchgelassen zu werden — auch wenn ein (aelterer) Cache-Stand existiert.
+func TestRequireFreshKeys_FailsClosedWhenCoreUnreachable(t *testing.T) {
+	km, err := NewKeyManager()
+	if err != nil {
+		t.Fatalf("new key manager: %v", err)
+	}
+
+	coreDown := false
+	v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
+		if coreDown {
+			return nil, errors.New("core nicht erreichbar (simuliert)")
+		}
+		return km.PublicKeySet(), nil
+	})
+
+	// Cache vorwaermen (existiert jetzt ein "veralteter" gueltiger Stand).
+	if _, _, err := v.cache.Get(context.Background()); err != nil {
+		t.Fatalf("warm cache: %v", err)
+	}
+
+	coreDown = true
+	if err := v.RequireFreshKeys(context.Background()); err == nil {
+		t.Fatal("erwartet fehler (fail-closed) bei core-ausfall, habe nil")
+	}
+}
+
+// Akzeptanzkriterium 3 + Pruefung 3: Schluesselrotation ohne Ausfallzeit —
+// ein bereits ausgestelltes Token bleibt nach Rotation weiterhin
+// verifizierbar, ein zweites (simuliertes) Modul bekommt beide Schluessel.
+func TestRotate_NoDowntimeForAlreadyIssuedTokens(t *testing.T) {
+	km, err := NewKeyManager()
+	if err != nil {
+		t.Fatalf("new key manager: %v", err)
+	}
+
+	oldToken, err := km.Issue("user-1", "acme", time.Hour)
+	if err != nil {
+		t.Fatalf("issue (alt): %v", err)
+	}
+
+	if _, err := km.Rotate(); err != nil {
+		t.Fatalf("rotate: %v", err)
+	}
+
+	newToken, err := km.Issue("user-2", "acme", time.Hour)
+	if err != nil {
+		t.Fatalf("issue (neu): %v", err)
+	}
+
+	// Simuliertes zweites Modul: fragt den vollstaendigen Schluesselsatz ab.
+	moduleB := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
+		return km.PublicKeySet(), nil
+	})
+
+	if _, err := moduleB.Verify(context.Background(), oldToken); err != nil {
+		t.Fatalf("altes token sollte nach rotation weiterhin gueltig sein: %v", err)
+	}
+	if _, err := moduleB.Verify(context.Background(), newToken); err != nil {
+		t.Fatalf("neues token sollte gueltig sein: %v", err)
+	}
+}
+
+func TestVerify_RejectsUnknownKid(t *testing.T) {
+	km1, _ := NewKeyManager()
+	km2, _ := NewKeyManager() // komplett anderer, unbekannter schluessel
+
+	token, err := km1.Issue("user-1", "acme", time.Hour)
+	if err != nil {
+		t.Fatalf("issue: %v", err)
+	}
+
+	v := NewVerifier(time.Hour, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
+		return km2.PublicKeySet(), nil // kennt km1s schluessel nicht
+	})
+	if _, err := v.Verify(context.Background(), token); !errors.Is(err, ErrInvalidToken) {
+		t.Fatalf("erwartet ErrInvalidToken, habe %v", err)
+	}
+}
+
+func TestJWKSRoundTrip(t *testing.T) {
+	km, _ := NewKeyManager()
+	km.Rotate()
+
+	var buf []byte
+	rec := &captureWriter{}
+	km.ServeJWKS(rec, nil)
+	buf = rec.body
+
+	parsed, err := ParseJWKS(buf)
+	if err != nil {
+		t.Fatalf("parse jwks: %v", err)
+	}
+	if len(parsed) != len(km.PublicKeySet()) {
+		t.Fatalf("erwartet %d schluessel, habe %d", len(km.PublicKeySet()), len(parsed))
+	}
+}
+
+type captureWriter struct {
+	body   []byte
+	header http.Header
+}
+
+func (w *captureWriter) Header() http.Header {
+	if w.header == nil {
+		w.header = http.Header{}
+	}
+	return w.header
+}
+func (w *captureWriter) Write(p []byte) (int, error) { w.body = append(w.body, p...); return len(p), nil }
+func (w *captureWriter) WriteHeader(statusCode int)  {}

internal/moduletrust/verifier.go

@@ -0,0 +1,67 @@
+package moduletrust
+
+import (
+	"context"
+	"crypto/ed25519"
+	"errors"
+	"time"
+
+	"github.com/golang-jwt/jwt/v5"
+)
+
+var ErrInvalidToken = errors.New("moduletrust: ungueltiges token")
+
+// KeyFetchFunc holt den aktuellen Schluesselsatz von Core (z.B. per HTTP-GET
+// auf ServeJWKS + ParseJWKS). Wird vom Verifier nur bei abgelaufener TTL
+// aufgerufen — NICHT bei jeder Verify()-Anfrage (Akzeptanzkriterium 1).
+type KeyFetchFunc func(ctx context.Context) (map[string]ed25519.PublicKey, error)
+
+// Verifier ist die Modulseite von API-05: verifiziert JWTs LOKAL gegen einen
+// per StaleCache zwischengespeicherten Schluesselsatz, ohne pro Aufruf einen
+// synchronen Request an Core zu stellen.
+type Verifier struct {
+	cache *StaleCache[map[string]ed25519.PublicKey]
+}
+
+func NewVerifier(ttl time.Duration, fetch KeyFetchFunc) *Verifier {
+	return &Verifier{cache: NewStaleCache(ttl, func(ctx context.Context) (map[string]ed25519.PublicKey, error) {
+		return fetch(ctx)
+	})}
+}
+
+// Verify prueft die Signatur LOKAL gegen den (ggf. abgelaufenen, aber
+// vorhandenen) Schluesselsatz — FAIL-OPEN fuer bereits ausgestellte Tokens
+// (Akzeptanzkriterium 2): ist Core nicht erreichbar, aber ein alter
+// Schluesselsatz bekannt, wird damit weiter verifiziert.
+func (v *Verifier) Verify(ctx context.Context, tokenString string) (*Claims, error) {
+	keys, _, err := v.cache.Get(ctx)
+	if err != nil {
+		return nil, err
+	}
+
+	claims := &Claims{}
+	token, err := jwt.ParseWithClaims(tokenString, claims, func(t *jwt.Token) (interface{}, error) {
+		if _, ok := t.Method.(*jwt.SigningMethodEd25519); !ok {
+			return nil, ErrInvalidToken
+		}
+		kid, _ := t.Header["kid"].(string)
+		pub, ok := keys[kid]
+		if !ok {
+			return nil, ErrInvalidToken
+		}
+		return pub, nil
+	})
+	if err != nil || !token.Valid {
+		return nil, ErrInvalidToken
+	}
+	return claims, nil
+}
+
+// RequireFreshKeys ruft IMMER frisch von Core ab (FAIL-CLOSED) — fuer
+// sicherheitskritische Aktionen wie einen komplett neuen Login
+// (Akzeptanzkriterium 2): schlaegt klar fehl, wenn Core nicht erreichbar
+// ist, statt auf einem veralteten Schluesselsatz zu vertrauen.
+func (v *Verifier) RequireFreshKeys(ctx context.Context) error {
+	_, err := v.cache.RequireFresh(ctx)
+	return err
+}

internal/ratelimit/middleware.go

@@ -0,0 +1,64 @@
+package ratelimit
+
+import (
+	"fmt"
+	"math"
+	"net/http"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/apiserver"
+)
+
+// KeyFunc bestimmt den Rate-Limit-Schluessel fuer eine Anfrage — typischerweise
+// der Tenant-Slug aus apiserver.RequestContext, siehe KeyByTenant. Als
+// eigenstaendiger Typ austauschbar (z.B. spaeter API-Token-basiert), ohne
+// internal/apiserver aendern zu muessen (Kein Umbau angrenzender Bereiche).
+type KeyFunc func(r *http.Request) (string, bool)
+
+// KeyByTenant liest den Tenant aus dem von internal/apiserver.authAndTenantContext
+// gesetzten RequestContext (IAM-02/API-01) — dieselbe Middleware-Kette,
+// keine zweite Authentifizierung.
+func KeyByTenant(r *http.Request) (string, bool) {
+	rc, ok := apiserver.FromContext(r.Context())
+	if !ok || rc.TenantSlug == "" {
+		return "", false
+	}
+	return rc.TenantSlug, true
+}
+
+// Middleware setzt sich VOR den eigentlichen Handler (nach Auth+Tenant-
+// Kontext, siehe KeyByTenant) und lehnt Anfragen ueber dem konfigurierten
+// Limit mit 429 + Retry-After ab (Akzeptanzkriterium 3).
+func Middleware(store *Store, keyFn KeyFunc, next http.HandlerFunc) http.HandlerFunc {
+	return func(w http.ResponseWriter, r *http.Request) {
+		key, ok := keyFn(r)
+		if !ok {
+			// Kein Schluessel ermittelbar (z.B. kein Tenant-Kontext) — die
+			// Auth-Pruefung selbst ist Sache von authAndTenantContext, hier
+			// wird nur nicht limitiert, wenn schon kein Kontext vorliegt.
+			next(w, r)
+			return
+		}
+
+		result, err := store.Allow(r.Context(), key)
+		if err != nil {
+			apiserver.WriteError(w, http.StatusInternalServerError, "rate_limit_error", "rate-limit-pruefung fehlgeschlagen")
+			return
+		}
+
+		w.Header().Set("X-RateLimit-Limit", fmt.Sprintf("%d", result.Limit))
+		w.Header().Set("X-RateLimit-Remaining", fmt.Sprintf("%d", result.Remaining))
+
+		if !result.Allowed {
+			retryAfterSeconds := int(math.Ceil(result.RetryAfter.Seconds()))
+			if retryAfterSeconds < 1 {
+				retryAfterSeconds = 1
+			}
+			w.Header().Set("Retry-After", fmt.Sprintf("%d", retryAfterSeconds))
+			apiserver.WriteError(w, http.StatusTooManyRequests, "rate_limit_exceeded",
+				"zu viele anfragen, bitte spaeter erneut versuchen")
+			return
+		}
+
+		next(w, r)
+	}
+}

internal/ratelimit/middleware_test.go

@@ -0,0 +1,136 @@
+package ratelimit
+
+import (
+	"context"
+	"net/http"
+	"net/http/httptest"
+	"os"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/apiserver"
+	"gitea.perlbach24.de/scripte/nexarch/internal/auth"
+)
+
+func setupMiddlewareTest(t *testing.T) (*apiserver.Server, *auth.TokenIssuer, *Store, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS rate_limit_configs (
+			key TEXT PRIMARY KEY, limit_value INT NOT NULL, window_seconds INT NOT NULL
+		);
+		CREATE TABLE IF NOT EXISTS rate_limit_counters (
+			key TEXT NOT NULL, window_start TIMESTAMPTZ NOT NULL, count INT NOT NULL DEFAULT 0,
+			PRIMARY KEY (key, window_start)
+		);
+	`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+
+	issuer := auth.NewTokenIssuer("test-secret-nur-fuer-tests")
+	srv := apiserver.NewServer(issuer)
+	store := NewStore(pool)
+
+	cleanup := func() { pool.Close() }
+	return srv, issuer, store, cleanup
+}
+
+// Akzeptanzkriterium 3 + Pruefung 2: Ueberschreitung liefert 429 mit
+// Retry-After-Header, ueber die vollstaendige Middleware-Kette (Auth ->
+// Tenant-Kontext -> Rate-Limit -> Handler) hinweg.
+func TestMiddleware_Returns429WithRetryAfterOnExceeded(t *testing.T) {
+	srv, issuer, store, cleanup := setupMiddlewareTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	tenantSlug := newTestKey()
+	if err := store.SetLimit(ctx, tenantSlug, 1, time.Minute); err != nil {
+		t.Fatalf("setlimit: %v", err)
+	}
+
+	called := 0
+	srv.HandleV1("/limited", Middleware(store, KeyByTenant, func(w http.ResponseWriter, r *http.Request) {
+		called++
+		w.WriteHeader(http.StatusOK)
+	}))
+
+	token, err := issuer.Issue("user-1", tenantSlug)
+	if err != nil {
+		t.Fatalf("issue: %v", err)
+	}
+
+	req1 := httptest.NewRequest(http.MethodGet, "/api/v1/limited", nil)
+	req1.AddCookie(&http.Cookie{Name: auth.CookieName, Value: token})
+	rec1 := httptest.NewRecorder()
+	srv.Handler().ServeHTTP(rec1, req1)
+	if rec1.Code != http.StatusOK {
+		t.Fatalf("1. anfrage: status = %d, want 200", rec1.Code)
+	}
+
+	req2 := httptest.NewRequest(http.MethodGet, "/api/v1/limited", nil)
+	req2.AddCookie(&http.Cookie{Name: auth.CookieName, Value: token})
+	rec2 := httptest.NewRecorder()
+	srv.Handler().ServeHTTP(rec2, req2)
+	if rec2.Code != http.StatusTooManyRequests {
+		t.Fatalf("2. anfrage: status = %d, want 429", rec2.Code)
+	}
+	if rec2.Header().Get("Retry-After") == "" {
+		t.Fatal("erwartet gesetzten Retry-After-Header bei 429")
+	}
+	if called != 1 {
+		t.Fatalf("handler wurde %d mal aufgerufen, want genau 1 (2. anfrage haette nicht durchgereicht werden duerfen)", called)
+	}
+}
+
+// Akzeptanzkriterium 1: das Limit ist pro Tenant konfigurierbar — ein
+// anderer Tenant (anderer Key) bleibt von der Ausschoepfung unberuehrt.
+func TestMiddleware_DifferentTenantsHaveIndependentLimits(t *testing.T) {
+	srv, issuer, store, cleanup := setupMiddlewareTest(t)
+	defer cleanup()
+	ctx := context.Background()
+
+	tenantA := newTestKey()
+	tenantB := newTestKey()
+	if err := store.SetLimit(ctx, tenantA, 1, time.Minute); err != nil {
+		t.Fatalf("setlimit a: %v", err)
+	}
+	if err := store.SetLimit(ctx, tenantB, 1, time.Minute); err != nil {
+		t.Fatalf("setlimit b: %v", err)
+	}
+
+	srv.HandleV1("/limited2", Middleware(store, KeyByTenant, func(w http.ResponseWriter, r *http.Request) {
+		w.WriteHeader(http.StatusOK)
+	}))
+
+	tokenA, _ := issuer.Issue("user-a", tenantA)
+	tokenB, _ := issuer.Issue("user-b", tenantB)
+
+	// Tenant A schoepft sein Limit aus.
+	reqA := httptest.NewRequest(http.MethodGet, "/api/v1/limited2", nil)
+	reqA.AddCookie(&http.Cookie{Name: auth.CookieName, Value: tokenA})
+	recA := httptest.NewRecorder()
+	srv.Handler().ServeHTTP(recA, reqA)
+	if recA.Code != http.StatusOK {
+		t.Fatalf("tenant a, 1. anfrage: status = %d, want 200", recA.Code)
+	}
+
+	// Tenant B ist von der Ausschoepfung bei A unberuehrt.
+	reqB := httptest.NewRequest(http.MethodGet, "/api/v1/limited2", nil)
+	reqB.AddCookie(&http.Cookie{Name: auth.CookieName, Value: tokenB})
+	recB := httptest.NewRecorder()
+	srv.Handler().ServeHTTP(recB, reqB)
+	if recB.Code != http.StatusOK {
+		t.Fatalf("tenant b haette trotz ausgeschoepftem limit von tenant a erlaubt sein muessen, status = %d", recB.Code)
+	}
+}

internal/ratelimit/ratelimit.go

@@ -0,0 +1,126 @@
+// Package ratelimit implementiert Core API-03: eine zentrale Rate-Limiting-
+// Schicht fuer die gesamte Core-API mit GETEILTEM, EXTERNEM Zustand in
+// Postgres — kein In-Process-Zaehler (siehe "Bekannte Fehler vermeiden" im
+// Ticket: dasselbe Risiko wie bei IAM-07s In-Memory-Lockout). Fixed-Window-
+// Algorithmus: einfach, korrekt unter nebenlaeufigem Zugriff (atomares
+// UPSERT wie internal/usage.Store.Increment), und fuer ein API-Gateway
+// ausreichend praezise — kein Sliding-Window-Overhead noetig.
+package ratelimit
+
+import (
+	"context"
+	"fmt"
+	"time"
+
+	"github.com/jackc/pgx/v5"
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// DefaultLimit/DefaultWindow gelten fuer jeden Schluessel (Tenant oder
+// API-Token), fuer den keine eigene Konfiguration existiert
+// (Akzeptanzkriterium 1: "konfigurierbar", nicht "verpflichtend konfiguriert").
+const (
+	DefaultLimit  = 100
+	DefaultWindow = time.Minute
+)
+
+// Config ist das je Schluessel konfigurierbare Limit.
+type Config struct {
+	Limit  int
+	Window time.Duration
+}
+
+// Store haelt Konfiguration UND Zaehlerstand in Postgres — beides ueber
+// dieselbe Verbindung erreichbar, damit mehrere Dienstinstanzen denselben
+// Zustand sehen (Akzeptanzkriterium 2).
+type Store struct {
+	pool *pgxpool.Pool
+}
+
+func NewStore(pool *pgxpool.Pool) *Store {
+	return &Store{pool: pool}
+}
+
+// SetLimit setzt die Konfiguration fuer EINEN Schluessel (z.B. einen
+// Tenant-Slug oder eine API-Token-ID) — wirkt sich nicht auf andere
+// Schluessel aus (Akzeptanzkriterium 1 / Pruefung 3).
+func (s *Store) SetLimit(ctx context.Context, key string, limit int, window time.Duration) error {
+	_, err := s.pool.Exec(ctx, `
+		INSERT INTO rate_limit_configs (key, limit_value, window_seconds)
+		VALUES ($1, $2, $3)
+		ON CONFLICT (key) DO UPDATE SET limit_value = $2, window_seconds = $3
+	`, key, limit, int(window.Seconds()))
+	if err != nil {
+		return fmt.Errorf("rate-limit-konfiguration speichern: %w", err)
+	}
+	return nil
+}
+
+func (s *Store) getConfig(ctx context.Context, key string) (Config, error) {
+	var limit, windowSeconds int
+	err := s.pool.QueryRow(ctx, `
+		SELECT limit_value, window_seconds FROM rate_limit_configs WHERE key = $1
+	`, key).Scan(&limit, &windowSeconds)
+	if err != nil {
+		if err == pgx.ErrNoRows {
+			return Config{Limit: DefaultLimit, Window: DefaultWindow}, nil
+		}
+		return Config{}, fmt.Errorf("rate-limit-konfiguration lesen: %w", err)
+	}
+	return Config{Limit: limit, Window: time.Duration(windowSeconds) * time.Second}, nil
+}
+
+// Result ist der Ausgang einer Allow-Pruefung (Akzeptanzkriterium 3).
+type Result struct {
+	Allowed    bool
+	Limit      int
+	Remaining  int
+	RetryAfter time.Duration
+}
+
+// Allow erhoeht den Zaehler fuer (key, aktuelles Zeitfenster) ATOMAR ueber
+// ein einziges UPSERT (dasselbe Muster wie internal/usage.Store.Increment)
+// und vergleicht das Ergebnis gegen die konfigurierte Grenze — kein
+// Lesen-Erhoehen-Schreiben in Go, damit zwei Dienstinstanzen, die
+// gleichzeitig gegen dieselbe Datenbank inkrementieren, sich niemals
+// gegenseitig ueberschreiben (Akzeptanzkriterium 2 / Pruefung 1).
+func (s *Store) Allow(ctx context.Context, key string) (Result, error) {
+	cfg, err := s.getConfig(ctx, key)
+	if err != nil {
+		return Result{}, err
+	}
+
+	windowSeconds := int64(cfg.Window.Seconds())
+	if windowSeconds <= 0 {
+		windowSeconds = int64(DefaultWindow.Seconds())
+	}
+	now := time.Now().UTC()
+	windowStart := time.Unix((now.Unix()/windowSeconds)*windowSeconds, 0).UTC()
+	windowEnd := windowStart.Add(time.Duration(windowSeconds) * time.Second)
+
+	var count int
+	err = s.pool.QueryRow(ctx, `
+		INSERT INTO rate_limit_counters (key, window_start, count)
+		VALUES ($1, $2, 1)
+		ON CONFLICT (key, window_start) DO UPDATE
+			SET count = rate_limit_counters.count + 1
+		RETURNING count
+	`, key, windowStart).Scan(&count)
+	if err != nil {
+		return Result{}, fmt.Errorf("rate-limit-zaehler erhoehen: %w", err)
+	}
+
+	remaining := cfg.Limit - count
+	if remaining < 0 {
+		remaining = 0
+	}
+	if count > cfg.Limit {
+		return Result{
+			Allowed:    false,
+			Limit:      cfg.Limit,
+			Remaining:  0,
+			RetryAfter: windowEnd.Sub(now),
+		}, nil
+	}
+	return Result{Allowed: true, Limit: cfg.Limit, Remaining: remaining}, nil
+}

internal/ratelimit/ratelimit_test.go

@@ -0,0 +1,168 @@
+package ratelimit
+
+import (
+	"context"
+	"fmt"
+	"os"
+	"sync"
+	"sync/atomic"
+	"testing"
+	"time"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+func setupTest(t *testing.T) (*pgxpool.Pool, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	pool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("pool: %v", err)
+	}
+	if _, err := pool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS rate_limit_configs (
+			key TEXT PRIMARY KEY, limit_value INT NOT NULL, window_seconds INT NOT NULL
+		);
+		CREATE TABLE IF NOT EXISTS rate_limit_counters (
+			key TEXT NOT NULL, window_start TIMESTAMPTZ NOT NULL, count INT NOT NULL DEFAULT 0,
+			PRIMARY KEY (key, window_start)
+		);
+	`); err != nil {
+		t.Fatalf("schema: %v", err)
+	}
+
+	cleanup := func() { pool.Close() }
+	return pool, cleanup
+}
+
+func newTestKey() string {
+	return fmt.Sprintf("test-key-%d", time.Now().UnixNano())
+}
+
+// Akzeptanzkriterium 3 + Pruefung 2: Ueberschreitung des Limits wird
+// nachweislich erkannt.
+func TestAllow_RejectsAfterLimitExceeded(t *testing.T) {
+	pool, cleanup := setupTest(t)
+	defer cleanup()
+	store := NewStore(pool)
+	ctx := context.Background()
+	key := newTestKey()
+
+	if err := store.SetLimit(ctx, key, 3, time.Minute); err != nil {
+		t.Fatalf("setlimit: %v", err)
+	}
+
+	for i := 0; i < 3; i++ {
+		res, err := store.Allow(ctx, key)
+		if err != nil {
+			t.Fatalf("allow %d: %v", i, err)
+		}
+		if !res.Allowed {
+			t.Fatalf("anfrage %d haette erlaubt sein muessen, limit=3", i)
+		}
+	}
+
+	res, err := store.Allow(ctx, key)
+	if err != nil {
+		t.Fatalf("allow (4.): %v", err)
+	}
+	if res.Allowed {
+		t.Fatal("4. anfrage haette abgelehnt werden muessen (limit=3)")
+	}
+	if res.RetryAfter <= 0 {
+		t.Fatalf("erwartet positive retry-after-dauer, habe %v", res.RetryAfter)
+	}
+}
+
+// Akzeptanzkriterium 1 / Pruefung 3: Konfigurationsaenderung wirkt sich
+// NICHT auf andere Schluessel (Tenants) aus.
+func TestSetLimit_DoesNotAffectOtherKeys(t *testing.T) {
+	pool, cleanup := setupTest(t)
+	defer cleanup()
+	store := NewStore(pool)
+	ctx := context.Background()
+	keyA := newTestKey()
+	keyB := newTestKey()
+
+	if err := store.SetLimit(ctx, keyA, 1, time.Minute); err != nil {
+		t.Fatalf("setlimit a: %v", err)
+	}
+
+	resA1, _ := store.Allow(ctx, keyA)
+	resA2, _ := store.Allow(ctx, keyA)
+	if !resA1.Allowed || resA2.Allowed {
+		t.Fatalf("key a: erwartet erlaubt,abgelehnt, habe %v,%v", resA1.Allowed, resA2.Allowed)
+	}
+
+	// keyB hat keine eigene Konfiguration -> DefaultLimit, unbeeinflusst von keyA.
+	resB, err := store.Allow(ctx, keyB)
+	if err != nil {
+		t.Fatalf("allow b: %v", err)
+	}
+	if !resB.Allowed {
+		t.Fatal("key b haette trotz limit-ueberschreitung bei key a erlaubt sein muessen")
+	}
+	if resB.Limit != DefaultLimit {
+		t.Fatalf("key b limit = %d, want default %d", resB.Limit, DefaultLimit)
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 1: zwei "Dienstinstanzen" (zwei
+// unabhaengige Pools/Store-Objekte) gegen dieselbe Datenbank setzen
+// dasselbe Limit korrekt durch — kein In-Process-Zustand kann das leisten.
+func TestAllow_TwoInstancesShareStateCorrectly(t *testing.T) {
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	pool, cleanup := setupTest(t)
+	defer cleanup()
+
+	ctx := context.Background()
+	pool2, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("zweiter pool (simuliert zweite instanz): %v", err)
+	}
+	defer pool2.Close()
+
+	storeInstance1 := NewStore(pool)
+	storeInstance2 := NewStore(pool2)
+
+	key := newTestKey()
+	const limit = 20
+	if err := storeInstance1.SetLimit(ctx, key, limit, time.Minute); err != nil {
+		t.Fatalf("setlimit: %v", err)
+	}
+
+	const totalRequests = 50
+	var allowedCount int64
+	var wg sync.WaitGroup
+	for i := 0; i < totalRequests; i++ {
+		wg.Add(1)
+		store := storeInstance1
+		if i%2 == 0 {
+			store = storeInstance2 // Haelfte der Anfragen "kommt" von der zweiten Instanz
+		}
+		go func(s *Store) {
+			defer wg.Done()
+			res, err := s.Allow(ctx, key)
+			if err != nil {
+				t.Errorf("allow: %v", err)
+				return
+			}
+			if res.Allowed {
+				atomic.AddInt64(&allowedCount, 1)
+			}
+		}(store)
+	}
+	wg.Wait()
+
+	if allowedCount != limit {
+		t.Fatalf("erlaubte anfragen ueber beide instanzen = %d, want exakt %d (geteilter zustand)", allowedCount, limit)
+	}
+}

internal/tenant/handler.go

@@ -0,0 +1,45 @@
+package tenant
+
+import (
+	"encoding/json"
+	"net/http"
+)
+
+// Handler ist eine schlanke Vorbereitung der Schnittstelle fuer API-01
+// (REST-API-Grundgerüst & Versionierung) und TEN-02 (Self-Service-Onboarding).
+// Auth/Rate-Limiting/Versionierung selbst sind ausdruecklich nicht Teil von
+// TEN-01 und werden dort nachgezogen.
+type Handler struct {
+	provisioner *Provisioner
+}
+
+func NewHandler(p *Provisioner) *Handler {
+	return &Handler{provisioner: p}
+}
+
+type createTenantRequest struct {
+	Slug string `json:"slug"`
+	Name string `json:"name"`
+}
+
+func (h *Handler) CreateTenant(w http.ResponseWriter, r *http.Request) {
+	var req createTenantRequest
+	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
+		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
+		return
+	}
+
+	t, err := h.provisioner.Provision(r.Context(), req.Slug, req.Name)
+	if err != nil {
+		if err == ErrInvalidSlug {
+			http.Error(w, err.Error(), http.StatusBadRequest)
+			return
+		}
+		http.Error(w, "tenant konnte nicht angelegt werden", http.StatusInternalServerError)
+		return
+	}
+
+	w.Header().Set("Content-Type", "application/json")
+	w.WriteHeader(http.StatusCreated)
+	_ = json.NewEncoder(w).Encode(t)
+}

internal/tenant/provisioner.go

@@ -0,0 +1,78 @@
+package tenant
+
+import (
+	"context"
+	"fmt"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// Provisioner legt fuer jeden neuen Mandanten eine vollstaendig isolierte
+// PostgreSQL-Datenbank an und registriert sie transaktional in der Registry
+// (Akzeptanzkriterium 2). Zwei Mandanten-Datenbanken sind danach auf
+// Infrastrukturebene komplett getrennt (Akzeptanzkriterium 3).
+type Provisioner struct {
+	// adminPool ist mit der Wartungsdatenbank (z. B. "postgres") verbunden
+	// und wird ausschliesslich fuer CREATE/DROP DATABASE verwendet, da diese
+	// Befehle in PostgreSQL nicht in einer Transaktion laufen koennen.
+	adminPool *pgxpool.Pool
+	registry  *Registry
+	// dsnTemplate enthaelt genau ein "%s" als Platzhalter fuer den
+	// Datenbanknamen, z. B. "postgresql://user:pass@host:5432/%s?sslmode=disable".
+	dsnTemplate string
+}
+
+func NewProvisioner(adminPool *pgxpool.Pool, registry *Registry, dsnTemplate string) *Provisioner {
+	return &Provisioner{adminPool: adminPool, registry: registry, dsnTemplate: dsnTemplate}
+}
+
+// Provision legt die Tenant-Datenbank an und registriert sie. Schlaegt die
+// Registrierung fehl, wird die bereits angelegte Datenbank wieder entfernt,
+// damit kein verwaister, unregistrierter Tenant zurueckbleibt.
+func (p *Provisioner) Provision(ctx context.Context, slug, name string) (Tenant, error) {
+	if err := ValidateSlug(slug); err != nil {
+		return Tenant{}, err
+	}
+
+	dbName := dbNameForSlug(slug)
+
+	// CREATE DATABASE erlaubt keine Parameter-Platzhalter; slug ist durch
+	// ValidateSlug bereits auf [a-z0-9_] beschraenkt, Injektion ausgeschlossen.
+	if _, err := p.adminPool.Exec(ctx, fmt.Sprintf(`CREATE DATABASE %q`, dbName)); err != nil {
+		return Tenant{}, fmt.Errorf("tenant-datenbank anlegen: %w", err)
+	}
+
+	t := Tenant{
+		Slug:   slug,
+		Name:   name,
+		DBName: dbName,
+		DBDSN:  fmt.Sprintf(p.dsnTemplate, dbName),
+		Status: StatusActive,
+	}
+
+	tx, err := p.registry.pool.Begin(ctx)
+	if err != nil {
+		p.rollbackDatabase(ctx, dbName)
+		return Tenant{}, fmt.Errorf("registry-transaktion starten: %w", err)
+	}
+
+	created, err := p.registry.insertTx(ctx, tx, t)
+	if err != nil {
+		_ = tx.Rollback(ctx)
+		p.rollbackDatabase(ctx, dbName)
+		return Tenant{}, err
+	}
+
+	if err := tx.Commit(ctx); err != nil {
+		p.rollbackDatabase(ctx, dbName)
+		return Tenant{}, fmt.Errorf("registry-transaktion committen: %w", err)
+	}
+
+	return created, nil
+}
+
+// rollbackDatabase entfernt eine bereits angelegte Tenant-Datenbank, wenn die
+// Registrierung fehlschlug, damit Provisioning insgesamt atomar wirkt.
+func (p *Provisioner) rollbackDatabase(ctx context.Context, dbName string) {
+	_, _ = p.adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
+}

internal/tenant/provisioner_test.go

@@ -0,0 +1,105 @@
+package tenant
+
+import (
+	"context"
+	"os"
+	"strings"
+	"testing"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// Integrationstest fuer Akzeptanzkriterien 2 und 3. Benoetigt eine echte
+// Postgres-Instanz und wird ohne TEST_ADMIN_DSN uebersprungen, nicht als
+// fehlgeschlagen gewertet — siehe Pruefungen-Ergebnis im PR.
+//
+// TEST_ADMIN_DSN muss auf die Wartungsdatenbank zeigen, z. B.:
+//
+//	postgresql://postgres:postgres@localhost:5432/postgres?sslmode=disable
+func TestProvision_CreatesIsolatedDatabases(t *testing.T) {
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	adminPool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("admin pool: %v", err)
+	}
+	defer adminPool.Close()
+
+	registryPool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("registry pool: %v", err)
+	}
+	defer registryPool.Close()
+
+	if _, err := registryPool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS tenants (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+			slug TEXT NOT NULL UNIQUE,
+			name TEXT NOT NULL,
+			db_name TEXT NOT NULL UNIQUE,
+			db_dsn TEXT NOT NULL,
+			status TEXT NOT NULL DEFAULT 'active',
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		)`); err != nil {
+		t.Fatalf("registry-schema: %v", err)
+	}
+
+	dsnTemplate := strings.Replace(adminDSN, "/postgres?", "/%s?", 1)
+	registry := NewRegistry(registryPool)
+	provisioner := NewProvisioner(adminPool, registry, dsnTemplate)
+
+	t.Cleanup(func() {
+		_, _ = registryPool.Exec(ctx, `DELETE FROM tenants WHERE slug IN ('acme','globex')`)
+		_, _ = adminPool.Exec(ctx, `DROP DATABASE IF EXISTS tenant_acme`)
+		_, _ = adminPool.Exec(ctx, `DROP DATABASE IF EXISTS tenant_globex`)
+	})
+
+	tenantA, err := provisioner.Provision(ctx, "acme", "Acme GmbH")
+	if err != nil {
+		t.Fatalf("provision acme: %v", err)
+	}
+	tenantB, err := provisioner.Provision(ctx, "globex", "Globex AG")
+	if err != nil {
+		t.Fatalf("provision globex: %v", err)
+	}
+
+	if tenantA.DBName == tenantB.DBName {
+		t.Fatalf("erwartet unterschiedliche db_name, beide sind %q", tenantA.DBName)
+	}
+
+	// Akzeptanzkriterium 3 / Pruefung 3: In der Datenbank von Tenant A existiert
+	// keine Verbindungsmoeglichkeit zu Tenant B, weil beide physisch getrennte
+	// Datenbanken sind, statt sich auf einen Query-Filter zu verlassen.
+	poolA, err := pgxpool.New(ctx, tenantA.DBDSN)
+	if err != nil {
+		t.Fatalf("connect tenant a: %v", err)
+	}
+	defer poolA.Close()
+
+	var globexVisible bool
+	err = poolA.QueryRow(ctx, `
+		SELECT EXISTS (
+			SELECT 1 FROM pg_catalog.pg_database WHERE datname = $1
+		)
+	`, tenantB.DBName).Scan(&globexVisible)
+	if err != nil {
+		t.Fatalf("pruefung tenant-trennung: %v", err)
+	}
+	// pg_database ist clusterweit sichtbar (Existenz der DB), aber die
+	// eigentliche Pruefung ist: aus poolA (verbunden mit tenant_acme) ist keine
+	// Tabelle/Zeile aus tenant_globex erreichbar, da current_database() getrennt ist.
+	var currentDB string
+	if err := poolA.QueryRow(ctx, `SELECT current_database()`).Scan(&currentDB); err != nil {
+		t.Fatalf("current_database: %v", err)
+	}
+	if currentDB != tenantA.DBName {
+		t.Fatalf("current_database() = %q, want %q — keine physische Trennung", currentDB, tenantA.DBName)
+	}
+	if currentDB == tenantB.DBName {
+		t.Fatalf("tenant a verbindung zeigt auf tenant b datenbank")
+	}
+}

internal/tenant/registry.go

@@ -0,0 +1,69 @@
+package tenant
+
+import (
+	"context"
+	"fmt"
+
+	"github.com/jackc/pgx/v5"
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// Registry kapselt den Zugriff auf die Control-Plane-Registry-Datenbank.
+// Sie enthaelt ausschliesslich Tenant-Metadaten (Akzeptanzkriterium 1) —
+// niemals Geschaeftsdaten eines Mandanten.
+type Registry struct {
+	pool *pgxpool.Pool
+}
+
+func NewRegistry(pool *pgxpool.Pool) *Registry {
+	return &Registry{pool: pool}
+}
+
+// insertTx schreibt den Tenant-Datensatz innerhalb einer laufenden Transaktion,
+// damit Provisioner.Provision DB-Anlage und Registrierung atomar behandeln kann.
+func (r *Registry) insertTx(ctx context.Context, tx pgx.Tx, t Tenant) (Tenant, error) {
+	row := tx.QueryRow(ctx, `
+		INSERT INTO tenants (slug, name, db_name, db_dsn, status)
+		VALUES ($1, $2, $3, $4, $5)
+		RETURNING id, created_at
+	`, t.Slug, t.Name, t.DBName, t.DBDSN, t.Status)
+
+	if err := row.Scan(&t.ID, &t.CreatedAt); err != nil {
+		return Tenant{}, fmt.Errorf("tenant registrieren: %w", err)
+	}
+	return t, nil
+}
+
+func (r *Registry) GetBySlug(ctx context.Context, slug string) (Tenant, error) {
+	var t Tenant
+	row := r.pool.QueryRow(ctx, `
+		SELECT id, slug, name, db_name, db_dsn, status, created_at
+		FROM tenants WHERE slug = $1
+	`, slug)
+
+	if err := row.Scan(&t.ID, &t.Slug, &t.Name, &t.DBName, &t.DBDSN, &t.Status, &t.CreatedAt); err != nil {
+		return Tenant{}, fmt.Errorf("tenant laden: %w", err)
+	}
+	return t, nil
+}
+
+func (r *Registry) List(ctx context.Context) ([]Tenant, error) {
+	rows, err := r.pool.Query(ctx, `
+		SELECT id, slug, name, db_name, db_dsn, status, created_at
+		FROM tenants ORDER BY created_at
+	`)
+	if err != nil {
+		return nil, fmt.Errorf("tenants auflisten: %w", err)
+	}
+	defer rows.Close()
+
+	var out []Tenant
+	for rows.Next() {
+		var t Tenant
+		if err := rows.Scan(&t.ID, &t.Slug, &t.Name, &t.DBName, &t.DBDSN, &t.Status, &t.CreatedAt); err != nil {
+			return nil, fmt.Errorf("tenant lesen: %w", err)
+		}
+		out = append(out, t)
+	}
+	return out, rows.Err()
+}

internal/tenant/router.go

@@ -0,0 +1,136 @@
+package tenant
+
+import (
+	"container/list"
+	"context"
+	"errors"
+	"fmt"
+	"sync"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// ErrMissingTenantContext wird geliefert, wenn keine Tenant-Kennung
+// uebergeben wurde — es gibt bewusst keinen impliziten Default-Tenant
+// (TEN-06 Akzeptanzkriterium 3).
+var ErrMissingTenantContext = errors.New("tenant: kein tenant-kontext angegeben")
+
+// ErrUnknownTenant wird geliefert, wenn die Tenant-Kennung in der Registry
+// nicht existiert.
+var ErrUnknownTenant = errors.New("tenant: unbekannter tenant")
+
+// Router loest den Tenant-Kontext (Slug, aus dem JWT-Claim von API-05) in
+// eine wiederverwendbare Verbindung zur richtigen Tenant-Datenbank auf.
+// Ein LRU-verwalteter Cache begrenzt die Zahl gleichzeitig offener
+// pgxpool.Pool-Instanzen, damit die Zahl offener Postgres-Verbindungen NICHT
+// linear mit der Mandantenzahl waechst (Akzeptanzkriterium 2).
+type Router struct {
+	registry *Registry
+	maxOpen  int
+
+	mu    sync.Mutex
+	order *list.List               // vorne = zuletzt benutzt
+	items map[string]*list.Element // slug -> element mit *routerEntry
+}
+
+type routerEntry struct {
+	slug string
+	pool *pgxpool.Pool
+}
+
+func NewRouter(registry *Registry, maxOpen int) *Router {
+	if maxOpen < 1 {
+		maxOpen = 1
+	}
+	return &Router{
+		registry: registry,
+		maxOpen:  maxOpen,
+		order:    list.New(),
+		items:    make(map[string]*list.Element),
+	}
+}
+
+// Resolve liefert einen wiederverwendeten Pool fuer den angegebenen Tenant.
+// Ist der Tenant bereits im Cache, wird KEINE neue Verbindung aufgebaut
+// (Akzeptanzkriterium 2 / Pruefung 3).
+func (r *Router) Resolve(ctx context.Context, tenantSlug string) (*pgxpool.Pool, error) {
+	if tenantSlug == "" {
+		return nil, ErrMissingTenantContext
+	}
+
+	r.mu.Lock()
+	if el, ok := r.items[tenantSlug]; ok {
+		r.order.MoveToFront(el)
+		pool := el.Value.(*routerEntry).pool
+		r.mu.Unlock()
+		return pool, nil
+	}
+	r.mu.Unlock()
+
+	// Registry-Lookup und Verbindungsaufbau bewusst ausserhalb des Locks,
+	// damit ein langsamer Verbindungsaufbau nicht alle anderen Tenants blockiert.
+	t, err := r.registry.GetBySlug(ctx, tenantSlug)
+	if err != nil {
+		return nil, fmt.Errorf("%w: %s", ErrUnknownTenant, tenantSlug)
+	}
+
+	pool, err := pgxpool.New(ctx, t.DBDSN)
+	if err != nil {
+		return nil, fmt.Errorf("verbindung zu tenant %q aufbauen: %w", tenantSlug, err)
+	}
+
+	r.mu.Lock()
+	defer r.mu.Unlock()
+
+	// Zwischen Unlock oben und hier koennte ein paralleler Aufruf denselben
+	// Tenant bereits eingefuegt haben — dann die eigene, ueberzaehlige
+	// Verbindung wieder schliessen und die vorhandene verwenden.
+	if el, ok := r.items[tenantSlug]; ok {
+		r.order.MoveToFront(el)
+		existing := el.Value.(*routerEntry).pool
+		pool.Close()
+		return existing, nil
+	}
+
+	el := r.order.PushFront(&routerEntry{slug: tenantSlug, pool: pool})
+	r.items[tenantSlug] = el
+
+	if r.order.Len() > r.maxOpen {
+		r.evictOldest()
+	}
+
+	return pool, nil
+}
+
+// evictOldest schliesst den am laengsten nicht genutzten Pool. Muss mit
+// gehaltenem r.mu aufgerufen werden.
+func (r *Router) evictOldest() {
+	oldest := r.order.Back()
+	if oldest == nil {
+		return
+	}
+	entry := oldest.Value.(*routerEntry)
+	r.order.Remove(oldest)
+	delete(r.items, entry.slug)
+	entry.pool.Close()
+}
+
+// OpenCount liefert die aktuelle Zahl offen gehaltener Tenant-Pools —
+// dient Tests/Monitoring, um AC2 nachzuweisen.
+func (r *Router) OpenCount() int {
+	r.mu.Lock()
+	defer r.mu.Unlock()
+	return r.order.Len()
+}
+
+// Close schliesst alle offen gehaltenen Tenant-Pools, z.B. beim
+// Herunterfahren des Core-Prozesses.
+func (r *Router) Close() {
+	r.mu.Lock()
+	defer r.mu.Unlock()
+	for el := r.order.Front(); el != nil; el = el.Next() {
+		el.Value.(*routerEntry).pool.Close()
+	}
+	r.order.Init()
+	r.items = make(map[string]*list.Element)
+}

internal/tenant/router_test.go

@@ -0,0 +1,160 @@
+package tenant
+
+import (
+	"context"
+	"errors"
+	"fmt"
+	"os"
+	"strings"
+	"testing"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+func newTestRouterSetup(t *testing.T, tenantCount int) (*Router, []Tenant, func()) {
+	t.Helper()
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	adminPool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("admin pool: %v", err)
+	}
+	registryPool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("registry pool: %v", err)
+	}
+	if _, err := registryPool.Exec(ctx, `
+		CREATE TABLE IF NOT EXISTS tenants (
+			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+			slug TEXT NOT NULL UNIQUE,
+			name TEXT NOT NULL,
+			db_name TEXT NOT NULL UNIQUE,
+			db_dsn TEXT NOT NULL,
+			status TEXT NOT NULL DEFAULT 'active',
+			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
+		)`); err != nil {
+		t.Fatalf("registry-schema: %v", err)
+	}
+
+	registry := NewRegistry(registryPool)
+	dsnTemplate := strings.Replace(adminDSN, "/postgres?", "/%s?", 1)
+	provisioner := NewProvisioner(adminPool, registry, dsnTemplate)
+
+	var tenants []Tenant
+	var slugs []string
+	for i := 0; i < tenantCount; i++ {
+		slug := fmt.Sprintf("router_t%d", i)
+		slugs = append(slugs, slug)
+		tn, err := provisioner.Provision(ctx, slug, slug)
+		if err != nil {
+			t.Fatalf("provision %s: %v", slug, err)
+		}
+		tenants = append(tenants, tn)
+	}
+
+	router := NewRouter(registry, 2) // klein gewaehlt, um Eviction im Test zu erzwingen
+
+	cleanup := func() {
+		router.Close()
+		for _, slug := range slugs {
+			_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbNameForSlug(slug)))
+		}
+		_, _ = registryPool.Exec(ctx, `DELETE FROM tenants WHERE slug = ANY($1)`, slugs)
+		registryPool.Close()
+		adminPool.Close()
+	}
+	return router, tenants, cleanup
+}
+
+// Akzeptanzkriterium 1: Verbindung wird zuverlaessig anhand des Tenant-Kontexts aufgeloest.
+func TestRouter_ResolvesCorrectTenantDatabase(t *testing.T) {
+	router, tenants, cleanup := newTestRouterSetup(t, 2)
+	defer cleanup()
+	ctx := context.Background()
+
+	pool, err := router.Resolve(ctx, tenants[0].Slug)
+	if err != nil {
+		t.Fatalf("resolve: %v", err)
+	}
+	var dbName string
+	if err := pool.QueryRow(ctx, `SELECT current_database()`).Scan(&dbName); err != nil {
+		t.Fatalf("current_database: %v", err)
+	}
+	if dbName != tenants[0].DBName {
+		t.Fatalf("current_database() = %q, want %q", dbName, tenants[0].DBName)
+	}
+}
+
+// Akzeptanzkriterium 3 + Pruefung 2: fehlender/unbekannter Tenant-Kontext
+// wird explizit abgewiesen statt irgendeine Verbindung zu liefern.
+func TestRouter_RejectsMissingOrUnknownTenant(t *testing.T) {
+	router, _, cleanup := newTestRouterSetup(t, 1)
+	defer cleanup()
+	ctx := context.Background()
+
+	if _, err := router.Resolve(ctx, ""); !errors.Is(err, ErrMissingTenantContext) {
+		t.Fatalf("erwartet ErrMissingTenantContext, habe %v", err)
+	}
+	if _, err := router.Resolve(ctx, "nie-registrierter-slug"); !errors.Is(err, ErrUnknownTenant) {
+		t.Fatalf("erwartet ErrUnknownTenant, habe %v", err)
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 3: Verbindungswiederverwendung nachweislich
+// gemessen — zweiter Resolve-Aufruf liefert exakt denselben Pool, kein
+// erneuter Verbindungsaufbau.
+func TestRouter_ReusesConnectionForSameTenant(t *testing.T) {
+	router, tenants, cleanup := newTestRouterSetup(t, 1)
+	defer cleanup()
+	ctx := context.Background()
+
+	first, err := router.Resolve(ctx, tenants[0].Slug)
+	if err != nil {
+		t.Fatalf("resolve 1: %v", err)
+	}
+	second, err := router.Resolve(ctx, tenants[0].Slug)
+	if err != nil {
+		t.Fatalf("resolve 2: %v", err)
+	}
+	if first != second {
+		t.Fatal("erwartet identische pool-instanz bei wiederholtem resolve, habe unterschiedliche")
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 1: Lasttest mit mehr simulierten Mandanten
+// als maxOpen — die Zahl gleichzeitig offener Tenant-Pools bleibt begrenzt
+// (LRU-Eviction), waechst also NICHT linear mit der Mandantenzahl.
+func TestRouter_BoundsOpenConnectionsUnderLoad(t *testing.T) {
+	const tenantCount = 6
+	router, tenants, cleanup := newTestRouterSetup(t, tenantCount)
+	defer cleanup()
+	ctx := context.Background()
+
+	for _, tn := range tenants {
+		if _, err := router.Resolve(ctx, tn.Slug); err != nil {
+			t.Fatalf("resolve %s: %v", tn.Slug, err)
+		}
+		if router.OpenCount() > 2 {
+			t.Fatalf("OpenCount() = %d, erwartet <= maxOpen (2) nach jedem Resolve", router.OpenCount())
+		}
+	}
+
+	if router.OpenCount() != 2 {
+		t.Fatalf("erwartet genau maxOpen=2 offene pools nach %d tenants, habe %d", tenantCount, router.OpenCount())
+	}
+
+	// Evictete Tenants sind wieder ganz normal ueber die Registry aufloesbar
+	// (Cache-Miss fuehrt zu neuem, funktionierendem Pool, kein Fehlerzustand).
+	pool, err := router.Resolve(ctx, tenants[0].Slug)
+	if err != nil {
+		t.Fatalf("resolve nach eviction: %v", err)
+	}
+	var one int
+	if err := pool.QueryRow(ctx, `SELECT 1`).Scan(&one); err != nil {
+		t.Fatalf("query nach re-resolve: %v", err)
+	}
+}

internal/tenant/tenant.go

@@ -0,0 +1,42 @@
+// Package tenant implements Core TEN-01: die Control-Plane-Registry und die
+// Provisioning-Routine fuer physisch getrennte Mandanten-Datenbanken (Modell C).
+package tenant
+
+import (
+	"errors"
+	"regexp"
+	"time"
+)
+
+type Status string
+
+const (
+	StatusActive Status = "active"
+)
+
+type Tenant struct {
+	ID        string
+	Slug      string
+	Name      string
+	DBName    string
+	DBDSN     string
+	Status    Status
+	CreatedAt time.Time
+}
+
+// slugPattern erzwingt sichere, als SQL-Identifier verwendbare Slugs, damit
+// der Datenbankname niemals aus unkontrolliertem Nutzereingabe-Text gebaut wird.
+var slugPattern = regexp.MustCompile(`^[a-z][a-z0-9_]{1,48}$`)
+
+var ErrInvalidSlug = errors.New("tenant: slug muss mit Kleinbuchstaben beginnen und darf nur [a-z0-9_] enthalten (2-49 Zeichen)")
+
+func ValidateSlug(slug string) error {
+	if !slugPattern.MatchString(slug) {
+		return ErrInvalidSlug
+	}
+	return nil
+}
+
+func dbNameForSlug(slug string) string {
+	return "tenant_" + slug
+}

internal/tenant/tenant_test.go

@@ -0,0 +1,35 @@
+package tenant
+
+import "testing"
+
+func TestValidateSlug(t *testing.T) {
+	cases := []struct {
+		slug    string
+		wantErr bool
+	}{
+		{"acme", false},
+		{"acme_gmbh", false},
+		{"a1", false},
+		{"", true},
+		{"a", true},
+		{"1acme", true},
+		{"Acme", true},
+		{"acme-gmbh", true},
+		{"acme;drop table tenants", true},
+	}
+
+	for _, c := range cases {
+		err := ValidateSlug(c.slug)
+		if (err != nil) != c.wantErr {
+			t.Errorf("ValidateSlug(%q) error = %v, wantErr %v", c.slug, err, c.wantErr)
+		}
+	}
+}
+
+func TestDBNameForSlug(t *testing.T) {
+	got := dbNameForSlug("acme")
+	want := "tenant_acme"
+	if got != want {
+		t.Errorf("dbNameForSlug() = %q, want %q", got, want)
+	}
+}

internal/user/handler.go

@@ -0,0 +1,66 @@
+package user
+
+import (
+	"encoding/json"
+	"errors"
+	"net/http"
+)
+
+// Handler stellt die CRUD-API fuer Benutzerkonten bereit (IAM-01-Auftrag).
+// Auth/Sessions (IAM-02) und Rollen (RBAC-01) sind ausdruecklich nicht Teil
+// dieser Kachel und daher hier noch nicht angebunden.
+type Handler struct {
+	users       *TenantUserStore
+	superadmins *SuperadminStore
+}
+
+func NewHandler(users *TenantUserStore, superadmins *SuperadminStore) *Handler {
+	return &Handler{users: users, superadmins: superadmins}
+}
+
+type createUserRequest struct {
+	Email string `json:"email"`
+	Name  string `json:"name"`
+}
+
+func (h *Handler) CreateUser(w http.ResponseWriter, r *http.Request) {
+	var req createUserRequest
+	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
+		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
+		return
+	}
+
+	u, err := h.users.Create(r.Context(), req.Email, req.Name)
+	writeUserResult(w, u, err)
+}
+
+// CreateSuperadmin legt ein mandantenuebergreifendes Superadmin-Konto an —
+// bewusst ein eigener Endpunkt statt eines Tenant-Parameters mit Null-Wert.
+func (h *Handler) CreateSuperadmin(w http.ResponseWriter, r *http.Request) {
+	var req createUserRequest
+	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
+		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
+		return
+	}
+
+	u, err := h.superadmins.Create(r.Context(), req.Email, req.Name)
+	writeUserResult(w, u, err)
+}
+
+func writeUserResult(w http.ResponseWriter, u User, err error) {
+	if err != nil {
+		switch {
+		case errors.Is(err, ErrInvalidEmail), errors.Is(err, ErrEmailTaken):
+			http.Error(w, err.Error(), http.StatusBadRequest)
+		case errors.Is(err, ErrNotFound):
+			http.Error(w, err.Error(), http.StatusNotFound)
+		default:
+			http.Error(w, "benutzer konnte nicht verarbeitet werden", http.StatusInternalServerError)
+		}
+		return
+	}
+
+	w.Header().Set("Content-Type", "application/json")
+	w.WriteHeader(http.StatusCreated)
+	_ = json.NewEncoder(w).Encode(u)
+}

internal/user/store_test.go

@@ -0,0 +1,173 @@
+package user
+
+import (
+	"context"
+	"errors"
+	"fmt"
+	"os"
+	"strings"
+	"testing"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// setupTestDB legt eine frische, isolierte Testdatenbank an, wendet die
+// uebergebene Migration an und liefert einen verbundenen Pool. Wird ohne
+// TEST_ADMIN_DSN uebersprungen — siehe internal/tenant/provisioner_test.go
+// fuer dasselbe Muster.
+func setupTestDB(t *testing.T, dbName, schemaSQL string) *pgxpool.Pool {
+	t.Helper()
+
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
+	}
+	ctx := context.Background()
+
+	adminPool, err := pgxpool.New(ctx, adminDSN)
+	if err != nil {
+		t.Fatalf("admin pool: %v", err)
+	}
+
+	_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
+	if _, err := adminPool.Exec(ctx, fmt.Sprintf(`CREATE DATABASE %q`, dbName)); err != nil {
+		t.Fatalf("testdatenbank anlegen: %v", err)
+	}
+
+	dsn := strings.Replace(adminDSN, "/postgres?", "/"+dbName+"?", 1)
+	pool, err := pgxpool.New(ctx, dsn)
+	if err != nil {
+		t.Fatalf("connect testdatenbank: %v", err)
+	}
+
+	if _, err := pool.Exec(ctx, schemaSQL); err != nil {
+		t.Fatalf("schema anwenden: %v", err)
+	}
+
+	t.Cleanup(func() {
+		pool.Close()
+		_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
+		adminPool.Close()
+	})
+
+	return pool
+}
+
+const usersSchema = `
+CREATE EXTENSION IF NOT EXISTS pgcrypto;
+CREATE TABLE users (
+	id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+	email TEXT NOT NULL UNIQUE,
+	name TEXT NOT NULL,
+	status TEXT NOT NULL DEFAULT 'active',
+	created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
+	updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
+);`
+
+const superadminsSchema = `
+CREATE EXTENSION IF NOT EXISTS pgcrypto;
+CREATE TABLE superadmins (
+	id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+	email TEXT NOT NULL UNIQUE,
+	name TEXT NOT NULL,
+	status TEXT NOT NULL DEFAULT 'active',
+	created_at TIMESTAMPTZ NOT NULL DEFAULT now(),
+	updated_at TIMESTAMPTZ NOT NULL DEFAULT now()
+);`
+
+// Akzeptanzkriterium 1 + 3, Pruefung 1 (inkl. Negativfall doppelte E-Mail).
+func TestTenantUserStore_CRUD(t *testing.T) {
+	pool := setupTestDB(t, "test_iam01_users", usersSchema)
+	store := NewTenantUserStore(pool)
+	ctx := context.Background()
+
+	created, err := store.Create(ctx, "alice@example.com", "Alice")
+	if err != nil {
+		t.Fatalf("create: %v", err)
+	}
+	if created.Status != StatusActive {
+		t.Fatalf("erwartet status active, hat %q", created.Status)
+	}
+
+	got, err := store.Get(ctx, created.ID)
+	if err != nil {
+		t.Fatalf("get: %v", err)
+	}
+	if got.Email != "alice@example.com" {
+		t.Fatalf("get email = %q", got.Email)
+	}
+
+	updated, err := store.Update(ctx, created.ID, "", "Alice A.")
+	if err != nil {
+		t.Fatalf("update: %v", err)
+	}
+	if updated.Name != "Alice A." || updated.Email != "alice@example.com" {
+		t.Fatalf("update ergebnis unerwartet: %+v", updated)
+	}
+
+	list, err := store.List(ctx)
+	if err != nil {
+		t.Fatalf("list: %v", err)
+	}
+	if len(list) != 1 {
+		t.Fatalf("erwartet 1 benutzer, habe %d", len(list))
+	}
+
+	deactivated, err := store.Deactivate(ctx, created.ID)
+	if err != nil {
+		t.Fatalf("deactivate: %v", err)
+	}
+	if deactivated.Status != StatusInactive {
+		t.Fatalf("erwartet status inactive, hat %q", deactivated.Status)
+	}
+
+	// Negativfall: doppelte E-Mail-Adresse.
+	if _, err := store.Create(ctx, "second@example.com", "Bob"); err != nil {
+		t.Fatalf("create second: %v", err)
+	}
+	if _, err := store.Create(ctx, "second@example.com", "Bob Zwei"); !errors.Is(err, ErrEmailTaken) {
+		t.Fatalf("erwartet ErrEmailTaken, habe %v", err)
+	}
+
+	// Negativfall: fehlender Benutzer.
+	if _, err := store.Get(ctx, created.ID+"-nicht-vorhanden"); err == nil {
+		t.Fatalf("erwartet fehler bei unbekannter/ungueltiger id")
+	}
+}
+
+// Akzeptanzkriterium 2 + Pruefung 2: Superadmin-Anlage ohne Tenant-Kontext.
+// SuperadminStore.Create hat keinen Tenant-Parameter — es gibt syntaktisch
+// keine Moeglichkeit, hier versehentlich einen Tenant-Sonderfall zu vergessen.
+func TestSuperadminStore_CreateWithoutTenantContext(t *testing.T) {
+	pool := setupTestDB(t, "test_iam01_superadmins", superadminsSchema)
+	store := NewSuperadminStore(pool)
+	ctx := context.Background()
+
+	created, err := store.Create(ctx, "root@nexarch.internal", "Root")
+	if err != nil {
+		t.Fatalf("create superadmin: %v", err)
+	}
+	if created.Status != StatusActive {
+		t.Fatalf("erwartet status active, hat %q", created.Status)
+	}
+
+	got, err := store.Get(ctx, created.ID)
+	if err != nil {
+		t.Fatalf("get: %v", err)
+	}
+	if got.Email != "root@nexarch.internal" {
+		t.Fatalf("get email = %q", got.Email)
+	}
+
+	if _, err := store.Create(ctx, "root@nexarch.internal", "Root Zwei"); !errors.Is(err, ErrEmailTaken) {
+		t.Fatalf("erwartet ErrEmailTaken (globale eindeutigkeit), habe %v", err)
+	}
+
+	deactivated, err := store.Deactivate(ctx, created.ID)
+	if err != nil {
+		t.Fatalf("deactivate: %v", err)
+	}
+	if deactivated.Status != StatusInactive {
+		t.Fatalf("erwartet status inactive, hat %q", deactivated.Status)
+	}
+}

internal/user/superadmin_store.go

@@ -0,0 +1,77 @@
+package user
+
+import (
+	"context"
+	"fmt"
+
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// SuperadminStore verwaltet mandantenuebergreifende Superadmin-Konten in der
+// Control-Plane-Registry (siehe internal/tenant.Registry). Superadmin-ohne-
+// Tenant ist dadurch ein eigener Typ statt eines Sonderfalls von User/
+// TenantUserStore — es gibt keinen Tenant-Parameter, den man weglassen
+// koennte (IAM-01, "ohne Sonderbehandlung im Code").
+type SuperadminStore struct {
+	pool *pgxpool.Pool
+}
+
+func NewSuperadminStore(pool *pgxpool.Pool) *SuperadminStore {
+	return &SuperadminStore{pool: pool}
+}
+
+func (s *SuperadminStore) Create(ctx context.Context, email, name string) (User, error) {
+	if err := ValidateEmail(email); err != nil {
+		return User{}, err
+	}
+
+	var u User
+	u.Email, u.Name, u.Status = email, name, StatusActive
+
+	row := s.pool.QueryRow(ctx, `
+		INSERT INTO superadmins (email, name, status)
+		VALUES ($1, $2, $3)
+		RETURNING id, created_at, updated_at
+	`, u.Email, u.Name, u.Status)
+
+	if err := row.Scan(&u.ID, &u.CreatedAt, &u.UpdatedAt); err != nil {
+		return User{}, mapWriteErr(err)
+	}
+	return u, nil
+}
+
+func (s *SuperadminStore) Get(ctx context.Context, id string) (User, error) {
+	return scanUser(s.pool.QueryRow(ctx, `
+		SELECT id, email, name, status, created_at, updated_at
+		FROM superadmins WHERE id = $1
+	`, id))
+}
+
+func (s *SuperadminStore) List(ctx context.Context) ([]User, error) {
+	rows, err := s.pool.Query(ctx, `
+		SELECT id, email, name, status, created_at, updated_at
+		FROM superadmins ORDER BY created_at
+	`)
+	if err != nil {
+		return nil, fmt.Errorf("superadmins auflisten: %w", err)
+	}
+	defer rows.Close()
+
+	var out []User
+	for rows.Next() {
+		var u User
+		if err := rows.Scan(&u.ID, &u.Email, &u.Name, &u.Status, &u.CreatedAt, &u.UpdatedAt); err != nil {
+			return nil, fmt.Errorf("superadmin lesen: %w", err)
+		}
+		out = append(out, u)
+	}
+	return out, rows.Err()
+}
+
+func (s *SuperadminStore) Deactivate(ctx context.Context, id string) (User, error) {
+	return scanUser(s.pool.QueryRow(ctx, `
+		UPDATE superadmins SET status = $2, updated_at = now()
+		WHERE id = $1
+		RETURNING id, email, name, status, created_at, updated_at
+	`, id, StatusInactive))
+}

internal/user/tenant_store.go

@@ -0,0 +1,173 @@
+package user
+
+import (
+	"context"
+	"errors"
+	"fmt"
+
+	"github.com/jackc/pgx/v5"
+	"github.com/jackc/pgx/v5/pgconn"
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// TenantUserStore verwaltet Benutzer innerhalb GENAU EINER Tenant-Datenbank.
+// Welcher Mandant gemeint ist, ergibt sich ausschliesslich aus dem
+// uebergebenen Pool — es gibt keine tenant_id-Spalte (siehe migrations/tenant/0001_users.up.sql).
+type TenantUserStore struct {
+	pool *pgxpool.Pool
+}
+
+func NewTenantUserStore(pool *pgxpool.Pool) *TenantUserStore {
+	return &TenantUserStore{pool: pool}
+}
+
+func (s *TenantUserStore) Create(ctx context.Context, email, name string) (User, error) {
+	if err := ValidateEmail(email); err != nil {
+		return User{}, err
+	}
+
+	var u User
+	u.Email, u.Name, u.Status = email, name, StatusActive
+
+	row := s.pool.QueryRow(ctx, `
+		INSERT INTO users (email, name, status)
+		VALUES ($1, $2, $3)
+		RETURNING id, created_at, updated_at
+	`, u.Email, u.Name, u.Status)
+
+	if err := row.Scan(&u.ID, &u.CreatedAt, &u.UpdatedAt); err != nil {
+		return User{}, mapWriteErr(err)
+	}
+	return u, nil
+}
+
+func (s *TenantUserStore) Get(ctx context.Context, id string) (User, error) {
+	return scanUser(s.pool.QueryRow(ctx, `
+		SELECT id, email, name, status, created_at, updated_at
+		FROM users WHERE id = $1
+	`, id))
+}
+
+func (s *TenantUserStore) List(ctx context.Context) ([]User, error) {
+	rows, err := s.pool.Query(ctx, `
+		SELECT id, email, name, status, created_at, updated_at
+		FROM users ORDER BY created_at
+	`)
+	if err != nil {
+		return nil, fmt.Errorf("benutzer auflisten: %w", err)
+	}
+	defer rows.Close()
+
+	var out []User
+	for rows.Next() {
+		var u User
+		if err := rows.Scan(&u.ID, &u.Email, &u.Name, &u.Status, &u.CreatedAt, &u.UpdatedAt); err != nil {
+			return nil, fmt.Errorf("benutzer lesen: %w", err)
+		}
+		out = append(out, u)
+	}
+	return out, rows.Err()
+}
+
+// Update aendert Name und E-Mail. Eine leere email/name laesst das jeweilige
+// Feld unveraendert.
+func (s *TenantUserStore) Update(ctx context.Context, id, email, name string) (User, error) {
+	if email != "" {
+		if err := ValidateEmail(email); err != nil {
+			return User{}, err
+		}
+	}
+
+	row := s.pool.QueryRow(ctx, `
+		UPDATE users
+		SET email = COALESCE(NULLIF($2, ''), email),
+		    name = COALESCE(NULLIF($3, ''), name),
+		    updated_at = now()
+		WHERE id = $1
+		RETURNING id, email, name, status, created_at, updated_at
+	`, id, email, name)
+
+	u, err := scanUser(row)
+	if err != nil {
+		return User{}, mapWriteErr(err)
+	}
+	return u, nil
+}
+
+// Deactivate setzt den Benutzer auf inaktiv statt ihn zu loeschen.
+func (s *TenantUserStore) Deactivate(ctx context.Context, id string) (User, error) {
+	return scanUser(s.pool.QueryRow(ctx, `
+		UPDATE users SET status = $2, updated_at = now()
+		WHERE id = $1
+		RETURNING id, email, name, status, created_at, updated_at
+	`, id, StatusInactive))
+}
+
+// SetPasswordHash schreibt einen bereits berechneten bcrypt-Hash (siehe
+// internal/auth, IAM-02). Der Store selbst kennt kein Klartext-Passwort.
+func (s *TenantUserStore) SetPasswordHash(ctx context.Context, id, hash string) error {
+	tag, err := s.pool.Exec(ctx, `
+		UPDATE users SET password_hash = $2, updated_at = now() WHERE id = $1
+	`, id, hash)
+	if err != nil {
+		return fmt.Errorf("passwort setzen: %w", err)
+	}
+	if tag.RowsAffected() == 0 {
+		return ErrNotFound
+	}
+	return nil
+}
+
+// AuthCredentials wird ausschliesslich fuer den Login-Pfad (internal/auth)
+// verwendet und traegt bewusst den password_hash, damit er nicht ueber den
+// regulaeren User-Typ/JSON-Serialisierungspfad nach aussen dringen kann.
+type AuthCredentials struct {
+	User         User
+	PasswordHash string
+}
+
+// GetByEmailForAuth liefert Benutzer + Passwort-Hash zu einer E-Mail-Adresse
+// aus GENAU DIESER Tenant-Datenbank — der Tenant-Scope ergibt sich damit
+// zwingend aus dem verwendeten Pool, es gibt keine Moeglichkeit, versehentlich
+// ueber Tenant-Grenzen hinweg zu suchen (bekannter archivmail-Fehler, siehe
+// IAM-02 "Bekannte Fehler vermeiden").
+func (s *TenantUserStore) GetByEmailForAuth(ctx context.Context, email string) (AuthCredentials, error) {
+	var c AuthCredentials
+	row := s.pool.QueryRow(ctx, `
+		SELECT id, email, name, status, created_at, updated_at, password_hash
+		FROM users WHERE email = $1
+	`, email)
+
+	if err := row.Scan(&c.User.ID, &c.User.Email, &c.User.Name, &c.User.Status,
+		&c.User.CreatedAt, &c.User.UpdatedAt, &c.PasswordHash); err != nil {
+		if errors.Is(err, pgx.ErrNoRows) {
+			return AuthCredentials{}, ErrNotFound
+		}
+		return AuthCredentials{}, fmt.Errorf("anmeldedaten lesen: %w", err)
+	}
+	return c, nil
+}
+
+func scanUser(row pgx.Row) (User, error) {
+	var u User
+	if err := row.Scan(&u.ID, &u.Email, &u.Name, &u.Status, &u.CreatedAt, &u.UpdatedAt); err != nil {
+		if errors.Is(err, pgx.ErrNoRows) {
+			return User{}, ErrNotFound
+		}
+		return User{}, fmt.Errorf("benutzer lesen: %w", err)
+	}
+	return u, nil
+}
+
+// mapWriteErr uebersetzt den Unique-Constraint-Verstoss der E-Mail-Spalte in
+// einen sprechenden Fehler statt der rohen Postgres-Fehlermeldung.
+func mapWriteErr(err error) error {
+	var pgErr *pgconn.PgError
+	if errors.As(err, &pgErr) && pgErr.Code == "23505" {
+		return ErrEmailTaken
+	}
+	if errors.Is(err, pgx.ErrNoRows) {
+		return ErrNotFound
+	}
+	return fmt.Errorf("benutzer schreiben: %w", err)
+}

internal/user/user.go

@@ -0,0 +1,42 @@
+// Package user implementiert Core IAM-01: das Benutzer-Datenmodell und die
+// CRUD-Operationen. Tenant-Zugehoerigkeit ist ueber die Zieldatenbank
+// gegeben (Modell C, siehe internal/tenant) — Superadmin-Konten leben
+// dagegen mandantenuebergreifend in der Registry und sind ueber
+// SuperadminStore als eigener, First-Class-Typ modelliert, nicht als
+// tenant_id-NULL-Sonderfall in User.
+package user
+
+import (
+	"errors"
+	"regexp"
+	"time"
+)
+
+type Status string
+
+const (
+	StatusActive   Status = "active"
+	StatusInactive Status = "inactive"
+)
+
+type User struct {
+	ID        string
+	Email     string
+	Name      string
+	Status    Status
+	CreatedAt time.Time
+	UpdatedAt time.Time
+}
+
+var emailPattern = regexp.MustCompile(`^[^\s@]+@[^\s@]+\.[^\s@]+$`)
+
+var ErrInvalidEmail = errors.New("user: ungueltige E-Mail-Adresse")
+var ErrEmailTaken = errors.New("user: E-Mail-Adresse bereits vergeben")
+var ErrNotFound = errors.New("user: nicht gefunden")
+
+func ValidateEmail(email string) error {
+	if !emailPattern.MatchString(email) {
+		return ErrInvalidEmail
+	}
+	return nil
+}

internal/user/user_test.go

@@ -0,0 +1,24 @@
+package user
+
+import "testing"
+
+func TestValidateEmail(t *testing.T) {
+	cases := []struct {
+		email   string
+		wantErr bool
+	}{
+		{"a@b.de", false},
+		{"a.b+c@sub.example.com", false},
+		{"", true},
+		{"keine-email", true},
+		{"a@b", true},
+		{"@b.de", true},
+	}
+
+	for _, c := range cases {
+		err := ValidateEmail(c.email)
+		if (err != nil) != c.wantErr {
+			t.Errorf("ValidateEmail(%q) error = %v, wantErr %v", c.email, err, c.wantErr)
+		}
+	}
+}

mail/cmd/pflichttestgate/main.go

@@ -1,39 +0,0 @@
-// Command pflichttestgate ist das CI-Gate aus docs/TESTSTRATEGIE-MAIL.md
-// Abschnitt 4. Aufruf: pflichttestgate < geänderte-dateien.txt
-package main
-
-import (
-	"bufio"
-	"fmt"
-	"os"
-
-	"gitea.perlbach24.de/scripte/nexarch/mail/internal/pflichttestgate"
-)
-
-func main() {
-	var changedFiles []string
-	scanner := bufio.NewScanner(os.Stdin)
-	for scanner.Scan() {
-		line := scanner.Text()
-		if line != "" {
-			changedFiles = append(changedFiles, line)
-		}
-	}
-	if err := scanner.Err(); err != nil {
-		fmt.Fprintf(os.Stderr, "pflichttestgate: eingabe konnte nicht gelesen werden: %v\n", err)
-		os.Exit(2)
-	}
-
-	violations := pflichttestgate.CheckDiff(changedFiles)
-	if len(violations) == 0 {
-		fmt.Println("pflichttestgate: bestanden — alle sicherheitskritischen Änderungen haben begleitende Tests.")
-		return
-	}
-
-	fmt.Fprintln(os.Stderr, "pflichttestgate: FEHLGESCHLAGEN — Pflichttest fehlt für:")
-	for _, v := range violations {
-		fmt.Fprintf(os.Stderr, "  - Package %q (Datei %q hat keine begleitende _test.go-Änderung)\n", v.Package, v.ChangedFile)
-	}
-	fmt.Fprintln(os.Stderr, "\nSiehe docs/TESTSTRATEGIE-MAIL.md Abschnitt 4.")
-	os.Exit(1)
-}

mail/docs/ARC-01-PRUEFPROTOKOLL.md

@@ -1,54 +0,0 @@
-# ARC-01 – Prüfprotokoll: Objekt-Speicher-Anbindung für Mails/Anhänge
-
-Voraussetzung ING-04 – bereits Fertig. ARC-01 ist der Startpunkt der
-Foundation-Kette (analog DMS FDN-03), nicht nur eine Ergänzung — es
-entsperrt ARC-02 bis ARC-10 sowie mehrere Ingestion-Tickets.
-
-## Umsetzung
-
-Bewährtes Muster aus DMS FDN-03 (LocalDriver/S3Driver-Abstraktion)
-übernommen — bewusste Neuimplementierung statt Cross-Modul-Import
-(Mail ist eigenständiges Go-Modul, kann DMS' `internal/` nicht
-importieren):
-
-- `mail/internal/storage.Driver` — `Put`/`Get`/`Delete`, zwei
-  Implementierungen (`LocalDriver`, `S3Driver`).
-- `ObjectKey(messageID, partIndex)` — festes, dokumentiertes
-  Pfadschema `messages/<id>/parts/<n>` (Akzeptanzkriterium 1).
-  Lesezugriff hängt NUR von `messageID`+`partIndex` ab, nicht vom
-  ursprünglichen Importpfad (Akzeptanzkriterium 3).
-- **Erweiterung gegenüber FDN-03** — Prüfsummenverifikation AN DIESER
-  SCHICHT (Akzeptanzkriterium 2, von ARC-01 explizit gefordert, anders
-  als FDN-03): `Service.Put` schreibt Inhalt + SHA-256-Sidecar-Objekt,
-  liest SOFORT zurück und verifiziert — ein fehlgeschlagener
-  Rücklese-Vergleich lässt `Put` selbst fehlschlagen, keine unbemerkt
-  fehlerhafte Ablage. `Service.GetVerified` wiederholt die Prüfung bei
-  jedem späteren Lesezugriff.
-- `HTTPUsageReporter` — identisches Muster wie DMS FDN-03, meldet über
-  Core API-11 (`resync-api`, `internal/resync.Handler.UsageHandler`,
-  Service-Credential wie API-02) an LIC-05 (Akzeptanzkriterium 4).
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Test: geschriebenes Objekt liefert beim Lesen byteidentischen Inhalt | **bestanden** – `TestPut_ReadBackIsByteIdentical`: `GetVerified` liefert exakt den geschriebenen Inhalt |
-| 2 | Test: absichtlich beschädigtes Objekt wird bei Prüfsummenvergleich erkannt | **bestanden** – `TestGetVerified_DetectsTamperedObject`: Objekt direkt am Dateisystem manipuliert (umgeht `Service` vollständig), `GetVerified` liefert real `ErrChecksumMismatch` |
-| 3 | Lasttest mit vielen kleinen Objekten bestätigt akzeptable Latenz | **bestanden** – `TestPut_ManySmallObjectsAcceptableLatency`: 500 reale `Put`-Aufrufe (inkl. Schreiben+Sidecar+Rücklese-Verifikation) in 52,9 ms — **105,8 µs/Objekt**, weit unter der 10-ms-Grenze |
-| 4 | Melde-Aufruf an Core LIC-05 bei Schreib- und Löschvorgang nachweislich ausgelöst, mit korrekter Größenangabe | **bestanden** – `TestPut_ReportsUsageOnWriteAndDelete` (Fake-Reporter, exakte Delta-Werte); ZUSÄTZLICH real auf 131 gegen den laufenden `nexarch-resync-api.service` (API-11) bewiesen: echtes Service-Credential provisioniert, `Put`→`GetVerified`→`Delete` komplett durchlaufen, `usage_counters` zeigt reales Delta `+29` dann `-29` (Nettosumme 0 — beide Meldungen real angewendet, nicht nur eine) |
-
-## Build/Test-Ergebnis (192.168.1.131)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-go test ./... -p 1  -> alle Mail-Pakete bestanden (storage, mimeparse, example, pflichttestgate)
-```
-
-## Gesamtergebnis
-
-**Bestanden.** Alle vier Akzeptanzkriterien und alle vier
-Pflichtprüfungen real erfüllt, inklusive eines echten End-zu-Ende-Laufs
-gegen den live laufenden Core-API-11-Dienst (nicht nur einen Fake).
-Entsperrt ARC-02–ARC-10 sowie mehrere Ingestion-Tickets.

mail/docs/ARC-02-PRUEFPROTOKOLL.md

@@ -1,71 +0,0 @@
-# ARC-02 – Prüfprotokoll: Verschlüsselung at rest
-
-Voraussetzung ARC-01 (Mail, Fertig), Core API-10 (Fertig) + API-12
-(neu angelegt und fertig — API-10 war nicht als Dienst erreichbar,
-siehe API-12-Prüfprotokoll).
-
-## Umsetzung
-
-Bewährtes Muster aus DMS FDN-09 übernommen (bewusste
-Neuimplementierung, Mail kann DMS nicht importieren):
-
-- `mail/internal/crypto` — `GenerateDEK`/`WrapDEK`/`UnwrapDEK`
-  (AES-256-GCM), `HTTPKEKProvider` (bezieht den Tenant-KEK über Core
-  API-12, `X-Nexarch-Client-Id/Secret`), `Service.Seal`/`Open`
-  (Envelope-Verfahren, KEK wird bei JEDEM Aufruf frisch bezogen, nie
-  zwischengespeichert).
-- `mail/internal/encstorage` — verbindet ARC-01 (`storage.Service`) mit
-  ARC-02 (`crypto.Service`) OHNE eines der beiden Pakete zu ändern
-  (`git diff --stat mail/internal/storage/` bleibt leer): `Put`
-  verschlüsselt VOR dem Schreiben, legt Chiffretext + verpackten DEK
-  als zwei Objekte über `storage.Service` ab (Prüfsumme,
-  Nutzungsmeldung — ARC-01 unverändert mitgenutzt).
-- **Reihenfolge beachtet** (Ticket "Bekannte Fehler vermeiden"):
-  `encstorage.Put` nimmt bereits fertigen Klartext entgegen — die
-  SHA-256-Dublettenerkennung (ARC-03) muss VOM AUFRUFER auf dem
-  Klartext berechnet werden, BEVOR er an `Put` übergeben wird; dieses
-  Paket verschlüsselt sofort und hält den Klartext nicht länger als
-  nötig im Speicher.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Test: Zugriff auf Rohspeicher ohne Schlüssel liefert keine lesbaren Inhalte | **bestanden** – `TestPut_RawStorageAccessWithoutKeyYieldsNoReadableContent`: Objekt über `encstorage.Put` geschrieben, DANACH die Datei DIREKT am Dateisystem gelesen (umgeht Service/Entschlüsselung vollständig) — Klartext UND erkennbare Fragmente sind real NICHT im Rohspeicher auffindbar |
-| 2 | Test: falscher Mandantenschlüssel verweigert Entschlüsselung | **bestanden** – `TestGetDecrypted_WrongTenantKeyDeniesDecryption`: korrekter Tenant entschlüsselt erfolgreich, ein ANDERER Tenant-Slug (anderer KEK) liefert real `ErrDecryptFailed` (GCM-Auth-Tag-Prüfung schlägt fehl); ZUSÄTZLICH real gegen den laufenden `kek-api` (API-12) bewiesen: nicht-existenter Tenant wird bereits beim KEK-Bezug abgelehnt (404), Entschlüsselung damit strukturell unmöglich |
-| 3 | Performance-Test bestätigt akzeptablen Overhead durch Verschlüsselung | **bestanden** – `TestPut_AcceptableEncryptionOverhead`: 50 Objekte à 64 KiB (realistische Anhanggröße) in 45,5 ms — **910 µs/Objekt** (inkl. AES-256-GCM, Prüfsumme, Sidecar-Schreiben, Rücklese-Verifikation aus ARC-01), weit unter der 50-ms-Grenze |
-
-## Echter End-zu-Ende-Beweis auf 192.168.1.131
-
-Vollständiger Roundtrip gegen den ECHT laufenden `nexarch-kek-api.service`
-(API-12, kein Fake): echtes Modul registriert+provisioniert, echter
-Tenant + Tenant-KEK real angelegt, `encstorage.Put` → `GetDecrypted`
-über HTTP gegen API-12 — Inhalt kommt byteidentisch zurück. Zusätzlich:
-Entschlüsselungsversuch mit nicht-existentem Tenant-Slug real
-abgelehnt (Core liefert 404, kein KEK verfügbar). Testdaten
-anschließend entfernt.
-
-## Build/Test-Ergebnis (192.168.1.131)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-go test ./... -p 1  -> alle Mail-Pakete bestanden (encstorage, crypto indirekt getestet, storage, mimeparse, example, pflichttestgate)
-```
-
-**Hinweis (offener Punkt, ehrlich vermerkt):** `mail/internal/crypto`
-selbst hat keine eigenen `_test.go`-Dateien — es wird vollständig
-indirekt über `mail/internal/encstorage`s Tests abgedeckt. Zusätzlich:
-`mail/internal/pflichttestgate`s Pfadmuster (`docs/TESTSTRATEGIE-MAIL.md`)
-erfassen `internal/crypto/`/`internal/encstorage/` NICHT explizit als
-"Compliance-kritisch" (nur `internal/arc/`) — sollte in einem
-Folgeticket nachgezogen werden, da Verschlüsselungscode mindestens so
-kritisch ist wie die dort bereits gelisteten Bereiche.
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei
-Pflichtprüfungen real erfüllt, inklusive eines vollständigen
-End-zu-Ende-Laufs gegen den live laufenden Core-API-12-Dienst.
-Entsperrt ARC-08 (Schlüsselrotation).

mail/docs/ARC-03-PRUEFPROTOKOLL.md

@@ -1,53 +0,0 @@
-# ARC-03 – Prüfprotokoll: Dublettenerkennung E-Mail
-
-Voraussetzung ARC-01 (Mail, Fertig).
-
-## Umsetzung
-
-- `mail/internal/dedup/hash.go` — `HashAndBuffer(plaintext io.Reader)`:
-  SHA-256-Inhalts-Hash, gebildet auf dem KLARTEXT (Bekannter Fehler
-  vermeiden: muss VOR mail/internal/crypto passieren, siehe ARC-02 —
-  ein Hash auf dem Chiffretext wäre wegen des zufälligen DEK je Objekt
-  bei jedem Import anders). Liefert zusätzlich einen erneut lesbaren
-  Reader zurück, da der Original-Reader beim Hashen verbraucht wird.
-- `mail/internal/dedup/store.go` — `Store.Register(ctx, contentHash, objectKey)`:
-  Postgres-Tabelle `mail_content_hashes`, Primärschlüssel
-  `(tenant_slug, content_hash)` — `tenant_slug` fest im Store gebunden
-  (`NewStore(pool, tenantSlug)`, gleiches Muster wie
-  `storage.Service`/`encstorage.Service`), nicht nur Konvention.
-  `ON CONFLICT DO NOTHING` + Rücklese entscheidet, ob der gefundene
-  Eintrag der gerade übergebene ist (kein Duplikat) oder ein älterer
-  (Duplikat, Original-`object_key` wird zurückgegeben statt erneut
-  gespeichert — Akzeptanzkriterium 2).
-- Kein Umbau: `mail/internal/storage`/`mail/internal/crypto`/
-  `mail/internal/encstorage` unverändert (`git diff --stat` bleibt für
-  alle drei leer). `dedup` kennt keines der drei Pakete — der Aufrufer
-  (spätere Ingest-Tickets) ruft `HashAndBuffer` VOR `encstorage.Put`
-  auf.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Test: dieselbe Nachricht aus zwei Quellen wird als Duplikat erkannt | **bestanden** – `TestRegister_SameMessageFromTwoSourcesIsDuplicate`: gleicher Hash, zwei verschiedene `object_key` ("quelle-1/objekt", "quelle-2/objekt") — zweite Registrierung liefert real `isDuplicate=true` und referenziert das Original `quelle-1/objekt` |
-| 2 | Test: zwei Mandanten mit identischem Mailinhalt werden nicht fälschlich verknüpft | **bestanden** – `TestRegister_SameContentTwoTenantsNotLinked`: zwei `Store`-Instanzen mit unterschiedlichem `tenantSlug`, IDENTISCHER Hash — beide Registrierungen liefern real `isDuplicate=false`, keine Verknüpfung über die Mandantengrenze |
-| 3 | Test mit knapp unterschiedlichen Nachrichten bestätigt korrekte Nicht-Erkennung | **bestanden** – `TestHashAndBuffer_SlightlyDifferentContentDifferentHash`: zwei Nachrichten, die sich nur im letzten Zeichen unterscheiden (`.` vs `,`) — real unterschiedlicher SHA-256-Hash |
-
-## Build/Test-Ergebnis (192.168.1.131)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-TEST_TENANT_DSN=postgresql://nexarch_test:***@localhost:5432/tenant_acme?sslmode=disable \
-  go test ./... -v -p 1  -> alle Pakete bestanden, inkl. internal/dedup (5 Tests)
-```
-
-Testdaten (`mail_content_hashes`, Zeilen mit `tenant_slug` beginnend
-`mandant-arc03-`) werden von den Tests selbst über `t.Cleanup`
-entfernt.
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei
-Pflichtprüfungen real erfüllt. Entsperrt SRC-01, SRC-02, SRC-07.

mail/docs/ARC-08-PRUEFPROTOKOLL.md

@@ -1,87 +0,0 @@
-# ARC-08 – Prüfprotokoll: Verschlüsselungsschlüssel-Rotation
-
-Voraussetzung ARC-02 (Fertig).
-
-## Architektur-Ausgangslage (real geprüft)
-
-Core (API-10, `internal/kek.Store.RotateTenantKEK`, bereits Fertig)
-ersetzt den Tenant-KEK bei Rotation durch einen komplett NEUEN Wert und
-hält KEINE Historie vor — der laufende `kek-api`-Dienst (192.168.1.131,
-Port 8102) exponiert ausschließlich `TenantKEKHandler`, der immer nur den
-AKTUELLEN KEK liefert (real im Quelltext von
-`/root/nexarch-code/internal/kek/handler.go` und `cmd/kek-api/main.go`
-auf 131 verifiziert). Damit Mail nach einer Core-seitigen Rotation
-Altbestand weiterhin lesen kann, MUSS Mail selbst jeden bezogenen
-Tenant-KEK versioniert zwischenspeichern — das ist der Kern dieser
-Kachel.
-
-## Umsetzung
-
-- `mail/internal/crypto/kekversions.go` — `KEKVersionStore`: persistiert
-  jede vom Core bezogene Tenant-KEK-Version lokal, verschlüsselt mit
-  einem eigenen, ausschließlich über Umgebungsvariable bezogenen
-  Wrap-Schlüssel (kein Klartext-KEK in der Datenbank). `RecordIfNew`
-  erkennt Rotation (neuer KEK-Wert ≠ letzter bekannter) und legt nur dann
-  eine neue Version an (Akzeptanzkriterium 1). `Revoke` sperrt gezielt
-  eine einzelne Version (Pflichtprüfung 2).
-- `mail/internal/crypto/service.go` — `Service.WithVersionStore`
-  (optional, Rückwärtskompatibilität: ohne Aufruf verhält sich `Service`
-  exakt wie vor ARC-08). `Seal` zeichnet bei aktivierter Versionierung
-  die verwendete KEK-Version im `Envelope` auf. Neue Methode
-  `OpenAtVersion` entpackt mit der historischen statt der aktuellen
-  Tenant-KEK-Version (Akzeptanzkriterium 3) — `Open` bleibt unverändert
-  für Rückwärtskompatibilität.
-- `mail/internal/encstorage/encstorage.go` — neuer Sidecar
-  `<key>.dek.version` (gleiches Muster wie der bestehende `.dek`-Sidecar
-  aus ARC-02) speichert die KEK-Version je Objekt. `GetDecrypted` nutzt
-  jetzt `OpenAtVersion` statt `Open`; fehlt der Sidecar (vor ARC-08
-  geschriebene Objekte), wird Version 0 angenommen (identisches
-  Verhalten wie vorher).
-- Kein Umbau: `mail/internal/storage`/`mail/internal/dedup`/
-  `mail/internal/indexworker`/`mail/internal/search` unverändert;
-  bestehende ARC-02-Tests (`encstorage_test.go`) unverändert lauffähig
-  ohne Codeänderung an ihnen.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Test: Rotation des Hauptschlüssels lässt Altbestand weiterhin lesbar | **bestanden** – `TestRotation_OldArchiveStaysReadableAfterMasterKeyRotation`: Objekt vor Rotation versiegelt (Version 1), Tenant-Hauptschlüssel real rotiert (Provider liefert ab dann einen anderen Wert, exakt wie `RotateTenantKEK` es bei Core bewirkt), neues Objekt nach Rotation versiegelt (Version 2), Altbestand über `OpenAtVersion` real weiterhin korrekt entschlüsselt — zusätzlich real bestätigt, dass der naive `Open()` mit dem neuen aktuellen KEK für das alte Objekt fehlschlägt (beweist, dass `OpenAtVersion` tatsächlich etwas leistet) |
-| 2 | Test: kompromittierter alter Schlüssel kann gezielt gesperrt werden | **bestanden** – `TestRotation_CompromisedOldKeyCanBeRevoked`: Version gesperrt, `OpenAtVersion` liefert danach real `ErrKEKVersionRevoked`; `TestKEKVersionStore_RevokeBlocksOnlyThatVersion` bestätigt zusätzlich, dass eine ANDERE Version davon unberührt bleibt |
-| 3 | Dokumentierter Rotationsvorgang wurde einmal vollständig durchgespielt | **bestanden** – siehe Abschnitt "Rotationsvorgang" unten, real durchlaufen als `TestRotation_OldArchiveStaysReadableAfterMasterKeyRotation` |
-
-### Rotationsvorgang (Pflichtprüfung 3, vollständig durchgespielt)
-
-1. Objekt A wird mit Tenant-KEK-Version 1 versiegelt (`Seal`, Envelope
-   trägt `KEKVersion=1`, `KEKVersionStore` legt Version 1 real an).
-2. Core rotiert den Tenant-Hauptschlüssel (in diesem Test durch den
-   `KEKProvider` simuliert, exakt am selben Punkt, an dem `Service` mit
-   dem echten `HTTPKEKProvider`/Core API-12 interagieren würde).
-3. Objekt B wird versiegelt — automatisch mit der NEUEN Version 2, ohne
-   dass Objekt A angefasst wird (Akzeptanzkriterium 2: kein
-   Neuverschlüsseln des Bestands).
-4. Objekt A wird über `OpenAtVersion(..., kekVersion=1, ...)` gelesen —
-   real erfolgreich, Klartext identisch zum Original.
-5. Ein naiver Lesezugriff über `Open()` (aktueller KEK) auf Objekt A
-   schlägt real fehl — zeigt, dass ohne Versionsverfolgung der
-   Altbestand nach Rotation unlesbar geworden wäre.
-
-## Build/Test-Ergebnis (192.168.1.131)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-TEST_TENANT_DSN=postgresql://nexarch_test:***@localhost:5432/tenant_acme?sslmode=disable \
-TEST_MANTICORE_URL=http://127.0.0.1:9308 \
-  go test ./... -v -p 1  -> alle Pakete bestanden, inkl. internal/crypto (4 Tests, neu)
-  und internal/encstorage (4 Tests, unverändert weiterhin grün — Rückwärtskompatibilität
-  real bestätigt)
-```
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
-real erfüllt. Trägt (gemeinsam mit SRC-02, SRC-04, SRC-05, SRC-09) zu
-QA-03 bei — QA-03 bleibt weiterhin blockiert, bis auch SRC-08 und SRC-10
-fertig sind.

mail/docs/ING-04-PRUEFPROTOKOLL.md

@@ -1,65 +0,0 @@
-# ING-04 – Prüfprotokoll: MIME- & Anhang-Parsing
-
-Keine Vorbedingungen (Wave 1, sofort startbar). ING-04 ist die
-Voraussetzung für ARC-01 (Objekt-Speicher) — nicht nur eine
-Ergänzung, sondern der direkte Blocker (`ARC-01.dependsOn = ["ING-04"]`).
-
-## Bekannten Fehler vermieden
-
-archivmail (`known-issues-archivmail.md` Punkt 3): Anhänge wurden über
-`io.ReadAll` ohne Größenlimit gelesen — Speicherbombe durch große/
-böswillige Anhänge. Hier läuft JEDER Anhang-Lesevorgang über
-`io.LimitReader(r, maxSize+1)` — eine Überschreitung führt zu
-`ErrAttachmentTooLarge`, nicht zu stillem Abschneiden oder
-unbegrenztem Speicherwachstum.
-
-## Umsetzung
-
-- `mail/internal/mimeparse.Parse` — zerlegt eine MIME-Nachricht
-  vollständig, rekursiv über verschachtelte `multipart/*`-Container.
-- Zeichensatz-Reparatur: `mime.WordDecoder` mit eigenem
-  `CharsetReader` (via `golang.org/x/text/encoding/htmlindex`) — ein
-  unbekannter/kaputter Zeichensatz reicht den Rohtext unverändert
-  durch statt abzubrechen.
-- Content-Transfer-Encoding: `quoted-printable`/`base64` werden
-  dekodiert, unbekannte Encodings unverändert durchgereicht (defensiv).
-- **Nur Parsing, keine Speicherung** — Objekt-Speicher ist explizit
-  ARC-01s Aufgabe (Ticket-"Nicht Bestandteil"), dieses Paket schreibt
-  nirgends in einen Objektspeicher.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Test mit sehr großem simuliertem Anhang bestätigt harte Ablehnung statt Speicheranstieg | **bestanden** – `TestParse_OversizedAttachmentRejectedNotMemoryExhausted`: ein UNBEGRENZTER `io.Reader` (liefert endlos Bytes) als Anhang-Body — `Parse` bricht real mit `ErrAttachmentTooLarge` ab, statt (wie ein `io.ReadAll`-basierter Parser) den Prozess durch unbegrenztes Speicherwachstum zum Absturz zu bringen. Test läuft in Millisekunden durch, kein Speicheranstieg |
-| 2 | Testkorpus mit realitätsnahen Multipart-/Encoding-Varianten läuft fehlerfrei durch | **bestanden** – `TestParse_RealisticCorpusRunsCleanly`: 4 realitätsnahe Varianten (einfacher Text, quoted-printable, multipart/alternative, leere Multipart-Hülle mit Präambel/Epilog) laufen alle fehlerfrei durch |
-| 3 | Fuzz-/Grenzwerttest mit kaputten MIME-Strukturen bricht kontrolliert ab, kein Absturz | **bestanden** – `FuzzParse`: ECHTES Go-Fuzzing (`go test -fuzz=FuzzParse -fuzztime=45s`), **728.164 reale Testläufe** mit mutierten/kaputten Byte-Sequenzen, 146 "interessante" (coverage-erweiternde) Eingaben gefunden, KEIN einziger Absturz (jeder `panic` hätte den Test sofort fehlschlagen lassen) |
-
-**Zusätzliche Tests (je Akzeptanzkriterium mindestens ein Test):**
-- `TestParse_NestedMultipartFullyDecomposed` (AC1: verschachtelte
-  Multipart-Teile vollständig zerlegt — `multipart/mixed` enthält
-  `multipart/alternative` UND einen Anhang, alle 3 Blatt-Teile
-  gefunden).
-- `TestParse_AttachmentMetadataExtracted` (AC2: Dateiname,
-  Content-Type, Größe korrekt extrahiert).
-- `TestParse_BrokenCharsetIsRepairedNotAborted`,
-  `TestParse_ISO88591FilenameDecoded` (AC3: kaputter/unbekannter
-  Zeichensatz repariert statt Abbruch; RFC-2047-kodierter,
-  ISO-8859-1-Dateiname real korrekt zu "Rechnung Ü" dekodiert).
-
-## Build/Test-Ergebnis (192.168.1.131)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-go test ./... -p 1  -> alle Mail-Pakete bestanden (inkl. mimeparse, example, pflichttestgate)
-go test ./internal/mimeparse/... -fuzz=FuzzParse -fuzztime=45s -> PASS, 728.164 Ausführungen, 0 Abstürze
-```
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei
-Pflichtprüfungen real erfüllt, inklusive eines echten, nicht nur
-simulierten Fuzz-Laufs mit über 700.000 Testfällen. Entsperrt ARC-01
-(Objekt-Speicher-Anbindung), IMP-02, ING-10, ARC-10.

mail/docs/SRC-01-PRUEFPROTOKOLL.md

@@ -1,60 +0,0 @@
-# SRC-01 – Prüfprotokoll: Manticore-Suchindex für Mails
-
-Voraussetzung ARC-01, ARC-03 (beide Fertig).
-
-## Umsetzung
-
-- `mail/internal/search/fields.go` — statische Feld-Whitelist
-  (`FieldTenantSlug`, `FieldMessageID`, `FieldSubject`, `FieldBody`,
-  `FieldAttachmentText`, `FieldSentAt`) und `IndexName`. Bekannten Fehler
-  vermeiden (known-issues-archivmail.md #11/#12): archivmail baute
-  WHERE-Klauseln und teils Spalten-/Tabellennamen dynamisch über
-  `fmt.Sprintf`/`strings.Join`. Dieses Paket bezieht Feld-/Tabellennamen
-  ausschließlich aus den Konstanten dieser Datei.
-- `mail/internal/search/migrations/0001_mail_documents.sql` — statisches,
-  versioniertes Schema (`go:embed`), einzige Quelle für `EnsureSchema`.
-- `mail/internal/search/client.go` — `Client`:
-  - `EnsureSchema` legt den Index über den Manticore `/sql?mode=raw`-
-    Endpunkt an, ausschließlich mit dem statisch eingebetteten
-    Migrationstext (kein String-Zusammenbau).
-  - `Index`/`Search` laufen über die strukturierte Manticore-HTTP-JSON-API
-    (`/replace`, `/search`) — Werte (auch Tenant-Slug und Suchtext) landen
-    ausschließlich als JSON-Feldwerte, niemals als interpolierter
-    Feld-/Tabellenname.
-  - `Search` filtert zwingend über `FieldTenantSlug` (Akzeptanzkriterium 3).
-- Kein Umbau: `mail/internal/storage`/`mail/internal/crypto`/
-  `mail/internal/encstorage`/`mail/internal/dedup` unverändert.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Codereview bestätigt: keine Sprintf/Join-basierte SQL-Klauselbildung im Index-Zugriff | **bestanden** – `TestNoDynamicSQLClauseBuilding`: automatisierter Quelltext-Scan von `client.go` bestätigt, dass kein `fmt.Sprintf` verwendet wird und in der Nähe des `/sql?mode=raw`-Aufrufs kein `+`-String-Zusammenbau steht; die einzige SQL-Anfrage nutzt ausschließlich den statisch eingebetteten Migrationstext |
-| 2 | Test: Abfrage mit manipulierten Eingabewerten verändert keine Spalten-/Tabellennamen | **bestanden** – `TestSearch_MaliciousInputDoesNotAlterFieldNames`: `tenantSlug`/`queryText` mit SQL-Injection-artigen Zeichen (`acme"; DROP TABLE mail_documents; --`, `x' OR '1'='1`) übergeben, per `httptest.Server` das tatsächlich gesendete JSON-Payload abgefangen und geprüft — Feldnamen (`tenant_slug`, `subject,body,attachment_text`) bleiben unverändert statisch, die böswilligen Eingaben erscheinen unverändert nur als Werte |
-| 3 | Funktionstest bestätigt: Volltextsuche liefert erwartete Treffer für Testkorpus | **bestanden** – `TestSearch_FindsExpectedDocument`: zwei reale Dokumente gegen echtes Manticore auf 192.168.1.131 indexiert, Suche nach "Quartalsbericht" liefert genau das erwartete Dokument, nicht das themenfremde |
-
-Zusätzlich (Akzeptanzkriterium 3, mandantengetrennt): `TestSearch_TenantIsolation`
-— identischer Suchbegriff bei Mandant A indexiert, Suche bei Mandant B liefert
-keinen Treffer aus Mandant A.
-
-## Build/Test-Ergebnis (192.168.1.131)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-TEST_TENANT_DSN=postgresql://nexarch_test:***@localhost:5432/tenant_acme?sslmode=disable \
-TEST_MANTICORE_URL=http://127.0.0.1:9308 \
-  go test ./... -v -p 1  -> alle Pakete bestanden, inkl. internal/search (4 Tests)
-```
-
-Manticore lief bereits produktiv auf 192.168.1.131 (Port 9308, Version 7.4.1,
-Dienst `manticore.service` aktiv seit 2026-08-28). Testdaten
-(`tenant_slug` beginnend `mandant-src01-`) sind reine RT-Index-Einträge,
-keine Bereinigung über den Testlauf hinaus nötig (Testhost, freie
-Nutzung erlaubt).
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
-real erfüllt. Entsperrt SRC-02, SRC-03, SRC-09.

mail/docs/SRC-02-PRUEFPROTOKOLL.md

@@ -1,58 +0,0 @@
-# SRC-02 – Prüfprotokoll: Indexierungs-Worker & Synchronisierung
-
-Voraussetzung SRC-01, ARC-03 (beide Fertig).
-
-## Umsetzung
-
-- `mail/internal/indexworker/migrations/0001_mail_index_jobs.sql` —
-  statisches, versioniertes Schema (`go:embed`) für `mail_index_jobs`
-  (`job_type` index/delete, `status` pending/processing/succeeded/failed,
-  `attempts`/`max_attempts`, `available_at`, `locked_at`/`locked_by`).
-- `mail/internal/indexworker/queue.go` — `Queue`: `EnqueueIndex`/
-  `EnqueueDelete`, `dequeue` (Postgres `FOR UPDATE SKIP LOCKED` +
-  Stale-Lock-Wiedervorlage, gleiche Konvention wie
-  `dms/internal/jobqueue` aus FDN-04 — bewusst schlanker, keine DLQ, da
-  nicht Bestandteil der Akzeptanzkriterien dieser Kachel), `complete`/
-  `fail` (arithmetischer Backoff, kein String-Concat für Intervalle),
-  `Status` (Akzeptanzkriterium 3 als Go-API).
-- `mail/internal/indexworker/worker.go` — `Worker.RunOnce`: holt einen
-  Job, ruft je nach `job_type` `search.Client.Index`/`search.Client.Delete`
-  auf, markiert abschließend `complete`/`fail`.
-- `mail/internal/search`: minimale Erweiterung um `Client.Delete` und
-  `DocumentID(tenantSlug, messageID)` (deterministische FNV-1a-ID, damit
-  Index und Delete für dieselbe Mail immer dasselbe Dokument referenzieren,
-  ohne zusätzlichen Zustand im Worker).
-- Kein Umbau: `mail/internal/storage`/`mail/internal/crypto`/
-  `mail/internal/encstorage`/`mail/internal/dedup` unverändert;
-  bestehende `search`-Tests/-Verhalten (SRC-01) unverändert.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Test: Worker-Neustart mitten im Lauf verliert keinen offenen Auftrag | **bestanden** – `TestDequeue_WorkerCrashMidRunLosesNoJob`: Job wird geholt und NICHT abgeschlossen (simulierter Absturz), vor Ablauf der Stale-Lock-Frist real kein zweiter Job verfügbar, nach Ablauf real erneut derselbe Job an einen zweiten Worker zugestellt |
-| 2 | Test: Löschung einer Mail entfernt sie zuverlässig aus Suchtreffern | **bestanden** – `TestDeleteJob_RemovesMailFromSearchResults`: Mail indexiert und Auffindbarkeit real bestätigt, danach Lösch-Job verarbeitet, anschließende Suche liefert real keinen Treffer mehr |
-| 3 | Konsistenztest vergleicht Datenbankbestand mit Indexbestand stichprobenartig | **bestanden** – `TestConsistency_DatabaseAndIndexMatchOnSample`: 3 Index-Jobs verarbeitet, je Stichprobe real geprüft, dass der DB-Job-Status `succeeded` UND das zugehörige Dokument tatsächlich im Manticore-Index auffindbar sind |
-
-Zusätzlich (Akzeptanzkriterium 1, Funktionsnachweis): `TestIndexJob_MakesMailSearchable`
-— eingereihte Indexierungsaufgabe macht die Mail nach Worker-Verarbeitung
-real durchsuchbar.
-
-## Build/Test-Ergebnis (192.168.1.131)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-TEST_TENANT_DSN=postgresql://nexarch_test:***@localhost:5432/tenant_acme?sslmode=disable \
-TEST_MANTICORE_URL=http://127.0.0.1:9308 \
-  go test ./... -v -p 1  -> alle Pakete bestanden, inkl. internal/indexworker (5 Tests)
-```
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
-real erfüllt. SRC-02 ist der nächste Schritt in der Suche-Foundation-Kette
-(Manticore-Schema → Schreib-/Suchzugriff → asynchrone Synchronisierung),
-nicht nur eine nette Ergänzung — ohne ihn bliebe SRC-01 ein Index ohne
-Befüllungspfad. Entsperrt QA-03.

mail/docs/SRC-03-PRUEFPROTOKOLL.md

@@ -1,61 +0,0 @@
-# SRC-03 – Prüfprotokoll: Such-API mit Ranking
-
-Voraussetzung SRC-01 (Fertig).
-
-## Umsetzung
-
-- `mail/internal/search/client.go` — `Search` intern auf Manticores
-  `query_string`-Klausel umgestellt (statt `match`): unterstützt
-  Grundoperatoren nativ (Phrase in Anführungszeichen, Ausschluss mit `-`,
-  Akzeptanzkriterium 3). Der Wert landet unmittelbar als JSON-String,
-  keine dynamischen Feldnamen möglich (sogar strikter als das vorherige
-  `match`-Muster mit kommagetrenntem Feld-Schlüssel).
-- `fieldWeights` (statische Konstanten: `subject`=10, `body`=3,
-  `attachment_text`=1) über die Manticore-Option `field_weights` — Ranking
-  berücksichtigt Relevanz UND Anhangstreffer (Akzeptanzkriterium 1).
-  Manticore liefert Treffer standardmäßig absteigend nach BM25-Score
-  sortiert zurück; `Result.Score` macht das Ranking nachvollziehbar.
-- `Result` um `Score` und `SentAtUnixEpoch` erweitert (Datum als weiterer
-  Rankingfaktor gemäß Ticketbeschreibung verfügbar).
-- Tenant-Trennung (Akzeptanzkriterium 2) unverändert über das strukturierte
-  `equals`-Feld aus SRC-01.
-- Bestehenden SRC-01-Test `TestSearch_MaliciousInputDoesNotAlterFieldNames`
-  an die neue `query_string`-Struktur angepasst (gleiche Funktion
-  weiterentwickelt, kein Umbau angrenzender Bereiche).
-- Kein Umbau: `mail/internal/dedup`/`mail/internal/indexworker`/
-  `mail/internal/storage`/`mail/internal/crypto`/`mail/internal/encstorage`
-  unverändert.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Test: Suche eines Mandanten liefert keine Treffer eines anderen Mandanten | **bestanden** – `TestSearch_TenantIsolation` (SRC-01, weiterhin gültig gegen die neue Search-Implementierung) |
-| 2 | Test: Phrasensuche und Ausschlussoperator liefern erwartete Teilmengen | **bestanden** – `TestSearch_PhraseAndExclusionOperators`: `"dritten Quartal"` liefert real genau die beiden Dokumente mit dieser Phrase, `Umsatz -Verlust` schließt real das "Verlust"-Dokument aus |
-| 3 | Performance-Test mit großem Testkorpus bleibt innerhalb Zielzeit | **bestanden** – `TestSearch_PerformanceWithLargeCorpus`: 1000 reale Dokumente indexiert, Suche nach eindeutigem Begriff in 775,8µs (Ziel 500ms) gegen echtes Manticore auf 192.168.1.131 |
-
-Zusätzlich (Akzeptanzkriterium 1, Ranking-Nachvollziehbarkeit):
-`TestSearch_RankingReflectsFieldWeightAndIsTraceable` — ein Treffer im
-Betreff liegt real vor einem gleichlautenden Treffer nur im Anhangstext,
-mit real höherem Score.
-
-## Build/Test-Ergebnis (192.168.1.131)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-TEST_TENANT_DSN=postgresql://nexarch_test:***@localhost:5432/tenant_acme?sslmode=disable \
-TEST_MANTICORE_URL=http://127.0.0.1:9308 \
-  go test ./... -v -p 1  -> alle Pakete bestanden, inkl. internal/search (7 Tests,
-  keine Regression in dedup/indexworker/storage/encstorage/example/mimeparse/pflichttestgate)
-```
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
-real erfüllt. SRC-03 ist der nächste Schritt in der Suche-Foundation-Kette
-(Index → Befüllung → abfragbare Such-API mit belastbarem Ranking), nicht
-nur eine nette Ergänzung — ohne ihn bliebe der Index nur intern befüllt,
-ohne nutzbare Relevanzsortierung und Suchoperatoren. Entsperrt INT-01,
-SRC-04, SRC-05, SRC-08.

mail/docs/SRC-04-PRUEFPROTOKOLL.md

@@ -1,69 +0,0 @@
-# SRC-04 – Prüfprotokoll: Such-Oberfläche mit Hervorhebung
-
-Voraussetzung SRC-03 (Fertig), SHL-01 (Core-Board, Fertig).
-
-## Umsetzung
-
-- `web/mail-search`: eigenständige Next.js/React/TypeScript-App (kein
-  Backend-Annex), auf `web/shl` (SHL-01) aufbauend — gleiche Konvention
-  wie `web/retention-admin` (RET-06).
-- `app/api/search/route.ts`: Backend-for-Frontend-Route, spricht direkt
-  mit derselben Manticore-Instanz wie `mail/internal/search` (SRC-01/
-  SRC-03). Bewusst KEINE Kopie der vollständigen Go-Suchlogik — nur der
-  für Trefferliste + Snippet-Hervorhebung nötige minimale Ausschnitt
-  ("Bereite höchstens die Schnittstelle dafür vor"; die allgemeine
-  REST-API v1 für Mail-Zugriff ist INT-01, nicht Bestandteil dieser
-  Kachel). Statische Feld-/Indexnamen, kein Sprintf/Join-Klauselbau
-  (gleiche Konvention wie `fields.go`). Fordert Manticore-Highlights mit
-  eigenen Markern (`⦃⦃`/`⦄⦄`) statt HTML an.
-- `lib/highlight.ts`: `splitHighlighted` zerlegt den markierten Snippet-
-  Text in reine Textsegmente — die Komponente rendert sie als Textknoten,
-  **kein** `dangerouslySetInnerHTML`, damit Mailinhalte (nicht
-  vertrauenswürdig) niemals als HTML interpretiert werden können.
-- `app/page.tsx`: Sucheingabe (`@nexarch/shl` `TextField`), Live-
-  Trefferliste mit `<mark>`-Hervorhebung, verständlicher Hinweis bei
-  leerem Ergebnis, Link je Treffer zur Mail-Detailseite.
-- `app/mail/[messageId]/page.tsx`: öffnet mit Anker `#fundstelle` und
-  hervorgehobenem Snippet aus den Suchtreffer-Daten. Vollständiger
-  Mail-Inhaltsabruf per messageId existiert noch nicht (keine HTTP-API
-  dafür, folgt mit INT-01) — bis dahin trägt der Link Betreff-/Text-
-  Snippet als Kontext mit, damit die Fundstelle bereits jetzt real
-  anspring- und hervorhebbar ist.
-- `lib/contrast.ts`/`lib/highlightColors.ts`: reale WCAG-2.1-
-  Kontrastberechnung statt behaupteter Werte.
-- Kein Umbau: `mail/internal/*`, `web/shl`, `web/retention-admin`
-  unverändert.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Manueller Test mit typischen Suchanfragen bestätigt korrekte Hervorhebung | **bestanden** – echter `next build` + `next start` auf 192.168.1.131 gegen die live laufende Manticore-Instanz: `GET /api/search?tenant=src04-manual&q=Umsatz` liefert real `"subjectSnippet":"Quartalsbericht ⦃⦃Umsatz⦄⦄"` — Marker um exakt den Suchbegriff. Zusätzlich automatisiert in `app/page.test.tsx` (Marker im DOM nach Suche) |
-| 2 | Barrierefreiheits-Kontrastprüfung der Hervorhebung | **bestanden** – `lib/highlightColors.test.ts`: echte WCAG-2.1-Berechnung, Hell-Modus 14,29:1, Dunkel-Modus 6,43:1 (beide ≥ 4.5:1 AA-Grenzwert für Fließtext) |
-| 3 | Test mit Sonderzeichen in der Suchanfrage bricht die Anzeige nicht | **bestanden** – real gegen den laufenden Server getestet: Anfrage mit `"dritten Quartal" -Verlust <script>` liefert `200 OK` mit `{"hits":[]}`, kein Absturz. Zusätzlich automatisiert `lib/highlight.test.ts` (Skript-Tags/Unicode/unvollständige Marker als reiner Text) und `app/page.test.tsx` (kein `<script>`-Element im DOM, da kein `dangerouslySetInnerHTML`) |
-
-Zusätzlich (Akzeptanzkriterium 2/3, real geprüft): `GET /mail/m-manual-1?subject=...`
-liefert `200 OK`; automatisiert `app/page.test.tsx` bestätigt Link-Struktur
-(`/mail/<id>?...#fundstelle`) und den "Keine Treffer"-Hinweis bei leerem
-Ergebnis.
-
-## Build/Test-Ergebnis (192.168.1.131)
-
-```
-npx tsc --noEmit                              -> clean
-npx next build                                -> Compiled successfully (4 Routen)
-npx vitest run                                -> 3 Testdateien, 12/12 bestanden
-next start (real) + curl gegen Manticore live -> Hervorhebung, leeres Ergebnis,
-                                                   Sonderzeichen alle real bestätigt
-```
-
-Testprozess (`next start -p 4711`) und Testdokument (`mail_documents`-ID
-992001) nach Prüfung entfernt.
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
-real erfüllt. SRC-04 ist der nächste Schritt in der Suche-Foundation-Kette
-(Index → Befüllung → Such-API → nutzbare Oberfläche), nicht nur eine nette
-Ergänzung — ohne ihn bliebe die Such-API ohne für Anwenderinnen und
-Anwender erreichbaren Zugang. Entsperrt QA-03 (gemeinsam mit SRC-02).

mail/docs/SRC-05-PRUEFPROTOKOLL.md

@@ -1,54 +0,0 @@
-# SRC-05 – Prüfprotokoll: Facetten- & Filter-API
-
-Voraussetzung SRC-03 (Fertig).
-
-## Umsetzung
-
-- `mail/internal/search/migrations/0002..0005_*.sql`: vier eigene,
-  nummerierte `ALTER TABLE ADD COLUMN`-Migrationen für die neuen
-  Facettenfelder (`sender`, `mailbox`, `attachment_type`, `tag`) — Manticore
-  erlaubt nur eine Spalte je ALTER-Anweisung. `EnsureSchema` wendet sie
-  idempotent nach (Fehlertext `"already in schema"` gilt als bereits
-  angewendet, kein Fehlerzustand).
-- `fields.go`: neue statische Feldkonstanten + `FacetFields`-Whitelist
-  (`sender`, `mailbox`, `attachment_type`, `tag`) — einzige Quelle
-  zulässiger Facettendimensionen, kein beliebiger Client-Feldname möglich.
-- `facets.go` — `Client.Facets(ctx, tenantSlug, queryText, filters)`:
-  nutzt Manticores strukturierte `aggs.terms`/`aggs.range`-API (kein
-  dynamischer SQL-Klauselbau). Tenant-Filter + optionale
-  `FacetFilter`-Liste laufen als zusätzliche `equals`-Klauseln in
-  derselben `bool.must`-Liste (Akzeptanzkriterium 2: UND-Verknüpfung).
-  Zeitraum-Facette über feste Buckets (letzte 7 Tage/30 Tage/Jahr/älter)
-  via `aggs.range` auf `sent_at`.
-- `Document` um optionale Facettenfelder erweitert (`Sender`, `Mailbox`,
-  `AttachmentType`, `Tag`).
-- Kein Umbau: `Search`/`Delete`/`Index`-Verhalten aus SRC-01/SRC-03
-  unverändert, `mail/internal/dedup`/`indexworker`/`storage`/`crypto`/
-  `encstorage` unverändert.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Test: Facettenzahlen stimmen mit tatsächlicher Treffermenge überein | **bestanden** – `TestFacets_CountsMatchActualHits`: 3 reale Dokumente indexiert, Facette `sender` liefert real `alice@example.com`→2, `bob@example.com`→1, Facette `attachment_type` liefert real `pdf`→2 |
-| 2 | Test: Kombination von drei Filtern liefert korrekt eingeschränkte Treffer | **bestanden** – `TestFacets_ThreeFiltersCombineWithAND`: 4 Dokumente, von denen 3 je genau einen der drei Filter (Sender/Postfach/Anhangstyp) verletzen — nach Kombination aller drei Filter bleibt real genau 1 Treffer übrig |
-| 3 | Test: Facetten eines Mandanten enthalten keine Werte eines anderen | **bestanden** – `TestFacets_TenantSeparation`: identische Feldstruktur bei zwei Mandanten, Facette bei Mandant B enthält real keinen Wert von Mandant A |
-
-## Build/Test-Ergebnis (192.168.1.131)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-TEST_TENANT_DSN=postgresql://nexarch_test:***@localhost:5432/tenant_acme?sslmode=disable \
-TEST_MANTICORE_URL=http://127.0.0.1:9308 \
-  go test ./... -p 1  -> alle Pakete bestanden, inkl. internal/search (10 Tests,
-  keine Regression in dedup/indexworker/storage/encstorage/example/mimeparse/pflichttestgate)
-```
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
-real erfüllt. Entsperrt SRC-06, trägt (gemeinsam mit ARC-08, SRC-02,
-SRC-04, SRC-08, SRC-09, SRC-10) zu QA-03 bei — QA-03 bleibt weiterhin
-blockiert, bis auch die übrigen vier Tickets fertig sind.

mail/docs/SRC-07-PRUEFPROTOKOLL.md

@@ -1,69 +0,0 @@
-# SRC-07 – Prüfprotokoll: OCR für Anhänge
-
-Voraussetzung ARC-01, ARC-03 (beide Fertig). SRC-07 ist die direkte
-Vorbedingung für SRC-10 (Spracherkennung & OCR-Qualitätsbewertung), nicht
-nur eine nette Ergänzung — ohne SRC-07 gibt es keinen erkannten Text, den
-SRC-10 mit Sprache/Konfidenz bewerten könnte.
-
-## Umsetzung
-
-- `mail/internal/ocr/ocr.go` — zustandsloses Paket, kennt weder Mandant
-  noch Speicher (dieselbe Bauart wie `mail/internal/crypto`/`dedup`):
-  nimmt Anhangs-Bytes entgegen, liefert erkannten Text zurück. Kein
-  geteilter Zustand zwischen Aufrufen (jeder Aufruf bekommt ein eigenes
-  Temp-Verzeichnis) — Tenant-Trennung ist dadurch strukturell gegeben,
-  nicht nur konventionell: ein Mandant kann prinzipbedingt nie Zwischen-
-  daten eines anderen sehen. Zuordnung des erkannten Textes zum
-  Mail-Suchdokument (Akzeptanzkriterium 2) erfolgt beim Aufrufer über das
-  bereits vorhandene `search.Document.AttachmentText`-Feld (SRC-01) — kein
-  neues Feld nötig.
-  - `ExtractTextFromImage`: ruft `tesseract` (Sprachen `deu+eng`) mit
-    fester Argumentliste auf, kein Shell-String-Zusammenbau.
-  - `HasTextLayer`/`ExtractTextFromPDF`: nutzt `pdftotext`, um eine
-    vorhandene Textebene zu erkennen und direkt zu übernehmen
-    (Akzeptanzkriterium 3) — nur wenn keine Textebene vorhanden ist
-    (< 10 Zeichen), wird über `pdftoppm` (300dpi) jede Seite gerastert und
-    per Tesseract erkannt (Akzeptanzkriterium 1).
-- Bekannten Fehler vermieden (dupliziertes Sprintf-WHERE-Muster aus
-  archivmail, siehe repos-analyse-mail-reuse.md): dieses Paket baut keine
-  SQL-Klauseln — ausschließlich externe Kommandozeilenwerkzeuge mit
-  festen Argumentlisten (`exec.CommandContext`, keine Shell).
-- Kein Umbau: `mail/internal/search`/`dedup`/`indexworker`/`storage`/
-  `crypto`/`encstorage`/`savedsearch` unverändert.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Test: Bildanhang mit bekanntem Text liefert erwartete Texterkennung | **bestanden** – `TestExtractTextFromImage_KnownTextRecognized`: reales, über `pdftoppm` gerastertes Bild mit dem Text "Rechnungsnummer 4711", `ExtractTextFromImage` erkennt real beide Wortbestandteile |
-| 2 | Test: PDF mit vorhandener Textebene wird korrekt übersprungen | **bestanden** – `TestExtractTextFromPDF_SkipsOCRWhenTextLayerPresent`: real erzeugtes Vektor-Text-PDF (echte PDF-Textebene, kein Bild), `ExtractTextFromPDF` liefert `OCRPerformed=false` und den Text direkt aus der Textebene |
-| 3 | Durchsatztest bestätigt akzeptable Verarbeitungszeit je Anhang | **bestanden** – `TestExtractTextFromPDF_ThroughputIsAcceptable`: 3 reale Anhänge (Rasterung 300dpi + OCR) in durchschnittlich 3,48s/Anhang (Ziel 8s/Anhang) |
-
-Zusätzlich (Akzeptanzkriterium 1, gescannte PDFs end-zu-Ende):
-`TestExtractTextFromPDF_PerformsOCRWhenNoTextLayer` — ein reales,
-ausschließlich rasterbildbasiertes PDF (kein Textelement, JPEG-Bild via
-`/DCTDecode` eingebettet) wird real per OCR erkannt, `OCRPerformed=true`.
-
-Testfixtures (`testpdf_test.go`) werden vollständig in Go erzeugt (Hand-
-gebautes PDF mit Helvetica-Textebene bzw. eingebettetem JPEG) — keine
-externe Bibliothek, keine Testdateien im Repository, reproduzierbar.
-
-## Build/Test-Ergebnis (192.168.1.131)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-go test ./internal/ocr/... -v  -> 4/4 bestanden (14,99s gesamt)
-TEST_TENANT_DSN=... TEST_MANTICORE_URL=... go test ./... -p 1
-  -> alle Pakete bestanden, keine Regression
-```
-
-Werkzeugversionen auf 192.168.1.131: `tesseract 5.5.0` (Sprachpakete
-`deu`, `eng`), `pdftotext`/`pdftoppm` (poppler-utils) — bereits vorhanden,
-keine Installation durch diese Sitzung nötig.
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
-real erfüllt. Entsperrt SRC-10.

mail/docs/SRC-08-PRUEFPROTOKOLL.md

@@ -1,59 +0,0 @@
-# SRC-08 – Prüfprotokoll: Gespeicherte Suchanfragen
-
-Voraussetzung SRC-03 (Fertig).
-
-## Umsetzung
-
-- `mail/internal/savedsearch/store.go` — `Store` (Postgres,
-  `mail_saved_searches`): `Save` (Upsert über `UNIQUE(tenant_slug,
-  user_id, name)`, Akzeptanzkriterium 1), `List`/`Get` streng auf
-  Mandant UND Benutzer beschränkt (Akzeptanzkriterium 3), `Delete`
-  löscht genau eine Zeile über `tenant_slug + user_id + id`.
-  „Benutzer" ist bis zu einer zentralen Session-/IAM-Anbindung
-  (Core-Board-Scope) ein vom Aufrufer mitgegebener opaker
-  `userID`-String — dieselbe Konvention wie der Tenant-Kontext in
-  `web/mail-search` (SRC-04).
-- `Execute(ctx, client, saved)` führt die gespeicherte Suche LIVE gegen
-  `search.Client` aus — speichert selbst keine Treffer, jeder Aufruf
-  fragt Manticore neu ab (Akzeptanzkriterium 2).
-- `mail/internal/search/facets.go` — kleinste nötige Erweiterung: neue
-  Methode `Client.SearchWithFilters` (gemeinsame `buildFilteredMust`-
-  Hilfsfunktion mit `Facets` extrahiert) liefert TATSÄCHLICH gefilterte
-  Treffer statt nur Facettenzählungen — ohne dies gäbe es keinen echten
-  Weg, gespeicherte Filter beim Wiederausführen anzuwenden.
-- Kein Umbau: `Search`/`Facets`/`Index`/`Delete`-Verhalten sonst
-  unverändert, `mail/internal/dedup`/`indexworker`/`storage`/`crypto`/
-  `encstorage` unverändert.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Test: gespeicherte Suche mit mehreren Filtern wird korrekt reproduziert | **bestanden** – `TestExecute_SavedSearchWithMultipleFiltersReproducesCorrectly`: 3 Dokumente, 2 Filter (Sender+Postfach) gespeichert, `Execute` liefert real genau das eine Dokument, das beide Filter erfüllt |
-| 2 | Test: Benutzer sieht keine gespeicherten Suchen anderer Mandanten | **bestanden** – `TestList_UserSeesNoOtherTenantsSavedSearches`: zwei Mandanten mit je einer gespeicherten Suche, `List` bei Mandant B liefert real nur die eigene, nicht die von Mandant A |
-| 3 | Test: Löschen einer gespeicherten Suche entfernt nur diese | **bestanden** – `TestDelete_RemovesOnlyThatSavedSearch`: zwei gespeicherte Suchen, eine gelöscht, `Get` liefert für die gelöschte real `ErrNotFound`, die andere bleibt real unverändert abrufbar |
-
-Zusätzlich (Akzeptanzkriterium 2, kein eingefrorener Snapshot):
-`TestExecute_ReturnsCurrentResultsNotFrozenSnapshot` — Ausführung vor
-einer neuen Indexierung liefert real 0 Treffer, danach real 1 Treffer,
-ohne dass die gespeicherte Suche selbst verändert wurde.
-
-## Build/Test-Ergebnis (192.168.1.131)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-TEST_TENANT_DSN=postgresql://nexarch_test:***@localhost:5432/tenant_acme?sslmode=disable \
-TEST_MANTICORE_URL=http://127.0.0.1:9308 \
-  go test ./... -p 1  -> alle Pakete bestanden, inkl. internal/savedsearch (4 Tests, neu),
-  keine Regression in dedup/indexworker/storage/encstorage/example/mimeparse/pflichttestgate/
-  crypto/search
-```
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
-real erfüllt. Trägt (gemeinsam mit ARC-08, SRC-02, SRC-04, SRC-05,
-SRC-09) zu QA-03 bei — QA-03 bleibt weiterhin blockiert, bis auch
-SRC-10 fertig ist.

mail/docs/SRC-09-PRUEFPROTOKOLL.md

@@ -1,72 +0,0 @@
-# SRC-09 – Prüfprotokoll: Suchindex-Neuaufbau/Reindexierung
-
-Voraussetzung SRC-01 (Fertig).
-
-## Umsetzung
-
-- `mail/internal/search/reindex.go` — `Reindexer.Rebuild(ctx, onProgress)`:
-  1. legt eine neue physische Manticore-Tabelle an (Name aus striktem
-     Muster `mail_documents_reindex_<Ziffern>`, per Regex validiert —
-     Verteidigung in der Tiefe, obwohl der Wert ausschließlich
-     paketintern erzeugt wird),
-  2. kopiert alle Dokumente aus der lebenden Tabelle seitenweise
-     (Cursor-Paginierung über `id`, strukturierte JSON-API, kein
-     dynamischer SQL-Klauselbau) — die lebende Tabelle wird dabei nur
-     gelesen, nie verändert (Akzeptanzkriterium 1),
-  3. meldet Fortschritt über einen `onProgress`-Callback
-     (Akzeptanzkriterium 2),
-  4. vergleicht Trefferzahlen alt/neu — bei Abweichung kein Umschalten,
-  5. schaltet erst danach per Manticore `ALTER TABLE ... RENAME`
-     (reine Metadaten-Operation) atomar um. Schlägt ein Schritt vor dem
-     Umschalten fehl, wird die Zwischentabelle entfernt, die lebende
-     Tabelle bleibt unverändert (Akzeptanzkriterium 3 / Pflichtprüfung 2).
-- Echtes Manticore-Verhalten entdeckt und behandelt: frisch eingefügte
-  Dokumente einer neu angelegten RT-Tabelle sind für `match_all`-Zählungen
-  erst nach explizitem `FLUSH RAMCHUNK` zuverlässig sichtbar (SQL-`SELECT`
-  sah sie sofort, `/search`-Zählung zeigte 0) — vor der
-  Konsistenzprüfung eingebaut.
-- Echte Plattformgrenze gefunden und abgefangen: Manticore unterstützt kein
-  atomares Mehrfach-`RENAME` in einer Anweisung — zwischen den zwei
-  nötigen Einzel-`RENAME`s existiert ein Sub-Millisekunden-Fenster ohne
-  `mail_documents`-Tabelle. `Client.Search` bekam dafür einen begrenzten
-  Retry (bis zu 2 Wiederholungen, 20ms Pause) speziell auf den
-  Manticore-Fehler `"unknown local table"` — real durch eine parallele
-  Suchlast während des Umschaltens nachgewiesen (Pflichtprüfung 1).
-- Nebenbei einen echten, latenten Fehler in `Search` gefunden und behoben:
-  ohne explizites `limit` begrenzte Manticore Ergebnisse standardmäßig auf
-  20 Treffer — unbemerkt, weil bisherige Tests (SRC-01/03/05) nur auf das
-  Vorhandensein einzelner Treffer prüften, nie auf die Gesamtzahl. Jetzt
-  `searchResultLimit = 1000`.
-- Kein Umbau: `Index`/`Delete`/`Facets`-Verhalten sonst unverändert,
-  `mail/internal/dedup`/`indexworker`/`storage`/`crypto`/`encstorage`
-  unverändert.
-
-## Prüfungen
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Test: Reindex während laufender Suchanfragen unterbricht die Suche nicht | **bestanden** – `TestRebuild_SearchKeepsWorkingDuringReindex`: 30 reale Dokumente indexiert, parallele Sucher-Goroutine (alle 2ms) läuft während `Rebuild` mit — 0 fehlgeschlagene Suchen über den gesamten Umschaltvorgang, danach weiterhin real alle 30 Treffer auffindbar |
-| 2 | Test: abgebrochener Reindex hinterlässt keinen inkonsistenten Zustand | **bestanden** – `TestRebuild_AbortedReindexLeavesNoInconsistentState`: Kontext vor `Rebuild` abgebrochen, Fehler kommt real zurück, lebende Tabelle bleibt danach unverändert (weiterhin 1 Treffer real auffindbar), keine verwaisten Zwischentabellen über `SHOW TABLES` real bestätigt |
-| 3 | Stichprobenvergleich Alt-/Neuindex bestätigt gleiche Trefferzahlen | **bestanden** – `TestRebuild_SampleComparisonMatchesOldAndNewIndex`: 3 unterschiedliche Suchbegriffe vor und nach Reindex real verglichen, identische Trefferzahlen je Stichprobe |
-
-Zusätzlich (Akzeptanzkriterium 2): `TestRebuild_ReportsProgress` bestätigt
-reale Fortschrittsmeldungen bis zum vollständigen Abschluss.
-
-## Build/Test-Ergebnis (192.168.1.131)
-
-```
-go build ./...  -> clean
-go vet ./...    -> clean
-golangci-lint run ./...  -> 0 issues
-TEST_TENANT_DSN=postgresql://nexarch_test:***@localhost:5432/tenant_acme?sslmode=disable \
-TEST_MANTICORE_URL=http://127.0.0.1:9308 \
-  go test ./... -v -p 1  -> alle Pakete bestanden, inkl. internal/search (14 Tests,
-  keine Regression in dedup/indexworker/storage/encstorage/example/mimeparse/pflichttestgate)
-```
-
-## Gesamtergebnis
-
-**Bestanden.** Alle drei Akzeptanzkriterien und alle drei Pflichtprüfungen
-real erfüllt. Trägt (gemeinsam mit ARC-08, SRC-02, SRC-04, SRC-05,
-SRC-08, SRC-10) zu QA-03 bei — QA-03 bleibt weiterhin blockiert, bis auch
-ARC-08, SRC-08 und SRC-10 fertig sind.

mail/docs/TESTSTRATEGIE-MAIL.md

@@ -1,110 +0,0 @@
-# NEXARCH Mail – Teststrategie
-
-Stand: 2026-08-30. Ticket: QA-01. Vorbild: Core `QA-01` (`docs/TESTSTRATEGIE-CORE.md`,
-Fertig) — dieselbe Struktur, für das Mail-Modul übernommen, wo sinnvoll um
-protokollspezifische Aspekte (IMAP/SMTP/MIME) ergänzt.
-
-## 1. Warum dieses Dokument existiert
-
-archivmail (Vorgängerprojekt) testete 2 von 18 Modulen trotz hoher Kritikalität
-(Compliance-/Protokoll-Logik). Kein zentrales Issue-Tracking — Bugs wurden nur als
-`BUG-N`-Kommentare im Code festgehalten (`known-issues-archivmail.md`). NEXARCH Mail
-übernimmt denselben Grundsatz wie Core: **Testpflicht für Auth, Tenant-Scoping und
-Protokoll-/Compliance-kritische Logik ist ein Merge-Gate, keine Nachrüstung.**
-
-## 2. Testpyramide
-
-| Ebene | Werkzeug | Umfang |
-|---|---|---|
-| Unit | `go test` (Standardbibliothek) | Einzelne Funktionen/Typen, keine externe Abhängigkeit (DB, Netzwerk, IMAP/SMTP-Socket) |
-| Integration | `go test` gegen echte PostgreSQL-Instanz (`nexarch_test`-Rolle) | Repository-/Handler-Schicht, Tenant-Scoping, Objekt-Speicher |
-| Protokoll-Zustandsmaschinen | `go test` gegen echten IMAP-/SMTP-Client-Roundtrip (kein reiner Parser-Unit-Test) | ING-01/ING-02/ING-03: Login-Zustände, Befehlssequenzen, Fehlerpfade |
-| E2E | Echter HTTP-Roundtrip (`httptest.Server`) bis zum ersten Mail-Frontend-Ticket, danach Playwright/Jest gegen die echte UI | Vollständiger Request-Response-Zyklus, kein reiner Funktionsaufruf |
-| Vertragstests | Analog Core `QA-07`/DMS-Äquivalent, sobald Mail öffentliche Modul-Adapter-Schnittstellen (RET-05-Konsument, siehe `ARC-11`) hat | Wire-Contract-Stabilität |
-
-**E2E-Zwischenlösung begründet:** Mail hat aktuell kein Frontend-Ticket (0/66 Board).
-Playwright/Jest bräuchte eine echte Browser-UI zum Testen — bis zum ersten
-Mail-Frontend-Ticket ist ein echter HTTP-Roundtrip (kein reiner In-Process-Funktionsaufruf)
-die ehrliche, tatsächlich verfügbare Untergrenze für "E2E". Siehe Beispiel in
-Abschnitt 3.
-
-## 3. Beispieltests je Testart (Akzeptanzkriterium/Pflichtprüfung 2)
-
-`mail/internal/example` — kein Wegwerf-Demo, sondern eine kleine, tatsächlich nützliche
-Funktion (E-Mail-Adress-Normalisierung), die spätere Ticket ohnehin brauchen:
-
-- **Unit:** `normalize_test.go` — `TestNormalizeAddress_*`, keine externe Abhängigkeit.
-- **Integration:** `store_integration_test.go` — `TestAddressStore_SaveAndCheckExists`,
-  echte Postgres-Instanz, `TEST_TENANT_DSN`, `t.Cleanup`.
-- **E2E:** `handler_e2e_test.go` — `TestNormalizeHandler_RealHTTPRoundTrip`, echter
-  `httptest.Server`-Roundtrip (TCP, nicht nur Funktionsaufruf).
-
-Alle sechs Tests real ausgeführt (siehe Prüfungen, Abschnitt 6).
-
-## 4. Pflichttests als Merge-Gate (Akzeptanzkriterium 3/4)
-
-Verbindlich für jeden Pull Request, der Dateien in einem der folgenden Bereiche ändert:
-
-- **Auth** (`mail/internal/auth/` — sobald durch ein späteres Ticket angelegt)
-- **Tenant-Scoping** (`mail/internal/tenant/`, jede Repository-Schicht mit Mandanten-Bezug)
-- **Protokoll-kritisch** (`mail/internal/ingest/`, `mail/internal/imap/`,
-  `mail/internal/smtp/` — Zustandsmaschinen, Auth-Handshakes der Protokolle selbst)
-- **Compliance-kritisch** (`mail/internal/arc/` oder gleichwertig — RET-05-Konsument,
-  Löschung/Archivierung, siehe `ARC-11`)
-
-Regel (identisch zu Core `QA-01`): **jede geänderte `.go`-Datei in einem dieser
-Bereiche muss von einer geänderten oder neuen `_test.go`-Datei im selben Package
-begleitet sein.**
-
-`mail/internal/pflichttestgate` implementiert das Gate (Code-Kopie des Musters aus
-Core `internal/pflichttestgate`, mit mail-spezifischen Pfadmustern statt Core-Pfaden
-— bewusst keine Cross-Modul-Abhängigkeit, da Mail als eigenständiges Go-Modul Core
-nicht importieren kann). `.gitea/workflows/mail-pflichttest-gate.yml` führt es gegen
-jeden PR-Diff aus.
-
-Negativtest des Gates selbst (Prüfung 1 dieses Tickets):
-`mail/internal/pflichttestgate/gate_test.go` simuliert einen Diff mit geänderter
-`mail/internal/auth/login.go` ohne begleitende Testdatei und erwartet, dass das Gate
-das als Verstoß erkennt.
-
-## 5. Bug-Tracking (Akzeptanzkriterium 3)
-
-**Konvention: Gitea-Issues** auf `gitea.perlbach24.de/scripte/nexarch`, Label `mail`
-plus Schweregrad-Label (`bug-kritisch`/`bug-normal`/`bug-kosmetisch`). Durchsuchbar
-über Gitea-Suche/Label-Filter — explizit KEIN Code-Kommentar-Tracking (`BUG-N` wie in
-archivmail), das laut `known-issues-archivmail.md` genau diese Sichtbarkeitslücke
-verursacht hat.
-
-**Realer Durchspiel-Nachweis (Prüfung 3):** Diese Session (nicht Mail-spezifisch, aber
-derselbe reale Vorgang) fand mehrere echte Bugs, dokumentiert nach exakt diesem
-Muster in den jeweiligen `*-PRUEFPROTOKOLL.md`-Dateien statt als Code-Kommentar, z. B.
-`archive/docs/RET-10-PRUEFPROTOKOLL.md`: fehlende CORS-Header bei RET-06-API,
-gefunden bei einer Sichtprüfung, Symptom (Browser hätte Fetch blockiert), Ursache
-(kein `Access-Control-Allow-Origin`), Fix (RET-10-Ticket), Nachweis (curl-Test vorher/
-nachher) — alles durchsuchbar in der Protokolldatei, nicht im Quelltext verstreut.
-
-**Ehrlich vermerkt:** Ein ECHTER Gitea-Issue konnte in dieser Session nicht angelegt
-werden (kein Gitea-API-Token verfügbar, nur Git-SSH/HTTPS-Push-Zugriff). Das oben
-verlinkte Beispiel demonstriert das Vorgehen strukturell (Symptom → Ursache → Fix →
-Nachweis, durchsuchbar abgelegt), aber NICHT über die Gitea-Issue-Oberfläche selbst.
-Sobald ein Gitea-Zugriffstoken verfügbar ist, sollte mindestens ein Test-Issue real
-angelegt werden, um die Konvention vollständig nachzuweisen — offener Punkt, siehe
-Abschnitt 7.
-
-## 6. Prüfungen (real durchgeführt)
-
-| # | Prüfung | Ergebnis |
-|---|---|---|
-| 1 | Dokument liegt vor und wurde von zweiter Person gegengelesen | **bestanden** — Dokument von der Nutzerin/dem Nutzer (zweite Person) gegengelesen und freigegeben (2026-08-30) |
-| 2 | Stichprobe: mindestens ein Beispieltest je benannter Testart ist umgesetzt | **bestanden** — 6 Tests real ausgeführt auf 131: `go test ./mail/internal/example/... -v -p 1`, alle grün (3 Unit, 1 Integration, 2 E2E) |
-| 3 | Bug-Tracking-Vorgehen wurde einmal exemplarisch für einen realen Befund durchgespielt | **teilweise bestanden** — Vorgehen strukturell durchgespielt anhand eines realen, bereits dokumentierten Befunds (RET-10), aber NICHT über die echte Gitea-Issue-Oberfläche (kein API-Token verfügbar). Siehe Abschnitt 5, offener Punkt in Abschnitt 7 |
-
-## 7. Offene Punkte
-
-- Echter Gitea-Issue als Nachweis der Bug-Tracking-Konvention noch nicht angelegt
-  (fehlendes API-Token in dieser Session). Sollte nachgeholt werden, sobald Zugriff
-  besteht.
-- `mail/internal/auth/`, `mail/internal/tenant/`, `mail/internal/ingest/` etc. existieren
-  noch nicht — die Pflichttest-Gate-Pfadmuster sind auf Basis der geplanten
-  Modulstruktur vordefiniert, nicht an echtem Code verifiziert. Erste Nagelprobe: das
-  erste Ticket, das einen dieser Pfade tatsächlich anlegt (voraussichtlich `ING-01`).

mail/go.mod

@@ -1,36 +0,0 @@
-module gitea.perlbach24.de/scripte/nexarch/mail
-
-go 1.24
-
-toolchain go1.24.4
-
-require (
-	github.com/aws/aws-sdk-go-v2 v1.45.1
-	github.com/aws/aws-sdk-go-v2/config v1.33.1
-	github.com/aws/aws-sdk-go-v2/credentials v1.20.1
-	github.com/aws/aws-sdk-go-v2/service/s3 v1.109.1
-	github.com/aws/smithy-go v1.28.1
-	github.com/jackc/pgx/v5 v5.6.0
-	golang.org/x/text v0.14.0
-)
-
-require (
-	github.com/aws/aws-sdk-go-v2/aws/protocol/eventstream v1.7.20 // indirect
-	github.com/aws/aws-sdk-go-v2/feature/ec2/imds v1.19.1 // indirect
-	github.com/aws/aws-sdk-go-v2/internal/configsources v1.5.1 // indirect
-	github.com/aws/aws-sdk-go-v2/internal/endpoints/v2 v2.8.1 // indirect
-	github.com/aws/aws-sdk-go-v2/internal/v4a v1.5.1 // indirect
-	github.com/aws/aws-sdk-go-v2/service/internal/accept-encoding v1.13.19 // indirect
-	github.com/aws/aws-sdk-go-v2/service/internal/checksum v1.11.1 // indirect
-	github.com/aws/aws-sdk-go-v2/service/internal/presigned-url v1.14.1 // indirect
-	github.com/aws/aws-sdk-go-v2/service/internal/s3shared v1.20.1 // indirect
-	github.com/aws/aws-sdk-go-v2/service/signin v1.7.1 // indirect
-	github.com/aws/aws-sdk-go-v2/service/sso v1.35.1 // indirect
-	github.com/aws/aws-sdk-go-v2/service/ssooidc v1.40.1 // indirect
-	github.com/aws/aws-sdk-go-v2/service/sts v1.47.1 // indirect
-	github.com/jackc/pgpassfile v1.0.0 // indirect
-	github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a // indirect
-	github.com/jackc/puddle/v2 v2.2.1 // indirect
-	golang.org/x/crypto v0.17.0 // indirect
-	golang.org/x/sync v0.1.0 // indirect
-)

mail/go.sum

@@ -1,64 +0,0 @@
-github.com/aws/aws-sdk-go-v2 v1.45.1 h1:iIoG3NaLhV6UZpPXyPXlDj2I9oS8tV/nMcMnITCC6Ks=
-github.com/aws/aws-sdk-go-v2 v1.45.1/go.mod h1:bttEH6JqnUL8LepvDVfdrds/fZ5bCIxzpe3abyUrhDU=
-github.com/aws/aws-sdk-go-v2/aws/protocol/eventstream v1.7.20 h1:GPRlPwz40I2B2VrBEASOA3Bi77NyeqejNLkifosX0rs=
-github.com/aws/aws-sdk-go-v2/aws/protocol/eventstream v1.7.20/go.mod h1:g7PNzKcsOKWb4fkSRBA7BZVAS6Y8IcxzN+nRohhQ1Q8=
-github.com/aws/aws-sdk-go-v2/config v1.33.1 h1:bq9jze1hQ5YTCLoVxNnbp0T7rglrlOE7N9YsHqjGkEw=
-github.com/aws/aws-sdk-go-v2/config v1.33.1/go.mod h1:2A3HQwG4zaL5Tm80rc6RZj8LmWWv4WYT5v8raSz/L7A=
-github.com/aws/aws-sdk-go-v2/credentials v1.20.1 h1:Z8GRNEx0u9sDkZOq4PUnN8mjGwbUQGRzMSXpvt3d8xQ=
-github.com/aws/aws-sdk-go-v2/credentials v1.20.1/go.mod h1:uBIK00kFo95dnemqfFMTWx0X8YRqsh6ecIoCjjOkZqM=
-github.com/aws/aws-sdk-go-v2/feature/ec2/imds v1.19.1 h1:YIEBqcqRnpi4Pfv0YHImtgi6czGCwKHANC7SwmUAVD0=
-github.com/aws/aws-sdk-go-v2/feature/ec2/imds v1.19.1/go.mod h1:imEf0oufgAo8KAkCHhrOdqGEC0YWx1PPBQH82shSxGw=
-github.com/aws/aws-sdk-go-v2/internal/configsources v1.5.1 h1:pc138gM1CW+XPc60rEwUlwwuwWFQK16CI1T7v1F9Oec=
-github.com/aws/aws-sdk-go-v2/internal/configsources v1.5.1/go.mod h1:1+koxpPIbfBdfzP6vojm5/zTpTQ/micYwlxIiNB3TxI=
-github.com/aws/aws-sdk-go-v2/internal/endpoints/v2 v2.8.1 h1:K0JsbZQj+1h208Ro1zHeA4l7bMp0NvRffHQ91q8Ol1s=
-github.com/aws/aws-sdk-go-v2/internal/endpoints/v2 v2.8.1/go.mod h1:W3/vL6EtCIatICGy9ab29QhMuae+cOKPWcMxv02CO+Q=
-github.com/aws/aws-sdk-go-v2/internal/v4a v1.5.1 h1:yhw5KD1phVyP9vijxOUzDfEtJx+bt+L63k+VfuiYFAA=
-github.com/aws/aws-sdk-go-v2/internal/v4a v1.5.1/go.mod h1:ZW2e0d7DYlRxlS9hEiMXE47gTdX5KRN4byUiNbUpG+Q=
-github.com/aws/aws-sdk-go-v2/service/internal/accept-encoding v1.13.19 h1:bAdDl/HkGCcGPoe25ToSHEw23VIxt6CT5fLcg111BKg=
-github.com/aws/aws-sdk-go-v2/service/internal/accept-encoding v1.13.19/go.mod h1:KaUzbLxv4CeSxh6ZCl9B4m7CuFenS8kUEaDs+f/DQr4=
-github.com/aws/aws-sdk-go-v2/service/internal/checksum v1.11.1 h1:s67hBfG5t9rn1NCvDuB4E3QIep3UFhHPtaIqFDjV3N8=
-github.com/aws/aws-sdk-go-v2/service/internal/checksum v1.11.1/go.mod h1:FpvjBMXtSNMLPmDJsWwcY5cRnqJlpS2y1R6n4pvzs4k=
-github.com/aws/aws-sdk-go-v2/service/internal/presigned-url v1.14.1 h1:RmmWQPREQdk9U+PfqeHW3MqZaBaNK7TpV9W3RY+b+7g=
-github.com/aws/aws-sdk-go-v2/service/internal/presigned-url v1.14.1/go.mod h1:0A3W4F+68ZnNk5XcNL/e9HFMwnP8RlEicFfy6eOEDyw=
-github.com/aws/aws-sdk-go-v2/service/internal/s3shared v1.20.1 h1:ZMbtPZZQRca+3+XYQne9PBvRiYpHZlNJJOZfE9WNfT0=
-github.com/aws/aws-sdk-go-v2/service/internal/s3shared v1.20.1/go.mod h1:YAGWQdCYlVCoqrzvfv3RLxO6zKwti7gsAULOGWPLYv4=
-github.com/aws/aws-sdk-go-v2/service/s3 v1.109.1 h1:kVpzaDBzOdRtOftmiSpTdQbWVqRg0kONLXijktiwXnk=
-github.com/aws/aws-sdk-go-v2/service/s3 v1.109.1/go.mod h1:CUr46sCpGAg/rHaclRyhJX0LJAmH73uWSJPPSaMUrSk=
-github.com/aws/aws-sdk-go-v2/service/signin v1.7.1 h1:mdMtSVKdQ3+mzBh+l0ogrFYZVQUCg6pJZOirA2ARsYE=
-github.com/aws/aws-sdk-go-v2/service/signin v1.7.1/go.mod h1:9IqUlsJDbUPcg6cgx3WEzXdjrbWzLDQrak0aaSqlTcI=
-github.com/aws/aws-sdk-go-v2/service/sso v1.35.1 h1:B6WFn91tobD6gG4724ONHaqrpKsoETGnv98LHe/yIGM=
-github.com/aws/aws-sdk-go-v2/service/sso v1.35.1/go.mod h1:tWuiVBUtPBr8/rgRiYS8Uf85sHcAN+G7XS3D3CEoUh8=
-github.com/aws/aws-sdk-go-v2/service/ssooidc v1.40.1 h1:6yeYCWFvgbI2TI3K6jr9LtBNhXgJ7g4xqD+DEiaDDmM=
-github.com/aws/aws-sdk-go-v2/service/ssooidc v1.40.1/go.mod h1:naFe83jSMuYkH+QjQPX8n1MLhBkeCFM5Lsnh5m5wz3c=
-github.com/aws/aws-sdk-go-v2/service/sts v1.47.1 h1:Sv2xPnRHlThSUtVujYuUBPI/Il8si6UPHXL8DMiB/F0=
-github.com/aws/aws-sdk-go-v2/service/sts v1.47.1/go.mod h1:mKo/CzaCz8qytGW70NG4vIIGAx1HXTlb5lHNkC5k3lk=
-github.com/aws/smithy-go v1.28.1 h1:R/nXH00c8qcfCzQVELtRw+eLQWtzv+VAIEFJ1/xxXlQ=
-github.com/aws/smithy-go v1.28.1/go.mod h1:YE2RhdIuDbA5E5bTdciG9KrW3+TiEONeUWCqxX9i1Fc=
-github.com/davecgh/go-spew v1.1.0/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
-github.com/davecgh/go-spew v1.1.1 h1:vj9j/u1bqnvCEfJOwUhtlOARqs3+rkHYY13jYWTU97c=
-github.com/davecgh/go-spew v1.1.1/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
-github.com/jackc/pgpassfile v1.0.0 h1:/6Hmqy13Ss2zCq62VdNG8tM1wchn8zjSGOBJ6icpsIM=
-github.com/jackc/pgpassfile v1.0.0/go.mod h1:CEx0iS5ambNFdcRtxPj5JhEz+xB6uRky5eyVu/W2HEg=
-github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a h1:bbPeKD0xmW/Y25WS6cokEszi5g+S0QxI/d45PkRi7Nk=
-github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a/go.mod h1:5TJZWKEWniPve33vlWYSoGYefn3gLQRzjfDlhSJ9ZKM=
-github.com/jackc/pgx/v5 v5.6.0 h1:SWJzexBzPL5jb0GEsrPMLIsi/3jOo7RHlzTjcAeDrPY=
-github.com/jackc/pgx/v5 v5.6.0/go.mod h1:DNZ/vlrUnhWCoFGxHAG8U2ljioxukquj7utPDgtQdTw=
-github.com/jackc/puddle/v2 v2.2.1 h1:RhxXJtFG022u4ibrCSMSiu5aOq1i77R3OHKNJj77OAk=
-github.com/jackc/puddle/v2 v2.2.1/go.mod h1:vriiEXHvEE654aYKXXjOvZM39qJ0q+azkZFrfEOc3H4=
-github.com/pmezard/go-difflib v1.0.0 h1:4DBwDE0NGyQoBHbLQYPwSUPoCMWR5BEzIk/f1lZbAQM=
-github.com/pmezard/go-difflib v1.0.0/go.mod h1:iKH77koFhYxTK1pcRnkKkqfTogsbg7gZNVY4sRDYZ/4=
-github.com/stretchr/objx v0.1.0/go.mod h1:HFkY916IF+rwdDfMAkV7OtwuqBVzrE8GR6GFx+wExME=
-github.com/stretchr/testify v1.3.0/go.mod h1:M5WIy9Dh21IEIfnGCwXGc5bZfKNJtfHm1UVUgZn+9EI=
-github.com/stretchr/testify v1.7.0/go.mod h1:6Fq8oRcR53rry900zMqJjRRixrwX3KX962/h/Wwjteg=
-github.com/stretchr/testify v1.8.1 h1:w7B6lhMri9wdJUVmEZPGGhZzrYTPvgJArz7wNPgYKsk=
-github.com/stretchr/testify v1.8.1/go.mod h1:w2LPCIKwWwSfY2zedu0+kehJoqGctiVI29o6fzry7u4=
-golang.org/x/crypto v0.17.0 h1:r8bRNjWL3GshPW3gkd+RpvzWrZAwPS49OmTGZ/uhM4k=
-golang.org/x/crypto v0.17.0/go.mod h1:gCAAfMLgwOJRpTjQ2zCCt2OcSfYMTeZVSRtQlPC7Nq4=
-golang.org/x/sync v0.1.0 h1:wsuoTGHzEhffawBOhz5CYhcrV4IdKZbEyZjBMuTp12o=
-golang.org/x/sync v0.1.0/go.mod h1:RxMgew5VJxzue5/jJTE5uejpjVlOe/izrB70Jof72aM=
-golang.org/x/text v0.14.0 h1:ScX5w1eTa3QqT8oi6+ziP7dTV1S2+ALU0bI+0zXKWiQ=
-golang.org/x/text v0.14.0/go.mod h1:18ZOQIKpY8NJVqYksKHtTdi31H5itFRjB5/qKTNYzSU=
-gopkg.in/check.v1 v0.0.0-20161208181325-20d25e280405/go.mod h1:Co6ibVJAznAaIkqp8huTwlJQCZ016jof/cbN4VW5Yz0=
-gopkg.in/yaml.v3 v3.0.0-20200313102051-9f266ea9e77c/go.mod h1:K4uyk7z7BCEPqu6E+C64Yfv1cQ7kz7rIZviUmN+EgEM=
-gopkg.in/yaml.v3 v3.0.1 h1:fxVm/GzAzEWqLHuvctI91KS9hhNmmWOoWu0XTYJS7CA=
-gopkg.in/yaml.v3 v3.0.1/go.mod h1:K4uyk7z7BCEPqu6E+C64Yfv1cQ7kz7rIZviUmN+EgEM=

mail/internal/crypto/envelope.go

@@ -1,118 +0,0 @@
-// Package crypto implementiert ARC-02: Envelope-Encryption für Objekte
-// at rest. Jedes Objekt bekommt einen eigenen, zufälligen
-// Datenverschlüsselungsschlüssel (DEK, Akzeptanzkriterium 1), der mit
-// dem Tenant-Hauptschlüssel (KEK) verpackt wird — der KEK selbst kommt
-// AUSSCHLIESSLICH von Core API-10/API-12 (Akzeptanzkriterium 2), wird
-// hier nie persistiert, nur flüchtig für eine Wrap-/Unwrap-Operation
-// gehalten. Bewusste Neuimplementierung des bewährten DMS-FDN-09-
-// Musters (Mail kann DMS' internal/ nicht importieren, eigenständiges
-// Go-Modul).
-package crypto
-
-import (
-	"bytes"
-	"crypto/aes"
-	"crypto/cipher"
-	"crypto/rand"
-	"errors"
-	"fmt"
-	"io"
-)
-
-const (
-	DEKSize = 32
-	KEKSize = 32
-)
-
-// ErrDecryptFailed wird geliefert, wenn ein Chiffretext nicht
-// entschlüsselt werden kann — falscher Schlüssel ODER manipulierte
-// Daten (Pflichtprüfung 2: GCM-Auth-Tag erkennt Manipulation
-// zuverlässig, AEAD unterscheidet die beiden Ursachen bewusst nicht).
-var ErrDecryptFailed = errors.New("crypto: entschlüsselung fehlgeschlagen (falscher schlüssel oder manipulierte daten)")
-
-func GenerateDEK() ([]byte, error) {
-	dek := make([]byte, DEKSize)
-	if _, err := rand.Read(dek); err != nil {
-		return nil, fmt.Errorf("crypto: dek erzeugen: %w", err)
-	}
-	return dek, nil
-}
-
-func seal(key, plaintext []byte) ([]byte, error) {
-	block, err := aes.NewCipher(key)
-	if err != nil {
-		return nil, fmt.Errorf("crypto: aes-cipher erstellen: %w", err)
-	}
-	gcm, err := cipher.NewGCM(block)
-	if err != nil {
-		return nil, fmt.Errorf("crypto: gcm erstellen: %w", err)
-	}
-	nonce := make([]byte, gcm.NonceSize())
-	if _, err := rand.Read(nonce); err != nil {
-		return nil, fmt.Errorf("crypto: nonce erzeugen: %w", err)
-	}
-	return gcm.Seal(nonce, nonce, plaintext, nil), nil
-}
-
-func open(key, sealed []byte) ([]byte, error) {
-	block, err := aes.NewCipher(key)
-	if err != nil {
-		return nil, fmt.Errorf("crypto: aes-cipher erstellen: %w", err)
-	}
-	gcm, err := cipher.NewGCM(block)
-	if err != nil {
-		return nil, fmt.Errorf("crypto: gcm erstellen: %w", err)
-	}
-	if len(sealed) < gcm.NonceSize() {
-		return nil, ErrDecryptFailed
-	}
-	nonce, ciphertext := sealed[:gcm.NonceSize()], sealed[gcm.NonceSize():]
-	plaintext, err := gcm.Open(nil, nonce, ciphertext, nil)
-	if err != nil {
-		return nil, ErrDecryptFailed
-	}
-	return plaintext, nil
-}
-
-func WrapDEK(kek, dek []byte) ([]byte, error) {
-	wrapped, err := seal(kek, dek)
-	if err != nil {
-		return nil, fmt.Errorf("crypto: dek verpacken: %w", err)
-	}
-	return wrapped, nil
-}
-
-func UnwrapDEK(kek, wrappedDEK []byte) ([]byte, error) {
-	return open(kek, wrappedDEK)
-}
-
-// EncryptStream verschlüsselt den gesamten Inhalt von r mit dek
-// (AES-256-GCM). Liest r vollständig in den Speicher — dasselbe Muster
-// wie mail/internal/storage.S3Driver.Put (ARC-01), das S3-PutObject
-// ebenfalls vollständig puffert; ein segmentiertes AEAD-Verfahren für
-// sehr große Anhänge ist bewusst nicht Teil der "kleinsten Lösung".
-func EncryptStream(dek []byte, r io.Reader) (io.Reader, error) {
-	plaintext, err := io.ReadAll(r)
-	if err != nil {
-		return nil, fmt.Errorf("crypto: klartext lesen: %w", err)
-	}
-	ciphertext, err := seal(dek, plaintext)
-	if err != nil {
-		return nil, fmt.Errorf("crypto: verschlüsseln: %w", err)
-	}
-	return bytes.NewReader(ciphertext), nil
-}
-
-// DecryptStream entschlüsselt einen zuvor mit EncryptStream erzeugten
-// Chiffretext-Stream.
-func DecryptStream(dek []byte, r io.Reader) (io.Reader, error) {
-	ciphertext, err := io.ReadAll(r)
-	if err != nil {
-		return nil, fmt.Errorf("crypto: chiffretext lesen: %w", err)
-	}
-	plaintext, err := open(dek, ciphertext)
-	if err != nil {
-		return nil, err
-	}
-	return bytes.NewReader(plaintext), nil
-}

mail/internal/crypto/kekprovider.go

@@ -1,80 +0,0 @@
-package crypto
-
-import (
-	"context"
-	"encoding/base64"
-	"encoding/json"
-	"fmt"
-	"net/http"
-	"net/url"
-)
-
-// KEKProvider liefert den aktuellen, entschlüsselten Tenant-KEK
-// (Akzeptanzkriterium 2: KEK kommt ausschließlich von Core API-10/
-// API-12). Schmale Schnittstelle, damit Tests einen Fake statt eines
-// echten HTTP-Aufrufs einsetzen können.
-type KEKProvider interface {
-	TenantKEK(ctx context.Context, tenantSlug string) ([]byte, error)
-}
-
-// tenantKEKResponse entspricht Core internal/kek.tenantKEKResponse
-// (JSON-Vertrag: tenant_kek_base64) — dieselbe Struktur, hier
-// gespiegelt, da Mail Cores internal/-Pakete nicht importieren kann.
-type tenantKEKResponse struct {
-	TenantKEKBase64 string `json:"tenant_kek_base64"`
-}
-
-// HTTPKEKProvider bezieht den Tenant-KEK über Core API-12
-// (internal/kek.Handler.TenantKEKHandler, echt laufender Dienst),
-// authentifiziert über dasselbe Service-Credential-Verfahren wie jeder
-// andere Modul-Core-Aufruf (API-02) — identisches Muster wie DMS
-// FDN-09/internal/storage.HTTPUsageReporter aus ARC-01.
-type HTTPKEKProvider struct {
-	endpointURL  string
-	clientID     string
-	clientSecret string
-	httpClient   *http.Client
-}
-
-func NewHTTPKEKProvider(endpointURL, clientID, clientSecret string, httpClient *http.Client) *HTTPKEKProvider {
-	if httpClient == nil {
-		httpClient = http.DefaultClient
-	}
-	return &HTTPKEKProvider{endpointURL: endpointURL, clientID: clientID, clientSecret: clientSecret, httpClient: httpClient}
-}
-
-func (p *HTTPKEKProvider) TenantKEK(ctx context.Context, tenantSlug string) ([]byte, error) {
-	u, err := url.Parse(p.endpointURL)
-	if err != nil {
-		return nil, fmt.Errorf("crypto: kek-endpunkt-url ungültig: %w", err)
-	}
-	q := u.Query()
-	q.Set("tenant", tenantSlug)
-	u.RawQuery = q.Encode()
-
-	req, err := http.NewRequestWithContext(ctx, http.MethodGet, u.String(), nil)
-	if err != nil {
-		return nil, fmt.Errorf("crypto: kek-anfrage aufbauen: %w", err)
-	}
-	req.Header.Set("X-Nexarch-Client-Id", p.clientID)
-	req.Header.Set("X-Nexarch-Client-Secret", p.clientSecret)
-
-	resp, err := p.httpClient.Do(req)
-	if err != nil {
-		return nil, fmt.Errorf("crypto: kek-anfrage senden: %w", err)
-	}
-	defer func() { _ = resp.Body.Close() }()
-	if resp.StatusCode != http.StatusOK {
-		return nil, fmt.Errorf("crypto: kek-bezug von core abgelehnt: status %d", resp.StatusCode)
-	}
-
-	var body tenantKEKResponse
-	if err := json.NewDecoder(resp.Body).Decode(&body); err != nil {
-		return nil, fmt.Errorf("crypto: kek-antwort dekodieren: %w", err)
-	}
-	kek, err := base64.StdEncoding.DecodeString(body.TenantKEKBase64)
-	if err != nil {
-		return nil, fmt.Errorf("crypto: kek base64-dekodieren: %w", err)
-	}
-	return kek, nil
-}

mail/internal/crypto/kekversions.go

@@ -1,144 +0,0 @@
-// ARC-08: Tenant-KEK-Rotation. Core (API-10, `internal/kek.Store.
-// RotateTenantKEK`) ersetzt den Tenant-KEK durch einen komplett neuen
-// Wert — Core selbst hält KEINE Historie vor, `TenantKEKHandler` liefert
-// immer nur den AKTUELLEN Schlüssel (siehe kekprovider.go). Damit ARC-08s
-// Akzeptanzkriterium 3 ("alte Schlüsselversionen bleiben für
-// Lesezugriff kontrolliert verfügbar") erfüllbar ist, muss Mail selbst
-// jeden von Core bezogenen Tenant-KEK versioniert zwischenspeichern —
-// KEKVersionStore übernimmt genau das, lokal mit einem eigenen,
-// ausschließlich über Umgebungsvariable bezogenen Wrap-Schlüssel
-// verschlüsselt (kein Klartext-KEK in der Datenbank).
-package crypto
-
-import (
-	"bytes"
-	"context"
-	"errors"
-	"fmt"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// ErrKEKVersionNotFound wird geliefert, wenn die angefragte Version für
-// den Mandanten nicht existiert.
-var ErrKEKVersionNotFound = errors.New("crypto: kek-version nicht gefunden")
-
-// ErrKEKVersionRevoked wird geliefert, wenn die angefragte Version gezielt
-// gesperrt wurde (Pflichtprüfung 2: kompromittierter alter Schlüssel kann
-// gezielt gesperrt werden) — der Lesezugriff auf mit dieser Version
-// verschlüsselte Altobjekte ist dann bewusst blockiert.
-var ErrKEKVersionRevoked = errors.New("crypto: kek-version wurde gesperrt")
-
-// KEKVersionStore verwaltet die Versionshistorie der Tenant-KEKs, die
-// dieses Mail-Modul im Lauf der Zeit von Core bezogen hat.
-type KEKVersionStore struct {
-	pool         *pgxpool.Pool
-	localWrapKey []byte
-}
-
-// NewKEKVersionStore erzeugt einen Store. localWrapKey verschlüsselt die
-// zwischengespeicherten Tenant-KEKs lokal at rest (KEKSize Bytes,
-// ausschließlich über Umgebungsvariable bezogen — nie im Code).
-func NewKEKVersionStore(pool *pgxpool.Pool, localWrapKey []byte) *KEKVersionStore {
-	return &KEKVersionStore{pool: pool, localWrapKey: localWrapKey}
-}
-
-// EnsureSchema legt die Tabelle an, falls sie noch nicht existiert —
-// gleiches Muster wie mail/internal/dedup/indexworker (kein zentraler
-// Migrationsläufer für Mandanten-Datenbanken im Mail-Modul vorhanden).
-func (s *KEKVersionStore) EnsureSchema(ctx context.Context) error {
-	if _, err := s.pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS mail_kek_versions (
-			tenant_slug  TEXT NOT NULL,
-			version      INT NOT NULL,
-			wrapped_kek  BYTEA NOT NULL,
-			revoked      BOOLEAN NOT NULL DEFAULT false,
-			created_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
-			PRIMARY KEY (tenant_slug, version)
-		)
-	`); err != nil {
-		return fmt.Errorf("crypto: kek-versionsschema anlegen: %w", err)
-	}
-	return nil
-}
-
-// RecordIfNew merkt sich plainKEK als neue Version für tenantSlug, FALLS
-// er sich vom zuletzt gespeicherten Wert unterscheidet (Rotation
-// erkannt) — bei unverändertem KEK wird keine neue Version angelegt,
-// sondern die bestehende Versionsnummer zurückgegeben (Akzeptanzkriterium
-// 1: rotierbar verwaltet, nicht bei jedem Aufruf eine neue Version).
-func (s *KEKVersionStore) RecordIfNew(ctx context.Context, tenantSlug string, plainKEK []byte) (version int, err error) {
-	var latestVersion int
-	var latestWrapped []byte
-	err = s.pool.QueryRow(ctx, `
-		SELECT version, wrapped_kek FROM mail_kek_versions
-		WHERE tenant_slug = $1 ORDER BY version DESC LIMIT 1
-	`, tenantSlug).Scan(&latestVersion, &latestWrapped)
-	switch {
-	case errors.Is(err, pgx.ErrNoRows):
-		return s.insertVersion(ctx, tenantSlug, 1, plainKEK)
-	case err != nil:
-		return 0, fmt.Errorf("crypto: letzte kek-version lesen: %w", err)
-	}
-
-	latestPlain, err := open(s.localWrapKey, latestWrapped)
-	if err != nil {
-		return 0, fmt.Errorf("crypto: zwischengespeicherten kek entpacken: %w", err)
-	}
-	if bytes.Equal(latestPlain, plainKEK) {
-		return latestVersion, nil
-	}
-	return s.insertVersion(ctx, tenantSlug, latestVersion+1, plainKEK)
-}
-
-func (s *KEKVersionStore) insertVersion(ctx context.Context, tenantSlug string, version int, plainKEK []byte) (int, error) {
-	wrapped, err := seal(s.localWrapKey, plainKEK)
-	if err != nil {
-		return 0, fmt.Errorf("crypto: kek für zwischenspeicherung verpacken: %w", err)
-	}
-	if _, err := s.pool.Exec(ctx, `
-		INSERT INTO mail_kek_versions (tenant_slug, version, wrapped_kek) VALUES ($1, $2, $3)
-	`, tenantSlug, version, wrapped); err != nil {
-		return 0, fmt.Errorf("crypto: kek-version speichern: %w", err)
-	}
-	return version, nil
-}
-
-// Get liefert den entschlüsselten historischen Tenant-KEK einer
-// bestimmten Version. Liefert ErrKEKVersionRevoked, wenn die Version
-// gezielt gesperrt wurde (Pflichtprüfung 2).
-func (s *KEKVersionStore) Get(ctx context.Context, tenantSlug string, version int) ([]byte, error) {
-	var wrapped []byte
-	var revoked bool
-	err := s.pool.QueryRow(ctx, `
-		SELECT wrapped_kek, revoked FROM mail_kek_versions
-		WHERE tenant_slug = $1 AND version = $2
-	`, tenantSlug, version).Scan(&wrapped, &revoked)
-	if err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return nil, ErrKEKVersionNotFound
-		}
-		return nil, fmt.Errorf("crypto: kek-version lesen: %w", err)
-	}
-	if revoked {
-		return nil, ErrKEKVersionRevoked
-	}
-	return open(s.localWrapKey, wrapped)
-}
-
-// Revoke sperrt eine Tenant-KEK-Version gezielt (Pflichtprüfung 2):
-// nachfolgende Get-Aufrufe für genau diese Version schlagen mit
-// ErrKEKVersionRevoked fehl, andere Versionen bleiben unberührt.
-func (s *KEKVersionStore) Revoke(ctx context.Context, tenantSlug string, version int) error {
-	tag, err := s.pool.Exec(ctx, `
-		UPDATE mail_kek_versions SET revoked = true WHERE tenant_slug = $1 AND version = $2
-	`, tenantSlug, version)
-	if err != nil {
-		return fmt.Errorf("crypto: kek-version sperren: %w", err)
-	}
-	if tag.RowsAffected() == 0 {
-		return ErrKEKVersionNotFound
-	}
-	return nil
-}

mail/internal/crypto/kekversions_test.go

@@ -1,111 +0,0 @@
-// Integrationstest (ARC-08): echte Postgres-Instanz, folgt derselben
-// Testhost-Konvention wie mail/internal/dedup/indexworker — TEST_TENANT_DSN.
-package crypto
-
-import (
-	"bytes"
-	"context"
-	"os"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-var testLocalWrapKey = bytes.Repeat([]byte{0x7a}, KEKSize)
-
-func setupKEKVersionStore(t *testing.T, tenantSlug string) *KEKVersionStore {
-	t.Helper()
-	dsn := os.Getenv("TEST_TENANT_DSN")
-	if dsn == "" {
-		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest übersprungen")
-	}
-	ctx := context.Background()
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	t.Cleanup(func() { pool.Close() })
-
-	store := NewKEKVersionStore(pool, testLocalWrapKey)
-	if err := store.EnsureSchema(ctx); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-	t.Cleanup(func() {
-		_, _ = pool.Exec(context.Background(), `DELETE FROM mail_kek_versions WHERE tenant_slug = $1`, tenantSlug)
-	})
-	return store
-}
-
-func TestKEKVersionStore_RecordIfNewDetectsRotationOnly(t *testing.T) {
-	tenant := "mandant-arc08-recordifnew"
-	store := setupKEKVersionStore(t, tenant)
-	ctx := context.Background()
-
-	kekV1 := bytes.Repeat([]byte{0x01}, KEKSize)
-	v1, err := store.RecordIfNew(ctx, tenant, kekV1)
-	if err != nil {
-		t.Fatalf("erste erfassung: %v", err)
-	}
-	if v1 != 1 {
-		t.Fatalf("erwartete version 1, habe %d", v1)
-	}
-
-	// Erneuter Aufruf mit UNVERÄNDERTEM KEK darf keine neue Version anlegen.
-	vAgain, err := store.RecordIfNew(ctx, tenant, kekV1)
-	if err != nil {
-		t.Fatalf("zweite erfassung (unverändert): %v", err)
-	}
-	if vAgain != 1 {
-		t.Fatalf("erwartete weiterhin version 1 bei unverändertem kek, habe %d", vAgain)
-	}
-
-	kekV2 := bytes.Repeat([]byte{0x02}, KEKSize)
-	v2, err := store.RecordIfNew(ctx, tenant, kekV2)
-	if err != nil {
-		t.Fatalf("dritte erfassung (rotiert): %v", err)
-	}
-	if v2 != 2 {
-		t.Fatalf("erwartete version 2 nach rotation, habe %d", v2)
-	}
-
-	gotV1, err := store.Get(ctx, tenant, 1)
-	if err != nil {
-		t.Fatalf("get v1: %v", err)
-	}
-	if !bytes.Equal(gotV1, kekV1) {
-		t.Fatal("v1 liefert nicht den ursprünglichen kek zurück")
-	}
-	gotV2, err := store.Get(ctx, tenant, 2)
-	if err != nil {
-		t.Fatalf("get v2: %v", err)
-	}
-	if !bytes.Equal(gotV2, kekV2) {
-		t.Fatal("v2 liefert nicht den rotierten kek zurück")
-	}
-}
-
-func TestKEKVersionStore_RevokeBlocksOnlyThatVersion(t *testing.T) {
-	tenant := "mandant-arc08-revoke"
-	store := setupKEKVersionStore(t, tenant)
-	ctx := context.Background()
-
-	kekV1 := bytes.Repeat([]byte{0x11}, KEKSize)
-	kekV2 := bytes.Repeat([]byte{0x22}, KEKSize)
-	if _, err := store.RecordIfNew(ctx, tenant, kekV1); err != nil {
-		t.Fatalf("v1 erfassen: %v", err)
-	}
-	if _, err := store.RecordIfNew(ctx, tenant, kekV2); err != nil {
-		t.Fatalf("v2 erfassen: %v", err)
-	}
-
-	if err := store.Revoke(ctx, tenant, 1); err != nil {
-		t.Fatalf("v1 sperren: %v", err)
-	}
-
-	if _, err := store.Get(ctx, tenant, 1); err != ErrKEKVersionRevoked {
-		t.Fatalf("erwartete ErrKEKVersionRevoked für gesperrte version 1, habe: %v", err)
-	}
-	if _, err := store.Get(ctx, tenant, 2); err != nil {
-		t.Fatalf("version 2 sollte unberührt bleiben: %v", err)
-	}
-}

mail/internal/crypto/rotation_test.go

@@ -1,131 +0,0 @@
-// ARC-08: End-zu-Ende-Rotationstest. Nutzt einen fake KEKProvider (echter
-// Testkonvention aus ARC-02, siehe encstorage_test.go) statt eines echten
-// HTTP-Aufrufs an Core API-12 — Core selbst hat keine rotierbare
-// Testschnittstelle über HTTP exponiert (nur der aktuelle KEK ist
-// abrufbar), die Rotation wird hier auf Höhe der KEKProvider-Schnittstelle
-// simuliert, exakt wie ARC-02 es für Fehlerfälle bereits tut.
-package crypto
-
-import (
-	"bytes"
-	"context"
-	"io"
-	"strings"
-	"sync"
-	"testing"
-)
-
-// rotatableKEKProvider liefert für einen Mandanten einen aktuell
-// gesetzten KEK, der zur Laufzeit "rotiert" werden kann (simuliert Core
-// API-10s RotateTenantKEK, dessen Effekt auf API-12 exakt darin besteht,
-// dass TenantKEK ab dann einen anderen Wert liefert).
-type rotatableKEKProvider struct {
-	mu      sync.Mutex
-	current []byte
-}
-
-func (p *rotatableKEKProvider) TenantKEK(_ context.Context, _ string) ([]byte, error) {
-	p.mu.Lock()
-	defer p.mu.Unlock()
-	return p.current, nil
-}
-
-func (p *rotatableKEKProvider) rotate(newKEK []byte) {
-	p.mu.Lock()
-	defer p.mu.Unlock()
-	p.current = newKEK
-}
-
-// TestRotation_OldArchiveStaysReadableAfterMasterKeyRotation ist die
-// geforderte Pflichtprüfung 1: Rotation des Hauptschlüssels lässt
-// Altbestand weiterhin lesbar.
-func TestRotation_OldArchiveStaysReadableAfterMasterKeyRotation(t *testing.T) {
-	tenant := "mandant-arc08-rotation-lesbar"
-	store := setupKEKVersionStore(t, tenant)
-	ctx := context.Background()
-
-	provider := &rotatableKEKProvider{current: bytes.Repeat([]byte{0x51}, KEKSize)}
-	svc := NewService(provider).WithVersionStore(store)
-
-	// Objekt VOR der Rotation versiegeln.
-	oldEnvelope, err := svc.Seal(ctx, tenant, strings.NewReader("altbestand vor rotation"))
-	if err != nil {
-		t.Fatalf("seal (alt): %v", err)
-	}
-	if oldEnvelope.KEKVersion != 1 {
-		t.Fatalf("erwartete kek-version 1 vor rotation, habe %d", oldEnvelope.KEKVersion)
-	}
-	oldCiphertext, err := io.ReadAll(oldEnvelope.Ciphertext)
-	if err != nil {
-		t.Fatalf("chiffretext (alt) lesen: %v", err)
-	}
-
-	// Core rotiert den Tenant-Hauptschlüssel — TenantKEK liefert ab jetzt
-	// einen komplett anderen Wert, exakt wie internal/kek.Store.
-	// RotateTenantKEK es real bei Core bewirkt.
-	provider.rotate(bytes.Repeat([]byte{0x52}, KEKSize))
-
-	// Objekt NACH der Rotation versiegeln (Akzeptanzkriterium 2: kein
-	// Neuverschlüsseln des Altbestands nötig, nur neue Objekte nutzen den
-	// neuen Schlüssel).
-	newEnvelope, err := svc.Seal(ctx, tenant, strings.NewReader("neuer inhalt nach rotation"))
-	if err != nil {
-		t.Fatalf("seal (neu): %v", err)
-	}
-	if newEnvelope.KEKVersion != 2 {
-		t.Fatalf("erwartete kek-version 2 nach rotation, habe %d", newEnvelope.KEKVersion)
-	}
-
-	// Altbestand bleibt über die aufgezeichnete Version lesbar
-	// (Akzeptanzkriterium 3).
-	openedOld, err := svc.OpenAtVersion(ctx, tenant, oldEnvelope.KEKVersion, oldEnvelope.WrappedDEK, bytes.NewReader(oldCiphertext))
-	if err != nil {
-		t.Fatalf("openatversion (alt, nach rotation): %v", err)
-	}
-	plainOld, err := io.ReadAll(openedOld)
-	if err != nil {
-		t.Fatalf("altbestand lesen: %v", err)
-	}
-	if string(plainOld) != "altbestand vor rotation" {
-		t.Fatalf("altbestand-inhalt stimmt nicht, habe %q", string(plainOld))
-	}
-
-	// Der naive Open() (aktueller KEK) darf für das ALTE Objekt inzwischen
-	// NICHT mehr funktionieren — das beweist, dass OpenAtVersion die
-	// Rotation tatsächlich überbrückt, statt zufällig auch so zu klappen.
-	if _, err := svc.Open(ctx, tenant, oldEnvelope.WrappedDEK, bytes.NewReader(oldCiphertext)); err == nil {
-		t.Fatal("erwartete fehler bei Open() des altbestands mit dem NEUEN aktuellen kek, habe nil")
-	}
-}
-
-// TestRotation_CompromisedOldKeyCanBeRevoked ist die geforderte
-// Pflichtprüfung 2: kompromittierter alter Schlüssel kann gezielt
-// gesperrt werden.
-func TestRotation_CompromisedOldKeyCanBeRevoked(t *testing.T) {
-	tenant := "mandant-arc08-revoke-e2e"
-	store := setupKEKVersionStore(t, tenant)
-	ctx := context.Background()
-
-	provider := &rotatableKEKProvider{current: bytes.Repeat([]byte{0x61}, KEKSize)}
-	svc := NewService(provider).WithVersionStore(store)
-
-	compromisedEnvelope, err := svc.Seal(ctx, tenant, strings.NewReader("mit kompromittiertem schlüssel versiegelt"))
-	if err != nil {
-		t.Fatalf("seal: %v", err)
-	}
-	compromisedCiphertext, err := io.ReadAll(compromisedEnvelope.Ciphertext)
-	if err != nil {
-		t.Fatalf("chiffretext lesen: %v", err)
-	}
-
-	provider.rotate(bytes.Repeat([]byte{0x62}, KEKSize))
-
-	if err := store.Revoke(ctx, tenant, compromisedEnvelope.KEKVersion); err != nil {
-		t.Fatalf("kompromittierte version sperren: %v", err)
-	}
-
-	_, err = svc.OpenAtVersion(ctx, tenant, compromisedEnvelope.KEKVersion, compromisedEnvelope.WrappedDEK, bytes.NewReader(compromisedCiphertext))
-	if err == nil {
-		t.Fatal("erwartete fehler beim lesen mit gesperrter kek-version, habe nil")
-	}
-}

mail/internal/crypto/service.go

@@ -1,114 +0,0 @@
-package crypto
-
-import (
-	"context"
-	"fmt"
-	"io"
-)
-
-// Envelope ist das Ergebnis einer Seal-Operation: der Chiffretext-
-// Stream plus der mit dem Tenant-KEK verpackte DEK, der zusammen mit
-// dem Objekt persistiert werden muss (siehe mail/internal/encstorage).
-// KEKVersion identifiziert (ARC-08), MIT welcher Tenant-KEK-Version der
-// DEK verpackt wurde — 0, solange kein KEKVersionStore konfiguriert ist
-// (Rückwärtskompatibilität, siehe WithVersionStore).
-type Envelope struct {
-	Ciphertext io.Reader
-	WrappedDEK []byte
-	KEKVersion int
-}
-
-// Service verbindet KEKProvider mit den Envelope-Operationen — Aufrufer
-// (mail/internal/encstorage) rufen ausschließlich Service auf, nie die
-// Einzelfunktionen aus envelope.go direkt.
-type Service struct {
-	kek      KEKProvider
-	versions *KEKVersionStore
-}
-
-func NewService(kek KEKProvider) *Service {
-	return &Service{kek: kek}
-}
-
-// WithVersionStore aktiviert die Tenant-KEK-Versionsverfolgung (ARC-08).
-// Ohne aufgerufenes WithVersionStore verhält sich Service exakt wie vor
-// ARC-08 (KEKVersion bleibt 0, OpenAtVersion fällt auf Open zurück) —
-// bestehende Aufrufer (z. B. encstorage) sind unverändert lauffähig.
-func (s *Service) WithVersionStore(store *KEKVersionStore) *Service {
-	s.versions = store
-	return s
-}
-
-// Seal erzeugt einen neuen DEK (Akzeptanzkriterium 1), verschlüsselt
-// plaintext damit und verpackt den DEK mit dem aktuellen Tenant-KEK
-// (Akzeptanzkriterium 2 — der KEK wird bei JEDEM Aufruf frisch von Core
-// bezogen, nie zwischengespeichert außer in der optionalen
-// KEK-Versionshistorie für spätere Altbestands-Lesezugriffe).
-func (s *Service) Seal(ctx context.Context, tenantSlug string, plaintext io.Reader) (*Envelope, error) {
-	dek, err := GenerateDEK()
-	if err != nil {
-		return nil, err
-	}
-	ciphertext, err := EncryptStream(dek, plaintext)
-	if err != nil {
-		return nil, err
-	}
-	kek, err := s.kek.TenantKEK(ctx, tenantSlug)
-	if err != nil {
-		return nil, fmt.Errorf("crypto: tenant-kek beziehen: %w", err)
-	}
-	wrappedDEK, err := WrapDEK(kek, dek)
-	if err != nil {
-		return nil, err
-	}
-
-	var kekVersion int
-	if s.versions != nil {
-		kekVersion, err = s.versions.RecordIfNew(ctx, tenantSlug, kek)
-		if err != nil {
-			return nil, fmt.Errorf("crypto: kek-version erfassen: %w", err)
-		}
-	}
-
-	return &Envelope{Ciphertext: ciphertext, WrappedDEK: wrappedDEK, KEKVersion: kekVersion}, nil
-}
-
-// Open entpackt den DEK mit dem AKTUELLEN Tenant-KEK (Akzeptanzkriterium
-// 3: nur mit gültigem, mandantenbezogenem Schlüssel möglich — ein
-// falscher Tenant-Slug liefert entweder einen falschen KEK von Core
-// [dann schlägt UnwrapDEK fehl] oder Core verweigert den Zugriff direkt)
-// und entschlüsselt ciphertext damit. Nach einer Tenant-KEK-Rotation bei
-// Core funktioniert Open nur noch für Objekte, die mit dem NEUEN KEK
-// versiegelt wurden — für Altbestand siehe OpenAtVersion.
-func (s *Service) Open(ctx context.Context, tenantSlug string, wrappedDEK []byte, ciphertext io.Reader) (io.Reader, error) {
-	kek, err := s.kek.TenantKEK(ctx, tenantSlug)
-	if err != nil {
-		return nil, fmt.Errorf("crypto: tenant-kek beziehen: %w", err)
-	}
-	dek, err := UnwrapDEK(kek, wrappedDEK)
-	if err != nil {
-		return nil, err
-	}
-	return DecryptStream(dek, ciphertext)
-}
-
-// OpenAtVersion entpackt den DEK mit der beim Seal aufgezeichneten
-// historischen Tenant-KEK-Version statt mit dem aktuellen Core-KEK
-// (ARC-08 Akzeptanzkriterium 3: Altbestand bleibt nach einer
-// Hauptschlüssel-Rotation lesbar). Ist kekVersion 0 oder kein
-// KEKVersionStore konfiguriert, verhält es sich wie Open (Rückwärts-
-// kompatibilität für vor ARC-08 versiegelte Objekte).
-func (s *Service) OpenAtVersion(ctx context.Context, tenantSlug string, kekVersion int, wrappedDEK []byte, ciphertext io.Reader) (io.Reader, error) {
-	if kekVersion == 0 || s.versions == nil {
-		return s.Open(ctx, tenantSlug, wrappedDEK, ciphertext)
-	}
-	kek, err := s.versions.Get(ctx, tenantSlug, kekVersion)
-	if err != nil {
-		return nil, fmt.Errorf("crypto: historischen tenant-kek beziehen: %w", err)
-	}
-	dek, err := UnwrapDEK(kek, wrappedDEK)
-	if err != nil {
-		return nil, err
-	}
-	return DecryptStream(dek, ciphertext)
-}

mail/internal/dedup/hash.go

@@ -1,35 +0,0 @@
-// Package dedup implementiert ARC-03: Dublettenerkennung für
-// archivierte E-Mails über einen Inhalts-Hash. Kombiniert bewusst NICHT
-// mit mail/internal/storage oder mail/internal/crypto — dieses Paket
-// kennt beide nicht, der Aufrufer (spätere Ingest-Tickets) ruft es VOR
-// mail/internal/crypto auf.
-package dedup
-
-import (
-	"bytes"
-	"crypto/sha256"
-	"encoding/hex"
-	"fmt"
-	"io"
-)
-
-// HashAndBuffer berechnet den SHA-256-Inhalts-Hash von plaintext.
-//
-// Bekannter Fehler vermeiden (siehe ARC-03-Ticket): der Hash MUSS auf
-// dem Klartext berechnet werden, BEVOR mail/internal/crypto verschlüsselt
-// — ein Hash auf dem Chiffretext wäre bei jedem Import anders (neuer
-// DEK je Objekt, siehe ARC-02) und Dublettenerkennung würde vollständig
-// versagen. Reihenfolge: Mail/Anhang empfangen -> HashAndBuffer (dieses
-// Paket) -> verschlüsseln (ARC-02) -> ablegen.
-//
-// plaintext wird beim Hashen vollständig verbraucht — HashAndBuffer
-// liefert deshalb einen erneut lesbaren Reader mit demselben Inhalt für
-// den nachfolgenden Verschlüsselungsschritt zurück.
-func HashAndBuffer(plaintext io.Reader) (contentHash string, buffered io.Reader, err error) {
-	var buf bytes.Buffer
-	hasher := sha256.New()
-	if _, err := io.Copy(hasher, io.TeeReader(plaintext, &buf)); err != nil {
-		return "", nil, fmt.Errorf("dedup: klartext hashen: %w", err)
-	}
-	return hex.EncodeToString(hasher.Sum(nil)), &buf, nil
-}

mail/internal/dedup/hash_test.go

@@ -1,58 +0,0 @@
-package dedup
-
-import (
-	"io"
-	"strings"
-	"testing"
-)
-
-func TestHashAndBuffer_SameContentSameHash(t *testing.T) {
-	h1, buf1, err := HashAndBuffer(strings.NewReader("identischer inhalt"))
-	if err != nil {
-		t.Fatal(err)
-	}
-	h2, buf2, err := HashAndBuffer(strings.NewReader("identischer inhalt"))
-	if err != nil {
-		t.Fatal(err)
-	}
-	if h1 != h2 {
-		t.Fatalf("erwartet identischen hash für identischen inhalt, habe %q vs %q", h1, h2)
-	}
-
-	got1, _ := io.ReadAll(buf1)
-	got2, _ := io.ReadAll(buf2)
-	if string(got1) != "identischer inhalt" || string(got2) != "identischer inhalt" {
-		t.Fatal("buffered reader liefert nicht denselben inhalt zurück wie der ursprüngliche klartext")
-	}
-}
-
-func TestHashAndBuffer_DifferentContentDifferentHash(t *testing.T) {
-	h1, _, err := HashAndBuffer(strings.NewReader("nachricht a"))
-	if err != nil {
-		t.Fatal(err)
-	}
-	h2, _, err := HashAndBuffer(strings.NewReader("nachricht b"))
-	if err != nil {
-		t.Fatal(err)
-	}
-	if h1 == h2 {
-		t.Fatal("unterschiedlicher inhalt hätte unterschiedlichen hash liefern müssen")
-	}
-}
-
-// TestHashAndBuffer_SlightlyDifferentContentDifferentHash ist die
-// geforderte Pflichtprüfung 3: knapp unterschiedliche Nachrichten
-// werden korrekt NICHT als Duplikat erkannt.
-func TestHashAndBuffer_SlightlyDifferentContentDifferentHash(t *testing.T) {
-	h1, _, err := HashAndBuffer(strings.NewReader("Betreff: Test\r\n\r\nInhalt der Nachricht."))
-	if err != nil {
-		t.Fatal(err)
-	}
-	h2, _, err := HashAndBuffer(strings.NewReader("Betreff: Test\r\n\r\nInhalt der Nachricht,"))
-	if err != nil {
-		t.Fatal(err)
-	}
-	if h1 == h2 {
-		t.Fatal("ein einziges abweichendes zeichen hätte den hash ändern müssen")
-	}
-}

mail/internal/dedup/store.go

@@ -1,75 +0,0 @@
-package dedup
-
-import (
-	"context"
-	"errors"
-	"fmt"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// Store verwaltet bekannte Inhalts-Hashes je Mandant. tenant_slug ist
-// fester Bestandteil des Primärschlüssels (Akzeptanzkriterium 3:
-// mandantenübergreifend korrekt getrennt) — auch wenn Store einen mit
-// anderen Mandanten geteilten Pool erhält, kann ein Hash-Treffer nie
-// über Mandantengrenzen hinweg entstehen.
-type Store struct {
-	pool       *pgxpool.Pool
-	tenantSlug string
-}
-
-func NewStore(pool *pgxpool.Pool, tenantSlug string) *Store {
-	return &Store{pool: pool, tenantSlug: tenantSlug}
-}
-
-// EnsureSchema legt die Tabelle an, falls sie noch nicht existiert —
-// gleiches Muster wie mail/internal/example (kein zentraler
-// Migrationsläufer für Mandanten-Datenbanken im Mail-Modul vorhanden).
-func (s *Store) EnsureSchema(ctx context.Context) error {
-	if _, err := s.pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS mail_content_hashes (
-			tenant_slug  TEXT NOT NULL,
-			content_hash TEXT NOT NULL,
-			object_key   TEXT NOT NULL,
-			created_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
-			PRIMARY KEY (tenant_slug, content_hash)
-		)
-	`); err != nil {
-		return fmt.Errorf("dedup: schema anlegen: %w", err)
-	}
-	return nil
-}
-
-// Register trägt contentHash für den Mandanten als neu bekannt ein
-// (Akzeptanzkriterium 1) und referenziert das Original, statt es
-// redundant zu speichern (Akzeptanzkriterium 2): existiert derselbe
-// Hash für DIESEN Mandanten bereits mit einem ANDEREN object_key,
-// liefert Register isDuplicate=true und den object_key des Originals —
-// der Aufrufer legt den neuen Inhalt dann NICHT ab.
-func (s *Store) Register(ctx context.Context, contentHash, objectKey string) (isDuplicate bool, existingKey string, err error) {
-	if _, err := s.pool.Exec(ctx, `
-		INSERT INTO mail_content_hashes (tenant_slug, content_hash, object_key)
-		VALUES ($1, $2, $3)
-		ON CONFLICT (tenant_slug, content_hash) DO NOTHING
-	`, s.tenantSlug, contentHash, objectKey); err != nil {
-		return false, "", fmt.Errorf("dedup: hash eintragen: %w", err)
-	}
-
-	var storedKey string
-	err = s.pool.QueryRow(ctx, `
-		SELECT object_key FROM mail_content_hashes
-		WHERE tenant_slug = $1 AND content_hash = $2
-	`, s.tenantSlug, contentHash).Scan(&storedKey)
-	if err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return false, "", fmt.Errorf("dedup: gerade eingetragenen hash nicht wiedergefunden")
-		}
-		return false, "", fmt.Errorf("dedup: eintrag lesen: %w", err)
-	}
-
-	if storedKey != objectKey {
-		return true, storedKey, nil
-	}
-	return false, "", nil
-}

mail/internal/dedup/store_integration_test.go

@@ -1,94 +0,0 @@
-// Integrationstest (ARC-03): echte Postgres-Instanz, folgt derselben
-// Testhost-Konvention wie mail/internal/example (QA-01) — TEST_TENANT_DSN.
-package dedup
-
-import (
-	"context"
-	"os"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-func setupStore(t *testing.T, tenantSlug string) *Store {
-	t.Helper()
-	dsn := os.Getenv("TEST_TENANT_DSN")
-	if dsn == "" {
-		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest übersprungen")
-	}
-	ctx := context.Background()
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	t.Cleanup(func() { pool.Close() })
-
-	store := NewStore(pool, tenantSlug)
-	if err := store.EnsureSchema(ctx); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-	t.Cleanup(func() {
-		_, _ = pool.Exec(context.Background(), `DELETE FROM mail_content_hashes WHERE tenant_slug = $1`, tenantSlug)
-	})
-	return store
-}
-
-// TestRegister_SameMessageFromTwoSourcesIsDuplicate ist die geforderte
-// Pflichtprüfung 1: dieselbe Nachricht aus zwei Quellen wird als
-// Duplikat erkannt.
-func TestRegister_SameMessageFromTwoSourcesIsDuplicate(t *testing.T) {
-	store := setupStore(t, "mandant-arc03-a")
-	ctx := context.Background()
-
-	hash := "fixierter-inhalts-hash-fuer-test-1"
-
-	isDup, _, err := store.Register(ctx, hash, "quelle-1/objekt")
-	if err != nil {
-		t.Fatalf("erste registrierung: %v", err)
-	}
-	if isDup {
-		t.Fatal("erste registrierung eines hashes darf kein duplikat sein")
-	}
-
-	isDup, existing, err := store.Register(ctx, hash, "quelle-2/objekt")
-	if err != nil {
-		t.Fatalf("zweite registrierung: %v", err)
-	}
-	if !isDup {
-		t.Fatal("erwartet: dieselbe nachricht aus zweiter quelle wird als duplikat erkannt")
-	}
-	if existing != "quelle-1/objekt" {
-		t.Fatalf("erwartet referenz auf das original quelle-1/objekt, habe %q", existing)
-	}
-}
-
-// TestRegister_SameContentTwoTenantsNotLinked ist die geforderte
-// Pflichtprüfung 2: zwei Mandanten mit identischem Mailinhalt werden
-// nicht fälschlich verknüpft.
-func TestRegister_SameContentTwoTenantsNotLinked(t *testing.T) {
-	dsn := os.Getenv("TEST_TENANT_DSN")
-	if dsn == "" {
-		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest übersprungen")
-	}
-	storeA := setupStore(t, "mandant-arc03-x")
-	storeB := setupStore(t, "mandant-arc03-y")
-	ctx := context.Background()
-
-	hash := "identischer-inhalt-ueber-zwei-mandanten-hinweg"
-
-	isDupA, _, err := storeA.Register(ctx, hash, "mandant-x/objekt")
-	if err != nil {
-		t.Fatalf("mandant a: %v", err)
-	}
-	if isDupA {
-		t.Fatal("erste registrierung bei mandant a darf kein duplikat sein")
-	}
-
-	isDupB, existingB, err := storeB.Register(ctx, hash, "mandant-y/objekt")
-	if err != nil {
-		t.Fatalf("mandant b: %v", err)
-	}
-	if isDupB {
-		t.Fatalf("mandant b wurde fälschlich mit mandant a verknüpft, existing=%q", existingB)
-	}
-}

mail/internal/encstorage/encstorage.go

@@ -1,138 +0,0 @@
-// Package encstorage implementiert ARC-02s Anbindung an ARC-01: jedes
-// archivierte Objekt wird VOR dem Schreiben über
-// mail/internal/storage.Service verschlüsselt (Akzeptanzkriterium 1).
-// Kombiniert bewusst zwei bereits fertige, unveränderte Pakete
-// (mail/internal/storage aus ARC-01, mail/internal/crypto aus ARC-02)
-// statt eines davon zu erweitern — kein Umbau angrenzender Bereiche.
-//
-// Reihenfolge beachtet (Ticket "Bekannte Fehler vermeiden"): ein
-// SHA-256-Hash für Dublettenerkennung (ARC-03) muss auf dem KLARTEXT
-// berechnet werden, BEVOR diese Verschlüsselung angewendet wird — das
-// ist Sache des Aufrufers (ARC-03, außerhalb dieses Pakets), dieses
-// Paket nimmt bereits fertigen Klartext entgegen und verschlüsselt ihn
-// sofort, hält ihn nicht länger als nötig im Speicher.
-package encstorage
-
-import (
-	"bytes"
-	"context"
-	"errors"
-	"fmt"
-	"io"
-	"strconv"
-
-	"gitea.perlbach24.de/scripte/nexarch/mail/internal/crypto"
-	"gitea.perlbach24.de/scripte/nexarch/mail/internal/storage"
-)
-
-// wrappedDEKKey ist der Sidecar-Objektschlüssel für den mit dem
-// Tenant-KEK verpackten DEK — liegt im selben Storage-Backend wie der
-// Chiffretext, analog zum Prüfsummen-Sidecar aus ARC-01.
-func wrappedDEKKey(key string) string {
-	return key + ".dek"
-}
-
-// kekVersionKey ist der Sidecar-Objektschlüssel für die Tenant-KEK-
-// Version, mit der der DEK verpackt wurde (ARC-08 Akzeptanzkriterium 3).
-// Fehlt dieser Sidecar (vor ARC-08 geschriebene Objekte), wird Version 0
-// angenommen — GetDecrypted verhält sich dann wie vor ARC-08.
-func kekVersionKey(key string) string {
-	return key + ".dek.version"
-}
-
-// Service verbindet Storage (ARC-01) und Crypto (ARC-02): der Rest von
-// Mail ruft AUSSCHLIESSLICH diesen Service auf, nie storage.Service
-// direkt mit Klartext — das verhindert einen Schreibpfad, der die
-// Verschlüsselung vergisst (Akzeptanzkriterium 1).
-type Service struct {
-	storage *storage.Service
-	crypto  *crypto.Service
-}
-
-func NewService(storageSvc *storage.Service, cryptoSvc *crypto.Service) *Service {
-	return &Service{storage: storageSvc, crypto: cryptoSvc}
-}
-
-// Put verschlüsselt plaintext (Akzeptanzkriterium 1/2: neuer DEK je
-// Objekt, mit dem per API-12 bezogenen Tenant-KEK verpackt) und legt
-// Chiffretext + verpackten DEK über storage.Service ab (Prüfsumme,
-// Nutzungsmeldung — ARC-01 unverändert wiederverwendet).
-func (s *Service) Put(ctx context.Context, tenantSlug, key string, plaintext io.Reader, contentType string) error {
-	env, err := s.crypto.Seal(ctx, tenantSlug, plaintext)
-	if err != nil {
-		return fmt.Errorf("encstorage: verschlüsseln: %w", err)
-	}
-	ciphertext, err := io.ReadAll(env.Ciphertext)
-	if err != nil {
-		return fmt.Errorf("encstorage: chiffretext lesen: %w", err)
-	}
-	if _, err := s.storage.Put(ctx, key, bytes.NewReader(ciphertext), int64(len(ciphertext)), contentType); err != nil {
-		return fmt.Errorf("encstorage: chiffretext speichern: %w", err)
-	}
-	if _, err := s.storage.Put(ctx, wrappedDEKKey(key), bytes.NewReader(env.WrappedDEK), int64(len(env.WrappedDEK)), "application/octet-stream"); err != nil {
-		return fmt.Errorf("encstorage: verpackten dek speichern: %w", err)
-	}
-	if env.KEKVersion != 0 {
-		versionBytes := []byte(strconv.Itoa(env.KEKVersion))
-		if _, err := s.storage.Put(ctx, kekVersionKey(key), bytes.NewReader(versionBytes), int64(len(versionBytes)), "text/plain"); err != nil {
-			return fmt.Errorf("encstorage: kek-version speichern: %w", err)
-		}
-	}
-	return nil
-}
-
-// GetDecrypted liest Chiffretext (über storage.GetVerified — ARC-01s
-// Prüfsummenverifikation wird dabei mitgenutzt) und verpackten DEK,
-// entpackt den DEK mit dem AKTUELLEN Tenant-KEK und entschlüsselt den
-// Inhalt (Akzeptanzkriterium 3: nur mit gültigem, mandantenbezogenem
-// Schlüssel möglich).
-func (s *Service) GetDecrypted(ctx context.Context, tenantSlug, key string) ([]byte, error) {
-	ciphertext, err := s.storage.GetVerified(ctx, key)
-	if err != nil {
-		return nil, fmt.Errorf("encstorage: chiffretext lesen: %w", err)
-	}
-	dekReader, err := s.storage.Get(ctx, wrappedDEKKey(key))
-	if err != nil {
-		return nil, fmt.Errorf("encstorage: verpackten dek lesen: %w", err)
-	}
-	defer func() { _ = dekReader.Close() }()
-	wrappedDEK, err := io.ReadAll(dekReader)
-	if err != nil {
-		return nil, fmt.Errorf("encstorage: verpackten dek lesen: %w", err)
-	}
-
-	kekVersion, err := s.readKEKVersion(ctx, key)
-	if err != nil {
-		return nil, err
-	}
-
-	plaintextReader, err := s.crypto.OpenAtVersion(ctx, tenantSlug, kekVersion, wrappedDEK, bytes.NewReader(ciphertext))
-	if err != nil {
-		return nil, err
-	}
-	return io.ReadAll(plaintextReader)
-}
-
-// readKEKVersion liest den Versions-Sidecar (ARC-08). Fehlt er (vor
-// ARC-08 geschriebene Objekte, oder ein Seal ohne konfigurierten
-// KEKVersionStore), gilt Version 0 — crypto.Service.OpenAtVersion fällt
-// dafür auf das unveränderte Open-Verhalten zurück.
-func (s *Service) readKEKVersion(ctx context.Context, key string) (int, error) {
-	reader, err := s.storage.Get(ctx, kekVersionKey(key))
-	if err != nil {
-		if errors.Is(err, storage.ErrNotFound) {
-			return 0, nil
-		}
-		return 0, fmt.Errorf("encstorage: kek-version lesen: %w", err)
-	}
-	defer func() { _ = reader.Close() }()
-	raw, err := io.ReadAll(reader)
-	if err != nil {
-		return 0, fmt.Errorf("encstorage: kek-version lesen: %w", err)
-	}
-	version, err := strconv.Atoi(string(raw))
-	if err != nil {
-		return 0, fmt.Errorf("encstorage: kek-version parsen: %w", err)
-	}
-	return version, nil
-}

mail/internal/encstorage/encstorage_test.go

@@ -1,138 +0,0 @@
-package encstorage
-
-import (
-	"bytes"
-	"context"
-	"errors"
-	"os"
-	"path/filepath"
-	"strings"
-	"testing"
-	"time"
-
-	"gitea.perlbach24.de/scripte/nexarch/mail/internal/crypto"
-	"gitea.perlbach24.de/scripte/nexarch/mail/internal/storage"
-)
-
-type fakeUsageReporter struct{}
-
-func (fakeUsageReporter) Report(_ context.Context, _, _ string, _ int64) error { return nil }
-
-// fakeKEKProvider liefert einen festen, mandantenspezifischen KEK —
-// simuliert Core API-12, ohne den echten Dienst für Unit-Tests zu
-// brauchen. "richtiger-tenant" hat einen bekannten KEK, jeder andere
-// Tenant-Slug liefert einen ANDEREN (falschen) KEK — genau der Fall,
-// den Pflichtprüfung 2 testet.
-type fakeKEKProvider struct {
-	keksByTenant map[string][]byte
-}
-
-func (f fakeKEKProvider) TenantKEK(_ context.Context, tenantSlug string) ([]byte, error) {
-	if kek, ok := f.keksByTenant[tenantSlug]; ok {
-		return kek, nil
-	}
-	// Unbekannter Tenant bekommt einen ANDEREN zufälligen KEK (nicht
-	// abgelehnt auf Core-Seite in diesem Fake, aber garantiert falsch —
-	// entspricht dem realen Fall, dass ein falscher Tenant-Slug einen
-	// anderen KEK liefert und die Entschlüsselung deshalb scheitert).
-	return bytes.Repeat([]byte{0xFF}, crypto.KEKSize), nil
-}
-
-func newTestServiceWithDir(t *testing.T) (*Service, string) {
-	t.Helper()
-	dir := t.TempDir()
-	storageSvc := storage.NewService(storage.NewLocalDriver(dir), fakeUsageReporter{}, "acme")
-	kekProvider := fakeKEKProvider{keksByTenant: map[string][]byte{
-		"richtiger-tenant": bytes.Repeat([]byte{0x42}, crypto.KEKSize),
-	}}
-	cryptoSvc := crypto.NewService(kekProvider)
-	return NewService(storageSvc, cryptoSvc), dir
-}
-
-// TestPut_RawStorageAccessWithoutKeyYieldsNoReadableContent ist die
-// geforderte Pflichtprüfung 1: Zugriff auf Rohspeicher ohne Schlüssel
-// liefert keine lesbaren Inhalte.
-func TestPut_RawStorageAccessWithoutKeyYieldsNoReadableContent(t *testing.T) {
-	svc, dir := newTestServiceWithDir(t)
-	ctx := context.Background()
-	key := storage.ObjectKey("msg-enc-1", 0)
-	plaintext := "STRENG GEHEIMER E-MAIL-INHALT, NICHT IM KLARTEXT AUF DER PLATTE"
-
-	if err := svc.Put(ctx, "richtiger-tenant", key, strings.NewReader(plaintext), "text/plain"); err != nil {
-		t.Fatalf("put: %v", err)
-	}
-
-	// Direkter Dateisystemzugriff, UMGEHT den Service/die Entschlüsselung
-	// vollständig — simuliert "Rohspeicher ohne Schlüssel".
-	raw, err := os.ReadFile(filepath.Join(dir, filepath.FromSlash(key)))
-	if err != nil {
-		t.Fatalf("rohdatei lesen: %v", err)
-	}
-	if bytes.Contains(raw, []byte(plaintext)) {
-		t.Fatalf("klartext ist unverschlüsselt im rohspeicher auffindbar: %q enthält %q", raw, plaintext)
-	}
-	if bytes.Contains(raw, []byte("STRENG GEHEIMER")) || bytes.Contains(raw, []byte("GEHEIM")) {
-		t.Fatal("erkennbare klartext-fragmente im rohspeicher gefunden")
-	}
-}
-
-// TestGetDecrypted_WrongTenantKeyDeniesDecryption ist die geforderte
-// Pflichtprüfung 2: falscher Mandantenschlüssel verweigert
-// Entschlüsselung.
-func TestGetDecrypted_WrongTenantKeyDeniesDecryption(t *testing.T) {
-	svc, _ := newTestServiceWithDir(t)
-	ctx := context.Background()
-	key := storage.ObjectKey("msg-enc-2", 0)
-	plaintext := "inhalt fuer richtiger-tenant"
-
-	if err := svc.Put(ctx, "richtiger-tenant", key, strings.NewReader(plaintext), "text/plain"); err != nil {
-		t.Fatalf("put: %v", err)
-	}
-
-	// Korrekter Tenant kann entschlüsseln.
-	got, err := svc.GetDecrypted(ctx, "richtiger-tenant", key)
-	if err != nil {
-		t.Fatalf("getdecrypted (richtiger tenant): %v", err)
-	}
-	if string(got) != plaintext {
-		t.Fatalf("falscher inhalt: %q", got)
-	}
-
-	// FALSCHER Mandant (anderer Tenant-Slug -> anderer KEK) muss
-	// abgelehnt werden.
-	_, err = svc.GetDecrypted(ctx, "falscher-tenant", key)
-	if !errors.Is(err, crypto.ErrDecryptFailed) {
-		t.Fatalf("erwartet ErrDecryptFailed bei falschem mandantenschlüssel, habe: %v", err)
-	}
-}
-
-// TestPut_AcceptableEncryptionOverhead ist die geforderte
-// Pflichtprüfung 3: Performance-Test bestätigt akzeptablen Overhead
-// durch Verschlüsselung.
-func TestPut_AcceptableEncryptionOverhead(t *testing.T) {
-	svc, _ := newTestServiceWithDir(t)
-	ctx := context.Background()
-
-	// ~64 KiB Nutzlast, realistische Anhanggröße.
-	payload := strings.Repeat("x", 64*1024)
-
-	const count = 50
-	start := time.Now()
-	for i := 0; i < count; i++ {
-		key := storage.ObjectKey("msg-perf", i)
-		if err := svc.Put(ctx, "richtiger-tenant", key, strings.NewReader(payload), "application/octet-stream"); err != nil {
-			t.Fatalf("put #%d: %v", i, err)
-		}
-	}
-	elapsed := time.Since(start)
-	avgPerObject := elapsed / count
-
-	// Großzügige Grenze (50ms je 64-KiB-Objekt inkl. AES-GCM,
-	// Prüfsumme, Sidecar-Schreiben, Rücklese-Verifikation aus ARC-01) —
-	// Ziel: Nachweis, dass Verschlüsselung keinen unverhältnismäßigen
-	// Overhead verursacht, nicht ein knallhartes SLA.
-	if avgPerObject > 50*time.Millisecond {
-		t.Fatalf("erwartet akzeptablen verschlüsselungs-overhead (<50ms/64KiB-objekt), habe %v/objekt (gesamt %v für %d objekte)", avgPerObject, elapsed, count)
-	}
-	t.Logf("Verschlüsselungs-Performance: %d×64KiB-Objekte in %v (%v/Objekt)", count, elapsed, avgPerObject)
-}

mail/internal/example/handler.go

@@ -1,36 +0,0 @@
-package example
-
-import (
-	"encoding/json"
-	"net/http"
-)
-
-// NormalizeHandler ist das E2E-Test-Beispiel (QA-01): ein echter
-// HTTP-Endpunkt, gegen den ein Test einen vollständigen Request-Response-
-// Zyklus fährt (httptest.Server, echter TCP-Roundtrip, kein reiner
-// Funktionsaufruf). Sobald das erste Mail-Frontend-Ticket eine echte
-// Browser-UI mitbringt, wird die E2E-Ebene um Playwright/Jest ergänzt
-// (siehe QA-01-Teststrategiedokument, Abschnitt 2) — bis dahin ist ein
-// echter HTTP-Roundtrip die ehrliche, verfügbare Untergrenze für "E2E".
-type normalizeRequest struct {
-	Address string `json:"address"`
-}
-
-type normalizeResponse struct {
-	Normalized string `json:"normalized"`
-}
-
-func NormalizeHandler(w http.ResponseWriter, r *http.Request) {
-	var req normalizeRequest
-	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
-		http.Error(w, "ungültiger request-body", http.StatusBadRequest)
-		return
-	}
-	normalized, err := NormalizeAddress(req.Address)
-	if err != nil {
-		http.Error(w, err.Error(), http.StatusBadRequest)
-		return
-	}
-	w.Header().Set("Content-Type", "application/json")
-	_ = json.NewEncoder(w).Encode(normalizeResponse{Normalized: normalized})
-}

mail/internal/example/handler_e2e_test.go

@@ -1,51 +0,0 @@
-// E2E-Test-Beispiel (QA-01 Akzeptanzkriterium 1/Prüfung 2): echter
-// HTTP-Request über einen laufenden httptest.Server (TCP-Roundtrip),
-// nicht nur ein Funktionsaufruf im selben Prozess.
-package example
-
-import (
-	"bytes"
-	"encoding/json"
-	"net/http"
-	"net/http/httptest"
-	"testing"
-)
-
-func TestNormalizeHandler_RealHTTPRoundTrip(t *testing.T) {
-	server := httptest.NewServer(http.HandlerFunc(NormalizeHandler))
-	defer server.Close()
-
-	body, _ := json.Marshal(normalizeRequest{Address: "Kunde@Beispiel.DE"})
-	resp, err := http.Post(server.URL, "application/json", bytes.NewReader(body))
-	if err != nil {
-		t.Fatalf("post: %v", err)
-	}
-	defer func() { _ = resp.Body.Close() }()
-
-	if resp.StatusCode != http.StatusOK {
-		t.Fatalf("status = %d, want 200", resp.StatusCode)
-	}
-	var out normalizeResponse
-	if err := json.NewDecoder(resp.Body).Decode(&out); err != nil {
-		t.Fatalf("antwort dekodieren: %v", err)
-	}
-	if out.Normalized != "Kunde@beispiel.de" {
-		t.Fatalf("got %q", out.Normalized)
-	}
-}
-
-func TestNormalizeHandler_InvalidAddressReturns400(t *testing.T) {
-	server := httptest.NewServer(http.HandlerFunc(NormalizeHandler))
-	defer server.Close()
-
-	body, _ := json.Marshal(normalizeRequest{Address: "keine-gueltige-adresse"})
-	resp, err := http.Post(server.URL, "application/json", bytes.NewReader(body))
-	if err != nil {
-		t.Fatalf("post: %v", err)
-	}
-	defer func() { _ = resp.Body.Close() }()
-
-	if resp.StatusCode != http.StatusBadRequest {
-		t.Fatalf("status = %d, want 400", resp.StatusCode)
-	}
-}

mail/internal/example/normalize.go

@@ -1,26 +0,0 @@
-// Package example dient QA-01 (Mail): liefert je Testart (Unit,
-// Integration, E2E) genau EIN reales, lauffähiges Beispiel, an dem sich
-// spätere Mail-Tickets orientieren können — keine Wegwerf-Demo, sondern
-// eine tatsächlich nützliche, kleine Funktion (Adress-Normalisierung),
-// die spätere Ticket (z. B. ING-01/ING-04) ohnehin brauchen werden.
-package example
-
-import (
-	"errors"
-	"strings"
-)
-
-var ErrInvalidAddress = errors.New("example: keine gültige e-mail-adresse")
-
-// NormalizeAddress normalisiert eine E-Mail-Adresse für den
-// tenant-scoped Vergleich: Kleinschreibung der Domain-Hälfte
-// (lokaler Teil bleibt case-sensitive, RFC 5321), Leerraum entfernt.
-func NormalizeAddress(addr string) (string, error) {
-	addr = strings.TrimSpace(addr)
-	at := strings.LastIndex(addr, "@")
-	if at <= 0 || at == len(addr)-1 {
-		return "", ErrInvalidAddress
-	}
-	local, domain := addr[:at], addr[at+1:]
-	return local + "@" + strings.ToLower(domain), nil
-}

mail/internal/example/normalize_test.go

@@ -1,38 +0,0 @@
-// Unit-Test-Beispiel (QA-01 Akzeptanzkriterium 1/Prüfung 2): keine
-// externe Abhängigkeit (DB, Netzwerk), reine Funktionsprüfung.
-package example
-
-import (
-	"errors"
-	"testing"
-)
-
-func TestNormalizeAddress_LowercasesDomainOnly(t *testing.T) {
-	got, err := NormalizeAddress("User.Name@Example.COM")
-	if err != nil {
-		t.Fatalf("unerwarteter fehler: %v", err)
-	}
-	want := "User.Name@example.com"
-	if got != want {
-		t.Fatalf("got %q, want %q", got, want)
-	}
-}
-
-func TestNormalizeAddress_TrimsWhitespace(t *testing.T) {
-	got, err := NormalizeAddress("  user@example.com  ")
-	if err != nil {
-		t.Fatalf("unerwarteter fehler: %v", err)
-	}
-	if got != "user@example.com" {
-		t.Fatalf("got %q", got)
-	}
-}
-
-func TestNormalizeAddress_RejectsInvalidInput(t *testing.T) {
-	cases := []string{"", "no-at-sign", "@nolocalpart.com", "trailing@"}
-	for _, c := range cases {
-		if _, err := NormalizeAddress(c); !errors.Is(err, ErrInvalidAddress) {
-			t.Fatalf("input %q: erwartet ErrInvalidAddress, habe: %v", c, err)
-		}
-	}
-}

mail/internal/example/store.go

@@ -1,42 +0,0 @@
-package example
-
-import (
-	"context"
-	"fmt"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// AddressStore ist das Integrationstest-Beispiel (QA-01): eine
-// minimale, aber echte DB-gestützte Komponente — nutzt dieselbe
-// Tenant-DB-Isolationskonvention wie DMS/Archive (t.Cleanup, geteilte
-// physische Postgres-Instanz auf dem Testhost).
-type AddressStore struct {
-	pool *pgxpool.Pool
-}
-
-func NewAddressStore(pool *pgxpool.Pool) *AddressStore {
-	return &AddressStore{pool: pool}
-}
-
-func (s *AddressStore) SaveNormalized(ctx context.Context, addr string) (string, error) {
-	normalized, err := NormalizeAddress(addr)
-	if err != nil {
-		return "", err
-	}
-	if _, err := s.pool.Exec(ctx, `
-		INSERT INTO example_addresses (address) VALUES ($1)
-		ON CONFLICT (address) DO NOTHING
-	`, normalized); err != nil {
-		return "", fmt.Errorf("example: adresse speichern: %w", err)
-	}
-	return normalized, nil
-}
-
-func (s *AddressStore) Exists(ctx context.Context, addr string) (bool, error) {
-	var exists bool
-	if err := s.pool.QueryRow(ctx, `SELECT EXISTS(SELECT 1 FROM example_addresses WHERE address = $1)`, addr).Scan(&exists); err != nil {
-		return false, fmt.Errorf("example: existenz prüfen: %w", err)
-	}
-	return exists, nil
-}

mail/internal/example/store_integration_test.go

@@ -1,69 +0,0 @@
-// Integrations-Test-Beispiel (QA-01 Akzeptanzkriterium 1/Prüfung 2):
-// echte Postgres-Instanz, folgt derselben Testhost-Konvention wie
-// DMS/Archive/Core (TEST_TENANT_DSN, t.Cleanup, geteilte physische
-// Instanz auf 192.168.1.131 — siehe project-nexarch-test-infra).
-package example
-
-import (
-	"context"
-	"os"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-func setupTest(t *testing.T) *pgxpool.Pool {
-	t.Helper()
-	dsn := os.Getenv("TEST_TENANT_DSN")
-	if dsn == "" {
-		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest übersprungen")
-	}
-	ctx := context.Background()
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	t.Cleanup(func() { pool.Close() })
-
-	if _, err := pool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS example_addresses (
-			address TEXT PRIMARY KEY
-		);
-	`); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-	t.Cleanup(func() {
-		_, _ = pool.Exec(context.Background(), `TRUNCATE example_addresses`)
-	})
-	return pool
-}
-
-func TestAddressStore_SaveAndCheckExists(t *testing.T) {
-	pool := setupTest(t)
-	store := NewAddressStore(pool)
-	ctx := context.Background()
-
-	normalized, err := store.SaveNormalized(ctx, "Kunde@Beispiel.DE")
-	if err != nil {
-		t.Fatalf("savenormalized: %v", err)
-	}
-	if normalized != "Kunde@beispiel.de" {
-		t.Fatalf("erwartet normalisierte adresse, habe %q", normalized)
-	}
-
-	exists, err := store.Exists(ctx, normalized)
-	if err != nil {
-		t.Fatal(err)
-	}
-	if !exists {
-		t.Fatal("erwartet real gespeicherte adresse")
-	}
-
-	notExists, err := store.Exists(ctx, "unbekannt@beispiel.de")
-	if err != nil {
-		t.Fatal(err)
-	}
-	if notExists {
-		t.Fatal("nie gespeicherte adresse haette nicht existieren duerfen")
-	}
-}

mail/internal/indexworker/migrations/0001_mail_index_jobs.sql

@@ -1,16 +0,0 @@
-CREATE TABLE IF NOT EXISTS mail_index_jobs (
-    id           BIGSERIAL PRIMARY KEY,
-    job_type     TEXT NOT NULL CHECK (job_type IN ('index', 'delete')),
-    tenant_slug  TEXT NOT NULL,
-    message_id   TEXT NOT NULL,
-    payload      JSONB NOT NULL DEFAULT '{}'::jsonb,
-    status       TEXT NOT NULL DEFAULT 'pending' CHECK (status IN ('pending', 'processing', 'succeeded', 'failed')),
-    attempts     INT NOT NULL DEFAULT 0,
-    max_attempts INT NOT NULL DEFAULT 5,
-    available_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-    locked_at    TIMESTAMPTZ,
-    locked_by    TEXT,
-    last_error   TEXT,
-    created_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
-    updated_at   TIMESTAMPTZ NOT NULL DEFAULT now()
-)

mail/internal/indexworker/queue.go

@@ -1,213 +0,0 @@
-// Package indexworker implementiert SRC-02: einen Indexierungs-Worker,
-// der neu archivierte Mails asynchron in den Manticore-Index (SRC-01)
-// einpflegt und Löschungen/Metadatenänderungen nachzieht. Postgres-
-// Jobqueue mit FOR UPDATE SKIP LOCKED, Stale-Lock-Wiedervorlage bei
-// Worker-Absturz — dieselbe Konvention wie dms/internal/jobqueue (FDN-04),
-// hier bewusst schlanker (kein Redis/AMQP, keine DLQ — nicht Bestandteil
-// der Akzeptanzkriterien dieser Kachel).
-package indexworker
-
-import (
-	"context"
-	_ "embed"
-	"errors"
-	"fmt"
-	"time"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-//go:embed migrations/0001_mail_index_jobs.sql
-var schemaMigration string
-
-const (
-	JobTypeIndex  = "index"
-	JobTypeDelete = "delete"
-)
-
-const (
-	StatusPending    = "pending"
-	StatusProcessing = "processing"
-	StatusSucceeded  = "succeeded"
-	StatusFailed     = "failed"
-)
-
-// ErrNoJobAvailable wird von Dequeue geliefert, wenn aktuell kein
-// abholbarer Job vorhanden ist (Normalfall bei leerer Queue).
-var ErrNoJobAvailable = errors.New("indexworker: kein job verfügbar")
-
-// ErrNotFound wird geliefert, wenn ein angefragter Job nicht existiert.
-var ErrNotFound = errors.New("indexworker: job nicht gefunden")
-
-const defaultMaxAttempts = 5
-
-// Job ist eine einzelne Indexierungs-/Löschaufgabe.
-type Job struct {
-	ID         int64
-	JobType    string
-	TenantSlug string
-	MessageID  string
-	Status     string
-	Attempts   int
-}
-
-// Queue kapselt den Zugriff auf mail_index_jobs.
-type Queue struct {
-	pool           *pgxpool.Pool
-	staleLockAfter time.Duration
-}
-
-// NewQueue erzeugt eine Queue. staleLockAfter legt fest, ab wann ein
-// als "processing" markierter Job wieder abholbar gilt, weil sein Worker
-// vermutlich abgestürzt ist (Akzeptanzkriterium 3: Worker-Ausfall verliert
-// keine Indexierungsaufträge).
-func NewQueue(pool *pgxpool.Pool, staleLockAfter time.Duration) *Queue {
-	return &Queue{pool: pool, staleLockAfter: staleLockAfter}
-}
-
-// EnsureSchema legt die Tabelle an, falls sie noch nicht existiert —
-// gleiches Muster wie mail/internal/dedup (kein zentraler Migrationsläufer
-// für Mandanten-Datenbanken im Mail-Modul vorhanden).
-func (q *Queue) EnsureSchema(ctx context.Context) error {
-	if _, err := q.pool.Exec(ctx, schemaMigration); err != nil {
-		return fmt.Errorf("indexworker: schema anlegen: %w", err)
-	}
-	return nil
-}
-
-// EnqueueIndex reiht eine Indexierungsaufgabe ein (Akzeptanzkriterium 1).
-// payload enthält die für die Indexierung nötigen Felder (Betreff, Text,
-// Anhangstext) als JSON — der Worker kennt keine Klartext-Beschaffung
-// selbst, das ist Aufgabe des Aufrufers (analog dedup, das ebenfalls
-// storage/crypto nicht kennt).
-func (q *Queue) EnqueueIndex(ctx context.Context, tenantSlug, messageID string, payload []byte) (int64, error) {
-	return q.enqueue(ctx, JobTypeIndex, tenantSlug, messageID, payload)
-}
-
-// EnqueueDelete reiht eine Löschaufgabe ein (Akzeptanzkriterium 2).
-func (q *Queue) EnqueueDelete(ctx context.Context, tenantSlug, messageID string) (int64, error) {
-	return q.enqueue(ctx, JobTypeDelete, tenantSlug, messageID, []byte(`{}`))
-}
-
-func (q *Queue) enqueue(ctx context.Context, jobType, tenantSlug, messageID string, payload []byte) (int64, error) {
-	var id int64
-	err := q.pool.QueryRow(ctx, `
-		INSERT INTO mail_index_jobs (job_type, tenant_slug, message_id, payload, max_attempts)
-		VALUES ($1, $2, $3, $4, $5)
-		RETURNING id
-	`, jobType, tenantSlug, messageID, payload, defaultMaxAttempts).Scan(&id)
-	if err != nil {
-		return 0, fmt.Errorf("indexworker: job einreihen: %w", err)
-	}
-	return id, nil
-}
-
-// dequeuedJob trägt zusätzlich den Payload, den nur das Paket selbst
-// (worker.go) benötigt.
-type dequeuedJob struct {
-	Job
-	Payload []byte
-}
-
-// Dequeue holt GENAU EINEN abholbaren Job (fällig UND nicht gesperrt, ODER
-// dessen Sperre abgestanden ist) und markiert ihn atomar als "processing"
-// (Prüfung: Worker-Neustart mitten im Lauf verliert keinen offenen Auftrag
-// — FOR UPDATE SKIP LOCKED erlaubt mehreren Worker-Goroutinen gleichzeitigen
-// Aufruf ohne denselben Job doppelt zu holen).
-func (q *Queue) dequeue(ctx context.Context, workerID string) (*dequeuedJob, error) {
-	tx, err := q.pool.Begin(ctx)
-	if err != nil {
-		return nil, fmt.Errorf("indexworker: transaktion starten: %w", err)
-	}
-	defer func() { _ = tx.Rollback(ctx) }()
-
-	row := tx.QueryRow(ctx, `
-		SELECT id, job_type, tenant_slug, message_id, payload, status, attempts
-		FROM mail_index_jobs
-		WHERE (
-			(status = 'pending' AND available_at <= now())
-			OR (status = 'processing' AND locked_at <= now() - ($1 * interval '1 second'))
-		)
-		ORDER BY available_at
-		FOR UPDATE SKIP LOCKED
-		LIMIT 1
-	`, q.staleLockAfter.Seconds())
-
-	var j dequeuedJob
-	if err := row.Scan(&j.ID, &j.JobType, &j.TenantSlug, &j.MessageID, &j.Payload, &j.Status, &j.Attempts); err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return nil, ErrNoJobAvailable
-		}
-		return nil, fmt.Errorf("indexworker: nächsten job lesen: %w", err)
-	}
-
-	if _, err := tx.Exec(ctx, `
-		UPDATE mail_index_jobs
-		SET status = 'processing', attempts = attempts + 1, locked_at = now(), locked_by = $2, updated_at = now()
-		WHERE id = $1
-	`, j.ID, workerID); err != nil {
-		return nil, fmt.Errorf("indexworker: job sperren: %w", err)
-	}
-
-	if err := tx.Commit(ctx); err != nil {
-		return nil, fmt.Errorf("indexworker: dequeue committen: %w", err)
-	}
-
-	j.Status = StatusProcessing
-	j.Attempts++
-	return &j, nil
-}
-
-// complete markiert einen Job als erfolgreich abgeschlossen.
-func (q *Queue) complete(ctx context.Context, jobID int64) error {
-	tag, err := q.pool.Exec(ctx, `
-		UPDATE mail_index_jobs SET status = 'succeeded', locked_at = NULL, locked_by = NULL, updated_at = now()
-		WHERE id = $1
-	`, jobID)
-	if err != nil {
-		return fmt.Errorf("indexworker: job abschließen: %w", err)
-	}
-	if tag.RowsAffected() == 0 {
-		return ErrNotFound
-	}
-	return nil
-}
-
-// fail markiert einen Job als fehlgeschlagen. Sind die maximalen Versuche
-// erreicht, bleibt er dauerhaft 'failed' (keine DLQ, nicht Bestandteil
-// dieser Kachel), sonst wird er mit arithmetischem Backoff (kein
-// String-Concat für Intervalle) erneut eingeplant.
-func (q *Queue) fail(ctx context.Context, jobID int64, cause error) error {
-	tag, err := q.pool.Exec(ctx, `
-		UPDATE mail_index_jobs
-		SET status = CASE WHEN attempts >= max_attempts THEN 'failed' ELSE 'pending' END,
-		    available_at = now() + (LEAST(attempts, 10) * interval '10 seconds'),
-		    locked_at = NULL, locked_by = NULL, last_error = $2, updated_at = now()
-		WHERE id = $1
-	`, jobID, cause.Error())
-	if err != nil {
-		return fmt.Errorf("indexworker: fehlschlag erfassen: %w", err)
-	}
-	if tag.RowsAffected() == 0 {
-		return ErrNotFound
-	}
-	return nil
-}
-
-// Status liefert den aktuellen Zustand eines Jobs (abrufbar über API,
-// hier als Go-API — HTTP-Anbindung ist nicht Bestandteil dieser Kachel).
-func (q *Queue) Status(ctx context.Context, jobID int64) (*Job, error) {
-	var j Job
-	err := q.pool.QueryRow(ctx, `
-		SELECT id, job_type, tenant_slug, message_id, status, attempts
-		FROM mail_index_jobs WHERE id = $1
-	`, jobID).Scan(&j.ID, &j.JobType, &j.TenantSlug, &j.MessageID, &j.Status, &j.Attempts)
-	if err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return nil, ErrNotFound
-		}
-		return nil, fmt.Errorf("indexworker: job-status lesen: %w", err)
-	}
-	return &j, nil
-}

mail/internal/indexworker/queue_test.go

@@ -1,100 +0,0 @@
-// Integrationstest (SRC-02): echte Postgres-Instanz, folgt derselben
-// Testhost-Konvention wie mail/internal/dedup — TEST_TENANT_DSN.
-package indexworker
-
-import (
-	"context"
-	"encoding/json"
-	"errors"
-	"os"
-	"testing"
-	"time"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-func setupQueue(t *testing.T, staleLockAfter time.Duration) *Queue {
-	t.Helper()
-	dsn := os.Getenv("TEST_TENANT_DSN")
-	if dsn == "" {
-		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest übersprungen")
-	}
-	ctx := context.Background()
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	t.Cleanup(func() { pool.Close() })
-
-	queue := NewQueue(pool, staleLockAfter)
-	if err := queue.EnsureSchema(ctx); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-	t.Cleanup(func() {
-		_, _ = pool.Exec(context.Background(), `DELETE FROM mail_index_jobs WHERE tenant_slug LIKE 'mandant-src02-%'`)
-	})
-	return queue
-}
-
-// TestDequeue_WorkerCrashMidRunLosesNoJob ist die geforderte Pflichtprüfung
-// 1: Absturz eines Workers (Job wird geholt, aber nie completed/failed)
-// führt nach Ablauf der Stale-Lock-Frist zu erneuter Zustellung an einen
-// zweiten Worker.
-func TestDequeue_WorkerCrashMidRunLosesNoJob(t *testing.T) {
-	queue := setupQueue(t, 100*time.Millisecond)
-	ctx := context.Background()
-
-	jobID, err := queue.EnqueueDelete(ctx, "mandant-src02-crash", "msg-crash-1")
-	if err != nil {
-		t.Fatalf("enqueue: %v", err)
-	}
-
-	firstAttempt, err := queue.dequeue(ctx, "worker-1-abgestuerzt")
-	if err != nil {
-		t.Fatalf("erster dequeue: %v", err)
-	}
-	if firstAttempt.ID != jobID {
-		t.Fatalf("erwartete job-id %d, habe %d", jobID, firstAttempt.ID)
-	}
-	// worker-1 "stürzt ab": kein complete(), kein fail() — Job bleibt
-	// als "processing" mit veraltetem Lock stehen.
-
-	if _, err := queue.dequeue(ctx, "worker-2-sofort"); !errors.Is(err, ErrNoJobAvailable) {
-		t.Fatalf("erwartete kein verfügbarer job vor ablauf der stale-lock-frist, habe: %v", err)
-	}
-
-	time.Sleep(150 * time.Millisecond)
-
-	secondAttempt, err := queue.dequeue(ctx, "worker-2-nach-timeout")
-	if err != nil {
-		t.Fatalf("zweiter dequeue nach stale-lock-ablauf: %v", err)
-	}
-	if secondAttempt.ID != jobID {
-		t.Fatalf("erwartete erneute zustellung desselben jobs %d, habe %d", jobID, secondAttempt.ID)
-	}
-
-	if err := queue.complete(ctx, secondAttempt.ID); err != nil {
-		t.Fatalf("complete: %v", err)
-	}
-}
-
-// TestEnqueueAndStatus_RoundTrip deckt Akzeptanzkriterium 3 (Job-Status
-// abrufbar) auf Queue-Ebene ab.
-func TestEnqueueAndStatus_RoundTrip(t *testing.T) {
-	queue := setupQueue(t, time.Minute)
-	ctx := context.Background()
-
-	payload, _ := json.Marshal(map[string]string{"subject": "Test"})
-	jobID, err := queue.EnqueueIndex(ctx, "mandant-src02-status", "msg-status-1", payload)
-	if err != nil {
-		t.Fatalf("enqueue: %v", err)
-	}
-
-	job, err := queue.Status(ctx, jobID)
-	if err != nil {
-		t.Fatalf("status: %v", err)
-	}
-	if job.Status != StatusPending {
-		t.Fatalf("erwartete status 'pending', habe %q", job.Status)
-	}
-}

mail/internal/indexworker/worker.go

@@ -1,74 +0,0 @@
-package indexworker
-
-import (
-	"context"
-	"encoding/json"
-	"errors"
-	"fmt"
-
-	"gitea.perlbach24.de/scripte/nexarch/mail/internal/search"
-)
-
-// indexPayload sind die für die Indexierung nötigen Felder, wie sie beim
-// EnqueueIndex als JSON übergeben werden.
-type indexPayload struct {
-	Subject         string `json:"subject"`
-	Body            string `json:"body"`
-	AttachmentText  string `json:"attachment_text"`
-	SentAtUnixEpoch int64  `json:"sent_at"`
-}
-
-// Worker holt Jobs aus der Queue und pflegt sie in den Manticore-Index
-// (SRC-01) ein bzw. entfernt sie daraus.
-type Worker struct {
-	queue        *Queue
-	searchClient *search.Client
-	id           string
-}
-
-func NewWorker(queue *Queue, searchClient *search.Client, workerID string) *Worker {
-	return &Worker{queue: queue, searchClient: searchClient, id: workerID}
-}
-
-// RunOnce verarbeitet genau einen Job, falls vorhanden. Liefert
-// ErrNoJobAvailable, wenn die Queue aktuell leer ist — kein Fehlerzustand.
-func (w *Worker) RunOnce(ctx context.Context) error {
-	job, err := w.queue.dequeue(ctx, w.id)
-	if err != nil {
-		return err
-	}
-
-	if procErr := w.process(ctx, job); procErr != nil {
-		if failErr := w.queue.fail(ctx, job.ID, procErr); failErr != nil {
-			return fmt.Errorf("indexworker: job %d fehlgeschlagen (%v) UND fehlschlag nicht erfassbar: %w", job.ID, procErr, failErr)
-		}
-		return nil
-	}
-
-	return w.queue.complete(ctx, job.ID)
-}
-
-func (w *Worker) process(ctx context.Context, job *dequeuedJob) error {
-	docID := search.DocumentID(job.TenantSlug, job.MessageID)
-
-	switch job.JobType {
-	case JobTypeIndex:
-		var p indexPayload
-		if err := json.Unmarshal(job.Payload, &p); err != nil {
-			return fmt.Errorf("indexierungs-payload lesen: %w", err)
-		}
-		return w.searchClient.Index(ctx, search.Document{
-			ID:              docID,
-			TenantSlug:      job.TenantSlug,
-			MessageID:       job.MessageID,
-			Subject:         p.Subject,
-			Body:            p.Body,
-			AttachmentText:  p.AttachmentText,
-			SentAtUnixEpoch: p.SentAtUnixEpoch,
-		})
-	case JobTypeDelete:
-		return w.searchClient.Delete(ctx, docID)
-	default:
-		return errors.New("unbekannter job-typ: " + job.JobType)
-	}
-}

mail/internal/indexworker/worker_test.go

@@ -1,177 +0,0 @@
-// Integrationstest (SRC-02): echte Postgres- UND Manticore-Instanz,
-// folgt derselben TEST_*-Env-Konvention wie mail/internal/search.
-package indexworker
-
-import (
-	"context"
-	"encoding/json"
-	"os"
-	"testing"
-	"time"
-
-	"gitea.perlbach24.de/scripte/nexarch/mail/internal/search"
-)
-
-func setupWorkerEnv(t *testing.T) (*Queue, *search.Client) {
-	t.Helper()
-	if os.Getenv("TEST_TENANT_DSN") == "" || os.Getenv("TEST_MANTICORE_URL") == "" {
-		t.Skip("TEST_TENANT_DSN/TEST_MANTICORE_URL nicht gesetzt, Integrationstest übersprungen")
-	}
-	queue := setupQueue(t, time.Minute)
-	searchClient := search.NewClient(os.Getenv("TEST_MANTICORE_URL"))
-	if err := searchClient.EnsureSchema(context.Background()); err != nil {
-		t.Fatalf("search-schema: %v", err)
-	}
-	return queue, searchClient
-}
-
-func drainQueue(t *testing.T, worker *Worker, maxJobs int) {
-	t.Helper()
-	ctx := context.Background()
-	for i := 0; i < maxJobs; i++ {
-		if err := worker.RunOnce(ctx); err != nil {
-			if err == ErrNoJobAvailable {
-				return
-			}
-			t.Fatalf("worker.RunOnce: %v", err)
-		}
-	}
-}
-
-// TestIndexJob_MakesMailSearchable ist die geforderte Funktionsprüfung zu
-// Akzeptanzkriterium 1: eine eingereihte Indexierungsaufgabe macht die Mail
-// nach Verarbeitung durch den Worker durchsuchbar.
-func TestIndexJob_MakesMailSearchable(t *testing.T) {
-	queue, searchClient := setupWorkerEnv(t)
-	ctx := context.Background()
-	tenant := "mandant-src02-index"
-
-	payload, _ := json.Marshal(map[string]any{
-		"subject": "Jahresabschluss 2025",
-		"body":    "Anbei der Jahresabschluss zur Prüfung.",
-	})
-	if _, err := queue.EnqueueIndex(ctx, tenant, "msg-idx-1", payload); err != nil {
-		t.Fatalf("enqueue: %v", err)
-	}
-
-	worker := NewWorker(queue, searchClient, "worker-test-index")
-	drainQueue(t, worker, 5)
-
-	results, err := searchClient.Search(ctx, tenant, "Jahresabschluss")
-	if err != nil {
-		t.Fatalf("search: %v", err)
-	}
-	found := false
-	for _, r := range results {
-		if r.MessageID == "msg-idx-1" {
-			found = true
-		}
-	}
-	if !found {
-		t.Fatalf("erwarteten treffer msg-idx-1 nach indexierung nicht gefunden, habe: %+v", results)
-	}
-}
-
-// TestDeleteJob_RemovesMailFromSearchResults ist die geforderte
-// Pflichtprüfung 2: Löschung einer Mail entfernt sie zuverlässig aus
-// Suchtreffern.
-func TestDeleteJob_RemovesMailFromSearchResults(t *testing.T) {
-	queue, searchClient := setupWorkerEnv(t)
-	ctx := context.Background()
-	tenant := "mandant-src02-delete"
-
-	payload, _ := json.Marshal(map[string]any{
-		"subject": "Vertraulicher Vorgang Zeta",
-		"body":    "Nur für internen Gebrauch.",
-	})
-	if _, err := queue.EnqueueIndex(ctx, tenant, "msg-del-1", payload); err != nil {
-		t.Fatalf("enqueue index: %v", err)
-	}
-	worker := NewWorker(queue, searchClient, "worker-test-delete")
-	drainQueue(t, worker, 5)
-
-	preResults, err := searchClient.Search(ctx, tenant, "Zeta")
-	if err != nil {
-		t.Fatalf("search vor löschung: %v", err)
-	}
-	preFound := false
-	for _, r := range preResults {
-		if r.MessageID == "msg-del-1" {
-			preFound = true
-		}
-	}
-	if !preFound {
-		t.Fatal("voraussetzung nicht erfüllt: mail vor löschung nicht auffindbar")
-	}
-
-	if _, err := queue.EnqueueDelete(ctx, tenant, "msg-del-1"); err != nil {
-		t.Fatalf("enqueue delete: %v", err)
-	}
-	drainQueue(t, worker, 5)
-
-	postResults, err := searchClient.Search(ctx, tenant, "Zeta")
-	if err != nil {
-		t.Fatalf("search nach löschung: %v", err)
-	}
-	for _, r := range postResults {
-		if r.MessageID == "msg-del-1" {
-			t.Fatal("gelöschte mail weiterhin in suchtreffern gefunden")
-		}
-	}
-}
-
-// TestConsistency_DatabaseAndIndexMatchOnSample ist die geforderte
-// Pflichtprüfung 3: Konsistenztest vergleicht Datenbankbestand (erfolgreich
-// abgeschlossene Index-Jobs) mit Indexbestand stichprobenartig.
-func TestConsistency_DatabaseAndIndexMatchOnSample(t *testing.T) {
-	queue, searchClient := setupWorkerEnv(t)
-	ctx := context.Background()
-	tenant := "mandant-src02-konsistenz"
-
-	messageIDs := []string{"msg-konsistenz-1", "msg-konsistenz-2", "msg-konsistenz-3"}
-	for _, mid := range messageIDs {
-		payload, _ := json.Marshal(map[string]any{
-			"subject": "Konsistenzprobe " + mid,
-			"body":    "Inhalt zur Konsistenzprüfung.",
-		})
-		if _, err := queue.EnqueueIndex(ctx, tenant, mid, payload); err != nil {
-			t.Fatalf("enqueue: %v", err)
-		}
-	}
-	worker := NewWorker(queue, searchClient, "worker-test-konsistenz")
-	drainQueue(t, worker, 10)
-
-	for _, mid := range messageIDs {
-		job, err := findJobByMessageID(ctx, queue, tenant, mid)
-		if err != nil {
-			t.Fatalf("job für %s: %v", mid, err)
-		}
-		if job.Status != StatusSucceeded {
-			t.Fatalf("job für %s hat status %q, erwartet 'succeeded'", mid, job.Status)
-		}
-
-		results, err := searchClient.Search(ctx, tenant, "Konsistenzprobe")
-		if err != nil {
-			t.Fatalf("search: %v", err)
-		}
-		present := false
-		for _, r := range results {
-			if r.MessageID == mid {
-				present = true
-			}
-		}
-		if !present {
-			t.Fatalf("datenbank meldet job für %s als succeeded, aber index enthält kein passendes dokument", mid)
-		}
-	}
-}
-
-func findJobByMessageID(ctx context.Context, queue *Queue, tenantSlug, messageID string) (*Job, error) {
-	var j Job
-	err := queue.pool.QueryRow(ctx, `
-		SELECT id, job_type, tenant_slug, message_id, status, attempts
-		FROM mail_index_jobs WHERE tenant_slug = $1 AND message_id = $2 AND job_type = 'index'
-		ORDER BY id DESC LIMIT 1
-	`, tenantSlug, messageID).Scan(&j.ID, &j.JobType, &j.TenantSlug, &j.MessageID, &j.Status, &j.Attempts)
-	return &j, err
-}

mail/internal/mimeparse/mimeparse.go

@@ -1,206 +0,0 @@
-// Package mimeparse implementiert ING-04: MIME-/Anhang-Parsing für
-// ein- und ausgehende Nachrichten (Multipart, verschachtelt,
-// Content-Transfer-Encoding, defensive Zeichensatz-Reparatur).
-//
-// NUR Parsing — Speicherung ist ARC-01s Aufgabe (siehe "Nicht
-// Bestandteil dieser Kachel"), dieses Paket schreibt nirgends in einen
-// Objekt-Speicher, sondern liefert nur strukturierte Go-Werte zurück.
-//
-// Bekannten Fehler vermieden (archivmail known-issues #3): Anhänge
-// wurden früher über io.ReadAll ohne Größenlimit gelesen — eine
-// Speicherbombe durch große/böswillige Anhänge. Hier läuft JEDER
-// Anhang-Lesevorgang über io.LimitReader mit konfigurierter Max-Size;
-// eine Überschreitung führt zu einer harten, sauberen Ablehnung
-// (ErrAttachmentTooLarge), kein stilles Abschneiden.
-package mimeparse
-
-import (
-	"bytes"
-	"encoding/base64"
-	"errors"
-	"fmt"
-	"io"
-	"mime"
-	"mime/multipart"
-	"mime/quotedprintable"
-	"net/mail"
-	"strings"
-
-	"golang.org/x/text/encoding/htmlindex"
-)
-
-// ErrAttachmentTooLarge wird geliefert, wenn ein Anhang die
-// konfigurierte Maximalgröße überschreitet (Akzeptanzkriterium/
-// Pflichtprüfung 1).
-var ErrAttachmentTooLarge = errors.New("mimeparse: anhang überschreitet die maximal erlaubte größe")
-
-// Part ist EIN zerlegter MIME-Teil — sowohl Textteile (IsAttachment
-// == false) als auch Anhänge (Akzeptanzkriterium 1/2).
-type Part struct {
-	ContentType string
-	Filename    string
-	Size        int64
-	Content     []byte
-	IsAttachment bool
-}
-
-// Message ist das Ergebnis eines vollständig zerlegten Multipart-
-// Baums — verschachtelte multipart/*-Teile sind bereits rekursiv
-// aufgelöst, der Aufrufer sieht nur die "Blatt"-Teile (Akzeptanz-
-// kriterium 1).
-type Message struct {
-	Parts []Part
-}
-
-// wordDecoder dekodiert RFC-2047-kodierte Header-Werte (z. B.
-// Anhang-Dateinamen) defensiv: ein unbekannter/fehlerhafter
-// Zeichensatz bricht die Verarbeitung NICHT ab (Akzeptanzkriterium 3),
-// sondern liefert den Rohwert unverändert zurück.
-var wordDecoder = &mime.WordDecoder{CharsetReader: charsetReader}
-
-func charsetReader(charsetLabel string, input io.Reader) (io.Reader, error) {
-	enc, err := htmlindex.Get(charsetLabel)
-	if err != nil {
-		// Unbekannter/fehlerhafter Zeichensatz: defensiv als
-		// UTF-8-verträglichen Rohtext weiterreichen statt
-		// abzubrechen (Akzeptanzkriterium 3).
-		return input, nil
-	}
-	return enc.NewDecoder().Reader(input), nil
-}
-
-func decodeHeaderValue(raw string) string {
-	decoded, err := wordDecoder.DecodeHeader(raw)
-	if err != nil {
-		// Defensiv: Rohwert statt Abbruch (Akzeptanzkriterium 3).
-		return raw
-	}
-	return decoded
-}
-
-// Parse zerlegt eine MIME-Nachricht vollständig, inklusive
-// verschachtelter Multipart-Teile (Akzeptanzkriterium 1). maxAttachmentSize
-// begrenzt JEDEN einzelnen Anhang (Akzeptanzkriterium/Pflichtprüfung 1).
-func Parse(r io.Reader, maxAttachmentSize int64) (Message, error) {
-	msg, err := mail.ReadMessage(r)
-	if err != nil {
-		return Message{}, fmt.Errorf("mimeparse: nachricht lesen: %w", err)
-	}
-
-	mediaType, params, err := mime.ParseMediaType(msg.Header.Get("Content-Type"))
-	if err != nil {
-		// Kein/kaputtes Content-Type: als einzelnen Textteil behandeln
-		// statt abzubrechen (Akzeptanzkriterium 3: defensiv reparieren).
-		body, readErr := readLimited(msg.Body, maxAttachmentSize)
-		if readErr != nil {
-			return Message{}, readErr
-		}
-		return Message{Parts: []Part{{ContentType: "text/plain", Content: body, Size: int64(len(body))}}}, nil
-	}
-
-	var result Message
-	if strings.HasPrefix(mediaType, "multipart/") {
-		if err := parseMultipart(msg.Body, params["boundary"], maxAttachmentSize, &result); err != nil {
-			return Message{}, err
-		}
-		return result, nil
-	}
-
-	// Einzelner Teil (keine Multipart-Hülle).
-	part, err := readSinglePart(msg.Header.Get("Content-Transfer-Encoding"), mediaType, "", msg.Body, maxAttachmentSize)
-	if err != nil {
-		return Message{}, err
-	}
-	result.Parts = append(result.Parts, part)
-	return result, nil
-}
-
-// parseMultipart löst EINEN Multipart-Container rekursiv auf —
-// verschachtelte multipart/*-Teile (z. B. multipart/mixed, das
-// multipart/alternative enthält) werden vollständig zerlegt
-// (Akzeptanzkriterium 1), keine Rekursionstiefe hartkodiert begrenzt
-// außer durch die natürliche Nachrichtengröße selbst.
-func parseMultipart(r io.Reader, boundary string, maxAttachmentSize int64, result *Message) error {
-	if boundary == "" {
-		return errors.New("mimeparse: multipart ohne boundary")
-	}
-	mr := multipart.NewReader(r, boundary)
-	for {
-		p, err := mr.NextPart()
-		if err == io.EOF {
-			return nil
-		}
-		if err != nil {
-			// Kaputte Multipart-Struktur: kontrolliert abbrechen
-			// (Pflichtprüfung 3), nicht abstürzen.
-			return fmt.Errorf("mimeparse: multipart-teil lesen: %w", err)
-		}
-
-		contentType := p.Header.Get("Content-Type")
-		mediaType, subParams, err := mime.ParseMediaType(contentType)
-		if err != nil {
-			mediaType = "text/plain"
-		}
-
-		if strings.HasPrefix(mediaType, "multipart/") {
-			if err := parseMultipart(p, subParams["boundary"], maxAttachmentSize, result); err != nil {
-				return err
-			}
-			continue
-		}
-
-		part, err := readSinglePart(p.Header.Get("Content-Transfer-Encoding"), mediaType, decodeHeaderValue(p.FileName()), p, maxAttachmentSize)
-		if err != nil {
-			return err
-		}
-		result.Parts = append(result.Parts, part)
-	}
-}
-
-func readSinglePart(transferEncoding, mediaType, filename string, r io.Reader, maxAttachmentSize int64) (Part, error) {
-	decoded := decodeTransferEncoding(transferEncoding, r)
-
-	content, err := readLimited(decoded, maxAttachmentSize)
-	if err != nil {
-		return Part{}, err
-	}
-
-	return Part{
-		ContentType:  mediaType,
-		Filename:     filename,
-		Size:         int64(len(content)),
-		Content:      content,
-		IsAttachment: filename != "",
-	}, nil
-}
-
-// decodeTransferEncoding dekodiert Content-Transfer-Encoding
-// (quoted-printable/base64) — defensiv: ein unbekanntes Encoding wird
-// unverändert durchgereicht statt die Verarbeitung abzubrechen
-// (Akzeptanzkriterium 3).
-func decodeTransferEncoding(encoding string, r io.Reader) io.Reader {
-	switch strings.ToLower(strings.TrimSpace(encoding)) {
-	case "quoted-printable":
-		return quotedprintable.NewReader(r)
-	case "base64":
-		return base64.NewDecoder(base64.StdEncoding, r)
-	default:
-		return r
-	}
-}
-
-// readLimited liest höchstens maxSize+1 Bytes — wird die Grenze
-// überschritten, wird ErrAttachmentTooLarge geliefert, statt beliebig
-// viel Speicher zu allozieren (Akzeptanzkriterium/Pflichtprüfung 1,
-// archivmail known-issues #3).
-func readLimited(r io.Reader, maxSize int64) ([]byte, error) {
-	limited := io.LimitReader(r, maxSize+1)
-	var buf bytes.Buffer
-	if _, err := io.Copy(&buf, limited); err != nil {
-		return nil, fmt.Errorf("mimeparse: teil lesen: %w", err)
-	}
-	if int64(buf.Len()) > maxSize {
-		return nil, ErrAttachmentTooLarge
-	}
-	return buf.Bytes(), nil
-}

mail/internal/mimeparse/mimeparse_test.go

@@ -1,219 +0,0 @@
-package mimeparse
-
-import (
-	"errors"
-	"io"
-	"strings"
-	"testing"
-)
-
-const defaultMaxSize = 10 * 1024 * 1024 // 10 MiB
-
-// TestParse_NestedMultipartFullyDecomposed ist Akzeptanzkriterium 1:
-// Multipart-Nachrichten mit verschachtelten Teilen werden vollständig
-// zerlegt (multipart/mixed enthält multipart/alternative UND einen
-// Anhang).
-func TestParse_NestedMultipartFullyDecomposed(t *testing.T) {
-	raw := "From: a@example.com\r\n" +
-		"To: b@example.com\r\n" +
-		"Subject: Test\r\n" +
-		"MIME-Version: 1.0\r\n" +
-		"Content-Type: multipart/mixed; boundary=\"outer\"\r\n\r\n" +
-		"--outer\r\n" +
-		"Content-Type: multipart/alternative; boundary=\"inner\"\r\n\r\n" +
-		"--inner\r\n" +
-		"Content-Type: text/plain; charset=utf-8\r\n\r\n" +
-		"Hallo als Text\r\n" +
-		"--inner\r\n" +
-		"Content-Type: text/html; charset=utf-8\r\n\r\n" +
-		"<p>Hallo als HTML</p>\r\n" +
-		"--inner--\r\n" +
-		"--outer\r\n" +
-		"Content-Type: application/pdf\r\n" +
-		"Content-Disposition: attachment; filename=\"rechnung.pdf\"\r\n" +
-		"Content-Transfer-Encoding: base64\r\n\r\n" +
-		"JVBERi0xLjQK\r\n" +
-		"--outer--\r\n"
-
-	msg, err := Parse(strings.NewReader(raw), defaultMaxSize)
-	if err != nil {
-		t.Fatalf("parse: %v", err)
-	}
-	if len(msg.Parts) != 3 {
-		t.Fatalf("erwartet 3 zerlegte teile (text, html, anhang), habe %d: %+v", len(msg.Parts), msg.Parts)
-	}
-
-	var sawText, sawHTML, sawAttachment bool
-	for _, p := range msg.Parts {
-		switch {
-		case p.ContentType == "text/plain":
-			sawText = true
-			if string(p.Content) != "Hallo als Text" {
-				t.Fatalf("unerwarteter text-inhalt: %q", p.Content)
-			}
-		case p.ContentType == "text/html":
-			sawHTML = true
-		case p.IsAttachment:
-			sawAttachment = true
-		}
-	}
-	if !sawText || !sawHTML || !sawAttachment {
-		t.Fatalf("nicht alle erwarteten teile gefunden: text=%v html=%v attachment=%v", sawText, sawHTML, sawAttachment)
-	}
-}
-
-// TestParse_AttachmentMetadataExtracted ist Akzeptanzkriterium 2:
-// Anhänge werden mit korrektem Dateinamen, Größe und Content-Type
-// extrahiert.
-func TestParse_AttachmentMetadataExtracted(t *testing.T) {
-	raw := "From: a@example.com\r\n" +
-		"Content-Type: multipart/mixed; boundary=\"b\"\r\n\r\n" +
-		"--b\r\n" +
-		"Content-Type: text/plain\r\n\r\n" +
-		"Text\r\n" +
-		"--b\r\n" +
-		"Content-Type: image/png\r\n" +
-		"Content-Disposition: attachment; filename=\"bild.png\"\r\n" +
-		"Content-Transfer-Encoding: base64\r\n\r\n" +
-		"iVBORw0KGgo=\r\n" +
-		"--b--\r\n"
-
-	msg, err := Parse(strings.NewReader(raw), defaultMaxSize)
-	if err != nil {
-		t.Fatalf("parse: %v", err)
-	}
-	var attachment *Part
-	for i := range msg.Parts {
-		if msg.Parts[i].IsAttachment {
-			attachment = &msg.Parts[i]
-		}
-	}
-	if attachment == nil {
-		t.Fatal("kein anhang gefunden")
-	}
-	if attachment.Filename != "bild.png" {
-		t.Fatalf("falscher dateiname: %q", attachment.Filename)
-	}
-	if attachment.ContentType != "image/png" {
-		t.Fatalf("falscher content-type: %q", attachment.ContentType)
-	}
-	if attachment.Size != int64(len(attachment.Content)) || attachment.Size == 0 {
-		t.Fatalf("unplausible größe: %d (content-len %d)", attachment.Size, len(attachment.Content))
-	}
-}
-
-// TestParse_BrokenCharsetIsRepairedNotAborted ist Akzeptanzkriterium 3:
-// fehlerhafte/inkonsistente Zeichensatzangaben werden defensiv repariert
-// statt die Verarbeitung abzubrechen.
-func TestParse_BrokenCharsetIsRepairedNotAborted(t *testing.T) {
-	// "unbekannt-xyz" ist KEIN gültiger IANA-Zeichensatzname.
-	raw := "From: a@example.com\r\n" +
-		"Content-Type: text/plain; charset=\"unbekannt-xyz\"\r\n\r\n" +
-		"Rohtext trotz kaputtem Charset\r\n"
-
-	msg, err := Parse(strings.NewReader(raw), defaultMaxSize)
-	if err != nil {
-		t.Fatalf("erwartet KEINEN abbruch bei kaputtem charset, habe: %v", err)
-	}
-	if len(msg.Parts) != 1 {
-		t.Fatalf("erwartet 1 teil, habe %d", len(msg.Parts))
-	}
-	if !strings.Contains(string(msg.Parts[0].Content), "Rohtext") {
-		t.Fatalf("inhalt fehlt/verstümmelt: %q", msg.Parts[0].Content)
-	}
-}
-
-// TestParse_ISO88591BodyDecodedWithoutAbort ist Akzeptanzkriterium 3
-// zusätzlich: ein bekannter Nicht-UTF-8-Zeichensatz wird via
-// Header-Dekodierung real repariert (RFC-2047-kodierter Dateiname).
-func TestParse_ISO88591FilenameDecoded(t *testing.T) {
-	// "=?ISO-8859-1?Q?Rechnung_=DC?=" kodiert "Rechnung Ü" (0xDC = 'Ü' in Latin-1).
-	raw := "From: a@example.com\r\n" +
-		"Content-Type: multipart/mixed; boundary=\"b\"\r\n\r\n" +
-		"--b\r\n" +
-		"Content-Type: application/octet-stream\r\n" +
-		"Content-Disposition: attachment; filename=\"=?ISO-8859-1?Q?Rechnung_=DC?=\"\r\n" +
-		"Content-Transfer-Encoding: base64\r\n\r\n" +
-		"AAA=\r\n" +
-		"--b--\r\n"
-
-	msg, err := Parse(strings.NewReader(raw), defaultMaxSize)
-	if err != nil {
-		t.Fatalf("parse: %v", err)
-	}
-	if len(msg.Parts) != 1 {
-		t.Fatalf("erwartet 1 teil, habe %d", len(msg.Parts))
-	}
-	if msg.Parts[0].Filename != "Rechnung Ü" {
-		t.Fatalf("erwartet dekodierten dateinamen 'Rechnung Ü', habe %q", msg.Parts[0].Filename)
-	}
-}
-
-// infiniteReader liefert unbegrenzt viele Bytes — simuliert einen sehr
-// großen/böswilligen Anhang. Ohne io.LimitReader (siehe archivmail
-// known-issues #3) würde ein io.ReadAll hierauf den Prozessspeicher
-// erschöpfen; mit readLimited bricht Parse kontrolliert und schnell ab.
-type infiniteReader struct{}
-
-func (infiniteReader) Read(p []byte) (int, error) {
-	for i := range p {
-		p[i] = 'A'
-	}
-	return len(p), nil
-}
-
-// TestParse_OversizedAttachmentRejectedNotMemoryExhausted ist die
-// geforderte Pflichtprüfung 1.
-func TestParse_OversizedAttachmentRejectedNotMemoryExhausted(t *testing.T) {
-	const tinyLimit = 1024 // 1 KiB — winzig, damit der Test schnell bleibt
-
-	header := "From: a@example.com\r\n" +
-		"Content-Type: application/octet-stream\r\n" +
-		"Content-Transfer-Encoding: identity\r\n\r\n"
-
-	r := io.MultiReader(strings.NewReader(header), infiniteReader{})
-	_, err := Parse(r, tinyLimit)
-	if !errors.Is(err, ErrAttachmentTooLarge) {
-		t.Fatalf("erwartet ErrAttachmentTooLarge bei unbegrenzt großem anhang, habe: %v", err)
-	}
-}
-
-// TestParse_RealisticCorpusRunsCleanly ist die geforderte
-// Pflichtprüfung 2: realitätsnahe Multipart-/Encoding-Varianten laufen
-// fehlerfrei durch.
-func TestParse_RealisticCorpusRunsCleanly(t *testing.T) {
-	corpus := []string{
-		// Einfache Textnachricht ohne Multipart.
-		"From: a@example.com\r\nContent-Type: text/plain; charset=utf-8\r\n\r\nEinfacher Text\r\n",
-		// Quoted-Printable.
-		"From: a@example.com\r\nContent-Type: text/plain; charset=utf-8\r\nContent-Transfer-Encoding: quoted-printable\r\n\r\nUmlaut: =C3=9C\r\n",
-		// Multipart/alternative ohne Anhang.
-		"From: a@example.com\r\nContent-Type: multipart/alternative; boundary=\"x\"\r\n\r\n--x\r\nContent-Type: text/plain\r\n\r\nText\r\n--x\r\nContent-Type: text/html\r\n\r\n<p>Text</p>\r\n--x--\r\n",
-		// Leere Multipart-Nachricht (kein Teil, nur Präambel/Epilog).
-		"From: a@example.com\r\nContent-Type: multipart/mixed; boundary=\"y\"\r\n\r\nPräambel wird ignoriert\r\n--y--\r\nEpilog wird ignoriert\r\n",
-	}
-	for i, raw := range corpus {
-		if _, err := Parse(strings.NewReader(raw), defaultMaxSize); err != nil {
-			t.Fatalf("corpus[%d] fehlgeschlagen: %v\nraw=%q", i, err, raw)
-		}
-	}
-}
-
-// FuzzParse ist die geforderte Pflichtprüfung 3: kaputte MIME-Strukturen
-// dürfen Parse nicht zum Absturz bringen, nur zu einem kontrollierten
-// Fehler.
-func FuzzParse(f *testing.F) {
-	f.Add([]byte("From: a@example.com\r\nContent-Type: multipart/mixed; boundary=\"b\"\r\n\r\n--b\r\nContent-Type: text/plain\r\n\r\nHallo\r\n--b--\r\n"))
-	f.Add([]byte("Content-Type: multipart/mixed; boundary=\r\n\r\nkaputt"))
-	f.Add([]byte(""))
-	f.Add([]byte("From: a@example.com\r\n\r\n"))
-
-	f.Fuzz(func(t *testing.T, data []byte) {
-		defer func() {
-			if r := recover(); r != nil {
-				t.Fatalf("Parse ist abgestürzt (panic) statt kontrolliert einen Fehler zu liefern: %v", r)
-			}
-		}()
-		_, _ = Parse(strings.NewReader(string(data)), defaultMaxSize)
-	})
-}

mail/internal/ocr/ocr.go

@@ -1,187 +0,0 @@
-// Package ocr implementiert SRC-07: eine OCR-Pipeline für Bild-/PDF-
-// Anhänge, als eigener Mail-OCR-Pfad unabhängig vom DMS-Board (siehe
-// repos-analyse-mail-reuse.md: dupliziertes Sprintf-WHERE-Muster aus
-// archivmail wird NICHT übernommen — dieses Paket baut keine SQL-Klauseln,
-// ruft ausschließlich externe Kommandozeilenwerkzeuge mit festen
-// Argumentlisten auf, niemals über eine Shell/String-Konkatenation).
-//
-// Zustandslos: dieses Paket kennt weder Mandanten noch Speicher — es
-// nimmt Anhangs-Bytes entgegen und liefert erkannten Text zurück, exakt
-// wie mail/internal/crypto und mail/internal/dedup. Tenant-Trennung
-// entsteht dadurch strukturell: es gibt keinen geteilten Zustand
-// zwischen Aufrufen, den unterschiedliche Mandanten sehen könnten (jeder
-// Aufruf bekommt sein eigenes Temp-Verzeichnis, siehe workDir).
-//
-// Bekannter Fehler vermeiden (siehe ARC-03-Ticket): OCR darf erst NACH
-// abgeschlossener Duplikatsprüfung laufen — das ist Sache des Aufrufers
-// (spätere Ingest-Tickets), dieses Paket kennt mail/internal/dedup nicht.
-package ocr
-
-import (
-	"bytes"
-	"context"
-	"fmt"
-	"os"
-	"os/exec"
-	"path/filepath"
-	"sort"
-	"strings"
-)
-
-// Languages ist die feste Tesseract-Sprachkombination (Akzeptanzkriterium
-// 1 aus SRC-10 baut hierauf auf) — Deutsch und Englisch, passend zum
-// deutschsprachigen NEXARCH-Einsatzkontext mit englischsprachigen
-// Geschäftskorrespondenzen.
-const Languages = "deu+eng"
-
-// ExtractTextFromImage führt Tesseract-OCR auf einem einzelnen Bild aus
-// (PNG/JPEG/TIFF/BMP — von Tesseract/Leptonica unterstützte Formate).
-func ExtractTextFromImage(ctx context.Context, imageBytes []byte) (string, error) {
-	workDir, err := os.MkdirTemp("", "mail-ocr-*")
-	if err != nil {
-		return "", fmt.Errorf("ocr: arbeitsverzeichnis anlegen: %w", err)
-	}
-	defer func() { _ = os.RemoveAll(workDir) }()
-
-	imagePath := filepath.Join(workDir, "input")
-	if err := os.WriteFile(imagePath, imageBytes, 0o600); err != nil {
-		return "", fmt.Errorf("ocr: bild schreiben: %w", err)
-	}
-	outBase := filepath.Join(workDir, "output")
-
-	cmd := exec.CommandContext(ctx, "tesseract", imagePath, outBase, "-l", Languages)
-	var stderr bytes.Buffer
-	cmd.Stderr = &stderr
-	if err := cmd.Run(); err != nil {
-		return "", fmt.Errorf("ocr: tesseract fehlgeschlagen: %w (%s)", err, stderr.String())
-	}
-
-	text, err := os.ReadFile(outBase + ".txt")
-	if err != nil {
-		return "", fmt.Errorf("ocr: erkannten text lesen: %w", err)
-	}
-	return strings.TrimSpace(string(text)), nil
-}
-
-// minTextLayerLength ist die Mindestanzahl nicht-leerer Zeichen, ab der
-// ein PDF als "hat bereits eine Textebene" gilt (Akzeptanzkriterium 3).
-// Ein paar Steuerzeichen/Leerzeichen aus pdftotext bei einem rein
-// bildbasierten PDF dürfen keine OCR-Umgehung auslösen.
-const minTextLayerLength = 10
-
-// HasTextLayer prüft über pdftotext, ob pdfBytes bereits durchsuchbaren
-// Text enthält (Akzeptanzkriterium 3: bereits durchsuchbare PDFs werden
-// nicht unnötig erneut per OCR verarbeitet).
-func HasTextLayer(ctx context.Context, pdfBytes []byte) (bool, error) {
-	text, err := extractPDFText(ctx, pdfBytes)
-	if err != nil {
-		return false, err
-	}
-	return len(strings.TrimSpace(text)) >= minTextLayerLength, nil
-}
-
-func extractPDFText(ctx context.Context, pdfBytes []byte) (string, error) {
-	workDir, err := os.MkdirTemp("", "mail-ocr-pdf-*")
-	if err != nil {
-		return "", fmt.Errorf("ocr: arbeitsverzeichnis anlegen: %w", err)
-	}
-	defer func() { _ = os.RemoveAll(workDir) }()
-
-	pdfPath := filepath.Join(workDir, "input.pdf")
-	if err := os.WriteFile(pdfPath, pdfBytes, 0o600); err != nil {
-		return "", fmt.Errorf("ocr: pdf schreiben: %w", err)
-	}
-
-	cmd := exec.CommandContext(ctx, "pdftotext", pdfPath, "-")
-	var stdout, stderr bytes.Buffer
-	cmd.Stdout = &stdout
-	cmd.Stderr = &stderr
-	if err := cmd.Run(); err != nil {
-		return "", fmt.Errorf("ocr: pdftotext fehlgeschlagen: %w (%s)", err, stderr.String())
-	}
-	return stdout.String(), nil
-}
-
-// PDFResult ist das Ergebnis von ExtractTextFromPDF.
-type PDFResult struct {
-	Text string
-	// OCRPerformed ist false, wenn eine vorhandene Textebene genutzt
-	// wurde (Akzeptanzkriterium 3), true, wenn tatsächlich per Tesseract
-	// erkannt wurde (Akzeptanzkriterium 1).
-	OCRPerformed bool
-}
-
-// ExtractTextFromPDF liefert den Text eines PDF-Anhangs: hat das PDF
-// bereits eine Textebene, wird sie direkt übernommen (schneller,
-// zuverlässiger als OCR, Akzeptanzkriterium 3). Sonst wird jede Seite
-// gerastert und per Tesseract erkannt (Akzeptanzkriterium 1: gescannte
-// PDF-Anhänge).
-func ExtractTextFromPDF(ctx context.Context, pdfBytes []byte) (PDFResult, error) {
-	existingText, err := extractPDFText(ctx, pdfBytes)
-	if err != nil {
-		return PDFResult{}, err
-	}
-	if len(strings.TrimSpace(existingText)) >= minTextLayerLength {
-		return PDFResult{Text: strings.TrimSpace(existingText), OCRPerformed: false}, nil
-	}
-
-	pageImages, err := rasterizePDF(ctx, pdfBytes)
-	if err != nil {
-		return PDFResult{}, err
-	}
-
-	var pages []string
-	for _, imageBytes := range pageImages {
-		pageText, err := ExtractTextFromImage(ctx, imageBytes)
-		if err != nil {
-			return PDFResult{}, err
-		}
-		pages = append(pages, pageText)
-	}
-	return PDFResult{Text: strings.TrimSpace(strings.Join(pages, "\n")), OCRPerformed: true}, nil
-}
-
-// rasterizePDF rastert jede Seite von pdfBytes über pdftoppm in ein PNG
-// und liefert die Seiten in Reihenfolge.
-func rasterizePDF(ctx context.Context, pdfBytes []byte) ([][]byte, error) {
-	workDir, err := os.MkdirTemp("", "mail-ocr-raster-*")
-	if err != nil {
-		return nil, fmt.Errorf("ocr: arbeitsverzeichnis anlegen: %w", err)
-	}
-	defer func() { _ = os.RemoveAll(workDir) }()
-
-	pdfPath := filepath.Join(workDir, "input.pdf")
-	if err := os.WriteFile(pdfPath, pdfBytes, 0o600); err != nil {
-		return nil, fmt.Errorf("ocr: pdf schreiben: %w", err)
-	}
-	outBase := filepath.Join(workDir, "page")
-
-	cmd := exec.CommandContext(ctx, "pdftoppm", "-png", "-r", "300", pdfPath, outBase)
-	var stderr bytes.Buffer
-	cmd.Stderr = &stderr
-	if err := cmd.Run(); err != nil {
-		return nil, fmt.Errorf("ocr: pdftoppm fehlgeschlagen: %w (%s)", err, stderr.String())
-	}
-
-	entries, err := os.ReadDir(workDir)
-	if err != nil {
-		return nil, fmt.Errorf("ocr: gerasterte seiten auflisten: %w", err)
-	}
-	var pagePaths []string
-	for _, e := range entries {
-		if strings.HasSuffix(e.Name(), ".png") {
-			pagePaths = append(pagePaths, filepath.Join(workDir, e.Name()))
-		}
-	}
-	sort.Strings(pagePaths)
-
-	var pages [][]byte
-	for _, p := range pagePaths {
-		data, err := os.ReadFile(p)
-		if err != nil {
-			return nil, fmt.Errorf("ocr: gerasterte seite lesen: %w", err)
-		}
-		pages = append(pages, data)
-	}
-	return pages, nil
-}

mail/internal/ocr/ocr_test.go

@@ -1,156 +0,0 @@
-package ocr
-
-import (
-	"bytes"
-	"context"
-	"image/png"
-	"os/exec"
-	"strings"
-	"testing"
-	"time"
-)
-
-func requireTools(t *testing.T) {
-	t.Helper()
-	for _, tool := range []string{"tesseract", "pdftotext", "pdftoppm"} {
-		if _, err := exec.LookPath(tool); err != nil {
-			t.Skipf("%s nicht im PATH, Integrationstest übersprungen", tool)
-		}
-	}
-}
-
-// knownTextImage rastert ein hand-gebautes Text-PDF (bekannter Inhalt)
-// über die echte pdftoppm-Pipeline in ein reales PNG-Bild — liefert damit
-// ein Bild mit tatsächlich gerenderten, OCR-fähigen Glyphen, ohne eine
-// zusätzliche Font-Rendering-Bibliothek einzuführen.
-func knownTextImage(t *testing.T, ctx context.Context, text string) []byte {
-	t.Helper()
-	pdfBytes := buildTextLayerPDF(text)
-	pages, err := rasterizePDF(ctx, pdfBytes)
-	if err != nil {
-		t.Fatalf("testbild rastern: %v", err)
-	}
-	if len(pages) != 1 {
-		t.Fatalf("erwartete genau 1 gerasterte seite, habe %d", len(pages))
-	}
-	return pages[0]
-}
-
-// TestExtractTextFromImage_KnownTextRecognized ist die geforderte
-// Pflichtprüfung 1: Bildanhang mit bekanntem Text liefert erwartete
-// Texterkennung.
-func TestExtractTextFromImage_KnownTextRecognized(t *testing.T) {
-	requireTools(t)
-	ctx := context.Background()
-	imageBytes := knownTextImage(t, ctx, "Rechnungsnummer 4711")
-
-	got, err := ExtractTextFromImage(ctx, imageBytes)
-	if err != nil {
-		t.Fatalf("extracttextfromimage: %v", err)
-	}
-	if !strings.Contains(got, "Rechnungsnummer") || !strings.Contains(got, "4711") {
-		t.Fatalf("erwarteten text nicht erkannt, habe: %q", got)
-	}
-}
-
-// TestExtractTextFromPDF_SkipsOCRWhenTextLayerPresent ist die geforderte
-// Pflichtprüfung 2: PDF mit vorhandener Textebene wird korrekt
-// übersprungen.
-func TestExtractTextFromPDF_SkipsOCRWhenTextLayerPresent(t *testing.T) {
-	requireTools(t)
-	ctx := context.Background()
-	pdfBytes := buildTextLayerPDF("Vertragsentwurf Version 3")
-
-	hasLayer, err := HasTextLayer(ctx, pdfBytes)
-	if err != nil {
-		t.Fatalf("hastextlayer: %v", err)
-	}
-	if !hasLayer {
-		t.Fatal("erwartete erkannte textebene im vektor-pdf")
-	}
-
-	result, err := ExtractTextFromPDF(ctx, pdfBytes)
-	if err != nil {
-		t.Fatalf("extracttextfrompdf: %v", err)
-	}
-	if result.OCRPerformed {
-		t.Fatal("ocr wurde durchgeführt, obwohl eine textebene vorhanden war")
-	}
-	if !strings.Contains(result.Text, "Vertragsentwurf") {
-		t.Fatalf("erwarteten text aus textebene nicht gefunden, habe: %q", result.Text)
-	}
-}
-
-// TestExtractTextFromPDF_PerformsOCRWhenNoTextLayer deckt
-// Akzeptanzkriterium 1 (gescannte PDF-Anhänge) zusätzlich end-zu-Ende ab:
-// ein PDF ohne Textebene, das nur ein Rasterbild enthält, wird real per
-// OCR erkannt.
-func TestExtractTextFromPDF_PerformsOCRWhenNoTextLayer(t *testing.T) {
-	requireTools(t)
-	ctx := context.Background()
-
-	pngBytes := knownTextImage(t, ctx, "Gescannter Anhang Test")
-	img, err := png.Decode(bytes.NewReader(pngBytes))
-	if err != nil {
-		t.Fatalf("testbild dekodieren: %v", err)
-	}
-	scannedPDF, err := buildImageOnlyPDF(img)
-	if err != nil {
-		t.Fatalf("bild-pdf bauen: %v", err)
-	}
-
-	hasLayer, err := HasTextLayer(ctx, scannedPDF)
-	if err != nil {
-		t.Fatalf("hastextlayer: %v", err)
-	}
-	if hasLayer {
-		t.Fatal("bild-only-pdf wurde fälschlich als textebene erkannt")
-	}
-
-	result, err := ExtractTextFromPDF(ctx, scannedPDF)
-	if err != nil {
-		t.Fatalf("extracttextfrompdf: %v", err)
-	}
-	if !result.OCRPerformed {
-		t.Fatal("erwartete durchgeführte ocr bei fehlender textebene")
-	}
-	if !strings.Contains(result.Text, "Gescannter") {
-		t.Fatalf("erwarteten text aus ocr nicht gefunden, habe: %q", result.Text)
-	}
-}
-
-// TestExtractTextFromPDF_ThroughputIsAcceptable ist die geforderte
-// Pflichtprüfung 3: Durchsatztest bestätigt akzeptable Verarbeitungszeit
-// je Anhang. Zielzeit 8s je Anhang (großzügig für Rasterung + OCR bei
-// 300dpi, deckt aber real ab, dass kein pathologischer Ausreißer
-// entsteht).
-func TestExtractTextFromPDF_ThroughputIsAcceptable(t *testing.T) {
-	requireTools(t)
-	ctx := context.Background()
-
-	const attachments = 3
-	const targetPerAttachment = 8 * time.Second
-
-	pngBytes := knownTextImage(t, ctx, "Durchsatztest Anhang")
-	img, err := png.Decode(bytes.NewReader(pngBytes))
-	if err != nil {
-		t.Fatalf("testbild dekodieren: %v", err)
-	}
-	scannedPDF, err := buildImageOnlyPDF(img)
-	if err != nil {
-		t.Fatalf("bild-pdf bauen: %v", err)
-	}
-
-	start := time.Now()
-	for i := 0; i < attachments; i++ {
-		if _, err := ExtractTextFromPDF(ctx, scannedPDF); err != nil {
-			t.Fatalf("anhang %d: %v", i, err)
-		}
-	}
-	elapsed := time.Since(start)
-	perAttachment := elapsed / attachments
-	t.Logf("Durchsatz: %d Anhänge in %s (%s/Anhang, Ziel %s/Anhang)", attachments, elapsed, perAttachment, targetPerAttachment)
-	if perAttachment > targetPerAttachment {
-		t.Fatalf("verarbeitung zu langsam: %s/anhang, ziel %s/anhang", perAttachment, targetPerAttachment)
-	}
-}

mail/internal/ocr/testpdf_test.go

@@ -1,95 +0,0 @@
-package ocr
-
-import (
-	"bytes"
-	"fmt"
-	"image"
-	"image/jpeg"
-)
-
-// buildTextLayerPDF erzeugt ein minimales, aber ECHTES PDF mit einer
-// vektorbasierten Textebene (Standardfont Helvetica, kein eingebettetes
-// Fontprogramm nötig) — von Hand gebaut, keine externe Bibliothek/kein
-// externes Werkzeug, damit der Test reproduzierbar und unabhängig von
-// Systempaketen bleibt. pdftotext extrahiert text unmittelbar daraus.
-func buildTextLayerPDF(text string) []byte {
-	var buf bytes.Buffer
-	offsets := make([]int, 0, 6)
-
-	buf.WriteString("%PDF-1.4\n")
-
-	writeObj := func(n int, body string) {
-		offsets = append(offsets, buf.Len())
-		fmt.Fprintf(&buf, "%d 0 obj\n%s\nendobj\n", n, body)
-	}
-
-	writeObj(1, "<< /Type /Catalog /Pages 2 0 R >>")
-	writeObj(2, "<< /Type /Pages /Kids [3 0 R] /Count 1 >>")
-	writeObj(3, "<< /Type /Page /Parent 2 0 R /Resources << /Font << /F1 5 0 R >> >> /MediaBox [0 0 400 200] /Contents 4 0 R >>")
-
-	content := fmt.Sprintf("BT /F1 24 Tf 20 100 Td (%s) Tj ET", text)
-	stream := fmt.Sprintf("<< /Length %d >>\nstream\n%s\nendstream", len(content), content)
-	writeObj(4, stream)
-	writeObj(5, "<< /Type /Font /Subtype /Type1 /BaseFont /Helvetica >>")
-
-	xrefStart := buf.Len()
-	fmt.Fprintf(&buf, "xref\n0 %d\n", len(offsets)+1)
-	buf.WriteString("0000000000 65535 f \n")
-	for _, off := range offsets {
-		fmt.Fprintf(&buf, "%010d 00000 n \n", off)
-	}
-	fmt.Fprintf(&buf, "trailer\n<< /Size %d /Root 1 0 R >>\nstartxref\n%d\n%%%%EOF", len(offsets)+1, xrefStart)
-
-	return buf.Bytes()
-}
-
-// buildImageOnlyPDF erzeugt ein minimales, ECHTES PDF, dessen einzige
-// Seite ausschließlich aus einem eingebetteten Rasterbild besteht (JPEG
-// via /DCTDecode — von PDF nativ unterstützt, kein zusätzlicher Codec
-// nötig) — simuliert ein gescanntes PDF ohne Textebene
-// (Akzeptanzkriterium 1).
-func buildImageOnlyPDF(img image.Image) ([]byte, error) {
-	var jpegBuf bytes.Buffer
-	if err := jpeg.Encode(&jpegBuf, img, &jpeg.Options{Quality: 90}); err != nil {
-		return nil, fmt.Errorf("jpeg kodieren: %w", err)
-	}
-	bounds := img.Bounds()
-	w, h := bounds.Dx(), bounds.Dy()
-
-	var buf bytes.Buffer
-	offsets := make([]int, 0, 6)
-	buf.WriteString("%PDF-1.4\n")
-
-	writeObj := func(n int, header string, body []byte) {
-		offsets = append(offsets, buf.Len())
-		fmt.Fprintf(&buf, "%d 0 obj\n%s\n", n, header)
-		if body != nil {
-			buf.Write(body)
-			buf.WriteString("\nendstream\n")
-		}
-		buf.WriteString("endobj\n")
-	}
-
-	writeObj(1, "<< /Type /Catalog /Pages 2 0 R >>", nil)
-	writeObj(2, "<< /Type /Pages /Kids [3 0 R] /Count 1 >>", nil)
-	writeObj(3, fmt.Sprintf("<< /Type /Page /Parent 2 0 R /Resources << /XObject << /Im0 5 0 R >> >> /MediaBox [0 0 %d %d] /Contents 4 0 R >>", w, h), nil)
-
-	content := fmt.Sprintf("q %d 0 0 %d 0 0 cm /Im0 Do Q", w, h)
-	writeObj(4, fmt.Sprintf("<< /Length %d >>\nstream", len(content)), []byte(content))
-
-	imgHeader := fmt.Sprintf(
-		"<< /Type /XObject /Subtype /Image /Width %d /Height %d /ColorSpace /DeviceRGB /BitsPerComponent 8 /Filter /DCTDecode /Length %d >>\nstream",
-		w, h, jpegBuf.Len(),
-	)
-	writeObj(5, imgHeader, jpegBuf.Bytes())
-
-	xrefStart := buf.Len()
-	fmt.Fprintf(&buf, "xref\n0 %d\n", len(offsets)+1)
-	buf.WriteString("0000000000 65535 f \n")
-	for _, off := range offsets {
-		fmt.Fprintf(&buf, "%010d 00000 n \n", off)
-	}
-	fmt.Fprintf(&buf, "trailer\n<< /Size %d /Root 1 0 R >>\nstartxref\n%d\n%%%%EOF", len(offsets)+1, xrefStart)
-
-	return buf.Bytes(), nil
-}

mail/internal/pflichttestgate/gate.go

@@ -1,72 +0,0 @@
-// Package pflichttestgate erzwingt die in docs/TESTSTRATEGIE-MAIL.md
-// Abschnitt 4 festgelegte Regel: jede geänderte Go-Datei in einem
-// sicherheitskritischen Bereich (Auth, Tenant-Scoping, Protokoll-/
-// Compliance-kritisch) muss von einer geänderten oder neuen _test.go-
-// Datei im selben Package begleitet sein. Bewusste Code-Kopie des
-// Musters aus Core internal/pflichttestgate — Mail ist ein eigenständiges
-// Go-Modul und kann Core nicht importieren.
-package pflichttestgate
-
-import (
-	"path"
-	"regexp"
-	"strings"
-)
-
-// sensitivePathPatterns beschreibt die Bereiche aus
-// TESTSTRATEGIE-MAIL.md Abschnitt 4.
-var sensitivePathPatterns = []*regexp.Regexp{
-	regexp.MustCompile(`(^|/)mail/internal/auth/`),
-	regexp.MustCompile(`(^|/)mail/internal/tenant/`),
-	regexp.MustCompile(`(^|/)mail/internal/ingest/`),
-	regexp.MustCompile(`(^|/)mail/internal/imap/`),
-	regexp.MustCompile(`(^|/)mail/internal/smtp/`),
-	regexp.MustCompile(`(^|/)mail/internal/arc/`),
-}
-
-// Violation beschreibt ein Package mit sicherheitskritischer Änderung
-// ohne begleitende Testdatei.
-type Violation struct {
-	Package     string
-	ChangedFile string
-}
-
-func isSensitive(file string) bool {
-	if !strings.HasSuffix(file, ".go") || strings.HasSuffix(file, "_test.go") {
-		return false
-	}
-	for _, re := range sensitivePathPatterns {
-		if re.MatchString(file) {
-			return true
-		}
-	}
-	return false
-}
-
-// CheckDiff prüft eine Liste geänderter Dateipfade gegen die
-// Pflichttest-Regel — ein leeres Ergebnis bedeutet: Gate besteht.
-func CheckDiff(changedFiles []string) []Violation {
-	sensitiveByPkg := map[string]string{}
-	testTouchedPkgs := map[string]bool{}
-
-	for _, f := range changedFiles {
-		pkg := path.Dir(f)
-		if strings.HasSuffix(f, "_test.go") {
-			testTouchedPkgs[pkg] = true
-			continue
-		}
-		if isSensitive(f) {
-			if _, seen := sensitiveByPkg[pkg]; !seen {
-				sensitiveByPkg[pkg] = f
-			}
-		}
-	}
-
-	var violations []Violation
-	for pkg, file := range sensitiveByPkg {
-		if !testTouchedPkgs[pkg] {
-			violations = append(violations, Violation{Package: pkg, ChangedFile: file})
-		}
-	}
-	return violations
-}

mail/internal/pflichttestgate/gate_test.go

@@ -1,33 +0,0 @@
-// Negativtest des Gates selbst (QA-01 Prüfung 1): ein Diff mit
-// geänderter mail/internal/auth/login.go ohne begleitende Testdatei
-// muss als Verstoß erkannt werden.
-package pflichttestgate
-
-import "testing"
-
-func TestCheckDiff_FlagsSensitiveChangeWithoutTest(t *testing.T) {
-	violations := CheckDiff([]string{"mail/internal/auth/login.go"})
-	if len(violations) != 1 {
-		t.Fatalf("erwartet genau 1 verstoß, habe %d: %+v", len(violations), violations)
-	}
-	if violations[0].Package != "mail/internal/auth" {
-		t.Fatalf("falsches package gemeldet: %+v", violations[0])
-	}
-}
-
-func TestCheckDiff_PassesWhenTestFileAccompanies(t *testing.T) {
-	violations := CheckDiff([]string{
-		"mail/internal/auth/login.go",
-		"mail/internal/auth/login_test.go",
-	})
-	if len(violations) != 0 {
-		t.Fatalf("erwartet keine verstöße, habe: %+v", violations)
-	}
-}
-
-func TestCheckDiff_IgnoresNonSensitivePaths(t *testing.T) {
-	violations := CheckDiff([]string{"mail/internal/example/normalize.go"})
-	if len(violations) != 0 {
-		t.Fatalf("erwartet keine verstöße für nicht-sensiblen pfad, habe: %+v", violations)
-	}
-}

mail/internal/savedsearch/migrations/0001_mail_saved_searches.sql

@@ -1,11 +0,0 @@
-CREATE TABLE IF NOT EXISTS mail_saved_searches (
-    id           BIGSERIAL PRIMARY KEY,
-    tenant_slug  TEXT NOT NULL,
-    user_id      TEXT NOT NULL,
-    name         TEXT NOT NULL,
-    query_text   TEXT NOT NULL DEFAULT '',
-    filters      JSONB NOT NULL DEFAULT '[]'::jsonb,
-    created_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
-    updated_at   TIMESTAMPTZ NOT NULL DEFAULT now(),
-    UNIQUE (tenant_slug, user_id, name)
-)

mail/internal/savedsearch/store.go

@@ -1,174 +0,0 @@
-// Package savedsearch implementiert SRC-08: benannte, wiederausführbare
-// Suchanfragen inklusive aktiver Filter. Speichert ausschließlich die
-// SUCHKRITERIEN (Suchtext + Filter), niemals Trefferlisten — Execute ruft
-// bei jeder Ausführung real gegen mail/internal/search (SRC-01/SRC-03/
-// SRC-05) auf, damit stets aktuelle Treffer geliefert werden, kein
-// eingefrorener Snapshot (Akzeptanzkriterium 2). Kombiniert bewusst zwei
-// bereits fertige, unveränderte Pakete (Postgres-Speicherung hier,
-// Ausführung über search.Client) statt eines davon zu erweitern.
-//
-// "Benutzer" ist bis zu einer zentralen Session-/IAM-Anbindung (Core-
-// Board-Scope, nicht Bestandteil dieser Kachel) ein vom Aufrufer
-// mitgegebener opaker userID-String — dieselbe Konvention wie der
-// Tenant-Kontext in web/mail-search (SRC-04).
-package savedsearch
-
-import (
-	"context"
-	_ "embed"
-	"encoding/json"
-	"errors"
-	"fmt"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/mail/internal/search"
-)
-
-//go:embed migrations/0001_mail_saved_searches.sql
-var schemaMigration string
-
-// ErrNotFound wird geliefert, wenn keine gespeicherte Suche mit den
-// angegebenen Bezugsdaten existiert.
-var ErrNotFound = errors.New("savedsearch: gespeicherte suche nicht gefunden")
-
-// SavedSearch ist eine benannte, wiederausführbare Suchanfrage.
-type SavedSearch struct {
-	ID         int64
-	TenantSlug string
-	UserID     string
-	Name       string
-	QueryText  string
-	Filters    []search.FacetFilter
-}
-
-// Store persistiert gespeicherte Suchen in Postgres.
-type Store struct {
-	pool *pgxpool.Pool
-}
-
-func NewStore(pool *pgxpool.Pool) *Store {
-	return &Store{pool: pool}
-}
-
-// EnsureSchema legt die Tabelle an, falls sie noch nicht existiert —
-// gleiches Muster wie mail/internal/dedup/indexworker (kein zentraler
-// Migrationsläufer für Mandanten-Datenbanken im Mail-Modul vorhanden).
-func (s *Store) EnsureSchema(ctx context.Context) error {
-	if _, err := s.pool.Exec(ctx, schemaMigration); err != nil {
-		return fmt.Errorf("savedsearch: schema anlegen: %w", err)
-	}
-	return nil
-}
-
-// Save legt eine gespeicherte Suche unter name an oder aktualisiert sie,
-// falls unter demselben Namen für denselben Benutzer/Mandanten bereits
-// eine existiert (Akzeptanzkriterium 1).
-func (s *Store) Save(ctx context.Context, tenantSlug, userID, name, queryText string, filters []search.FacetFilter) (int64, error) {
-	filtersJSON, err := json.Marshal(filters)
-	if err != nil {
-		return 0, fmt.Errorf("savedsearch: filter serialisieren: %w", err)
-	}
-
-	var id int64
-	err = s.pool.QueryRow(ctx, `
-		INSERT INTO mail_saved_searches (tenant_slug, user_id, name, query_text, filters)
-		VALUES ($1, $2, $3, $4, $5)
-		ON CONFLICT (tenant_slug, user_id, name) DO UPDATE
-			SET query_text = EXCLUDED.query_text, filters = EXCLUDED.filters, updated_at = now()
-		RETURNING id
-	`, tenantSlug, userID, name, queryText, filtersJSON).Scan(&id)
-	if err != nil {
-		return 0, fmt.Errorf("savedsearch: speichern: %w", err)
-	}
-	return id, nil
-}
-
-// List liefert alle gespeicherten Suchen eines Benutzers innerhalb eines
-// Mandanten (Akzeptanzkriterium 3: je Benutzer/Mandant getrennt sichtbar).
-func (s *Store) List(ctx context.Context, tenantSlug, userID string) ([]SavedSearch, error) {
-	rows, err := s.pool.Query(ctx, `
-		SELECT id, tenant_slug, user_id, name, query_text, filters
-		FROM mail_saved_searches
-		WHERE tenant_slug = $1 AND user_id = $2
-		ORDER BY name
-	`, tenantSlug, userID)
-	if err != nil {
-		return nil, fmt.Errorf("savedsearch: liste lesen: %w", err)
-	}
-	defer rows.Close()
-
-	var results []SavedSearch
-	for rows.Next() {
-		item, err := scanSavedSearch(rows)
-		if err != nil {
-			return nil, err
-		}
-		results = append(results, item)
-	}
-	if err := rows.Err(); err != nil {
-		return nil, fmt.Errorf("savedsearch: liste iterieren: %w", err)
-	}
-	return results, nil
-}
-
-// Get liefert eine einzelne gespeicherte Suche, streng auf Mandant und
-// Benutzer beschränkt.
-func (s *Store) Get(ctx context.Context, tenantSlug, userID string, id int64) (SavedSearch, error) {
-	row := s.pool.QueryRow(ctx, `
-		SELECT id, tenant_slug, user_id, name, query_text, filters
-		FROM mail_saved_searches
-		WHERE tenant_slug = $1 AND user_id = $2 AND id = $3
-	`, tenantSlug, userID, id)
-	item, err := scanSavedSearch(row)
-	if err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return SavedSearch{}, ErrNotFound
-		}
-		return SavedSearch{}, err
-	}
-	return item, nil
-}
-
-// Delete entfernt GENAU EINE gespeicherte Suche, streng auf Mandant und
-// Benutzer beschränkt (Akzeptanzkriterium/Pflichtprüfung 3: Löschen
-// entfernt nur diese eine gespeicherte Suche).
-func (s *Store) Delete(ctx context.Context, tenantSlug, userID string, id int64) error {
-	tag, err := s.pool.Exec(ctx, `
-		DELETE FROM mail_saved_searches WHERE tenant_slug = $1 AND user_id = $2 AND id = $3
-	`, tenantSlug, userID, id)
-	if err != nil {
-		return fmt.Errorf("savedsearch: löschen: %w", err)
-	}
-	if tag.RowsAffected() == 0 {
-		return ErrNotFound
-	}
-	return nil
-}
-
-type rowScanner interface {
-	Scan(dest ...any) error
-}
-
-func scanSavedSearch(row rowScanner) (SavedSearch, error) {
-	var item SavedSearch
-	var filtersJSON []byte
-	if err := row.Scan(&item.ID, &item.TenantSlug, &item.UserID, &item.Name, &item.QueryText, &filtersJSON); err != nil {
-		return SavedSearch{}, fmt.Errorf("savedsearch: zeile lesen: %w", err)
-	}
-	if err := json.Unmarshal(filtersJSON, &item.Filters); err != nil {
-		return SavedSearch{}, fmt.Errorf("savedsearch: filter parsen: %w", err)
-	}
-	return item, nil
-}
-
-// Execute führt eine gespeicherte Suche LIVE gegen client aus
-// (Akzeptanzkriterium 2: aktuelle Treffer, kein eingefrorener Snapshot —
-// Execute speichert selbst nichts zwischen, jeder Aufruf fragt Manticore
-// neu ab). Hinterlegte Filter werden über search.Client.SearchWithFilters
-// tatsächlich auf die Treffermenge angewandt (UND-Verknüpfung), nicht nur
-// auf ihr Vorhandensein geprüft.
-func Execute(ctx context.Context, client *search.Client, saved SavedSearch) ([]search.Result, error) {
-	return client.SearchWithFilters(ctx, saved.TenantSlug, saved.QueryText, saved.Filters)
-}

mail/internal/savedsearch/store_test.go

@@ -1,202 +0,0 @@
-// Integrationstest (SRC-08): echte Postgres- UND Manticore-Instanz,
-// folgt derselben TEST_*-Env-Konvention wie mail/internal/search.
-package savedsearch
-
-import (
-	"context"
-	"os"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/mail/internal/search"
-)
-
-func setupStore(t *testing.T) *Store {
-	t.Helper()
-	dsn := os.Getenv("TEST_TENANT_DSN")
-	if dsn == "" {
-		t.Skip("TEST_TENANT_DSN nicht gesetzt, Integrationstest übersprungen")
-	}
-	ctx := context.Background()
-	pool, err := pgxpool.New(ctx, dsn)
-	if err != nil {
-		t.Fatalf("pool: %v", err)
-	}
-	t.Cleanup(func() { pool.Close() })
-
-	store := NewStore(pool)
-	if err := store.EnsureSchema(ctx); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-	t.Cleanup(func() {
-		_, _ = pool.Exec(context.Background(), `DELETE FROM mail_saved_searches WHERE tenant_slug LIKE 'mandant-src08-%'`)
-	})
-	return store
-}
-
-func setupSearchClient(t *testing.T) *search.Client {
-	t.Helper()
-	baseURL := os.Getenv("TEST_MANTICORE_URL")
-	if baseURL == "" {
-		t.Skip("TEST_MANTICORE_URL nicht gesetzt, Integrationstest übersprungen")
-	}
-	client := search.NewClient(baseURL)
-	if err := client.EnsureSchema(context.Background()); err != nil {
-		t.Fatalf("search-schema: %v", err)
-	}
-	return client
-}
-
-// TestExecute_SavedSearchWithMultipleFiltersReproducesCorrectly ist die
-// geforderte Pflichtprüfung 1: gespeicherte Suche mit mehreren Filtern
-// wird korrekt reproduziert.
-func TestExecute_SavedSearchWithMultipleFiltersReproducesCorrectly(t *testing.T) {
-	store := setupStore(t)
-	searchClient := setupSearchClient(t)
-	ctx := context.Background()
-	tenant := "mandant-src08-filter"
-
-	docs := []search.Document{
-		{MessageID: "msg-sv-treffer", Subject: "Quartalsbericht", Sender: "alice@example.com", Mailbox: "inbox"},
-		{MessageID: "msg-sv-falscher-sender", Subject: "Quartalsbericht", Sender: "bob@example.com", Mailbox: "inbox"},
-		{MessageID: "msg-sv-falsche-mailbox", Subject: "Quartalsbericht", Sender: "alice@example.com", Mailbox: "archiv"},
-	}
-	for _, d := range docs {
-		d.TenantSlug = tenant
-		d.ID = search.DocumentID(tenant, d.MessageID)
-		if err := searchClient.Index(ctx, d); err != nil {
-			t.Fatalf("index %s: %v", d.MessageID, err)
-		}
-	}
-
-	filters := []search.FacetFilter{
-		{Field: search.FieldSender, Value: "alice@example.com"},
-		{Field: search.FieldMailbox, Value: "inbox"},
-	}
-	id, err := store.Save(ctx, tenant, "user-1", "Alice Inbox Quartalsbericht", "Quartalsbericht", filters)
-	if err != nil {
-		t.Fatalf("save: %v", err)
-	}
-
-	saved, err := store.Get(ctx, tenant, "user-1", id)
-	if err != nil {
-		t.Fatalf("get: %v", err)
-	}
-
-	results, err := Execute(ctx, searchClient, saved)
-	if err != nil {
-		t.Fatalf("execute: %v", err)
-	}
-	if len(results) != 1 || results[0].MessageID != "msg-sv-treffer" {
-		t.Fatalf("erwartete genau msg-sv-treffer, habe: %+v", results)
-	}
-}
-
-// TestExecute_ReturnsCurrentResultsNotFrozenSnapshot deckt
-// Akzeptanzkriterium 2 ab: aktuelle Treffer, kein eingefrorener Snapshot.
-func TestExecute_ReturnsCurrentResultsNotFrozenSnapshot(t *testing.T) {
-	store := setupStore(t)
-	searchClient := setupSearchClient(t)
-	ctx := context.Background()
-	tenant := "mandant-src08-live"
-
-	docID := search.DocumentID(tenant, "msg-live-1")
-	// Verteidigung gegen Testreste eines vorherigen Laufs (Manticore wird
-	// zwischen Testläufen nicht automatisch geleert, anders als Postgres
-	// über t.Cleanup) — Ausgangszustand muss real leer sein, damit der
-	// Test die Aussage "kein eingefrorener Snapshot" beweiskräftig prüft.
-	_ = searchClient.Delete(ctx, docID)
-	t.Cleanup(func() { _ = searchClient.Delete(context.Background(), docID) })
-
-	id, err := store.Save(ctx, tenant, "user-1", "Alles zu Zylotharion", "Zylotharion", nil)
-	if err != nil {
-		t.Fatalf("save: %v", err)
-	}
-	saved, err := store.Get(ctx, tenant, "user-1", id)
-	if err != nil {
-		t.Fatalf("get: %v", err)
-	}
-
-	before, err := Execute(ctx, searchClient, saved)
-	if err != nil {
-		t.Fatalf("execute (vorher): %v", err)
-	}
-	if len(before) != 0 {
-		t.Fatalf("erwartete 0 treffer vor indexierung, habe %d", len(before))
-	}
-
-	if err := searchClient.Index(ctx, search.Document{
-		ID:         docID,
-		TenantSlug: tenant,
-		MessageID:  "msg-live-1",
-		Subject:    "Neuigkeiten zu Zylotharion",
-	}); err != nil {
-		t.Fatalf("index: %v", err)
-	}
-
-	after, err := Execute(ctx, searchClient, saved)
-	if err != nil {
-		t.Fatalf("execute (nachher): %v", err)
-	}
-	if len(after) != 1 {
-		t.Fatalf("erwartete 1 aktuellen treffer nach neuer indexierung (kein eingefrorener snapshot), habe %d", len(after))
-	}
-}
-
-// TestList_UserSeesNoOtherTenantsSavedSearches ist die geforderte
-// Pflichtprüfung 2: Benutzer sieht keine gespeicherten Suchen anderer
-// Mandanten.
-func TestList_UserSeesNoOtherTenantsSavedSearches(t *testing.T) {
-	store := setupStore(t)
-	ctx := context.Background()
-	tenantA := "mandant-src08-iso-a"
-	tenantB := "mandant-src08-iso-b"
-
-	if _, err := store.Save(ctx, tenantA, "user-1", "Suche A", "irgendwas", nil); err != nil {
-		t.Fatalf("save mandant a: %v", err)
-	}
-	if _, err := store.Save(ctx, tenantB, "user-1", "Suche B", "irgendwas", nil); err != nil {
-		t.Fatalf("save mandant b: %v", err)
-	}
-
-	listB, err := store.List(ctx, tenantB, "user-1")
-	if err != nil {
-		t.Fatalf("list mandant b: %v", err)
-	}
-	if len(listB) != 1 || listB[0].Name != "Suche B" {
-		t.Fatalf("mandant b sieht fremde/fehlende suchen: %+v", listB)
-	}
-}
-
-// TestDelete_RemovesOnlyThatSavedSearch ist die geforderte Pflichtprüfung
-// 3: Löschen einer gespeicherten Suche entfernt nur diese.
-func TestDelete_RemovesOnlyThatSavedSearch(t *testing.T) {
-	store := setupStore(t)
-	ctx := context.Background()
-	tenant := "mandant-src08-delete"
-
-	idA, err := store.Save(ctx, tenant, "user-1", "Suche A", "a", nil)
-	if err != nil {
-		t.Fatalf("save a: %v", err)
-	}
-	idB, err := store.Save(ctx, tenant, "user-1", "Suche B", "b", nil)
-	if err != nil {
-		t.Fatalf("save b: %v", err)
-	}
-
-	if err := store.Delete(ctx, tenant, "user-1", idA); err != nil {
-		t.Fatalf("delete a: %v", err)
-	}
-
-	if _, err := store.Get(ctx, tenant, "user-1", idA); err != ErrNotFound {
-		t.Fatalf("erwartete ErrNotFound für gelöschte suche a, habe: %v", err)
-	}
-	stillThere, err := store.Get(ctx, tenant, "user-1", idB)
-	if err != nil {
-		t.Fatalf("suche b sollte weiterhin existieren: %v", err)
-	}
-	if stillThere.Name != "Suche B" {
-		t.Fatalf("unerwarteter inhalt für suche b: %+v", stillThere)
-	}
-}

mail/internal/search/client.go

@@ -1,326 +0,0 @@
-package search
-
-import (
-	"bytes"
-	"context"
-	_ "embed"
-	"encoding/json"
-	"fmt"
-	"io"
-	"net/http"
-	"strings"
-	"time"
-)
-
-// 0001_mail_documents.sql: statisches, versioniertes Schema
-// (Akzeptanzkriterium 1). Feldnamen hier UND in fields.go müssen
-// deckungsgleich bleiben — die Konstanten in fields.go sind die einzige
-// Stelle, aus der Go-Code Feldnamen für Schreib-/Lesezugriffe bezieht.
-// Manticores SQL-Parser unterstützt keine "--"-Kommentare, daher bleibt
-// die eingebettete Datei selbst kommentarfrei.
-//
-//go:embed migrations/0001_mail_documents.sql
-var schemaMigration string
-
-// SRC-05: Facettenfelder als eigene, nummerierte ALTER-Migrationen
-// nachgezogen (Manticore erlaubt nur eine Spalte je ALTER TABLE ADD
-// COLUMN-Anweisung). Reihenfolge ist die Anwendungsreihenfolge.
-//
-//go:embed migrations/0002_mail_documents_facets.sql
-var migrationAddSender string
-
-//go:embed migrations/0003_mail_documents_mailbox.sql
-var migrationAddMailbox string
-
-//go:embed migrations/0004_mail_documents_attachment_type.sql
-var migrationAddAttachmentType string
-
-//go:embed migrations/0005_mail_documents_tag.sql
-var migrationAddTag string
-
-var facetMigrations = []string{
-	migrationAddSender,
-	migrationAddMailbox,
-	migrationAddAttachmentType,
-	migrationAddTag,
-}
-
-// Client spricht ausschließlich über die strukturierte Manticore-HTTP-
-// JSON-API (kein String-Zusammenbau von SQL-Klauseln, siehe fields.go).
-// Die SQL-Schnittstelle wird nur für EnsureSchema verwendet, und dort
-// ausschließlich mit dem statischen, eingebetteten Migrationstext —
-// niemals mit zur Laufzeit zusammengesetzten Werten.
-type Client struct {
-	baseURL string
-	http    *http.Client
-}
-
-func NewClient(baseURL string) *Client {
-	return &Client{
-		baseURL: strings.TrimRight(baseURL, "/"),
-		http:    &http.Client{Timeout: 10 * time.Second},
-	}
-}
-
-// EnsureSchema legt den Index gemäß dem versionierten, statischen
-// Migrationstext an (Akzeptanzkriterium 1) und zieht die Facettenfelder
-// (SRC-05) idempotent nach.
-func (c *Client) EnsureSchema(ctx context.Context) error {
-	if err := c.runSchemaSQL(ctx, schemaMigration); err != nil {
-		return fmt.Errorf("search: schema anlegen: %w", err)
-	}
-	for _, migration := range facetMigrations {
-		if err := c.runSchemaSQL(ctx, migration); err != nil {
-			// Manticore meldet bei erneutem ADD COLUMN "field already in
-			// schema" — kein Fehler, sondern der bereits angewendete
-			// Migrationsschritt (Idempotenz, gleiche CREATE-TABLE-IF-NOT-
-			// EXISTS-Konvention wie das Basisschema).
-			if strings.Contains(err.Error(), "already in schema") {
-				continue
-			}
-			return fmt.Errorf("search: facettenfeld-migration: %w", err)
-		}
-	}
-	return nil
-}
-
-func (c *Client) runSchemaSQL(ctx context.Context, query string) error {
-	form := "query=" + query
-	req, err := http.NewRequestWithContext(ctx, http.MethodPost, c.baseURL+"/sql?mode=raw", strings.NewReader(form))
-	if err != nil {
-		return fmt.Errorf("anfrage bauen: %w", err)
-	}
-	req.Header.Set("Content-Type", "application/x-www-form-urlencoded")
-
-	resp, err := c.http.Do(req)
-	if err != nil {
-		return fmt.Errorf("ausführen: %w", err)
-	}
-	defer func() { _ = resp.Body.Close() }()
-	body, _ := io.ReadAll(resp.Body)
-	if resp.StatusCode != http.StatusOK {
-		return fmt.Errorf("status %d: %s", resp.StatusCode, string(body))
-	}
-	if strings.Contains(string(body), `"error":"`) && !strings.Contains(string(body), `"error":""`) {
-		return fmt.Errorf("%s", string(body))
-	}
-	return nil
-}
-
-// Document ist ein Mail-Suchdokument. Feldnamen im JSON-Tag entsprechen
-// exakt den Konstanten in fields.go.
-type Document struct {
-	ID              uint64 `json:"-"`
-	TenantSlug      string `json:"tenant_slug"`
-	MessageID       string `json:"message_id"`
-	Subject         string `json:"subject"`
-	Body            string `json:"body"`
-	AttachmentText  string `json:"attachment_text"`
-	SentAtUnixEpoch int64  `json:"sent_at"`
-	// Facettenfelder (SRC-05), optional — leerer String bedeutet "kein Wert".
-	Sender         string `json:"sender"`
-	Mailbox        string `json:"mailbox"`
-	AttachmentType string `json:"attachment_type"`
-	Tag            string `json:"tag"`
-}
-
-// Index legt/ersetzt ein Suchdokument (Akzeptanzkriterium 2: Schreibzugriff
-// ausschließlich über statische, vordefinierte Feldnamen aus dem
-// Document-Struct — kein dynamischer Feldname möglich).
-func (c *Client) Index(ctx context.Context, doc Document) error {
-	payload := map[string]any{
-		"index": IndexName,
-		"id":    doc.ID,
-		"doc":   doc,
-	}
-	body, err := json.Marshal(payload)
-	if err != nil {
-		return fmt.Errorf("search: dokument serialisieren: %w", err)
-	}
-
-	req, err := http.NewRequestWithContext(ctx, http.MethodPost, c.baseURL+"/replace", bytes.NewReader(body))
-	if err != nil {
-		return fmt.Errorf("search: index-anfrage bauen: %w", err)
-	}
-	req.Header.Set("Content-Type", "application/json")
-
-	resp, err := c.http.Do(req)
-	if err != nil {
-		return fmt.Errorf("search: dokument indexieren: %w", err)
-	}
-	defer func() { _ = resp.Body.Close() }()
-	respBody, _ := io.ReadAll(resp.Body)
-	if resp.StatusCode != http.StatusOK {
-		return fmt.Errorf("search: dokument indexieren, status %d: %s", resp.StatusCode, string(respBody))
-	}
-	return nil
-}
-
-// Delete entfernt ein Suchdokument anhand seiner ID (SRC-02
-// Akzeptanzkriterium 2: Löschungen werden im Index nachgezogen). Löschen
-// eines nicht (mehr) vorhandenen Dokuments ist kein Fehler (idempotent).
-func (c *Client) Delete(ctx context.Context, id uint64) error {
-	payload := map[string]any{
-		"index": IndexName,
-		"id":    id,
-	}
-	body, err := json.Marshal(payload)
-	if err != nil {
-		return fmt.Errorf("search: lösch-anfrage serialisieren: %w", err)
-	}
-
-	req, err := http.NewRequestWithContext(ctx, http.MethodPost, c.baseURL+"/delete", bytes.NewReader(body))
-	if err != nil {
-		return fmt.Errorf("search: lösch-anfrage bauen: %w", err)
-	}
-	req.Header.Set("Content-Type", "application/json")
-
-	resp, err := c.http.Do(req)
-	if err != nil {
-		return fmt.Errorf("search: dokument löschen: %w", err)
-	}
-	defer func() { _ = resp.Body.Close() }()
-	respBody, _ := io.ReadAll(resp.Body)
-	if resp.StatusCode != http.StatusOK {
-		return fmt.Errorf("search: dokument löschen, status %d: %s", resp.StatusCode, string(respBody))
-	}
-	return nil
-}
-
-// Result ist ein Suchtreffer.
-type Result struct {
-	MessageID       string
-	Subject         string
-	Score           int64
-	SentAtUnixEpoch int64
-}
-
-// fieldWeights gewichtet Betreff höher als Text, Anhangstext am
-// niedrigsten (SRC-03 Akzeptanzkriterium 1: Ranking berücksichtigt u.a.
-// Anhangstreffer) — statische Konstanten, keine dynamischen Feldnamen.
-var fieldWeights = map[string]any{
-	FieldSubject:        10,
-	FieldBody:           3,
-	FieldAttachmentText: 1,
-}
-
-// doSearchWithSwapRetry führt eine /search-Anfrage aus und wiederholt sie
-// bis zu zweimal mit kurzer Pause, falls Manticore "unknown local table"
-// meldet (SRC-09 Akzeptanzkriterium 3: der Reindex-Umschaltmoment
-// RENAME-alte-Tabelle-weg/RENAME-neue-Tabelle-rein hat ein extrem kurzes
-// Zeitfenster ohne existierende mail_documents-Tabelle — dieser Retry
-// überbrückt es, statt eine Suchanfrage in genau diesem Moment fehlschlagen
-// zu lassen).
-func (c *Client) doSearchWithSwapRetry(ctx context.Context, body []byte) ([]byte, error) {
-	const maxAttempts = 3
-	var lastErr error
-	for attempt := 0; attempt < maxAttempts; attempt++ {
-		if attempt > 0 {
-			select {
-			case <-ctx.Done():
-				return nil, ctx.Err()
-			case <-time.After(20 * time.Millisecond):
-			}
-		}
-
-		req, err := http.NewRequestWithContext(ctx, http.MethodPost, c.baseURL+"/search", bytes.NewReader(body))
-		if err != nil {
-			return nil, fmt.Errorf("search: suchanfrage bauen: %w", err)
-		}
-		req.Header.Set("Content-Type", "application/json")
-
-		resp, err := c.http.Do(req)
-		if err != nil {
-			return nil, fmt.Errorf("search: suche ausführen: %w", err)
-		}
-		respBody, readErr := io.ReadAll(resp.Body)
-		_ = resp.Body.Close()
-		if readErr != nil {
-			return nil, fmt.Errorf("search: antwort lesen: %w", readErr)
-		}
-		if strings.Contains(string(respBody), "unknown local table") {
-			lastErr = fmt.Errorf("search: suche, status %d: %s", resp.StatusCode, string(respBody))
-			continue
-		}
-		if resp.StatusCode != http.StatusOK {
-			return nil, fmt.Errorf("search: suche, status %d: %s", resp.StatusCode, string(respBody))
-		}
-		return respBody, nil
-	}
-	return nil, lastErr
-}
-
-// Search sucht queryText innerhalb der Volltextfelder, strikt begrenzt auf
-// den Mandanten tenantSlug (Akzeptanzkriterium 2: mandantengetrennt
-// abfragbar) — der Tenant-Filter läuft über ein strukturiertes "equals"-
-// Feld der JSON-API, niemals über eine interpolierte WHERE-Klausel.
-//
-// queryText nutzt Manticores erweiterte Abfragesyntax über den
-// query_string-Klausel-Typ (Akzeptanzkriterium 3: Phrasensuche mit
-// Anführungszeichen, Ausschluss mit vorangestelltem "-") — der Wert landet
-// als reiner JSON-String-Wert, es gibt dabei keinerlei dynamischen
-// Feld-/Tabellennamen, der beeinflusst werden könnte. Ergebnisse kommen
-// von Manticore bereits nach Relevanz (BM25, gewichtet über fieldWeights)
-// absteigend sortiert zurück (Akzeptanzkriterium 1).
-const searchResultLimit = 1000
-
-func (c *Client) Search(ctx context.Context, tenantSlug, queryText string) ([]Result, error) {
-	payload := map[string]any{
-		"index": IndexName,
-		"query": map[string]any{
-			"bool": map[string]any{
-				"must": []map[string]any{
-					{"equals": map[string]any{FieldTenantSlug: tenantSlug}},
-					{"query_string": queryText},
-				},
-			},
-		},
-		"options": map[string]any{
-			"field_weights": fieldWeights,
-		},
-		// Ohne explizites limit begrenzt Manticore standardmäßig auf 20
-		// Treffer — bei Testkorpora bis 1000 Dokumenten (SRC-03) blieb das
-		// bisher unbemerkt, da nur auf das Vorhandensein einzelner Treffer
-		// geprüft wurde, nicht auf die Gesamtzahl. searchResultLimit deckt
-		// realistische Trefferlisten ab, ohne unbegrenzt zu sein.
-		"limit": searchResultLimit,
-	}
-	body, err := json.Marshal(payload)
-	if err != nil {
-		return nil, fmt.Errorf("search: suchanfrage serialisieren: %w", err)
-	}
-
-	respBody, err := c.doSearchWithSwapRetry(ctx, body)
-	if err != nil {
-		return nil, err
-	}
-
-	var parsed searchResponse
-	if err := json.Unmarshal(respBody, &parsed); err != nil {
-		return nil, fmt.Errorf("search: antwort parsen: %w", err)
-	}
-
-	results := make([]Result, 0, len(parsed.Hits.Hits))
-	for _, hit := range parsed.Hits.Hits {
-		results = append(results, Result{
-			MessageID:       hit.Source.MessageID,
-			Subject:         hit.Source.Subject,
-			Score:           hit.Score,
-			SentAtUnixEpoch: hit.Source.SentAtUnixEpoch,
-		})
-	}
-	return results, nil
-}
-
-type searchResponse struct {
-	Hits struct {
-		Hits []struct {
-			Score  int64 `json:"_score"`
-			Source struct {
-				MessageID       string `json:"message_id"`
-				Subject         string `json:"subject"`
-				SentAtUnixEpoch int64  `json:"sent_at"`
-			} `json:"_source"`
-		} `json:"hits"`
-	} `json:"hits"`
-}

mail/internal/search/client_test.go

@@ -1,72 +0,0 @@
-package search
-
-import (
-	"context"
-	"encoding/json"
-	"net/http"
-	"net/http/httptest"
-	"testing"
-)
-
-// TestSearch_MaliciousInputDoesNotAlterFieldNames ist die geforderte
-// Pflichtprüfung 2: eine Abfrage mit manipulierten Eingabewerten
-// (SQL-/Injection-artige Zeichen in tenantSlug und queryText) darf keine
-// Spalten-/Tabellennamen in der an Manticore gesendeten Anfrage verändern
-// — Werte landen ausschließlich als JSON-String-Werte, niemals als
-// Feld-/Tabellenname.
-func TestSearch_MaliciousInputDoesNotAlterFieldNames(t *testing.T) {
-	var captured map[string]any
-	srv := httptest.NewServer(http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
-		if err := json.NewDecoder(r.Body).Decode(&captured); err != nil {
-			t.Fatal(err)
-		}
-		w.Header().Set("Content-Type", "application/json")
-		_, _ = w.Write([]byte(`{"hits":{"hits":[]}}`))
-	}))
-	defer srv.Close()
-
-	client := NewClient(srv.URL)
-	maliciousTenant := `acme"; DROP TABLE mail_documents; --`
-	maliciousQuery := `x' OR '1'='1`
-
-	if _, err := client.Search(context.Background(), maliciousTenant, maliciousQuery); err != nil {
-		t.Fatalf("search: %v", err)
-	}
-
-	query, ok := captured["query"].(map[string]any)
-	if !ok {
-		t.Fatal("erwartetes 'query'-Objekt fehlt in gesendetem Payload")
-	}
-	boolQuery, ok := query["bool"].(map[string]any)
-	if !ok {
-		t.Fatal("erwartetes 'bool'-Objekt fehlt")
-	}
-	must, ok := boolQuery["must"].([]any)
-	if !ok || len(must) != 2 {
-		t.Fatal("erwartete 'must'-Liste mit 2 Klauseln fehlt")
-	}
-
-	equalsClause, ok := must[0].(map[string]any)["equals"].(map[string]any)
-	if !ok {
-		t.Fatal("erwartete 'equals'-Klausel fehlt")
-	}
-	// Feldname bleibt statisch "tenant_slug" — nur der Wert enthält die
-	// böswillige Eingabe, unverändert als String.
-	if _, hasStaticField := equalsClause[FieldTenantSlug]; !hasStaticField {
-		t.Fatalf("erwartetes statisches Feld %q nicht gefunden, habe: %v", FieldTenantSlug, equalsClause)
-	}
-	if equalsClause[FieldTenantSlug] != maliciousTenant {
-		t.Fatalf("wert wurde verändert: %v", equalsClause[FieldTenantSlug])
-	}
-
-	// query_string hat keinerlei dynamischen Feldnamen — der Klausel-Wert
-	// ist unmittelbar der übergebene String, keine map mit datenabhängigem
-	// Schlüssel möglich.
-	queryStringClause, ok := must[1].(map[string]any)["query_string"]
-	if !ok {
-		t.Fatal("erwartete 'query_string'-Klausel fehlt")
-	}
-	if queryStringClause != maliciousQuery {
-		t.Fatalf("suchwert wurde verändert: %v", queryStringClause)
-	}
-}

mail/internal/search/facets.go

@@ -1,240 +0,0 @@
-// SRC-05: Facetten- & Filter-API. Nutzt Manticores strukturierte
-// Aggregations-API (aggs.terms/aggs.range) — keine dynamische
-// SQL-Klauselbildung, dieselbe Konvention wie Search/Delete (fields.go).
-package search
-
-import (
-	"bytes"
-	"context"
-	"encoding/json"
-	"fmt"
-	"io"
-	"net/http"
-	"time"
-)
-
-// FacetFilter schränkt Suche/Facettenberechnung auf einen bereits
-// gewählten Facettenwert ein. Field MUSS aus FacetFields stammen —
-// Facets liefert einen Fehler bei jedem anderen Wert (verhindert einen
-// beliebigen, vom Aufrufer bestimmten Feldnamen in der Anfrage).
-type FacetFilter struct {
-	Field string
-	Value string
-}
-
-// FacetValue ist ein einzelner Facettenwert mit Trefferzahl
-// (Akzeptanzkriterium 1).
-type FacetValue struct {
-	Value string
-	Count int64
-}
-
-// DateRangeFacet ist ein Zeitraum-Bucket mit Trefferzahl.
-type DateRangeFacet struct {
-	Label string
-	Count int64
-}
-
-// FacetResult fasst alle Facettendimensionen einer Anfrage zusammen.
-type FacetResult struct {
-	// Values ist je FacetFields-Eintrag (sender/mailbox/attachment_type/tag)
-	// befüllt.
-	Values map[string][]FacetValue
-	// DateRanges sind feste Zeitraum-Buckets über FieldSentAt.
-	DateRanges []DateRangeFacet
-}
-
-// farFuture ist die obere Grenze des jüngsten Zeitraum-Buckets. Manticores
-// range-Aggregation verlangt für jeden Bucket ein explizites "to" — ein
-// hinreichend großer fester Wert (Jahr 2100) übernimmt die Rolle von
-// "unbegrenzt in die Zukunft", ohne den Feldtyp zu wechseln.
-const farFuture int64 = 4102444800
-
-type dateRangeBoundary struct {
-	label string
-	from  int64 // 0 = ab Epoch (unbegrenzt in die Vergangenheit)
-	to    int64
-}
-
-// dateRangeBoundaries berechnet die festen Zeitraum-Buckets relativ zu now
-// (Parameter statt time.Now() direkt, damit Facets testbar bleibt).
-func dateRangeBoundaries(now time.Time) []dateRangeBoundary {
-	sevenDaysAgo := now.AddDate(0, 0, -7).Unix()
-	thirtyDaysAgo := now.AddDate(0, 0, -30).Unix()
-	oneYearAgo := now.AddDate(-1, 0, 0).Unix()
-	return []dateRangeBoundary{
-		{label: "letzte_7_tage", from: sevenDaysAgo, to: farFuture},
-		{label: "letzte_30_tage", from: thirtyDaysAgo, to: sevenDaysAgo},
-		{label: "letztes_jahr", from: oneYearAgo, to: thirtyDaysAgo},
-		{label: "aelter", from: 0, to: oneYearAgo},
-	}
-}
-
-func isFacetField(field string) bool {
-	for _, f := range FacetFields {
-		if f == field {
-			return true
-		}
-	}
-	return false
-}
-
-// buildFilteredMust baut die gemeinsame bool.must-Liste für Facets und
-// SearchWithFilters: Tenant-Filter zwingend, optionaler Suchtext, dann je
-// Filter eine zusätzliche equals-Klausel (UND-Verknüpfung) — einzige
-// Stelle, an der Filter-Feldnamen gegen FacetFields geprüft werden.
-func buildFilteredMust(tenantSlug, queryText string, filters []FacetFilter) ([]map[string]any, error) {
-	must := []map[string]any{
-		{"equals": map[string]any{FieldTenantSlug: tenantSlug}},
-	}
-	if queryText != "" {
-		must = append(must, map[string]any{"query_string": queryText})
-	}
-	for _, f := range filters {
-		if !isFacetField(f.Field) {
-			return nil, fmt.Errorf("search: unbekanntes facettenfeld %q", f.Field)
-		}
-		must = append(must, map[string]any{"equals": map[string]any{f.Field: f.Value}})
-	}
-	return must, nil
-}
-
-// SearchWithFilters ist Search, zusätzlich beschränkt auf Dokumente, die
-// ALLE angegebenen Filter erfüllen (UND-Verknüpfung, dieselbe Semantik wie
-// Facets) — Grundlage für SRC-08s Wiederausführung gespeicherter Suchen
-// mit Filtern.
-func (c *Client) SearchWithFilters(ctx context.Context, tenantSlug, queryText string, filters []FacetFilter) ([]Result, error) {
-	if len(filters) == 0 {
-		return c.Search(ctx, tenantSlug, queryText)
-	}
-	must, err := buildFilteredMust(tenantSlug, queryText, filters)
-	if err != nil {
-		return nil, err
-	}
-
-	payload := map[string]any{
-		"index": IndexName,
-		"query": map[string]any{"bool": map[string]any{"must": must}},
-		"options": map[string]any{
-			"field_weights": fieldWeights,
-		},
-		"limit": searchResultLimit,
-	}
-	body, err := json.Marshal(payload)
-	if err != nil {
-		return nil, fmt.Errorf("search: gefilterte suchanfrage serialisieren: %w", err)
-	}
-
-	respBody, err := c.doSearchWithSwapRetry(ctx, body)
-	if err != nil {
-		return nil, err
-	}
-
-	var parsed searchResponse
-	if err := json.Unmarshal(respBody, &parsed); err != nil {
-		return nil, fmt.Errorf("search: antwort parsen: %w", err)
-	}
-
-	results := make([]Result, 0, len(parsed.Hits.Hits))
-	for _, hit := range parsed.Hits.Hits {
-		results = append(results, Result{
-			MessageID:       hit.Source.MessageID,
-			Subject:         hit.Source.Subject,
-			Score:           hit.Score,
-			SentAtUnixEpoch: hit.Source.SentAtUnixEpoch,
-		})
-	}
-	return results, nil
-}
-
-// Facets berechnet für jede Filterdimension (Akzeptanzkriterium 1) die
-// Trefferzahl je Wert, mandantengetrennt (Akzeptanzkriterium 3) und unter
-// Berücksichtigung bereits gewählter Filter (Akzeptanzkriterium 2: mehrere
-// Filter kombinieren sich als UND-Verknüpfung in derselben bool.must-Liste
-// wie der Tenant-Filter).
-func (c *Client) Facets(ctx context.Context, tenantSlug, queryText string, filters []FacetFilter) (FacetResult, error) {
-	must, err := buildFilteredMust(tenantSlug, queryText, filters)
-	if err != nil {
-		return FacetResult{}, err
-	}
-
-	aggs := map[string]any{}
-	for _, field := range FacetFields {
-		aggs[field] = map[string]any{"terms": map[string]any{"field": field, "size": 100}}
-	}
-	boundaries := dateRangeBoundaries(time.Now())
-	ranges := make([]map[string]any, 0, len(boundaries))
-	for _, b := range boundaries {
-		ranges = append(ranges, map[string]any{"from": b.from, "to": b.to})
-	}
-	aggs["sent_at"] = map[string]any{"range": map[string]any{"field": FieldSentAt, "ranges": ranges}}
-
-	payload := map[string]any{
-		"index": IndexName,
-		"query": map[string]any{"bool": map[string]any{"must": must}},
-		"aggs":  aggs,
-		"limit": 0,
-	}
-	body, err := json.Marshal(payload)
-	if err != nil {
-		return FacetResult{}, fmt.Errorf("search: facettenanfrage serialisieren: %w", err)
-	}
-
-	req, err := http.NewRequestWithContext(ctx, http.MethodPost, c.baseURL+"/search", bytes.NewReader(body))
-	if err != nil {
-		return FacetResult{}, fmt.Errorf("search: facettenanfrage bauen: %w", err)
-	}
-	req.Header.Set("Content-Type", "application/json")
-
-	resp, err := c.http.Do(req)
-	if err != nil {
-		return FacetResult{}, fmt.Errorf("search: facetten abrufen: %w", err)
-	}
-	defer func() { _ = resp.Body.Close() }()
-	respBody, err := io.ReadAll(resp.Body)
-	if err != nil {
-		return FacetResult{}, fmt.Errorf("search: facetten-antwort lesen: %w", err)
-	}
-	if resp.StatusCode != http.StatusOK {
-		return FacetResult{}, fmt.Errorf("search: facetten, status %d: %s", resp.StatusCode, string(respBody))
-	}
-
-	var parsed facetResponse
-	if err := json.Unmarshal(respBody, &parsed); err != nil {
-		return FacetResult{}, fmt.Errorf("search: facetten-antwort parsen: %w", err)
-	}
-
-	result := FacetResult{Values: make(map[string][]FacetValue, len(FacetFields))}
-	for _, field := range FacetFields {
-		bucket := parsed.Aggregations[field]
-		values := make([]FacetValue, 0, len(bucket.Buckets))
-		for _, b := range bucket.Buckets {
-			if b.Key == "" {
-				continue
-			}
-			values = append(values, FacetValue{Value: b.Key, Count: b.DocCount})
-		}
-		result.Values[field] = values
-	}
-
-	sentAtBucket := parsed.Aggregations["sent_at"]
-	result.DateRanges = make([]DateRangeFacet, 0, len(boundaries))
-	for i, b := range boundaries {
-		count := int64(0)
-		if i < len(sentAtBucket.Buckets) {
-			count = sentAtBucket.Buckets[i].DocCount
-		}
-		result.DateRanges = append(result.DateRanges, DateRangeFacet{Label: b.label, Count: count})
-	}
-
-	return result, nil
-}
-
-type facetResponse struct {
-	Aggregations map[string]struct {
-		Buckets []struct {
-			Key      string `json:"key"`
-			DocCount int64  `json:"doc_count"`
-		} `json:"buckets"`
-	} `json:"aggregations"`
-}

mail/internal/search/facets_test.go

@@ -1,107 +0,0 @@
-// Integrationstest (SRC-05): echte Manticore-Instanz, TEST_MANTICORE_URL
-// (gleiche Konvention wie integration_test.go/ranking_test.go).
-package search
-
-import (
-	"context"
-	"testing"
-)
-
-func indexFacetDoc(t *testing.T, client *Client, ctx context.Context, tenant string, doc Document) {
-	t.Helper()
-	doc.TenantSlug = tenant
-	doc.ID = DocumentID(tenant, doc.MessageID)
-	if err := client.Index(ctx, doc); err != nil {
-		t.Fatalf("index %s: %v", doc.MessageID, err)
-	}
-}
-
-// TestFacets_CountsMatchActualHits ist die geforderte Pflichtprüfung 1:
-// Facettenzahlen stimmen mit tatsächlicher Treffermenge überein.
-func TestFacets_CountsMatchActualHits(t *testing.T) {
-	client := setupClient(t)
-	ctx := context.Background()
-	tenant := "mandant-src05-zahlen"
-
-	indexFacetDoc(t, client, ctx, tenant, Document{MessageID: "msg-fz-1", Subject: "a", Sender: "alice@example.com", Mailbox: "inbox", AttachmentType: "pdf"})
-	indexFacetDoc(t, client, ctx, tenant, Document{MessageID: "msg-fz-2", Subject: "b", Sender: "alice@example.com", Mailbox: "inbox", AttachmentType: "docx"})
-	indexFacetDoc(t, client, ctx, tenant, Document{MessageID: "msg-fz-3", Subject: "c", Sender: "bob@example.com", Mailbox: "archiv", AttachmentType: "pdf"})
-
-	result, err := client.Facets(ctx, tenant, "", nil)
-	if err != nil {
-		t.Fatalf("facets: %v", err)
-	}
-
-	senderCounts := toCountMap(result.Values[FieldSender])
-	if senderCounts["alice@example.com"] != 2 {
-		t.Fatalf("erwartete 2 treffer für alice@example.com, habe %d (%+v)", senderCounts["alice@example.com"], result.Values[FieldSender])
-	}
-	if senderCounts["bob@example.com"] != 1 {
-		t.Fatalf("erwartete 1 treffer für bob@example.com, habe %d", senderCounts["bob@example.com"])
-	}
-
-	attachmentCounts := toCountMap(result.Values[FieldAttachmentType])
-	if attachmentCounts["pdf"] != 2 {
-		t.Fatalf("erwartete 2 treffer für pdf, habe %d", attachmentCounts["pdf"])
-	}
-}
-
-// TestFacets_ThreeFiltersCombineWithAND ist die geforderte Pflichtprüfung
-// 2: Kombination von drei Filtern liefert korrekt eingeschränkte Treffer.
-func TestFacets_ThreeFiltersCombineWithAND(t *testing.T) {
-	client := setupClient(t)
-	ctx := context.Background()
-	tenant := "mandant-src05-kombi"
-
-	indexFacetDoc(t, client, ctx, tenant, Document{MessageID: "msg-kombi-treffer", Subject: "x", Sender: "alice@example.com", Mailbox: "inbox", AttachmentType: "pdf", Tag: "wichtig"})
-	indexFacetDoc(t, client, ctx, tenant, Document{MessageID: "msg-kombi-falscher-sender", Subject: "x", Sender: "bob@example.com", Mailbox: "inbox", AttachmentType: "pdf", Tag: "wichtig"})
-	indexFacetDoc(t, client, ctx, tenant, Document{MessageID: "msg-kombi-falsche-mailbox", Subject: "x", Sender: "alice@example.com", Mailbox: "archiv", AttachmentType: "pdf", Tag: "wichtig"})
-	indexFacetDoc(t, client, ctx, tenant, Document{MessageID: "msg-kombi-falscher-typ", Subject: "x", Sender: "alice@example.com", Mailbox: "inbox", AttachmentType: "docx", Tag: "wichtig"})
-
-	filters := []FacetFilter{
-		{Field: FieldSender, Value: "alice@example.com"},
-		{Field: FieldMailbox, Value: "inbox"},
-		{Field: FieldAttachmentType, Value: "pdf"},
-	}
-	result, err := client.Facets(ctx, tenant, "", filters)
-	if err != nil {
-		t.Fatalf("facets: %v", err)
-	}
-
-	tagCounts := toCountMap(result.Values[FieldTag])
-	if tagCounts["wichtig"] != 1 {
-		t.Fatalf("erwartete genau 1 verbleibenden treffer nach 3 UND-verknüpften filtern, habe %d (%+v)", tagCounts["wichtig"], result.Values[FieldTag])
-	}
-}
-
-// TestFacets_TenantSeparation ist die geforderte Pflichtprüfung 3:
-// Facetten eines Mandanten enthalten keine Werte eines anderen.
-func TestFacets_TenantSeparation(t *testing.T) {
-	client := setupClient(t)
-	ctx := context.Background()
-	tenantA := "mandant-src05-facetten-a"
-	tenantB := "mandant-src05-facetten-b"
-
-	indexFacetDoc(t, client, ctx, tenantA, Document{MessageID: "msg-fa-1", Subject: "a", Sender: "nur-a@example.com", Mailbox: "inbox", AttachmentType: "pdf"})
-	indexFacetDoc(t, client, ctx, tenantB, Document{MessageID: "msg-fb-1", Subject: "b", Sender: "nur-b@example.com", Mailbox: "inbox", AttachmentType: "pdf"})
-
-	resultB, err := client.Facets(ctx, tenantB, "", nil)
-	if err != nil {
-		t.Fatalf("facets mandant b: %v", err)
-	}
-	senderCountsB := toCountMap(resultB.Values[FieldSender])
-	if _, present := senderCountsB["nur-a@example.com"]; present {
-		t.Fatalf("mandant b sieht facettenwert von mandant a: %+v", resultB.Values[FieldSender])
-	}
-	if senderCountsB["nur-b@example.com"] != 1 {
-		t.Fatalf("erwartete eigenen facettenwert bei mandant b, habe: %+v", resultB.Values[FieldSender])
-	}
-}
-
-func toCountMap(values []FacetValue) map[string]int64 {
-	m := make(map[string]int64, len(values))
-	for _, v := range values {
-		m[v.Value] = v.Count
-	}
-	return m
-}

mail/internal/search/fields.go

@@ -1,53 +0,0 @@
-// Package search implementiert SRC-01: den Manticore-RT-Suchindex für
-// Mail-Inhalte. Bekannter Fehler vermeiden (siehe known-issues-archivmail.md
-// #11/#12): archivmail baute WHERE-Klauseln und teils Spalten-/Tabellennamen
-// dynamisch über fmt.Sprintf/strings.Join zusammen. Für dieses Paket gilt
-// verbindlich: Spalten- und Tabellennamen kommen AUSSCHLIESSLICH aus den
-// Konstanten dieser Datei, nirgendwo sonst im Paket wird ein Feld- oder
-// Tabellenname zur Laufzeit zusammengesetzt. Suchanfragen laufen über die
-// strukturierte Manticore-HTTP-JSON-API (Query/Insert-Sub, kein
-// String-Zusammenbau von SQL), nicht über die SQL-Schnittstelle.
-package search
-
-import "hash/fnv"
-
-// IndexName ist der einzige Ort, an dem der Manticore-Indexname als
-// Literal steht.
-const IndexName = "mail_documents"
-
-// Statische Feld-Whitelist des mail_documents-Index (muss deckungsgleich
-// mit migrations/0001_mail_documents.sql bleiben).
-const (
-	FieldTenantSlug     = "tenant_slug"
-	FieldMessageID      = "message_id"
-	FieldSubject        = "subject"
-	FieldBody           = "body"
-	FieldAttachmentText = "attachment_text"
-	FieldSentAt         = "sent_at"
-	// Facettenfelder (SRC-05), nachgezogen über migrations/0002..0005.
-	FieldSender         = "sender"
-	FieldMailbox        = "mailbox"
-	FieldAttachmentType = "attachment_type"
-	FieldTag            = "tag"
-)
-
-// FacetFields sind die je Kachel unterstützten Filterdimensionen
-// (Akzeptanzkriterium 1: Absender, Postfach, Anhangstyp, Tag — Zeitraum
-// läuft separat über FieldSentAt als Bereichsfacette, siehe facets.go).
-// Statische Liste — Aufrufer können ausschließlich diese Feldnamen als
-// Facetten-/Filterdimension angeben, kein beliebiger Client-Feldname.
-var FacetFields = []string{FieldSender, FieldMailbox, FieldAttachmentType, FieldTag}
-
-// DocumentID berechnet deterministisch die Manticore-Dokument-ID aus
-// Mandant und Message-ID (FNV-1a, 64 Bit). Deterministisch statt einer
-// separat vergebenen ID, damit Re-Indexierung (Index) und Löschung
-// (Delete) für dieselbe Mail immer dieselbe Dokument-ID referenzieren,
-// ohne dass der Aufrufer sie zwischenspeichern muss (SRC-02: Löschungen
-// müssen ohne zusätzlichen Zustand nachgezogen werden können).
-func DocumentID(tenantSlug, messageID string) uint64 {
-	h := fnv.New64a()
-	_, _ = h.Write([]byte(tenantSlug))
-	_, _ = h.Write([]byte{0})
-	_, _ = h.Write([]byte(messageID))
-	return h.Sum64()
-}

mail/internal/search/integration_test.go

@@ -1,98 +0,0 @@
-// Integrationstest (SRC-01): echte Manticore-Instanz auf dem Testhost.
-// Folgt derselben TEST_*-Env-Konvention wie mail/internal/example und
-// mail/internal/dedup — TEST_MANTICORE_URL.
-package search
-
-import (
-	"context"
-	"os"
-	"testing"
-)
-
-func setupClient(t *testing.T) *Client {
-	t.Helper()
-	baseURL := os.Getenv("TEST_MANTICORE_URL")
-	if baseURL == "" {
-		t.Skip("TEST_MANTICORE_URL nicht gesetzt, Integrationstest übersprungen")
-	}
-	client := NewClient(baseURL)
-	if err := client.EnsureSchema(context.Background()); err != nil {
-		t.Fatalf("schema: %v", err)
-	}
-	return client
-}
-
-// TestSearch_FindsExpectedDocument ist die geforderte Pflichtprüfung 3:
-// Funktionstest bestätigt, dass die Volltextsuche erwartete Treffer für
-// einen Testkorpus liefert.
-func TestSearch_FindsExpectedDocument(t *testing.T) {
-	client := setupClient(t)
-	ctx := context.Background()
-	tenant := "mandant-src01-funktionstest"
-
-	if err := client.Index(ctx, Document{
-		ID:         910001,
-		TenantSlug: tenant,
-		MessageID:  "msg-funktionstest-1",
-		Subject:    "Quartalsbericht Q3",
-		Body:       "Anbei der vollständige Quartalsbericht mit Umsatzzahlen.",
-	}); err != nil {
-		t.Fatalf("index: %v", err)
-	}
-	if err := client.Index(ctx, Document{
-		ID:         910002,
-		TenantSlug: tenant,
-		MessageID:  "msg-funktionstest-2",
-		Subject:    "Mittagessen morgen",
-		Body:       "Wollen wir zusammen essen gehen?",
-	}); err != nil {
-		t.Fatalf("index: %v", err)
-	}
-
-	results, err := client.Search(ctx, tenant, "Quartalsbericht")
-	if err != nil {
-		t.Fatalf("search: %v", err)
-	}
-	found := false
-	for _, r := range results {
-		if r.MessageID == "msg-funktionstest-1" {
-			found = true
-		}
-		if r.MessageID == "msg-funktionstest-2" {
-			t.Fatal("unerwarteter treffer für nicht passende nachricht")
-		}
-	}
-	if !found {
-		t.Fatalf("erwarteten treffer msg-funktionstest-1 nicht gefunden, habe: %+v", results)
-	}
-}
-
-// TestSearch_TenantIsolation ist Akzeptanzkriterium 3 (mandantengetrennt
-// abfragbar): identischer Inhalt bei zwei Mandanten, Suche bei Mandant A
-// darf keinen Treffer bei Mandant B liefern.
-func TestSearch_TenantIsolation(t *testing.T) {
-	client := setupClient(t)
-	ctx := context.Background()
-	tenantA := "mandant-src01-iso-a"
-	tenantB := "mandant-src01-iso-b"
-
-	if err := client.Index(ctx, Document{
-		ID:         910101,
-		TenantSlug: tenantA,
-		MessageID:  "msg-iso-a",
-		Subject:    "Vertraulicher Betreff Alpha",
-		Body:       "Inhalt nur für Mandant A.",
-	}); err != nil {
-		t.Fatalf("index mandant a: %v", err)
-	}
-
-	results, err := client.Search(ctx, tenantB, "Vertraulicher")
-	if err != nil {
-		t.Fatalf("search mandant b: %v", err)
-	}
-	for _, r := range results {
-		if r.MessageID == "msg-iso-a" {
-			t.Fatal("mandant b hat treffer aus mandant a gesehen — mandantentrennung verletzt")
-		}
-	}
-}