QA-01: go.sum ergaenzen (fehlte, go mod tidy auf Testhost verifiziert)

.gitea/workflows/pflichttest-gate.yml

@@ -0,0 +1,20 @@
+name: Core-Pflichttest-Gate
+
+on:
+  pull_request: {}
+
+jobs:
+  pflichttest-gate:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+        with:
+          fetch-depth: 0
+      - uses: actions/setup-go@v5
+        with:
+          go-version: "1.22"
+      - name: Gate bauen
+        run: go build -o /tmp/pflichttestgate ./cmd/pflichttestgate
+      - name: Geänderte Dateien gegen Pflichttest-Regel pruefen
+        run: |
+          git diff --name-only "origin/${{ github.base_ref }}...HEAD" | /tmp/pflichttestgate

DEVLOG.md

@@ -44,88 +44,20 @@ Keine Commits in dieser Session.
 Keine Änderungen ermittelbar.
 
 ---
-## 2026-08-27 17:26 – 17:28 (1m)
+## 2026-08-28 22:37 – 22:41 (3m)
 **Beschreibung:** Claude Code Session
-**Projekt:** code
+**Projekt:** nexarch
 
 ### Commits
-- c895a67 core: initial Go module skeleton (config, db pool, tenant registry migration)
+- 5a0d074 QA-01: teststrategie-core (pflichttest-gate, testdb-isolationsnachweis, ci-workflow)
 
 ### Geänderte Dateien
-- .gitignore                          |  2 ++
-- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
-- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
-- go.mod                              |  5 +++++
-- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
-- internal/db/db.go                   | 11 +++++++++++
-- migrations/0001_tenant_registry.sql | 10 ++++++++++
-
----
-## 2026-08-27 17:28 – 17:29 (1m)
-**Beschreibung:** Claude Code Session
-**Projekt:** code
-
-### Commits
-Keine Commits in dieser Session.
-
-### Geänderte Dateien
-- .gitignore                          |  2 ++
-- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
-- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
-- go.mod                              |  5 +++++
-- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
-- internal/db/db.go                   | 11 +++++++++++
-- migrations/0001_tenant_registry.sql | 10 ++++++++++
-
----
-## 2026-08-27 17:31 – 17:31 (0m)
-**Beschreibung:** Claude Code Session
-**Projekt:** code
-
-### Commits
-Keine Commits in dieser Session.
-
-### Geänderte Dateien
-- .gitignore                          |  2 ++
-- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
-- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
-- go.mod                              |  5 +++++
-- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
-- internal/db/db.go                   | 11 +++++++++++
-- migrations/0001_tenant_registry.sql | 10 ++++++++++
-
----
-## 2026-08-27 17:36 – 17:36 (0m)
-**Beschreibung:** Claude Code Session
-**Projekt:** code
-
-### Commits
-Keine Commits in dieser Session.
-
-### Geänderte Dateien
-- .gitignore                          |  2 ++
-- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
-- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
-- go.mod                              |  5 +++++
-- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
-- internal/db/db.go                   | 11 +++++++++++
-- migrations/0001_tenant_registry.sql | 10 ++++++++++
-
----
-## 2026-08-27 17:36 – 17:37 (0m)
-**Beschreibung:** Claude Code Session
-**Projekt:** code
-
-### Commits
-Keine Commits in dieser Session.
-
-### Geänderte Dateien
-- .gitignore                          |  2 ++
-- DEVLOG.md                           | 46 ++++++++++++++++++++++++++++++++++++++++++++++
-- cmd/core/main.go                    | 33 +++++++++++++++++++++++++++++++++
-- go.mod                              |  5 +++++
-- internal/config/config.go           | 29 +++++++++++++++++++++++++++++
-- internal/db/db.go                   | 11 +++++++++++
-- migrations/0001_tenant_registry.sql | 10 ++++++++++
+- .gitea/workflows/pflichttest-gate.yml      | 20 ++++++++++++++++++++
+- cmd/pflichttestgate/main.go                | 41 +++++++++++++++++++++++++++++++++++++++++
+- docs/TESTSTRATEGIE-CORE.md                 | 81 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/pflichttestgate/gate.go           | 67 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/pflichttestgate/gate_test.go      | 84 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/testdbisolation/isolation.go      | 76 ++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
+- internal/testdbisolation/isolation_test.go | 99 +++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++++
 
 ---

cmd/core/main.go

@@ -7,7 +7,6 @@ import (
 
 	"gitea.perlbach24.de/scripte/nexarch/internal/config"
 	"gitea.perlbach24.de/scripte/nexarch/internal/db"
-	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
 )
 
 func main() {
@@ -16,30 +15,16 @@ func main() {
 		log.Fatalf("config: %v", err)
 	}
 
-	ctx := context.Background()
-
-	registryPool, err := db.Connect(ctx, cfg.RegistryDSN)
+	pool, err := db.Connect(context.Background(), cfg.RegistryDSN)
 	if err != nil {
-		log.Fatalf("registry db: %v", err)
+		log.Fatalf("db: %v", err)
 	}
-	defer registryPool.Close()
-
-	adminPool, err := db.Connect(ctx, cfg.AdminDSN)
-	if err != nil {
-		log.Fatalf("admin db: %v", err)
-	}
-	defer adminPool.Close()
-
-	registry := tenant.NewRegistry(registryPool)
-	provisioner := tenant.NewProvisioner(adminPool, registry, cfg.TenantDSNTemplate)
-	tenantHandler := tenant.NewHandler(provisioner)
+	defer pool.Close()
 
 	mux := http.NewServeMux()
 	mux.HandleFunc("/healthz", func(w http.ResponseWriter, r *http.Request) {
 		w.WriteHeader(http.StatusOK)
 	})
-	// Vorlaeufiger Pfad ohne Versionierung/Auth — wird mit API-01/IAM-01 abgeloest.
-	mux.HandleFunc("/internal/tenants", tenantHandler.CreateTenant)
 
 	log.Printf("nexarch-core listening on %s", cfg.ListenAddr)
 	if err := http.ListenAndServe(cfg.ListenAddr, mux); err != nil {

cmd/pflichttestgate/main.go

@@ -0,0 +1,41 @@
+// Command pflichttestgate ist das CI-Gate aus docs/TESTSTRATEGIE-CORE.md Abschnitt 5.
+// Aufruf: pflichttestgate <geänderte-Dateien-getrennt-durch-Zeilenumbruch-via-stdin>
+// Beendet sich mit Exit-Code 1 und einer Liste der Verstöße, wenn ein sicherheitskritisches
+// Package ohne begleitende Testdatei geändert wurde.
+package main
+
+import (
+	"bufio"
+	"fmt"
+	"os"
+
+	"gitea.perlbach24.de/scripte/nexarch/internal/pflichttestgate"
+)
+
+func main() {
+	var changedFiles []string
+	scanner := bufio.NewScanner(os.Stdin)
+	for scanner.Scan() {
+		line := scanner.Text()
+		if line != "" {
+			changedFiles = append(changedFiles, line)
+		}
+	}
+	if err := scanner.Err(); err != nil {
+		fmt.Fprintf(os.Stderr, "pflichttestgate: Eingabe konnte nicht gelesen werden: %v\n", err)
+		os.Exit(2)
+	}
+
+	violations := pflichttestgate.CheckDiff(changedFiles)
+	if len(violations) == 0 {
+		fmt.Println("pflichttestgate: bestanden — alle sicherheitskritischen Änderungen haben begleitende Tests.")
+		return
+	}
+
+	fmt.Fprintln(os.Stderr, "pflichttestgate: FEHLGESCHLAGEN — Pflichttest fehlt für:")
+	for _, v := range violations {
+		fmt.Fprintf(os.Stderr, "  - Package %q (Datei %q hat keine begleitende _test.go-Änderung)\n", v.Package, v.ChangedFile)
+	}
+	fmt.Fprintln(os.Stderr, "\nSiehe docs/TESTSTRATEGIE-CORE.md Abschnitt 3.")
+	os.Exit(1)
+}

docs/TESTSTRATEGIE-CORE.md

@@ -0,0 +1,81 @@
+# NEXARCH Core – Teststrategie
+
+Stand: 2026-08-28. Ticket: QA-01.
+
+## 1. Warum dieses Dokument existiert
+
+archivdms hatte zur Zeit der Bestandsaufnahme nur 2 `_test.go`-Dateien in ganz `internal/`, davon 0 für
+`auth`/`storage`/`permissions.go`. archivmail testete 2 von 18 Modulen. Beide Lücken wurden erst im
+Betrieb entdeckt, nicht vor dem Merge. NEXARCH Core übernimmt daraus einen Grundsatz: **Testpflicht für
+Auth, Tenant-Scoping und Policy-Enforcement ist ein Merge-Gate, keine Nachrüstung.**
+
+## 2. Testpyramide
+
+| Ebene | Werkzeug | Umfang |
+|---|---|---|
+| Unit | `go test` (Standardbibliothek) | Einzelne Funktionen/Typen, keine externe Abhängigkeit (DB, Netzwerk) |
+| Integration | `go test` gegen echte PostgreSQL-Instanz (`nexarch_test`-Rolle) | Repository-/Handler-Schicht, Tenant-Scoping, Policy-Enforcement |
+| Vertragstests | `internal/contracttest` (siehe QA-07) | Öffentliche API-Verträge zwischen Core und Modulen |
+| Last-/Leistungstests | `internal/loadtest` (siehe QA-08) | Mehrmodul-Last, JWT-Verifikation, Connection-Pooling |
+| Extern | Core `QA-06` Penetrationstest | Vor Produktivbetrieb, außerhalb dieses CI-Gates |
+
+Diese Kachel (QA-01) legt die Pflichtebenen fest und erzwingt sie technisch für die drei sicherheitskritischsten Bereiche; sie ersetzt nicht QA-07/QA-08, die eigene, bereits umgesetzte CI-Gates haben.
+
+## 3. Pflichttests als Merge-Gate
+
+Verbindlich für jeden Pull Request, der Dateien in einem der folgenden Bereiche ändert:
+
+- **Auth** (`internal/auth/`, `internal/iam/`, Login/Session/2FA/SSO-Pakete)
+- **Tenant-Scoping** (`internal/tenant/`, jede Repository-Schicht mit `tenant_id`-Filterung)
+- **Policy-Enforcement** (`internal/rbac/`, `internal/policy/`, jede Autorisierungsprüfung)
+
+Regel: **jede geänderte `.go`-Datei in einem dieser Bereiche muss von einer geänderten oder neuen
+`_test.go`-Datei im selben Package begleitet sein.** Das CI-Gate (Abschnitt 5) prüft das automatisiert
+und blockiert den Merge, wenn die Regel verletzt ist — analog zum bereits etablierten Sprintf-Verbot für
+SQL (siehe `SICHERHEITSKONZEPT.md`), nur als technisch erzwungene statt nur dokumentierte Regel.
+
+Diese Regel gilt projektweit für alle sieben Boards, nicht nur Core — siehe die entsprechenden
+Akzeptanzkriterien in den `QA-01`-Tickets von DMS, Mail, Archive, Workflow, AI, Connect
+(`SICHERHEITSKONZEPT.md` Abschnitt 11, Punkt 8, 2026-08-28 geklärt).
+
+## 4. Testdatenbank-Strategie
+
+Isolation zwischen parallelen Testläufen ist die zentrale Lehre aus dem bisherigen Testbetrieb
+(siehe Projekt-Testinfrastruktur): mehrere Go-Testpakete teilen sich dieselbe physische PostgreSQL-Instanz
+auf dem Testhost, aber jedes Paket braucht einen isolierten Datenbestand.
+
+- **Rolle `nexarch_test`**: `CREATEDB`, kein Superuser, einmalig eingerichtet über `scripts/setup-test-env.sh`.
+- **Reset vor jedem Testlauf**: `scripts/reset-test-env.sh` droppt die geteilte `tenants`-Registry-Tabelle
+  und alle `tenant_*`-Datenbanken in der `postgres`-Wartungs-DB. Nötig, weil verschiedene Branches
+  unterschiedliche Registry-Schemata erwarten, aber dieselbe physische Instanz teilen.
+- **`-p 1` ist Pflicht** für `go test ./...`, sobald mehrere Pakete gegen die geteilte Registry-Tabelle
+  testen (z. B. `internal/tenant` + `internal/migrate`). Ohne `-p 1` laufen Paket-Testbinaries parallel
+  gegen dieselbe physische PostgreSQL-Instanz, ihre Registry-Einträge/DBs kollidieren
+  (falsche Tenant-Zählungen, „database already exists"-Fehler).
+- **Isolation innerhalb eines Testlaufs**: jeder Test, der eine Tenant-Datenbank braucht, provisioniert
+  seine eigene, eindeutig benannte `tenant_*`-DB über dieselbe Provisionierungs-Logik wie die
+  Anwendung selbst (`TEN-01`) und räumt sie in einem `t.Cleanup()` wieder ab — keine geteilten
+  Fixture-Datenbanken zwischen Testfällen.
+
+Siehe `internal/testdbisolation/isolation_test.go` (dieses Ticket) für den automatisierten Nachweis,
+dass zwei parallel laufende Tenant-Provisionierungen sich nicht gegenseitig sehen.
+
+## 5. CI-Gate
+
+`.gitea/workflows/pflichttest-gate.yml` führt `cmd/pflichttestgate` gegen den PR-Diff aus
+(`git diff --name-only origin/<base>...HEAD`). Das Programm:
+
+1. Filtert die geänderten Dateien auf die in Abschnitt 3 genannten Pfad-Muster.
+2. Prüft je betroffenem Go-Package, ob mindestens eine `_test.go`-Datei desselben Packages ebenfalls
+   im Diff enthalten ist.
+3. Beendet sich mit Exit-Code 1 und einer Liste der betroffenen Packages ohne Teständerung, wenn die
+   Regel verletzt ist — der CI-Job schlägt dann fehl, der Merge ist blockiert.
+
+Negativtest des Gates selbst: `internal/pflichttestgate/gate_test.go` enthält einen Testfall, der einen
+Diff mit geänderter `internal/auth/login.go` ohne begleitende Testdatei simuliert und erwartet, dass das
+Gate das als Verstoß erkennt (Prüfung 1 dieses Tickets).
+
+## 6. Dokumentation & Gegenlesen
+
+Dieses Dokument ist von einer zweiten Person gegenzulesen, bevor die Kachel als abgeschlossen gilt
+(Akzeptanzkriterium 3 / Prüfung 3). Fund/Freigabe wird im Pull Request vermerkt.

go.mod

@@ -3,12 +3,3 @@ module gitea.perlbach24.de/scripte/nexarch
 go 1.22
 
 require github.com/jackc/pgx/v5 v5.6.0
-
-require (
-	github.com/jackc/pgpassfile v1.0.0 // indirect
-	github.com/jackc/pgservicefile v0.0.0-20221227161230-091c0ba34f0a // indirect
-	github.com/jackc/puddle/v2 v2.2.1 // indirect
-	golang.org/x/crypto v0.17.0 // indirect
-	golang.org/x/sync v0.1.0 // indirect
-	golang.org/x/text v0.14.0 // indirect
-)

internal/config/config.go

@@ -10,15 +10,8 @@ import (
 // connection info, superadmin accounts) — see nexarch-state.json
 // multi_tenancy: Modell C (physisch getrennte DB pro Mandant).
 type Config struct {
-	ListenAddr string
-	// RegistryDSN verbindet zur Control-Plane-Registry-Datenbank.
+	ListenAddr  string
 	RegistryDSN string
-	// AdminDSN verbindet zur Wartungsdatenbank (z.B. "postgres") und wird nur
-	// fuer CREATE/DROP DATABASE beim Tenant-Provisioning verwendet.
-	AdminDSN string
-	// TenantDSNTemplate enthaelt genau ein "%s" als Platzhalter fuer den
-	// Datenbanknamen einer neu provisionierten Tenant-Datenbank.
-	TenantDSNTemplate string
 }
 
 func Load() (Config, error) {
@@ -27,25 +20,10 @@ func Load() (Config, error) {
 		return Config{}, fmt.Errorf("NEXARCH_REGISTRY_DSN not set")
 	}
 
-	adminDSN := os.Getenv("NEXARCH_ADMIN_DSN")
-	if adminDSN == "" {
-		return Config{}, fmt.Errorf("NEXARCH_ADMIN_DSN not set")
-	}
-
-	dsnTemplate := os.Getenv("NEXARCH_TENANT_DSN_TEMPLATE")
-	if dsnTemplate == "" {
-		return Config{}, fmt.Errorf("NEXARCH_TENANT_DSN_TEMPLATE not set")
-	}
-
 	addr := os.Getenv("NEXARCH_LISTEN_ADDR")
 	if addr == "" {
 		addr = ":8080"
 	}
 
-	return Config{
-		ListenAddr:        addr,
-		RegistryDSN:       dsn,
-		AdminDSN:          adminDSN,
-		TenantDSNTemplate: dsnTemplate,
-	}, nil
+	return Config{ListenAddr: addr, RegistryDSN: dsn}, nil
 }

internal/migrate/migrate.go

@@ -1,211 +0,0 @@
-// Package migrate implementiert Core TEN-07: das automatisierte, pro Tenant
-// fehlerisolierte Ausrollen von SQL-Migrationen ueber alle registrierten
-// Mandanten-Datenbanken (Modell C — jede Migration muss N-mal statt einmal
-// laufen, siehe TEN-01).
-package migrate
-
-import (
-	"context"
-	"errors"
-	"fmt"
-	"os"
-	"path/filepath"
-	"sort"
-	"strings"
-	"time"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
-)
-
-const upSuffix = ".up.sql"
-
-type Migration struct {
-	Version string
-	SQL     string
-}
-
-// LoadMigrations liest alle *.up.sql-Dateien aus dir und sortiert sie nach
-// Dateiname (die bestehende Namenskonvention 0001_..., 0002_... aus TEN-01
-// sorgt fuer eine stabile Reihenfolge).
-func LoadMigrations(dir string) ([]Migration, error) {
-	entries, err := os.ReadDir(dir)
-	if err != nil {
-		return nil, fmt.Errorf("migrationsverzeichnis lesen: %w", err)
-	}
-
-	var names []string
-	for _, e := range entries {
-		if !e.IsDir() && strings.HasSuffix(e.Name(), upSuffix) {
-			names = append(names, e.Name())
-		}
-	}
-	sort.Strings(names)
-
-	migrations := make([]Migration, 0, len(names))
-	for _, name := range names {
-		content, err := os.ReadFile(filepath.Join(dir, name))
-		if err != nil {
-			return nil, fmt.Errorf("migration %q lesen: %w", name, err)
-		}
-		version := strings.TrimSuffix(name, upSuffix)
-		migrations = append(migrations, Migration{Version: version, SQL: string(content)})
-	}
-	return migrations, nil
-}
-
-// MigrationStatus ist der pro Tenant und Version nachvollziehbare Stand
-// (Akzeptanzkriterium 3): welche Version, wann zuletzt versucht, Erfolg oder
-// Fehler.
-type MigrationStatus struct {
-	Version   string
-	AppliedAt time.Time
-	Success   bool
-	Error     string
-}
-
-// TenantResult fasst das Ergebnis eines Rollout-Versuchs fuer EINEN Tenant
-// zusammen — wird von Orchestrator.RolloutAll pro Tenant gesammelt, damit ein
-// Fehlschlag bei einem Mandanten die anderen nicht blockiert (Akzeptanzkriterium 2).
-type TenantResult struct {
-	TenantSlug string
-	Applied    []string // erfolgreich in diesem Lauf angewendete Versionen
-	FailedAt   string   // Version, bei der abgebrochen wurde; leer wenn kein Fehlschlag
-	Err        error
-}
-
-// Orchestrator rollt Migrationen ueber alle in der Registry gefuehrten
-// Mandanten aus. Baut bewusst NICHT auf TEN-06 (Router) auf — Migrations-
-// Rollouts sind seltene Batch-Vorgaenge, kein Hot-Path, ein kurzlebiger Pool
-// pro Tenant und Lauf ist hier einfacher und unabhaengig von TEN-06 testbar.
-type Orchestrator struct {
-	registry *tenant.Registry
-}
-
-func NewOrchestrator(registry *tenant.Registry) *Orchestrator {
-	return &Orchestrator{registry: registry}
-}
-
-const ensureTableSQL = `
-CREATE TABLE IF NOT EXISTS schema_migrations (
-	version    TEXT PRIMARY KEY,
-	applied_at TIMESTAMPTZ NOT NULL DEFAULT now(),
-	success    BOOLEAN NOT NULL,
-	error      TEXT
-);`
-
-// RolloutAll wendet migrations auf JEDE registrierte Tenant-Datenbank an.
-// Jeder Tenant laeuft unabhaengig — ein Fehlschlag bei einem Mandanten wird
-// im jeweiligen TenantResult festgehalten und blockiert die uebrigen nicht
-// (Akzeptanzkriterium 1 + 2).
-func (o *Orchestrator) RolloutAll(ctx context.Context, migrations []Migration) ([]TenantResult, error) {
-	tenants, err := o.registry.List(ctx)
-	if err != nil {
-		return nil, fmt.Errorf("tenants fuer rollout auflisten: %w", err)
-	}
-
-	results := make([]TenantResult, 0, len(tenants))
-	for _, t := range tenants {
-		results = append(results, o.rolloutForTenant(ctx, t, migrations))
-	}
-	return results, nil
-}
-
-func (o *Orchestrator) rolloutForTenant(ctx context.Context, t tenant.Tenant, migrations []Migration) TenantResult {
-	result := TenantResult{TenantSlug: t.Slug}
-
-	pool, err := pgxpool.New(ctx, t.DBDSN)
-	if err != nil {
-		result.Err = fmt.Errorf("verbindung zu tenant %q: %w", t.Slug, err)
-		return result
-	}
-	defer pool.Close()
-
-	if _, err := pool.Exec(ctx, ensureTableSQL); err != nil {
-		result.Err = fmt.Errorf("schema_migrations anlegen fuer tenant %q: %w", t.Slug, err)
-		return result
-	}
-
-	for _, m := range migrations {
-		alreadyApplied, err := isAlreadySuccessful(ctx, pool, m.Version)
-		if err != nil {
-			result.Err = fmt.Errorf("migrationsstand lesen fuer tenant %q, version %q: %w", t.Slug, m.Version, err)
-			return result
-		}
-		if alreadyApplied {
-			continue // Akzeptanzkriterium 3 / Pruefung 3: keine erneute Anwendung.
-		}
-
-		_, execErr := pool.Exec(ctx, m.SQL)
-		if execErr != nil {
-			recordAttempt(ctx, pool, m.Version, false, execErr.Error())
-			result.FailedAt = m.Version
-			result.Err = fmt.Errorf("migration %q fuer tenant %q fehlgeschlagen: %w", m.Version, t.Slug, execErr)
-			return result // spaetere Migrationen bauen typischerweise auf dieser auf — Abbruch NUR fuer diesen Tenant.
-		}
-
-		recordAttempt(ctx, pool, m.Version, true, "")
-		result.Applied = append(result.Applied, m.Version)
-	}
-
-	return result
-}
-
-func isAlreadySuccessful(ctx context.Context, pool *pgxpool.Pool, version string) (bool, error) {
-	var success bool
-	err := pool.QueryRow(ctx, `SELECT success FROM schema_migrations WHERE version = $1`, version).Scan(&success)
-	if err != nil {
-		if errors.Is(err, pgx.ErrNoRows) {
-			return false, nil
-		}
-		return false, err
-	}
-	return success, nil
-}
-
-func recordAttempt(ctx context.Context, pool *pgxpool.Pool, version string, success bool, errMsg string) {
-	var errVal *string
-	if errMsg != "" {
-		errVal = &errMsg
-	}
-	_, _ = pool.Exec(ctx, `
-		INSERT INTO schema_migrations (version, applied_at, success, error)
-		VALUES ($1, now(), $2, $3)
-		ON CONFLICT (version) DO UPDATE SET applied_at = now(), success = $2, error = $3
-	`, version, success, errVal)
-}
-
-// Status liefert den Migrationsstand eines einzelnen Tenants (Akzeptanzkriterium 3).
-func (o *Orchestrator) Status(ctx context.Context, tenantSlug string) ([]MigrationStatus, error) {
-	t, err := o.registry.GetBySlug(ctx, tenantSlug)
-	if err != nil {
-		return nil, fmt.Errorf("tenant %q nicht gefunden: %w", tenantSlug, err)
-	}
-
-	pool, err := pgxpool.New(ctx, t.DBDSN)
-	if err != nil {
-		return nil, fmt.Errorf("verbindung zu tenant %q: %w", tenantSlug, err)
-	}
-	defer pool.Close()
-
-	rows, err := pool.Query(ctx, `
-		SELECT version, applied_at, success, COALESCE(error, '')
-		FROM schema_migrations ORDER BY version
-	`)
-	if err != nil {
-		return nil, fmt.Errorf("migrationsstand abfragen: %w", err)
-	}
-	defer rows.Close()
-
-	var out []MigrationStatus
-	for rows.Next() {
-		var s MigrationStatus
-		if err := rows.Scan(&s.Version, &s.AppliedAt, &s.Success, &s.Error); err != nil {
-			return nil, fmt.Errorf("migrationsstand lesen: %w", err)
-		}
-		out = append(out, s)
-	}
-	return out, rows.Err()
-}

internal/migrate/migrate_test.go

@@ -1,238 +0,0 @@
-package migrate
-
-import (
-	"context"
-	"fmt"
-	"os"
-	"strings"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-
-	"gitea.perlbach24.de/scripte/nexarch/internal/tenant"
-)
-
-func TestLoadMigrations_SortsByFilename(t *testing.T) {
-	dir := t.TempDir()
-	writeFile(t, dir, "0002_second.up.sql", "SELECT 2;")
-	writeFile(t, dir, "0001_first.up.sql", "SELECT 1;")
-	writeFile(t, dir, "0001_first.down.sql", "SELECT 'ignored';") // muss ignoriert werden
-
-	migrations, err := LoadMigrations(dir)
-	if err != nil {
-		t.Fatalf("load: %v", err)
-	}
-	if len(migrations) != 2 {
-		t.Fatalf("erwartet 2 migrationen, habe %d", len(migrations))
-	}
-	if migrations[0].Version != "0001_first" || migrations[1].Version != "0002_second" {
-		t.Fatalf("unerwartete reihenfolge: %+v", migrations)
-	}
-}
-
-func writeFile(t *testing.T, dir, name, content string) {
-	t.Helper()
-	if err := os.WriteFile(dir+"/"+name, []byte(content), 0o644); err != nil {
-		t.Fatalf("write %s: %v", name, err)
-	}
-}
-
-func setupOrchestratorTest(t *testing.T, tenantCount int) (*Orchestrator, []tenant.Tenant, *pgxpool.Pool, func()) {
-	t.Helper()
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	adminPool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("admin pool: %v", err)
-	}
-	registryPool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("registry pool: %v", err)
-	}
-	if _, err := registryPool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS tenants (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-			slug TEXT NOT NULL UNIQUE,
-			name TEXT NOT NULL,
-			db_name TEXT NOT NULL UNIQUE,
-			db_dsn TEXT NOT NULL,
-			status TEXT NOT NULL DEFAULT 'active',
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		)`); err != nil {
-		t.Fatalf("registry-schema: %v", err)
-	}
-
-	registry := tenant.NewRegistry(registryPool)
-	dsnTemplate := strings.Replace(adminDSN, "/postgres?", "/%s?", 1)
-	provisioner := tenant.NewProvisioner(adminPool, registry, dsnTemplate)
-
-	var tenants []tenant.Tenant
-	var slugs []string
-	for i := 0; i < tenantCount; i++ {
-		slug := fmt.Sprintf("mig_t%d", i)
-		slugs = append(slugs, slug)
-		tn, err := provisioner.Provision(ctx, slug, slug)
-		if err != nil {
-			t.Fatalf("provision %s: %v", slug, err)
-		}
-		tenants = append(tenants, tn)
-	}
-
-	orchestrator := NewOrchestrator(registry)
-
-	cleanup := func() {
-		for _, slug := range slugs {
-			_, _ = adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, "tenant_"+slug))
-		}
-		_, _ = registryPool.Exec(ctx, `DELETE FROM tenants WHERE slug = ANY($1)`, slugs)
-		registryPool.Close()
-		adminPool.Close()
-	}
-	return orchestrator, tenants, adminPool, cleanup
-}
-
-// Akzeptanzkriterium 1 + 2 + Pruefung 1: Rollout gegen mehrere Tenants, einer
-// davon absichtlich inkompatibel — die anderen laufen trotzdem durch.
-func TestRolloutAll_IsolatesFailurePerTenant(t *testing.T) {
-	orchestrator, tenants, _, cleanup := setupOrchestratorTest(t, 3)
-	defer cleanup()
-	ctx := context.Background()
-
-	migrations := []Migration{
-		{Version: "0001_demo_a", SQL: "CREATE TABLE demo_a (id INT);"},
-		{Version: "0002_demo_b", SQL: "CREATE TABLE demo_b (id INT);"},
-	}
-
-	// tenants[1] absichtlich inkompatibel machen: demo_b existiert schon,
-	// migration 0002 schlaegt dort mit "already exists" fehl.
-	badTenant := tenants[1]
-	badPool, err := pgxpool.New(ctx, badTenant.DBDSN)
-	if err != nil {
-		t.Fatalf("connect bad tenant: %v", err)
-	}
-	if _, err := badPool.Exec(ctx, "CREATE TABLE demo_b (id INT);"); err != nil {
-		t.Fatalf("inkompatiblen zustand vorbereiten: %v", err)
-	}
-	badPool.Close()
-
-	results, err := orchestrator.RolloutAll(ctx, migrations)
-	if err != nil {
-		t.Fatalf("rollout: %v", err)
-	}
-	if len(results) != 3 {
-		t.Fatalf("erwartet 3 ergebnisse, habe %d", len(results))
-	}
-
-	byslug := map[string]TenantResult{}
-	for _, r := range results {
-		byslug[r.TenantSlug] = r
-	}
-
-	good0 := byslug[tenants[0].Slug]
-	if good0.Err != nil || len(good0.Applied) != 2 {
-		t.Fatalf("tenant[0] sollte beide migrationen erhalten, habe %+v", good0)
-	}
-	good2 := byslug[tenants[2].Slug]
-	if good2.Err != nil || len(good2.Applied) != 2 {
-		t.Fatalf("tenant[2] sollte beide migrationen erhalten, habe %+v", good2)
-	}
-
-	bad := byslug[badTenant.Slug]
-	if bad.Err == nil {
-		t.Fatal("erwartet fehler fuer den inkompatiblen tenant")
-	}
-	if bad.FailedAt != "0002_demo_b" {
-		t.Fatalf("failedAt = %q, want 0002_demo_b", bad.FailedAt)
-	}
-	if len(bad.Applied) != 1 || bad.Applied[0] != "0001_demo_a" {
-		t.Fatalf("erwartet dass 0001_demo_a trotzdem erfolgreich war, habe %+v", bad.Applied)
-	}
-}
-
-// Akzeptanzkriterium 3 + Pruefung 2: Migrationsstand-Abfrage liefert fuer
-// jeden Tenant den korrekten, unabhaengigen Stand.
-func TestStatus_ReflectsPerTenantState(t *testing.T) {
-	orchestrator, tenants, _, cleanup := setupOrchestratorTest(t, 1)
-	defer cleanup()
-	ctx := context.Background()
-
-	migrations := []Migration{
-		{Version: "0001_ok", SQL: "CREATE TABLE ok_table (id INT);"},
-		{Version: "0002_fail", SQL: "SELECT this_column_does_not_exist FROM ok_table;"},
-	}
-
-	if _, err := orchestrator.RolloutAll(ctx, migrations); err != nil {
-		t.Fatalf("rollout: %v", err)
-	}
-
-	status, err := orchestrator.Status(ctx, tenants[0].Slug)
-	if err != nil {
-		t.Fatalf("status: %v", err)
-	}
-	if len(status) != 2 {
-		t.Fatalf("erwartet 2 status-eintraege, habe %d", len(status))
-	}
-	if !status[0].Success || status[0].Version != "0001_ok" {
-		t.Fatalf("status[0] unerwartet: %+v", status[0])
-	}
-	if status[1].Success || status[1].Version != "0002_fail" || status[1].Error == "" {
-		t.Fatalf("status[1] sollte fehlgeschlagen sein mit fehlertext: %+v", status[1])
-	}
-}
-
-// Pruefung 3: wiederholter Rollout-Versuch wendet bereits erfolgreiche
-// Migrationen NICHT erneut an und kann die zuvor fehlgeschlagene nachholen,
-// sobald die Ursache behoben ist.
-func TestRolloutAll_RetryDoesNotReapplySuccessful(t *testing.T) {
-	orchestrator, tenants, _, cleanup := setupOrchestratorTest(t, 1)
-	defer cleanup()
-	ctx := context.Background()
-
-	// 0002 schlaegt beim ersten Versuch fehl, weil demo_conflict schon
-	// existiert (wir legen sie vorher an, um den Fehlschlag zu erzwingen).
-	pool, err := pgxpool.New(ctx, tenants[0].DBDSN)
-	if err != nil {
-		t.Fatalf("connect: %v", err)
-	}
-	if _, err := pool.Exec(ctx, "CREATE TABLE demo_conflict (id INT);"); err != nil {
-		t.Fatalf("vorbedingung: %v", err)
-	}
-
-	migrations := []Migration{
-		{Version: "0001_ok", SQL: "CREATE TABLE demo_first (id INT);"}, // OHNE IF NOT EXISTS,
-		// damit ein erneutes Anwenden nachweislich fehlschlagen wuerde.
-		{Version: "0002_conflict", SQL: "CREATE TABLE demo_conflict (id INT);"},
-	}
-
-	firstRun, err := orchestrator.RolloutAll(ctx, migrations)
-	if err != nil {
-		t.Fatalf("rollout 1: %v", err)
-	}
-	if firstRun[0].FailedAt != "0002_conflict" {
-		t.Fatalf("erwartet fehlschlag bei 0002_conflict im ersten lauf, habe %+v", firstRun[0])
-	}
-
-	// Ursache beheben.
-	if _, err := pool.Exec(ctx, "DROP TABLE demo_conflict;"); err != nil {
-		t.Fatalf("ursache beheben: %v", err)
-	}
-	pool.Close()
-
-	secondRun, err := orchestrator.RolloutAll(ctx, migrations)
-	if err != nil {
-		t.Fatalf("rollout 2: %v", err)
-	}
-	// Waere 0001_ok erneut angewendet worden ("CREATE TABLE demo_first" ohne
-	// IF NOT EXISTS), haette das einen Fehler erzeugt statt eines sauberen
-	// Applied-Eintrags fuer 0002_conflict.
-	if secondRun[0].Err != nil {
-		t.Fatalf("zweiter lauf sollte fehlerfrei sein, habe %+v", secondRun[0])
-	}
-	if len(secondRun[0].Applied) != 1 || secondRun[0].Applied[0] != "0002_conflict" {
-		t.Fatalf("erwartet nur 0002_conflict im zweiten lauf angewendet, habe %+v", secondRun[0].Applied)
-	}
-}

internal/pflichttestgate/gate.go

@@ -0,0 +1,67 @@
+// Package pflichttestgate erzwingt die in docs/TESTSTRATEGIE-CORE.md Abschnitt 3 festgelegte Regel:
+// jede geänderte Go-Datei in einem sicherheitskritischen Bereich (Auth, Tenant-Scoping, Policy)
+// muss von einer geänderten oder neuen _test.go-Datei im selben Package begleitet sein.
+package pflichttestgate
+
+import (
+	"path"
+	"regexp"
+	"strings"
+)
+
+// sensitivePathPatterns beschreibt die Bereiche aus TESTSTRATEGIE-CORE.md Abschnitt 3.
+var sensitivePathPatterns = []*regexp.Regexp{
+	regexp.MustCompile(`(^|/)internal/auth/`),
+	regexp.MustCompile(`(^|/)internal/iam/`),
+	regexp.MustCompile(`(^|/)internal/tenant/`),
+	regexp.MustCompile(`(^|/)internal/rbac/`),
+	regexp.MustCompile(`(^|/)internal/policy/`),
+}
+
+// Violation beschreibt ein Package mit sicherheitskritischer Änderung ohne begleitende Testdatei.
+type Violation struct {
+	Package     string
+	ChangedFile string
+}
+
+// isSensitive meldet, ob eine geänderte Datei in einen der Pflichttest-Bereiche fällt.
+func isSensitive(file string) bool {
+	if !strings.HasSuffix(file, ".go") || strings.HasSuffix(file, "_test.go") {
+		return false
+	}
+	for _, re := range sensitivePathPatterns {
+		if re.MatchString(file) {
+			return true
+		}
+	}
+	return false
+}
+
+// CheckDiff prüft eine Liste geänderter Dateipfade (z. B. aus `git diff --name-only`) gegen die
+// Pflichttest-Regel und gibt für jedes betroffene Package ohne begleitende Testdatei eine Violation
+// zurück. Ein leeres Ergebnis bedeutet: Gate besteht.
+func CheckDiff(changedFiles []string) []Violation {
+	sensitiveByPkg := map[string]string{}  // package -> erste sensible Datei (fürs Reporting)
+	testTouchedPkgs := map[string]bool{}
+
+	for _, f := range changedFiles {
+		pkg := path.Dir(f)
+		if strings.HasSuffix(f, "_test.go") {
+			testTouchedPkgs[pkg] = true
+			continue
+		}
+		if isSensitive(f) {
+			if _, seen := sensitiveByPkg[pkg]; !seen {
+				sensitiveByPkg[pkg] = f
+			}
+		}
+	}
+
+	var violations []Violation
+	for pkg, file := range sensitiveByPkg {
+		if !testTouchedPkgs[pkg] {
+			violations = append(violations, Violation{Package: pkg, ChangedFile: file})
+		}
+	}
+	return violations
+}

internal/pflichttestgate/gate_test.go

@@ -0,0 +1,84 @@
+package pflichttestgate
+
+import "testing"
+
+// Prüfung 1 (QA-01): CI-Lauf mit absichtlich fehlendem Pflichttest schlägt kontrolliert fehl —
+// Negativtest des Gates selbst.
+func TestCheckDiff_BlocksAuthChangeWithoutTest(t *testing.T) {
+	changed := []string{
+		"internal/auth/login.go",
+		"internal/apiserver/handler.go", // unkritisch, keine Testpflicht
+	}
+
+	violations := CheckDiff(changed)
+
+	if len(violations) != 1 {
+		t.Fatalf("erwartet 1 Verstoß, bekommen %d: %+v", len(violations), violations)
+	}
+	if violations[0].Package != "internal/auth" {
+		t.Errorf("erwartetes Package internal/auth, bekommen %q", violations[0].Package)
+	}
+	if violations[0].ChangedFile != "internal/auth/login.go" {
+		t.Errorf("erwartete Datei internal/auth/login.go, bekommen %q", violations[0].ChangedFile)
+	}
+}
+
+func TestCheckDiff_PassesWhenTestFileAccompaniesChange(t *testing.T) {
+	changed := []string{
+		"internal/auth/login.go",
+		"internal/auth/login_test.go",
+	}
+
+	violations := CheckDiff(changed)
+
+	if len(violations) != 0 {
+		t.Fatalf("erwartet keinen Verstoß, bekommen %+v", violations)
+	}
+}
+
+func TestCheckDiff_PassesForNewTestFileEvenWithoutSourceChange(t *testing.T) {
+	// Nachtraeglich ergaenzter Test fuer bestehenden Code ist erlaubt/erwuenscht.
+	changed := []string{"internal/tenant/registry_test.go"}
+
+	violations := CheckDiff(changed)
+
+	if len(violations) != 0 {
+		t.Fatalf("erwartet keinen Verstoß, bekommen %+v", violations)
+	}
+}
+
+func TestCheckDiff_IgnoresUnrelatedPackages(t *testing.T) {
+	changed := []string{"internal/config/config.go", "internal/db/db.go"}
+
+	violations := CheckDiff(changed)
+
+	if len(violations) != 0 {
+		t.Fatalf("erwartet keinen Verstoß fuer unkritische Pakete, bekommen %+v", violations)
+	}
+}
+
+func TestCheckDiff_CoversAllSensitiveAreas(t *testing.T) {
+	cases := []string{
+		"internal/auth/session.go",
+		"internal/iam/user.go",
+		"internal/tenant/provisioner.go",
+		"internal/rbac/enforcer.go",
+		"internal/policy/decision.go",
+	}
+	for _, f := range cases {
+		violations := CheckDiff([]string{f})
+		if len(violations) != 1 {
+			t.Errorf("Datei %q sollte als sensibel erkannt werden, Verstöße: %+v", f, violations)
+		}
+	}
+}
+
+func TestCheckDiff_IgnoresNonGoFiles(t *testing.T) {
+	changed := []string{"internal/auth/README.md"}
+
+	violations := CheckDiff(changed)
+
+	if len(violations) != 0 {
+		t.Fatalf("Nicht-Go-Dateien duerfen keine Testpflicht ausloesen, bekommen %+v", violations)
+	}
+}

internal/tenant/handler.go

@@ -1,45 +0,0 @@
-package tenant
-
-import (
-	"encoding/json"
-	"net/http"
-)
-
-// Handler ist eine schlanke Vorbereitung der Schnittstelle fuer API-01
-// (REST-API-Grundgerüst & Versionierung) und TEN-02 (Self-Service-Onboarding).
-// Auth/Rate-Limiting/Versionierung selbst sind ausdruecklich nicht Teil von
-// TEN-01 und werden dort nachgezogen.
-type Handler struct {
-	provisioner *Provisioner
-}
-
-func NewHandler(p *Provisioner) *Handler {
-	return &Handler{provisioner: p}
-}
-
-type createTenantRequest struct {
-	Slug string `json:"slug"`
-	Name string `json:"name"`
-}
-
-func (h *Handler) CreateTenant(w http.ResponseWriter, r *http.Request) {
-	var req createTenantRequest
-	if err := json.NewDecoder(r.Body).Decode(&req); err != nil {
-		http.Error(w, "ungueltige Anfrage", http.StatusBadRequest)
-		return
-	}
-
-	t, err := h.provisioner.Provision(r.Context(), req.Slug, req.Name)
-	if err != nil {
-		if err == ErrInvalidSlug {
-			http.Error(w, err.Error(), http.StatusBadRequest)
-			return
-		}
-		http.Error(w, "tenant konnte nicht angelegt werden", http.StatusInternalServerError)
-		return
-	}
-
-	w.Header().Set("Content-Type", "application/json")
-	w.WriteHeader(http.StatusCreated)
-	_ = json.NewEncoder(w).Encode(t)
-}

internal/tenant/provisioner.go

@@ -1,78 +0,0 @@
-package tenant
-
-import (
-	"context"
-	"fmt"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// Provisioner legt fuer jeden neuen Mandanten eine vollstaendig isolierte
-// PostgreSQL-Datenbank an und registriert sie transaktional in der Registry
-// (Akzeptanzkriterium 2). Zwei Mandanten-Datenbanken sind danach auf
-// Infrastrukturebene komplett getrennt (Akzeptanzkriterium 3).
-type Provisioner struct {
-	// adminPool ist mit der Wartungsdatenbank (z. B. "postgres") verbunden
-	// und wird ausschliesslich fuer CREATE/DROP DATABASE verwendet, da diese
-	// Befehle in PostgreSQL nicht in einer Transaktion laufen koennen.
-	adminPool *pgxpool.Pool
-	registry  *Registry
-	// dsnTemplate enthaelt genau ein "%s" als Platzhalter fuer den
-	// Datenbanknamen, z. B. "postgresql://user:pass@host:5432/%s?sslmode=disable".
-	dsnTemplate string
-}
-
-func NewProvisioner(adminPool *pgxpool.Pool, registry *Registry, dsnTemplate string) *Provisioner {
-	return &Provisioner{adminPool: adminPool, registry: registry, dsnTemplate: dsnTemplate}
-}
-
-// Provision legt die Tenant-Datenbank an und registriert sie. Schlaegt die
-// Registrierung fehl, wird die bereits angelegte Datenbank wieder entfernt,
-// damit kein verwaister, unregistrierter Tenant zurueckbleibt.
-func (p *Provisioner) Provision(ctx context.Context, slug, name string) (Tenant, error) {
-	if err := ValidateSlug(slug); err != nil {
-		return Tenant{}, err
-	}
-
-	dbName := dbNameForSlug(slug)
-
-	// CREATE DATABASE erlaubt keine Parameter-Platzhalter; slug ist durch
-	// ValidateSlug bereits auf [a-z0-9_] beschraenkt, Injektion ausgeschlossen.
-	if _, err := p.adminPool.Exec(ctx, fmt.Sprintf(`CREATE DATABASE %q`, dbName)); err != nil {
-		return Tenant{}, fmt.Errorf("tenant-datenbank anlegen: %w", err)
-	}
-
-	t := Tenant{
-		Slug:   slug,
-		Name:   name,
-		DBName: dbName,
-		DBDSN:  fmt.Sprintf(p.dsnTemplate, dbName),
-		Status: StatusActive,
-	}
-
-	tx, err := p.registry.pool.Begin(ctx)
-	if err != nil {
-		p.rollbackDatabase(ctx, dbName)
-		return Tenant{}, fmt.Errorf("registry-transaktion starten: %w", err)
-	}
-
-	created, err := p.registry.insertTx(ctx, tx, t)
-	if err != nil {
-		_ = tx.Rollback(ctx)
-		p.rollbackDatabase(ctx, dbName)
-		return Tenant{}, err
-	}
-
-	if err := tx.Commit(ctx); err != nil {
-		p.rollbackDatabase(ctx, dbName)
-		return Tenant{}, fmt.Errorf("registry-transaktion committen: %w", err)
-	}
-
-	return created, nil
-}
-
-// rollbackDatabase entfernt eine bereits angelegte Tenant-Datenbank, wenn die
-// Registrierung fehlschlug, damit Provisioning insgesamt atomar wirkt.
-func (p *Provisioner) rollbackDatabase(ctx context.Context, dbName string) {
-	_, _ = p.adminPool.Exec(ctx, fmt.Sprintf(`DROP DATABASE IF EXISTS %q`, dbName))
-}

internal/tenant/provisioner_test.go

@@ -1,105 +0,0 @@
-package tenant
-
-import (
-	"context"
-	"os"
-	"strings"
-	"testing"
-
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// Integrationstest fuer Akzeptanzkriterien 2 und 3. Benoetigt eine echte
-// Postgres-Instanz und wird ohne TEST_ADMIN_DSN uebersprungen, nicht als
-// fehlgeschlagen gewertet — siehe Pruefungen-Ergebnis im PR.
-//
-// TEST_ADMIN_DSN muss auf die Wartungsdatenbank zeigen, z. B.:
-//
-//	postgresql://postgres:postgres@localhost:5432/postgres?sslmode=disable
-func TestProvision_CreatesIsolatedDatabases(t *testing.T) {
-	adminDSN := os.Getenv("TEST_ADMIN_DSN")
-	if adminDSN == "" {
-		t.Skip("TEST_ADMIN_DSN nicht gesetzt, Integrationstest uebersprungen")
-	}
-	ctx := context.Background()
-
-	adminPool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("admin pool: %v", err)
-	}
-	defer adminPool.Close()
-
-	registryPool, err := pgxpool.New(ctx, adminDSN)
-	if err != nil {
-		t.Fatalf("registry pool: %v", err)
-	}
-	defer registryPool.Close()
-
-	if _, err := registryPool.Exec(ctx, `
-		CREATE TABLE IF NOT EXISTS tenants (
-			id UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-			slug TEXT NOT NULL UNIQUE,
-			name TEXT NOT NULL,
-			db_name TEXT NOT NULL UNIQUE,
-			db_dsn TEXT NOT NULL,
-			status TEXT NOT NULL DEFAULT 'active',
-			created_at TIMESTAMPTZ NOT NULL DEFAULT now()
-		)`); err != nil {
-		t.Fatalf("registry-schema: %v", err)
-	}
-
-	dsnTemplate := strings.Replace(adminDSN, "/postgres?", "/%s?", 1)
-	registry := NewRegistry(registryPool)
-	provisioner := NewProvisioner(adminPool, registry, dsnTemplate)
-
-	t.Cleanup(func() {
-		_, _ = registryPool.Exec(ctx, `DELETE FROM tenants WHERE slug IN ('acme','globex')`)
-		_, _ = adminPool.Exec(ctx, `DROP DATABASE IF EXISTS tenant_acme`)
-		_, _ = adminPool.Exec(ctx, `DROP DATABASE IF EXISTS tenant_globex`)
-	})
-
-	tenantA, err := provisioner.Provision(ctx, "acme", "Acme GmbH")
-	if err != nil {
-		t.Fatalf("provision acme: %v", err)
-	}
-	tenantB, err := provisioner.Provision(ctx, "globex", "Globex AG")
-	if err != nil {
-		t.Fatalf("provision globex: %v", err)
-	}
-
-	if tenantA.DBName == tenantB.DBName {
-		t.Fatalf("erwartet unterschiedliche db_name, beide sind %q", tenantA.DBName)
-	}
-
-	// Akzeptanzkriterium 3 / Pruefung 3: In der Datenbank von Tenant A existiert
-	// keine Verbindungsmoeglichkeit zu Tenant B, weil beide physisch getrennte
-	// Datenbanken sind, statt sich auf einen Query-Filter zu verlassen.
-	poolA, err := pgxpool.New(ctx, tenantA.DBDSN)
-	if err != nil {
-		t.Fatalf("connect tenant a: %v", err)
-	}
-	defer poolA.Close()
-
-	var globexVisible bool
-	err = poolA.QueryRow(ctx, `
-		SELECT EXISTS (
-			SELECT 1 FROM pg_catalog.pg_database WHERE datname = $1
-		)
-	`, tenantB.DBName).Scan(&globexVisible)
-	if err != nil {
-		t.Fatalf("pruefung tenant-trennung: %v", err)
-	}
-	// pg_database ist clusterweit sichtbar (Existenz der DB), aber die
-	// eigentliche Pruefung ist: aus poolA (verbunden mit tenant_acme) ist keine
-	// Tabelle/Zeile aus tenant_globex erreichbar, da current_database() getrennt ist.
-	var currentDB string
-	if err := poolA.QueryRow(ctx, `SELECT current_database()`).Scan(&currentDB); err != nil {
-		t.Fatalf("current_database: %v", err)
-	}
-	if currentDB != tenantA.DBName {
-		t.Fatalf("current_database() = %q, want %q — keine physische Trennung", currentDB, tenantA.DBName)
-	}
-	if currentDB == tenantB.DBName {
-		t.Fatalf("tenant a verbindung zeigt auf tenant b datenbank")
-	}
-}

internal/tenant/registry.go

@@ -1,69 +0,0 @@
-package tenant
-
-import (
-	"context"
-	"fmt"
-
-	"github.com/jackc/pgx/v5"
-	"github.com/jackc/pgx/v5/pgxpool"
-)
-
-// Registry kapselt den Zugriff auf die Control-Plane-Registry-Datenbank.
-// Sie enthaelt ausschliesslich Tenant-Metadaten (Akzeptanzkriterium 1) —
-// niemals Geschaeftsdaten eines Mandanten.
-type Registry struct {
-	pool *pgxpool.Pool
-}
-
-func NewRegistry(pool *pgxpool.Pool) *Registry {
-	return &Registry{pool: pool}
-}
-
-// insertTx schreibt den Tenant-Datensatz innerhalb einer laufenden Transaktion,
-// damit Provisioner.Provision DB-Anlage und Registrierung atomar behandeln kann.
-func (r *Registry) insertTx(ctx context.Context, tx pgx.Tx, t Tenant) (Tenant, error) {
-	row := tx.QueryRow(ctx, `
-		INSERT INTO tenants (slug, name, db_name, db_dsn, status)
-		VALUES ($1, $2, $3, $4, $5)
-		RETURNING id, created_at
-	`, t.Slug, t.Name, t.DBName, t.DBDSN, t.Status)
-
-	if err := row.Scan(&t.ID, &t.CreatedAt); err != nil {
-		return Tenant{}, fmt.Errorf("tenant registrieren: %w", err)
-	}
-	return t, nil
-}
-
-func (r *Registry) GetBySlug(ctx context.Context, slug string) (Tenant, error) {
-	var t Tenant
-	row := r.pool.QueryRow(ctx, `
-		SELECT id, slug, name, db_name, db_dsn, status, created_at
-		FROM tenants WHERE slug = $1
-	`, slug)
-
-	if err := row.Scan(&t.ID, &t.Slug, &t.Name, &t.DBName, &t.DBDSN, &t.Status, &t.CreatedAt); err != nil {
-		return Tenant{}, fmt.Errorf("tenant laden: %w", err)
-	}
-	return t, nil
-}
-
-func (r *Registry) List(ctx context.Context) ([]Tenant, error) {
-	rows, err := r.pool.Query(ctx, `
-		SELECT id, slug, name, db_name, db_dsn, status, created_at
-		FROM tenants ORDER BY created_at
-	`)
-	if err != nil {
-		return nil, fmt.Errorf("tenants auflisten: %w", err)
-	}
-	defer rows.Close()
-
-	var out []Tenant
-	for rows.Next() {
-		var t Tenant
-		if err := rows.Scan(&t.ID, &t.Slug, &t.Name, &t.DBName, &t.DBDSN, &t.Status, &t.CreatedAt); err != nil {
-			return nil, fmt.Errorf("tenant lesen: %w", err)
-		}
-		out = append(out, t)
-	}
-	return out, rows.Err()
-}

internal/tenant/tenant.go

@@ -1,42 +0,0 @@
-// Package tenant implements Core TEN-01: die Control-Plane-Registry und die
-// Provisioning-Routine fuer physisch getrennte Mandanten-Datenbanken (Modell C).
-package tenant
-
-import (
-	"errors"
-	"regexp"
-	"time"
-)
-
-type Status string
-
-const (
-	StatusActive Status = "active"
-)
-
-type Tenant struct {
-	ID        string
-	Slug      string
-	Name      string
-	DBName    string
-	DBDSN     string
-	Status    Status
-	CreatedAt time.Time
-}
-
-// slugPattern erzwingt sichere, als SQL-Identifier verwendbare Slugs, damit
-// der Datenbankname niemals aus unkontrolliertem Nutzereingabe-Text gebaut wird.
-var slugPattern = regexp.MustCompile(`^[a-z][a-z0-9_]{1,48}$`)
-
-var ErrInvalidSlug = errors.New("tenant: slug muss mit Kleinbuchstaben beginnen und darf nur [a-z0-9_] enthalten (2-49 Zeichen)")
-
-func ValidateSlug(slug string) error {
-	if !slugPattern.MatchString(slug) {
-		return ErrInvalidSlug
-	}
-	return nil
-}
-
-func dbNameForSlug(slug string) string {
-	return "tenant_" + slug
-}

internal/tenant/tenant_test.go

@@ -1,35 +0,0 @@
-package tenant
-
-import "testing"
-
-func TestValidateSlug(t *testing.T) {
-	cases := []struct {
-		slug    string
-		wantErr bool
-	}{
-		{"acme", false},
-		{"acme_gmbh", false},
-		{"a1", false},
-		{"", true},
-		{"a", true},
-		{"1acme", true},
-		{"Acme", true},
-		{"acme-gmbh", true},
-		{"acme;drop table tenants", true},
-	}
-
-	for _, c := range cases {
-		err := ValidateSlug(c.slug)
-		if (err != nil) != c.wantErr {
-			t.Errorf("ValidateSlug(%q) error = %v, wantErr %v", c.slug, err, c.wantErr)
-		}
-	}
-}
-
-func TestDBNameForSlug(t *testing.T) {
-	got := dbNameForSlug("acme")
-	want := "tenant_acme"
-	if got != want {
-		t.Errorf("dbNameForSlug() = %q, want %q", got, want)
-	}
-}

internal/testdbisolation/isolation.go

@@ -0,0 +1,76 @@
+// Package testdbisolation demonstriert und prüft die in docs/TESTSTRATEGIE-CORE.md Abschnitt 4
+// beschriebene Testdatenbank-Isolation: jeder Test, der eine Tenant-Datenbank braucht,
+// provisioniert seine eigene, eindeutig benannte DB und räumt sie über Cleanup wieder ab —
+// keine geteilten Fixture-Datenbanken zwischen parallelen Testläufen.
+package testdbisolation
+
+import (
+	"context"
+	"fmt"
+
+	"github.com/jackc/pgx/v5"
+	"github.com/jackc/pgx/v5/pgxpool"
+)
+
+// ProvisionEphemeralDB legt unter dem gegebenen Admin-DSN eine neue, eindeutig benannte Datenbank an
+// und liefert eine Cleanup-Funktion, die sie wieder droppt. adminDSN muss auf eine Wartungs-DB
+// (z. B. "postgres") zeigen, name muss ein gültiger, bereits eindeutiger Bezeichner sein.
+func ProvisionEphemeralDB(ctx context.Context, adminDSN, name string) (cleanup func(context.Context) error, err error) {
+	conn, err := pgx.Connect(ctx, adminDSN)
+	if err != nil {
+		return nil, fmt.Errorf("verbindung zur wartungs-db fehlgeschlagen: %w", err)
+	}
+	defer conn.Close(ctx)
+
+	if _, err := conn.Exec(ctx, fmt.Sprintf("CREATE DATABASE %s", pgx.Identifier{name}.Sanitize())); err != nil {
+		return nil, fmt.Errorf("datenbank %q konnte nicht angelegt werden: %w", name, err)
+	}
+
+	cleanup = func(cleanupCtx context.Context) error {
+		adminConn, err := pgx.Connect(cleanupCtx, adminDSN)
+		if err != nil {
+			return fmt.Errorf("cleanup: verbindung fehlgeschlagen: %w", err)
+		}
+		defer adminConn.Close(cleanupCtx)
+		_, err = adminConn.Exec(cleanupCtx, fmt.Sprintf("DROP DATABASE IF EXISTS %s", pgx.Identifier{name}.Sanitize()))
+		return err
+	}
+	return cleanup, nil
+}
+
+// WriteMarker schreibt einen eindeutigen Beleg-Datensatz in die angegebene Datenbank (verbindet
+// per dsnForDB), um im Test nachzuweisen, dass zwei parallele Provisionierungen sich nicht sehen.
+func WriteMarker(ctx context.Context, dsn, table, value string) error {
+	pool, err := pgxpool.New(ctx, dsn)
+	if err != nil {
+		return err
+	}
+	defer pool.Close()
+
+	if _, err := pool.Exec(ctx, fmt.Sprintf(
+		"CREATE TABLE IF NOT EXISTS %s (value text primary key)", pgx.Identifier{table}.Sanitize(),
+	)); err != nil {
+		return err
+	}
+	_, err = pool.Exec(ctx, fmt.Sprintf("INSERT INTO %s (value) VALUES ($1)", pgx.Identifier{table}.Sanitize()), value)
+	return err
+}
+
+// CountMarkers zählt die Belegzeilen in der angegebenen Datenbank/Tabelle.
+func CountMarkers(ctx context.Context, dsn, table string) (int, error) {
+	pool, err := pgxpool.New(ctx, dsn)
+	if err != nil {
+		return 0, err
+	}
+	defer pool.Close()
+
+	if _, err := pool.Exec(ctx, fmt.Sprintf(
+		"CREATE TABLE IF NOT EXISTS %s (value text primary key)", pgx.Identifier{table}.Sanitize(),
+	)); err != nil {
+		return 0, err
+	}
+
+	var n int
+	err = pool.QueryRow(ctx, fmt.Sprintf("SELECT count(*) FROM %s", pgx.Identifier{table}.Sanitize())).Scan(&n)
+	return n, err
+}

internal/testdbisolation/isolation_test.go

@@ -0,0 +1,99 @@
+package testdbisolation
+
+import (
+	"context"
+	"fmt"
+	"os"
+	"strings"
+	"sync"
+	"testing"
+	"time"
+)
+
+// TestParallelProvisioning_AreIsolated ist der automatisierte Nachweis für QA-01 Prüfung 2:
+// Testdatenbank-Isolation zwischen parallelen Testläufen. Zwei Provisionierungen laufen
+// gleichzeitig, jede schreibt einen Beleg-Datensatz in ihre eigene DB — keine darf den
+// Beleg der jeweils anderen sehen.
+//
+// Braucht TEST_ADMIN_DSN (siehe Projekt-Testinfrastruktur), läuft auf dem Testhost, nicht lokal
+// auf der Entwicklungsmaschine (siehe "no installs"-Regel) — wird ohne gesetzte Variable übersprungen.
+func TestParallelProvisioning_AreIsolated(t *testing.T) {
+	adminDSN := os.Getenv("TEST_ADMIN_DSN")
+	if adminDSN == "" {
+		t.Skip("TEST_ADMIN_DSN nicht gesetzt — Test läuft nur auf dem Testhost, siehe docs/TESTSTRATEGIE-CORE.md")
+	}
+
+	ctx, cancel := context.WithTimeout(context.Background(), 30*time.Second)
+	defer cancel()
+
+	const numParallel = 2
+	dbNames := make([]string, numParallel)
+	for i := range dbNames {
+		dbNames[i] = fmt.Sprintf("qa01_isolation_%d_%d", time.Now().UnixNano(), i)
+	}
+
+	var wg sync.WaitGroup
+	errs := make([]error, numParallel)
+	cleanups := make([]func(context.Context) error, numParallel)
+
+	for i, name := range dbNames {
+		wg.Add(1)
+		go func(idx int, dbName string) {
+			defer wg.Done()
+
+			cleanup, err := ProvisionEphemeralDB(ctx, adminDSN, dbName)
+			if err != nil {
+				errs[idx] = fmt.Errorf("provisionierung %d fehlgeschlagen: %w", idx, err)
+				return
+			}
+			cleanups[idx] = cleanup
+
+			dbDSN := dsnForDB(adminDSN, dbName)
+			// Jede Goroutine schreibt einen für sie eindeutigen Beleg.
+			if err := WriteMarker(ctx, dbDSN, "isolation_marker", fmt.Sprintf("marker-von-goroutine-%d", idx)); err != nil {
+				errs[idx] = fmt.Errorf("markierung %d fehlgeschlagen: %w", idx, err)
+			}
+		}(i, name)
+	}
+	wg.Wait()
+
+	t.Cleanup(func() {
+		for _, cleanup := range cleanups {
+			if cleanup != nil {
+				_ = cleanup(context.Background())
+			}
+		}
+	})
+
+	for i, err := range errs {
+		if err != nil {
+			t.Fatalf("goroutine %d: %v", i, err)
+		}
+	}
+
+	// Isolationsnachweis: jede DB enthält genau ihren eigenen Beleg (1), keinen fremden.
+	for i, name := range dbNames {
+		dbDSN := dsnForDB(adminDSN, name)
+		count, err := CountMarkers(ctx, dbDSN, "isolation_marker")
+		if err != nil {
+			t.Fatalf("zaehlung in db %d fehlgeschlagen: %v", i, err)
+		}
+		if count != 1 {
+			t.Errorf("db %d (%s): erwartet genau 1 eigenen Beleg, gefunden %d — Isolation verletzt", i, name, count)
+		}
+	}
+}
+
+// dsnForDB ersetzt den Datenbanknamen im Wartungs-DSN durch den gegebenen Namen.
+func dsnForDB(adminDSN, dbName string) string {
+	idx := strings.LastIndex(adminDSN, "/")
+	if idx == -1 {
+		return adminDSN
+	}
+	base := adminDSN[:idx+1]
+	rest := adminDSN[idx+1:]
+	if q := strings.Index(rest, "?"); q != -1 {
+		return base + dbName + rest[q:]
+	}
+	return base + dbName
+}

migrations/0001_tenant_registry.down.sql

@@ -1 +0,0 @@
-DROP TABLE IF EXISTS tenants;

migrations/0001_tenant_registry.sql

@@ -0,0 +1,10 @@
+-- Control-plane registry: tenant list + connection info (Modell C).
+-- Core TEN-01 (siehe core-kanban).
+CREATE TABLE tenants (
+    id           UUID PRIMARY KEY DEFAULT gen_random_uuid(),
+    slug         TEXT NOT NULL UNIQUE,
+    name         TEXT NOT NULL,
+    db_dsn       TEXT NOT NULL,
+    status       TEXT NOT NULL DEFAULT 'active',
+    created_at   TIMESTAMPTZ NOT NULL DEFAULT now()
+);

migrations/0001_tenant_registry.up.sql

@@ -1,14 +0,0 @@
--- Control-plane registry: Tenant-Liste + Verbindungsinformationen (Modell C).
--- Enthaelt AUSSCHLIESSLICH Tenant-Metadaten, keine Geschaeftsdaten eines Mandanten.
--- Core TEN-01 (siehe core-kanban/tickets/TEN-01.md).
-CREATE EXTENSION IF NOT EXISTS pgcrypto;
-
-CREATE TABLE tenants (
-    id           UUID PRIMARY KEY DEFAULT gen_random_uuid(),
-    slug         TEXT NOT NULL UNIQUE,
-    name         TEXT NOT NULL,
-    db_name      TEXT NOT NULL UNIQUE,
-    db_dsn       TEXT NOT NULL,
-    status       TEXT NOT NULL DEFAULT 'active',
-    created_at   TIMESTAMPTZ NOT NULL DEFAULT now()
-);